Cybercrime jurisprudentieoverzicht oktober 2020

Op 25 augustus 2020 heeft het Hof Den Haag een arrest (ECLI:NL:GHDHA:2020:1559) gewezen over voorhanden hebben van een technisch hulpmiddel (‘Razorscanner’), waarmee computermisdrijven als computervredebreuk kunnen worden gepleegd (artikel 139d lid 2 sub a jo art. 138ab Sr).

Op 5 april 2016 is de website van Razorscanner na een gecoördineerde politieactie via Europol offline gehaald. Zes verdachten, waaronder de maker van Razorscanner, werden gearresteerd. De beheerder van deze services is in dat onderzoek aangehouden en de server waarop de genoemde softwareproducten beschikbaar werden gesteld is in beslag genomen. Om Razorscanner te kunnen gebruiken kochten de gebruikers van de website “coins”. Daarmee kon de klant vervolgens een scan uitvoeren. Uit de uitgevoerde scan kon de gebruiker opmaken of een ontwikkeld virus “Fully UnDetectable” is, ofwel door geen enkel anti-virusprogramma zal worden herkend. De maker van Razorscanner garandeerde dat de gegevens met betrekking tot de in het programma geüploade bestanden niet aan de makers van anti-virusproducten werden doorgegeven. Het programma ‘Razorcrypter’ maakt het mogelijk om uitvoerbare computerbestanden tegen de ontdekking door anti-virusprogramma’s te beschermen. Dat is onder meer mogelijk door de computercode die Razorcrypter moet verpakken te “binden” oftewel vast te maken aan andere (legitieme) software, of door het programma aan een ander softwareprogramma te hangen, zo overweegt het Hof.  

Deze zaak gaat over een Nederlandse verdachte die ten laste werd gelegd de software ‘Razorscanner’ en ‘Razorcrypter’ voorhanden te hebben met het oogmerk computermisdrijven te plegen. Hij beschikte over een account bij de aanbieder daarvan en over voldoende coins om de services te gebruiken. Het Hof Den Haag stelt in een uitgebreide overweging vast dat de services Razorscanner en Razorcrypter op zichzelf genomen geen programma’s zijn die zelfstandig geschikt gemaakt of ontworpen zijn om computervredebreuk te plegen, ddos-aanvallen uit te voeren of gegevens af te tappen of op te nemen. Toch wordt de software aangemerkt als een technisch hulpmiddel dat hoofdzakelijk geschikt gemaakt en/of ontworpen is tot het plegen van computermisdrijven, met name omdat de programma’s cybercriminelen in staat stellen met meer succes computermisdrijven te plegen (“strafbaar is ook degene die zo’n computerprogramma koopt of verkoopt, is strafbaar indien die koop of verkoop plaatsvindt met het oogmerk dat met dat computerprogramma ook daadwerkelijk computervredebreuk zal worden gepleegd” (memorie van antwoord Wet computercriminaliteit II)).

Voor de strafbaarstelling is daarnaast vereist dat met het voorhanden hebben van het technisch hulpmiddel het oogmerk bestaat computermisdrijven zoals computervredebreuk te plegen. Het hof spreekt de verdachte vrij, omdat niet vastgesteld kon worden dat de verdachte met het voorhanden hebben van Razorscanner en Razorcrypter het oogmerk heeft gehad om computermisdrijven te plegen. Het Hof overweegt dat het bewijsmateriaal eerder steun geeft aan de verklaring van verdachte, dat hij zowel Razorscanner en Virustotal gebruikte om scans uit te voeren aan bestanden. Daarnaast bevat het strafdossier geen bewijs dat de verdachte daadwerkelijk malware beschikbaar heeft gesteld aan anderen, teneinde die anderen in staat te stellen computermisdrijven te plegen, noch dat hij dit zelf heeft gedaan. Het hof komt daarmee tot de conclusie dat er is sprake van een geloofwaardige weerlegging die de verdenking ontkracht en spreekt hem daarom vrij.

Bestellen onder valse personalia geen computervredebreuk

De rechtbank Rotterdam heeft op 18 september 2020 een verdachte veroordeeld (ECLI:NL:RBROT:2020:8248) tot 180 dagen gevangenisstraf, waarvan 103 dagen voorwaardelijk en een taakstraf van 100 uur. De verdachte heeft samen met een medeverdachte VodafoneZiggo modems besteld, deze aangesloten en daarmee naar betaalde servicenummer gebeld.

De verdachte werd computervredebreuk ten laste gelegd, omdat zou zijn binnendrongen in de kabelmodems. De rechtbank spreekt de verdachte daarvan vrij, omdat niet op andere wijze toegang is verkregen en gebruik is gemaakt van de goederen en diensten van VodafoneZiggo dan gebruikelijk. De rechtbank overweegt helaas niet waarom geen sprake is van het opzettelijk en wederrechtelijk onder een valse hoedanigheid of met valse sleutels binnendringen in de servers van de VodafoneZiggo, omdat daar mogelijk wel sprake van is en ook ten laste is gelegd. Zie ook de blog van Arnoud Engelfriet over deze zaak.

De verdachte wordt wel veroordeeld voor oplichting, waarbij de verdachte met de verkregen telefoonabonnementen aankopen heeft gedaan bij 090-nummers. Het betrof onder andere (bitcoin)vouchers en bel- en goktegoeden, die vervolgens werden omgezet naar (giraal) geld (o.a. via Skrill). In het huis van de verdachte en in een door haar partner gehuurde garagebox werden maar liefst 1161 modems aangetroffen. De gevorderde schadevergoeding van €575.489,61 (!) wordt niet-ontvankelijk verklaard, omdat ‘een volmacht of uittreksel van de Kamer van Koophandel ontbreekt’ waaruit kon blijken dat de persoon gemachtigd was door VodafoneZiggo voor het indienen van de vordering. Eventueel kan daarover wel nog een civielrechtelijke zaak worden aangespannen.

Veroordeling voor grootschalige phishing

Op 26 augustus 2020 heeft de rechtbank Midden-Nederland een aantal verdachten veroordeeld (ECLI:NL:RBMNE:2020:3467) voor grootschalige phishing. In deze zaak is de verdachte veroordeeld voor oplichting, verboden wapenbezit, het voorhanden hebben van software om computervredebreuk te plegen, computervredebreuk, (gewoonte)witwassen en diefstal. In totaal zijn 22 slachtoffers van de Rabobank, ING, ABN Amro en de Van Lanschot Bank benadeeld voor 170.000 euro. De slachtoffers kregen phishinglinks doorgestuurd per e-mail en sms. Daarbij werden slachtoffers doorgestuurd naar phishingwebsites. Daarna werd de ‘Mobiel Bankieren App’ geïnstalleerd op een telefoon die niet van aangevers was, waarna geldbedragen werden gepind of overgeboekt.

Uit de bewijsmiddelen is het IP-adres van de dader te linken aan het gelogde IP-adres bij transacties van slachtoffers. Het gaat daarbij onder andere om een te linken IP-adres in de iPhone van de verdachte en een chatbericht dat is gevonden op de laptop van de verdachte, waarin staat dat het desbetreffende IP-adres aan de verdachte toebehoord. Op de laptop van verdachte zijn verder verschillende afbeeldingen aangetroffen die zijn gemaakt met behulp van Gyazo, een screenshotprogramma. Eén van deze afbeeldingen toont een beheerpaneel van de domeinnaam mobielbevestigen.ml. De rechtbank leidt hieruit af dat verdachte deze website, door middel waarvan de gegevens van de aangevers zijn gephisht, kon beheren. Veelzeggend is verder het bewijs op de laptop bankrekeningnummers, pasnummers en adresgegeven van enkele van de aangevers.

In de onderhavige zaak verzorgde de verdachte voornamelijk het technische deel, d.w.z. het inrichten, hosten en beheren van websites, maar wordt ook veroordeeld voor het medeplegen van de andere strafbare feiten. De bijdrage van de verdachte was een noodzakelijke schakel – het phishing-deel – in het geheel aan handelingen waarmee de slachtoffers werden opgelicht. De verdachte krijgt een flinke gevangenisstraf opgelegd van vier jaar, waarvan één jaar voorwaardelijk.

Cybercrime jurisprudentieoverzicht augustus 2020

Veroordeling voor oplichting, computervredebreuk, witwassen en het voorhanden van malware

Op 26 juli 2020 heeft de rechtbank Zeeland-West-Brabant een verdachte veroordeeld (ECLI:NL:RBZWB:2020:2699) voor computervredebreuk, het voorhanden hebben van malware, deelname aan een criminele organisatie en oplichting.

De verdachte stuurde spamberichten (phishingberichten) naar slachtoffers met het doel hen om te leiden naar een nepwebsite van een bank voor het aanvragen van een nieuwe pinpas. De slachtoffers voerden hun rekeningnummer, pasnummer, pincode, telefoonnummer en e-mailadres in op de nepwebsite. Deze gegevens werden door de website automatisch doorgezonden naar een mededader. Met deze informatie werd een nieuwe mobiele telefoon geregistreerd voor en bankierapp.

Als dat niet mogelijk bleek, deelde de verdachte de gegevens met een andere mededader, zodat zij de betreffende klant kon bellen om het slachtoffer te overtuigen de registratie te voltooien. Na het scannen van de codes had de criminele organisatie de volledige controle over de rekening van het slachtoffer, alsmede over de daaraan gekoppelde rekeningnummers. Vanaf dat moment kon en werd er, zonder dat daarvoor een code hoefde te worden gescand, een nieuwe betaalpas aangevraagd. Deze betaalpas was nodig om het geld van de rekening van het slachtoffer door te boeken naar een andere rekening.

Via de mobiel bankieren app werden rekeningen van slachtoffers leeggehaald en werden diverse bestellingen gedaan bij webshops. In de woning en auto van verdachte zijn goederen in beslag genomen die afkomstig zijn van een aantal van de genoemde winkels. Ook zijn in de financiële gegevens van verdachte aanwijzingen gevonden voor aankopen bij webwinkels van een totaal van €108.513,81.

In de uitspraak staan enorm veel technische details vermeld. Bijvoorbeeld over hoe de zaak aan het rollen kwam door informatie in de e-mailheader die leidde naar een ‘vps-server’. De leverancier van de vps-server verstrekte vervolgens betaalinformatie van de verdachte over de verhuur van de server. Ook wordt vermeld dat op een inbeslaggenomen Macbook de programma’s “Arkei Stealer” en “Baldr” stonden. Beide programma’s betreffen ‘info stealers’ (een type malware), die van geïnfecteerde computers gebruikersnamen, wachtwoorden, creditcardnummers en andere gevoelige informatie proberen te achterhalen.

Op de inbeslaggenomen Macbook waren 1809 unieke Machine ID’s te zien, afkomstig van “Arkei Stealer”. Van vrijwel ieder besmette apparaat was een schermafdruk gemaakt en waren gebruikersnamen, wachtwoorden en andere identificerende gegevens te zien. De beheerstool om deze gegevens te beheren was ook aanwezig op de laptop.

Uitzonderlijk is nog de volgende overweging van de rechtbank: ‘ook nu realiseert de rechtbank zich dat verdachte het achterste van zijn tong niet heeft laten zien. De BlackBerry, van waaruit de server met malware werd aangestuurd, is immers op slot gebleven. Het vermoeden is dan ook dat ook hier de werkelijke schade (vele malen) groter is dan dat naar voren is gekomen in het dossier.’

De verdachte kreeg een – voor cybercrimezaken relatief zware – gevangenisstraf opgelegd van 3 jaar opgelegd gekregen, waarvan 12 maanden voorwaardelijk met een proeftijd van drie jaar. 

Veroordeling voor witwassen met bitcoins en verkoop van Netflixaccounts

Op 9 juni 2020 veroordeelde (ECLI:NL:RBOVE:2020:1960) de rechtbank Overijssel een verdachte voor (onder andere) schuldwitwassen en het voorhanden hebben van een wachtwoord of toegangscode met het oogmerk computervredebreuk te plegen. De verdachte krijgt een gevangenisstraf opgelegd van 7 maanden.

In de zaak is sprake een ‘text book’-typologie voor witwassen met virtuele valuta. De verdachte adverteerde namelijk op localbitcoins.com (cash voor Bitcoin) en in de advertentie stond onder meer:

“Afspreken kan bij de Mc Donalds of het station in Zwolle (Overijssel), gedurende de openingstijden van het restaurant.”

– “Ik handel alleen op Localbitcoins.com, geen uitzonderingen.”

– “Ik stel geen vragen over de reden van de transactie.”

De rechtbank noemt verder dat verbalisanten zagen dat de gehanteerde wisselcommissie door verdachte in oktober 2017 circa 17% bedroeg, terwijl de reguliere bitcoin exchanges maximaal 2% hanteren.

De rechtbank overweegt dat, nu de verdachte een substantieel hogere wisselcommissie hanteerde dan het door de reguliere ‘bitcoin exchangers’ gehanteerde tarief en zijn klanten bereid waren dit veel hogere tarief te betalen, de enige logische verklaring daarvoor is dat zijn klanten anoniem wilden blijven. De verdachte heeft zich daarmee schuldig gemaakt aan het schuldwitwassen van contante geldbedragen (in totaal circa 38.000 euro) en een hoeveelheid bitcoins. De rechtbank overweegt ook dat ‘omdat verdachte heeft geweigerd inzage te geven in zijn computers, niet bekend is of de volledige omvang van de witwasactiviteiten van verdachte inzichtelijk is geworden’.

