Minister van Veiligheid en Justitie: waarborg privacy in Veiligheidshuizen!

In februari 2011
is de opinie van Mariëlle Bruning en mij gepubliceerd in het (juridische) tijdschrift
Privacy & Informatie. In onze opinie roepen we de Minister van Veiligheid
en Justitie op de teugels aan te trekken om de verwerking van persoonsgegevens van
betrokkenen in Veiligheidshuizen beter te waarborgen.

Wij hebben
namelijk het vermoeden dat binnen Veiligheidshuizen te gemakkelijk gegevens
voor brede doelen tussen private en publieke instellingen worden uitgewisseld.
Dit bedreigd de privacy van de mensen die in casusoverleggen worden besproken.
Meer coördinatie van het Ministerie van Veiligheid en Justitie is daarom
vereist. Onze opinie is hier te vinden.  

Het onderwerp is
actueel geworden nu het College Bescherming Persoonsgegevens gisteren (30 maart
2011) een persbericht heeft geplaatst waarin zij haar bevindingen bekend maakt na onderzoek bij de
Veiligheidshuizen Bergen op Zoom en Fryslân. Het CBP constateert dat de
waarborgen voor een zorgvuldige omgang met gegevens van minderjarigen binnen
het zogeheten Justitieel Casusoverleg (JCO) in Veiligheidshuizen onvoldoende
zijn.

Waar dienen Veiligheidshuizen eigenlijk voor?

Een paar geleden
werd duidelijk dat in de praktijk veel organisaties (zoals het Openbaar
Ministerie, de politie, Bureau Jeugdzorg, de Raad voor de Kinderbescherming,
alsmede private organisaties zoals het Leger des Heils) regelmatig met dezelfde
persoon of gezin te maken hebben zonder dit van elkaar te weten. Door langs
elkaar heen te werken werd niet de juiste zorg verleend of maatregelen genomen
die waren gewenst.

De bedoeling is
dat binnen een Veiligheidshuis de betrokken organisaties samen komen voor
overleg, teneinde een betrokkene bijvoorbeeld de juiste zorg te verlenen of op
een effectieve manier op strafbare feiten te reageren. De overheid en mensen
die binnen Veiligheidshuizen werken zijn enthousiast over het concept en in een
paar jaar tijd is een landelijk dekkend stelstel van Veiligheidshuizen in
Nederland ontstaan.

Zorgen om privacy

Teneinde de
juiste maatregelen te nemen worden persoonsgegevens over de betrokkenen door
verschillende organisaties uitgewisseld. Naar onze mening is onvoldoende
duidelijk welke partijen aan casusoverleggen deelnemen en welke gegevens
hierbij precies worden uitgewisseld. Het uitwisselen van persoonsgegevens is
echter wel aan regelgeving gebonden. De overheid vertrouwt voor de naleving van
de privacyregelgeving op de professionals in het werkveld. In onze opinie
betogen wij dat hier niet volledig op kan worden vertrouwd en zorgvuldiger moet
worden omgegaan met persoonsgegevens binnen Veiligheidshuizen.

Wij stellen voor
dat het Ministerie van Veiligheid en Justitie de verantwoordelijkheid op zich
neemt en controleert welke casusoverleggen bij welke Veiligheidshuizen
plaatsvinden. Privacyregelgeving moet goed worden nageleefd door de betrokken
organisaties en bij onduidelijkheid moeten juristen worden geraadpleegd. Ook
zou de Helpdesk Privacy van het Ministerie van Veiligheid en Justitie bij
twijfel geraadpleegd moeten kunnen worden.

Kortom, wij staan
achter het concept van casusoverleggen, maar vinden wel dat privacy
van mensen voldoende
moet worden gewaarborgd. Het onderzoeksresultaat van het
CBP is voor ons een bevestiging dat privacyregelgeving binnen Veiligheidshuizen
beter moeten worden nageleefd.

Meer achtergrondinformatie over Veiligheidshuizen is te vinden in deze studie van de Wetenschappelijke Raad voor het Regeringsbeleid (WRR).

Is het opeens legitiem een beveiligd wifi-netwerk te kraken? (II)

De rechtbank Den Haag heeft in een zaak (Rb. ’s-Gravenhage 2 april 2010, LJN: BM1481) geoordeeld dat bij het kraken van het wifi-netwerk geen sprake is van het delict computervredebreuk (hacken), zoals vastgelegd in artikel 138ab van het Wetboek van Strafrecht. Dit is naar mijn mening een verkeerd oordeel van de rechter. Dit bericht is ook verschenen op Sargasso.nl.

