Artikel Toxbot-zaak

Op 22 februari 2011 heeft de Hoge Raad een opmerkelijk
arrest gewezen in de Toxbot-zaak. De meest opvallende aspecten uit het arrest
is de gelijkstelling van het besmetten van computers met malware aan het delict
computervredebreuk en de extensieve interpretatie van het delict
computersabotage. Samen met Bert-Jaap Koops heb ik hier artikel voor het
Nederlands Juristenblad over geschreven. Het is artikel hier te downloaden. Eerder
heb ik al een blogbericht over deze zaak geschreven.

In ons artikel stellen wij dat de Hoge Raad
met het arrest de samenleving een slechte dienst heeft bewezen. Het besmetten
van computers met malware, strafbaar gesteld in artikel 350a lid 3 Sr, wordt
volgens ons onterecht gelijk gesteld aan het delict computervredebreuk zoals
strafbaar gesteld in artikel 138ab Sr. Wel is er volgens ons sprake van
computervredebreuk op het moment dat een de besmette computer contact maakt met
een command-and-control server dat een botnet aanstuurt of via een
‘achterdeurtje’ toegang wordt verschaft tot de computer van de verdachte. In de
praktijk zal dat meestal het geval zijn.

Misschien nog wel belangrijker is de
interpretatie van de Hoge Raad van artikel van artikel 161sexies Sr
(computersabotage). Op zich zijn wij het er mee eens dat internetbankieren en
het verrichten van transacties via online betalingsdiensten als PayPal als een
dienst van vitale infrastructuur kan worden aangemerkt. Wanneer internetbankieren
door een DDoS-aanval wordt verstoord en mensen niet meer online transacties
kunnen uitvoeren, kan artikel 161sexies Sr daarom van toepassing zijn. De mogelijkheid
bestaat echter ook dat de vitale dienst door de aanval niet wordt verstoord,
omdat bijvoorbeeld een voorlichtingswebsite wordt aangevallen. Volgens de Hoge
Raad zou artikel 161sexies Sr in dat geval nog steeds van toepassing zijn. Onzes
inziens is artikel 161sexies Sr alleen van toepassing wanneer een website van
een dienst van algemene nutte wordt aangevallen waardoor gevaar ontstaat dat de
vitale dienst niet meer kan worden verleend.

Sterker nog, volgens de Hoge Raad zou artikel
161sexies Sr niet alleen gaan om de dienstverlener die ernstige hinder van het
misdrijf ondervindt, maar om een substantieel aantal gebruikers ervan. Wanneer
een substantieel aantal mensen besmet zijn met een bepaalde variant van malware
dat zich bijvoorbeeld op banken richt en hierdoor niet meer veilig kunnen
internetbankieren bij een bepaalde bank zou artikel 161sexies óók van
toepassing kunnen zijn. Artikel 161sexies Sr beschermt volgens ons tegen de
nadelige effecten die optreden indien de infrastructuur van de dienstverlener
wordt vernield of beschadigd, en dient niet ter bescherming van de
vertrouwelijkheid en integriteit van de computer van de dienstafnemers. Naar
onze mening wordt het artikel in deze variant daarom veel te extensief
geïnterpreteerd.

Het arrest komt de rechtszekerheid niet
ten goede. De kans bestaat dat de vreemde redenatie van de Hoge Raad in de toekomst door
rechters wordt omzeild of teruggedraaid, waardoor vervolgingen kunnen
stuklopen. Het is belangrijk dat het OM en de rechterlijke macht precies zijn
in de toepassing van de verschillende delicten op een feitencomplex zoals in de
Toxbot-zaak. Door de extensieve interpretatie vindt een onwenselijke
verwatering in het onderscheid tussen de verschillende typen delicten plaats.

(Citeertitel: J.J.
Oerlemans & E.J. Koops, ‘De Hoge Raad bewijst een slechte dienst in
high-tech-crimezaak over botnets’, Nederlands
Juristenblad
2011, vol. 86, nr. 18, pp. 1181-1185).