Maand juli 2023

Cybersecuritybeeld Nederland 2023

jjoerlemans Een reactie plaatsen

Het Cybersecuritybeeld Nederland (CBSN) geeft elk jaar een goed inzicht in de belangrijke gebeurtenissen en trends in cybersecurity. In het CBSN was dit jaar veel aandacht voor het conflict tussen Rusland en Oekraïne en de kwetsbaarheid industriële internet of things systemen. In dit blogbericht vermeld ik de dingen die mij het meest opvielen.

Ransomware-incidenten

Ransomware blijft een enorm probleem en heeft soms grote gevolgen. Verschillende energiebedrijven zijn bijvoorbeeld in Europa getroffen door ransomware en het kwam naar buiten dat statelijke actoren aanvallen uitvoerden op bedrijven in de olie- en gassector. Indirect is dit zelfs al voorgekomen toen door een ransomware-aanval op de Duitse windmolenfabrikant Nordex meerdere windmolens op Windpark Oude Maas niet konden proefdraaien. De aanval is opgeëist door criminelen die achter de Conti-ransomware schuilen. Het Nederlandse vaccinbedrijf Bilthoven Biologicals werd bijvoorbeeld ook getroffen door ransomware. De aanvallers wisten productiefaciliteiten, zoals machines voor het produceren van vaccins, te raken. De machines hebben tijdens de aanval grotendeels door kunnen draaien. Daarnaast zouden de aanvallers e-mails en documenten met wetenschappelijke data, zoals informatie over vaccins, hebben gestolen. Deze gestolen data is (deels) gepubliceerd op het darkweb.

Verder zijn bijvoorbeeld twee Gelderse gemeenten slachtoffer geworden van een datalek nadat aanvallers met SunCrypt-ransomware bestanden konden stelen. De aanvallers hebben 130GB aan data buitgemaakt en gepubliceerd op de leksite van SunCrypt. Onder andere identiteitsbewijzen behoorden tot de gelekte data. Volgens forensisch onderzoek zijn de aanvallers binnengedrongen door gestolen inloggegevens van een leverancier te misbruiken. Ten slotte kunnen we nog wijzen op de ransomware-aanval op ID-ware, een grote leverancier voor toepassingen rondom authenticatie en toegangspassen. De aanvallers hebben gegevens buitgemaakt van klanten van ID-ware en deze gepubliceerd op een leksite. In de dataset bevonden zich onder andere toegangspassen van leden en medewerkers van de Eerste en Tweede Kamer.

Het aantal ransomware-aanvallen (ook op Nederlandse organisaties) leek in 2022 eveneens tijdelijk te dalen, om aan het eind van het jaar weer toe te nemen. Vermoedelijk speelt hier de impact van de Russische oorlog tegen Oekraïne op het cybercriminele ecosysteem een rol. Beide landen zijn belangrijke bronlanden van zware, georganiseerde cybercriminaliteit. Criminelen kozen een kant in de oorlog, wat bestaande samenwerkingsverbanden onder druk zette. Toch moet deze – al dan niet tijdelijke – daling in het juiste perspectief worden gezien. De politiecijfers zijn nog steeds zorgwekkend hoog. Bedrijven, maar ook gemeenten en publieke instellingen lopen onverminderd het risico slachtoffer te worden van ransomware of andere vormen van cybercriminaliteit. Er wordt niet altijd aangifte gedaan, bijvoorbeeld om imagoschade te voorkomen. Uit politieonderzoek bleek dat criminelen buitgemaakte informatie verrijken met andere informatie én doorverkopen.

Conflict Rusland-Oekraïne

Het CSBN 2022 stelde dat cyberaanvallen door statelijke actoren het nieuwe normaal zijn en dat landen de digitale ruimte gebruiken om geopolitieke voordelen te behalen. Ook in deze rapportageperiode zijn cyberoperaties aan het licht gekomen die in verband worden gebracht met statelijke actoren, waaronder spionage, diefstal van intellectueel eigendom en het inzetten van destructieve malware. Volgens de AIVD en de MIVD is de Russische cybersabotagecampagne tegen Oekraïne ‘de meest grootschalige en intensieve uit de geschiedenis’. De Oekraïense digitale infrastructuur wordt vrijwel constant aangevallen. Russische hackers hebben vele verschillende types wiperware ingezet tegen Oekraïense doelwitten, ook binnen vitale sectoren. Opvallend is de betrokkenheid van criminele en hacktivistische actoren in de context van de oorlog. Een verder kenmerkend element in het verloop van de oorlog is dat private bedrijven steun aan Oekraïne verlenen. Dat gebeurt vaak in samenwerking met landen die steun bieden aan Oekraïne.

