IT-dienstverlening. Na niet-volledige installatie van een update en terugzetten back-up, zijn alle gegevens huisartsenpraktijk verloren gegaan. Dagelijkse back-ups op externe schijven bleken onbruikbaar. Geen verplichting voor IT-dienstverlener om ervoor te zorgen of te controleren dat bruikbare back-ups werden gemaakt. IT-dienstverlener moest wel back-up maken vóór installatie van de update. Vraag of deze back-up (ook) onbruikbaar zou zijn geweest en of IT-dienstverlener fout heeft gemaakt bij terugzetten back-up door verwijderen map en/of door de back-up niet te controleren. Partijen krijgen de gelegenheid zich hierover nader uit te laten.
zaaknummer / rolnummer: C/03/224380 / HA ZA 16-471
Vonnis van 11 januari 2017
in de zaak van
1. de maatschap
[eiseres sub 1]
,
gevestigd te [vestigingsplaats] ,
2. [eiser sub 2],
en
3. [eiseres sub 3],
beiden wonend te [woonplaats 1] ,
eisers,
advocaat mr. M.J. Goedhart te Rotterdam,
tegen
[gedaagde]
,
wonende te [woonplaats 2] ,
gedaagde,
advocaat mr. M.R. Krul te Den Haag.
Partijen zullen hierna [eiseres] c.s. en [gedaagde] genoemd worden.
1 De procedure
1.1.
Het verloop van de procedure blijkt uit:
-
de dagvaarding van 25 juli 2016
-
de conclusie van antwoord van 19 oktober 2016,
-
de rolbeslissing van 7 november 2016,
-
het proces-verbaal van comparitie van 1 december 2016.
1.2.
Ten slotte is vonnis bepaald.
2 De feiten
2.1.
[gedaagde] heeft een bedrijf in het verlenen van ICT-diensten. [eiser sub 2] en [eiseres sub 3] zijn huisartsen. Zij zijn maten geweest van de maatschap [naam maatschap] te [vestigingsplaats] (hierna: [naam maatschap] ). [naam maatschap] maakte voor haar praktijkvoering gebruik van een softwarepakket van Promedico B.V.
2.2.
[gedaagde] heeft op 30 september 2011 een ‘Offerte aanpak infrastructuur [naam maatschap] ’ uitgebracht aan [naam maatschap] , ten name van [eiser sub 2] .
De offerte luidt onder meer als volgt:
‘Stappenplan
(..) De back-ups richten we naast de internetback-up in middels nieuwe technieken via USB 3.0 en externe harddisks. Deze zijn sneller en betrouwbaarder dan de oude dat-, dlt- en bandtechnieken. (nog nader te bekijken)
(..)
Diensten
Remote Beheer
Als iets belangrijk is om op een geautomatiseerde wijze om te kunnen gaan met bedrijfsgevoelige informatie en op betrouwbare wijze uw documenten te kunnen opslaan, raadplegen of wijzigen, is het wel de veiligheid, performance en stabiliteit van uw netwerk. Middels Remote beheer onderhouden en beveiligen wij uw pc en netwerk onder andere tegen virussen en spam. Minimaal eens per maand nemen wij conform afspraak uw pc over (via internet), voorzien deze van de laatste updates en patches, controleren belangrijke punten en voeren schijfcontroles en onderhoud uit. Uiteraard hoort hier ook de uitgebreide controle van onze Firewall en de server bij (deze worden overigens 24/7 gecontroleerd).
Mocht het onvoorzien toch voorkomen dat uw pc, laptop of server crasht, staan wij direct klaar om u te ondersteunen. Onze klantenservice biedt een telefonische helpdesk, hulp op afstand en zo nodig komen wij langs voor het installeren van een ‘leen” pc/laptop/server. Op deze manier kunt u zo spoedig mogelijk uw werkzaamheden hervatten. Vervolgens zorgen wij er voor dat uw eigen pc/laptop/server weer wordt hersteld, getest en tijdig bij u wordt afgeleverd.
Internet Back-up
Middels deze dienst wordt er een back-up van uw gegevens via het internet bij ons Cyber Centre gemaakt. Mocht het dus onvoorzien voorkomen dat bijvoorbeeld uw eigen back-up niet goed verlopen is, een usb-stick, tape of disk met belangrijke data stuk gaat of dat men vergeten is om een stick, tape of disk te plaatsen, dan kunt u altijd terugvallen op de back-up die door ons op afstand gemaakt is. We verzorgen het veilig bewaren van uw back-ups en het terugzetten van de eventueel verloren geraakte data.
Updates/Patches
Door het bijhouden van de Updates, Service-Packs het draaien van (Hot-)Fixes en de maandelijkse controle als ook het veilig stellen en beheren van uw data en certificaten nemen wij u het volledige pakket aandachtspunten die gewoonlijk door uzelf gedaan (zouden) moeten worden uit handen! De updates worden gepland en gecentraliseerd uitgevoerd (niet direct als update uit is, maar na uitvoerige testfase en na groen licht bij evt. leverancier).
