A warrant requirement for analysing data stored on smartphones?

On 22 April 2015, the Dutch high court of Arnhem-Leeuwarden possibly set a precedent with far-reaching consequences. In this particular criminal case, a law enforcement official seized a smartphone and subsequently read and copied WhatsApp messages stored on the smartphone. The defence successfully argued that the investigation method was in violation of the right to privacy as articulated in art. 8 ECHR. The high court of Arnhem-Leeuwarden agreed and deemed the current regulations not foreseeable.

Currently, as explained in my previous blog post, law enforcement officials can seize a smartphone and examine all data stored on it in the context of a criminal investigation to obtain evidence without any notable legal thresholds. However, the high court points out that smartphones contain “not only access to traffic data, but also the contents of communications and private information of a smartphone user” . Because the analysis of such data severely infringes in the right to privacy, the current regulations for seizing and analysing data stored on smartphones are not adequately regulated according to the court.

Right to privacy and analysis of information on smartphones

Indeed, the European Court of Human Rights (ECtHR) recently decided in the case of Prezhdarovi v Bulgaria that (1) a judicial warrant requirement and (2) a limitation of the scope of the sought after data on computers is preferable when law enforcement authorities seize computers and analyse data stored on computers. Considering the serious privacy infringement that takes place when personal data that is stored on computers is analysed by law enforcement authorities, adequate safeguards in the domestic laws of States should protect the involved individuals against arbitrary interferences of State in their personal lives according to the ECtHR.

The decisions of the high court of Arnhem-Leeuwarden and ECtHR indicate that the Dutch regulations for the seizure of computers such as smartphones require amendments in order to adequately protect the right to privacy. In June 2014, the Dutch Ministry of Security and Justice already suggested that amendments were required for analysing data on computer systems. Yet, these amendments only suggested the legal thresholds of an order of a public prosecutor, whereas the ECtHR seems to prefer a prior review of an investigating judge – i.e., basically a warrant requirement – to analyse data on computer systems.

International trend?

Interestingly, almost a year ago, the U.S. Supreme Court decided in the landmark case of Riley v. California that a judge’s warrant is required in order to seize a smartphone and analyse data stored on a smartphone. The protection of the warrant requirement was deemed appropriate, because: “Modern cell phones are not just another technological convenience. With all they contain and all they may reveal, they hold for many Americans “the privacies of life”.

Obviously, modern cell phones do not contain the ‘privacies of life’ only for Americans. So tell me, does your domestic State law require a warrant to seize computers and analyse data stored on those devices?

This is a cross-post from LeidenLawBlog.nl.

=== Updata ===

My commentary (in Dutch) on the case of 22 April 2015 is available here (in .pdf).

Note that, in the meantime, the Dutch courts of Oost-Brabant and Noord-Holland desmissed the verdict of the high court of Arnhem-Leeuwarden, stating that article 94 of the Dutch Code of Criminal Procedure allows for the seizure of smartphones and subsequent search of data stored on the device.

The court of Amsterdam decided on 18 June 2015 that art. 8 ECHR was not infringed, because law enforcement restricted the search of data stored on the smartphone to  contact details. Thefefore, the search was not deemed disproportionate. Interestingly, other judges of the court of Noord-Holland decided on 4 June 2015 in a different case that seizing a smartphone based on art. 94 DCCP does infringe art. 8 ECHR. Clearly, the courts in the Netherlands are devided on the question whether seizing a smartphone based on art. 94 DCCP infringes art. 8 ECHR. Apparently, the Public Prosecution’s Office went in appeal and the question will be brought  to the Dutch Surpeme Court.

Hacking without a legal basis

In May 2014, the Dutch Public Prosecution Office announced that the Dutch police participated in a global action against ‘Blackshades’ malware. Blackshades enables individuals to remotely take over computers and copy information (among other functionalities). The Dutch press release stated that:

“Team High Tech Crime of the Dutch police saw an opportunity to enter the Blackshades server and secure a large amount of information. The location of the server is unknown”.

This statement implies that Dutch law enforcement authorities entered the server remotely to copy data. Said in other words, Dutch law enforcement authorities hacked a server without knowing the location of the server to secure information. Indeed, recent answers to parliamentary questions confirmed the computer was ‘remotely accessed’(hacked) by law enforcement authorities during the operation in May. In addition, the Dutch Minister of Security of Justice stated in the letter to the Dutch Parliament that art. 125i of the Dutch Code of Criminal Procedural (DCCP) provides for a legal basis to access computer remotely (by hacking) and copy information.

The problem with this letter is that there is arguably no legal basis for hacking in Dutch criminal procedural law. The statement of the Minister of Safety and Justice is in my view worrisome, because a special investigation power is interpreted very broadly by the minister to suit the needs of law enforcement authorities. This undermines a fundamental principle of our criminal law system.

Art. 125i DCCP does not provide a legal basis for hacking

Art. 125i DCCP provides for an ill-understood investigation power that allows law enforcement authorities to search a place in order to secure information stored on computers. The article specifically refers to existing investigation powers for search and seizure at a particular place by law enforcement authorities. Therefore, art. 125i DCCP should always be read in conjunction with the power to search a place, seize a computer and subsequently search data on a computer. In the letter, the minister seems to ignore these explicitly referred to powers of search and seizure at a particular place.

For example, a public prosecutor can seize a computer located at hosting provider and search the data stored on a computer in an effort to secure the sought after data upon the legal basis of art. 125i DCCP jo art. 96c DCCP. These powers for search and seizure are simply different from hacking as an investigation method. The most notable difference between hacking and the search and seizure of computers is that hacking takes place remotely in secret, whereas the search and seizure of computers takes place at a particular place in the presence of witnesses.

There are good reasons to think that the Dutch legal framework to analyse data on computers is outdated. Additionally, there are good reasons why law enforcement authorities feel the need to be able to access computers remotely to acquire information relevant to a criminal investigation. But a key principle and essential to the rule of law is that law enforcement authorities are bound by the law. In my view, as I argued extensively in 2011 and 2013 (in Dutch), Dutch criminal procedural law does not provide for the investigation power to hack computers by law enforcement authorities.

Criminal procedural legality principle

In Dutch criminal procedural law, investigation methods that infringe in the right to privacy in more than a minor way or threaten the integrity of a criminal investigation require detailed regulations. This ‘criminal procedural legality principle’ with regard to the regulation of investigation methods ensures that governmental powers are controlled by the law and prevent arbitrary interferences by the government in the private lives of citizens. The principle also ensures that governmental powers to investigate crime are foreseeable to citizens. In essence, this legality principle harnesses governmental power which is essential to the rule of law.

Therefore, I find it curious our Minister of Security and Justice endorses a broad and highly debatable interpretation of the law to enable law enforcement authorities to hack computers, especially considering that a new legislative proposal is under way which aims to regulate hacking as an investigation power. This ‘Computer Crime Act III’ will be send to the Dutch Parliament in early 2015.

A democratic legislative process is required to provide Dutch law enforcement authorities with the powers that a majority of the elected representatives of the Dutch people find appropriate. Perhaps hacking computers under stringent conditions to allow for evidence gathering activities is desirable as a new investigation power. But in the meantime, the criminal procedural legality principle as a key principle in Dutch criminal procedural law should not be ignored.