De verdachte wordt ook veroordeeld voor het voorhanden hebben van een wachtwoord of toegangscode met het oogmerk computervredebreuk te plegen. De verdachte had namelijk duizenden gehackte Netflixaccounts verworven via een ‘darknet market’ (in de uitspraak wordt verwezen naar ‘Hansa Market’) en het downloaden van loginnamen en wachtwoorden via dumtext.com.

Overigens is met de inwerkingtreding van de Wet computercriminaliteit III in 2019 nu ook ‘heling van gegevens’ strafbaar gesteld in artikel 139g Sr. In een zaak met feiten als deze had mogelijk artikel 139g lid 1 sub a Sr ten laste kunnen worden gelegd:

“1. Met gevangenisstraf van ten hoogste een jaar of geldboete van de vierde categorie wordt gestraft degene die niet-openbare gegevens:

a. verwerft of voorhanden heeft, terwijl hij ten tijde van de verwerving of het voorhanden krijgen van deze gegevens wist of redelijkerwijs had moeten vermoeden dat deze door misdrijf zijn verkregen;”

Cybercrime jurisprudentieoverzicht juni 2020

Drugshandel via het darkweb, witwassen van bitcoins en voorbereiden van een aanslag

Op 23 april 2020 zijn in een megazaak door de Rechtbank Overijssel 12 verdachten veroordeeld voor drugshandel via het darkweb, witwassen met bitcoins en het voorbereiden van aanslagen op de voormalige motorclub Satudarah. Het ging om de onderzoeken ‘Metaal’ en ‘Liechtenstein’ (zie ook OM persbericht en dit nieuwsbericht).

De strafbare feiten kwamen volgens het OM aan het licht toen de politie kon meelezen met de cryptofoons (PGP-telefoons) van de verdachten. Het OM kreeg met een Europees Opsporingsbevel (EOB) van de Britse autoriteiten een kopie van de inhoud van een server met PGP-berichten in handen, dat de Nederlandse politie vervolgens op inhoud heeft onderzocht. De Britten hebben op basis van eigen bevoegdheden en met medeweten van een ander bedrijf, de chatberichten onderschept, ontsleutelt en vervolgens die chatberichten doorgeleid naar de Nederlandse autoriteiten (zie Rb. Overijssel 23 april 2020, ECLI:NL:RBOVE:2020:1587, r.o. 4.2).

De rechtbank Overijssel overweegt met betrekking tot het onderzoek Metaal dat de verdachte zich samen met zijn medeverdachten gedurende langere tijd heeft bezig gehouden met omvangrijke drugshandel. Ook werden drugs geproduceerd en vond uitvoer van verdovende middelen naar het buitenland plaats. Zij maakten bij die handel en export onder meer gebruik van het “zogenoemde Darkweb” en verzonden de bestelde drugs in vermomde postpakketten, zoals bijvoorbeeld DVD-hoesjes. Het is jammer dat in deze uitspraak de namen van de desbetreffende darknet markets zijn geanonimiseerd.

De betaling voor de drugs vond plaats in Bitcoin. De politie heeft ook een pseudokoop van drugs op een darknet market uitgevoerd in de zaak ECLI:NL:RBOVE:2020:1587. Ook is het interessant te lezen hoe de politie op basis van de accountnaam van de verdachte als verkoper op drugsforum en de PGP-sleutel, de activiteiten op verschillende darknet markets heeft getraceerd. Ook wordt opgemerkt hoe bepaalde websites niet meer online waren, maar door de politie ‘konden worden bekeken, omdat het Team Darkweb van de Landelijke politie de databases ervan had veiliggesteld’ (r.o. 4.4.3.8). De link met de verdachte en de geldtransacties konden worden vastgelegd op basis van de inhoud van de chatgesprekken, de observaties door de politie van verdachten en de door de politie gemaakte analyse met het programma ‘Chainalysis’ van de geldwissels (r.o. 4.5.3.1)

De bitcoins werden op gezette tijden omgewisseld in contant geld. De verdachten vormden op basis van gelijkwaardigheid een samenwerkingsverband, volgens de rechhtbank. De taken waren en werden in overleg verdeeld. Zij communiceerden daarover met elkaar – en met onbekend gebleven derden – door middel een communicatieapp ‘Ironchat’. Op verschillende plaatsen in Nederland hadden zij werkhuizen en ‘stashplekken’ voor de te produceren en/of te verhandelen drugs. In die panden zijn door de politie niet alleen machines en toebehoren voor de productie van drugs aangetroffen, maar ook verpakkings- en verzendingsmaterialen voor bijvoorbeeld Duitsland, Australië en de Verenigde Staten. Vier mannen krijgen voor de drugshandel via het darkweb, witwassen en deelname aan een criminele organisatie 7 jaar gevangenisstraf opgelegd.

In het onderzoek Liechtenstein ging het ook om internationale drugshandel en witwassen via bitcoins. De verdachten zijn geïdentificeerd door de accounts te koppelen van de verdachten die via de PGP-telefoon of laptops via de applicatie Ironchat met elkaar chatten over het voorbereiden van een aanslag. Twee van de zes verdachten planden meerdere aanslagen op motorclub Satudarah in Enschede. Zij dachten namelijk dat de voormalige motorclub hen had verraden bij de politie, nadat de politie een inval had gedaan bij het Enschedese drugspand. Ook verhandelden de groep XTC-pillen, methamfetamine, cocaïne, heroïne en LSD via sites, zoals ‘Rolex’, ‘Flamingo’, ‘Snapdrugz’, ‘AliExpress’ en ‘Vendor’ op het Darkweb. Via die sites zijn drugsorders uit onder meer Polen, Zweden, Duitsland en Australië bij de groep geplaatst (ECLI:NL:RBOVE:2020:1559, r.o. 4.3.3.1).

Teruggave van bitcoins en waardebepaling

Op 5 oktober 2016 werd een verdachte veroordeeld voor het stelen van elektriciteit ten behoeve van bitcoinmining. Op een van de inbeslaggenomen computers worden 127,3 bitcoins aangetroffen. Na synchronisatie van de wallet met internet blijken er een half jaar 585,5 bitcoins te zijn bijgeschreven, maar de link met de bewezenverklaarde diefstal van elektriciteit ontbreekt. De tegenwaarde van de inmiddels vervreemde bitcoins dient te worden uitgekeerd aan de verdachte, zo beslist het Hof te Den Haag (Hof Den Haag 24 oktober 2018, Computerrecht 2019/54, ECLI:NL:GHDHA:2018:2821, m nt. N. van Gelder). Daarbij sloot het hof kort gezegd aan op de gemiddelde koerswaarde van Bitcoin ten tijde van de inbeslagname. Het middel klaagt over het feit dat niet de bitcoins teruggegeven worden en subsidiair dat de waardebepaling niet klopt. De Hoge Raad verwerpt het beroep (HR 12 mei 2020, ECLI:NL:HR:2020:845).  

De (juridisch complexe) conclusie bij het arrest (ECLI:NL:PHR:2020:249) AG Bleichrodt is met name interessant, omdat daar is te lezen dat ‘de waardebepaling niet aan de rechter is’. ‘Tegen die achtergrond heeft het hof met zijn overwegingen over de waardebepaling van de 585,48591218 bitcoins waarop de last tot teruggave betrekking heeft, blijk gegeven van een onjuiste rechtsopvatting.’ De teruggave van de bitcoins is in dit geval feitelijk niet meer mogelijk. De ‘bewaarder’ dient volgens de AG over te gaan tot uitbetaling van in beginsel de prijs die de bitcoins bij verkoop door hem hebben opgebracht (r.o. 23).

Hoge Raad arrest over bezit kinderporno

Op 12 mei 2020 heeft de Hoge Raad een belangrijk arrest (ECLI:NL:HR:2020:799) gewezen over de vraag of kinderpornoafbeeldingen in een cloudopslagruime (Microsoft’s Skydrive) kwalificeert als ‘bezit’ van kinderporno (zie met name r.o. 2.3.2-2.3.3).

De Hoge Raad beslist dat bezit een fysieke connotatie heeft en mede daarom kinderporno in opslagruimte niet kwalificeert als bezit van kinderporno. Destijds is ‘toegang verschaffen’ tot kinderpornografisch materiaal ook strafbaar gesteld met de overweging dat ‘de voorgestelde aanscherping van artikel 240b Sr biedt een ruimer bereik en vormt een nuttig en wenselijk vangnet voor gevallen die mogelijk niet onder de strafbaarstelling van «bezit» zouden kunnen worden gebracht’ (Kamerstukken II 2008/09, 31810, nr. 3, p. 3-4). Overigens adviseerde AG Knigge in de conclusie bij het arrest dat het beter was gewest afbeeldingen zelf ten laste te leggen in plaats van de gegevensdrager (ECLI:NL:PHR:2020:139, r.o. 4.6.3).

Zie ook deze annotatie van Michael Berndsen (de @cyberadvocaat) over dit arrest op Bijzonderstrafrecht.nl.

Veroordeling voor smishing

Op 29 juni 2020 heeft de rechtbank Den Haag een verdachte veroordeeld (ECLI:NL:RBDHA:2020:5798) voor onder andere smishing. Smishing is oplichting via sms-berichten. In het onderzoek ‘Grote Modderkruiper’ kwam de volgende modus operandi naar boven: allereerst worden uit naam van een sms-berichten naar rekeninghouders verzonden, waarin (veelal) staat vermeld dat de bank van slachtoffers in de quarantaine zone is geplaatst en opnieuw geverifieerd dient te worden. Door op de link in een dergelijk bericht te klikken, komen gedupeerden op de internetbankierenomgeving van ogenschijnlijk de bank terecht. Daar wordt gevraagd verschillende persoonlijke en aan bankzaken te relateren gegevens in te vullen.

Met deze gegevens wordt het mogelijk via internetbankieren toegang te krijgen tot de bankrekeningen van de gedupeerden. Er kan dan worden ingelogd op het account van de gedupeerde, waarna er overboekingen gedaan kunnen worden naar rekeningen van zogenaamde money mules, ook wel geldezels genoemd. Naar de money mules worden vervolgens (grote) geldbedragen overgeboekt, waarna deze – veelal binnen zeer korte tijd – in contanten worden opgenomen bij bankautomaten.

De verdachte is opgespoord via het IP-adres waarmee in de online bankieromgeving werd ingelogd. Bij KPN werden gebruikersgegevens gevorderd en is het woonadres van de verdachte achterhaald. In de periode van 5 september 2018 tot en met 4 juni 2019 is op 126 unieke accounts ingelogd en werden in totaal werden 649 succesvolle inlogsessies waargenomen vanaf het IP-adres. Hiervan betrof 56,3% wederrechtelijke inlogsessies op accounts van klanten en money mules.

De rechtbank oordeelt dat de verdachte heeft zich samen met anderen schuldig gemaakt aan een fraude via sms-berichten. De verdachte heeft een rol gehad bij (pogingen) oplichting, computervredebreuk, diefstal met valse sleutel en witwassen. Door middel van smishing is een zeer groot aantal (potentiële) slachtoffers benaderd, waarvan een aantal heeft gereageerd en gegevens heeft verstrekt met als gevolg dat geld is weggesluisd van hun rekeningen. De rechtbank dicht aan de verdachte binnen het samenwerkingsverband, dat door de duurzaamheid en gestructureerde vorm door de rechtbank als criminele organisatie wordt gekwalificeerd, een belangrijke rol toe bij het benaderen van slachtoffers per sms en het verkrijgen van hun inloggegevens bij de betreffende desbetreffende bank. De rol van de verdachte is daarmee cruciaal voor het functioneren van de criminele organisatie. De verdachte wordt veroordeeld tot 18 jaar jeugddetentie, waarvan 9 maanden voorwaardelijk en een proeftijd van 2 jaar. Hij moet tevens een flinke schadevergoeding betalen van € 125.982,62 aan geleden materiële kosten door de bank.

Opvallend is nog de passage om in aanvulling op de door de Raad geadviseerde bijzondere voorwaarden op te nemen dat de verdachte verplicht is om medewerking te verlenen aan controle op het computergebruik. De rechtbank gaat hiermee niet akkoord, omdat de Hoge Raad bij uitspraak van 23 februari 2016 (ECLI:NL:HR:2016:302) heeft geoordeeld dat een dergelijke voorwaarde te ver ingrijpt in het privéleven van de verdachte.

E-book over digitaal kinderpornografisch materiaal

Het Kenniscentrum Cybercrime van het Hof Den Haag heeft een informatief boek (.pdf) uitgebracht over de strafbaarstelling van kinderpornografie in artikel 240b Sr. Het boek is geheel geactualiseerd en zeer uitgebreid. Door het in open access beschikbaar te stellen kan ook buiten de rechtspraak van deze kennis gebruik worden gemaakt.

