Tag EncroChat

Datagedreven opsporing en toezicht

jjoerlemans

In januari 2023 hebben prof. mr. Marianne Hirsch Ballin en ik een artikel (.pdf) geschreven over datagedreven opsporing en toezicht in het tijdschrift voor strafrecht ‘Delikt en Delinkwent’. In deze blogpost leiden wij ons artikel in.  

Datagedreven opsporing

Datagedreven opsporing is de verwerking van gegevens die eerder door de politie bij hun taakuitoefening in andere onderzoeken zijn verzameld en daarna ten behoeve van nieuwe opsporingsonderzoeken worden geanalyseerd. De zogenoemde ‘cryptotelefoon-operaties’ zijn een bekend voorbeeld van deze datagedreven opsporing.

In deze operaties zijn tot wel honderden miljoenen berichten in één operatie veiliggesteld van cryptotelefoonaanbieders zoals ‘EncroChat’ en ‘SkyECC’ (zie ook dit overzicht op deze blog). Deze gegevens vormen (ten dele) bewijs voor honderden toekomstige strafzaken. In politiepraktijk worden deze operaties ook wel beschreven als een game changer.  

In ons artikel stellen wij dat datagedreven opsporing ook een ‘game changer’ zou moeten zijn voor de wijze waarop digitale opsporingsbevoegdheden worden genormeerd. Het gaat dan in het bijzonder om de relatie tussen het Wetboek van Strafvordering (waarbinnen onder andere opsporingsbevoegdheden worden geregeld) en de Wet politiegegevens (waar de verwerking van gegevens wordt geregeld) en het bijbehorende toezicht.

We zetten in ons artikel het model uiteen van datagedreven opsporing en illustreren dat aan de hand van de daarover bekende strafrechtspraak en de praktijk bij het Team High Tech Crime (THTC) van de politie. Over deze praktijk is ook het lezenswaardige WODC-rapport ‘Opsporen, vervolgen en tegenhouden van cybercriminaliteit’ verschenen, waar ook wordt gewezen op het spanningsveld tussen deze praktijk en strafvordering.

De praktijk van het Team High Tech Crime laat zien dat er bij datagedreven opsporing slechts een beperkte rol is voor controle door de strafrechter via strafzaken. Als bijvoorbeeld het doel is een cybercriminele (ICT-)infrastructuur onderuit te halen en het verdienmodel aan te tasten, dan zijn dat activiteiten die vaak niet leiden tot vervolging van een concrete verdachte waardoor die activiteiten buiten het zicht van de strafrechter blijven. En wanneer de inzet van de opsporing ook het vergaren van intelligence ten behoeve van nieuwe onderzoeken omvat, is dat een aspect dat de strafrechter in de regel niet in zijn beoordeling betrekt. Recentelijk wees ook prof. Bart Schermer hierop in zijn inaugurele rede ‘De gespannen relatie tussen privacy en cybercrime’ bij de Universiteit Leiden.

Het spanningsveld met strafvordering

De cryptotelefoon-operaties laten zien dat het model van het Team High Tech Crime ook wordt toegepast in andere strafzaken, buiten de context van de cybercriminaliteit. Vastgesteld kan worden dat daarmee het verwerven van intelligence verweven is geraakt met de opsporingspraktijk. Deze ontwikkeling legt uit normatief oogpunt druk op het huidige stelsel van strafvordering in Nederland.

De verzameling van de gegevens bij datagedreven opsporing vindt plaats met toepassing van bijzondere opsporingsbevoegdheden die worden gereguleerd in het Wetboek van Strafvordering. In ons artikel leggen wij uit dat de verwerking en analyse van deze gegevens plaatsvindt op grond van de Wet politiegegevens (Wpg) en dat de daaropvolgende interventie een nieuw opsporingsonderzoek kan betreffen, maar bijvoorbeeld ook ‘verstoring’ met een grondslag in de Politiewet. De naleving van de Wet politiegegevens bij de strafrechter lijkt tot op heden geen rol van betekenis te spelen bij sanctionering van eventuele vormverzuimen.

Verder leggen wij uit dat deze praktijk een normatieve verbinding vergt tussen de reguleringskaders. De wetgever moet daarom de keuze maken óf normering van data-analyses in het Wetboek van Strafvordering óf voor nadere normering van analysebevoegdheden in de Wpg. Daarbij moet recht worden gedaan aan (basis)beginselen van strafvordering zodat de verbinding tussen de normeringskaders wordt gelegd.

Deze boodschap vindt bredere steun. Zie bijvoorbeeld ook het rapport van prof. Fedorova e.a. over ‘Strafvorderlijke gegevensverwerking’ en het artikel van B.W. Schermer & M. Galič, ‘Biedt de Wet politiegegevens een stelsel van ‘end-to-end’ privacywaarborgen?’. In ons artikel komen wij nu, in aanvulling daarop, tot de conclusie dat die constatering ook vraagt om veranderingen in de wijze waarop het stelsel van toezicht op de opsporing en verwerking van politiegegevens is georganiseerd.

Beter toezicht

Ruimte bieden voor bredere doelstellingen dan opsporing bij de inzet van bijzondere opsporingsbevoegdheden, betekent ook dat in de normering de bakens moeten worden verzet.

De totstandkoming van het nieuwe Wetboek van Strafvordering biedt de ruimte om op een weloverwegen manier te komen tot een herpositionering van de opsporing vanwege deze praktijk van datagedreven opsporing en interventies waarop rechtstreekse controle door de strafrechter ontbreekt. Het is daarbij noodzakelijk dat in de normering de verbinding tussen het Wetboek van Strafvordering en de Wet politiegegevens tot uitdrukking wordt gebracht en, in aansluiting daarop, het stelsel van toezicht op datagedreven opsporing wordt heringericht.

Met betrekking tot het toezicht achten wij een nieuwe vorm van toezicht wenselijk, die mede ziet op de inzet van data-analyses ten behoeve van de politietaken (inclusief de opsporing en aldus de datagedreven opsporing). Het verdient aanbeveling daarvoor een nieuw onafhankelijk extern toezichtsorgaan op te richten.

Gelet op de bredere consensus over de noodzaak van herijking van het stelsel van strafvordering in relatie tot de Wet Politiegegevens in de wetenschappelijke literatuur (zie de eerdere verwijzingen in deze blog), hopen wij dat onze aanbevelingen zich een weg naar het nieuwe Wetboek van Strafvordering zullen vinden.

Marianne Hirsch Ballin & Jan-Jaap Oerlemans

Citeerwijze artikel:

M.F.H. Hirsch Ballin & J.J. Oerlemans, ‘Datagedreven opsporing verzet de bakens in het toezicht op strafvorderlijk optreden’, DD 2023/2, nr. 1, p. 18-38

Legal Aspects of the EncroChat-Operation

jjoerlemans Een reactie plaatsen

In our article, ‘Legal Aspects of the EncroChat Operation: A Human Rights Perspective’, we examined what lessons can be learned from the Dutch experience with the EncroChat operation from a human rights perspective, in particular the right to a fair trial. The full article is published in open access in the European Journal of Crime, Criminal Law and Criminal Justice (.pdf).

As compared to other legal systems, the Dutch judiciary published a large number of cases at First Instance Courts and Courts of Appeal, in which EncroChat evidence is used. Dutch courts extensively considered arguments of defence attorneys relating to the right to a trial. Therefore, it is interesting for lawyers from other legal systems to review the state of knowledge in the Netherlands.

In order to explain what lessons can be learned from the Dutch experience, we set out the known facts about the operation, show how Dutch courts dealt with legal questions arising from the operation and examined relevant case law of the European Court of Human Rights (ECtHR).

We conclude that the right to a fair trial in Article 6 ECHR proved important in Dutch case law in three ways:

  1. Providing transparency about the operation;
  2. Providing a legal basis to test the reliability of the evidence obtained; and
  3. Providing access to data used as evidence against suspects in a criminal case.

1. Transparency about the operation

In our article, we explain how unrelenting questions of defence attorneys, with a(n) often implicit) basis in article 6 ECHR, led to discovery of details about the EncroChat operation in France and how the data was shared by French authorities and further processed by Dutch authorities. That was no easy feat, as the French declared the operation a state secret and the Dutch judiciary accepted that as fact with regards of the principle of trust.

Keeping the operation secret challenges the right to a fair trial under article 6 ECHR, more specifically the principle of equality of arms. Part of the principle of equality of arms is transparency about the manner in which the evidence is gathered. Law enforcement authorities and the public prosecutor can have a legitimate interest to keep information about the operation secret. However, keeping this information secret is allowed only insofar as it is strictly necessary and must be counterbalanced by the procedures followed by the judicial authorities.

In the Netherlands, as a counterbalance, an extra warrant must be obtained to create a subset of the EncroChat data to use it in a (new) criminal investigation. This way another (Dutch) judge will test the principles of proportionality and subsidiarity with regard to the processing of the EncroChat data, while taking into account the reproducibility of evidence and the protection of privileged communication.

2. Testing the reliability of the evidence obtained

The right to a fair trial also provides a legal basis to test the reliability of the evidence and the method of acquisition. When software is used in the collection of data, this can have a major influence on the reliability of evidence, because it challenges the confidentiality, integrity and availability of data.

Dutch case law shows that the Netherlands Forensic Institute reported that the hacking and interception software did not operate continuously, not all messages on EncroChat phones were intercepted during the entire operation and there had been instances of a mix-up in outgoing and incoming calls from EncroChat phones.

However, these shortcomings did not lead to the conclusion that all evidence from the EncroChat operation is unreliable. So far, Dutch defence attorneys failed to establish that the EncroChat data used as evidence was unreliable and no data has been excluded from evidence.

3. Access to EncroChat data

The right to a fair trial enables the defence – to a certain extent – to access EncroChat data that may be relevant in the trial against their client. Suspects need to be able to access the data in order (a) to review its integrity; (b) to review its reliability (because all EncroChat messages are sent under pseudonyms); and (c) to determine whether exculpatory evidence can be found in the dataset.

Our analysis of case law of the ECtHR shows that, while suspects cannot access all information collected in the EncroChat operation, they have a right to access data that is deemed relevant in their case. In addition, the defence should be able to reason why they require further access to EncroChat data, including data that is not part of the dataset created by the public prosecution service. They should also have the sufficient facilities (an ‘effective opportunity’) to access and analyse the data.

In the Netherlands, the defence can argue why they should be able to access both types of data based on key words and the use of filters. Sometimes access is refused because of ongoing (other) criminal investigations or for privacy reasons of individuals involved. The defence is facilitated in accessing the data at the Netherlands Forensic Institute and can use the same software as law enforcement authorities use to search and analyse the EncroChat data themselves. They can also request the data, which could then be provided to the defence in a readable format.

Conclusion

In conclusion, legal practitioners can learn from the Dutch experience with criminal cases following from the EncroChat operation. Especially arguments of defence attorneys relating to the right to a fair trial and the way Dutch practice dealt with these questions are noteworthy. 

The following three lessons can be learned:

  1. Defence attorneys will demand more transparency about the way the evidence is collected following the EncroChat operation. Some details about the operation may be kept secret, but must be counterbalanced. In the Netherlands, additional warrants with specific safeguards must be obtained to create a subset of the collected data. This data can then be used in a new criminal investigation. We argue this should be viewed a good practice.

  1. Defence attorneys will question the reliability of the evidence. The public prosecution service and law enforcement authorities should prepare for this argument and explain why the particular EncroChat data that is used in a criminal investigation is reliable. In addition, we recommend that other sources of evidence are used besides EncroChat data. Multiple sources of evidence may validate each other and strengthen the case.

  1. The defence has a right to access data that is used as evidence against a suspect. In the Netherlands, the defence now has the practical means to access this data and the right to argue why they should have access to a larger dataset. The defence is also facilitated in accessing the data in readable format. In our view, the public prosecution office and judiciary should prepare for requests of defence attorneys to access EncroChat data and States should invest in an infrastructure to facilitate these requests.

J.J. Oerlemans and D.A.G. van Toor

This blog is a cross-post from ‘Montaigne Blog‘.

Cybercrime jurisprudentieoverzicht januari 2023

jjoerlemans Een reactie plaatsen

Prejudiciële vragen over EncroChat en SkyECC

Op 19 december 2022 heeft de rechtbank Noord-Nederland in het onderzoek ‘Shifter’ prejudiciële zaken gesteld (ECLI:NL:RBNNE:2022:4797) aan de Hoge Raad. De vragen zien onder meer op de toepassing van het van het interstatelijke vertrouwensbeginsel. In deze zaak is sprake is van uit Frankrijk afkomstige informatie van EncroChat- en SkyECC.

Het gaat om de volgende prejudiciële vragen aan de Hoge Raad:

Interstatelijke vertrouwensbeginsel

1. Is het interstatelijke vertrouwensbeginsel zonder meer van toepassing op bewijs verkregen door de inzet van een opsporingsmiddel in het buitenland, in het kader van een JIT waarbij Nederland partner is?

  • Meer in het algemeen: op welke wijze speelt de (mate en intensiteit van) (juridische en/of feitelijke) samenwerking tussen Nederland en (een) andere EU-lidsta(a)ten bij grensoverschrijdende (digitale) opsporing en interceptie een rol bij de beoordeling van een beroep op het interstatelijke vertrouwensbeginsel?
  • In hoeverre is in de situatie waarin sprake is van een Joint Investigation Team voor de toepassing van het interstatelijke vertrouwensbeginsel van belang dat de onderzoeksresultaten uit het buitenland verkregen zijn in een ander onderzoek (26Lemont en/of 26Argus) dan het onderzoek waar de rechtbank een oordeel in dient te geven (het onderzoek Shifter)?
  • Kan daarbij een rol spelen dat de startinformatie in het onderzoek Shifter afkomstig is uit de onderzoeken 26Lemont en 26Argus en/of dat de resultaten uit de onderzoeken 26Lemont en 26Argus van bepalende invloed zijn geweest voor het verloop van het opsporingsonderzoek naar en/of de vervolging van de verdachten in de zaak Shifter?

2. Geldt het interstatelijke vertrouwensbeginsel (onverkort) als, zoals in de zaak Shifter, de gebruikers van de telecommunicatiediensten waarvan gegevens worden onderschept zich (steeds) op Nederlands grondgebied gebied bevinden, terwijl de interceptie en/of het veiligstellen van gegevens in/vanuit een andere EU-lidstaat plaatsvindt?

3. Is voor de interceptie en/of het veiligstellen van gegevens in/vanuit het buitenland van telecomgegevens waarvan duidelijk is dat de gebruikers van de telecomdiensten zich (ook) op Nederlands grondgebied bevinden een machtiging van een Nederlandse rechter vereist?

4. Indien dit het geval is, kan dan 126uba, 126nba Sv of enig ander wetsartikel als grondslag voor een dergelijke machtiging dienen?

5. Hoe verhoudt het internationale vertrouwensbeginsel zich tot het equality of arms- beginsel dat volgt uit artikel 6 EVRM en de mogelijkheden voor de verdediging om de rechtmatigheid van het bewijsgaringsproces te kunnen onderzoeken, meer in het bijzonder in de zaak Shifter de verzoeken van de verdediging om stukken aan het dossier toe te voegen met betrekking tot het bewijsgaringsproces in het buitenland en stukken met betrekking tot de Joint Investigation Teams?