This is a cross post from LeidenLawBlog.nl

Reforming the legal regime for search and seizure of computer data

On 6 June 2014, the Dutch Ministry of Security and Justice published several ‘discussion documents’ about reforming Dutch criminal procedural law. Of particular interest to this blog post is the document relating to search and seizure (in Dutch). The authors of this discussion document suggest amending the legislation with regard to the search and seizure of data on computer systems. In my view, that is a very good idea considering the old-fashioned approach we now have towards search and seizure of computer systems.

Computer systems as regular objects

In 1993, the Dutch legislator decided to treat computer systems as regular tangible objects which can be seized and subsequently analysed for evidence gathering purposes in criminal investigations. The reason for this is that data in itself cannot be seized in a criminal investigation, because data can be copied, whereas only tangible ‘goods’ can be taken out of the possession of the owner. Although data cannot be copied, the data carrier can be seized like all other goods. The regular rules for search and seizure of goods are applicable for data carriers (computers). Similar to the seizure of a bloody baseball bat in a murder investigation, computers can be seized and indefinitely analysed for evidence. Such an analysis to ‘ascertain the truth’ of what happened by analysing computer systems in a murder investigation is not far-fetched, as this case shows in which the intent to commit a murder was proven by analysing the search history of the personal computer of the suspect.

Considering the modern software tools which law enforcement authorities can utilise to analyse data on computers, it is easy to imagine that such a search may heavily infringe on an individual’s right to privacy. Perhaps it is time to amend the legislation for search and seizure of computers. Indeed, the authors of the discussion document recognise that “taking knowledge and securing stored e-mail correspondence, photos and videos, personal notes and internet search history” can heavily interfere with the personal lives of the individuals involved. “In comparison”, the authors state, “the seizure of all photo albums, video tapes, is soon deemed disproportional” (see p. 37). Possibly, specialised software can filter out information and thus limit the privacy infringement that occurs.

Location based legal regime

Currently, which conditions apply for the seizure of computers and subsequent analysis of data depends on the location at which the computer is located. If the computer is located (a) on public streets or a vehicle, law enforcement officials can seize the computer, (b) in an office building, a public prosecutor can give the order to seize a computer and (c) in a residence, an order from a public prosecutor and a warrant from an examining judge is required (leaving out exceptions to these rules). One could wonder: is this differentiation correct? Does a different privacy infringement occur when the information on a computer is analysed, depending on the location at which the computer is seized? I think not. I think in all circumstances a serious infringement of the right to privacy occurs when computers are seized and individuals must be adequately protected against the arbitrary interference of the government in their private lives.

How to deal with privileged communications, chain of custody, etc.

The discussion document also raises other important issues relating to the search and seizure of computers systems. The authors rightfully point out that regulations are possibly required to make sure that (a) privileged communications cannot be accessed by law enforcement officials, (b) the regulations for the seizing of letters also applies to digital communications and (c) more attention is required for the regulations regarding the ‘chain of custody’ when data is analysed (see p. 42-49). Clearly, digital forensic investigators can also contribute to better regulations for the search and seizure of computer data in criminal investigations.

Hopefully, we will soon be able to read more observations regarding the discussion documents online, in order to further the debate about the necessary reforms in criminal procedure law!

This is a cross post from LeidenLawBlog.nl

————

Update

Days after this blog post first appeared, the U.S. Surpreme Court  decided in Florida vs Riley that a warrant was required to search a modern cell phone. The Surpreme Court noted: “Modern cell phones are not just another technological convenience. With all they contain and all they may reveal, they hold for many Americans “the privacies of life”.”. See this New York Times article for more information about the Riley case.

Perhaps inspired by the Riley decision, Dutch Parliamentary Members soon proclaimed that a warrant for a house search should be required to search phones in the Netherlands. Probably the warrant would be extended for different types of computers as well. Parliamentary Member Jeroen Recourt elaborated in an interview that the announced reforms of the Dutch Criminal Procedure Code may provide a good opportunity to better protect the confidentially and integrity of mobile phones. Note however, how he also left open the option the data on a computer can be searched after an order of a public prosecutor.

Nóg een wet computercriminaliteit?

Naar aanleiding van de Richtlijn aanvallen op informatie systemen (waarover ik eerder uitgebreid heb geblogd) heeft het kabinet een wetsvoorstel gemaakt ter implementatie van de richtlijn. In dit bericht wil ik kort de inhoud van het wetsvoorstel beschrijven en daar enkele kanttekeningen bij plaatsen. Waarschuwing: het verhaal kan enigszins wetstechnisch worden! 😉

Strafverhoging

De Europese Commissie en het Europese Parlement vonden het nodig computerdelicten binnen de EU te harmoniseren en maximale gevangenisstraffen voor te schrijven om computercriminaliteit beter te bestrijden. In het bijzonder maken zij zich zorgen over de opkomst van botnets (dat nu toch al echt een tijdje aan de gang is), de economische schade dat cybercrime kan veroorzaken en de ontwrichtende gevolgen die aanvallen op vitale IT infrastructuren kunnen hebben.

Als gevolg van de Richtlijn aanvallen op informatiesystemen wordt nu in Nederland de maximale gevangenisstraf voor (1) computervredebreuk (art. 138ab lid 1 Sr), (2) het uitvoeren denial-of-service aanvallen (art. 138b lid 1 Sr) en (3) het wederrechtelijk aftappen van netwerkverkeer (139c lid 1 Sr en 139d lid 1 Sr) verhoogd van maximaal één jaar naar maximaal twee jaar gevangenisstraf.

Strafverzwarende omstandigheden

Daarnaast schrijft de richtlijn voor dat in bepaalde (strafverzwarende) omstandigheden een maximale gevangenisstraf van vijf jaar moet gelden.

Voor de implementatie hiervan wordt ten eerste in een lastig geformuleerd artikel (art. 138b lid 2 Sr) voorgesteld om een maximale gevangenisstraf van 3 jaar voor te schrijven indien een botnet wordt gebruikt (dit staat er niet letterlijk, maar dat een “aanzienlijk aantal computers” worden aangestuurd na gebruik van kwaadaardige software, hacking tools of wachtwoorden zoals beschreven in art. 139d lid 2 Sr) om (1) denial-of-service aanvallen uit te voeren (art. 138b Sr) en (2) computers te beschadigen of malware te installeren (zie art. 350a Sr en het voorgestelde art. 350c Sr voor ‘werken voor telecommunicatie’). Bij art. 350a lid 2 Sr en het voorgestelde artikel 350c lid 2 Sr wordt dan terugverwezen naar art. 138b lid 2 Sr.

Ten tweede schrijft de richtlijn voor dat in de omstandigheid dat een denial-of-service aanval of computerverstoringen worden gepleegd (1) in het kader van een criminele organisatie, (2) het feit ernstige schade tot gevolg heeft of (3) wanneer het feit is gepleegd tegen een geautomatiseerd werk behorende tot een vitale infrastructuur, een maximale gevangenisstraf van vijf jaar moet gelden. Nu is dat volgens de minister al geregeld voor omstandigheid 1 (waar ik verder ook niet aan ga twijfelen), maar geldt deze strafverzwaring nog niet voor aanvallen die “ernstige schade veroorzaken” of voor aanvallen gericht tot een “geautomatiseerd werk behorende tot een vitale infrastructuur”. Daarom wordt een nieuw lid in art. 138b Sr voorgesteld (art. 138b lid 3 Sr), waardoor voor een dos-aanval die leidt tot ernstige schade of gericht is op een computer die behoort tot een vitale infrastructuur een maximale gevangenisstraf van vijf jaar zou gaan gelden. De strafverzwaring moet ook gelden voor computerverstoringen zoals strafbaar is gesteld in art. 350a Sr en 350c Sr, waarvoor in deze artikelen wederom wordt terugverwezen naar art. 138b lid 3 Sr.