Verder houdt Rusland zich bezig met beïnvloeding van de publieke opinie in westerse landen door onder andere desinformatie te verspreiden. De Russische inlichtingendiensten zijn er bijvoorbeeld enkele malen in geslaagd om de controle over uitzendingen van Oekraïense media tijdelijk over te nemen en Russische boodschappen uit te zenden. Aansluitend werden de systemen van deze media digitaal gesaboteerd. Daarnaast hebben Russische staatsmedia consequent desinformatie naar buiten gebracht.

Vermenging statelijke actoren en criminele actoren

Met betrekking tot cybercriminaliteit is de vermenging tussen statelijke actoren en criminele actoren opvallend. Het rapport noemt hoe de criminele Conti-groep zijn steun betuigde aan Rusland, en gaf aan dat cyberaanvallen op Russische doelwitten zouden worden beantwoord met aanvallen op kritieke infrastructuur. Dat onderschrijft de notie dat criminelen bepaalde doelwitten bewust uitkiezen omdat die in lijn zijn met geopolitieke belangen van bepaalde staten, of dat er zelfs banden kunnen bestaan tussen overheden en cybercriminelen. Statelijke actoren kunnen namelijk cybercriminelen inhuren, gedogen of onder druk zetten om cyberaanvallen op gewenste doelwitten uit te voeren. Daarnaast kunnen andere partijen, zoals statelijke actoren, zich ook voordoen als criminele organisaties. Hierdoor wordt de scheidslijn tussen financieel gemotiveerde cybercriminelen en statelijke actoren vager en lastiger te onderscheiden. Dat compliceert attributie.

Kwetsbare industriële IoT-systemen

Operationele technologie (OT) binnen industriële netwerken, ook wel aangeduid als ‘Industrial Automation and Control Systems’ (IACS), speelt een centrale rol in het aansturen, monitoren en beheren van fysieke processen binnen organisaties. Daarmee fungeert het ook als motor van vitale sectoren. OT raakt steeds meer vervlochten met informatietechnologie (IT). Daarnaast speelt het ‘Industrial Internet of Things’ (IIoT) een steeds belangrijker rol in industriële omgevingen. Dit heeft voordelen voor het optimaliseren van processen, maar het brengt ook risico’s met zich mee. Zo vergroot deze ontwikkeling het aanvalsoppervlak en daarmee het risico dat OT-systemen gecompromitteerd raken. Dit brengt uitdagingen met zich mee voor het beveiligen van dergelijke systemen. Daarbij is onder andere een grotere rol weggelegd voor detectie en mitigatie van digitale aanvallen. Op deze en andere vlakken is er – wellicht eufemistisch gezegd – “ruimte voor verbetering”.

Het CSBN wijst ook op nieuwe malware-soorten die zijn ontdekt voor de sabotage van OT-systemen. De eerste, ‘Industroyer2’, is ingezet tegen een Oekraïense energieleverancier, maar kon tijdig worden geneutraliseerd. ESET en de Oekraïense CERT attribueren Industroyer2 aan de Russische statelijke actor ‘Sandworm’. Ransomware-actoren vormen eveneens een risico voor de continuïteit van operationele systemen en fysieke processen. In juli 2022 is bijvoorbeeld een nieuwe ransomware-variant ontdekt, genaamd Luna. Deze variant bevat een lijst met OT-processen die, indien aanwezig, beëindigd worden alvorens over wordt gegaan tot versleuteling. Een dergelijke lijst wordt ook wel een kill-list genoemd.

Buiten de oorlog zijn ook verschillende wipers waargenomen. Zo werd bekend dat een geavanceerde cyberactor een nieuwe wiper heeft gebruikt bij aanvallen op de toeleveringsketen van organisaties in onder andere Israël. Ook criminelen lijken wiperfunctionaliteiten toe te voegen aan hun operaties. Een voorbeeld hiervan is de LokiLocker-ransomware. Die heeft een ingebouwde wiperfunctionaliteit die kan worden ingezet om slachtoffers af te persen.