In de zaak ging het om een scholier van het Maerlant College in Den Haag die via het forum van de website 4chan.org zijn medescholieren met de dood had bedreigd met de volgende tekst:

“Tomorrow I’ll go and kill some peeps from my old school, the Maerlant college in The Hague. I have made arrangements already in the school, so I will be able to make a good getaway. I parked two vehicles next to both of the exits and have been studying the building plans. It will be all over the news soon :)”

Hij plaatste dit bericht online via het WiFi-netwerk van zijn buurvrouw. De verdachte heeft verklaard dat hij de inloggegevens van zijn buurvrouw heeft gekregen omdat zijn internetverbinding wel eens slecht was. De politie heeft bij KPN het IP-adres gevorderd vanwaar het bericht was verstuurd. Hier kwam het IP-adres van de buurvrouw naar boven. De router van de buurvrouw werd inbeslag genomen en hier werden vijf MAC-adressen op gevonden. Twee van de MAC-adressen waren van de laptop en PC van de onschuldige buurvrouw van de verdachte en de drie andere konden niet geïdentificeerd worden.

Uit ‘nader onderzoek’ is vervolgens gebleken dat de verdachte in het bereik van de router woonde. In de woning van de verdachte werd een brief gevonden met daarop de naam van de router en het wachtwoord. De verdacht verklaarde dat hij de gegevens van zijn buurvrouw had gekregen, omdat zijn eigen netwerk wel eens slecht was. Verder stelde de politie vast dat het MAC-adres van de iBook van de verdachte (een wat ouder type Macbook) correspondeerde met het MAC-adres dat in de router was gevonden. Op de computer bleek tevens een tijdelijk bestand te staan met de inhoud van het geplaatste bericht. Duidelijk werd dus dat de verdachte via het netwerk van zijn buurvrouw het bericht op 4Chan heeft geplaatst.

Het OM legde de jongeman daarop bedreiging en computervredebreuk ten laste. De rechtbank oordeelde dat er geen sprake was van bedreiging, omdat er bij de leerlingen en leraren geen ‘redelijke vrees’ kon zijn dat zij het leven zouden kunnen verliezen. Dit gelet op onder andere de aard van de website en de daarop geplaatste waarschuwing, aldus de rechtbank.

Interessanter is nog dat de rechtbank vond dat geen sprake kon zijn van het delict computervredebreuk (hacken). Bij het delict computervredebreuk moet een geautomatiseerd werk opzettelijk en wederrechtelijk worden binnengedrongen. Het begrip ‘geautomatiseerd werk’ is gedefinieerd in artikel 80sexies van het Wetboek van Strafrecht en luidt als volgt: “onder geautomatiseerd werk wordt verstaan een inrichting die bestemd is om langs elektronische weg gegevens op te slaan, te verwerken en over te dragen.” Een PC of laptop valt onder dit begrip, maar naar mijn mening ook bijvoorbeeld een smartphone. In literatuur wordt ook wel gezegd dat het moet gaan iets geavanceerder apparaat dan een elektronische radiowekker. Technisch gezien valt een router ook onder de definitie van een geautomatiseerd werk. Immers, signalen worden langs elektronische weg verwerkt en overgedragen. In het geautomatiseerde werk wordt ook bepaalde data opgeslagen. Wat mij betreft wordt dus aan de drie voorwaarden van opslaan, verwerken en overdragen voldaan. In de zaak wordt zelfs expliciet aangegeven dat MAC-adressen in de router zijn aangetroffen. Bovendien kunnen er allerlei instellingen in een router worden veranderd.

Desondanks is de rechtbank van mening dat geen sprake is van computervredebreuk, omdat geen belang wordt geschaad zoals beoogd is bij het delict hacken. Het beschermde belang zit hem volgens de rechter in het afschermen van nieuwsgierige blikken en hier wordt ‘slechts’ meegelift op het netwerk van een ander. De rechtbank komt daardoor niet meer toe aan de vraag of een router een geautomatiseerd werk is. De uitleg van de rechtbank stamt af van de Memorie van Toelichting van de Wet computercriminaliteit I uit 1990 (toen er nog geen routers waren).