Kanttekeningen

Ten eerste wil ik opmerken dat ik het vreemd vind dat een apart wetsvoorstel is gemaakt. Het Wetsvoorstel Computercriminaliteit III is immers nog niet naar de Tweede Kamer gestuurd en ziet eveneens op de versterking van de bestrijding van cybercrime. De richtlijn hoeft pas in september 2015 door EU Lidstaten in nationale wetgeving worden geïmplementeerd, dus waarom wordt de richtlijn niet in het wetsvoorstel meegenomen? Blijkbaar was er wel ruimte om latere wetswijzingen mee te nemen om inzet van de “lokpuber” ter bestrijding van grooming mogelijk te maken en bepalingen omtrent “internethandelsfraude” te wijzigen en mee te nemen in de Wet Computercriminaliteit III.

Ten tweede worden de materieelrechtelijke bepalingen m.b.t. computercriminaliteit door het wetsvoorstel nu wel erg ingewikkeld door het creëren van een complex systeem met kruisverwijzingen naar art. 138b Sr en 139d Sr. Art. 139d Sr verwijst naar het wederrechtelijk voorhanden hebben van ‘hacking tools’ en wachtwoorden met het oogmerk om te hacken, wederrechtelijk gegevens af te tappen en om denial-of-service aanvallen uit te voeren. Nu wordt in art. 350a Sr en 350c Sr naar art. 139d Sr verwezen (zonder art. 139d lid 2 Sr te veranderen) en dat is wetssystematisch gezien wat vreemd. Des te meer, omdat het nieuwe voorgestelde art. 350d Sr het speciaal strafbaar stelt om hacking tools en wachtwoorden voorhanden te hebben met het oogmerk om  computers te verstoren (zoals strafbaar gesteld is in art. 350a Sr en straks in art. 350c Sr). Waarom wordt in art. 350a en 350c Sr dan niet naar art. 350d Sr verwezen? Of een andere oplossing: waarom wordt niet een apart artikel gecreëerd waar het strafbaar wordt gesteld om hacking tools en wachtwoorden voorhanden te hebben met het oogmerk om computermisdrijven te plegen (met verwijzing naar de relevante artikelen)? Bovendien vind ik het verwarrend dat naar art. 138b lid 2 en 3 Sr wordt verwezen voor de strafverzwarende omstandigheden. Waarom wordt de voorgestelde tekst uit de twee leden in art. 138b Sr niet gewoon toegevoegd aan art. 350a Sr en het voorgestelde artikel 350c Sr?

Ten derde vind ik het kwalijk dat het brede begrip “vitale infrastructuren” uit de richtlijn niet nader wordt gedefinieerd in de Memorie van Toelichting van het wetsvoorstel. Ter illustratie van begrip vitale infrastructuren worden wel terloops “energiecentrales, vervoersnetwerken en overheidsnetwerken” in de Memorie van Toelichting genoemd, maar vallen bijvoorbeeld ook financiële systemen onder een vitale infrastructuur? In het kader van de voorzienbaarheid lijkt mij dat in ieder geval het begrip “vitale infrastructuren” nader moet worden gedefinieerd, omdat het expliciet als nieuw (sleutel)begrip in art. 138b lid 3 Sr wordt geïntroduceerd.

Conclusie

Het kabinet heeft blijkbaar nogal haast met de implementatie van de Richtlijn aanvallen op informatiesystemen. Helaas maakt het wetsvoorstel het wettelijk kader nog complexer en wordt onvoldoende duidelijk wat met een ‘cyberaanval op vitale infrastructuren’ wordt bedoeld. Daarnaast vind ik het persoonlijk jammer dat het wetsvoorstel niet in samenhang met de Wet computercriminaliteit III wordt behandeld; beide wetsvoorstellen zien immers op een betere bestrijding van computercriminaliteit. Het wetsvoorstel moet t.z.t. op zijn eigen merites door beide Kamers beoordeeld worden, maar wellicht moet het eerst nog uitgebreider worden bestudeerd.

Is data retention useless?

“Data retention of web data is useless” were the headlines of some news outlets in the Netherlands a few weeks ago. In my view the journalists jumped to conclusions after quickly reading the evaluation report (.pdf) of the Research and Documentation Centre of the Dutch Ministry of Safety and Justice with regard to data retention (English summary is available on p. 151-159). I think some more nuance is needed and it may be interesting to compare the report to my own research results with regard to data retention after several successful data access requests.

Retention of telephony data

The authors of the report explain that telephony data is nowadays used in almost every criminal investigation. Location data and call detail records are particularly useful according to interviewed investigators and based on case law.

Two researchers tried to obtain their own telecommunications data with a data access request, but were unable to obtain location data. My own data access request proved more successful as described is a previous blog post. I recognize the researchers experience it was too difficult to obtain the data and stress there are questions surrounding our governments plans to leave out notification requirements after certain types of data have been collected by law enforcement officials.

Retention of internet data

The retention of internet related data regards internet access, e-mail provided by ISPs and managed VoIP-telephony. The full list of data that must be retained for 6 months is available here at section “B”. Thus, search queries and visited websites are not retained by telecommunication companies, as well as the ‘contents’ of e-mail messages and other messages or conversations held using the Internet.

My own data request at broadband internet access provider revealed that in a period of three days was only one IP-address and the subscriber data was retained. Since I do no use the e-mail client provided by my ISP, there is no e-mail data available. The report tellingly quoted a law enforcement official that stated that practically “only 55-years-olds and above” still privately use e-mail of their internet access providers. Webbased telecommunication services are not obligated to retain data. The available data can only be obtained using legal aid requests. Researchers point out there are significantly less data requests in the Netherlands at these foreign providers than in other EU countries, but they cannot explain why.

Identifying internet users

An important question is how internet related data retention data is used in criminal investigations. The authors of the report explain that the retention of internet data is primarily used in cybercrime investigations (investigations in which the Internet plays a facilitating role in the commission of the crime). The retention of the assigned IP-address to the router of a broadband internet connection may enable law enforcement officials to (eventually) identify suspects. In cybercrime investigations, in some cases a logged IP-address of a device used to perpetrate a crime is the only lead available. Tracing back the IP-address may to an ISP, depending on what service is used to access the Internet and whether anonymizing services are used.

Since suspects may just as well live in a different country than the Netherlands when committing a cybercrime, the trace often leads to a foreign ISP. According to the author of the report, investigators therefore largely depend legal aid requests to collect the available data. When data retention regulations are in place, the data is at least available for a period of time. However, not all EU Member States implemented the EU Data retention directive and local regulations always differ which can be frustrating for law enforcement officials.

Most significantly, the researchers suggest it may be very difficult to identify mobile internet users solely upon the basis of an IP-address (p. 102-106). My own data access request at my telephone provider revealed that the assigned IP-addresses by the telephone company was often the same. It is likely that many people at the same time make use of the same IP-address using Network Address Translation (NAT) technologies, after which the internet traffic is distributed further through the companies infrastructure. All these people then make use of the same IP-address. When there is no additional information retained about the devices it may be difficult to identify individual users who were all assigned the same IP-address. I cannot determine upon the basis of the available information whether telecommunication providers are able to trace back individual users upon the basis of an IP-address, but if I’m reading it correctly the research report suggests they cannot. That seems as a rather significant conclusion to me.