Cybercrime jurisprudentieoverzicht juli 2023

jjoerlemans Een reactie plaatsen

Veroordeling voor heling van gegevens

De rechtbank Amsterdam heeft op 19 juni 2023 een 25-jarige man is veroordeeld  (ECLI:NL:RBAMS:2023:3748) tot drie jaar gevangenisstraf (waarvan één voorwaardelijk) vanwege heling van gegevens, het voorhanden hebben van phishing websites en phishing e-mails, gewoontewitwassen van cryptovaluta en diefstal van cryptovaluta.

De verdachte heeft zich schuldig gemaakt aan computercriminaliteit, waarbij hij een groot aantal datasets met privacygevoelige persoonsgegevens voorhanden heeft gehad en deze op een illegaal internetforum te koop heeft aangeboden. De rechtbank stelt vast dat verdachte niet-openbare gegevens in de vorm van een grote hoeveelheid datasets uit winstbejag voorhanden heeft gehad, heeft verworven en ter beschikking heeft gesteld aan anderen, terwijl hij wist dat deze door misdrijf waren verkregen. De verdediging heeft aangevoerd dat op basis van het dossier onvoldoende kan worden vastgesteld dat sprake is geweest van ‘niet-openbare gegevens. Dit verweer wordt verworpen. Dat hier sprake is van niet openbare gegevens volgt namelijk uit de verklaring van de verdachte zelf, de gevoelige aard en de combinatie van de persoonsgegevens en medische gegevens per dataset, en het feit dat deze te koop werden aangeboden op een illegaal hackersforum als Raidforums.

De rechtbank stelt op basis daarvan vast dat verdachte cryptovaluta ter waarde van in totaal €717.240,84 heeft witgewassen en dat hij hiervan een gewoonte heeft gemaakt. De rechtbank overweegt daarover onder andere dat uit het onderzoek naar de verschillende aangetroffen ‘seed phrases’. Een seed phrase bestaat 12-24 willekeurige woorden en dient als back-up van een crypto-wallet om de cryptocurrencies in een wallet te kunnen herstellen. Bovendien blijkt uit de bijbehorende cryptovaluta wallets dat verdachte in de periode februari 2022 tot en met september 2022 via de seed phrases toegang had tot grote hoeveelheden cryptovaluta en daarmee ook voorhanden heeft gehad. Dit met een waarde van in totaal € 435.549,84. Deze cryptovaluta zijn eerst op zes anonieme walletadressen verzameld en vervolgens doorgestort naar 41 andere anonieme wallet adressen om vervolgens uit te komen op een walletadres dat behoort bij handelsplaats Binance. Ook is op de HP-laptop van verdachte een seed phrase aangetroffen die toegang geeft tot een cryptovaluta wallet met een wallet adres dat begint met ‘bc1’. In deze cryptovaluta wallet zijn in de periode 14 februari 2022 tot en met 3 augustus 2022 bitcoins aangetroffen met een waarde van in totaal € 281.691,00 waarvan de herkomst niet is te herleiden.

Voor een deel zijn de cryptovaluta zijn naar het oordeel van de rechtbank afkomstig uit eigen misdrijf van verdachte. Door bovendien de cryptovaluta te verzamelen op verschillende anonieme wallets om die vervolgens door te storten naar weer andere anonieme wallets, waarna alle valuta werd verzameld op één walletadres op de handelsplaats Binance, heeft verdachte de herkomst en de vindplaats verhuld en ook heeft hij verhuld wie de rechthebbende(n) op die cryptovaluta was/waren, en wie die valuta voorhanden had. Ook overweegt de rechtbank dat de combinatie van bij de verdachte aangetroffen phishing website, phishing e-mails, logfiles met ruwe invoer van seed phrases en software voor de verwerking daarvan, duidt erop dat de phishing website ook daadwerkelijk is gebruikt. Hoe dit precies in zijn werking is gegaan, kan op basis van het dossier niet worden vastgesteld, maar feit is dat verdachte over een zeer groot aantal seed phrases beschikte die toegang gaven tot cryptovaluta wallets. Verdachte heeft het bezit van de seed phrases ter zitting ook bekend.

