Onderzoek naar slimme apparaten voor consumenten in opdracht van ACM en RDI

De Autoriteit Consument & Markt (ACM) en de Rijksinspectie Digitale Infrastructuur (RDI) hebben samen laten onderzoeken of zogenoemde ‘slimme’ apparaten voor thuis (domotica) bij aankoop digitaal veilig zijn en na aankoop veiligheidsupdates krijgen. Ook hebben zij de informatie die fabrikanten verstrekken voor, tijdens en na de koop laten onderzoeken, zowel bij aankoop online als in de fysieke winkel. Dit alles is onderzocht via een steekproef van 15 veelgebruikte apparaten.

De ACM en RDI hebben dit onderzoek mede laten doen om zicht te krijgen op situaties waar nu al regels voor gelden of op komst zijn. Vanuit de ACM gaat het onder meer om regels op grond van de richtlijnen verkoop goederen en digitale inhoud die van toepassing zijn per 27 april 2022 en de regels op grond van de moderniseringsrichtlijn die van toepassing zijn vanaf 28 mei 2022.

Regels

Wie een slim apparaat koopt, hoort bij, tijdens en na de koop de essentiële informatie hierover te krijgen. Voorafgaand aan de koop heeft de consument onder meer recht op informatie over wat het product doet, in welke digitale omgeving het werkt, waarmee het kan samenwerken en hoe het zit met het updatebeleid. Dat moet zowel online als in fysieke winkels.

Ook hoort de consument een veilig product te krijgen dat tijdens de gebruikelijke levensduur goed en veilig te gebruiken is. Het apparaat moet digitaal veilig zijn, en de verkoper moet updates verstrekken waarmee het apparaat veilig blijft en blijft werken. De verkoper moet daarnaast de consument vertellen wat de gevolgen voor zijn rechten zijn als hij de updates niet installeert.

Bevindingen

De voornaamste bevindingen zijn:

• De informatieverstrekking bleek summier. Vooral informatie over het updatebeleid ontbrak. Verder werd niet telkens de versie van het besturingssysteem vermeld. Als consument kun je dan niet weten of je het slimme apparaat met een bepaalde app kunt bedienen.
• Bovendien verstrekten fabrikanten soms andere informatie dan de verkopers. Dat is verwarrend. Daarnaast bleek de informatieverstrekking in de fysieke winkels minder volledig dan online.
• Eén domotica-apparaat in de steekproef bevatte een misbruikbare beveiligingszwakheid.
• Beveiligingsupdates werden niet altijd geleverd, terwijl er wel beveiligingszwakheden gevonden waren.

Vervolgonderzoek

Een van de aspecten die voor het toezicht van de ACM van bijzonder belang is, is of de producten ook updates blijven ontvangen. Een van de aanbevelingen in het onderzoeksrapport is om over langere periode te onderzoeken of updates geleverd worden. In navolging die hebben RDI en ACM besloten dat RDI zou onderzoeken of de apparaten na het beëindigen van het onderzoek nog updates hebben gekregen. Dit onderzoek bevestigt de resultaten van het eerdere onderzoek. De fabrikanten die in de eerdere onderzoeksperiode geen updates verstrekten, bleken die ook in deze onderzoeksperiode niet te verstrekken.