Interestingly, the interviewed law enforcement officials unanimously agree the retention period of 6 months for internet related data is too short. Taking in consideration the amount of time criminal investigations can take I understand these statements from an investigation perspective. But the Dutch parliamentary shortened the retention of internet data from 1 year to 6 months in 2011 citing privacy concerns. The researchers report also explain how many of the interviewed law enforcement officials were unaware internet related data was retained. Internet related retention data is primarily used in cybercrime investigations. The researchers point out there is still a knowledge deficit among law enforcement officials on how to the use internet related data in criminal investigations regarding crimes of all types.

Conclusion

Contrary to what some news articles suggest, the collection of data at telecommunication providers – of which the availability is ensured by data retention legislation – is almost standard practice in criminal investigations. It is deemed as ‘very useful’ by investigators and case law suggests the data is relatively often used as evidence in criminal cases.

Data retention of internet related communications prove to be particularly useful in many cybercrime investigations, because the retention of assigned IP-addresses to broadband Internet customers may enable law enforcement officials to identify internet users. When a different internet connection than a household internet connection is used, it may be difficult to identify internet users. Perhaps internet users can even stay anonymous by using a mobile internet connection. This seems strange, because data retention legislation is specifically created to identify people and aid in criminal investigations. Indeed, the obligatory retention of mobile internet related data seems rather useless in case the information cannot be used to identify people. However, the location data that is retained every time data is transmitted through a telecommunications network still often aids in criminal investigations.

Before the legislator considers to expand data retention regulations, it may be worth considering whether there is other information available at third parties that can be collected to identify internet users. People also often have to login to make use of the internet access service which may provide for leads and there may be camera footage available for example. The regulations for the retention of internet data must be reviewed on its own merits, because it is simply not the same as telephony data. The future will tell us how the legislators respond to the research findings of the report. The Dutch minister of Security and Justice already announced he will review in the coming months whether expanding the list of data retention is desirable.

Leaving out notification requirements for data collection orders?

Each time you make a phone call with your mobile phone, the (i) date, (ii) time and (iii) duration of your phone call, as well as the (iv) numbers dialed and the (v) location of the antennas (or region (Cell ID)) your mobile phone connects to are retained by your telecommunication service provider. The data is retained in order to ensure the availability of the data for serious crime investigations by law enforcement authorities.The Dutch Minister of Safety and Justice believes that data collection orders from third parties only create ‘minor infringements’ to your right to privacy. Taking this into account, he reasons that the poorly enforced requirement that law enforcement authorities must notify individuals about data collection orders when reasonably possible, causes too much of an administrative burden and should therefore be abolished. His bill proposing the measure caused some controversylast week (10 October 2013) in the Netherlands (article is in Dutch).

But ask yourself: do you know exactly what data is retained by telecommunication providers? And does data retention create only ‘minor’ privacy infringements? Is this a valid argument to get rid of the notification requirements?

Minor privacy infringements?

The European Data Retention Directive from 2006 obliges telecommunication providers  to retain subscriber data (name and address data) and ‘traffic data’ (such as the date, time and duration of the call as well as the numbers dialled) between 6 and 24 months (see article 5 of the Directive). The subjects of data collection orders are not only suspects. In some cases they could also be other individuals, on the condition that the data collected is relevant to the criminal investigation. The problem is that the categories of data described in art. 5 of the Data Retention Directive are, in my opinion, relatively abstract and leave a lot of leeway in terms of what is exactly retained by what provider.

In order to gain more clarity about exactly what data is retained by telecom providers and to get a feeling of what that might mean for the right to privacy, I conducted a few data access requests (a right provided by European privacy laws) with my telecommunication providers. Only focusing on my ‘location data’ and accompanying ‘time stamps’ related to my mobile phone in a period of 3 days, my data request revealed the following (interactive) map:

The blue, red and green points represent the antennas my mobile phone connected to on the 25th, 26th and the 27th of April 2013, each time my mobile phone made a connection with my telecommunication provider (49 times in total). The red line indicates a railway to emphasise the route I took when I travelled by train to Utrecht Central Station and back to Leiden CS (travelling via Schiphol on the 26thof April 2013). On the 27th of April I worked from home as can be seen by the green points. I used a public tool (BatchGeo) to create the map using the raw data provided by my provider, but law enforcement officials can also easily create maps as shown above and even visualise the movements the individual concerned made within a particular time frame with specialized software. It is not hard to imagine why data retention is useful for law enforcement authorities. The data can also be enriched with other data, such as public transportation data from public transportation chip cards, CCTV footage, ANPR data and other network communication data when available. This is what investigating crime in a networked world looks like. The minister stated in the explanatory report on the bill, that collecting data from third parties is now “almost standard to criminal investigations”.

So ask yourself again: does the collection of data by law enforcement authorities from third parties, as illustrated above, create only ‘minor’ privacy infringements? Personally I do have some sympathy with the argument that notification is not desirable for all investigatory methods, taking efficiency reasons into consideration. But I do not think that data collection orders create minor privacy infringements and that this would be a valid reason for abolishing notification. Also bear in mind that without notification, many individuals would not be aware that the government had collected the data, depriving them of the opportunity to object to the data collection. This raises issues relating to art. 13 of the European Convention on Human Rights (not so much art. 8 ECHR as mentioned in the explanatory report), although this aspect is not further considered here.

More transparency about data collection

Even after years of research, it is still not clear to me exactly what data (especially internet related data) is retained by what provider. In addition, the minister refuses to provide statistics on the collection of data, other than telecommunication providers, citing ‘national security interests’ and that it is ‘not in the interest of police investigations’. As I have stated in a previous blog post, I believe that more transparency, by way of providing these statistics, is essential. Parliamentary Members can then pose questions to the governmental representatives involved, in order to maintain (some) control over these far-reaching investigatory powers and try to uphold the integrity of the investigatory process.

This is cross post from LeidenLawBlog.nl

Moet Nederland nu al rekening houden met de nieuwe EU Cybercrimerichtlijn?

Op 4 juli 2013 heeft het Europese Parlement de richtlijn ‘aanvallen tegen informatiesystemen ter vervanging van Kaderbesluit 2005/222/JBZ’ met een grote meerderheid aangenomen (541 stemmen voor en 91 stemmen tegen). De Raad van de Europese Unie heeft ook het voorstel op 22 juli 2013 aangenomen, zodat aan  alle officiële procedures is voldaan en de richtlijn kan worden gepubliceerd. De richtlijn moet na publicatie binnen twee jaar in de nationale wetgeving geïmplementeerd worden. Daarom vraag ik mij af: moeten de noodzakelijke wijzigingen niet worden verwerkt in de nieuwe Wet Computercriminaliteit III?

Wijzigingen naar aanleiding van de richtlijn

Zonder een volledige analyse kan al eenvoudig uit de tekst richtlijn worden afgeleid dat enkele wetswijzigingen noodzakelijk zijn om aan de richtlijn te voldoen. De nieuwe Europese richtlijn dient overigens ter vervanging van Kaderbesluit 2005/222/JBZ die op haar beurt grotendeels overeenkomt met het Cybercrimeverdrag. Belangrijk is wel dat het Kaderbesluit en de nieuwe richtlijn vooral toezien op materieel strafrecht, d.w.z. de bepalingen omtrent strafbare gedragingen. In dit geval gaat het om strafbaarstellingen m.b.t. de meer ‘high tech’ cybercrime, zoals hacking (computervredebreuk, art. 138ab Sr), malware (‘gegevensaantasting’, art. 350a Sr, spyware, art. 139c Sr, voorhanden hebben van malware en ‘hacking tools’, art. 139d Sr) en denial of service attacks (art. 138b Sr, 161sexies Sr).