  • Brengt het beginsel van equality of arms mee dat ook in procedures waarin sprake is van grensoverschrijdende (digitale) opsporing en internationale samenwerking tussen EU-lidstaten kennisname van en inzicht in het buitenlandse digitale bewijsgaringsproces gegeven dient te worden door de vervolgende autoriteiten of kan van de verdediging eerst worden verlangd dat zij concrete aanknopingspunten of sterke aanwijzingen naar voren brengt dat sprake zou zijn van een vormverzuim voordat verzoeken om nadere stukken aan het dossier toe te voegen gehonoreerd kunnen worden?
  • Hoe verhoudt het internationale vertrouwensbeginsel zich tot de verantwoordelijkheid die iedere lidstaat van het EVRM heeft om de uit dat verdrag voortvloeiende rechten te waarborgen, waaronder het beginsel van equality of arms?
  • Is daarbij in dit geval van belang dat de onderzoeksresultaten uit het buitenland verkregen zijn in een ander onderzoek (26Lemont en/of 26Argus) dan het onderzoek waar de rechtbank een oordeel dient te geven (het onderzoek Shifter)
  • Kan daarbij in dit geval een rol spelen dat de startinformatie in het onderzoek Shifter afkomstig is uit de onderzoeken 26Lemont en 26Argus en/of dat de resultaten uit de onderzoeken 26Lemont en 26Argus van bepalende invloed zijn geweest voor het verloop van het opsporingsonderzoek naar en/of de vervolging van de verdachten in de zaak Shifter?
  • In hoeverre kan daarbij van de verdediging worden verlangd dat zij concrete aanknopingspunten naar voren brengt dat sprake zou zijn van een vormverzuim of mag daarbij van het openbaar ministerie worden verlangd dat eerst de relevante stukken ter beoordeling daarvan worden ingebracht?

6. Zijn, indien het interstatelijke vertrouwensbeginsel niet onverkort geldt, (mogelijke) gebreken bij het bewijsgaringsproces en de interceptie en/of het veiligstellen van gegevens vanuit het buitenland ‘afgedekt’ door de door de machtigingen van de rechters-commissarissen, zoals de machtiging van de rechter-commissaris te Rotterdam d.d. 27 maart 2020 en de machtigingen van de rechters- commissarissen te Amsterdam d.d. 7 en 11 februari 2021 (en de eventuele vervolgmachtigingen)?

7. Als er sterke aanwijzingen zijn dat gebreken kleven aan het buitenlandse opsporingsonderzoek, in het licht van uitspraken van het land waar dat opsporingsonderzoek plaatsvindt, wat zijn dan de consequenties voor de toepassing van het interstatelijke vertrouwensbeginsel?

8. In hoeverre en naar welke maatstaven dient de Nederlandse strafrechter daar dan nader onderzoek naar te (laten) verrichten?

Bewaren en gebruiken van gegevens

9. Is een wettelijke grondslag vereist voor het bewaren en gebruiken van de metadata en communicatie van gebruikers van een elektronische communicatiedienst door de Nederlandse autoriteiten, ten behoeve van de opsporing en vervolging van strafbare feiten, als deze is verkregen van een andere lidstaat, nadat die andere lidstaat deze data heeft geïntercepteerd?

  • Zo ja, wat is de wettelijke grondslag hiervoor en is daarbij van belang of er sprake is van een concrete verdenking ten aanzien van één van deze gebruikers?
  • Onder welke voorwaarden kunnen deze gegevens worden gebruikt en is daartoe een machtiging van de rechter-commissaris vereist?

Jurisprudentie na de prejudiciële vragen over EncroChat en SkyECC

Nadat de prejudiciële vragen over EncroChat en SkyECC door de rechtbank Noord-Nederland (ECLI:NL:RBNNE:2022:4797) zijn gesteld, zijn verschillende verdachten in (mega)zaken veroordeeld op basis van bewijs uit EncroChat en SkyECC zaken. Neem bijvoorbeeld aan het mega-onderzoek ‘Cherokee’ (ECLI:NL:RBAMS:2022:7693), dat ziet op de verdenking van deelname aan een criminele organisatie met als oogmerk de grootschalige handel in cocaïne en gewoontewitwassen, waarbij ook vele afzonderlijke drugstransporten en witwasfeiten ten laste zijn gelegd. De rechtbank legt gevangenisstraffen op, variërend van 18 maanden tot 12 jaar en daarnaast een geldboete aan het autoverhuurbedrijf. De rechtbank Amsterdam neemt tevens beslissingen over de rechtmatigheid van het gebruik van SkyECC berichten als bewijs.

De rechtbank Amsterdam ziet geen aanleiding gezien de zaak aan te houden in afwachting van de beantwoording van de Hoge Raad van prejudiciële vragen van de rechtbank Noord-Nederland in het onderzoek Shifter. Zolang de Hoge Raad nog niet gesproken heeft, plegen de rechtbanken de zaken voort te zetten en zeker niet een inhoudelijke behandeling aan te houden. De rechtbank maakt uit de stukken op dat het inderdaad zo is dat de IP-tap in Frankrijk is gezet in het kader van een Frans onderzoek met machtiging van een Franse rechter. In zoverre is het vertrouwensbeginsel naar het oordeel van de rechtbank onverkort van kracht. De rechtbank gaat er nog steeds vanuit dat de interceptie in Frankrijk op basis van een toereikende wettelijke grondslag en in overeenstemming met artikel 8 van het Europees Verdrag voor de Rechten van de Mens (hierna: EVRM) heeft plaatsgevonden en het recht op privacy dus bij de opsporingshandelingen in acht is genomen. De rechtbank betrekt daarbij dat het feit dat de Franse rechter zich mede heeft gebaseerd op informatie afkomstig van Nederlandse opsporingsambtenaren geen afbreuk doet aan dit uitgangspunt, te meer nu niet is gebleken van enige onregelmatigheid of onjuistheid ten aanzien van deze informatie. Ook ten aanzien van de op deze interceptie volgende verstrekking van de SkyECC data aan Nederland geldt dat erop mag worden vertrouwd dat deze heeft plaatsgevonden met inachtneming van op Frankrijk rustende wettelijke en verdragsrechtelijke verplichtingen.

De rechtbank ziet in de Nederlandse betrokkenheid bij de interceptietool en de interceptie zelf een toenemende mate van bepalende invloed. De Nederlandse inbreng, die speciaal voor dit doel werd ontwikkeld, lijkt cruciaal te zijn geweest voor het welslagen van de interceptie, in die zin dat uiteindelijk ook van de inhoud van de berichten kennis kon worden genomen. Deze betrokkenheid van de Nederlandse opsporingsambtenaren roept de vraag op of zij niet medeverantwoordelijk moeten worden gehouden voor de interceptie. Dat leidt tot de vraag of de Nederlandse officier van justitie zich in dat verband niet had moeten wenden tot de rechter-commissaris teneinde een machtiging te verkrijgen voor deze interceptie. Bij de officier van justitie was immers bekend dat een aanzienlijk deel van de gebruikers van SkyECC zich in Nederland bevond. Daarbij komt de vraag of ingevolge artikel 5.4.18 Sv een eerdere gang naar de rechter-commissaris niet aangewezen was geweest. Dit artikel schrijft voor dat de officier van justitie de rechter-commissaris kennisgeeft van een interceptie op Nederlands grondgebied, nadat hij daarover middels een daartoe strekkend formulier is geïnformeerd door een lidstaat, waarna de rechter-commissaris aangeeft of met de interceptie kan worden ingestemd. Weliswaar blijkt in geval van de SkyECC hack niet van een dergelijk formulier, maar dat de Nederlandse officier van justitie op de hoogte was van de interceptie die ook vele gebruikers in Nederland trof, is evident.

Een positieve beantwoording van ieder van deze twee vragen zou kunnen betekenen dat een vormverzuim moet worden vastgesteld. De rechtbank Amsterdam laat de beantwoording van deze vragen echter in het midden en wel om de reden dat – zo er al sprake is van een vormverzuim – dit verzuim niet van bepalende aard is geweest in het onderzoek naar de verdachten in het onderzoek Cherokee en derhalve zonder consequenties kan blijven.

Relevant is nog de laatste overweging van de rechtbank Amsterdam dat er geen begin van aannemelijkheid is dat het OM, zoals door een deel van de verdediging is gesuggereerd, bewust de rechtsmacht van de rechter-commissaris heeft omzeild en voor een U-bochtconstructie heeft gekozen. Het OM heeft de rechter-commissaris immers op meerdere momenten juist wel betrokken, zowel bij het verzoek een image (kopie) te mogen maken als bij het verzoek de ontsleutelde berichten te mogen gebruiken. De gang van zaken rondom de interceptie en daaropvolgende ontsleuteling blijkt bovendien voor een groot deel uit de door het OM verstrekte stukken, wat zich moeizaam met een bewuste misleiding verhoudt. Dat de stukken eerder niet duidelijk waren over de betrokkenheid bij de ontwikkeling en inzet van de interceptietool en dat de informatievoorziening aanvankelijk te summier was, rechtvaardigt nog niet de conclusie dat het OM de rechter-commissaris, de verdediging en de rechtbank bewust verkeerd of onvolledig heeft geïnformeerd.

De rechtbank Gelderland heeft in de uitspraak (ECLI:NL:RBGEL:2022:7105) van 20 december 2022 in een moordzaak in essentie hetzelfde oordeel als de rechtbank Amsterdam in de zaak Cherokee. Wel maakt zij nog de kritische opmerking dat de informatievoorziening door het openbaar ministerie ‘te weinig transparant en zeer moeizaam is verlopen’. Zij overweegt:

“Doordat het openbaar ministerie aanvankelijk slechts zeer beperkt informatie verschafte over de Nederlandse inbreng bij de hack van SkyECC, hebben advocaten in meerdere strafzaken door het hele land veel moeite moeten doen om hierover meer duidelijkheid te krijgen. Dit heeft bij de verdediging geleid tot gevoelens van wantrouwen jegens het openbaar ministerie. De rechtbank onderkent uiteraard dat de samenstelling van het procesdossier in beginsel aan het openbaar ministerie is en dat de betreffende zaaksofficieren van justitie afhankelijk zijn van diverse andere collega-officieren van justitie om hen van informatie te voorzien.”

Dat neemt niet weg dat het wenselijk was geweest dat het openbaar ministerie vanaf het begin duidelijkheid had verschaft en inzage had gegeven in de Nederlandse bijdrage bij de hack van SkyECC, zoals uiteindelijk pas bij brief van 2 juni 2022 is gedaan. De rechtbank concludeert dat het openbaar ministerie tekort is geschoten in de informatievoorziening door niet direct openheid van zaken te geven, maar niet zodanig dat hierdoor een ernstige inbreuk is gemaakt op de beginselen van een behoorlijke procesorde, met name nu de volledige gang van zaken uiteindelijk in de brief van 2 juni 2022 uiteen is gezet.

Ten slotte overweegt ook het Hof Den Haag op 5 januari 2022 in een lezenswaardig arrest (ECLI:NL:GHDHA:2023:6) dat de prejudiciële vragen aan de Hoge Raad niet leidt tot aanhouding van een zaak, waarbij het bewijs dat is vergaard uit de EncroChat-operatie. Het hof Den Haag overweegt daarbij dat kortgezegd dat (1) niet nu aan te nemen is dat de Hoge Raad die prejudiciële vragen zal kwalificeren als rechtsvragen in de zin van artikel 553, eerste lid Sv en dat een prejudiciële procedure zal volgen (opmerking JJO: dit was een onduidelijke, maar opvallende zin en ik hoop dat ik het goed begrijp), (2) uit het aanhoudingsverzoek volgt dat de (verwacht) te stellen – en inmiddels gestelde – rechtsvragen in de kern betrekking hebben op de toepassing van het vertrouwensbeginsel en/of de reikwijdte daarvan. Daarover is recente jurisprudentie van de Hoge Raad beschikbaar (2010/2022) waarin duidelijk uitleg wordt gegeven over de aspecten van toepassing en reikwijdte, (3) geen rechtsregel dwingt tot het aanhouden van de behandeling van de zaak om het enkele feit dat prejudiciële vragen zijn gesteld of zullen worden gesteld, en (4) dat door buitenlandse rechters uitspraken worden of zijn gedaan in EncroChat-zaken/-kwesties, maakt het bovenstaande niet anders.

Het hof merkt nog op dat uit het arrest van het Franse ‘Cour de Cassation’ (Hof van cassatie), van 11 oktober 2022 (ECLI:FR:CCASS:2022:CR01226), niet reeds nu de conclusie kan worden getrokken dat sprake zou zijn van onrechtmatig handelen in EncroChat-zaken. Het hof overweegt: “Eerder zijn er aanwijzingen voor het tegendeel. Het Cour de Cassation stelt namelijk in dit arrest vast dat “door alle in het dossier opgenomen documenten van de procedure van Lille zowel de verdachten als de onderzoekskamer in staat zijn gesteld om de régularité en loyauté (regelmatigheid/rechtmatigheid en billijkheid) van het aanvankelijk verzamelde bewijsmateriaal te beoordelen, zonder enige afbreuk op hun fundamentele rechten.” (r.o. 14). Voorts verwijst het Cour de Cassation (r.o. 21) naar het antwoord dat de Franse ‘Conseil Constitutionnel’ (Grondwettelijke Raad) op 8 april 2022 ((Besluit nr. 2022-987) heeft gegeven op de vraag van het Cour de Cassation of het artikel waarop de interceptie is gebaseerd (artikel 706-102-1 van het Franse Wetboek van Strafvordering) strijdig is met de Franse grondwet. Het antwoord van de Conseil Constitutionnel luidt dat dit artikel hiermee niet in strijd is.”

Het verweer dat het OM niet-ontvankelijk is omdat “moedwillig” onjuiste en/of onvolledige informatie is verstrekt aan de verdediging heeft het hof verworpen. Het hof Den Haag overweegt dat:

“de verdediging wel terecht heeft opgemerkt dat het openbaar ministerie – in ieder geval bij de aanvang van de verschillende EncroChat-zaken – onvoldoende heeft gecommuniceerd, namelijk op een wijze waardoor werd aangegeven dat de informatiedeur hermetisch gesloten behoorde te blijven en lange tijd ook bleef. Daardoor is bij de verdediging wantrouwen ontstaan, resulterend in suggesties en aannames die veel tijd en aandacht hebben gevraagd waarmee werd afgeleid van de kern van de individuele en onderhavige zaak.”

Het OM had wel veel eerder informatie of documenten kunnen en moeten verstrekken. Dit is echter geen ‘welbewuste grove veronachtzaming van de rechten van de verdediging’. Het openbaar ministerie heeft, naar het oordeel van het hof, een ‘(te) strikt standpunt ingenomen over de noodzaak/mogelijkheid van het verstrekken van informatie en documenten, dat – zoals hierboven is vermeld – gelet op de bijzondere omstandigheden, zeer onwenselijk en hoogst ongelukkig is te noemen’. Het hof verwerpt daarop het verweer strekkende tot niet-ontvankelijkverklaring van het openbaar-ministerie.