A. Kuijer, J.W. van den Hurk & S.J. de Vries, Artikel 240b Sr. Juridische en digitaal-technische aspecten van strafvervolging wegens gedragingen met digitaal kinderpornografisch materiaal, Kennis Centrum Cybercrime 2020, Rechtspraak.nl

Cybercrime jurisprudentieoverzicht april 2020

Veroordelingen voor criminele kinderporno-organisatie op het dark web

Enkele verdachten zijn in februari en maart 2020 veroordeeld voor het bezit en de verspreiding van kinderporno via chat websites op het dark web.

De rechtbank Rotterdam veroordeelde op 27 januari 2020 (ECLI:NL:RBROT:2020:501) een verdachte voor de deelname aan een criminele organisatie waarvoor hij beheerstaken heeft uitgevoerd en zodoende mede kinderporno heeft verspreid en aangeboden. Ook had de verdachte 11.354 afbeeldingen en 1.560 kinderpornovideo’s in zijn bezit. De overwegingen van de rechtbank over de deelname een criminele organisatie zijn interessant.

De rechtbank Rotterdam overweegt dat drie “chatsites” ‘als één organisatie kunnen en moeten worden beschouwd, omdat zij allen: “chatsites op het Darkweb’ waren, dezelfde modus operandi hadden, een gemeenschappelijk uitgangspunt hadden (onderling contact hebben met ‘liefhebbers van minderjarigen’) en dezelfde mogelijkheden boden (afbeeldingen aanbieden en beschikbaar stellen via een link), op hetzelfde script en dezelfde architectuur waren gebaseerd en de structuur en werkwijze op de sites overeen kwam. Daar komt nog bij dat de ‘beheersmatige handelingen op deze sites werden verricht door vrijwel dezelfde personen”.

De verdachte was tenminste twee jaar lang samen met andere personen actief als oprichter/beheerder, hoofdadministrator, moderator of administrator van de websites. Ook konden zij andere personen voordragen voor genoemde functies en konden leden worden gemonitord.

Uit de bewijsmiddelen blijkt dat er sprake was van een hiërarchie en structuur, omdat de moderators en administrators meer rechten en privileges hadden dan de geregistreerde gebruikers en de gasten en zij alleen toegang hadden tot bepaalde afgeschermde gedeeltes van de sites. Ook uit de hiervoor genoemde functies en rol- en taakverdeling blijkt van een georganiseerd verband. Daarom was er sprake van een criminele organisatie als bedoelt in art. 140 Sr, waar de verdachte deel van uit maakte. De verdachte wordt veroordeeld voor 3 jaar gevangenisstraf (waarvan één voorwaardelijk) en een proeftijd van drie jaar met bijzondere voorwaarden.

De rechtbank Overijssel veroordeelde op 3 maart 2020 (ECLI:NL:RBOVE:2020:913) een verdachte voor het gewoonte maken van het verspreiden van kinderporno via chatrooms, het bezit van kinderporno en de deelname aan criminele organisatie. De verdachte kwam volgens de uitspraak in beeld ‘nadat de Britse opsporingsautoriteiten berichtten dat voornoemd webadres werd gehost op het IP-adres van verdachte’. In de uitspraak van de rechtbank Overijssel zijn meer details over het onderzoek ’26Somerville’ te lezen. De verdachte in deze zaak was ‘hoofdadminstrator en hoster’ van twee chatrooms. Hij ‘promoveerde’ bezoekers bijvoorbeeld tot moderator als deze ‘langere tijd positief’ opvielen.

De ‘staff’ van de chatsites hadden verschillende rangen met eigen chatkanalen. Op die kanalen kon men makkelijker en vrijer praten, omdat buitenstaanders minder makkelijk konden meelezen. De leden hielden aantekeningen van vergaderingen; hetgeen achteraf bijdroeg aan het bewijs tegen de kinderpornogebruikers. De database van een chatroom met 185 gebruikersnamen met hun rang is tevens in beslag genomen. De chatroom werd door de verdachte gehost via een virtuele machine op zijn PC.

De rechtbank ging niet mee in het verweer dat het delen van tekst en links naar kinderporno geen verspreiding van kinderporno is. Ook de waarschuwing op de chatsites dat geen kinderporno mocht worden verspreid, overtuigde de rechters niet omdat uit ander bewijs was af te leiden dat het daadwerkelijk kinderporno is verspreid. Uit de uitspraak wordt niet duidelijk op welke wijze het bewijs verzameld, maar de politie kon blijkbaar vaststellen dat in één van de chatrooms bijvoorbeeld 2410 gedeelde afbeeldingen tussen 26 januari 2018 en 14 juni 2018 zijn gedeeld, waarvan er 298 afbeeldingen kinderpornografisch waren. Feitelijk was dus sprake van de verspreiding van kinderporno. Door slechts te volstaan met de enkele vermelding van het verbod op de pagina na het inlogscherm op [chatroom 3] en het handmatig – door moderators – laten controleren van afbeeldingen, heeft verdachte bewust de aanmerkelijke kans aanvaard dat toch kinderporno zou worden gedeeld op [chatroom 3], aldus de rechtbank.

De rechtbank acht daarom bewezen dat verdachte voorwaardelijk opzet had op het verspreiden, aanbieden, openlijk tentoonstellen, verwerven en in bezit hebben van kinderpornografische afbeeldingen, alsook op het toegang verschaffen tot kinderpornografische afbeeldingen. Ook op andere gegevensdragers werd bij de verdachte kinderporno gevonden. Interessant is bijvoorbeeld dat in een virtuele machine via de Browser ‘Internet Explorer’ of ‘Edge’ bestanden geopend waren met kinderpornografische namen. Door politie werden verder werden veertien bestandsnamen op kinderpornografische fora aangetroffen. De verdachte kreeg een gevangenisstraf opgelegd van drie jaar met bijzondere voorwaarden.  

Veroordeling voor webcamseks met Filipijns meisje

Op 24 maart 2020 heeft de Rechtbank Overijssel een verdachte veroordeeld (ECLI:NL:RBOVE:2020:1249) voor ontucht en het bezit van kinderporno. De verdachte is veroordeeld voor een voorwaardelijke gevangenisstraf van 18 maanden gevangenisstraf, een proeftijd van 3 jaar met voorwaarden en een taakstraf van 240 uur op.  

Deze zaak met ernstige feiten kwam aan het licht door een Belgische onderzoeksjournalist. De verdachte zou één van de mannen zijn die achter een webcam naar seksshow keek van aan minderjarige. De politie heeft daarop een doorzoeking gedaan en gegevensdragers in beslag genomen. Daarop is kinderporno aangetroffen, maar geen informatie waaruit bleek dat de verdachte zich bezighield met ‘live-streaming’ seksshows. Wel is een betaling via Western Union aan een slachtoffer gevonden. Later bleek dat de verdachte maandenlang chatgesprekken van seksuele aard heeft gevoerd met dit minderjarige slachtoffer.  

De rechtbank overweegt dat de verdachte met zijn gedragingen ervoor heeft gezorgd dat meisjes als het slachtoffer gedwongen blijven om deel uit te maken van een enorm winstgevend verdienmodel, waarbij jonge kinderen voor een webcam worden gezet om seksshows te doen voor volwassenen die daarvoor slechts een wifi verbinding en een laptop, en soms een paar euro, nodig hebben. De kinderen die deel uitmaken van dit soort internationale netwerken worden vanaf jonge leeftijd geseksualiseerd en krijgen niet waar elk kind ter wereld recht op heeft, namelijk een normale seksuele ontwikkeling. Dat verdachte zijn eigen dochter, van toen negen jaar jong, heeft betrokken in zijn seksueel getinte chatgesprekken met het slachtoffer, vindt de rechtbank zorgelijk.

In artikel 245 Sr is ontucht met een minderjarige strafbaar gesteld, waarbij sprake is van seksueel binnendringen in het lichaam. Van deze gedraging was volgens de rechtbank geen sprake, omdat het niet de verdachte maar twee meisjes in opdracht van de verdachte dat elders met zichzelf en/of elkaar deden. De motivatie waarom het artikel niet van toepassing is met een verwijzing naar het ‘Pollepel-arrest’ (ECLI:HR:2004:AQ0950) en literatuur is lastig te volgen en wellicht nog voor discussie vatbaar. Wel wordt aldus het plegen van ontuchtige handelingen via een ‘live-stream’ en bezit van kinderporno bewezen geacht.

Phishing van creditcardgegevens

De rechtbank Amsterdam heeft op 25 maart 2020 een bijzondere uitspraak (ECLI:NL:RBAMS:2020:1960 en ECLI:NL:RBAMS:2020:1961) gedaan over phishing met creditcardgegevens. Twee verdachten zijn veroordeeld tot een taakstraf vanwege oplichting. De uitspraak bevat interessante details over het opsporingsproces, maar bevat ook enkele slordigheden. Zou Amsterdam ook een ‘cyberkamer’ hebben ingeregeld voor cybercrimezaken? De kwaliteit van deze uitspraak laat te wensen over.

Het onderzoek ving aan met een melding van de onderzoeksafdeling fraudedetectie van International Card Services B.V. van mogelijke frauduleuze transacties. Kort daarop werden met de creditcard bestellingen via Mediamarkt gedaan. Na contact met het Openbaar Ministerie werd besloten om het pakket gecontroleerd te laten afleveren op het aangegeven adres. Geobserveerd wordt dat de verdachte het pakketje in ontvangst neemt en meeneemt naar haar woning. De politie treedt een half uur later binnen en treft verdachte en medeverdachte aan in haar slaapkamer samen met een geopende doos van de Mediamarkt. De doos met daarin een Macbook Pro is uit eerdergenoemde doos gehaald en op de pakbon staan de door Mediamarkt opgegeven bestelgegevens.

De verdediging voert aan dat niet voldoende bewezen is dat de verdachte het product heeft besteld en eist dat bijvoorbeeld DNA onderzoek op de laptop wordt gedaan. De rechtbank gaat daar in niet mee. De rechtbank stelt op basis van het bewijs vast dat de persoonlijke gegevens van de creditcardhouder via phishing zijn verkregen. Vervolgens is op de webportal van de creditcardmaatschappij ingelogd het telefoonnummer gewijzigd en zijn met de creditcard bestellingen geplaatst. Op de inbeslaggenomen laptops stonden e-mailaccounts open met diverse bestellingen op naam en rekening van creditcardhouders.

De rechtbank acht het voorhanden hebben van technische hulpmiddelen bewezen met het oogmerk om computervredebreuk bewezen, maar verwijst daarbij naar een verkeerd artikelnummer (138d Sr i.p.v. 139d lid 2 sub a Sr). Daarbij wordt uitgelegd:

“op beide laptops stonden diverse softwareprogramma’s, waaronder Sendblaster, waarmee bulk- email berichten kunnen worden verstuurd. Hierin trof men lijsten aan met duizenden e-mail adressen, verzonden phishing e-mail berichten naar onder meer banken en meerdere (templates) voor phishing berichten. Ook de op de laptops aanwezige programma’s Havij en Filezilla hebben bijgedragen aan de gepleegde computervredebreuk, te weten het binnendringen van Webportals. Ook zijn gegevens van cardhouders gewijzigd door frauduleus in te loggen op hun Webportals”.

 Het is technisch gezien natuurlijk lariekoek dat je kan binnendringen op een “Webportal”; dat doe je namelijk op de geautomatiseerde werken (de servers) van ICS. Het ligt voor de hand dat dan sprake is van binnendringen via een valse hoedanigheid (namelijk met het account van het slachtoffer), maar dat acht de rechtbank (met een minimale motivering) niet bewezen.

Grootschalige oplichting via Marktplaats

De rechtbank Midden-Nederland heeft op 6 maart 2020 een verdachte veroordeeld (ECLI:NL:RBMNE:2020:853) voor een flinke gevangenisstraf van 20 maanden, waarvan 8 voorwaardelijk en een proeftijd van drie jaar, voor phishing (oplichting), bedreiging en diefstal. In de uitspraak wordt uitvoerig de modus operandi van de criminelen besproken.

De rechtbank overweegt dat de verdachte samen met andere verdachten steeds dezelfde modus operandi (gebruikte werkwijze) aanhield. Een koper benaderde de aangever via Marktplaats of via het telefoonnummer van de aangever dat de koper via Marktplaats had verkregen. De koper liet de aangever, meestal via WhatsApp, weten dat hij het door de aangever aangeboden goed op Markplaats wilde kopen. De koper vroeg de aangever vervolgens om € 0,01 over te maken via een door hem toegestuurde betaallink en zei daarbij dat hij er op die manier zeker van kon zijn dat de aangever te vertrouwen was en hij niet opgelicht zou worden. Wanneer de aangevers de betaallink openden, zagen zij een website die qua uiterlijk overeenkwam met de website van hun eigen bank. De aangever vulde vervolgens enkele persoonlijke gegevens in om deze € 0,01 over te maken. Deze gegevens konden bestaan uit de gebruikersnaam en het wachtwoord van hun bankrekening, het bankpasnummer en de vervaldatum van de bankpas.