In de richtlijn wordt keer op keer benadrukt dat geïnfecteerde computersystemen die samen een botnet vormen veel schade berokkenen binnen de lidstaten, zoals bijvoorbeeld in overweging 5 (aangepast door amendementen van het parlement):

“(5) There is evidence of a tendency towards increasingly dangerous and recurrent large-scale attacks conducted against information systems which can often be critical to Member States or to particular functions in the public or private sector. This tendency is accompanied by the development of increasingly sophisticated methods, such as the creation and use of so-called ‘botnets’, which involves several stages of a criminal act, where each stage alone could pose a serious risk to public interests. This Directive aims, inter alia, to introduce criminal penalties for the creation of botnets, namely, the act of establishing remote control over a significant number of computers by infecting them with malicious software through targeted cyber attacks. Once created, the infected network of computers that constitute the botnet can be activated without the computer users’ knowledge in order to launch a large-scale cyber attack, which usually has the capacity to cause serious damage, as referred to in this Directive. Member States may determine what constitutes serious damage according to their national law and practice, such as disrupting system services of significant public importance, or causing major financial cost or loss of personal data or sensitive information.”

De Europese Commissie wil botnets op strafrechtelijk gebied blijkbaar beter bestrijden door de strafbare gedragingen te harmoniseren en minimale straffen voor te schrijven. Voor delicten zoals computervredebreuk (hacking), gegevensaantasting (malware) en (d)dos-aanvallen wordt een maximale gevangenisstraf voorgeschreven van tenminste 2 jaar. Bovendien schrijft artikel 9 uit de richtlijn een strafverzwaring van een maximale gevangenisstraf van ten minste vijf jaar voor bij de hierboven genoemde computerdelicten, indien (1) de misdrijven in georganiseerd verband worden gepleegd (zoals gedefinieerd in Kaderbesluit 2008/841/JBZ), (2) ernstige schade veroorzaakt (met bijvoorbeeld een botnet) of (3) gericht is tegen tegen vitale infrastructuren (bijvoorbeeld tegen diensten van algemene nutte zoals in Nederland in art. 161sexies Sr is strafbaar gesteld). Voor enkelvoudige hacking geldt nu bijvoorbeeld een maximale gevangenisstraf van een jaar en voor gekwalificeerde hacking, waarbij bijvoorbeeld ook gegevens uit een computer worden gekopieerd en doorgestuurd (138ab lid 2 Sr) of indien via de gehackte computer andere computers worden gehackt (138ab lid 3 sub b Sr), een gevangenisstraf van maximaal vier jaar. Die gaan dus respectievelijk naar minstents maximaal 2 jaar en vijf jaar gevangenisstraf. Rechters mogen in Nederland overigens nog steeds gewoon zelf de straf bepalen, dus het kan zijn dat de strafverhogingen in de praktijk maar weinig uitmaken. Met het verzamelen van statistische informatie over de misdrijven hoopt de Europese Commissie verder meer inzicht te krijgen op cybercrime.

Geen harmonisatie of approximatie van strafprocesrecht in relatie tot cybercrime

Cynisch bekeken draagt de richtlijn maar voor een klein deel bij aan de bestrijding van botnets door de repressieve maatregel van strafverhogingen. Technische maatregelen dragen wellicht meer bij aan de bestrijding van botnets. Dat neemt niet weg dat harmonisatie van de strafbepalingen rechtshulp kan verbeteren, zeker in combinatie met een verplicht contactpunt voor rechtshulp die 24 uur per dag, 7 dagen per week open moet zijn en de verplichting binnen 8 uur te reageren. Aangezien nog niet alle EU lidstaten het Cybercrimevedrag hebben geratificeerd, wordt dit in ieder geval met de richtlijn bereikt. Denemarken heeft overigens om de een of andere reden besloten de richtlijn niet te implementeren, maar heeft in 2005 wel het Cybercrimeverdrag geratificeerd.

Toch worden de regels op het gebied van strafprocesrecht uit het Cybercrimeverdrag (sectie 2) in zijn geheel niet overgenomen in de richtlijn. Daarbij kan gedacht worden aan het bevriezingsbevel voor gegevens, vorderen van gegevens, doorzoekingen op gegevensdragers, bepalingen m.b.t. tot de interceptie van verkeersgegevens en elektronische inhoudelijke communicatie, en het grensoverschrijdend vergaren van open source gegevens. Wel is het zo dat een deel van deze handhavingsinstrumenten in EU verband al is geharmoniseerd of wordt geharmoniseerd. De Commissie was in ieder geval niet bereid deze bepalingen integraal over te nemen (oftewel het cybercrimeverdrag verplicht ter implementatie voor te schrijven aan de EU lidstaten) of zelfs verder te gaan door bijvoorbeeld regelingen te treffen met betrekking tot de meer ‘hot topics’ zoals grensoverschrijdende online doorzoekingen of de plaatsing van spyware door opsporingsautoriteiten. Nu is bijvoorbeeld nog voor de bewijsvergaring door opsporingsinstanties op het grondgebied tussen EU lidstaten onderling nog steeds rechtshulp of toestemming van een staat vereist, waarvoor je voor een simpele vordering van gebruikersgegevens bij een ISP of hosting provider per lidstaat (er zijn nu 28 lidstaten binnen de EU) aan verschillende processen moet voldoen. Op het eerste gezicht vind ik de richtlijn vooral vol van opzwepende beleidstaal en weinig daadwerkelijke effectieve maatregelen bieden voor de opsporing en bestrijding van cybercrime vanuit strafrechtelijk perspectief.  Misschien is dat ook de reden waarom zo weinig aandacht wordt besteed aan de nieuwe richtlijn. 

Conclusie

De conclusie laat zich misschien wel raden: ja natuurlijk moet Nederland rekening houden met de nieuwe richtlijn; richtlijnen moeten immers altijd geïmplementeerd worden in de nationale wetgeving van lidstaten (in dit geval binnen 2 jaar na publicatie die zeer binnenkort te verwachten is). De richtlijn heeft voor Nederland een aantal aanpassingen binnen het Wetboek van Strafrecht tot gevolg, waarbij het vooral om strafverhogingen voor de echte cybercrimes gaat. Daarnaast moet wellicht een bestuurlijke/organisatorische aanpassingen worden gedaan m.b.t. het 24/7 contactpunt voor cybercrime en worden in het vervolg statistische gegevens over de misdrijven naar EU organisaties doorgestuurd. Het lijkt mij dat dit meteen in de nieuwe Wet Computercriminaliteit III kan worden meegenomen, in plaats van kort na die wet weer een nieuwe wijzigingswet in te voeren. Aan de andere kant maakt het niet zoveel uit, omdat er geen schokkende dingen worden voorgesteld door de Europese Commissie. De meerwaarde van de richtlijn zit vooral in de harmonisatie/approximatie van de strafbepalingen met betrekking tot high tech (cyber)crime binnen de EU. Helaas blijven de nationale strafprocessuele regels – die volgens mij juist zo’n obstakel vormen bij grensoverschrijdende criminaliteit – net zo gefragmenteerd als voorheen.