(..)
Aansprakelijkheid
[gedaagde] ICT neemt geen verantwoordelijkheid omtrent kwijtraken software en/of bestanden betreffende uw applicatie of losse documenten ander aard. Wij dragen zorg voor de gehele technische infrastructuur en de dagelijkse internet back-up. Verder overleggen wij een Non-Disclosure-Agreement waarin wordt afgesproken op welke wijze [gedaagde] ICT met uw (klant)-gegevens om zal gaan.’
2.3.
[naam maatschap] heeft op enig moment met [gedaagde] een overeenkomst gesloten voor het leveren van ICT-goederen en -diensten. De overeenkomst is niet op schrift gesteld. De in de offerte van 30 september 2011 genoemde dienst ‘Internet Back-up’ is niet afgenomen vanwege de trage internetverbinding van [naam maatschap] .
2.4.
Met het oog op de ontbinding van [naam maatschap] hebben partijen in de eerste helft van 2015 een overeenkomst gesloten voor het leveren van ICT-goederen en -diensten aan [eiseres] c.s. Ook deze overeenkomst is niet op schrift gesteld. In het kader van deze overeenkomst heeft [gedaagde] hardware-infrastructuur aan [eiseres] c.s. geleverd, waaronder een server, drie externe harde schijven voor het maken van back-ups en een bijbehorende usb-kabel. Op de server is een script geplaatst dat de opdracht gaf om dagelijks om 03:00 uur de inhoud van de server te kopiëren naar een aangesloten harde schijf. De dienstverlening was gelijk aan de dienstverlening die [gedaagde] met [naam maatschap] was overeengekomen. Voor de dienstverlening is een prijs van € 219,- exclusief BTW per maand overeengekomen.
2.5.
[naam maatschap] is met ingang van 1 juli 2015 ontbonden.
2.6.
Op of rond 27 januari 2016 is een update beschikbaar gekomen voor het softwareprogramma van Promedico, VDF relaese 10.3.1. In de aanbiedingsbrief is onder meer vermeld: ‘Zorg voor een recente back-up.’
2.7.
[eiseres] c.s. heeft [gedaagde] op 27 januari 2016 verzocht de update die dag te installeren. [gedaagde] heeft dat rond 12:30 uur gedaan. Na de installatie was Promedico beschikbaar met alle data. Vervolgens is [eiseres] c.s. gebleken dat een deel van de update niet correct was verlopen en heeft zij daarover contact gezocht met Promedico. Promedico heeft de update opnieuw geïnstalleerd zonder een back-up te maken en zonder contact op te nemen met [gedaagde] . De installatie was niet succesvol en reeds ingevoerde tarieven bleken te zijn overgeschreven. Op advies van Promedico heeft [eiseres] c.s. [gedaagde] verzocht de back-up van vóór de update terug te plaatsen. [gedaagde] heeft dat geprobeerd, maar de data op de externe schijven bleken niet leesbaar te zijn. Alle in het systeem bewaarde praktijkgegevens zijn van [eiseres] c.s. zijn verdwenen.
2.8.
Het bedrijf DRN B.V. (Data Recovery Nederland B.V.) heeft onderzoek gedaan naar de externe schijven. Zij heeft op 17 februari 2016 rapport uitgebracht. Haar bevindingen luiden:
‘Case 2-18561 – Mirror raid
(..)
Uitgevoerde werkzaamheden:
Wij hebben succesvol een image gemaakt van beide schijven. Er waren geen ontbrekende sectoren. Op de images zijn wij vervolgens aan de slag gegaan. Deze zijn beide afzonderlijk van elkaar gescand. In eerste instantie een deepscan uitgevoerd op zoek naar verwijderde sectoren. Dit gaf geen gewenste resultaat. Er is tevens lx forward en lx backward gelezen in de hoop om meer verloren sectoren terug te kunnen vinden. Ook dit gaf geen gewenste resultaat. Uiteindelijk is er een scan uitgevoerd op RAW niveau. Er is gezocht naar alle .mdf bestanden. Het resultaat is samen met uw collega telefonisch doorgenomen. Het geen wat er terug was kwam qua formaat niet overeen met het geen waar naar werd gezocht. Wij hebben sterk het vermoeden dat het verplaatsten van de ene map naar de andere map niet helemaal goed is gegaan.
Aangezien er echt helemaal niets meer terug gevonden is kunnen wij met zekerheid stellen dat de sectoren overschreven zijn.
Case 2-18554 – 3 x externe harde schijf
Beschrijving:
Er is steeds een backup gemaakt naar de zelfde locatie met een recente versie van het zelfde bestand. Hierbij werd steeds een oudere versie overschreven door de nieuwe.
