Citeertitel: Rb. Overijssel, 1 februari 2017, ECLI:NL:RBOVE:2017:417, Computerrecht 2017/52, m.nt. J.J. Oerlemans

Noot

Deze zaak betreft een klaagschrift over het vorderen van gegevens van een Nederlandse clouddienstverlener. De zaak is interessant, omdat het de eerste gepubliceerde zaak is op strafrechtelijk gebied over het vorderen van gegevens bij clouddienstverleners. De zaak biedt meer duidelijkheid over de vraag op basis van welke juridische grondslag opgeslagen documenten bij een clouddienstverlener kunnen worden gevorderd. In deze noot wordt niet ingegaan op mogelijke jurisdictievraagstukken. Het betreft hier een Nederlandse opsporingsonderzoek naar een Nederlandse verdachte, waarbij relevante stukken worden gevorderd bij een Nederlandse clouddienstverlener.

De feiten

In casu ontwikkelde de klaagster software ter ondersteuning van fiscale aangifte- en advieswerkzaamheden voor accountants en administratiekantoren. Vervolgens vorderde de FIOD gegevens bij klaagster in het kader van een strafrechtelijk onderzoek. Het ging om gegevens over de belastingaangiften en onderliggende aantekeningen met betrekking tot het indienen van de aangiften van een klant van de klaagster over een periode van meer dan vijf jaar.

Deze gegevens staan opgeslagen op een server van Amazon in Ierland, waar de klaagster een deel van de server voor haar klanten huurt. De klaagster stelt zich op het standpunt dat voor de vordering geen juridische basis bestaat en de vordering niet proportioneel en subsidiair is.

Oordeel rechtbank

Met betrekking tot de vraag welke juridische basis van toepassing is, geeft de rechtbank aan dat de klaagster een provider van een communicatiedienst is in de zin van art. 126la sub a Sv. De reden is dat zij voor haar klanten de faciliteit biedt om toegang te krijgen tot de opgeslagen gegevens op een door haar gehuurde server bij Amazon in Ierland. Zij fungeert daarmee als ‘toegangspoort tot de cloud’, hetgeen een vorm van telecommunicatie is.

Met betrekking tot de vraag of de vordering proportioneel en subsidiair is, geeft de rechtbank aan dat dit het geval is. De rechtbank vindt het daarbij kennelijk niet bezwaarlijk dat meer dan vijf (!) jaar aan documentatie van belastingaangiften en onderliggende aantekeningen van een verdachte wordt opgevraagd. Hoewel de rechtbank het niet expliciet maakt, is het waarschijnlijk van grote betekenis dat het om de gegevens van één verdachte gaat en de gegevens binnen een specifieke periode worden gevorderd.

Welke wettelijke grondslag?

Lange tijd hadden Nederlandse opsporingsinstanties geen ervaring met het vorderen van opgeslagen documenten bij clouddienstverleners. Daardoor bestond onduidelijkheid over de vragen welke juridische grondslag van toepassing is voor het vorderen van gegevens bij deze dienstverleners. (zie onder andere Zie E.J. Koops, R.E. Leenes, P.J.A. de Hert, & S. Olislaegers, ‘Misdaad en opsporing in de wolken: Knelpunten en kansen van cloud computing voor de Nederlandse opsporing’, WODC, Den Haag/Tilburg 2012).

Daar is nu verandering in gekomen. De Rechtbank Overijssel maakt duidelijk dat een clouddienstverlener die toegang verschaft tot documenten op afstand een elektronische communicatieprovider is en voor het vorderen van deze gegevens een machtiging van een rechter-commissaris is vereist.

Wel rekt de rechtbank Overijssel door de uitspraak het begrip ‘aanbieder van een elektronische communicatiedienst’ enigszins op. Een tekstuele uitleg op basis van artikel 126la Sv zou met zich meebrengen dat de dienstverlening gekoppeld moet zijn aan een communicatiedienst.