==

Update:

In de nieuwste versie van de richtlijn met aanpassingen van het Europese Parlement is artikel 10 gewijzigd. Dit heb ik dan ook in het bovenstaande bericht gewijzigd. De strafverzwaring staat nu in artikel 9 en minder expliciet wordt het gebruik van botnets en identiteitsfraude strafbaar gesteld. In plaats daarvan wordt gesproken van computermisdrijven m.b.t. hacken, malware en dos-aanvallen die ‘ernstige schade veroorzaken’ (vaak door een botnet of verspreiding van malware) en waarbij deze misdrijven gericht zijn op vitale infrastructuren (dat in NL wellicht onder art. 161sexies Sr valt?). Pas bij publicatie is de definitieve tekst duidelijk.

De meldplicht ICT-inbreuken en de rol van het NCSC

Een conceptwetsvoorstel voor de meldplicht ICT-inbreuken voor vitale sectoren is op 22 juli 2013 gepubliceerd op internetconsultatie.nl en wordt tot 17 september 2013 in consultatie gegeven. De meldplicht is uitgewerkt naar aanleiding van de motie Hennis-Plasschaert (Kamerstukken II 2011/12, 26 643, nr. 202) naar aanleiding van de DigiNotar-affaire. Toch valt een inbreuk bij certificaathouders zoals bij het nu wijlen DigiNotar niet onder de meldplicht (maar wel een andere meldplicht, daarover later meer). De niet-afdwingbare meldplicht noopt tot nadenken over de rol en verantwoordelijkheden van het NCSC in ernstige cybersecurity incidenten. Dit is dan ook voor de wetgever het moment daar eventueel verduidelijking of verbeteringen op aan te brengen. De consultatie biedt ook de gelegenheid voor derden om daar op te reageren.

Voor wie geldt de meldplicht?

De meldplicht ICT-inbreuken is bedoeld voor bedrijven en instellingen in de vitale sectoren, d.w.z.:

1. elektriciteit

2. gas

3. drinkwater

4. telecom

5. keren en beheren oppervlaktewater

6. financiën

7. overheid

8. transport (mainports Rotterdam en Schiphol, d.w.z. Havenbedrijf Rotterdam,

NV Luchthaven Schiphol en Luchtverkeersleiding Nederland)

Vervolgens geldt de meldplicht alleen voor aangewezen diensten en producten, die worden uitgewerkt in algemene maatregel van bestuur. Gerealiseerd moet worden dat tal van meldplichten al gelden voor (vooral) bedrijven in deze sector. Die melding moet worden gedaan aan de sectorale toezichthouder. De melding komt dus bovenop andere meldplichten, maar hier staat het bieden van hulp en beperken van de schade centraal en is daarmee van een andere aard dan andere meldplichten.

DigiNotar

Organisaties als het failliete DigiNotar vallen dus niet onder de meldplicht, maar een meldplicht voor gekwalificeerde certificaten wordt geïntroduceerd door middel van een aanpassing van het Besluit elektronische handtekeningen. Die meldplicht loopt vooruit op een concept van een Europese verordening betreffende elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de interne markt (voorstel van 4 juni 2012, COM(2012) 238 final).

Wanneer geldt de meldplicht?

De meldplicht geldt bij: “een inbreuk op de veiligheid of een verlies van integriteit van een informatiesysteem waardoor de beschikbaarheid of betrouwbaarheid van een product of dienst in belangrijke mate wordt onderbroken” (zie art. 3 lid 1 van het wetsvoorstel). Daarmee worden ook inbreuken verstaan die op het punt staan te gebeuren. Helaas worden in het voorstel geen duidelijke voorbeelden gegeven wanneer aan dit criterium wordt voldaan. Wel wordt expliciet aangegeven dat de meldplicht niet is bedoeld voor DDoS-aanvallen.

Geen DDoS-aanvallen?

In toelichting wordt uiteengezet dat de meldplicht ziet op ‘een inbreuk op de veiligheid of een verlies van integriteit van informatiesystemen’ en daarbij is bij DDoS-aanvallen volgens de toelichting geen sprake: “Bij een DDoS-aanval wordt de bereikbaarheid van een online-dienst aangetast zonder aantasting van de systemen die in dat verband worden gebruikt”. Bovendien zou de ‘maatschappelijk ontwrichtende werking’ beperkt blijven, omdat het vaak gaat om een tijdelijke beperking van de bereikbaarheid van een informatiesysteem bij een DDoS-aanval.

Toch ben ik niet helemaal overtuigd van de noodzaak DDoS-aanvallen uit te sluiten. Was er bij de DDoS-aanvallen op banken eerder dit jaar dan geen sprake van een maatschappij ontwrichtende werking? Daar kan je over twisten. Waarom wordt deze beperking wel opgelegd en verder geen duidelijke voorbeelden gegeven wanneer wel sprake is van een incident dat aan het NCSC moet worden gemeld? Gelukkig wordt even later in de toelichting wel opgemerkt dat een melding wel gewoon op basis van vrijwilligheid kan worden gedaan.

Doel

“De melding stelt het NCSC in staat om hulp te verlenen aan de getroffen aanbieder en om andere vitale aanbieders te waarschuwen, met als uiteindelijke doel om het risico van maatschappelijke ontwrichting in te schatten en die ontwrichting te voorkomen of in elk geval zoveel mogelijk te beperken.” De hulp bestaat in het bieden van ‘handelingsperspectief’ door het geven van advies en informatie en het coördineren van de inzet van andere (overheids)organisaties, of daar waar noodzakelijk het bieden van technische ondersteuning om de gevolgen van een inbreuk te beperken.

CERT-functie?

In de toelichting wordt nadrukkelijk gezegd dat het NCSC van oudsher een CERT-functie heeft met experts die snel en adequaat kunnen reageren op crisissituaties. Het is alleen wel zo dat die hulp in het voorstel facultatief wordt geformuleerd en nadrukkelijk ook op de eigen verantwoordelijkheid van organisaties verwezen. Elders in de toelichting staat bijvoorbeeld dat ‘in de rol als CERT het NCSC verantwoordelijk is voor de (tweedelijns)ondersteuning van getroffen organisaties binnen de (rijks)overheid en de vitale sectoren’ (cursief door mij). Het NCSC bepaalt dus zelf wanneer en in hoeverre de ICT-experts worden ingezet. De betrokken organisaties in de vitale sector moeten zich dus realiseren dat als ze een melding doen, niet direct een team IT specialisten moeten verwachten die het probleem voor ze oplossen. Je kan je afvragen of technische bijstand op lokaal niveau wellicht wel standaard wenselijk is bij incidenten in de vitale sectoren die maatschappelijk ontwrichtend zijn.

Geen sanctie

Aangezien er geen sanctie geldt voor het niet-naleven van de meldplicht en daar door het NCSC geen controle op wordt uitgevoerd hoop ik niet dat dit tot gevolg heeft dat de melding al te vrijblijvend wordt. Het is gewoon apart dat er een meldplicht wordt ingeroepen die niet gecontroleerd wordt en waar geen sanctie voor geldt. Het concept is wel mooi, want het Nationaal Cyber Security Centrum wil hulp verlenen (maar niet altijd concreet) en geen toezicht houden (maar wel een beeld krijgen van de dreigingen en gevoelige informatie van bedrijven en organisaties daarover ontvangen). Een sanctiebevoegdheid (en daarbij dan ook een bevoegdheid om inlichtingen te vergaren om de naleving daar op toe te zien) past niet goed bij een hulpverlenende instantie, zoals met het NCSC wordt beoogd volgens Opstelten. Overigens komt vanuit Europa dan wellicht alsnog de verplichting via een Europese Richtlijn om de bevoegdheden te geven aan het NCSC. Over die conceptrichtlijn heb ik eerder deze blog post geschreven.