De uitspraak is op 9 maart 2011 door het Hof Den Haag (Hof ’s-Gravenhage, 9 maart 2011, LJN: BP7080) bevestigd. Het hof gaat wel in op het begrip geautomatiseerd werk en stelt valt dat een router hier niet onder valt. Het hof geeft aan: “Een inrichting die enkel bestemd is om gegevens over te dragen en/of op te slaan valt dus buiten de wettelijke begripsomschrijving.” Indien de verdachte wel toegang had verschaft tot beveiligde gegevens in de computer van de buurvrouw dan zou er wel sprake zijn van hacken.

Naar mijn mening hebben de rechtbank en het Hof in deze zaak een verkeerde uitspraak gedaan. Zoals ik hierboven al heb aangegeven valt een router naar mijn mening wel degelijk onder het begrip geautomatiseerd werk. Ik krijg de indruk dat de rechtbank echt bewijs wil zien dat ‘verdachte X op dat en dat tijdstip de beveiligde map met de naam Y met twee muisklikken heeft geopend’. Het hacken van routers en verder bekijken van gedeelde mappen op een computer liggen heel dicht bij elkaar. Vaak is alleen het wifi-signaal beveiligd en de mappen daarachter niet. Volgens het Hof moeten de gegevens in de computer ook nog eens beveiligd zijn, terwijl in 2006 (door de implementatie van de Wet computercriminaliteit II) de beveiligingseis juist is losgelaten. Het moet alleen duidelijk zijn dat de gegevens niet openbaar zijn.

De zaak illustreert zelf een ander onwenselijk effect. Als er gebruik wordt gemaakt van je wifi-signaal en er wordt een delict gepleegd dan komt men uit bij de houder van het IP-adres waarvandaan het delict is gepleegd; in de onderhavige zaak de buurvrouw van de verdachte. Je moet er niet aan denken dat spam of kinderpornografie via jouw netwerk wordt verstuurd. Terecht is door een advocaat opgemerkt dat eventueel sprake is van een onrechtmatige daad als je beveiligde netwerk gekraakt wordt en van je bandbreedte gebruik wordt gemaakt. Maar dat is voor de gemiddelde computergebruiker lastig te bewijzen en het is sowieso lastig de geleden schade concreet te maken. Diefstal is overigens niet van toepassing omdat bandbreedte in het strafrecht niet als goed wordt gezien.

Zoals zo vaak met rechten kunnen begrippen anders geïnterpreteerd worden en zowel een rechtbank als een gerechtshof hebben geoordeeld dat een router geen geautomatiseerd werk is. Het OM staat nu alleen nog cassatie open, waardoor de zaak misschien bij de Hoge Raad terecht komt. Als de wetgever van mening is dat het hacken van een router wel strafbaar zou moeten zijn kan zij dit eventueel bij wetswijziging strafbaar kunnen stellen.

–UPDATE–

De Hoge Raad heeft op 26 maart 2013 arrest gewezen in een zaak waarbij de verdachte de router (met WiFi-signaal) van zijn buurvrouw had gehackt om van de internetverbinding gebruik te maken (HR 26 maart 2013, LJN BY9718).

De Hoge Raad haalt een konijn uit de hoge hoed en citeert een passage uit de wetsgeschiedenis van de Wet computercriminaliteit II (Kamerstukken II 2004/05, 26 671, nr. 10, p. 31), waarin staat op zichzelf staande computers, maar ook “netwerken van computers en geautomatiseerde inrichtingen voor telecommunicatie”, als een geautomatiseerd werk kan worden aangemerkt. De Hoge Raad merkt daarom in rechtsoverweging 2.5 en 2.6 op dat niet kan worden uitgesloten dat de verdachte zich opzettelijk en wederrechtelijk toegang heeft verschaft tot een geautomatiseerd werk, in casu de router. De Hoge Raad vernietigd de uitspraak van het hof en verwijst de zaak terug naar het Hof ‘s-Gravenhage die opnieuw een uitspraak moet doen.

De Hoge Raad heeft de rechtsvraag dus beantwoord door toch nog ergens in de wetsgeschiedenis een argument te vinden dat het hacken van routers computervredebreuk opleverd. Ik blijf het wel een beetje gek vinden dat een router niet gewoon expliciet op zichzelf beschouwd als een geautomatiseerd werk wordt aangemerkt, maar als een onderdeel van een netwerk of ‘inrichting voor telecommuncatie’ en daarom als geautomatiseerd werk in de zin van artikel 80sexies Sr moet worden gezien. Dus alhoewel ik het geen ijzersterke en heldere argumentatie vind ben ik blij met de uitspraak en maakt de zaak in ieder geval weer duidelijk het hacken van WiFi-netwerken níet door de beugel kan.