Deze website sloeg vervolgens de gegevens op, waarna de koper of een derde kon inloggen op de bankrekening van de aangever en transacties kon uitvoeren. In enkele gevallen werd een geldbedrag overgemaakt naar de bankrekening van een derde (een money mule) en in diverse andere gevallen verplaatste de koper een geldbedrag van de spaarrekening van de aangever naar diens betaalrekening. Hierbij werd gedaan alsof de koper een geldbedrag van zijn eigen rekening had overgemaakt naar de rekening van de aangever. In dit geval vertelde de koper de aangever dat hij per ongeluk een te groot geldbedrag had overgemaakt, waarna hij de aangever vroeg om het te veel overgemaakte geld terug te storten. Als de aangever voldeed aan dit verzoek, maakte de aangever in werkelijkheid zijn of haar eigen spaargeld over naar de koper.

Bij een deel van de aangevers is de voornoemde methode niet voltooid. Deze aangevers kregen op verschillende momenten in dit proces argwaan, werden door hun bank benaderd en gewaarschuwd voor verdachte transacties of wilden om andere redenen niet meer meewerken met de koper. Zodra de koper dit besefte, werd zijn communicatie vaak agressief jegens deze aangevers en probeerde hij ze onder bedreiging van geweld te dwingen mee te werken of een geldbedrag af te staan. De bedreigingen stonden in Whatsappjes op de inbeslaggenomen telefoons opgeslagen, zoals: [slachtoffer 4] :

“Ik steek je huis in de fik en ik steek jou kapot en ik kom van het kamp en ik steek jouw hond kapot en ik steek je vrouw neer, ik maak heel jouw familie kapot”

en daarbij het adres van die [slachtoffer 4] te noemen. Dit leverde natuurlijk het nodigde bewijs op voor het delict bedreiging.

De zaak kent ook een interessante overweging over de bewijsvoering. Het bewijs wordt zeer uitvoerig besproken, zoals verkeersgegevens van telefonie, betaalgegevens en WiFi-gegevens ter lokalisering van de verdachte. De verdachte voert aan dat de naam van een verdachte bekend moet zijn om historische verkeersgegevens van telefonie onder artikel 126nd Sv te vorderen. De rechtbank overweegt dat dit sinds het arrest van HR 22 maart 2005, ECLI:NL:HR:2005:AS4689 niet meer noodzakelijk is. Wel opmerkelijk is de overweging dat ‘phishing-websites’ als technische hulpmiddel worden gekwalificeerd met het oogmerk om computervredebreuk te plegen, terwijl later wordt gesproken over de ontwikkeling van phishing-software.

De verdachten zijn in dit traject op verschillende manieren betrokken geweest bij de phishing, terwijl deze elementen van oplichting door middel van computervredebreuk, na phishing-activiteiten met gebruik van specifiek ontwikkelde software in essentiële zin met elkaar samenhangen om tot oplichting via phishing-software te komen. Hieruit blijkt volgens de rechtbank dat beide verdachten voldoende hebben bijgedragen aan dit proces om als medeplegers te worden beschouwd.

De rechtbank Den Haag heeft op 6 maart 2020 eveneens een verdachte veroordeeld (ECLI:NL:RBDHA:2020:2595) tot 36 maanden waarvan 6 maanden voorwaardelijk met een proeftijd van twee jaren voor het op grote schaal medeplegen van identiteitsfraude, (marktplaats)oplichtingen, gewoontewitwassen en deelnemen aan een criminele organisatie. Ook zijn er meer dan 150 vorderingen van benadeelde partijen (gedeeltelijk) toegewezen. De uitgebreide uitspraak is van goede kwaliteit en interessant vanwege de besproken modus operandi van de criminelen en de bewijsvoering.

De rechtbank overweegt dat de oplichter (verkoper) via Whatsapp contact zocht met de koper in advertentie opgegeven mobiele nummer. In eerste instantie was ophalen en opsturen van het apparaat mogelijk. Echter als de koper koos voor ophalen werd het door de verkoper zo gedraaid dat het wel heel ver weg was en/of dat een afspraak niet mogelijk was. Vervolgens werd het vertrouwen van de koper gewonnen door het sturen van een (selfie met een) identiteitsbewijs en door het gebruik van een gelijkende profielfoto op WhatsApp. Na ontvangst van de betaling bleef de verkoper enige tijd bereikbaar voor de koper en kreeg de koper een valse track en trace code. Vervolgens was de verkoper niet meer bereikbaar. Geen van de kopers ontving het gekochte product. In bijna alle gevallen maakte de verkoper gebruik van de identiteit van kopers die bij een aankoop zelf waren opgelicht en hun identiteitsbewijs naar de verkoper hadden verstuurd. Dit alles leverde het delict identiteitsfraude  op.

Het geld werd overgemaakt naar rekeningen die kort daarvoor waren geopende door personen uit Oostbloklanden (waarvan 41 rekeningen bij de ING). Deze rekeningnummers werden korte tijd gebruikt en de daarop gestorte gelden werden gedurende de dagen dat de rekeningen actief waren, op een enkele uitzondering na, contant opgenomen bij geldautomaten en casino’s in Amsterdam. De verdachten wisselden vaak van Simkaart in hun mobiele telefoon. De geschreven aantekeningen  – om bij te houden met excuses waarom het pakket niet geleverd – leverde in de zaak een deel van het bewijs voor oplichting. De rechtbank overweegt dat de verdachte kiest om te zwijgen, maar het bovenstaande schreeuwt om een verklaring, zeker toen de verdachte bewijsmateriaal probeerde te vernietigen tijdens de inval van de politie.

Ten slotte is de bewijsvoering nog interessant over de netwerken waarmee verbinding is gemaakt (een WiFi-netwerk). Het netwerk had blijkbaar ‘twee unieke MAC-adressen’, waarbij “onderzoek in  openbare bronnen wees vervolgens uit dat deze MAC-adressen behoorden bij twee Blackberry telefoons. De historische locatiegegevens van deze MAC-adressen gaven GPS locatiecoördinaten [GPS locatie 1] , [GPS locatie 2] die, met een nauwkeurigheid van 150 meter, de [adres 1] – de straat waar de verdachte woont – aanwijzen als de plek waar deze netwerken zijn gebruikt”.

Hoewel de oplichtingen per persoon slechts bedragen van tussen 300-600 euro bedroegen, wordt bewezen geacht dat de verdachte – samen met anderen – in totaal voor een bedrag van 105.261,41 euro heeft opgelicht.

Jurisprudentieoverzicht cybercrime februari 2020

Hoge Raad arrest over kaartlezers

De Hoge Raad heeft op 17 december 2019 een arrest (ECLI:NL:HR:2019:1973) gewezen over de vraag of een kaartlezer een geautomatiseerd werk (artikel 80sexies Sr) is. De zaak ging over een vorm van fraude waarbij gemanipuleerde ‘e.dentifiers’ in bankshops van een bank werden geplaatst. Daarmee werden vervolgens valse betaalpassen vervaardigd, waarmee in totaal meer dan € 1 miljoen contant is opgenomen bij pinautomaten.

De Hoge Raad overweegt herhaalt de relevante overwegingen uit ECLI:NL:HR:2013:BY9718 met betrekking tot het (oude) begrip ‘geautomatiseerd werk’ in artikel 80sexies Sr. De Hoge Raad overweegt dat de kaartlezer een geautomatiseerd werk is, omdat het een apparaat is die  authenticatie en uitwisseling van mede op rekeninggegevens en pincodes gebaseerde (challenge- en response)cijfercodes met het Internet Bankieren-systeem van de bank mogelijk maakt. Dat vindt plaats ten behoeve van digitale bancaire transacties. Zij maken daarmee deel uit van een systeem waarbij opslag, verwerking en overdracht van gegevens plaatsvindt (r.o. 3.5.3).

Oude vs nieuwe definitie geautomatiseerd werk

Het arrest gaat nog over de oude definitie van een geautomatiseerd werk. Het begrip is door de inwerkingtreding van de Wet computercriminaliteit III gewijzigd in:

“Onder geautomatiseerd werk wordt verstaan een apparaat of groep van onderling verbonden of samenhangende apparaten, waarvan er één of meer op basis van een programma automatisch computergegevens verwerken”.

Met dit nieuwe begrip wordt aangesloten uit de definitie uit het Cybercrimeverdrag. Hieronder vallen volgens de toelichting in ieder geval apparaten die gegevens verwerken en in verbinding staan met een netwerk. Gezien de verwerking van gegevens valt mijns inziens een kaartlezer ook onder dit nieuwe begrip van een geautomatiseerd werk.

Aftappen en opnemen van gegevens

Over aftappen en opnemen in de zin artikel 139c Sr overweegt de Hoge Raad dat uit de wetsgeschiedenis volgt dat de in art. 139c Sr opgenomen termen ‘aftapt’ en ‘opneemt’ zien op het onderscheppen en vastleggen van stromende gegevens, dat wil zeggen gegevens die in een proces zijn van verwerking en overdracht. Het vastleggen van opgeslagen gegevens valt niet aan te merken als aftappen of opnemen in de zin van art. 139c Sr, maar als het ‘overnemen’ van gegevens (r.o. 3.6.2).

De Hoge Raad gaat mee in het oordeel van het Hof dat sprake is van ‘afgetapte en opgenomen gegevens’, omdat actief werd ingegrepen tijdens het ‘vraag- en antwoordspel van de identificatiekaartlezer’ tijdens internetbankieren. Daarbij worden gegevens via de chip opgevraagd, die in reactie daarop worden overgedragen en via een PIN code worden onderschept (r.o. 3.6.3).

Livestream kan afbeelding zijn in de zin van art. 240b Sr

Op 10 december 2019 heeft de rechtbank West-Brabant-Zeeland een 66-jarige verdachte veroordeeld (ECLI:NL:RBZWB:2019:5546) tot drie jaar gevangenisstraf en TBS voor ontucht en de vervaardiging en verspreiding van kinderporno.

De “surrogaat opa” won het vertrouwen van een gezin droeg als oppas zorg voor een 12-jarige meisje. Met dit meisje heeft hij ontucht gepleegd en heeft hij beeldmateriaal vervaardigd. In 2000 is verdachte in Nederland ook al veroordeeld tot 30 maanden gevangenisstraf waarvan zes maanden voorwaardelijk voor soortgelijke feiten. In 2012 is verdachte in België veroordeeld tot 6 jaar gevangenisstraf voor verkrachting en aanranding van een minderjarige.

Het is een zaak met dramatische en trieste feiten, maar juridisch gezien wordt een belangrijke vraag gesteld. De verdachte heeft met zijn eigen telefoon en onder zijn eigen account een livestream van seksuele activiteiten en handelingen van het slachtoffer uitgezonden.

De rechtbank overweegt dat sprake is van een kinderpornografische ‘afbeelding’ in de in zin art. 240b Sr, omdat via een livestream mogelijk wordt gemaakt dat anderen een weergave van de werkelijke seksuele gedragingen van kinderen kunnen zien door middel van streamen en volgen. De verdediging voert aan dat geen sprake is van een afbeelding in de zin van 240 Sr, omdat geen sprake is van het vereiste van ‘enige duurzaamheid’. De rechtbank gaat daar niet in mee.

De rechtbank overweegt dat ‘een afbeelding in de zin van genoemd artikel is het weergeven van een werkelijkheid door middel van een technisch hulpmiddel waardoor deze werkelijkheid door (veel) anderen door middel van gebruik van techniek bekeken kan worden. Gelet op het doel en de strekking van genoemd artikel is ‘enige duurzaamheid’ geen vereiste om te kunnen spreken van een afbeelding in de zin van dit artikel’.

Veroordeling voor verspreiding kinderporno via GigaTribe

Op 11 december 2019 heeft het Hof Arnhem-Leeuwarden een verdachte veroordeeld (ECLI:NL:GHARL:2019:11285) tot 12 maanden gevangenisstraf voor de verspreiding van kinderporno via het peer-to-peer programma GigaTribe.

Net als in ECLI:NL:RBNNE:2017:2882 (zie ook mijn annotatie hierover) werd de zaak opgestart nadat Zwitserse autoriteiten via een undercover actie het account van een persoon hadden overgenomen en daarmee met de Nederlandse verdachte communiceerden over kinderporno. Tijdens het chatgesprek met de verdachte ontvingen de Zwitserse autoriteiten het wachtwoord van zijn versleutelde folder, waarin kinderporno bleek te staan. De Zwitserse ‘Cybercrime Coordination Unit’ deelden de informatie met de Nederlandse autoriteiten, die een onderzoek startten.

De verdediging voerde aan dat het Openbaar Ministerie niet-ontvankelijk moet worden verklaard voor het gebruik van bewijsmateriaal door de undercover acties van de Zwitserse autoriteiten.

Volgens het hof is er geen sprake van enig vormverzuim. Tijdens de doorzoeking van de woning van een verdachte is op een computer en USB-stick van de verdachte 1048 foto’s en 409 films aangetroffen met kinderpornografisch materiaal. Bovendien stonden op de laptop van de verdachte GigaTribe-chatgesprekken.

Mooi is ook de volgende overweging van het hof: ‘dat de verdachte de gebruiker is geweest van het account leidt het hof af uit de omstandigheid dat nagenoeg hetzelfde wachtwoord van dit account, staat vermeld op de onderlegger die de verbalisanten onder het toetsenbord van de verdachte hebben aangetroffen’. Ook kon het IP-adres worden teruggeleid tot de verdachte.