Uitgevoerde werkzaamheden:
Ook hier hebben wij een image gemaakt van alle 3 de schijven. Op de images zijn wij vervolgens gaan deepscannen. Alle scanresults grondig bestudeerd. Er werden in de RAW resultaten wel vele .mdf versies terug gevonden. Helaas kwam geen van deze bestanden qua formaat overeen met waar er naar gezocht werd.
Wij hebben onze uiterste best voor u gedaan.’
2.9.
[eiseres] c.s. heeft een back-up van 1 juli 2015 op haar systeem geplaatst en is begonnen om de gegevens die verloren zijn gegaan, weer te verzamelen en handmatig in te voeren.
3 Het geschil
3.1.
[eiseres] c.s. vordert samengevat – dat de rechtbank, bij vonnis, uitvoerbaar bij voorraad:
-zal verklaren voor recht dat [gedaagde] toerekenbaar is tekortgeschoten in de nakoming van zijn verplichtingen uit de overeenkomst en aansprakelijk is voor de schade die [eiseres] c.s. daardoor heeft geleden,
- [gedaagde] zal veroordelen tot betaling van een schadevergoeding van € 216.448,-, althans een door schatting vast te stellen bedrag, althans een voorschot van € 150.000,- op een nader bij staat op te maken schadevergoeding, vermeerderd met rente en kosten.
3.2.
[gedaagde] voert verweer.
3.3.
Op de stellingen van partijen wordt hierna, voor zover van belang, nader ingegaan.
4 De beoordeling
4.1.
De eerste vraag is of uit de overeenkomst volgt dat [gedaagde] had te zorgen voor een bruikbare back-up.
4.2.
De overeenkomst tussen partijen betrof het zogenoemde remote beheer en het verzorgen van updates/patches, met de levering van bepaalde hardware, waaronder drie externe schijven voor het maken van back-ups. Uit deze overeenkomst vloeit voor [gedaagde] niet zonder meer de verplichting voort om ervoor te zorgen of te controleren dat daadwerkelijke bruikbare back-ups werden gemaakt. Die verplichting staat niet met zoveel woorden omschreven en er is niet naar voren gebracht dat partijen daarover een afspraak hebben gemaakt. [eiseres] c.s. had in de gegeven omstandigheden ook onvoldoende reden om erop te vertrouwen dat [gedaagde] zou zorgen voor bruikbare back-ups of de back-ups zou controleren op bruikbaarheid. Zij had de dienst ‘Internet Backup’ immers niet had afgenomen. Bij de beschrijving van die dienst in de offerte van 30 september 2011 is verder onder meer gewezen op het risico van niet-correcte back-ups: ‘Mocht het dus onvoorzien voorkomen dat bijvoorbeeld uw eigen back-up niet goed verlopen is, een usb-stick, tape of disk met belangrijke data stuk gaat of dat men vergeten is om een stick, tape of disk te plaatsen, dan kunt u altijd terugvallen op de back-up die door ons op afstand gemaakt is.’ [eiser sub 2] heeft die offerte ontvangen als maat van [naam maatschap] en was daarmee dus bekend.
Bovendien moet een gemiddeld geïnformeerde, omzichtige en oplettende ondernemer begrijpen dat aan voortdurende controle van dagelijkse back-ups meer kosten zijn verbonden dan die zijn begrepen in een maandelijkse prijs van € 219,- exclusief BTW.
4.3.
In aanmerking genomen dat [eiseres] c.s. er niet op mocht vertrouwen dat [gedaagde] zou zorgen voor bruikbare back-ups of de back-ups zou controleren op bruikbaarheid, is er ook geen grond om aan te nemen dat [gedaagde] verplicht was [eiseres] c.s. er uitdrukkelijk op te wijzen dat zij niet zou zorgen voor (de controle op) bruikbare back-ups, in elk geval niet op andere wijze dan in de offerte van 30 september 2011 is gedaan.
4.4.
In de omstandigheid dat [gedaagde] aan [eiseres] c.s. een script voor het maken van back-ups ter beschikking had gesteld en via de logs kon zien of de dagelijkse opdracht tot het maken van de back-up was gegeven, ligt wel besloten dat [gedaagde] bij het waarnemen van onregelmatigheden de back-up had moeten controleren of [eiseres] c.s. had moeten waarschuwen. Er is echter geen aanwijzing dat onregelmatigheden zijn waargenomen. Ook uit het onderzoek door DRN B.V. blijkt niet van dergelijke aanwijzingen.
4.5.
[eiseres] c.s. heeft [gedaagde] verder verweten dat zij vóór de installatie van de update op 27 januari 2016 geen back-up heeft gemaakt.
4.6.