Er is geen logische verklaring voor het bezit van zo’n grote hoeveelheid seed phrases anders dan dat deze onrechtmatig zijn verkregen en dienen voor het plegen van diefstal, aldus de rechtbank. Een normale gebruiker van cryptovaluta heeft in de regel niet een dergelijk aantal seed phrases in zijn bezit. Ook zijn bij verdachte geen (offline) notities aangetroffen om de cryptovaluta wallets waarvan de seed phrases zijn gevonden uit elkaar te houden, hetgeen bij normale herkomst van de seed phrases in de rede ligt. Tevens is opmerkelijk dat tussen de ruwe invoer ook ongeldige seed phrases zijn aangetroffen van gebruikers van cryptovaluta wallets die in de gaten hadden dat zij met fraude te maken hadden. Dergelijke invoer duidt niet op legaal verkregen seed phrases.

Cyberstalking

In de afgelopen maanden zijn verschillende veroordelingen verschenen over stalking, waarbij gebruik wordt gemaakt van computers en internet om deze te plegen (‘cyberstalking’). Met een aantal voorbeelden wordt het fenomeen en strafbaarstelling kort uitgelicht. Lees ook dit artikel in NRC met een gespecialiseerde officier van justitie voor meer informatie.

De rechtbank Gelderland publiceerde bijvoorbeeld op 24 mei 2023 een interessante uitspraak over cyberstalking (ECLI:NL:RBGEL:2023:2884). Een 31-jarige man stalkte zes jaar lang een vrouw. De man zocht online informatie over de vrouw en haar omgeving. Zo maakte de man onder andere een website en plaatse daarop beledigende foto’s en teksten over de vrouw en haar partner op onder andere Facebook. Ook belde de man naar het werk van de vrouw en nam via LinkedIn contact op met een collega van de vrouw. Daarnaast deed hij zich bij een makelaar voor als de vrouw om zo haar huis te koop te laten zetten. De man bedreigde de vrouw met de dood in aanwezigheid van politieagenten toen zij de man een contactverbod wilden overhandigen.

Volgens de rechtbank is de belaging (artikel 285b Sr) niet aan de man niet toe te rekenen, omdat hij lijdt aan waanbeelden. Hij werd daarom ontoerekeningsvatbaar verklaard en krijg tbs met voorwaarden. Ook legt de rechtbank een contact- en gebiedsverbod op.

De rechtbank Amsterdam veroordeelde op 22 juni 2023 (ECLI:NL:RBAMS:2023:3868) een 44-jarige man voor stalking, diefstal, computervredebreuk en het gooien van een vuurwerkbom in de brievenbus van de psychotherapeut van zijn ex-vriendin.

De verdachte heeft drieënhalve maand op een zeer intensieve en indringende manier geprobeerd controle uit te oefenen op het leven van zijn toenmalige vriendin. De verdacht heeft onder andere zonder dat zij dat wist, (geluids-) opnames van het slachtoffer met door hem in haar woning geplaatste en verdekt opgestelde camera’s, hij volgde haar door middel van gps-bakens die hij in haar fiets en auto verstopte. Verdachte had de beschikking over de wachtwoorden van haar internetaccounts, en verschafte zich daarmee ook de toegang tot die accounts, waarbij zich soms voordeed alsof hij het slachtoffer was.

De rechtbank kan zich met de conclusies van de deskundigen verenigen en is van oordeel dat verdachte lijdt aan een ziekelijke stoornis te weten een persoonlijkheidsstoornis met borderline, narcistische en antisociale trekken, alsmede een aandachtstekortstoornis met hyperactiviteit welke bestond tijdens het begaan van de feiten. De rechtbank veroordeelde de man tot twee jaar gevangenisstraf en tbs met voorwaarden en materiële en immateriële schadevergoedingen.