Veroordeling voor dreiging high school shooting via YouTube

Het hof Amsterdam heeft op 10 december 2019 een verdachte vrijgesproken (ECLI:NL:GHAMS:2019:461) van poging tot bedreiging. De minderjarige verdachte werd verweten op YouTube de volgende tekst te plaatsen:

“Fuck you man just when I was planning my school shooting you came out with motivational bs (this is actually no joke)”.

Het hof overweegt in hun vrijspraak dat in welke context de verdachte zijn bericht heeft geplaatst, namelijk op een groepspagina van een website en als reactie op een bericht van de beheerder. Niet is komen vast te staan dat er een potentiële groep bedreigden op de hoogte zijn geraakt van de bedreiging.

Daarbij komt dat de woorden in het bericht, mede gelet op de context waarin ze zijn gebruikt, een onvoldoende specifieke inhoud en een onvoldoende duidelijk dreigende strekking hebben om een strafbare bedreiging op te leveren. De geplaatste tekst bevat ook geen enkele verwijzing naar een bestaande school, noch naar een locatie waar een dergelijke shooting zou plaatsvinden.

Het hof is daarom van oordeel dat onvoldoende grond bestaat voor de conclusie dat door het bericht redelijke vrees kon ontstaan dat personen het leven zouden kunnen verliezen, zodat ook om die reden van een voltooide bedreiging geen sprake kon zijn. Het bericht kan om dezelfde redenen evenmin worden aangemerkt als een begin van uitvoering om een dergelijke vrees te doen ontstaan, zodat ook van een poging tot bedreiging geen sprake is.

Gevangenisstraffen voor grootschalige phishing

De rechtbank Midden-Nederland heeft op 11 december 2019 verschillende verdachten veroordeeld (o.a. ECLI:NL:RBMNE:2019:5885 t/m ECLI:NL:RBMNE:2019:5898) voor grootschalige phishing. Sommige verdachten kregen een gevangenisstraf opgelegd van 2 en 3 jaar. Ook moesten sommige verdachten geleden schade terugbetalen van rond de 150.000 euro.

De phishing ging in zijn werking door mails te sturen naar mensen die zogenaamd van banken afkomstig zijn. Vervolgens worden de rekeninghouders doorgestuurd naar websites die sprekend op die van de banken lijken. Later verstuurde de verdachte phishingmails waarin stond dat de rekeninghouder een nieuwe bankpas aan moest vragen en zijn inloggegevens moest invoeren.

De gegevens die de gedupeerden op de nepwebsite achter lieten, kwamen terecht in een mailbox waar de verdachte de inloggegevens van had. Op die manier konden de verdachten bij hun inlog- en bankgegevens en konden mededaders geld opnemen bij pinautomaten. De verdachten bestelden daarnaast spullen bij webwinkels en haalden de goederen vervolgens bij afhaalpunten op.

De verdachten maakten zich volgens de rechtbank, met ieder zijn eigen rol, op een uitgekookte manier schuldig aan meerdere diefstallen, oplichting, computervredebreuk (art. 138ab Sr), het ter beschikking stellen van software om computervredebreuk te plegen (art. 139d jo art. 138 ab Sr) en witwassen.

Aftappen en GPS-trackers

Het Hof Den Haag heeft op 17 december 2019 een verdachte vrijgesproken (ECLI:NL:GHDHA:2019:3510). De verdachte werd verweten een GPS-tracker te plaatsen van de auto van zijn ex-partner. Met de GPS-tracker kon hij locatiegegevens van de auto van zijn ex-partner heimelijk verkrijgen.

De betreffende GPS-tracker was uitgerust met een simkaart en was gekoppeld aan een telefoonnummer van een opdrachtgever. De GPS-tracker kon vervolgens telkens worden geactiveerd door het versturen van een sms-bericht vanaf het telefoonnummer van de opdrachtgever. Na ontvangst van een sms-bericht werd een plaatsbepaling uitgevoerd en stuurde de GPS-tracker een sms-bericht met de actuele locatiegegevens naar de opdrachtgever. Uit onderzoek is gebleken dat zulks in ieder geval 12 keer heeft plaatsgevonden.

Strafbaarheid

De verdachte werd art. 139c Sr ten laste gelegd. Dat artikel stelt strafbaar het ‘opzettelijk en wederrechtelijk met een technisch hulpmiddel gegevens aftappen of opnemen, die niet voor hem bestemd zijn en die worden verwerkt of overgedragen door middel van telecommunicatie of door middel van een geautomatiseerd werk’ (onderstreping toegevoegd).

Kortgezegd overweegt het Hof dat geen sprake is van ‘aftappen of opnemen in de zin van artikel 139c Sr’, omdat dan sprake moet zijn van een (bestaande) gegevensstroom tussen twee partijen waar een derde kennis van neemt. Hier betreft het volgens het hof slechts een gegevensstroom tussen de GPS-tracker en het telefoonnummer.

Daarnaast is hier volgens het hof geen sprake van gegevens die “niet bestemd” zijn voor degene die aftapt of opneemt.

Bij de motivering van het arrest wordt helaas niet verwezen naar relevante wetsgeschiedenis of jurisprudentie. Een korte zoekslag levert het volgende op.

Relatie met communicatiegeheim

In de wetsgeschiedenis van de Wet computercriminaliteit II is te lezen dat het bij art. 139c Sr ook kan gaan om het aftappen of opnemen van communicatie tussen apparaten. Het gaat om telecommunicatie in een brede betekenis van het woord: als iedere vorm van overdracht, uitzending of ontvangst van gegevens via kabels, radio-elektrische weg dan wel door middel van optische of andere (elektromagnetische) systemen. Het artikel is gecreëerd als uitwerking van artikel 13 Grondwet, waarbij het dus vooral om de bescherming van vertrouwelijke communicatie gaat.

Andere jurisprudentie

In 2017 overwoog de rechtbank Limburg in een soortgelijke zaak nog: ‘dat het aftappen van de vervoersbewegingen van de auto van de juwelier door middel van hun telefoon en/of computer in strijd is met het in artikel 139c van het Wetboek van Strafrecht’.

In hoger beroep (ECLI:NL:GHSHE:2019:4490) legde de advocaat-generaal uit het plaatsen van een GPS-tracker niet betekent dat verdachte heeft afgetapt, afgeluisterd of opgenomen in de zin van artikel 139d van het Wetboek van Strafrecht, omdat aldus niet de gegevensverwerking of -overdracht door een ander afgetapt, afgeluisterd of opgenomen wordt. Daarmee lijkt de redenering van het hof Den Haag ook in andere jurisprudentie bevestiging te vinden.

Ander artikel van toepassing?

De conclusie is dus dat je niet kan ‘aftappen of opnemen’ met een GPS-tracker in de zin van artikel 139c Sr. Het lijkt mij ook een terechte conclusie gezien de tekst van de wet en achtergrond van de strafbaarstelling in relatie tot het briefgeheim.

Dan rest mij de vraag nog wel welk artikel dan wel van toepassing zou kunnen zijn als iemand een GPS-tracker onder je auto plaatst. Mogelijk kan je het via het civiele recht adresseren (onrechtmatige daad), maar ik kan geen strafrechtelijk artikel bedenken (tenzij je het gebruikt om iemand te af te persen ofzo natuurlijk).

Suggesties voor een mogelijk toepasselijk artikel via een reactie onder dit bericht of op Twitter zijn uiteraard welkom!

Meelezen op de appgroep: “Vreugdevuur Scheveningen”

In deze korte blog wil ik een beschikking signaleren die bij mij veel vragen oproept

Op 7 december 2019 heeft een rechter-commissaris van de rechtbank Den Haag in een beschikking (ECLI:NL:RBDHA:2019:14245) schriftelijk bevestigd goedkeuring te verlenen om binnenkomende berichten op de Whatsappgroep “Vreugdevuur Scheveningen” mee te lezen. De telefoon van de betrokken verdachte is in beslag genomen en de verdachte heeft vrijwillige de toegangscode van zijn telefoon verstrekt. Het is mij onduidelijk gebleven van welk misdrijf de verdachte wordt verdacht.

Probleem: niet aftapbaarheid

Het probleem is hier dat de politie graag de berichten in de Whatsappgroep wilt meelezen, maar dit niet mogelijk is door een tap te plaatsen. Whatsapp werkt klaarblijkelijk niet mee aan een bevel tot plaatsing van een telecommunicatietap.

Wet biedt strikt genomen geen ruimte

De wet laat op het moment het meelezen van binnenkomende berichten strikt genomen niet toe. De Commissie-Koops besteed in hun lijvige rapport hier veel aandacht aan (zie par. 5.3.4). De commissie beveelt aan de regeling in het wetboek van strafvordering aan te passen, zodat het (op voorhand voorzienbaar) laten binnenkomen van berichten is toegestaan. Als gevolg van de aanbeveling van deze commissie is een wetsvoorstel in consultatie gegeven (het conceptwetsvoorstel Innovatiewet Strafvordering), die dit mogelijk maakt door aanpassing van de regeling van de netwerkzoeking.

Toch toestemming

Toch beslist de rechter-commissaris in deze zaak dat het is toegestaan binnenkomende berichten mee te lezen. “Nood breekt wet”, lijkt de gedachte. De rechter-commissaris motiveert de beslissing door naar analogie aan de voorwaarden van de bijzondere opsporingsbevoegdheid tot het plaatsen van een telecommunicatietap (in artikel 126m Sv) te toetsen. Hoewel de omschrijving van de bevoegdheid in de tekst hele andere handelingen beschrijft, constateert de RC dat ‘het verschil in methode, tappen of meelezen, niet wezenlijk is te noemen’.

Discussie

Ik begrijp de gedachtegang van de rechter-commissaris wel en het is goed dat aansluiting wordt gezocht met een vergelijkbare bijzondere opsporingsbevoegdheid met strenge vereisten. De privacy-inbreuk is inderdaad ook vergelijkbaar met een tap.

Maar de rechter-commissaris keurt een opsporingsmethode goed, waartoe het Wetboek van Strafvordering op dit moment geen ruimte biedt. De Nederlandse wetgever moet nog via een democratisch proces beslissen of het wenselijk is dat juist deze opsporingsmethode mogelijk wordt door de regeling van de netwerkzoeking aan te passen in de Innovatiewet Strafvordering en zo ja, onder welke voorwaarden dat wenselijk is.

Consequentie mogelijk vormverzuim?

Het is te bezien of het vraagstuk uit deze beschikking tot een zittingsrechter komt en de verdediging hier een punt van maakt. En zelfs als dat gebeurt, is het maar de vraag of het als een vormverzuim wordt gezien dat tot een sanctie leidt, zoals strafvermindering.

Ik hoop niet dat vaak zo vrij en naar ‘analogie’ van de wet door rechter-commissarissen wordt geredeneerd. Het achterliggende idee van het strafvorderlijk legaliteitsbeginsel in de opsporing is juist dat – door de wetgever en na een democratisch proces – in de wet wordt vastgelegd welke ingrijpende opsporingshandelingen onder welke voorwaarden mogen worden ingezet.

Cybercrime jurisprudentieoverzicht – december 2019

Veroordeling beheerder Maxided, een mislukte strafzaak?

‘Maxided’ was een bedrijf, gevestigd in Moldavië, dat binnen de IT-beveiligingsindustrie ook wel bekend staat als ‘bulletproof hosting provider’. Een bullet proof hosting service is een dienst van een bedrijf die serverruimte verhuurt aan cliënten, waarbij hun klanten bewust de ruimte en mogelijkheden krijgen alle typen inhoud – ook illegale inhoud – aan te bieden. De naam refereert naar de ‘bescherming’ die diensten bieden tegen opsporingsdiensten en andere partijen de materiaal offline willen halen. Nederland had in deze zaak rechtsmacht, omdat (o.a.) een deel van de gehuurde servers in Naaldwijk en Amsterdam stonden.

De rechtbank merkt op het dat ‘het als medepleger opzetten en onderhouden van een ‘filesharingsdienst’ teneinde de onwettige verspreiding van inhoud door gebruikers van dienst mogelijk te maken, buiten artikel 54a Sr (oud) valt’. Er volgt vrijspraak t.a.v. van het tenlastegelegde ernstige feit van het medeplegen van het verspreiden van kinderpornografisch materiaal. Volgens de rechtbank is geen sprake van opzet, ook niet in voorwaardelijke zin, op deze gedragingen. De rechtbank vond dat het openbaar ministerie bewijs moest aandragen dat de verdachte bewust was (dat er sprake was van opzet) van het de verspreiding van kinderporno. Dat de verdachte heeft verklaard dat illegale software en (volwassenen) porno werd uitgewisseld, vormt daarvoor geen onderbouwing. Evenmin blijkt dat de verdachte betrokken is geweest bij de afhandeling van abuse-meldingen betreffende kinderporno, aldus de rechtbank. Gelet daarop is ook van voorwaardelijk opzet geen sprake.