De verweren ten aanzien van de verkrijging en het gebruik van EncroChat-berichten worden ook verworpen. Het hof legt kortgezegd uit dat de inzet van de interceptietool betreft een bevoegdheid naar Frans recht verkregen na toestemming van een Franse rechter. Dat de inzet van deze methode naar Frans recht als ‘staatsgeheim’ kwalificeert doet hier niet aan af.

Darknet vendors veroordeeld

Op 21 december 2022 heeft de rechtbank Noord-Nederland een verdachte veroordeeld (ECLI:NL:RBNHO:2022:11405) voor drugshandel en het voorhanden hebben van een vuurwapen met munitie in zijn woning. De drugshandel vond plaats op internet.

De rechtbank typeert de verdachte als de figuurlijke ‘spin-in-het-web’ in een criminele organisatie. In totaal zijn 11 verdachten veroordeeld. Deze verdachte adverteerde onder zijn accountnaam op verschillende darknet markets en verstuurde PGP-telefoons naar vaste klanten om direct met hen te communiceren. Hij nam de bestellingen op en kwam ook in de loods in Hillegom onder meer om bestellingen in te pakken voor verzending. Alles bij elkaar gaat het in ieder geval om meer dan 100 kilo harddrugs die op deze wijze Nederland zijn uitgevoerd dan wel gereed lagen om Nederland te worden uitgevoerd. Voor het inpakken door de medeverdachten, verstrekte een andere verdachte de bestellijsten en stuurde hij de werkzaamheden aan. Verder zorgde hij voor de inrichting van de inpakruimtes. Verder zorgde hij samen met medeverdachten voor de inkoop van de drugs, inde hij de bitcoins van de kopers, zorgde hij voor het omwisselen van de bitcoins en deelde hij met twee medeverdachten in gelijke delen de winst.

Het ‘Cargo Harc-team Schiphol’ kwam de verdachte op het spoor via postpakketten en openbronnenonderzoek op online drugsmarkten op het darkweb (‘darknet markets’ genoemd). In dit geval ging het om de darknet markets ‘Alphabay’ en ‘Dream Market’. Ook berichtte de Verenigde Staten de Nederlandse autoriteiten over een online handelaar in verdovende middelen genaamd die zich vermoedelijk in Nederland bevond. In de uitspraak is te lezen dat ‘Homeland Security Investigations’ gebruik maakte van de online identiteit van een aangehouden afnemer van drugs. Daarop heeft de Nederlandse justitie documenten opgevraagd bij de Amerikaanse autoriteiten voor de verzameling van bewijs. Uit de correspondentie en berichten op een PGP-telefoon is bewijsmateriaal voor het versturen van pakketjes met drugs te vinden. Ook zijn voor het onderzoekgegevens gebruikt uit de Ennetcom-dataset. Daarvoor is twee machtigingen van een rechter-commissaris verkregen. Daarbij kwamen ook anderen verdachten in beeld, die tevens zijn veroordeeld.

De rechtbank legt een onvoorwaardelijke gevangenisstraf op van 85 maanden.

Verdachte krijgt in hoger beroep hogere gevangenisstraf voor phishing

Het Hof Arnhem-Leeuwarden heeft op 15 december 2022 een verdachte veroordeeld (ECLI:NL:GHARL:2022:10845) voor onder andere phishing.

Het hof legt in het arrest uit dat het in deze zaak om phishing (‘password harvesting fishing’). Phishing is een vorm van internetfraude. In deze zaak bestaat het uit het oplichten van mensen door ze via een e-mail die afkomstig lijkt te zijn van hun bank of creditcardverstrekker, nietsvermoedend hun inloggegevens voor hun bankrekening of creditcardrekening en/of pincode van hun bankpas te laten invullen en/of hun bankpas op te (laten) sturen. Hierdoor krijgt de fraudeur de beschikking over de inloggegevens van de bank-/creditcardrekening en/of de bankpas met bijbehorende pincode van de gedupeerden van de phishing. Vervolgens heeft de fraudeur toegang tot een individuele bankrekening of creditcardrekening om dure aankopen te doen of om grote geldbedragen van deze rekeningen af te halen.

In deze strafzaak is de betrokkenheid bij deze internetfraude aan verdachte tenlastegelegd als een reeks verschillende delicten:

  1. – het maken van en gebruiken van phishingmails;
    – de daarmee verworven inloggegevens voorhanden hebben en ter beschikking stellen met de bedoeling om daarmee toegang te verschaffen tot het betalingsverkeer van anderen (artikel 139d van het Wetboek van Strafrecht (Sr));
  2. het oplichten van mensen door hen via de phishingsmails te bewegen hun inloggegevens en/of pincode en/of bankpassen ter beschikking te stellen (artikel 326 Sr);
  3. het gebruiken van de verworven gegevens voor toegang tot de bank-/creditcardrekeningen (artikel 138ab Sr);
  4. het wijzigen van de gegevens in de bank-/creditcardaccounts van de opgelichte personen (artikel 350a Sr);
  5. diefstal van geld door het doen van betalingen en pinnen van geldbedragen vanaf de bank-/creditcardaccounts van de opgelichte personen, met behulp van de verworven toegangsgegevens en/of bankpas met bijbehorende pincode (artikel 311 Sr);
  6. witwassen van de opbrengst van de phishing (artikel 420bis Sr).

Het hof is van oordeel dat de verdachte e-mailadressen verzamelde van de slachtoffers, de phishingmail maakte (al dan niet met instructies van anderen), de phishingmail stuurde naar de slachtoffers en de gephishte (inlog)gegevens ontving. Met deze door verdachte gephishte en overgedragen (inlog)gegevens zijn de overige onder 2, 3, 4 en 5 tenlastegelegde delictshandelingen gepleegd. Hij is de noodzakelijke en wezenlijke eerste schakel geweest in het geheel van de tenlastegelegde handelingen. Zonder zijn bijdrage had er geen sprake kunnen zijn van succesvolle phishing. Er was sprake van een nauwe en bewuste samenwerking tussen verdachte en een of meer mededaders. Het geheel aan handelen van de dadergroep kan daarom aan verdachte als mededader worden toegerekend. Bij elk van de slachtoffers genoemd in de tenlastelegging, is er voldoende wettig en overtuigend bewijs dat de dadergroep van verdachte verantwoordelijk is voor de oplichtingshandelingen en diefstallen jegens dat slachtoffer.

Interessant is nog dat de verdachte samen met medeverdachte in speciale Whatsapp- en Snapchatgroep zaten, waarbij personen verzoekberichten plaatsten om bestelde goederen (op rekening van de slachtoffers besteld) op te halen (de bestellers) en personen die daarop reageerden en aangaven het pakket op te halen (de afhalers). In de bewijsvoering is te lezen hoe de verdachte phishing-servers had ingericht en de politie één van de servers heeft onderzocht. Uit de logingegevens van ‘ZAP-hosting’ blijkt dat er met deze server verbinding is gemaakt vanaf het IP-adres van het woonadres van verdachte. Op de laptop van de verdachte is te zien dat er in de periode 29 maart 2018 tot en met 14 januari 2019 600 keer verbinding is geweest met de mailbox van de verdachte. Op de inbeslaggenomen telefoons en computers van de verdachte is ook bewijs van de phishingberichten en oplichting zelf gevonden.

De verdachte wordt veroordeeld voor een hogere gevangenisstraf dan de rechtbank heft opgelegd, namelijk 30 maanden gevangenisstraf waarvan 12 maanden voorwaardelijk en een proeftijd van 2 jaar. Het hof is van oordeel dat de daarvoor opgelegde gevangenisstraf van beperkte duur onvoldoende recht doet aan de ernst van de feiten en de schade die is berokkend door het handelen van verdachte. Niet onbelangrijk is dat de verdachte ook fikse schadevergoedingen moet betalen, waaronder een bedrag van € 129.945,64 vanwege geleden materiële schade.

Overzicht cryptophone-operaties

jjoerlemans 2 reacties

Ongeveer vier jaar geleden, in november 2018, verscheen het eerste persbericht op OM.nl over het veiligstellen van berichten die zijn verstuurd met ‘cryptotelefoons’ (ook wel ‘PGP-telefoons’ genoemd).

De beschikbare informatie over cryptotelefoons heb ik in de volgende blogberichten hieronder op een rijtje gezet:

  1. Ennetcom (2016)
  2. PGP Safe (2017)
  3. Ironchat (2017)
  4. EncroChat (2020)
  5. Sky ECC (2020)
  6. ANOM (2021)

(Dit overzicht van 30 december 2021 is geüpdatet op 14 november 2022).

Waarom een overzicht?

Op 15 september 2022 zijn er al meer dan 400 uitspraken beschikbaar op rechtspraak.nl, waarin bewijs uit de cryptotelefoons een belangrijke rol speelt. In de media worden de cryptophone-berichten ook wel een ‘goudmijn aan bewijs’ genoemd en de gegevens vormen een game changer voor de politie. Strafrechtadvocaten trekken vaak de rechtmatigheid van de operaties in twijfel, maar vooralsnog lijkt de verdediging bot te vangen.

De operaties zijn blijkbaar bijzonder belangrijk voor de strafrechtpraktijk en toch is er relatief weinig bekend over de operaties. Ook geniet het nog vrij weinig aandacht van strafrechtwetenschappers.

De grote hoeveelheid jurisprudentie en onduidelijkheid over de ‘wat’, ‘wanneer’ en ‘hoe’-vragen vormde voor mij aanleiding een overzicht te maken (ook voor mijzelf voor toekomstige publicaties). Daarbij heb ik mij gebaseerd op persberichten van het OM, de politie en rechtspraak.

Wat en wanneer

  1. Ennetcom (2016)

Leverancier van cryptotelefoons met apps op een Blackberry telefoon. Oprichters van het bedrijf zijn uiteindelijk veroordeeld voor deelname aan een criminele organisatie, gewoontewitwassen en medeplegen van valsheid in geschrifte. Tijdens de operatie zijn 3,6 miljoen berichten veiliggesteld. De operatie werd bekend gemaakt op 9 maart 2017.

Leverancier van cryptotelefoons met apps op Android en Blackberry toestellen. Tijdens de operatie zijn 700.000 berichten veiliggesteld. De verdenking was aanvankelijk dat de verdachte zich tezamen met anderen als professionele facilitator van versleutelde communicatie schuldig zou hebben gemaakt aan overtreding van witwassen (art. 420bis Sr) en deelneming aan een criminele organisatie (art. 140 Sr). De verdachte wordt uiteindelijk alleen veroordeeld (ECLI:NL:RBROT:2022:363) voor valsheid in geschrifte en ‘begunstiging’. De operatie werd bekend gemaakt op 9 mei 2017.

Leverancier van Wileyfox-telefoons met Ironchat-app er op. Onderzoek gericht op de oprichters van het bedrijf (verdenkingen nog onduidelijk). Tijdens de operatie zijn 258.000 berichten veiliggesteld. De operatie werd bekend op 6 november 2018.

Leverancier van cryptotelefoons met EncroChat (en andere Encro) apps. Redelijk vermoeden dat Encro en de gebruikers zich in georganiseerd verband schuldig maakten aan o.a. witwassen en deelname aan criminele organisaties. Tijdens de operatie zijn 25 miljoen berichten veiliggesteld.  De operatie werd bekend gemaakt op 2 juli 2020.

Leverancier van cryptotelefoons met Sky ECC app. Sky ECC en de daaraan gelieerde (natuurlijke) personen verdacht van deelname aan een criminele organisatie en (gewoonte)witwassen.  Tijdens de operatie zijn honderden miljoenen berichten veiliggesteld.  De operatie werd bekend gemaakt op 9 maart 2021.

ANOM was een zogenoemde ‘store front’, oftewel een zelf opgezette communicatiedienst. De operatie stond onder leiding van de FBI en de Australische Federal Police met het doel om verdachten van criminele organisaties te identificeren. Tijdens de operatie zijn 27 miljoen berichten onderschept. De operatie ving al aan in 2019, maar werd pas na Sky ECC bekend op 8 juni 2021.

Hoe

1.      Ennetcom (2016)
Via een rechtshulpverzoek aan Canada, met machtiging van een Canadese rechter. NL grondslag: 125i Sv. Canadese rechter verbond voorwaarden aan verstrekking en gebruik van gegevens aan Nederlandse opsporingsinstanties.  

Zie ook: B.W. Schermer & J.J. Oerlemans, ‘AI, strafrecht en het recht op een eerlijk proces’, Computerrecht 2020/3 en Rb. Rotterdam 21 september 2021, ECLI:NL:RBROT:2021:9085, TBS&H 2022/2.8, m.nt. J.J. Oerlemans (veroordeling oprichter Ennetcom). (HR uitspraak: HR 28 juni 2022, ECLI:NL:HR:2022:900 en blog).
 
2.      PGP Safe (2017)
Via een rechtshulpverzoek aan Costa Rica, met assistentie van Nederlandse politie. Machtiging voor bevel tot binnentreden, de doorzoeking en de beslaglegging afgegeven door het Gerecht in Strafzaken van het Eerste District San Jose. Aan de verstrekking van de veilig gestelde gegevens zijn geen beperkingen aan Nederland opgelegd.
 
3.      Ironchat (2017)
Gegevensvergaring via een Europees Opsporingsbevel aan het Verenigd Koninkrijk. Na eigen onderzoek vond verstrekking van een kopie van de server (een image) plaats. Grondslag strafvordering voor operatie vooralsnog onduidelijk.
 
4.      EncroChat (2020)
Via JIT en EOB’s. Franse autoriteiten verzamelden gegevens met inzet “interceptietool”.  Extra machtiging voor inzet hackbevoegdheid (126uba Sv) op verdachten met verdenking van betrokkenheid/beramen van het plegen van misdrijven in georganiseerd verband. Beperkingen en vereisten aan onderzoek opgelegd door Nederlandse rechter-commissaris in een machtiging voor het onderzoeken van gegevens van Nederlandse ingezetenen.

Zie ook: B.W. Schermer & J.J. Oerlemans, ‘De EncroChat-jurisprudentie: teleurstelling voor advocaten, overwinning voor justitie?’, TBS&H 2022/2.2.
 
5.      Sky ECC (2020)
Via JIT. Franse autoriteiten vergaren gegevens met inzet “interceptietool”. Door Nederlandse opsporingsambtenaren is technische expertise en/of bijstand geleverd met betrekking tot de ontwikkeling en plaatsing van de tool.

De in Frankrijk vergaarde informatie is aanvankelijk vrijwillig op basis van artikel 26 van het Cybercrimeverdrag gedeeld met het Nederlandse Openbaar Ministerie. Later zijn ook machtigingen Nederlandse rechter-commissaris verleend. De vorderingen en machtigingen zagen op de toepassing van de artikelen 126t lid 1 en 126t lid 6 Sv (onderzoek communicatie door middel van een geautomatiseerd werk bij georganiseerde criminaliteit) en later ook op aanvullende, ondersteunende vorderingen op de voet van artikel 126uba Sv (hackbevoegdheid bij verdenking betrokkenheid beramen/plegen misdrijven in georganiseerd verband).