Op zichzelf genomen lag het op de weg van [gedaagde] om als zorgvuldig IT-dienstverlener overeenkomstig het advies in de aanbiedingsbrief van Promedico (zie 2.6.) een back-up te maken alvorens de update te installeren. Een mogelijk aandringen van de zijde van [eiseres] c.s. om de update overdag in plaats van buiten werktijd te installeren, kan geen voldoende reden zijn om dat na te laten, mede gelet op het belang van de gegevens voor de praktijkvoering van [eiseres] c.s., tenzij [gedaagde] vóór de installatie [eiseres] c.s. erop heeft gewezen dat zij (om die reden) geen back-up zou maken. [gedaagde] heeft echter niet aangevoerd dat zij [eiseres] c.s. hierop heeft gewezen.
4.7.
Volgens [gedaagde] had het echter geen verschil gemaakt als zij een back-up had gemaakt, omdat daarvoor de externe schijven zouden zijn gebruikt en de back-up dus eveneens onbruikbaar zou zijn gebleken. Dit verweer moet nader worden onderzocht.
In de eerste plaats moet duidelijk worden of ook dergelijke back-ups steeds op de externe schijven van de [eiseres] c.s. werden gezet en niet werden gemaakt via de back-upfunctie die volgens [gedaagde] in de software van Promedico zit. Daarnaast moet voldoende komen vast te staan dat ook bij het maken van een dergelijke back-up de gegevens onbruikbaar zouden zijn geweest, dus dat hetzelfde probleem zich zou hebben voorgedaan als bij de dagelijkse back-ups.
4.8.
De rechtbank begrijpt dat [eiseres] c.s. [gedaagde] verder nog een fout verwijt bij de poging om een back-up terug te zetten in haar registratiesysteem. Volgens [eiseres] c.s. werkte het systeem nog toen Promedico vergeefs had geprobeerd de update opnieuw te installeren en zij [gedaagde] vroeg om de back-up van vóór de installatie van de update terug te zetten. Bij de poging om de back-up terug te zetten heeft de desbetreffende medewerker van [gedaagde] , de heer [naam medewerker] , een map per ongeluk verwijderd. Huisartsenpraktijk heeft verwezen naar een brief van VvAA van 5 februari 2016, waarin onder meer is vermeld:
‘Daarnaast, zo blijkt uit de e-mail van de heer [naam medewerker] van 2 februari jl. aan [naam] , heeft uw medewerker 3 bestanden verplaatst naar de c-schijf en heeft hij deze map “naderhand per abuis verwijderd”’.
[gedaagde] heeft echter bij conclusie van antwoord aangevoerd (onder 25) dat al na de bemoeienis van Promedico alle in het systeem aanwezige gegevens op de server waren verdwenen.
4.9
Een en ander roept de vraag op of de (meeste) gegevens nog in het systeem aanwezig waren toen [eiseres] c.s. aan [gedaagde] vroeg om de back-up terug te zetten en of [gedaagde] voldoende zorgvuldig heeft gehandeld bij het plaatsen van de back-up in het systeem van [eiseres] c.s. In dit verband is onder meer van belang of inderdaad een map met (bepaalde) gegevens (per ongeluk) is verwijderd, welke gegevens dat waren en of [gedaagde] de back-up heeft kunnen en moeten controleren en die heeft gecontroleerd alvorens de back-up in het systeem te plaatsen. [gedaagde] zal meer duidelijkheid moeten geven over de gang van zaken.
4.10
De rechtbank zal [gedaagde] de gelegenheid geven om zich bij akte nader uit te laten, zoals onder 4.7 en 4.9 is overwogen. [eiseres] c.s. zal daarop bij antwoordakte mogen reageren.
4.11
De rechtbank houdt er rekening mee dat een onderzoek door een deskundige nodig is om na te gaan wat de gang van zaken is geweest en of [gedaagde] voldoende zorgvuldig heeft gehandeld. Partijen dienen – zo veel mogelijk in overleg met elkaar – in hun akte mee te delen welke deskundige het onderzoek moet uitvoeren en welke vragen zij aan de deskundige willen stellen. Het voorschot voor de kosten van de deskundige zal naar het voorlopig oordeel van de rechtbank voor rekening van [eiseres] c.s. komen omdat zij de eisende partij is.
4.12.
De rechtbank zal elke verdere beslissing aanhouden.
5 De beslissing
De rechtbank
5.1.
verwijst de zaak naar de rol van 8 februari 2017 voor akte aan de zijde van [gedaagde] , zoals hiervoor onder 4.10 en 4.11 is overwogen,
5.2.
bepaalt dat [eiseres] c.s. op een termijn van vier weken bij antwoordakte mag reageren,
5.3.
houdt elke verdere beslissing aan.
Dit vonnis is gewezen door mr. drs. W.J.J. Los en in het openbaar uitgesproken op
.jpg?width=50&height=55)
.jpg?width=50&height=55)