De rechtbank Rotterdam heeft op 29 april 2019 de uitspraak (pas) op 17 oktober 2019 gepubliceerd (ECLI:NL:RBROT:2019:8067). Over de zaak werd in NRC Handelsblad gezegd dat ‘Justitie zegt geleerd te hebben van een mislukte strafzaak tegen Maxided’. Onduidelijk is wat die leerpunten zijn. Des te opmerkelijker is het dat de uitspraak niet zo snel mogelijk is gepubliceerd. Mogelijk had het OM eenvoudig gezegd meer bewijs van de verspreiding van kinderporno moeten aandragen. Het is opvallend dat wel een uitgebreide paper over Maxided is gepubliceerd met een uitgebreide analyse van de gegevens die in beslag zijn genomen in de Maxided-zaak. Zie Noorozian e.a. 2019 (.pdf): “The confiscated dataincludes over seven years of records (Jan 2011 – May 2018) on server packages on offer, transactions with customers, provisioned servers, customer tickets, pricing, and payment instruments. In addition to the confiscated systems, two men were arrested: allegedly the owner and admin of MaxiDed“. Ook twee medewerkers van het Team High Tech Crime hebben blijkbaar meegewerkt aan de paper. Waren er niet meer gegevens bruikbaar geweest voor de bewijsvoering?

Wel wordt de verdachte veroordeelt tot het gewoonte maken van schuldwitwassen. De verdachte kreeg in totaal meer dan 500.000 euro via ‘ePayments’. De verdachte had toegang tot betaalsystemen van de bedrijven (zoals Webmoney en Bitcoins), maar niet is bewezen dat ‘verdachte ook bevoegd was om over de inkomsten van deze bedrijven te beschikken’. Ten aanzien van zijn salaris moest hij redelijkerwijs vermoeden dat het geld van de ondernemingen werd verdiend met het delen van porno en software zonder toestemming van auteursrechthebbenden. Hij heeft dit feit ook bekend.

In plaats van de geëiste vijf jaar gevangenisstraf krijgt de verdachte slechts vijf maanden gevangenisstraf opgelegd, met vermindering van de tijd die hij in verzekering of voorlopige hechtenis heeft doorgebracht.

Megazaak over ‘Tikkie-fraude’

In de megazaak ‘Roetnevel’ zijn een vijftal verdachten op 5 december 2019 veroordeeld (o.a. ECLI:NL:RBROT:2019:9522) voor ‘Tikkie-fraude’. De verdachten gingen als volgt te werk. De fraudeur toonde interesse in het aangeboden product op Markplaats.nl, waarna de conversatie zich vaak voortzette via WhatsApp. Als het op de betaling van het product aankwam, vroeg de fraudeur aan het slachtoffer of hij hem eerst één cent wilde betalen via een betaalverzoek via de ‘Tikkie-betaalapp’. De fraudeur berichtte vaker te zijn opgelicht en zou op deze manier de (bank)gegevens van de verkoper willen controleren. In werkelijkheid werd het slachtoffer na het klikken op de Tikkie-link naar een phishingwebsite geleid, dat qua uiterlijk leek op de inlogpagina van zijn of haar bank.

Het slachtoffer vulde vervolgens diverse gegevens in op de phishingwebsite, zoals de gebruikersnaam en het wachtwoord van een internetbankierenaccount. Ook vulden de slachtoffers dikwijls een ontvangen (TAN-)code in. De fraudeur heeft de op de phishingwebsite ingevoerde gegevens afgevangen en overgenomen, waarmee vervolgens kon worden ingelogd op het internetbankierenaccount van het slachtoffer. Tevens werden op een mobiel toestel van de fraudeur de Mobiel Bankieren App en vaak ook de Mobiel Betalen App (voor contactloos betalen) geïnstalleerd die gekoppeld werden aan de betaalrekening van het slachtoffer. Daarmee zijn diverse betalingen gedaan, onder andere in de MediaMarkt. Een deel van die aankopen werd kort daarna in een andere vestiging geretourneerd tegen contant geld. Daarnaast werden er door middel van genoemde apps soms overschrijvingen (tussen spaar- en betaalrekeningen) gedaan.

De bewijsmiddelen zijn met name afkomstig uit de inhoud en locatiegegevens van getapte telefoongesprekken en de loggegevens van ING-bank, waaruit bijvoorbeeld blijkt dat met een nader IP-adres en ‘Device-ID’ is ingelogd op de internetbankieromgeving. Ook speelde de metadata uit een selfie-foto bestemd voor op Facebook in een van de zaken een belangrijke rol voor het koppelen van de identiteit van de verdachten aan het gebruik van de apparaten.

In deze zaak werden drie verdachten veroordeeld voor computervredebreuk, diefstal, oplichting en lidmaatschap criminele organisatie. De rechtbank overweegt dat om te kunnen spreken van een organisatie als bedoeld in artikel 140 Sr, de bestanddelen van de organisatie, oogmerk van de organisatie en deelneming aan die organisatie zijn vervuld. Even ter herhaling: onder organisatie wordt een samenwerkingsverband verstaan, met een zekere duurzaamheid en structuur tussen een verdachte en ten minste één andere persoon. Het oogmerk van die organisatie moet gericht zijn op het plegen van misdrijven. Van deelneming aan de organisatie is pas sprake als de verdachte behoort tot het samenwerkingsverband en een aandeel heeft in, of ondersteunt bij, gedragingen die strekken tot of rechtstreeks verband houden met de verwezenlijking van het oogmerk (tot het plegen van misdrijven).

Uit het dossier blijkt dat in diverse zaken meerdere personen onderdelen van de Tikkie-fraude hebben gepleegd. De personen die contact hadden met de slachtoffers, de personen die inlogden met de verkregen gegevens en de personen die de aankopen zijn gaan doen, moesten veelvuldig in een nauw verband met elkaar hebben samengewerkt om de opzet te laten slagen. De deelname aan een criminele organisatie leidde onder andere tot de hogere gevangenisstraf van 15 maanden in plaats van zes maanden. Ook moesten de verdachten een schadevergoeding van enkele duizenden euro’s betalen aan de slachtoffers van de fraude.

Veroordeling voor financiering terrorisme met cryptocurrency

De rechtbank Rotterdam heeft op 22 oktober 2019 een verdachte veroordeeld (ECLI:NL:RBROT:2019:8237) tot deelname aan een terroristische organisatie, diefstal en oplichting. De verdachte heeft met mededaders in Somaliland en Zuid-Afrika deelgenomen aan een aan IS gelieerde terroristische organisatie, die het oogmerk had om aanslagen voor te bereiden, door het werven van gelden door ontvoeringen, moord en diefstal.

De rechtbank legt uit dat van een terroristische organisatie sprake is, indien een organisatie beoogt misdrijven met een terroristisch oogmerk te plegen. Onder terroristisch oogmerk wordt ingevolge artikel 83a Sr verstaan ‘het oogmerk om (een deel van) de bevolking ernstige vrees aan te jagen, dan wel een overheid of internationale organisatie wederrechtelijk te dwingen iets te doen, niet te doen of te dulden, dan wel de fundamentele politieke, constitutionele, economische of sociale structuren van een land of een internationale organisatie ernstig te ontwrichten of te vernietigen’. Islamitische Staat (IS), voorheen Islamic State of Iraq and Shaam (ISIS) en Islamic State of Iraq and Levant (ISIL) genoemd, worden aangemerkt als een (verboden) terroristische organisatie. Deelname aan IS moet dan ook worden beschouwd als deelname aan een terroristische organisatie als bedoeld in artikel 140a Sr. Elke bijdrage aan een organisatie kan strafbaar zijn. Een dergelijke bijdrage kan bestaan uit het (mede)plegen van enig misdrijf, maar ook uit het verrichten van hand- en spandiensten.

Het onderzoek ving aan in een ontvoeringszaak, waarbij een echtpaar werd ontvoerd en om het leven werd gebracht. In de dagen na de moord is van de bankrekening van de slachtoffers contant geld opgenomen en zijn met de betaalpas van een slachtoffer goederen gekocht. Uit onderzoek naar de telecomgegevens van de telefoons van de verdachten blijkt dat medeverdachten onderling contact hebben gehad over het echtpaar, dat zij hebben aangeduid als hun “doelwit”.

In een ambtsbericht van de AIVD die in de uitspraak wordt genoemd is onder andere te lezen dat de verdachte waarschijnlijk betrokken is bij de financiële afhandeling van de ontvoering en ‘ervaring heeft met bitcointransacties’. De Nederlandse politie krijgt (uiteindelijk) de beschikking over het digitaal beslag van Zuid-Afrikaanse autoriteiten en via de FBI over het digitaal beslag uit Somaliland. Uit digitaal forensisch onderzoek bleek dat de verdachte onder andere in chatgesprekken en gesprekken via Telegram contact had met medeverdachten die betrokken waren bij de ontvoering en mensen die naar het kalifaat wilden. In één van de chatgroepen worden pro-IS berichten gewisseld. Een chat waaraan de verdachte onder een schuilnaam deelneemt gaat over een aanslag in “Sadr City” (Bagdad), waarbij meer dan 60 doden zijn gevallen. De verdachte verheugd zich over deze aanslag: “Ahhhh the explosions in Baghad was in sadr city that killed 60+ that’s like jackpot alhamdulliiah”.

Uit de bewijsvoering blijkt dat de verdachte een account opende op ‘Coinbase’  en op zoek ging naar ‘Bittrex’, een platform voor het handelen in virtuele valuta. Er vonden diverse bitcointransacties plaats, onder meer via het handelsplatform ‘Local Bitcoin’. Ook waren heeft de verdachte een account aangemaakt op naam van iemand anders, waarmee ‘xCoins bitcoinaccount’ werd aangemaakt. xCoin is een bitcoinuitwisselingsdienst, waarmee onmiddellijk bitcoins kunnen worden aangekocht door middel van credit cards of paypal accounts. Later worden er vanuit Zuid-Afrika meerdere ‘Simplex cryptocurrency-accounts’ aangemaakt en worden er drie succesvolle aankopen gedaan met de credit card van een slachtoffer. Bij deze aankopen wordt onder meer gebruik gemaakt van een IP-adres in Zuid-Afrika, dat ook kan worden gelinkt aan het xCoins-account van de verdachte.

De rechtbank komt op grond van het bovenstaande tot het oordeel dat de verdachte door het verrichten van voornoemde handelingen feitelijk een bijdrage heeft geleverd en derhalve heeft deelgenomen aan een terroristische organisatie. Onmiddellijk na zijn detentie in oktober 2017 heeft de verdachte zich verdiept in cryptocurrency en is hij samen met voornoemde personen bezig geweest om geld in te zamelen voor een op te richten trainingskamp en kalifaat, waarbij hij onder meer gebruik heeft gemaakt van de persoonsgegevens van de door zijn mededaders ontvoerde en vermoorde slachtoffer. In gezamenlijkheid heeft de verdachte met medeverdachte plannen gemaakt voor het opzetten van een trainingskamp in Somaliland en daarvoor de voorbereidingen getroffen, waarbij de verdachte met een medeverdachte heeft gesproken over de aanschaf van raketten, wapens en drones.

De verdachte wordt veroordeeld voor zes jaar gevangenisstraf, waarvan één jaar voorwaardelijk.

Hacker van iCloud accounts veroordeeld

Op 31 oktober 2019 heeft de rechtbank Den Haag een verdachte veroordeeld (ECLI:NL:RBDHA:2019:11523) tot het hacken van meerdere iCloudaccounts. De bekennende verdachte pleegde computervredebreuk door de beveiligingsvragen bij iCloudaccounts te raden. Vervolgens gebruikte de verdachte het programma ‘iPhone Backup Extractor’ om een back-up van het gehele account te maken. Via internet is de verdachte in contact gekomen met medeverdachte, met wie hij gegevens over die iCloud-accounts en de inhoud daarvan heeft uitgewisseld via Skype en via het programma ‘Gigatribe’. Ook heeft hij de Dropboxaccount van de vriend van een slachtoffer gehackt. De gesprekken met medeverdachte waren belangrijk voor de bewijsvoering.

De verdachte heeft naaktfoto’s en bewerkte foto’s op internet geplaatst met daarbij berichten als “email me voor meer” met het e-mailadres van een slachtoffer. Daarmee is de verdachte volgens de rechtbank ook schuldig aan laster (262 Sr) en belediging (266 Sr). Ten slotte is de verdachte veroordeelt voor het bezit tot kinderporno. De verdachte krijgt een zes maanden gevangenisstraf opgelegd, waarvan vijf voorwaardelijk. Ook moet hij 1000 euro schadevergoeding aan de slachtoffers betalen.

Strafvermindering na onrechtmatige doorzoeking smartphone

Het Hof Amsterdam heeft op 23 oktober 2019 in een zaak (ECLI:NL:GHAMS:2019:4341) strafvermindering toegekend als sanctie op een vormverzuim bij het doorzoeking in een smartphone.

Het hof overweegt dat de telefoon van de verdachte via een vordering tot uitlevering is verkregen. Tijdens het opsporingsonderzoek naar een medeverdachte waren veelzeggende chatgesprekken naar voren waren gekomen m.b.t. kinderpornografisch materiaal, zoals “ik heb een slaafje van 15! dat voorlopige mijn camslaafje wordt”.

De wijze waarop de Huawei smartphone van de verdachte is onderzocht leverde een meer dan beperkte inbreuk op de persoonlijke levenssfeer van de verdachte op. Er was echter geen toestemming van een officier van justitie of rechter-commissaris verkregen. Naar het Smartphone-arrest van de Hoge Raad (HR 4 april 2017, ECLI:NL:HR:2017:584) is dat wel vereist.