Artikel 126la sub a Sv luidt als volgt: “aanbieder van een communicatiedienst: de natuurlijke persoon of rechtspersoon die in de uitoefening van een beroep of bedrijf aan de gebruikers van zijn dienst de mogelijkheid biedt te communiceren met behulp van een geautomatiseerd werk, of gegevens verwerkt of opslaat ten behoeve van een zodanige dienst of de gebruikers van die dienst” (onderstreping toegevoegd).

 Dat “een vorm van telecommunicatie plaatsvindt” is niet voldoende. Het lijkt wel alsof de rechtbank is uitgegaan van het oude begrip ‘aanbieder van een openbare telecommunicatiedienst- of netwerk’ in het Wetboek van Strafvordering. Deze term is afkomstig uit hoofdstuk 13 van de Telecommunicatiewet, maar verschilt met de huidige term aanbieder van een elektronische communicatiedienst in het Wetboek van Strafvordering. Bij aannemen van de Wet computercriminaliteit II is het huidige begrip in art. 126la Sv geïntroduceerd. Daarbij is de nadruk meer komen te liggen op het verlenen van een elektronische communicatiedienst zelf en minder op het routeren van signalen over een telecommunicatienetwerk. Webmailproviders, elektronische communicatieaanbieders die gebruik maken van apps voor hun dienstverlening en sociale mediadiensten worden bijvoorbeeld aangemerkt als een aanbieder van een elektronische communicatiedienst, maar zijn geen aanbieder van een openbare telecommunicatiedienst- of netwerk. (Zie G. Odinot, D. de Jong, R.J. de Bokhorst & C.J. de Poot, ‘De Wet bewaarplicht telecommunicatiegegevens’, WODC, Den Haag: Boom Lemma Uitgevers 2013. Zie ook Kamerstukken II 2003/04, 29441, nr. 3, p. 14, Kamerstukken II 2007/08, 31145, nr. 9, p. 6, Kamerstukken I 2008/09, 31145, nr. F, p. 4 en Kamerstukken II 2015/16, 34537, nr. 3, p. 43. Zie ook Opinie 02/2013 over apps op intelligente apparaten van de art. 29 Werkgroep, 00461/13/NL WP 202, p. 25, noot 46)

De wijziging vindt haar achtergrond in de implementatie van het Cybercrimeverdrag als onderdeel van de Wet computercriminaliteit II. Helaas is het Cybercrimeverdrag ook dubbelzinnig over de betekenis van het begrip. In paragraaf 27 van de toelichting op het verdrag staat dat diensten die een verbinding tot een netwerk bewerkstelligen onder het begrip vallen. Daarmee wordt het begrip breed geïnterpreteerd. Een zin later wordt het echter weer versmald door te stellen dat de dienstverlening gekoppeld moet zijn aan een communicatie- of verwerkingsdienst. In casu gaat het echter om een platform dat op afstand toegang verschaft tot documenten die opgeslagen liggen op een server elders. Deze dienstverlening is vergelijkbaar met een online opslagdienst. Het is de vraag of het benodigde communicatieaspect in art. 126la Sv daarbij van toepassing is.

Conclusie

Toch heb ik veel sympathie voor de beslissing van de rechtbank. Het Cybercrimeverdrag biedt aanknopingspunten voor de interpretatie dat clouddienstverleners als een aanbieder van een elektronische communicatiedienst moeten worden aangemerkt. Bovendien is voor het vorderen van opgeslagen gegevens bij een elektronische communicatiedienstverlener art. 126ng lid 2 Sv van toepassing. Op basis van artikel 126ng lid 2 Sv moet een rechter-commissaris een machtiging geven aan de officier van justitie om deze gegevens te mogen vorderen. Deze strenge waarborgen zijn wenselijk gezien de serieuze privacy-inmenging dat het vorderen van opgeslagen documenten met zich meebrengt. Het alternatief zou zijn dat de gegevens op basis van art. 126nd Sv kunnen worden gevorderd, waarvoor minder waarborgen gelden. Voor toepassing van deze bevoegdheid is namelijk slechts een bevel van een officier van justitie  vereist. Vanuit privacyperspectief is de ruime interpretatie van het begrip elektronische communicatieaanbieder daarom zo gek nog niet.

Deze annotatie is in vergelijkbare vorm verschenen in Computerrecht.