6. ANOM (2021)

Door een ‘spontane eenzijdige verstrekking van informatie zonder een voorafgaand verzoek van de Nederlandse opsporingsdiensten’.

De Nederlandse opsporingsdiensten zouden niet betrokken zijn geweest bij de verkrijging van de gegevens. Wel heeft de Nederlandse software ontwikkeld waarmee de berichten konden worden geanalyseerd en geduid. Deze software is ook beschikbaar gesteld aan Europol, zodat deze dienst de gegevens kon analyseren en beschikbaar stellen aan andere landen.

Cybercrime jurisprudentieoverzicht oktober 2022

jjoerlemans Een reactie plaatsen

Vorderingen gemeente Bodegraven tegen Twitter afgewezen

Op 4 oktober 2022 heeft de voorzieningsrechter van de rechtbank Den Haag vorderingen van de gemeente Bodegraven tegen Twitter afgewezen (ECLI:NL:RBDHA:2022:10082) over het verwijderen van onrechtmatige content over het ‘verhaal Bodegraven’. Volgens dat verhaal zou gedurende vele jaren in Bodegraven een pedo-satanisch netwerk hebben bestaan waar talloze jonge kinderen het slachtoffer van zijn geworden. In deze periode zijn (onder meer via Twitter) ernstige beschuldigingen geuit jegens bepaalde personen en oproepen gedaan om naar de begraafplaats van Bodegraven te komen voor het leggen van bloemen. Hierop heeft de Gemeente zich genoodzaakt gezien tijdelijk een noodverordening uit te vaardigen om de openbare orde te kunnen handhaven.

Bij vonnissen van 30 juni 2022 zijn twee verdachten al strafrechtelijk veroordeeld voor opruiing, bedreiging en smaad, onder meer in verband met het verspreiden van opruiende en bedreigende filmpjes op sociale media (zie ECLI:NL:RBDHA:2022:6263). In deze vonnissen is onder meer geoordeeld dat de rechtbank in het geheel niet heeft kunnen vaststellen dat sprake is geweest van een satanisch pedofielennetwerk. De discussie tussen de gemeente Bodegraven en Twitter spitst zich toe op de vraag of van Twitter nog meer mag worden verwacht dan zij al heeft gedaan. De Gemeente heeft betoogd dat Twitter verder verplicht is om – uit eigen beweging – uitlatingen soortgelijk aan de onrechtmatig bevonden uitlatingen van haar platform te verwijderen.

Het account van de verdacht werd door Twitter geschorst en de inhoud van de berichten zijn niet langer toegankelijk. Het maken van een filter en uit eigen beweging van andere tweets van anderen weigert Twitter met de argumentatie dat met de schorsing van het account voldaan is aan de vordering en de vordering voor het overige te algemeen is en strekt volgens Twitter tot oplegging van een op grond van artikel 15 lid 1 van de Richtlijn inzake elektronische handel ontoelaatbaar filterverbod. De rechtbank overweegt dat op grond van artikel 15 lid 1 van de Richtlijn inzake elektronische handel de lidstaten de dienstverleners geen algemene verplichting mogen opleggen om toe te zien op de informatie die zij doorgeven of opslaan, noch om actief te zoeken naar feiten of omstandigheden die duiden op onwettige activiteiten. Dit (algemene) filterverbod doet niet af aan de hiervoor vermelde mogelijkheid om in speciale gevallen een rechterlijk verbod te verkrijgen op grond waarvan bepaalde informatie moet worden verwijderd of ontoegankelijk moet worden gemaakt. Zo’n speciaal geval kan zijn bepaalde informatie die door de betrokken hostingprovider op verzoek van een bepaalde gebruiker van zijn netwerk is opgeslagen en die in een rechterlijk oordeel onrechtmatig is bevonden.

De vordering van de gemeente Bodegraven is niet toewijsbaar. Anders dan de Gemeente heeft betoogd kan dus niet van Twitter worden gevergd na een zoekslag op basis van een filter nog een autonome beoordeling van het zoekresultaat te verrichten. Er moet immers sprake zijn van een geautomatiseerde selectietechniek. Tijdens de mondelinge behandeling heeft Twitter verklaard dat het voor haar feitelijk onmogelijk is een algoritme te maken dat onrechtmatige uitlatingen die vergelijkbaar zijn met de onrechtmatige uitingen eruit filtert, zonder daarmee ook vele rechtmatige berichten te raken. Zo zouden bijvoorbeeld ook berichten waarin het bestaan van een satanisch pedofiel netwerk juist wordt ontkend, en/of beschrijvende, vragende, journalistieke en/of anderszins niet onrechtmatige berichten over aspecten van ‘het verhaal Bodegraven’ eruit worden gefilterd, terwijl die berichten niet onrechtmatig zijn. Dat is strijdig met de vrijheid van meningsuiting, aldus Twitter. Hiertegenover heeft de Gemeente voorshands onvoldoende aannemelijk gemaakt dat Twitter hier wel toe in staat is. De enkele stelling van de Gemeente dat Twitter goed is in het maken van algoritmes en genoeg geld en mankracht kan inzetten om een en ander voor elkaar te krijgen volstaat in dit kort geding niet. Daarbij weegt de voorzieningenrechter mee dat aan het spoedeisend belang naar voorlopig oordeel voldoende tegemoet kan worden gekomen door het notice-and-takedown systeem, zoals hierna zal worden besproken, te meer daar ook de (re)tweets de medeverdachte zijn verwijderd.

Het voorgaande betekent dat de Gemeente vooralsnog is aangewezen op de notice-and-takedown procedure om onrechtmatige content te doen verwijderen. Niet weersproken is dat de Gemeente op eenvoudige wijze kan aangeven welke tweets volgens haar onrechtmatig zijn en om verwijdering daarvan door Twitter kan verzoeken. Slechts indien Twitter vervolgens weigert een tweet met onrechtmatige inhoud te blokkeren, handelt zij jegens de Gemeente onrechtmatig. Die situatie doet zich hier echter vooralsnog niet voor.

Burgeropsporing bij vriend-in-nood fraude

De rechtbank Rotterdam heeft op 10 oktober 2022 een interessante uitspraak (ECLI:NL:RBROT:2022:8396) gedaan over burgeropsporing bij vriend-in-nood fraude. De feiten zijn als volgt. Op 25 augustus 2020 kreeg de politie een melding gekregen van een persoon die een televisieprogramma maakte over oplichters. In een hotel zou volgens de melder op dat moment vriend-in-nood fraude worden gepleegd, waarbij fraudeurs in de veronderstelling verkeerden dat zij een slachtoffer veel geld afhandig maakten. Volgens dit artikel in het AD gaat het blijkbaar over een programma van Kees van der Spek. Het Openbaar Ministerie zou volgens het artikel spreken over “belangrijke jurisprudentie”.

Het slachtoffer was door een onbekende benaderd die zich voordeed als haar kind en facturen had die dringend moest worden betaald. Zij had zelf geen kinderen en bood toen aan de melder aan dat zij de “oplichters” zou aanbieden om zelf het geld voor die facturen van haar bankrekening te halen. Zij zou dan een door de televisiemakers gemaakte namaak-bankapp met de inlogcodes aan de “oplichters” verstrekken. Deze applicatie creëerde een namaak-bankomgeving, waardoor het alleen leek of er geld werd overgemaakt. De app maakte ook video’s van drie seconden van degene die met de app (nep)geld overmaakte. Deze video’s, gegevens over de overboekingen en de GPS-locaties werden doorgestuurd naar een medewerker die de app had gemaakt. Zo kon men weten waar de oplichters waren en op welk moment zij (nep)geld overmaakten naar andere bankrekeningen en kon hij een foto van de “oplichters” laten zien.

De politieambtenaren zijn op 25 augustus 2020 om 18.10 uur samen met de melder het hotel binnengegaan. De baliemedewerker van het hotel heeft de verdachte en de medeverdachte herkend van een foto die de melder had verkregen via de bankapp. De baliemedewerker heeft het kamernummer gegeven. De politieambtenaren zijn daarop naar die hotelkamer gegaan. In die kamer werden omstreeks 18.29 uur vijf personen aangetroffen, de verdachten en nog drie anderen. Allen werden aangehouden. In de hotelkamer werden naast luxe kleding en schoenen ook zeven telefoons aangetroffen. Op alle telefoons zijn sporen van vriend-in-noodfraude aangetroffen.

Bij de aangifte werd tevens een kopie van het chatgesprek overgelegd dat de “oplichters” met het slachtoffer zouden hebben gevoerd. Ook is een transactieoverzicht met tijdstippen waarop de “oplichters” probeerden geld over te maken en videobestanden van de “oplichters” die de bankapp bedienden van diezelfde momenten. De tijdstippen van de fictieve transacties komen precies overeen met de tijdstippen waarop de videobeelden zijn gemaakt. De verbalisant heeft op die videobeelden steeds de verdachte en daarnaast in een aantal gevallen de verdachte en de medeverdachte herkend. Op de beelden die zijn gemaakt op de tijdstippen van de transacties zijn geen anderen te zien

Uit onderzoek naar de historische gegevens van de zeven telefoons is gebleken dat de telefoons van de verdachte en de medeverdachte en de telefoons op naam de verdachten meermalen rond dezelfde tijdstippen dezelfde masten aanstralen in Rotterdam aanstraalden. Uit de camerabeelden van het hotel is gebleken dat de verdachte en de medeverdachte om 13.38 uur het hotel binnenkomen. Zij worden op dat moment ook door de politieambtenaren op straat voor het hotel gezien, waar zij de melder als televisiepersoonlijkheid hebben herkend en selfies met hem hebben gemaakt. Op de camerabeelden van het hotel is te zien dat zij kort daarna het hotel zijn binnengegaan.

Onder omstandigheden dient bewijsmateriaal dat door burgers is verzameld van gebruik bij de bewijsbeslissing te worden uitgesloten. Dat is het geval als er sprake is van schending van algemene beginselen van een behoorlijke procesorde of veronachtzaming van de processuele rechten van de verdediging. Maar als uitgangspunt heeft te gelden dat bewijsmateriaal dat door burgers is verzameld bij de bewijsbeslissing mag worden gebruikt. Onrechtmatig of strafbaar handelen door die burgers bij het verzamelen van dat bewijsmaterieel doet daar in beginsel niet aan af. Dat laatste is anders als opsporingsambtenaren of ambtenaren van het Openbaar Ministerie enig invloed hebben gehad op de verkrijging van dat bewijsmateriaal (HR 14 januari 2003, ECLI:NL:HR:2003:AE9038). Gesteld noch gebleken is dat politie of Openbaar Ministerie enige invloed op de opsporing van de verdachte door de melder hebben gehad.

De verklaring van de melder is afgelegd ten overstaan van een opsporingsambtenaar. Het bewijsmiddel is het desbetreffende proces-verbaal. De rechtbank kan kennisnemen van dat bewijsmiddel en dit bij de bewijsbeslissing gebruiken. De waardering van de inhoud is aan de rechtbank voorbehouden.

De rechtbank overweegt dat er sprake is van computervredebreuk door het aannemen van een valse hoedanigheid en installeren van de namaakbank-app. Niet is gebleken dat de melder en zijn medewerkers verder zijn gegaan dan nodig om de bedriegers aan de kaak te stellen. Of daarmee de wederrechtelijkheid aan hun handelen ontbreekt, “kan in het midden blijven“, aldus de rechtbank. Het gaat erom dat aldus naar het oordeel van de rechtbank geen algemene beginselen van een behoorlijke rechtsorde zijn geschonden en geen processuele rechten van de verdediging zijn veronachtzaamd.

Wat betreft het door de verdediging aangevoerde onafhankelijke onderzoek begrijpt de rechtbank de verdediging zo, dat de burgeropsporing door een onafhankelijke opsporingsinstantie zou moeten worden gecontroleerd alvorens het bewijsmateriaal toelaatbaar is. Maar dit is een eis die het recht zo algemeen geformuleerd niet kent.

Gelet op de (relatief beperkte) overschrijding van de redelijke termijn, de eis van de officier van justitie, de jonge leeftijd van de verdachte en de al ingezette hulpverlening, legt de rechtbank in plaats van een onvoorwaardelijke gevangenisstraf een taakstraf en een voorwaardelijke gevangenisstraf met voorwaarden op.

Alleen maar bewijs uit Sky ECC-berichten is voor de rechtbank Breda niet genoeg

De rechtbank Zeeland-West-Brabant heeft op 13 september 2022 een opvallende uitspraak (ECLI:NL:RBZWB:2022:5151) gedaan over een zaak met uitsluitend bewijs uit de Sky ECC-operatie. De man werd verdacht van drugshandel in 40 kilo MDMA, 300.000 xtc-pillen en ruim twintig kilo ketamine.

De rechtbank overweegt dat er van wettig bewijs is sprake als er bewijsmiddelen zijn uit verschillende bronnen of als de bewijsmiddelen uit één bron worden ondersteund door andere feiten en omstandigheden. Uit die bewijsmiddelen moet de rechtbank vervolgens ook de overtuiging krijgen dat verdachte de tenlastegelegde feiten heeft gepleegd.

Evenals de verdediging beschikt de rechtbank niet over de dataset met alle Sky ECC-berichten van het account ‘546TCH’, zijnde het account dat aan verdachte wordt toegeschreven. Hierdoor kan zij de berichten in het procesdossier niet beoordelen in de context van andere berichten die door of aan het account zijn verstuurd. Het samenstellen van het procesdossier is een bevoegdheid van het Openbaar Ministerie. Het Openbaar Ministerie heeft er in deze zaak voor gekozen te volstaan met het toevoegen van specifieke delen van de dataset aan het procesdossier. De rechtbank kan hierdoor de verdenkingen tegen verdachte uitsluitend beoordelen aan de hand van deze selectie in het procesdossier.

De rechtbank stelt vast dat de verdenkingen tegen verdachte gebaseerd zijn op de in het procesdossier aanwezige Sky ECC-berichten. Deze berichten komen naar het oordeel van de rechtbank allemaal uit één bron, namelijk de gekraakte berichtendienst Sky ECC. Dat door het Openbaar Ministerie wordt verwezen naar meerdere chatsessies van het account met verschillende andere gebruikers van Sky ECC maakt dit niet anders. In het procesdossier zijn geen bewijsmiddelen opgenomen die de inhoud van de berichten ondersteunen. Hierdoor is de inhoud van de berichten niet te toetsen. De rechtbank is van oordeel dat hierdoor het wettige bewijs voor de tenlastegelegde feiten ontbreekt. Zij spreekt verdachte daarom vrij van alle tenlastegelegde feiten.

Brandbrief over het in beslag nemen, aftappen en hacken van versleutelde communicatiediensten

Overigens hebben meer dan 100 advocaten op 24 oktober 2022 een “brandbrief” geschreven over het in beslag nemen, aftappen en hacken van versleutelde communicatiediensten, zoals Ennetcom, PGPsafe, EncroChat en SkyECC. Volgens de advocaten is er onvoldoende transparantie over de inzet van nieuwe opsporingsmethoden in deze zaken, waardoor spanning ontstaat met het recht op een eerlijke proces en het recht op privacy. Ook maken zij zich zorgen over het risico van de glijdende schaal. Volgens hen worden ook andere (versleutelde) communicatiediensten, zoals Signal en Whatsapp, al ‘in verdachte hoek geplaatst of dreigen daar te komen, terwijl die verdachtmaking enkel is gebaseerd op het gebruik van sterke encryptie en het beschermen van de eigen privacy’.