Verstrekking van vertrouwelijke informatie aan het NCSC

De verstrekte informatie aan het NCSC kan alleen worden gebruikt ter voorkoming of beperking van schadelijk maatschappelijke gevolgen in of buiten Nederland. Dit is natuurlijk nogal breed en het blijft wat vaag wat hiermee wordt bedoeld. In ieder geval is duidelijk dat de informatie over een incident of een te verwachten incident kan worden doorgegeven aan andere bedrijven in de sector om deze te helpen de dreiging te beperken. Ook kan de informatie worden gebruikt om het publiek voor te lichten, tenzij de staatsveiligheid in het geding is, aldus de toelichting. In art. 6 lid 2 zelf, staat het dat bij ‘een maatschappelijk belang’ aan het publiek geen gegevens kunnen worden verstrekt. Dat lijken mij twee verschillende grootheden. Niet altijd hoeft de verstrekte informatie aan het publiek herleidbaar overigens te zijn tot de aanbieder of een specifiek product of dienst, aldus de toelichting.

De informatie mag niet voor andere doeleinden worden gebruikt. Wel staat in de toelichting dat met de uitzondering “onverminderd andere wetten” in art. 6 lid 3 wordt gedoeld op de vorderingsbevoegdheden van handhavingsinstanties. Bij het NCSC zitten ‘liason officers’ van de politie, justitie en inlichtingen- en veiligheidsdiensten die bevoegdheden hebben om gegevens te vorderen ten behoeve van hun taakstelling. Er staat niet met zoveel woorden dat altijd een vordering moet worden gebruikt om de informatie die is verstrekt aan het NCSC in te zien of dat het meer om aanvullende informatie gaat. Wel staat er dat het NCSC ‘geen informatie aan anderen versterkt die uit hoofde van een melding zijn ontvangen, maar zal desgevraagd wel informeren over de melding’. Het is onduidelijk wat aan ‘anderen’ wordt bedoeld, maar ik denk dat dit externe derden zijn. Ik denk dat organisaties er maar vanuit moeten gaan alle permanente organisaties aangesloten bij het NCSC toegang krijgen tot de verstrekte informatie en naar aanleiding daarvan kunnen acteren. De bedoeling is wel dat dit juist op een gecoördineerde wijze gebeurt. De informatie kan ook worden verstrekt aan buitenlandse CERT’s en er kunnen nog aanvullende maatregelen per algemene maatregel van bestuur worden opgelegd.

Conclusie

Opstelten heeft er expliciet gekozen om een meldplicht in te voeren die niet afdwingbaar is. Het is daarbij te hopen dat alle betrokken organisaties toch de toegevoegde waarde van het NCSC zien en een melding doen bij ernstige cybersecurity incidenten. Bij de melding levert het NCSC hulp en advies en biedt het ‘handelingsperspectief’ bij een crisissituatie. Organisaties kunnen er niet op rekenen dat het NCSC ook technische expertise ter plaatse biedt. Het is aan het NCSC om te bepalen of de technische bijstand nodig is.

Wat mij betreft moet worden nagegaan of de huidige rol van het NCSC in ernstige cybersecurity incidenten toereikend en wenselijk is. De meldplicht dwingt ons na te denken over haar verantwoordelijkheden en rol bij incidenten. Wordt het nu wel of niet een toezichtsorgaan? Hoe groot wordt de CERT-functie, waarbij concrete gevraagde en ongevraagde hulp met technische experts bij incidenten gegeven? En de adviesfunctie, waarbij meer abstract op afstand advies wordt gegeven en er een coördinatiefunctie is bij incidenten, hoe groot en wenselijk is die rol? Wat voor een budget moet daarvoor vrij worden gemaakt? En ten slotte: in hoeverre moet het NCSC een informatieknooppunt voor dreigingen vormen en hoe is dan de gegevensbescherming geregeld?

De internetconsultatie biedt nu de mogelijkheid daar je visie over te geven!

Van een “Take down”-bevel naar internetfilters voor politiedoeleinden?

De nieuwe Wet Computercriminaliteit III (concept) is een wetsvoorstel om computercriminaliteit te bestrijden. Het conceptwetsvoorstel is vooral controversieel vanwege de voorgestelde hack-bevoegdheden voor politie en justitie. Echter, de voorgestelde ‘Notice and Take Down’ (NTD)-bevoegdheid is een ander aspect dat onze aandacht verdient.

Notice and Take Down

Notice and Take Down is een concept waarbij bedrijven of personen worden verzocht om illegale web content te verwijderen op verzoek van een derde. In Nederland heeft zelfregulering geleid tot een gedragscode (.pdf) met betrekking tot ‘Notice and Take Down’ voor aanbieders van openbare telecommuncatiediensten en –netwerken. Personen, bedrijven en opsporingsambtenaren kunnen een bedrijf vragen om online content te verwijderen wanneer de inhoud op een bepaalde website onmiskenbaar illegaal of onrechtmatig is. Kinderporno is het standaard voorbeeld van web content dat op verzoek van een derde door een beheerder van een website verwijderd zou moeten worden.

Uitvoeringsproblemen

Het op verzoek offline halen van web content op basis van de gedragscode (of algemene voorwaarden van een bedrijf) is op dit moment geen verplichting voor internetproviders. Onze minister van Veiligheid en Justitie wil dit veranderen door het mogelijk te maken ‘Notice and Take Down’ als handhavingsinstrument in te zetten (zie het nieuwe voorgestelde artikel 125p van het Wetboek van Strafvordering (Sv)). De meerwaarde van het instrument is volgens p. 44 van de Memorie van Toelichting vooral dat het voorgestelde bevel óók kan worden gericht aan hosting providers en beheerders van een website.

Het NTD-bevel

Op basis van het voorgestelde artikel 126p Sv zou een officier van justitie – met de toestemming van een rechter-commissaris – een bevel kunnen geven aan een ‘elektronische communicatie provider’ (ECP) om ‘alle redelijke maatregelen te nemen’ om gegevens ontoegankelijk te maken teneinde een misdrijf te beëindigen of nieuwe strafbare feiten te voorkomen. De maatregel is bedoeld voor alle misdrijven in het Wetboek van Strafrecht. Zoals aangeven wordt ook beoogd dat de officier van justitie het bevel aan websitebeheerders kan afgeven, maar dat blijkt niet uit de tekst van artikel 125p Sv.

Politie en justitie hadden in theorie deze bevoegdheid al voor telecommunicatieproviders op grond van artikel 54a van het Wetboek van Strafrecht (Sr). Aan artikel 54a Sr kleefden echter zoveel juridische bezwaren dat een “Take down”-bevel van illegale web content op basis dit artikel in de praktijk niet altijd door de rechtbanken werd geaccepteerd. Het voorgestelde artikel 125p Sv kan daarom als reparatie van artikel 54a Sr worden gezien. Artikel 54a Sr blijft overigens bestaan en wordt iets aangepast om de vervolgingsuitsluitingsgrond in dit artikel te verhelderen.