Op 28 juni 2023 veroordeelde de rechtbank Midden-Nederland (ECLI:NL:RBMNE:2023:3066) een man voor stalking en identiteitsfraude. De verdachte heeft op social media (o.a. Snapchat, Instagram en Facebook) en verschillende (seks)websites nepaccounts aangemaakt en zich voorgedaan als deze slachtoffers. Hij maakte daarbij gebruik van hun (volledige) naam, telefoonnummer en/of foto’s en stuurde met name seksueel gerelateerde berichten naar bekenden en onbekenden van de slachtoffers. De slachtoffers werden vervolgens benaderd door vriendschapsverzoeken van fakeaccounts die hen vervolgens probeerden te videobellen en seksueel getinte berichten stuurden. Dit handelen van de verdachte in de onlinewereld heeft in het dagelijks leven verstrekkende negatieve gevolgen gehad voor de slachtoffers.  

De rechtbank veroordeeld de verdachte tot de geëiste straf, een gevangenisstraf van drie jaren, met aftrek van het voorarrest. De rechtbank neemt daarbij ook in strafverzwarende zin mee dat de verdachte in twee verschillende proeftijden liep voor soortgelijke feiten. Verdachte is in de proeftijd waarin hij werd behandeld, doorgegaan met het plegen van zeer ernstige strafbare feiten tegen (oud-)medewerksters van de Forensische Psychiatrische Kliniek. Deze medewerksters zijn juist de zorgverleners die voor personen met psychische problemen, zoals verdachte, klaarstaan. Zij dienen hun werk onder veilige omstandigheden te kunnen doen. Sommige slachtoffers hebben ter zitting verklaard dat zij door het handelen van verdachte, met pijn in hun hart, afscheid hebben genomen van hun baan in de zorg.

De slachtoffers krijgen voor zover gevorderd een vergoeding voor geleden materiële en immateriële schade. De rechtbank gaat ook over tot het opleggen van de ongemaximeerde TBS-maatregel met dwangverpleging, omdat de rechtbank is van oordeel dat de veiligheid van anderen en de algemene veiligheid van personen en goederen het opleggen van de tbs-maatregel met dwangverpleging vereisen.

Veroordeling voor materiaal van seksueel misbruik van minderjarigen na melding NCMEC

De rechtbank Zeeland-West-Brabant veroordeelde op 3 mei 2023 (ECLI:NL:RBZWB:2023:2923) een verdachte voor het bezit van afbeeldingen van seksueel misbruik van minderjarigen (door de rechtspraak nog steeds ‘kinderporno’ genoemd) (artikel 2240b Sr) en dierenporno (artikel 254a Sr).

De verdediging stelt dat de melding van het Amerikaanse ‘National Center for Missing and Exploited Children’ (NCMEC) (zie ook wikipedia.org) en onderzoek naar het in die melding vermelde IP-adres voldoende voor verdenking van een strafbaar feit in de zin van artikel 27 van het Wetboek van Strafvordering (hierna: Sv).

De officier van justitie stelt dat het vaste praktijk is dat een NCMEC-melding voldoende is om een onderzoek te starten. In deze zaak staat op de eerste melding van het NCMEC dat het om “apparent child pornography” en om een “hash match” gaat. Er bestaat wereldwijd een databank van bekende kinderporno die op internet verschijnt en elk bestand heeft een bepaalde code en een eigen unieke hashwaarde. De door verdachte geüploade bestanden zijn gecontroleerd met bepaalde software waarbij de kinderporno met bekende hashwaardes, door middel van hashmatches, eruit is gefilterd.

KIK Messenger (een chat-app) gebruikt die hashwaardes ook, waardoor gezegd kan worden dat er vermoedelijk (“apparent”) kinderporno is geüpload. Dat het “vermoedelijk” wordt genoemd, is omdat altijd nog door een mens moet worden beoordeeld of de vermoedelijke kinderpornobestanden daadwerkelijk kinderporno bevatten. Dat deze informatie voldoende is voor een verdenking als bedoeld in artikel 27 Sv, blijkt ook wel uit de vele uitspraken die tot op heden zijn gedaan door rechtbanken en gerechtshoven.

Het verweer over de NCMEC-meldingen verwerpt de rechtbank op dezelfde gronden als de officier van justitie. Het is de rechtbank ambtshalve bekend dat deze meldingen bij rechtbanken en gerechtshoven in Nederland voldoende zijn om een verdenking in de zin van artikel 27 Sv op te baseren.