De verdachte is in eerste aanleg door de rechtbank Noord-Holland vrijgesproken van het ten laste gelegde verspreiden van kinderpornografische afbeeldingen. Het Hof Amsterdam acht het bezit van drie kinderpornografische bestanden wel bewezen en veroordeelt de verdachte tot een voorwaardelijke gevangenisstraf van 6 maanden, een proeftijd van 3 jaren en de 240 uur taakstraf.

Veroordeling voor grootschalig witwassen met bitcoins

De rechtbank Overijssel heeft op 22 oktober 2019 een verdachte veroordeeld (ECLI:NL:RBOVE:2019:3787) voor het medeplegen van gewoontewitwassen met een grote hoeveelheid bitcoins. De verdachte handelde in bitcoins en trof verkopers van bitcoins bij een bedrijf in Landgraaf.

De verdachte adverteerde op Marktplaats.nl met de aankoop en verkoop van bitcoins tegen een veel hogere commissie van 4 of 5% dan de 0,35% dat volgens de rechtbank gebruikelijk is bij reguliere bitcoinwisselkantoren. Voor het omwisselen van bitcoins naar giraal geld werd gebruik gemaakt van drie bitcoinexchanges. Het ontvangen geld werd gestort op verschillende bankrekeningen van de verdachte en zijn echtgenote. In totaal werd op de onderzochte bankrekeningen € 3.594.634,56 geboekt, afkomstig van bitcoinexchanges. Hiervan werd in totaal € 3.416.150,14 contant opgenomen.

De meeste bitcoins waren afkomstig van een in 2017 neergehaalde darkweb market. De verdachte heeft geen persoonsgegevens gevraagd van zijn klanten en geen onderzoek verricht naar de herkomst en wist van de illegale herkomst. Hij garandeerde de anonimiteit van zijn klanten door af te spreken op een openbare plaats en een aanzienlijk hogere commissie rekende. Bovendien was de verdachte in bezit van een boekje dat hij als leidraad gebruikte, waarin stond dat er risico’s waren verbonden aan deze handel. Ook werd hij gewaarschuwd door de diverse banken waar de verdachte bankrekeningen had. De verdachte wordt veroordeeld tot 34 maanden gevangenisstraf.

Op 13 december 2019 heeft de rechtbank Oost-Brabant een verdachte veroordeeld (ECLI:NL:RBOBR:2019:7097) voor drugshandel via het dark web en het voorhanden hebben van drugs. Tijdens de doorzoeking in de woning is drugs gevonden, verpakkingsmateriaal en een sealmachine, een PGP-telefoon en is een groot contant geldbedrag in een keukenkastje aangetroffen. Tijdens de doorzoeking zijn twee externe harde schijven in beslag genomen met daarop verschillende documenten, waaronder prijslijsten van verschillende soorten drugs, inloggegevens voor websites op het darkweb en administratie van verschillende orders in de periode van 4 december 2017 tot en met 14 augustus 2018 die naar adressen over de gehele wereld zijn verzonden. Daarmee acht de rechtbank drugshandel en het illegaal bezit van de drugs bewezen.

De opbrengsten van de drugshandel zijn uitbetaald in bitcoins, die vervolgens zijn omgezet in giraal geld. Daarvoor is niet alleen de eigen bankrekening van verdachte gebruikt, maar ook rekeningnummers van een katvanger. Vervolgens zijn die gestorte bedragen grotendeels opgenomen en – nu niet blijkt van het tegendeel – gaat de rechtbank ervan uit dat die bedragen ook zijn uitgegeven. De verdachte heeft ook erkend dat hij opgenomen bedragen heeft besteed aan vaste lasten en boodschappen. Daarmee heeft verdachte zich wat betreft de opgenomen bedragen ook schuldig gemaakt aan het witwassen van de opbrengst van zijn drugshandel. De verklaring van verdachte dat de geldopnames in verband stonden met zijn handel in bitcoins  in opdracht van derden die hun winsten in euro’s uitgekeerd wilden zien, acht de rechtbank niet aannemelijk geworden. De verdachte wordt ook veroordeeld voor het witwassen van bijna 150.000 euro.

De verdachte krijgt een vier jaar gevangenisstraf opgelegd.

Digitaal bewijs in strafzaken

Van oktober t/m december 2019 zijn verschillende rechtszaken geweest waarbij digitaal bewijs een rol speelt. De rechtbank Overijssel veroordeelde op 29 oktober 2019 bijvoorbeeld een verdachte veroordeeld (ECLI:NL:RBOVE:2019:3958) voor een geweldadige overval. Het slachtoffer dacht dat hij via een dating app (Random Chat) een afspraak had met een meisje, maar in werkelijkheid wachtte er een groepje mannen op hem die hem onder bedreiging van wapens dwongen om onder andere zijn portemonnee en telefoon te geven.

Daar bleef het voor het slachtoffer helaas niet bij. Het slachtoffer heeft driemaal geprobeerd te pinnen, onder de bedreiging dat ‘zijn penis zou worden afgesneden’. Nadat hij zijn bankpas en pincode moest afstaan is nog diezelfde nacht vijf keer 100 euro van de bankrekening opgenomen.

Op grond van de afbeeldingen, berichten en het videofragment die op de telefoon van de verdachte is een van de daders geïdentificeerd. Aan de hand van de metadata kon worden afgeleid op welk tijdstip foto’s waren gemaakt. Ook werden berichten verstuurd over, onder andere, het ophogen van het limiet van slachtoffer om de pintransacties mogelijk te maken. De verachte moet een schadevergoeding betalen van bijna 3.400 euro en nog 30 dagen jeugddetentie uitzitten van een eerder opgelegde straf. Ook krijgt hij een gevangenisstraf opgelegd van 27 maanden.

Op 28 november 2019 heeft de rechtbank Amsterdam een verdachte veroordeeld (ECLI:NL:RBAMS:2019:8995) voor een gewelddadige overval. Via Markplaats maakte de verdachte een afspraak met het slachtoffer voor de aankoop van een duur horloge (6300 euro), waarna een woningoverval plaatsvond. De verdachten bedreigden het slachtoffer met een vuurwapen en duwde hem op te grond, in de nabijheid van zijn vijfjarige zoontje. Vervolgens moest hij zijn horloge, iPhone X en Macbook afgeven.

In de uitspraak is te lezen dat het IP-adres kon worden gekoppeld aan het account van de verdachte. Het verweer dat het Wifi-netwerk van de verdachte een groot bereik had (15 meter buiten de woning) en daarom onvoldoende is voor de bewezenverklaring wordt verworpen. De rechtbank merkt op dat het bericht op Marktplaats kan worden gekoppeld aan de telefoon van de verdachte op grond van een (door Marktplaats gegenereerde) unieke code. Die bevindingen vragen om een verklaring, die door de verdachte niet wordt gegeven. De verklaring van de verdachte dat hij niet weet welke persoon dit kan hebben gedaan, acht de rechtbank onaannemelijk. De verdachte wordt veroordeeld voor een gevangenisstraf van 25 maanden, waarvan 8 maanden voorwaardelijk en meer dan 8000 euro schadevergoeding, wegens medeplichtigheid aan de woningoverval.

Op 4 december 2019 heeft de rechtbank Zeeland-West-Brabant een verdachte veroordeeld (ECLI:NL:RBZWB:2019:5403) voor doodslag (door een schot door het hoofd van het vrouwelijke slachtoffer in de nabijheid van haar vierjarige zoon) en verboden wapenbezit.

Het wapen is in deze trieste zaak niet daadwerkelijk aangetroffen, maar wordt bewezen verklaard op grond van de verklaring van de verdachte (dat het om een ‘9mm CZ 75 SP01 Shadow gaat’). Dit wordt ondersteund door de historische internetgegevens van de inbeslaggenomen telefoon van een ander persoon. Daar is uit naar voren gekomen dat er zoekopdrachten zijn ingegeven in Google met soortgelijke vuurwapens en ter zitting heeft verdachte verklaard dat hij waarschijnlijk degene is geweest die dat heeft opgezocht, omdat hij toen geen smartphone had. De verdachte heeft bovendien verklaard dat hij het pistool op die bewuste dag bij zich droeg, toen hij in de woning van het was.

De verdachte wordt veroordeeld voor 12 jaar gevangenisstraf.

Annotatie Hansa Market

Posted on 01/11/2019 op Oerlemansblog

De digitale infiltratieoperatie op de darknet market ‘Hansa’ is uniek. Tijdens deze operatie heeft de Nederlandse politie onder leiding van het openbaar ministerie een darknet market overgenomen en 27 dagen lang gerund, teneinde bewijs te verzamelen over de verkopers en kopers op de markt.

Deze zaak van de rechtbank Rotterdam (ECLI:NL:RBROT:2019:5339) zaak betreft een veroordeling van één van de verkopers op het darknet market. De advocaat van de verdachte voert aan dat de infiltratieoperatie onrechtmatig was. In deze annotatie (.pdf) ga ik uitvoerig in op de juridische basis voor een digitale infiltratieoperatie en plaats ik een paar kritische kanttekeningen bij het gebrek aan andere verweren in deze zaak.

De feiten

Hansa is een darknet market waarop grootschalig werd gehandeld in voornamelijk drugs, zoals XTC, cocaïne, speed en amfetamine. Darknet markets zijn online handelsplaatsen die verkopers (‘vendors’) en kopers (‘buyers’) bij elkaar brengen. De handelsplaatsen zijn slechts via een bepaald protocol bereikbaar, in dit geval via het Tor netwerk. Tor zorgt ervoor dat het IP-adres van de handelsplaats en de bezoekers verborgen blijven en versleuteld het netwerkverkeer. Gesprekken tussen kopers en verkopers worden vaak versleuteld door middel van het ‘Pretty Good Privacy’-programma (PGP) en betalingen worden verricht door middel van cryptocurrencies, zoals Bitcoin en Monero. De bestelde producten worden per pakketpost afgeleverd op het gewenste adres.

De verdachte is veroordeeld voor het witwassen van bitcoins, die gekoppeld waren aan debet-, credit- en prepaidcards, en vervolgens werden omgewisseld bij een Bitcoin-uitwisselingkantoor voor in totaal meer dan 800.000 euro. Ook heeft de verdachte samen met anderen meer dan 22.000 bestellingen afgeleverd. De drugs werden verstopt in speciaal met 3D-printers geprinte verpakkingen als make-updoosjes. De hoofdverdachte wordt veroordeeld tot vijf jaar gevangenisstraf.

De rechtbank legt in het vonnis uit dat onder het bevel van een officier van justitie de infiltratiebevoegdheid in artikel 126h Wetboek van Strafvordering (Sv) is ingezet. De rechtbank omschrijft helder op welke wijze de darknet market is overgenomen:

“(…) de infrastructuur van Hansa Market naar Nederlands grondgebied geëmigreerd en is Hansa Market heimelijk en ongewijzigd door het onderzoeksteam overgenomen met als doel wachtwoorden, berichten, orderinformatie en bitcoins niet-versleuteld af te vangen teneinde verdachten te identificeren en illegale goederen in beslag te nemen. Het onderzoeksteam fungeerde daarbij als beheerder van Hansa Market, reageerde op verzoeken van kopers, nam deel aan berichtenverkeer, onderhield contacten en verrichtte een aantal pseudokopen.”

Verweer van advocaat en commentaar

De advocaat van de verdachte voert aan dat het overnemen en beheren van de site geen wettelijke basis heeft, de verdediging geen zicht heeft verkregen in de wijze waarop de infiltratie heeft plaatsgevonden, en niet te controleren is of het optreden van de opsporingsambtenaren rechtmatig was en of voldaan is aan de proportionaliteitseis. De verdediging stelt dat daarom het openbaar ministerie niet-ontvankelijk dient te worden verklaard in de vervolging van de verdachte.

De rechtbank oordeelt dat ‘het overnemen en beheren van de website valt onder de bijzondere opsporingsbevoegdheid van infiltratie in de zin van artikel 126h Sv’ (zie rechtsoverweging 3.1 uit de uitspraak). Daaruit bestaat dan ook de gehele motivering van de rechtbank ten aanzien van het eerste verweer, wat wel érg summier is. De rechtbank had kunnen verwijzen naar de wetsgeschiedenis van de Wet bijzondere opsporingsbevoegdheden waarin al in 1997 duidelijk werd aangegeven dat infiltratie ook op internet mogelijk is. Ook lag het voor de hand dat de rechtbank nog eens de achtergrond van de bevoegdheid aanhaalde. Infiltratie is namelijk bedoeld om te participeren in een criminele organisatie teneinde bewijsmateriaal over strafbare feiten te verzamelen. Het is daarbij mogelijk dat (geautoriseerde) strafbare feiten worden gepleegd. De overname en het beheer van de website voor 27 dagen lang, wordt aldus geplaatst onder de bijzondere opsporingsbevoegdheid van infiltratie. Uit het vonnis wordt niet duidelijk of Nederlandse opsporingsambtenaren ook de online identiteit (het account) van de oorspronkelijke ‘administrators’ (beheerders) van de darknet market hebben overgenomen (zie hierover dit – uitstekende – artikel van Wired). Die handeling is mogelijk onderdeel van de inzet van de infiltratiebevoegdheid, maar het is bijvoorbeeld interessant om te weten of de accountovername op vrijwillige basis plaatsvond.