De advocaten dringen in de brief aan op: (1) Kamervragen, waarmee uitleg kan worden verschaft over de rol van Nederlandse autoriteiten bij de internationale samenwerking in de onderzoeken naar,  voornoemde communicatiediensten; (2) transparantie vanuit het Ministerie van Justitie en Veiligheid en het openbaar ministerie over de rol van de Nederlandse autoriteiten bij die internationale samenwerking; en (3) kritisch onderzoek door rechters in individuele strafzaken waarin verdachten worden geconfronteerd met bewijsmateriaal dat voortvloeit uit die internationale samenwerking.

Gevangenisstraf voor verkoop RDW-gegevens

Op 27 september 2022 zijn medewerkers Belastingdienst door de rechtbank Overijssel veroordeelt (ECLI:NL:RBOVE:2022:2703) voor het verkopen van kentekengegevens uit het RDW-systeem. Een 41-jarige man kreeg een gevangenisstraf van achttien maanden opgelegd, waarvan zes maanden voorwaardelijk. De tweede medewerker, een 47-jarige vrouw, werd veroordeeld tot een voorwaardelijke gevangenisstraf van zes maanden.

Het onderzoek ‘26Bozeman’ naar de verdachten werd gestart op basis van ontsleutelde EncroChat-berichten. Uit verschillende chats kwam naar voren dat gegevens van bepaalde kentekenhouders, waaronder namen, adressen en automerken, tegen betaling werden ingewonnen via een medewerker van de Belastingdienst. De Rijksrecherche startte daarop onderzoek Rabenau en kwam bij verdachte en medeverdachte terecht.

De kentekengegevens werden vervolgens verkocht aan derden. Dit zou hebben plaatsgevonden van maart 2017 tot en met maar 2021. In totaal hebben de verdachten gegevens van 216 kentekens in systemen van de Belastingdienst opgevraagd. De data werd op een papiertje opgeschreven, daarna gefotografeerd en via EncroChat uitgewisseld. Per verstrekt kenteken zou de man een bedrag van tussen de 50 en 200 euro hebben ontvangen.

Volgens de rechter hebben de twee hun inloggegevens waarmee ze op het systeem inlogden voor een ander doel gebruikt dan waarvoor ze die hadden ontvangen. De verdachte wordt schuldige bevonden aan het schenden van zijn ambtsgeheim (art. 272 Sr), computervredebreuk (art. 138ab Sr) en ambtelijke omkoping (art. 363 Sr). Onlangs is overigens nog een artikel verschenen over ‘computervredebreuk met een valse sleutel’, zoals in het onderhavige geval, met de veelzeggende titel: ‘Niet elke grasduinende mol is een hacker – Waarom de Hoge Raad het begrip computervredebreuk te ver heeft opgerekt’ door M. Berndsen & C.J.J. Visser in Boom Strafblad, nr. 4, 2022. Doi: 10.5553/BSb/266669012022003004008.

Overigens is de rechtbank is van oordeel dat, anders dan de raadsman stelt, noch de wet, noch de jurisprudentie vereist dat voor overdracht van door inzet van bijzondere opsporingsbevoegdheden verkregen gegevens een machtiging van de rechter-commissaris is vereist. De Encrochat-berichten zijn naar het oordeel van de rechtbank rechtmatig verkregen en kunnen voor het bewijs worden gebezigd.

In de strafmotivering overweegt de rechtbank dat ‘de integriteit van de overheid en de ambtenaren die in dienst staan van de overheid is van fundamenteel belang voor de democratische rechtsstaat. Ambtenaren kunnen vaak over een grote hoeveelheid persoonsgegevens beschikken en de samenleving moet erop kunnen vertrouwen dat zij hier op een integere wijze mee omgaan’. De rechtbank overweegt ook dat de verdachten met hun handelen mogelijk mensen in groot gevaar hebben gebracht en rekent de verdachte aan dat ze veelvuldig gegevens hebben verstrekt en dit met groot gemak deden.

In de onderhavige zaak is de veroordeeld voor 18 maanden gevangenisstraf, waarvan zes maanden voorwaardelijk met een proeftijd van drie jaren. Naast de gevangenisstraf ontzet de rechtbank de verdachte ook het recht om een openbaar ambt te bekleden voor de duur van vijf jaar.

Veroordelingen voor misbruik Coronasysteem van de GGD

Op 14 september 2022 heeft de rechtbank Rotterdam een man veroordeeld (ECLI:NL:RBROT:2022:7659) voor valsheid in geschrifte. De verdachte heeft samen met anderen valse Corona vaccinatiebewijzen en een aantal negatieve Corona testuitslagen verkocht.

De verdachte in de onderhavige zaak zorgde voor de aanwas van ‘klanten’, die de medeverdachte, die op meerdere vaccinatielocaties van de GGD werkte, valselijk als gevaccineerd in het daartoe bestemd geautomatiseerd systeem van de GGD heeft geregistreerd. Ook hebben ze valse negatieve testuitslagen doen opmaken.

De verdachte heeft gezorgd dat de ‘klanten’ een afspraak maakten op de juiste vaccinatielocatie en dag en heeft de gegevens doorgegeven die nodig waren om hen als gevaccineerd te registeren.

De officier van justitie legde ook computervredebreuk ten laste, omdat de verdachte misbruik zou hebben gemaakt van het systeem van de GGD doordat hij gebruik heeft gemaakt van zijn account met een ander doel dan waarvoor hem dat account ter beschikking stond. De rechtbank spreekt de verdachte van dit feit vrij. Een medeverdachte slechts toegang tot een account van de GGD had en uit het dossier en het verhandelde ter terechtzitting is zijn betrokkenheid bij het gebruik van het account ook niet gebleken.

De verdachte wordt veroordeeld voor 12 maanden gevangenisstraf, waarvan negen maanden voorwaardelijk met een proeftijd van twee jaar alsmede een taakstraf voor de maximale duur van 240 uur.

De medeverdachte is wel veroordeeld (ECLI:NL:RBROT:2022:7657) voor computervredebreuk. Deze heeft in het CoronIT-systeem van de GGD gegevens van de betrokken personen heeft ingevoerd, zoals hun BSN-nummer, waarna zij in het systeem als gevaccineerd werden geregistreerd. Deze digitale registratie geldt als bewijs van vaccinatie. Daarentegen acht de rechtbank – in tegenstelling tot de officier van justitie – niet bewezen dat de verdachte al dan niet samen met een ander, valselijk QR-codes heeft opgemaakt. Dit betreffen immers wel documenten die de betrokkenen – nadat zij als gevaccineerd zijn geregistreerd – zelf kunnen aanmaken via hun DigiD. Dat de verdachte dit voor of met hen deed, is niet gebleken.

De rechtbank overweegt bij de strafoplegging dat de verdachte door zo te handelen misbruik gemaakt van zijn functie als administratief medewerker bij de GGD en het vertrouwen van zijn werkgever ernstig beschaamd. Voorts heeft de verdachte hiermee het vertrouwen van de burger ernstig beschaamd. De samenleving moet immers kunnen vertrouwen op de echtheid van dergelijke registraties en op de echtheid van de documenten die mensen die als gevaccineerd geregistreerd zijn vervolgens kunnen gebruiken. De rechtbank neemt het de verdachte kwalijk dat hij hierbij enkel oog heeft gehad voor zijn eigen financiële gewin.

WODC-onderzoek ‘Strafvorderlijke gegevensverwerking’ gepubliceerd

jjoerlemans Een reactie plaatsen

Op 25 oktober 2022 is het WODC-onderzoek ‘Strafvorderlijke gegevensverwerking’ gepubliceerd (zie ook de .pdf naar het volledige rapport). Het onderzoek is in opdracht van het Wetenschappelijk Onderzoek- en Documentatiecentrum van het ministerie van Justitie en Veiligheid uitgevoerd door Fedorova en anderen van de Radboud Universiteit. En full disclosure: ik zat samen met anderen in de begeleidingscommissie van het onderzoek. Dat wil zeggen dat ik advies en feedback heb gegeven op eerdere versies van het rapport.

Hieronder geef ik de kern van het rapport weer en ga ik wat uitgebreider op het onderdeel over toezicht op de huidige praktijk van gegevensverwerking door de politie in opsporingsonderzoeken. Dit laatste heeft mijn bijzondere interesse, omdat ik daar zelf ook onderzoek naar doe.

Inleiding

In het persbericht op wodc.nl wordt de huidige praktijk mooi beschreven:

Door inbeslagname of hacks van grote gegevensdragers heeft de politie steeds vaker toegang tot enorme hoeveelheden persoonsgegevens. Dit biedt kansen voor het digitale opsporingswerk en de vervolging van verdachten van zware misdrijven. Denk aan de miljoenen recent gekraakte (criminele) berichten van Ennetcom, EncroChat of Sky ECC.

Zeker in de huidige gedigitaliseerde maatschappij waarin steeds meer gegevens en geavanceerde data-analyse technologieën voorhanden zijn, heeft de politie steeds meer mogelijkheden om gegevens die reeds in de politiesystemen aanwezig zijn, met elkaar te combineren en zodoende een min of meer volledig beeld van iemands privéleven te krijgen. Daar komt bij dat politie ook steeds vaker grote datasets in handen krijgt waarin nadere zoekslagen kunnen worden uitgevoerd, zonder dat er op het moment van verkrijging reeds een op het individu of een groep toegesneden verdenking sprake hoeft te zijn.

Met name voor grote hoeveelheden, in bulk verkregen gegevens geldt doorgaans dat de gegevens op zichzelf niet zoveel zeggen, maar relevant worden wanneer de politie deze gegevens nader analyseert, visualiseert of in verband brengt met andere gegevens.

Daarmee verplaatst het zwaartepunt van de door de overheid gemaakte privacy-inbreuk van de vergaring van gegevens veeleer naar de (verdere) verwerking van die gegevens. Het verkrijgen van bulkgegevens is volgens de onderzoekers vanuit het recht op privacygevoeliger dan het verkrijgen van gegevens die wel te relateren zijn aan een of meer personen die reeds onderwerp van onderzoek zijn.

Onderzoeksvragen

Uit het onderzoek blijkt dat in het Wetboek van Strafvordering vooral aandacht is voor de inzet van digitale opsporingsbevoegdheden: in welke gevallen, voor welke doelen en met toestemming van welke autoriteit mogen persoonsgegevens worden verzameld? Dat geldt zowel voor het huidige Wetboek van Strafvordering als voor (de plannen voor de) modernisering van het Wetboek van Strafvordering. Aan het verdere gebruik van die gegevens wordt in dat wetgevingstraject veel minder aandacht besteed, terwijl de politie juist door het verdere gebruik een (nieuwe) inbreuk op de privacy van burgers kan maken.

De onderzoekers hebben onderzocht hoe de Wet politiegegevens (Wpg) zich onder andere verhoudt tot het Wetboek van Strafvordering. Ook is nagegaan of het huidige kader wel voldoet aan de eisen die het Europese recht stelt en hebben ze naar het toezicht op de nieuwe politiepraktijk gekeken.

Normering

In de plannen inzake de modernisering van het Wetboek van Strafvordering wordt strikt onderscheid gemaakt tussen enerzijds de normering van de vergaring van gegevens langs de weg van het uitoefenen van strafvorderlijke bevoegdheden en anderzijds de verdere verwerking van gegevens. Plannen voor wijziging van de Wet politiegegevens zijn volgens de onderzoekers overigens op de lange baan geschoven (“Op korte termijn komt er geen nieuwe gegevensverwerkingswet”).

Volgens de onderzoekers valt de keuze in toekomstplannen van het moderniseringsproject Strafvordering om het onderscheid vergaren-verwerking strikt door te voeren, “in ieder geval niet goed te verdedigen”. Zij stellen voor om verwerkingshandelingen die zijn gericht op kennisvermeerdering en een strafvorderlijk doel dienen, in het Wetboek van Strafvordering onder de aandacht te brengen aldaar nader te normeren:

“Te veel normen die voor de uitoefening van digitale opsporingsbevoegdheden van belang zijn, – zoals doelspecificatie, verenigbaar gebruik, verwijdering en transparantie verplichtingen – zijn vooralsnog niet in het gemoderniseerde Sv terecht gekomen, terwijl ze wel van belang voor de opsporing.”

Ook pleiten de onderzoekers voor meer specifieke regels voor strafvorderlijk onderzoek aan bulkgegevens. Daarbij denken zij aan ‘nadere waarborgen in de vorm van een verzwaarde noodzakelijkheidstoets en een relevantietoets door analisten die niet bij het opsporingsonderzoek zijn betrokken’.

Toezicht

De onderzoekers schrijven – ook naar aanleiding van hun analyse van rechtspraak van het Europees Hof voor de Rechten van de Mens (EHRM) en het Hof van Justitie (HvJ EU) – dat meer nadruk komt te liggen op (effectief) toezicht bij de ‘verdere verwerking van gegevens’. Ik verwijs en citeer hierbij graag uit paragraaf 6.3.4 uit het rapport:

Het probleem

Het probleem is dat in de huidige toezichtspraktijk door de strafrechter (in rechtszaken) en door de Autoriteit Persoonsgegevens “doorgaans niet (mijn cursivering) uitvoerig wordt gecontroleerd of de Wpg en de daarin vervatte gegevensbeschermingsrechtelijke beginselen zijn nageleefd, nu dergelijke schendingen toch vaak niet tot rechtsgevolg hoeven te leiden. Voorts wordt ook aangenomen dat het niet tot de taak van de strafrechter behoort om de opsporing te controleren. De Autoriteit Persoonsgegevens lijkt deze rol ook niet voor haar rekening te willen nemen, nu deze autoriteit vooral systeemtoezicht houdt en niet op concrete zaken. Het gegevensbeschermingrecht is bovendien niet het enige gezichtspunt dat relevant is bij de normering van de verwerking van gegevens voor strafvorderlijke doeleinden.”

“Door het houden van toezicht wordt niet alleen de norm bevestigd (en eventueel afgedwongen), maar kan de norm – daar waar nodig – nader wordt uitgelegd. (…) In de kern is het probleem dat weliswaar verschillende onafhankelijke en niet-onafhankelijke toezichtsorganen toezicht kunnen houden op de verwerking van gegevens voor strafvorderlijke doeleinden, maar dat vanwege de taakopvatting en verschillende capaciteitsoverwegingen niet daadwerkelijk van effectief toezicht kan worden gesproken. Bij het nadenken over nieuwe systemen of andere inhoudelijk normering, kan een andere reflectie op het toezicht dus niet achterwege blijven.”

De aanbeveling: een nieuwe gespecialiseerde onafhankelijke toezichthouder

“Het verdient aanbeveling een toezichthouder in het leven te roepen die specifiek toezicht kan houden op de verwerking van gegevens voor strafvorderlijke doeleinden. Ook kan een gespecialiseerd toezichthouder voor een breder publiek inzichtelijk maken waar de vragen en dilemma’s liggen zodat daarover een breder maatschappelijke of politieke discussie kan plaatsvinden.”