Uit het meldingsrapport van NCMEC maakt de rechtbank op dat door middel van ook door de officier justitie genoemde “hashmatches” was gedetecteerd dat 38 bestanden met vermoedelijk kinderpornografische afbeeldingen waren geüpload via KIK Messenger door de gebruiker van het [e-mailadres] met de gebruikersnaam ‘dripdruppeltje’ en een bepaald IP-adres. Het tweede meldingsrapport maakt melding van twee afbeeldingen met hetzelfde emailadres en IP-adres.

Het Team Bestrijding Kinderpornografie en Kindersekstoerisme (TBKK) van de politie heeft deze meldingen verder onderzocht. Uit dat onderzoek is gebleken dat het vermelde IP-adres toebehoorde aan verdachte en waar verdachte woonachtig was en waar hij werkzaam was. Volgens het TBKK stond verdachte als enige ingeschreven op dat woonadres. Anders dan de raadsman stelt, zijn de meldingen dus wel degelijk verder onderzocht.

Op grond van de NCMEC-meldingen en het verdere onderzoek naar het in de meldingen genoemde IP-adres, is de rechtbank van oordeel dat er voldoende verdenking in de zin van artikel 27 Sv bestond om tot binnentreden ter inbeslagneming over te gaan. In de woning werd aan verdachte uitgelegd waarvoor zij kwamen waarna verdachte spontaan begon te verklaren over onder andere foto’s die op zijn computer stonden. Direct daarna is aan verdachte de cautie gegeven. Vervolgens is de uitlevering gevorderd van alle gegevensdragers waarop kinderporno stond of kon staan. Verdachte heeft vervolgens een aantal gegevensdragers overhandigd die daarna in beslag werden genomen.

De rechtbank acht op basis van de bewijsmiddelen, inclusief de bekennende verklaring van verdachte, wettig en overtuigend bewezen dat verdachte kinderporno, waarvan ongeveer 553 afbeeldingen die direct benaderbaar waren, op een aantal gegevensdragers in zijn bezit heeft gehad en/of zich daartoe door middel van geautomatiseerde werken en/of met gebruikmaking van communicatiediensten de toegang heeft verschaft. De afbeeldingen bestonden grotendeels uit meisjes in de leeftijd van 6 tot 12 jaar.

Alles afwegend acht de rechtbank een hoge taakstraf in combinatie met een voorwaardelijke gevangenisstraf passend en geboden, het laatste met name om de ernst van de feiten te benadrukken en om de oplegging van de door de reclassering geadviseerde bijzondere voorwaarden mogelijk te maken. De rechtbank overweegt dat ‘vanwege het taakstrafverbod dient ook nog een onvoorwaardelijke gevangenisstraf te volgen’. De rechtbank beperkt daarom de onvoorwaardelijke gevangenisstraf tot één dag. Ook krijgt de verdachte een proeftijd van drie jaar met daarbij de bijzondere voorwaarden (waaronder behandeling) en een taakstraf van 240 uur opgelegd. 

Beleidsreactie op onderzoeken naar de regulering van deepfakes en immersieve technologieën

jjoerlemans

Op 16 juni 2023 gaf minister Yeşilgöz-Zegerius haar beleidsreactie (.pdf) op twee WODC-rapporten over de regulering van deepfakes (.pdf) (uitgevoerd door Tilburg University) en immersieve technologieën (.pdf) (van Considerati).

De eerste conclusie van het onderzoek luidt dat onwenselijk gebruik van deepfakes of deepfaketechnologieën via het huidige recht in algemene zin goed is te adresseren. Zo stelt artikel 139h Wetboek van Strafrecht (Sr) het zonder toestemming van de afgebeelde persoon openbaar maken van seksueel beeldmateriaal strafbaar. Daaronder vallen ook deepfakes. Ook ander strafwaardig gedrag, zoals oplichting met behulp van deepfakes, kan volgens het onderzoek middels het huidige strafrecht goed worden geadresseerd. Het Openbaar Ministerie (OM) beziet momenteel de mogelijkheden voor de inzet van artikel 139h Sr in concrete gevallen waarbij sprake is van deepnude materiaal. Over deze ontwikkelingen wordt de Kamer geïnformeerd in de voortgangsbrief over de aanpak van seksuele misdrijven die in december 2023 naar de Tweede Kamer wordt gestuurd. Het kabinet is geen voorstander van een algemeen verbod, omdat deze niet noodzakelijk is en een eventueel breed verbod in strijd kan komen met verschillende (fundamentele) rechten zoals de vrijheid van meningsuiting of de vrijheid van kunsten en wetenschappen. Ook als het gaat om een verbod op het vervaardigen, aanbieden en downloaden van deepfaketechnologie, zien het kabinet ernstige bezwaren. Wel steunt het kabinet een transparantieverplichting voor gebruikers van deepfaketechnologie, zoals ook op EU-niveau in de AI-verordening is voorgesteld.