Uitlokking?

De rechtbank oordeelt tevens, terecht meen ik, dat er geen sprake is van uitlokking. De rechtbank past de gebruikelijke toets toe of de verkopers en kopers door de overname niet tot andere strafbare feiten zijn gebracht door het onderzoeksteam, dan waarop hun opzet reeds was gericht (zie ook HR 29 juni 2010, ECLI:NL:HR:2010:BL0613). Met de geruisloze overname van Hansa Market heeft het onderzoeksteam de bestaande situatie in zoverre ongewijzigd voortgezet. Niet is gebleken dat verkopers (of kopers) door de overname, dan wel door het handelen van het onderzoeksteam, zijn gebracht tot het begaan van andere strafbare feiten dan waarop hun opzet reeds van tevoren was gericht. Het toelaten van nieuwe vendors en aanbieden van een korting bij personen bij wie al het opzet bestond om te handelen in verdovende middelen op deze specifieke en verborgen website, past volgens de rechtbank eveneens in dit kader en kan dan ook niet worden gekwalificeerd als uitlokking.

Over de transparantie van de infiltratieoperatie oordeelt de rechtbank dat voldoende valt te controleren of is voldaan aan de eisen van proportionaliteit en subsidiariteit. Het strafdossier bevat een aanvullend proces-verbaal  waarin inzicht in de werkwijze van de opsporingsambtenaren tijdens de infiltratie wordt verschaft. De rechtbank overweegt daarbij in het kader van de subsidiariteit, naar mijn mening terecht, dat ‘enkel het in beslag namen van servers van illegale marktplaatsen eerder niet heeft geleid tot een effectieve verstoring van de handel in verdovende middelen, maar tot een verplaatsing hiervan met behoud van de digitale structuur bij de verkopers op een andere website (het zgn. ‘waterbedeffect’)’. De operatie was namelijk opgezet in samenwerking met de FBI. De FBI heeft eerst de darknet market ‘Alphabay’ ontmanteld. De kopers en verkopers migreerden toen naar ‘Hansa Market’. Op dat moment heeft de Nederlandse politie en het openbaar ministerie de markt overgenomen en 27 dagen lang beheerd teneinde bewijs te verzamelen. Met deze infiltratieactie is het wel mogelijk gebleken de identiteit van verkopers en kopers te achterhalen en eventuele criminele tegoeden van hen in beslag te nemen. De aard en ernst van de strafbare feiten, de onmogelijkheid langs andere weg het bewijs te verzamelen en de begrensde periode van de inzet van het opsporingsmiddel, maakt in combinatie met elkaar dat is voldaan aan de proportionaliteit- en subsidiariteitseis, aldus de rechtbank.

Toch zal de proportionaliteitstoets niet eenvoudig zijn geweest. Hansa Market had naar verluid in totaal meer dan 3600 dealers en in totaal 420.000 bezoekers. Volgens een achtergrondartikel in Wired op basis van een interview met betrokken opsporingsambtenaren waren er op enig moment 5000 bezoekers per dag op de drugsmarkt en vonden ongeveer 1000 bestellingen per dag plaats tijdens het beheer van de Nederlandse autoriteiten. In totaal zouden minstens 10.000 adressen van gebruikers van de darknet market zijn vastgelegd. Hoe weegt de noodzaak tot de inzet van de bijzondere opsporingsbevoegdheid van infiltratie, vermoedelijk in combinatie met andere bijzondere opsporingsbevoegdheden zoals een netwerkzoeking en de telecommunicatietap, op tegen de privacy-inbreuk van die duizenden betrokkenen? In de uitspraak staat bijvoorbeeld in rechtsoverweging 5.3.2 dat tijdens een doorzoeking computers werden aangetroffen die waren ingelogd op een server in Parijs met toezicht tot een ander darknet market (“Dream Market”). In het eerder aangehaalde artikel van Wired staat bijvoorbeeld ook: “The NHTCU officers explained how, in the undercover work that followed, (…),  even tricked dozens of Hansa’s anonymous sellers into opening a beacon file on their computers that revealed their locations”.  Ook zijn naar verluidt de instellingen van de (programmeercode van) de  website gewijzigd, zodat wachtwoorden en geolocatiegegevens in de foto’s van gebruikers van de website zijn vastgelegd.

Rechterlijke toets?

Hieraan gerelateerd bestaat de vraag of het wenselijk is deze toets slechts bij een officier van justitie te beleggen. Het Europees Hof van de Rechten voor de Mens (EHRM) acht de betrokkenheid van een rechter(-commissaris) in undercoveroperaties als het meest geschikt, maar acht ook toezicht van een officier van justitie mogelijk als er voldoende procedures en waarborgen zijn (zie bijvoorbeeld EHRM 4 november 2010, ECLI:CE:ECHR:2010:1104JUD001875706, par. 50 (Bannikova/Rusland), EHRM 23 oktober 2014, ECLI:CE:ECHR:2014:1023JUD005464809, par. 53, (Furcht/Duitsland) en EHRM 28 juni 2018, ECLI:CE:ECHR:2018:0628JUD003153607, par. 45 (Tchokhonelidze/Georgië). Procedures en waarborgen kunnen bijdragen aan het ondervangen van bepaalde risico’s omtrent de integriteit van een dergelijk onderzoek, bijvoorbeeld het risico dat een undercoveragent zich bezighoudt met zelfverrijking of criminele activiteiten die verder gaan dan oorspronkelijk met een officier van justitie zijn afgesproken. Wellicht zag de advocaat geen heil in dit verweer en speelt hierbij mee dat in Nederland bij infiltratieacties nog een extra toets door de Centrale Toetsingscommissie van het Openbaar Ministerie plaatsvindt.

Doorlaatverbod?

De advocaat van de verdachte stelt verder geen verweer in met betrekking tot het doorlaatverbod uit 126ff Sv, wellicht omdat de schutznorm niet van toepassing is en het verweer waarschijnlijk geen voordeel voor de verdachte oplevert (zie bijvoorbeeld HR 2 juli 2002, ECLI:NL:HR:2002:AD9915). De politie en openbaar ministerie mogen in principe geen drugs doorlaten op de markt en moeten tot inbeslagname van de drugs overgaan, tenzij een zwaarwegend opsporingsbelang prevaleert en de Centrale Toetsingscommissie schriftelijk instemt. Uit nieuwsberichten (zoals deze uit Trouw) is af te leiden dat het openbaar ministerie zich heeft ingespannen pakketverzendingen met drugs tegen te houden. De vraag blijft bijvoorbeeld wel hoe dat in zijn werking ging met de levering van drugs vanuit andere landen. Het vonnis gaat hier verder niet op in.

Conclusie

Het bovenstaande in overweging nemende, kan worden geconcludeerd dat de digitale infiltratieactie op Hansa Market door de Nederlandse politie en het openbaar ministerie een klinkend succes is geweest. De infiltratieoperatie wordt rechtmatig verklaard en daar is in beginsel veel voor te zeggen.

Wel is de rechtbank summier in de motivering van de uitspraak, wordt geen verweer gevoerd met betrekking tot tal van andere bevoegdheden die vermoedelijk zijn ingezet en is het opvallend dat de advocaat niet is ingegaan op het doorlaatverbod. De Hansa-zaak laat de potentiële schaal en technische complexiteit van een dergelijke operatie zien en de lastige overwegingen die hierbij spelen, in het bijzonder met betrekking tot de proportionaliteit.

Ten slotte op deze plaats nog een persoonlijke observatie: het is opvallend dat tot nog toe zo weinig door andere juristen is geschreven over deze operatie. Het is bij uitstek een zaak met interessante juridische discussies (zie ook de opmerking van officier in deze video op 5:50 min). Zou het te technisch zijn voor de gemiddelde jurist of is de zaak simpelweg aan de aandacht ontsnapt? Het is interessant om te zien welke veroordelingen er mogelijk nog komen en welke online undercover operaties in de toekomst zullen volgen.

Privacy en bulkinterceptie in de Wiv 2017

Posted on 14/08/2019 op Oerlemansblog

Samen met mijn collega Mireille Hagens heb ik het artikel ‘Privacy en bulkinterceptie in de Wiv 2017’ geschreven voor het themanummer van ‘Privacy’ van Ars Aequi. In het artikel gaan we uitgebreid in op de bijzondere bevoegdheid tot het in bulk tappen van communicatie (‘bulkinterceptie’); in de Wet op de inlichtingen- en veiligheidsdiensten 2017 ‘onderzoeksopdrachtgerichte interceptie’ genoemd.

In het artikel leggen we uit hoe het stelsel van onderzoeksopdrachtgerichte interceptie precies is geregeld, met daarbij speciale aandacht voor de bijzondere bevoegdheid van ‘geautomatiseerde data-analyse’ als onderdeel daarvan. Ook bespreken we welke waarborgen daarbij in de Wiv 2017 zijn voorzien voor de rechtsbescherming van burgers en hoe deze zich verhouden tot de jurisprudentie van het Europees Hof voor de Rechten van de Mens (EHRM) over bulkinterceptie. De zaken Big Brother Watch e.a. en Centrum för Rättvisa (2018), waarin het EHRM zich baseert op eerdere jurisprudentie zoals de Grote Kameruitspraak in Roman Zakharov (2015), krijgen in onze analyse daarbij de meeste aandacht. Zie ook mijn eigen analyse van de big Brother Watch-zaak in mijn annotatie.

Stevige regeling voor bulkinterceptie

In ons artikel constateren wij dat voor onderzoeksopdrachtgerichte interceptie de Wiv 2017 sterke waarborgen biedt, waaronder het getrapte systeem van voorafgaande toestemming door de minister en de toetsing hiervan door de Toetsingscommissie Inzet Bevoegdheden (TIB) voor de interceptie zelf, maar ook voor de optimalisatie van het interceptieproces en de nadere analyse van de onderschepte gegevens uit interceptie.

Het stelsel voor onderzoeksopdrachtgerichte interceptie voldoet daarmee aan een belangrijk kritiekpunt in de Big Brother Watch-zaak over voorafgaande toestemming en toezicht op de nadere analyse van de gegevens met het oogmerk om kennis te nemen van de inhoud (het selectieproces). Overigens bestaat de mogelijkheid dat de Grote Kamer van het EHRM, waar deze zaak nu voorligt, tot een ander oordeel komt over bulkinterceptie als bijzondere bevoegdheid. De resultaten van onze analyse kunnen daardoor wijzigen, maar dat is niet onze verwachting.

Knelpunt: geautomatiseerde data-analyse

Als knelpunt in de Wiv 2017 identificeren wij de beperkte reikwijdte van de regeling voor de bijzondere bevoegdheid tot geautomatiseerde data-analyse. In de bovengenoemde EHRM-zaken legt het Hof goed uit dat dat de analyse van metadata uit telecommunicatie een zware inmenging in het recht op privacy van de betrokkenen kan inhouden. De reden is dat metadata gevoelig kan zijn, omdat het onder meer informatie kan bevatten over de identiteit van beide communicerende partijen, hun contacten, hun geolocatie en gebruikte apparatuur. Bij de opslag en analyse van deze gegevens in bulk wordt de inmenging in het recht op privacy groter, omdat het daarmee mogelijk is de contacten van een persoon, bewegingen en locaties, internetgeschiedenis en communicatiepatronen in kaart te brengen (zie par. 353-355 uit Big Brother Watch e.a)).

Geautomatiseerde data-analyse krijgt om deze reden ook een specifieke regeling in artikel 50 Wiv 2017, maar nog weinig aandacht gekregen in de literatuur. Wij wijzen er in het artikel op dat de bijzondere bevoegdheid slechts geldt voor de metadata-analyse van gegevens uit onderzoeksopdrachtgerichte interceptie (en geen andere bevoegdheden) met het doel om personen of organisaties te identificeren (en niet voor andere doelen). Het zou duidelijk moeten zijn welke data-analyses dan precies buiten de regeling van artikel 50 lid 1 sub b jo lid 4 Wiv 2017 vallen. Tot dusver is dat echter nog onduidelijk, mede door een gebrek aan nadere duiding in de toelichting op de wet.

De CTIVD en de TIB hebben in 2018 aangegeven dat de bijzondere bevoegdheid ook voor analyse van metadata afkomstig uit andere bevoegdheden zou moeten gelden. De ministers van Binnenlandse Zaken en Koninkrijksrelaties en Defensie hebben daarentegen in hun reactie (brief en  bijlage (.pdf)) aangegeven dat de bevoegdheid slechts zou moeten gelden in gevallen waarbij de analyse tot een ‘substantiële privacy-inbreuk’ leidt.

Meenemen in de evaluatie Wiv 2017?

Het is interessant om te zien of de bijzondere bevoegdheid van geautomatiseerde data-analyse in de evaluatie van de Wiv 2017 wordt meegenomen en mogelijk een andere invulling krijgt. Het onderwerp is in het nieuwe wetsvoorstel ‘Wijzigingswet Wiv 2017’ in ieder geval niet meegenomen. De evaluatie moet overigens voor 1 mei 2020 van start gaan en hiervoor moet nog een commissie worden ingesteld.