Als het bedrijf of de betrokken persoon niet meewerkt, kan deze worden vervolgd voor het niet nakomen van een ambtelijk gegeven bevel. Opmerkelijk is dat de tekst van de voorgestelde maatregel in artikel 126p Sv impliceert dat de tussenpersoon een ‘verdachte’ is die het recht hebben op een advocaat tijdens een hoorzitting over de maatregel. Belanghebbenden kunnen een klaagschrift bij de rechtbank indienen als ze het niet eens zijn met de opgelegde sanctie. De Take down-bevoegdheid is bedoeld als een tijdelijke maatregel die opnieuw wordt beoordeeld door een zittingsrechter aan het eind van een strafproces. De Minister wil niet een uitspraak van de zittingsrechter afwachten voordat de maatregel kan worden opgelegd, want het zou onwenselijk zijn als het enkele maanden langer zou duren voordat de gegevens ontoegankelijk worden gemaakt. Persoonlijk hoop ik dat een Notice and Take down-bevel inderdaad altijd gepaard gaat met een strafproces en niet op zichzelf wordt gebruikt als instrument om gegevens ontoegankelijk te maken die politie en justitie illegaal vinden.

Het bevel is alleen bedoelt in gevallen waarbij een NTD-verzoek niet vrijwillig wordt uitgevoerd, bijvoorbeeld in het geval van haatzaaien of laster waarbij de tussenpersoon en de officier van justitie het niet eens zijn over de vraag of de inhoud illegaal is. Naar mijn mening is de voorgestelde NTD-sanctie een vergaande en – in sommige gevallen – bruut instrument, dat slechts gedeeltelijk doeltreffend kan zijn. Soms worden namelijk veel websites gehost op één webserver. Het uitschakelen van een webserver kan dan leiden dat het ontoegankelijk maken van veel meer (legale) websites. Belangrijker vind ik nog dat een Take Down-bevel ook aan access providers kan worden opgelegd en daarmee mogelijk leidt tot door de overheid opgelegde internetfilters.

Van Notice and Take Down tot Internet filters

Op p. 84 van de Memorie van Toelichting op het conceptwetsvoorstel wordt gezegd dat “in geval het materiaal in het buitenland wordt gehost en ontoegankelijkheidsmaking noodzakelijk is, het bevel tot access providers kan worden gericht”. Die ontoegankelijkheidsmaking kan vervolgens worden uitgevoerd door IP-adressen te blokkeren (zie p. 85). De blokkering “dient voort te duren zolang de gegevens worden aangeboden”, aldus de Memorie van Toelichting. Daarbij moet de officier van justitie overigens bij het afgeven van het bevel wel rekening houden met de technische mogelijkheden en de kosten om onderdelen van pagina’s of websites ontoegankelijk te maken.

Ik leid hier uit af dat de voorgestelde NTD-bevoegdheid er onder omstandigheden toe kan leiden dat specifieke websites op last van de officier van justitie gefilterd moeten worden. Zoals we allemaal weten zijn dergelijke filters eenvoudig te omzeilen door middel van proxy- en VPN-servers, maar daar wordt in de Memorie van Toelichting niet over gesproken. Ondertussen zijn Nederlandse hosting bedrijven en ISP’s bezorgd over de kosten van de voorgestelde maatregel en hun concurrentiepositie in de industrie.

Conclusie

De voorgestelde Notice and Take Down-bevoegdheid is bedoeld voor strafzaken waarin een persoon of bedrijf gegevens offline kan halen, maar niet bereid is dit vrijwillig te doen. Met de voorgestelde bevoegdheid kan een officier van justitie (na machtiging van een rechter commissaris) aanbieders van elektronische communicatiediensten dwingen gegevens ontoegankelijk te maken onder dreiging van strafvervolging.

De voorgestelde regeling is meer vergaand dan het oude (en slecht afdwingbare) artikel 54 van het Wetboek van Strafrecht en kan resulteren in een filter-verplichting voor specifieke websites. Onze parlementsleden moeten grondig nadenken en debatteren over de voorgestelde blokkerings- en filteringsmaatregelen alvorens ze het goedkeuren als instrument voor handhavingsinstanties.

Filtering the Internet for law enforcement purposes?

The Dutch (concept) bill to fight computer crime is controversial due to the proposed new hacking capabilities for law enforcement authorities. However, the proposed “Notice and Take Down” (NTD)-order is another aspect of the bill that deserves our attention.

Notice and Take Down

Notice and Take Down is a concept in which companies or persons are requested to make illegal online content unavailable. In the Netherlands, self-regulation led to a code of conduct (.pdf) regarding “Notice and Take Down” for public telecommunication providers. Persons, companies and law enforcement officials can request a company to make online content unavailable when content on a particular website is clearly illegal in nature. For example, if child pornography is made available on a website, an administrator of a website can be requested to remove it as soon as possible.

Enforceability problems

Notice and Take Down is not an obligation for Internet providers. The Dutch Minister of Safety and Justice wants to change this by providing law enforcement authorities with the instrument of a “Notice and Take Down-order” (see the newly proposed art. 125p of the Dutch Code of Criminal Procedure). With the consent of a magistrate judge, a public prosecutor could order any “electronic communication provider” (ECP) or person who has the particular computer (usually a server) at his disposal to “take all reasonable measures” to make the illegal content unavailable in order to end a crime or prevent new crimes from occurring (the order is meant for all crimes in Dutch law).

When the company or person involved does not comply, they could be sanctioned with a fine or even prosecuted for non-compliance. Curiously, the language of the proposed measure in art. 126p implies that  intermediaries are “suspects” who have a right to an attorney during a hearing about the measure. The intermediaries involved can go to court and protest to a judge if they disagree with the order. The order is meant as a temporary measure which is judged on again at the end of a criminal trial. Personally, I hope the NTD-order is indeed always accompanied with a criminal trial and not simply used as an instrument to get rid of information law enforcement authorities believe to be illegal.

The order is only meant to be used when a NTD-request is not executed voluntarily, for example in hate speech or slander cases in which the intermediary and public prosecutor disagree about whether the content is illegal. In my view, the proposed NTD-order is a far-reaching and – in some cases – blunt instrument, which may prove only partially effective. Sometimes, many websites are hosted on 1 web server. Taking down a web server may therefore result making many more (legal) websites inaccessible.

From Notice and Take Down to Internet filters

Just like what happened to the website of The Pirate Bay in the Netherlands, it seems that Internet service providers (ISPs) can also be ordered to filter out a specific website under the proposed NTD- order. Although the explanatory report of the bill does not explicitly state it, a similar concept bill with an NTD-order in 2010 (see p. 23-24 (in Dutch)), did state that: “blocking or filtering” of an IP address are among the “reasonable measures” that ECPs should take to end crimes or prevent new crimes from occurring. In that case, ISPs – which are considered a ECPs – may be obliged to filter out an entire IP address belonging to a web server and take down the websites with it. Such filters are easy to circumvent by use of proxy and VPN servers. The Pirate Bay for example is still available. Thus, in my opinion, more clarity about the “reasonable measures” that intermediaries are supposed to take is desirable. In the meantime Dutch web hosting companies and ISPs worry about the costs of the proposed NTD-order and their competitive positions in the industry.

Conclusion

The proposed Notice and Take Down-order is meant for criminal cases in which a person or company can take down an illegal website, but fails to do so voluntarily. However, the measure contradicts the right to obtain information as part of the right to free speech. The measure may even result in a filter obligation of specific websites for ISPs. Our Parliamentary Members should think and debate thoroughly about the blocking and filtering measures before making them permissable as an instrument for law enforcement authorities.

This is a cross post from LeidenLawBlog.nl