De AVG verbiedt ook het maken en verspreiden – buiten de huiselijke sfeer – van deepfakes waarin persoonsgegevens zijn verwerkt zonder een verwerkingsgrondslag. In de praktijk is daardoor een deepfake die zonder toestemming is gemaakt strijdig met de AVG, zeker als daarin gevoelige (bijvoorbeeld seksuele) content is te zien. Het heroverwegen van de huishoudelijke exceptie, zou een onwenselijke juridisering van het privéleven van burgers betekenen die veel verder reikt dan de gevallen waarin deepfakes worden gemaakt, nog daargelaten de vraag wat voor effectieve handhaving van de AVG achter de voordeur nodig zou zijn. Daarnaast heeft het kabinet niet de mogelijkheid om de AVG te wijzigen. Het recht van initiatief ligt bij de Europese Commissie en zij voorziet in de komende tijd geen noodzaak tot het doen van wijzigingsvoorstellen van de AVG. Ook gelden de kaders van het civiele recht, bijvoorbeeld in het geval van een onrechtmatige daad (artikel 6:162 Burgerlijk Wetboek (BW)) of een schending van het portretrecht (zoals bedoeld in het auteursrecht). Het procesrecht is volgens het kabinet voldoende toegerust op de mogelijkheid dat deepfakes worden gebruikt als nepbewijs.

De tweede conclusie van het onderzoek luidt dat de handhaving van de bestaande rechtsregels “omvangrijk en complex is”. Het kabinet zet in op zelfregulering voor de snelle verwijdering en bestrijding van illegale content door de internetsector. Aanvullend faciliteert de overheid een aantal meldpunten om illegale content, met inbegrip van deepfakes en strafbare content, onder de aandacht te brengen van dienstverleners binnen de internetsector. Als het noodzakelijk is ter beëindiging van het strafbare feit kan de officier van justitie – ook voordat een verdachte voor het strafbare feit is veroordeeld – in geval van verdenking van een misdrijf als omschreven in artikel 67, eerste lid, Wetboek van Strafvordering (Sv), met een machtiging van de rechter-commissaris aan een aanbieder van een communicatiedienst bevelen om gegevens ontoegankelijk te maken (artikel 125p Sv). Ook kan het slachtoffer via de civiele rechter een (kort geding) procedure starten waarin een vordering tot verwijdering van die content centraal staat. Dit wordt getoetst aan de voorwaarden van de onrechtmatige daad uit artikel 6:162 van het BW. Een voorbeeld hiervan is wanneer het gaat om (deepfake)content waarbij onrechtmatig persoonsgegevens zijn verwerkt.

Het tweede onderzoek gaat over de regulering van immersieve technologieën. Immersieve technologieën zijn technologieën die de realiteit aanpassen of een nieuwe realiteit creëren. Het onderzoek bespreekt de twee bekendste vormen van immersieve technologieën: Augmented Reality (AR) en Virtual Reality (VR). Bij AR wordt onze perceptie van de wereld uitgebreid doordat Virtuele elementen worden toegevoegd aan de realiteit, bijvoorbeeld door middel van apparaten zoals AR-brillen of toepassingen zoals Pokémon Go. Bij VR wordt de fysieke wereld zo veel mogelijk vervangen door een kunstmatige of virtuele werkelijkheid, bijvoorbeeld door een VR-bril.

Uit het onderzoek komt naar voren dat het huidige juridische kader in algemene zin goed is toegerust om de mogelijke negatieve effecten van immersieve technologie te adresseren. Het kabinet wil, in lijn met de aanbevelingen uit het onderzoek naar immersieve technologieën, beter anticiperen op nieuwe digitale technologieën. Er zal daarom een beleidsagenda ‘publieke waarden en nieuwe digitale technologie’ worden opgesteld.

