Microsoft ontkent dat het de cookiewet schendt door ongevraagd en automatisch upgradebestanden voor Windows 10 te plaatsen op pc’s met Windows 7 en 8.1. De functie automatische updates van Windows Update dekt dit af, aldus Microsoft in een juridische verklaring aan PCM. Internetjurist Arnoud Engelfriet zag eerder juist een schending van de zogeheten cookiewet, die niet alleen cookies in webbrowsers betreft. De download en opslag van meerdere gigabytes aan bestanden voor een eventuele upgrade naar Windows 10 zijn niet vooraf aangekondigd of gevraagd aan gebruikers. Volgens de inschatting van privacy-expert Simon Hania opereert Microsoft hiermee wel binnen de wet.

‘Simpelweg een systeemupdate’

Microsoft stelt dit ook: “Deze update is beschikbaar gesteld aan klanten in overeenstemming met van toepassing zijnde dataprotectiewetten”. Het bedrijf zegt verder dat de systeemupdate (die de upgradebestanden binnenhaalt) is verstrekt aan klanten die óf een reservering voor Windows 10 hebben gedaan óf die automatische updates in Windows Update hebben geactiveerd.

“De gedownloade bestanden zijn simpelweg een systeemupdate die een klant in staat stellen om een soepelere installatie-ervaring te hebben, zouden zij besloten om in de toekomst te upgraden naar Windows 10.” Microsoft heeft afgezien van antwoord op vervolgvragen van PCM en houdt het op de afgegeven juridische verklaring. Cookiewethandhaver ACM antwoordde eerder al dat de cookiewet hier van toepassing is, maar onthoudt zich nu van verdere reactie op deze zaak.

Jurist Engelfriet heeft al gesteld dat de upgrade naar Windows 10 niet noodzakelijk is voor het functioneren van Windows 7 en 8.1. Daarmee valt dit plaatsen van data op het apparaat van een eindgebruiker niet onder een van de uitzonderingen die de cookiewet kent. Die uitzondering betreft noodzaak voor het technisch functioneren van een apparaat. Privacy-kenner Hania stipte al een andere uitzondering aan, die volgens hem van toepassing is en waar Microsoft zich nu op beroept. Toezichthouder ACM meende echter dat beide uitzonderingen niet van toepassing zijn.

Andere uitzondering in de cookiewet

De tweede uitzondering in de cookiewet betreft data die wordt geplaatst op een apparaat in het kader van ‘een door de gebruiker gevraagde dienst’. De upgradebestanden voor Windows 10 zijn “inderdaad niet strikt noodzakelijk”, erkent Hania. “Vandaar dus dat er een vorm van toestemming nodig is. Microsoft verkrijgt die door je een ‘dienst van de informatiemaatschappij’ aan te bieden.” Dit is dan Windows Update. “Die zet je aan en dan krijg je dus upgrades.”

Ook advocaat Elze ‘t Hart gaat mee in deze redenatie: “Als je bijvoorbeeld een ‘contract’ hebt gesloten voor het ontvangen van nieuwe versies of updates, dan valt het onder een uitzondering in de cookiewet”. De nuance tussen updates voor de ene Windows-versie (7 of 8.1) en upgrade naar een nieuwere versie (10) zou er dan niet toe doen. “Alles staat of valt met de manier waarop ze dat hebben geformuleerd”, aldus ‘t Hart.

Windows as a Service

Hania speculeert dat op grond hiervan Windows 10 mogelijk zelfs automatisch geïnstalleerd zou mogen worden. “Net als allerlei Android- en iOS-apps doen, als je eenmaal ‘automatisch updaten’ hebt aangezet.” Microsoft gaat niet in op vragen naar aanleiding van deze speculatie. Voor het updaten van Android- en iOS-apps wordt wel eenmalig permissie gevraagd aan eindgebruikers. Uit de juridische verklaring van Microsoft valt op te maken dat deze toestemming valt onder (eerdere) inschakeling van automatische updates.

Microsoft lijkt gebruikers geen bijgewerkte voorwaarden voor het gebruik van Windows Update te hebben voorgelegd. Het bedrijf ziet af van antwoorden op vragen van PCM hierover. Mogelijk is dat voorleggen van gewijzigde voorwaarden niet vereist als de gedownloade upgradebestanden worden beschouwd als systeemupdate, die hoort bij het draaiende besturingssysteem. Indien dat het geval is, lijken Windows 7 en 8.1 te vallen onder het update-stramien van Windows 10 dat als service in de markt wordt gezet. Na versie 10 volgt namelijk geen 11 of 12 meer, maar gewoon continue updates. Microsoft spreekt van Windows as a Service.

Engelfriet ziet het toch anders: “Microsoft zegt in feite dat er specifieke toestemming is omdat het een ‘system update’ is. Oftewel, toen jij zei "doe maar updates voor Windows 7" wist je dat je ook Windows 10 kon verwachten op zeker moment.” Dat besturingssysteem zelf zou dan gewoon een update zijn net als geregeld uitgebrachte bugfixes. “Ik vind het nogal gezocht. De cookiewet is helder: toestemming moet omschrijven waar je toestemming voor geeft, en een bugfix is iets wezenlijk anders dan een nieuwe versie van Windows.”

‘Belangrijke wijzigingen’

Hania antwoordt op vervolgvragen van PCM: “Wat Microsoft lijkt te zeggen is: We hebben gebruikers in deze context twee ‘diensten van de informatiemaatschappij’ aangeboden: (1) ‘Reserveer je Windows 10 update’ en (2) ‘Werk mijn Windows bij als er belangrijke wijzingen zijn’ (mijn woorden).” Instemmen met één van beide betekent dan toestemming om de installatiebestanden voor Windows 10 op de harde schijf (of SSD) op te slaan. Wat het volgens Hania wel verwarrend maakt, is dat Microsoft deze twee zaken (dienst en toestemming) bij elkaar neemt in de juridische verklaring die PCM heeft gekregen.

“Wat alle onduidelijkheid wel aantoont, is dat Microsoft er waarschijnlijk goed aan zou hebben gedaan, om duidelijker uit te leggen wat ‘werk mijn Windows bij als er belangrijke wijzigingen zijn’ nou inhoudt. Namelijk dat het (1) inhoudt dat er een bestand door je computer gedownload wordt, dat (2) het ook automatisch kan gebeuren en dat (3) het ook geldt voor de overgang naar Windows 10.” Hania pleit dan ook voor heldere communicatie over diensten die worden geleverd, om zo verrassingen, vragen en privacy-onderzoeken te voorkomen. ‘t Hart beaamt: “Daar valt wel wat in te verbeteren”.