De onderzoekers identificeren daarvoor twee opties. De eerste optie is een gespecialiseerde toezichthouders voor de gegevensverwerking door de opsporingsautoriteiten in het leven te roepen. De tweede optie is dat: ‘het toezicht binnen het strafvorderlijk kader wordt versterkt door naast het huidige AP en de strafrechter, een toezichthoudend orgaan op te richten naar het voorbeeld van de CTIVD dat toezicht uitoefent op het optreden van de inlichtingen- en veiligheidsdiensten. De CTIVD oefent immers toezicht uit zowel tijdens de uitoefenen van de bevoegdheden als achteraf. Over dit toezicht brengt de CTIVD verslag uit in openbare rapporten.’

“Het voordeel van het in het leven roepen van een met de CTIVD vergelijkbaar orgaan boven een specialistisch gegevensbeschermingsautoriteit, is dat de eerste een bredere taakopdracht kan worden toebedeeld binnen het strafvorderlijk kader, een taak die verder gaat dan die van een waakhondfunctie. Daardoor kan dit toezichthoudende orgaan ook een belangrijke rol vervullen op het gebied van normprecisiering. Dit orgaan zou wat ons betreft bovendien als klankbord kunnen fungeren bij vragen van de politie over de verwerking van gegevens gedurende de opsporing. Zo kan ook buiten de rechter om worden geborgd dat fundamentele rechten voldoende zijn beschermd alsmede dat de opsporing werkbaar blijft.”

En tot slot: over “goed toezicht”

“Goed toezicht wil echter niet zeggen dat elke (verwerkings)handeling vooraf gefiatteerd of achteraf bekeken moet worden; er zijn andere manieren om de vereiste volledigheid van toezicht te realiseren. Waar het momenteel vooral aan lijkt te ontbreken is een onafhankelijk toezichthouder die real-time mee kan kijken bij de uitoefening van digitale opsporingsbevoegdheden en waar nodig kan interfereren (en dat ook doet). Nu wordt bij onderzoek aan bulkgegevens op ad hoc basis de rechter-commissaris betrokken, maar dat lijkt niet een erg effectieve vorm van toezicht of gegevensbescherming te zijn. Immers, vaak is vooraf nog niet precies duidelijk wat men gaat tegenkomen in de bulk van gegevens. In het kader van de Wiv 2017 en de plannen tot hervorming van die regeling, denkt men momenteel na hoe een dergelijk vorm van toezicht gestalte kan krijgen.”

“De trend naar meer ex durante en ex post toezicht is ook in de jurisprudentie van het EHRM te zien, ook al formuleert het EHRM weinig harde eisen. Dat laat onverlet dat er alle aanleiding is om het stelsel van toezicht zoals we dat in Nederland kennen, te verstevigen. Op deze manier kan aan zorgen van burgers tegemoet worden gekomen en kunnen de belangen van de verdachte voldoende worden gewaarborgd.”

Bron: M.I. Fedorova e.a., ‘Strafvorderlijke gegevensverwerking. Een verkennende studie naar de relevante gezichtspunten bij de normering van het verwerken van persoonsgegevens voor strafvorderlijke doeleinden’, Den Haag: WODC / Nijmegen: Radboud University Press 2022.

Cybercrime jurisprudentieoverzicht mei 2022

jjoerlemans

Bulk en EncroChat

Op 17 maart 2022 heeft de rechtbank Amsterdam een verdachte veroordeeld (ECLI:NL:RBAMS:2022:1273) voor onder andere drugshandel. De verdachte was werkzaam in een drugslaboratorium en had als aanspreekpunt voor de criminele organisatie een essentiële rol. Daarnaast wordt hij (mede) verantwoordelijk gehouden voor de inrichting van het laboratorium en het productieproces van de handel in cocaïne. Hij is veroordeeld voor vier jaar gevangenisstraf.

De overwegingen over privacy en bulkdata zijn met name interessant om te lezen. De rechtbank overweegt dat er geen sprake is geweest van ‘bulkdata’ in de zin van ongedifferentieerde dataverzameling (zie in soortgelijke zin ook (Rb. Noord-Holland 4 mei 2022, ECLI:NL:RBNHO:2022:3899)). Het ging hier om een afgebakende groep, namelijk de gebruikers van EncroChat, en om een concrete verdenking, namelijk dat EncroChat werd gebruikt, geheel of in overwegende mate, door deelnemers aan georganiseerde criminaliteit. Dat is een essentieel andere situatie dan bijvoorbeeld het bewaren van alle metadata van alle abonnees van een telecomprovider ten behoeve van eventuele toekomstige strafrechtelijke onderzoeken.

Zie over bulkbevoegdheden en strafvordering ook het recente artikel van M. Galič, ‘Bulkbevoegdheden en strafrechtelijk onderzoek – Lessen uit de jurisprudentie van het EHRM voor de normering van grootschalige data-analyse’, TBS&H 2022/2.7 (in een themanummer over cryptophones). In dat themanummer is onder andere ook een overzichtartikel van EncroChat-jurisprudentie te vinden (tot februari 2022): B.W. Schermer & J.J. Oerlemans, ‘De EncroChat-jurisprudentie: teleurstelling voor advocaten, overwinning voor justitie?’, TBS&H 2022/2.2 en een bijdrage van S. Royer & R. Vanleeuw, ‘Cryptofoons, privacyvriendelijke applicaties en het vermoeden van onschuld’, TBS&H 2022/2.3.

Diefstal van bitcoins

Op 7 april 2022 is een verdachte veroordeeld (ECLI:NL:RBMNE:2022:1414) voor diefstal van Bitcoins en Bitcoin Cash. De virtuele valuta had een waarde van € 120.000,-. De verdachte wordt veroordeeld voor zowel computervredebreuk als diefstal. De diefstal kwam aan het ligt toen het slachtoffer zag dat 30 Bitcoins uit zijn wallet waren weggenomen, vanaf de computer op zijn tandartsenpraktijk waar zijn blockchain-account op stond. Uit onderzoek van het IT beveiligingsbedrijf Fox IT bleek dat een ‘Remote Dekstop Protocol’ was geactiveerd op de computer, hetgeen leidde tot nader onderzoek. Uit het bewijs blijkt dat de verdachte door middel van een ‘remote desktop’-sessie toegang had verkregen tot het systeem van de aangever.

De verbalisant stelde met Chainalysis vast dat de Bitcoins uit de wallet van de aangever waren verstuurd naar een ander Bitcoin-adres. Vervolgens waren de Bitcoins opgesplitst in negen transacties. Alle transacties werden uiteindelijk naar Shapeshift.io verzonden (Shapeshift.io is een platform waar je cryptocurrencies kunt wisselen, een soort digitaal wisselkantoor, maar staat ook wel bekend als ‘Bitcoinmixer’). De rechtbank overweegt dat ‘een mixer een soort dienst is die Bitcointransacties door elkaar husselt, zodat het spoor onderbroken wordt en het traceren van de transacties vrijwel onmogelijk wordt’.

De verdachte is veroordeeld tot (slechts) een taakstraf van 240 uren en een voorwaardelijke gevangenisstraf van zes maanden, een hogere straf dan de officier van justitie had gevorderd. De rechtbank houdt bij de strafoplegging rekening met het feit dat verdachte vader is van twee jonge kinderen en een gezin te onderhouden heeft en een overschrijding van de redelijke termijn.

Arrest over controle van gegevensdragers

Op 15 maart 2022 heeft de Hoge Raad een arrest (ECLI:NL:HR:2022:338) gewezen over het stellen van bijzondere voorwaarden bij zedendelinquenten. In deze zaak ging het om de volgende voorwaarden:

“3. de veroordeelde onthoudt zich op welke wijze dan ook van het seksueel getint communiceren met minderjarigen, gedrag dat is gericht op een digitale omgeving waarin kinderpornografisch materiaal kan worden verkregen en gedrag dat is gericht op een digitale omgeving waarin over seksuele handelingen met minderjarigen wordt gecommuniceerd,

a. waarbij de veroordeelde tijdens de gesprekken met de reclassering bespreekt hoe hij denkt dit gedrag te voorkomen;

b. waarbij het toezicht op deze voorwaarde onder andere kan bestaan uit controles van computers en andere apparatuur;

c. waarbij de betrokkene meewerkt aan controle van digitale gegevensdragers tijdens een huisbezoek;”

Kortgezegd overweegt de Hoge Raad met betrekking tot de ‘Toezichtgeoriënteerde gedragsvoorwaarde’ dat er sprake moet zijn dat ‘er ernstig rekening mee moet worden gehouden dat veroordeelde wederom misdrijf zal begaan dat gericht is tegen of gevaar veroorzaakt voor onaantastbaarheid van lichaam van een of meer personen” art. 14c Sr). De door het hof gestelde bijzondere voorwaarde dat de veroordeelde ‘meewerkt aan controle van digitale gegevensdragers tijdens huisbezoek’ voldoet niet aan hiervoor genoemde eisen en is daarom in strijd met art. 14c.2.14 Sr. Zo’n voorwaarde moet volgens de Hoge Raad voldoende precies het daarin gevatte gedragsvoorschrift formuleren. Zij mag echter niet gedrag van de verdachte omvatten dat in feite overeenkomt met het meewerken aan door de politie uit te oefenen veelomvattende en ingrijpende dwangmiddelen (met verwijzing naar HR 7 juli 2020, ECLI:NL:HR:2020:1215, SR-Updates.nl 2020-0260, m.nt. J.H.J. Verbaan).

Hoewel hof voldoende duidelijk tot uitdrukking heeft gebracht dat deze bijzondere voorwaarde het toezicht op naleving van bijzondere voorwaarden beoogt te regelen, blijkt uit voorwaarde immers niet met welke frequentie en op welke wijze controles van gegevensdragers mogen worden uitgevoerd, welke functionarissen daarbij betrokken mogen zijn en hoe is gewaarborgd dat persoonlijke levenssfeer van verdachte daarbij niet verdergaand wordt beperkt dan nodig is voor beoogd toezicht. De klacht slaagt.  

Gebruik van risicoscore en veroordeling voor kinderopvangtoeslagfraude

Op 5 april 2022 veroordeelde (ECLI:NL:RBAMS:2022:1827) de rechtbank Amsterdam een verdachte voor het medeplegen valsheid in geschrift, gewoontewitwassen en als leider deelnemen aan een criminele organisatie in verband met kinderopvangetoeslagfraude. Volgens de Fiscale Inlichtingen- en Opsporingsdienst (FIOD) kunnen drie stadia bij kinderopvangtoeslagfraude worden geïdentificeerd. Het eerste stadium is het werven van aanvragers. In het eerste stadium van ‘werven’ worden personen benaderd en erop worden gewezen dat zij kinderopvang toeslag aan te vragen. De daders bieden daarbij aan te helpen en doen zich voor als belastingmedewerker. Het tweede stadium is het indienen van de aanvraag tot kinderopvangtoeslag. Aan aanvragers werd gevraagd om hun DigiD-wachtwoord, bankgegevens en andere persoonlijke gegevens af te geven. Daarvan worden valse bescheiden opgemaakt en bij de aanvraag gevoegd. In het derde stadium van betaling werd met aanvragers afgesproken welk deel van de ontvangen kinderopvangtoeslag zij moesten afdragen, aan wie zij dit moesten afdragen en hoe zij dit moesten betalen. De zaak is met name interessant vanwege de overwegingen omtrent het ‘frauderisico’ die de Belastingdienst hanteerde.

Het onderzoek met de naam ‘Bonsai’ is begonnen na een melding van het Fraudeteam van de Belastingdienst Toeslagen dat een persoon bij haar aanvraag van kinderopvangtoeslag valse bewijsstukken had aangeleverd. Naar aanleiding hiervan is onderzocht welk IP-adres is gebruikt voor die aanvraag. Het bleek dat nog voor zeven andere personen via dit IP-adres kinderopvangtoeslag te zijn aangevraagd. Naar aanleiding daarvan is ook onderzoek gedaan naar de aanvragen van deze zeven personen. Daarbij was in meerdere gevallen ook sprake van een onjuiste aanvraag waardoor onterecht kinderopvangtoeslag is uitgekeerd. Uit vervolgonderzoek is gebleken dat de aanvragen van deze zeven personen aan in totaal 23 IP-adressen zijn te koppelen. Vanaf deze 23 IP-adressen zijn in totaal voor 50 personen onjuiste aanvragen ingediend, waarbij voor ongeveer 30 personen het vermoeden bestond dat ook valse documenten waren ingestuurd.

Aan de hand van de tenaamstellingen van de IP-adressen kwamen enkele verdachten in beeld en zijn huiszoekingen gedaan. Op de laptops die zijn aangetroffen in de woningen van een aantal verdachten zijn IP-adressen aangetroffen die zijn gebruikt bij de aanvragen van kinderopvangtoeslag. Op die laptops zijn ook sporen van digitaal contact tussen de aanvragers en de Belastingdienst Toeslagen aangetroffen. Daarnaast zijn in de woning van de verdachte 11 DigiD-codes aangetroffen waarvan er vijf zijn te herleiden tot onjuiste aanvragen. Ook zijn op de telefoon en laptop van een medeverdachte chatsessies met de verdachte over kinderopvangtoeslag en betalingen aangetroffen.

De verdediging voert het interessante verweer dat uit het procesdossier valt niet af te leiden op welke basis de aanvrager is geselecteerd, zodat niet kan worden uitgesloten dat dit is gebeurd op basis van discriminatoire algoritmes. Gelet op het feit dat – indien er sprake is geweest van een selectie op basis van discriminatoire algoritmes – heeft er volgens de verdediging een ernstige schending plaatsgevonden en moet er worden overgegaan tot uitsluiting van het bewijs dat door middel van het onrechtmatige, niet onafhankelijke en niet onpartijdige onderzoek is verkregen.

In haar verweer verwijst het Openbaar Ministerie naar de brief ‘Openbaarmaking risicoclassificatiemodel Toeslagen’ van 26 november 2021, waarin de werkwijze van de Belastingdienst Toeslagen uiteen wordt gezet. Wat uit die brief in ieder geval kan worden afgeleid is dat er met algoritmes werd gewerkt bij de Belastingdienst Toeslagen en dat op basis van meerdere indicatoren werd gekomen tot een risico-score per aanvraag. Scoorde een aanvraag hoog, dan liep die aanvraag meer kans om gecontroleerd te worden. Over de wenselijkheid van de gehanteerde indicatoren is veel politiek debat gevoerd, met name ook over een indicator op het gebied van nationaliteit. ‘Persoon 1’, waarnaar wordt verwezen, had in ieder geval de Nederlandse nationaliteit. In dat geval werd er door de Belastingdienst Toeslagen geen nadere selectie gemaakt op het bestaan van een eventuele tweede nationaliteit bij de selectie van het controleren van de aanvragen kinderopvangtoeslag. De keuze om de aanvraag van ‘persoon 1’ te controleren had dus niet te maken met haar afkomst, aldus het Openbaar Ministerie.