Het kabinet vindt het (ook) zeer zorgwekkend dat nu in dit onderzoek wordt vastgesteld dat slachtoffers van virtuele aanranding een vergelijkbare emotie ervaren als bij een fysieke aanranding of verkrachting, en dat de onderzoekers verwachten dat naarmate de immersie en het gevoel van aanwezigheid in een virtuele omgeving groter wordt, de impact van virtueel grensoverschrijdend gedrag ook groter kan worden. Het kabinet wijst er op dat het Wetboek van Strafrecht mogelijkheden biedt om tegen strafwaardige gedragingen in VR op te treden. Dit kan bijvoorbeeld als er sprake is van bedreiging (artikel 285 Sr). De mogelijkheden om strafrechtelijk op te treden worden verder uitgebreid met het bij de Tweede Kamer aanhangige wetsvoorstel seksuele misdrijven, waarin seksuele intimidatie van een ander in het openbaar in het nieuwe artikel 429ter strafbaar wordt gesteld.

De onderzoekers concluderen dat er tegen virtuele mishandeling beperkt strafrechtelijk kan worden opgetreden. Om van mishandeling te kunnen spreken moet er volgens art. 300 van het Wetboek van Strafrecht sprake zijn geweest van fysieke pijn of letsel bij het slachtoffer. Daarvan zal in een virtuele wereld doorgaans geen sprake zijn. Artikel 300 Sr biedt echter ook aanknopingspunten voor vervolging van psychisch geweld. Met mishandeling wordt gelijkgesteld opzettelijke benadeling van de gezondheid. In de lagere rechtspraak zijn verschillende voorbeelden terug te vinden van gevallen waarin is geoordeeld dat het hierbij naast de fysieke gezondheid ook om de psychische gezondheid kan gaan (voornamelijk met betrekking tot mishandeling van kinderen). Het kabinet stelt psychische mishandeling niet apart strafbaar. Het Wetboek van Strafrecht biedt naast artikel 300 Sr ook andere mogelijkheden tot strafrechtelijke vervolging bij psychisch geweld: artikel 284 (dwang), 285 (bedreiging) en 285b (stalking). Indien virtuele mishandeling (ernstig) psychisch trauma tot gevolg heeft, of gepaard gaat met dwang, bedreiging of stalking, dan biedt het Wetboek van Strafrecht grond voor vervolging. Daarbij komt dat de schade die door virtuele mishandeling wordt veroorzaakt reeds op de dader kan worden verhaald als er daarbij sprake is van een onrechtmatige daad.

Verder zijn er volgens het kabinet voldoende mogelijkheden om op te treden tegen virtueel vandalisme op grond van de onrechtmatige daad (artikel 6:162 BW). Ook zijn er gevallen denkbaar waarin virtueel vandalisme de vorm aanneemt van beledigende of discriminerende uitlatingen. In die gevallen kan op grond van de artikelen 137c (belediging groep mensen) en 266, eerste lid, Sr (eenvoudige belediging) worden opgetreden tegen virtueel vandalisme. Het kabinet ziet geen aanleiding om virtueel vandalisme apart strafbaar te stellen.

Het strafbaar stellen van het gebruik van een “naaktfilter” (een deepfake-filter die een aangeklede persoon “virtueel” kan ontkleden) is volgens het kabinet ook niet noodzakelijk. Artikel 139h lid 1 sub a Sr zou voldoende mogelijkheden bieden. Ten slotte kan volgens het kabinet ook voldoende worden opgetreden tegen het aanbieden van “hyperpersoonlijke inhoud”. De AVG biedt volgens het kabinet kortgezegd voldoende mogelijkheden en daarnaast wijst het in de Kamerbrief op de Digital Services Act (DSA), die in 2024 in werking treedt. Deze verordening legt aan online platformen (die ook immersieve technologieën kunnen aanbieden) een verbod op voor het gebruik van gegevens van minderjarigen en van bijzondere persoonsgegevens (zoals biometrische data) van alle gebruikers om gepersonaliseerde advertenties te tonen. Dit is relevant omdat VR- en AR-toepassingen veel biometrische data kunnen verzamelen, zoals oog en lichaamsbewegingen. Ook bevat de DSA extra waarborgen tegen onbewuste beïnvloeding bij digitale diensten en voor meer keuze en transparantie in online omgevingen.