De rechtbank overweegt dat in het rapport ‘De verwerking van de nationaliteit van aanvragers van kinderopvangtoeslag’ van juli 2020 is geconstateerd dat er met selectie op basis van nationaliteit in het model sprake was van een overtreding. Deze verwerking was niet noodzakelijk omdat er minder vergaande mogelijkheden voorhanden waren. Deze overtreding is door de Autoriteit Persoonsgegevens als discriminerend en daarmee onbehoorlijk aangemerkt. De rechtbank stelt vast dat er meerdere indicatoren voor de Belastingdienst Toeslagen waren om te bepalen of een aanvraag al dan niet als risicovol moest worden aangemerkt. Medewerkers van Toeslagen ontwikkelden het model in 2013 aan de hand van een set risico-indicatoren en op basis van voorbeelden van juiste en onjuiste toeslagaanvragen. Door het model te voeden met duizenden voorbeelden van handmatig behandelde aanvragen, herkende het model statistische verbanden tussen indicatoren en voorspelde het model op basis daarvan hoe groot het risico was op onjuistheden in de toeslagaanvragen. Het model werd daarmee in de loop van de tijd aangepast en het model leerde welke posten (on)terecht van een hoge risicoscore waren voorzien. Elke maand kregen de toeslagaanvragen die in het Toeslagen Verstrekkingen Systeem (TVS) klaar stonden voor ‘formeel beschikken’ een risicoscore van 0 tot 1. De meest risicovolle aanvragen kregen een risicoscore dicht bij 1 en de minst risicovolle aanvragen een risicoscore dicht bij 0. De indicatoren voor de kinderopvangtoeslag zagen op de situatie van de opvang (soort opvang zoals gastouder of buitenschoolse opvang, afstand tussen woon- en opvangadres) en op de situatie van de aanvrager (zoals inkomen, toeslagschulden, partner of alleenstaand, leeftijd en aantal kinderen).

Het model heeft ook gebruik gemaakt van de indicator ‘Nederlanderschap Ja/Nee’. Deze indicator was in het model opgenomen, vanwege enerzijds fraude via toeslagaanvragers zonder Nederlandse nationaliteit die in dezelfde periode als de ontwikkeling van het model speelde en anderzijds omdat medewerkers van Toeslagen de ervaring hadden dat toeslagaanvragers zonder Nederlandse nationaliteit soms moeite hadden met het aanvragen van toeslagen en er vaker fouten in hun toeslagaanvragen werden aangetroffen. Deze indicator gaf een ‘Ja’ gaf als de aanvrager de Nederlandse nationaliteit bezat, ook als daarnaast sprake was van nog een andere nationaliteit. Dus ongeacht of er sprake was van meerdere nationaliteiten, iemand met alleen de Nederlandse nationaliteit werd exact hetzelfde gescoord als iemand met een Nederlandse en andere nationaliteit. De rechtbank concludeert dat volgens de hiervoor omschreven werkwijze van de Belastingdienst Toeslagen niet verder werd geselecteerd op een eventuele tweede nationaliteit en daarmee was er op dit vlak geen sprake van een risico-indicatie. Het dossier bevat geen aanwijzingen dat discriminatoire, indicatoren zoals haar Surinaamse naam of uiterlijke kenmerken daarbij een rol hebben gespeeld.

In de beoordeling overweegt de rechtbank dat de verdachte en zijn mededaders zich op grote schaal bezighielden met het valselijk opmaken van stukken en indienen van aanvraag- en wijzigingsformulieren kinderopvangtoeslag en hebben de verkregen gelden vervolgens witgewassen. Daarmee hebben zij misbruik gemaakt van het systeem van de Belastingdienst, waarvan het doel is miljoenen ouders op een zo efficiënt mogelijke manier financieel te ondersteunen als zij gebruik maken van kinderopvang. De Belastingdienst is gedurende een lange periode voor honderdduizenden euro’s opgelicht. De verdachte wordt veroordeeld tot twee jaar gevangenisstraf, waarvan zes maanden voorwaardelijk en een proeftijd van twee jaar.

Diefstal met geweld en digitaal bewijs

Op 18 maart 2022 verscheen er een uitspraak (ECLI:NL:RBGEL:2022:1253) over diefstal met geweld, waarbij een mix van fysiek als digitaal bewijs een belangrijke rol speelde. De zaak gaat over een verdachte en medeverdachte (haar schoonzus) die met mannen afspraken en vervolgens diefstal pleegden.

In de eerste zaak werd afgesproken via de datingsite ‘knuz.nl’. Het slachtoffer werd gedrogeerd door iets in de koffie te doen. Het slachtoffer geeft aan dat hij nog hoorde dat ‘ze’ tegen hem zeiden dat hij geld moest geven zodat ze sigaretten konden halen. Aangever heeft verklaard dat hij toen waarschijnlijk het geld heeft gepakt dat hij contant in huis had. Dat was 150 euro. Bij het sporenonderzoek in de woning aan van aangever te Heerewaarden hebben verbalisanten een restje koffie, dat nog in de mok zat waaruit aangever had gedronken, in beslag genomen. Daarvan is een monster genomen. Ook van koffiebekers van de vrouwen die op bezoek waren is een monster afgenomen. Het Nederlands Forensisch Instituut (NFI) heeft die monsters onderzocht en heeft vastgesteld dat het monster van het restant koffie benzodiazepinen (te weten temazepam en oxazepam) bevatte. Door het NFI is gerapporteerd dat benzodiazepines stoffen zijn die een kalmerende, slaapverwekkende en spierverslappende werking hebben. Op de koffiemokken is ook DNA gevonden die een match opleverde met een DNA-profiel van de medeverdachte.

Bij een tweede slachtoffer werd context gelegd via ‘Lexa.nl’ en gebeurde iets soortgelijks. Bij hem werden dure goederen gestolen. In de tweede zaak werd een onderzoek ingesteld naar de historische telecommunicatiegegevens van het mobiele telefoonnummer en bijbehorend imei-nummer. Uit die gegevens is vast komen te staan dat, op twee gesprekken na, tijdens alle verkregen gesprekken gebruik werd gemaakt van de zendmast op een bepaald adres in Zeist, dat binnen de zendrichting van de zendmast valt. Bovendien zijn de ‘de Lexa-profielen uitgevraagd’. Een van de accounts maakte gebruik van ene IP-adres stond die ‘op naam stond van de verdachte’.

Bij het derde slachtoffer werd contact gelegd via de site ‘NL-Date’. Bij hem zijn dure horloges gestolen na een bezoek. Ook daarbij leidde een monster van een kopie tot een DNA-match met de verdachte op. Het ‘gebruikers ID’ bij NL-Date maakte bovendien gebruik van het IP-adres op naam van verdachte en op naam van haar schoonzus.

De rechtbank acht de diefstal bij de drie slachtoffers bewezen en overweegt dat het tenlastegelegde op grond van artikel 81 Sr kan worden bewezen, omdat het toedienen van een dergelijk middel als een vorm van geweld kan worden beschouwd. Het slachtoffer is in een staat van bewusteloosheid of onmacht is gebracht, waardoor de fysieke macht tot weerstand is gebroken.

De verdachte in de onderhavige zaak werd veroordeeld voor 12 maanden gevangenisstraf, waarvan 8 maanden voorwaardelijk.

Themanummer over cryptophones

jjoerlemans 1 reactie

In mei 2022 is een themanummer over cryptophones verschenen in het Tijdschrift voor Bijzonder Strafrecht en Rechtshandhaving (TBS&H). Het themanummer bevat hele actuele en relevante bijdragen (zie het overzicht hieronder).

In het artikel die ik samen met Bart Schermer heb geschreven bieden we een overzicht en analyse van de EncroChat-jurisprudentie (tot en met februari 2022). Daarnaast heb ik een annotatie geschreven over de veroordeling van de oprichter van Ennetcom.

Veel bijdragen zijn van collega’s van de Universiteit Utrecht. Met speciale dank voor de inspanningen van Dave van Toor die het themanummer heeft gecoördineerd!

Inhoudsopgave:

D.A.G. van Toor, ‘Het enkele gebruik van cryptophones als basis voor procesrechtelijke concepten’, TBS&H 2022/2.1

B.W. Schermer & J.J. Oerlemans, ‘De EncroChat-jurisprudentie: teleurstelling voor advocaten, overwinning voor justitie?’, TBS&H 2022/2.2

S. Royer & R. Vanleeuw, ‘Cryptofoons, privacyvriendelijke applicaties en het vermoeden van onschuld’, TBS&H 2022/2.3

D.A.G. van Toor, ‘Het gebruik van resultaten uit de Encro­Chat-­hack in de Duitse strafrechtspleging’, TBS&H 2022/2.4

L.W. Verbeek & T. Beekhuis, ‘Executieve jurisdictie: het (grote) obstakel in grensoverschrijdende opspo­ringsonderzoeken naar (gebruikers van) cryptoaanbieders?’, TBS&H 2022/2.5

M.M. Egberts, ‘De reikwijdte van het inzagerecht en ‘equality of arms’ in het licht van grote datasets, Hansken en toekomstige ontwikkelingen’, TBS&H 2022/2.6

M. Galič, ‘Bulkbevoegdheden en strafrechtelijk onderzoek. Lessen uit de jurisprudentie van het EHRM voor de normering van grootschalige data-analyse’, TBS&H 2022/2.7

Rb. Rotterdam 21 september 2021, ECLI:NL:RBROT:2021:9085, TBS&H 2022/2.8, m.nt. J.J. Oerlemans (Oprichter van cryptotelefoonaanbieder Ennetcom veroordeeld)

Cybercrime jurisprudentieoverzicht december 2021

jjoerlemans 3 reacties

Hoge Raad wijst nieuw arrest over computervredebreuk

De Hoge Raad heeft op 30 november 2021 een arrest (ECLI:NL:HR:2021:1691) gewezen over de begrippen ‘wederrechtelijk binnengedrongen’, ‘valse sleutel’ en ‘valse hoedanigheid’ in een tenlastelegging over computervredebreuk (art. 138ab Sr). Het ging in deze zaak om een ‘politiemol’; een verdachte die jarenlang vertrouwelijke informatie heeft opgezocht in politiesystemen en die (tegen betaling) heeft gedeeld met personen uit het criminele circuit. Daarnaast wordt hem witwassen verweten en het voorhanden hebben van valse reisdocumenten.

De verdachte had als politieambtenaar met een autorisatie toegang tot het beveiligde politiesysteem ‘Blue View’. Het systeem was beveiligd met een gebruikersnaam (zijn dienstnummer) en een wachtwoord. Het hof Amsterdam heeft reeds vastgesteld dat die autorisatie aan de verdachte was verstrekt om in het kader van zijn werk als politieambtenaar naspeuringen te verrichten, maar dat de verdachte het systeem vervolgens heeft bevraagd op gegevens over personen zonder dat daarvoor in de uitoefening van zijn politietaak enige aanleiding bestond. Op die manier kreeg de verdachte zonder daartoe bevoegd te zijn inzage in gegevens en nam hij deze gegevens over. Op grond hiervan heeft het hof geoordeeld dat de verdachte zijn autorisatie voor toegang tot het systeem Blue View heeft ‘misbruikt om informatie/gegevens over criminelen in te zien, deze informatie/gegevens over te nemen en deze informatie/gegevens ook aan deze criminelen te verstrekken’.

De Hoge Raad overweegt dat het oordeel van het hof Amsterdam dat hier ‘met behulp van een “valse sleutel” computervredebreuk’ wordt gepleegd, juist is (of zoals de HR dat formuleert: ‘geeft niet blijk van een onjuiste rechtsopvatting. Dat oordeel is ook niet onbegrijpelijk’). Daarbij wordt aansluiting gezocht in de wetsgeschiedenis. Zie r.o. 2.2.2:

In de Kamerstukken van het toenmalige wetsvoorstel wordt over het bestanddeel ‘valse sleutel’ weergegeven dat een password een sleutel is die de gebruiker toegang geeft tot het systeem of tot een deel daarvan. Daarbij werd aangehaald dat de Hoge Raad in zijn arrest van 20 mei 1986, ECLI:NL:HR:1986:AC9359, NJ 1987/130, heeft bepaald dat een huissleutel die wordt gebruikt tot opening van een slot door iemand die daartoe niet is gerechtigd, een valse sleutel is en dat niet is vereist dat ten aanzien van de sleutel enige beveiligingsmaatregel is genomen.

Onder verwijzing naar artikel 90 Sr, waarin geen definitie van het begrip ‘valse sleutels’ wordt gegeven maar enkel wordt aangegeven wat onder het begrip dient te worden begrepen (‘alle tot opening van het slot niet bestemde werktuigen’) – waarbij de wetgever heeft aangegeven dat “(O)nverschillig (is) of het werktuig al of niet een sleutel is, zoo het slechts niet die sleutel is, die voor opening van dat slot bestemd is.” (zie H.J. Smidt, Geschiedenis van het Wetboek van Strafrecht, Deel I, tweede druk, p. 544) – stelt het hof dat de jurisprudentie van de Hoge Raad verder ter zake van ‘valse sleutel’ heeft uitgemaakt dat ook onrechtmatig gebruik van bijvoorbeeld een bankpas of een tankpas kan worden aangemerkt als het gebruik maken van een ‘valse sleutel’. Anders gezegd: de Hoge Raad geeft een ruime uitleg aan het begrip ‘valse sleutels’ waarbij ook gebruik door een onbevoegde als een ‘valse sleutel’ kan worden aangemerkt (vgl. CAG Knigge in ECLI:NL:PHR:2017:1012 onder verwijzing naar HR 3 oktober 2017, ECLI:NL:HR:2017:2546).

Het oordeel van het hof Amsterdam dat de verdachte ook door het aannemen van een “valse hoedanigheid” computervredebreuk heeft gepleegd, ‘kan echter niet zonder meer uit de bewijsvoering worden afgeleid’. De door het hof in aanmerking genomen omstandigheid ‘dat de verdachte met het misbruik van zijn autorisatie het door zijn collega’s en de maatschappij in hem gestelde vertrouwen heeft geschonden’, volstaat daartoe niet. De Hoge Raad neemt daarbij in aanmerking dat niet blijkt dat de verdachte al een valse hoedanigheid had aangenomen toen hem de autorisatie werd verstrekt.

Het hof overwoog hierover destijds dat met betrekking tot het aannemen van een valse hoedanigheid dat het ‘in de kern erom gaat dat het handelen van de verdachte ertoe kan leiden dat bij de ander een onjuiste voorstelling van zaken in het leven wordt geroepen met betrekking tot de ‘persoon’ van de verdachte wat betreft diens hoedanigheid om daarvan misbruik te maken’ (met verwijzing naar HR 20 december 2016, ECLI:NL:HR:2016:2892, NJ 2017/158, m.nt. Keijzer, rov. 2.3.4).

Het slagen van de hierop gerichte klacht leidt niet tot cassatie, omdat het weglaten van dit deel van de bewezenverklaring de aard en de ernst van het bewezenverklaarde in zijn geheel beschouwd niet aantast.

Aanranding of ontucht zonder feitelijke aanraking

De rechtbank Overijssel veroordeelde (ECLI:NL:RBOVE:2021:4261) op 15 november 2021 een verdachte voor onder andere aanranding. Ook was ontucht ten laste gelegd, maar dat werd niet bewezen geacht.

De rechtbank overweegt of er voor ontucht het vereiste ‘relevante interactie’ is tussen de verdachte en het slachtoffer. De rechtbank verwijst hiervoor naar het ‘Pollepel’-arrest (HR 11 oktober 2005, ECLI:NL:HR:2005:AT972, r.o. 3.4 (JJO: gek genoeg kan ik dit arrest niet vinden op rechtspraak.nl en ik vermoed dat een foutje is gemaakt. Ik hoor graag wat wel de goede verwijzing is) van de Hoge Raad waarin – kort gezegd – bepaald dat seksuele handelingen die gepleegd zijn door een ander dan degene die de dwang heeft uitgeoefend, volgens de wetsgeschiedenis niet vallen onder de reikwijdte van artikel 242 Sr. Het dwingen van een ander tot het plegen of dulden van ontuchtige handelingen, ook als deze mede bestaan uit het seksueel binnendringen van het lichaam, levert volgens de wetsgeschiedenis feitelijke aanranding van de eerbaarheid op, als bedoeld in art. 246 Sr. Dit is ook zo als het slachtoffer wordt gedwongen bij zichzelf zulke handelingen te verrichten.

De rechtbank is van oordeel dat naast artikel 242 Sr ook artikel 245 Sr valt onder de werking van het ‘Pollepel’-arrest. Daaruit volgt dat artikel 245 Sr toepassing mist indien de verdachte het binnendringen niet zelf heeft gepleegd, zoals in de onderhavige casus. De verdachte kan daarom ook niet worden verweten dat hij zich heeft schuldig gemaakt aan het ten laste gelegde seksueel binnendringen van het lichaam van een persoon tussen de 12 en de 16 jaar.

Wel is sprake van aanranding. Daar kan ook sprake van zijn indien geen lichamelijke aanraking heeft plaatsgevonden tussen verdachte en slachtoffer (met verwijzing naar HR 22 maart 2011, ECLI:NL:HR:2011:BP1379). Daartoe is wel vereist dat, gelet op alle omstandigheden van het geval, tussen verdachte en slachtoffer een relevante interactie heeft plaatsgevonden. De verdachte heeft het slachtoffer niet fysiek aangeraakt, maar door bedreiging met openbaarmaking van beeldmateriaal haar gedwongen tot het verrichten van seksuele handelingen. De rechtbank is van oordeel dat daarmee sprake was van de vereiste relevante interactie tussen verdachte en het slachtoffer.  

De verdachte wordt veroordeeld tot een geheel voorwaardelijke gevangenisstraf van 6 maanden, met een proeftijd van drie jaar en 240 uur taakstraf.

Vergelijkbaar is de uitspraak van Midden-Nederland op 30 november 2021 (ECLI:NL:RBMNE:2021:5821). Daarbij werd een verdachte veroordeeld voor ontucht met een minderjarige (jonger dan 16 jaar) en het gewoonte maken van het verspreiden, verwerven, bezitten en zich de toegang verschaffen tot kinderpornografisch materiaal.

De rechtbank acht bewezen dat (ook) ontuchtige handelingen via de webcam zijn uitgevoerd. Anders dan de raadsman is de rechtbank van oordeel dat in de chatgesprekken tussen verdachte en het slachtoffer sprake is van relevante interactie, hetgeen vereist is voor een bewezenverklaring van ontuchtige handelingen zonder lichamelijk contact. Uit de inhoud van de chatgesprekken en uit de verklaring van verdachte volgt dat sprake is van actie en reactie in de gesprekken, waarbij het initiatief voor het seksuele contact via de webcam van verdachte uitgaat, hetgeen vervolgens leidt tot de ontuchtige handelingen zoals die zijn beschreven in de tenlastelegging.

Heimelijk forensische kopie van telefoon gemaakt

Een uitspraak van de rechtbank Midden-Nederland van 12 oktober 2021 (ECLI:NL:RBMNE:2021:4932) is het vermelden waard vanwege opvallende overwegingen omtrent de rechtmatigheid van een onderzoek aan een smartphone. De verdachte wordt in deze zaak veroordeeld voor een voorwaardelijke gevangenisstraf voor deelname aan criminele organisatie, het medeplegen van dealen van cocaïne en het voorhanden hebben van drugs.

De verdediging stelt in deze zaak dat de heimelijke inbeslagname van de twee telefoons (en het heimelijk maken van een forensische kopie daarvan) onrechtmatig heeft plaatsgevonden, omdat er geen machtiging van de rechter-commissaris is afgegeven voor deze handeling. Daarnaast zouden telefoons niet op deze manier, zonder kennisgeving, op basis van art. 94 Sv in beslag genomen hadden mogen worden.

De rechtbank overweegt in par. 4.3 dat de verdachte verband met een vernieling is aangehouden. Tijdens zijn insluiting heeft de politie twee telefoons kort in beslag genomen en van één van die telefoons is een forensische kopie gemaakt. De verdachte is hierover niet in kennis gesteld.

De rechtbank overweegt dat deze handelswijze niet bij wet is voorzien. Er is in strijd gehandeld met art. 94 Sv, omdat de verdachte is niet van de inbeslagname op de hoogte gebracht. In tegenstelling tot wat de officier van justitie heeft betoogd, biedt ook art. 126g Sv geen grondslag voor deze heimelijke inbeslagname. Het stelselmatig volgen of waarnemen van een persoon is iets wezenlijks anders dan het kopiëren van de inhoud van een telefoon.

Toch overweegt de rechtbank dan geen sprake is van een ‘ernstige privacy-schending’, omdat het een ‘dealertelefoon’ is geweest die weinig sociale contacten bevatte en daarnaast was de inbreuk op het eigendomsrecht van de verdachte ‘zeer beperkt’, omdat de verdachte na vrijlating weer beschikking kreeg over de telefoon.

De rechtbank komt tot de vaststelling dat er sprake is geweest van twee vormverzuimen in het voorbereidend onderzoek jegens verdachte, te weten de heimelijke inbeslagname van de telefoons en het verstrekken van de historische verkeersgegevens. Op basis van voornoemde beoordeling van de vormverzuimen – wat betreft de aard en de ernst van het verzuim en het nadeel van verdachte – komt de rechtbank tot de conclusie dat het nadeel dat verdachte daarmee heeft geleden zeer beperkt is gebleven en door de verdediging weinig specifiek is onderbouwd. De rechtbank volstaat daarom met de constatering dat er sprake is van vormverzuimen heeft plaatsgevonden en verbindt hier geen verdere gevolgen aan.

Veroordeling voor QR-code fraude

Op 21 oktober 2021 veroordeelde (ECLI:NL:RBAMS:2021:6000) de rechtbank Amsterdam een verdachte voor oplichting en het aanwezig hebben van harddrugs. De feiten over oplichting en overwegingen omtrent de vraag of een internetbankieren-applicatie een geautomatiseerd werk is, zijn interessant.

De verdachte pleegde ‘QR-fraude’ gebruik van de ING internetbankieren-app. De fraudeur vroeg het slachtoffer om een overboeking via de telefoon en vraagt dan om de telefoon om zijn rekeningnummer in te voeren. Ondertussen scant hij dan een QR-code en neemt de bankrekening-app over. Op de telefoon waar de rekening wordt gehouden, komt een bevestiging binnen die gebruikt moet worden op de telefoon met de QR-code. De fraudeur heeft dus de QR-code aangevraagd. Op het moment dat de fraudeur met de QR-code en de bevestigingscode de rekening heeft overgenomen, heeft de fraudeur de beschikking over de rekening

Voor computervredebreuk wordt de verdachte vrijgesproken, omdat in de tenlastelegging de internetbankieren-applicatie als geautomatiseerd werk werd aangemerkt in de zin van artikel 80sexies Sr. Dat kan niet, omdat het bij gaat om ‘fysieke apparaten’, aldus de rechtbank. De rechtbank wijst erop dat servers als zijnde een geautomatiseerd werk niet in de tenlastelegging worden genoemd. De rechtbank acht ook niet bewezen dat verdachte bankgegevens/een QR-code heeft gestolen, omdat uit het dossier niet blijkt dat deze buiten het bereik van de rechthebbende zijn gebracht. De officier van justitie kan uit deze uitspraak aldus de nodige lessen trekken bij het formuleren van een tenlastelegging bij QR-code fraude.  

Geheimhouding details EncroChat-operatie

In een uitspraak van 11 oktober 2021 (ECLI:NL:RBROT:2021:10412) gaat de rechtbank Rotterdam nader in op de redenen waarom geheimhouding van bepaalde details van de EncroChat-operatie noodzakelijk is. De beslissing op een vordering ex 149b Sv strekt tot onthouding van gegevens betreffende het interceptiemiddel en onthouding van (identificerende) gegevens betreffende zaaksofficieren van justitie en verdachten en getuigen.

Op grond van art. 187d lid 1 sub b Sv moet worden overwogen of het achterwege laten van toevoegen van de zwartgelakte stukken noodzakelijk is vanwege een “zwaarwegend opsporingsbelang”. Hoe het binnendringen in de telefoontoestellen van EncroChat-gebruikers precies is gebeurt wordt in die stukken niet prijsgegeven. De rechters-commissarissen stellen vast dat de weggelakte passages, zoals vermeld door de officieren van justitie, zien op de aard en werking van het ingezette interceptiemiddel.

Naar het oordeel van de rechters-commissarissen kan de onthulling daarvan verstrekkende gevolgen hebben voor lopende en toekomstige onderzoeken die afhankelijk zijn van een succesvolle inzet van (een) soortgelijk(e) interceptiemiddel(en). Kennisneming van deze werkwijze(n) door de verdachte(n) of door derden maakt immers dat zij daarop kunnen anticiperen en dat de informatiegaring, onderzoeksvoorbereiding en opsporingsmogelijkheden aan effectiviteit zullen inboeten of niet langer mogelijk zullen zijn. Gelet daarop wordt het onthouden van die passages aan de processtukken noodzakelijk geacht. Nu het weglaten uitsluitend de technische aspecten van de gebruikte opsporingsmethodiek betreft, is de verdediging met het achterwege laten van het voegen van die betreffende specifieke informatie volgens de rechtbank niet op enigerlei wijze in zijn belang geschaad.

Ook stellen de rechters-commissarissen stellen vast dat de passages die in de bovengenoemde stukken door de officieren van justitie zijn zwartgelakt, zien op (identificerende) gegevens van de betrokken zaaksofficieren van justitie alsmede van verdachten en getuigen uit andere onderzoeken. Het bekend worden van de namen van de officieren van justitie levert een potentieel veiligheidsrisico voor hen op waarvan zij ernstige overlast kunnen ondervinden en waardoor zij in de uitoefening van hun ambt ernstig kunnen worden belemmerd.

Cybercrime jurisprudentieoverzicht september 2021

jjoerlemans Een reactie plaatsen

Veroordeling op basis van bewijs uit Sky ECC

Op 19 augustus 2021 heeft de rechtbank Amsterdam een van de eerste verdachten veroordeeld (ECLI:NL:RBAMS:2021:4320) (mede) op basis van de berichten die zijn veilig gesteld van de ‘cryptochat-app’ ‘Sky ECC’. In een operatie van Belgische, Franse en Nederlandse opsporingsinstanties in maart 2021 zijn honderden miljoenen berichten van ongeveer 70.000 Sky ECC-gebruikers onderschept. Deze berichten worden onderzocht op strafbare feiten, waarna opsporingsonderzoeken worden opgestart. Volgens Europol waren veel personen naar Sky ECC overgestapt na de EncroChat operatie in 2020. Wereldwijd maakten 170.000 personen gebruik van de tool, waarbij 3 miljoen berichten per dag tussen gebruikers werden verstuurd. Ongeveer 20 procent van de klanten komen volgens Europol uit België en Nederland. De servers van de elektronische communicatiedienst stonden in de Europese Unie.

In het onderzoek ‘26Chesham’ staat de uitvoer van cocaïne centraal. Het opsporingsonderzoek 26Chesham is gestart naar aanleiding van informatie afkomstig uit het onderzoek ‘26Argus’. 26Argus betreft het onderzoek naar een berichtenapp Sky ECC. Het bedrijf installeerde versleutelingssoftware op iPhones, Google Pixels, Blackberry’s en Nokia’s. Het berichtenverkeer liep via servers in Frankrijk en Canada. De rechtbank overweegt verder dat de CEO en werknemers van Sky Global in de Verenigde Staten zijn aangeklaagd wegens het opzettelijk faciliteren van criminele organisaties. In het onderzoek 26Argus worden chats van de gebruikers van deze software en cryptotelefoons op basis van vooraf door de rechters-commissaris in dat onderzoek goedgekeurde trefwoorden onderzocht.

De verdediging voert aan dat sprake is van vormverzuimen, omdat de officier van justitie heeft nagelaten tijdig de essentiële stukken te overleggen die nodig zijn om te kunnen toetsen of het gebruik van informatie uit het onderzoek 26Argus rechtmatig is geweest. Op deze wijze wordt de verdediging ervan weerhouden de verdediging effectief uit te kunnen voeren, waardoor de rechten van verdachte worden geschonden. De rechtbank overweegt dat – omdat verdachte zelf heeft verklaard dat hij niet actief gebruik heeft gemaakt van zijn Sky ECC-telefoon en dat hij daarop geen berichten heeft gezien – ‘het de rechtbank niet duidelijk wat het vermeende vormverzuim voor nadelige gevolgen voor de verdachte heeft gehad’. De verweren slagen daarom niet.

De rechtbank neemt de aanwezigheid van ‘encrypted telefoons’ bij alle vier de verdachten in aanmerking. Volgens de rechtbank is ‘het is een feit van algemene bekendheid dat criminelen met zulke telefoons over de uitvoering van strafbare feiten communiceren, omdat de daarmee verzonden versleutelde berichten moeilijk te onderscheppen zijn’. Gebleken is dat ‘aan de Sky-id van [naam 1] op 8 maart 2021 een bericht is gestuurd met het adres waar hij vlak daarna door [verdachte] is opgehaald en naar de loods is gebracht’. Dat ook over het transport is gecommuniceerd met encrypted telefoons blijkt ‘uit het bericht dat op de Sky ECC-telefoon van [naam 1] is aangetroffen, betreffende het adres waar hij op 8 maart [verdachte] zou ontmoeten’.

De rechtbank acht bewezen het medeplegen van een poging tot uitvoer van 125 kilogram cocaïne op 8 maart 2021 te Cruquius alsmede het medeplegen van het opzettelijk aanwezig hebben van die cocaïne op diezelfde dag bewezen. De verdachte in deze zaak krijgt een gevangenisstraf opgelegd van 5 jaar. 

Beslissing inzake inzet bevoegdheden EncroChat

Ik heb mijn cybercrime jurisprudentieoverzicht al meerdere keren strafzaken besproken (zie hier, hier en hier) die voortvloeien uit de EncroChat-operatie, waarbij miljoenen berichten zijn verzameld en geanalyseerd door politie en justitie. Uit deze operatie komen nog steeds strafzaken uit voort, waarvan in deze rubriek er één wordt uitgelicht, omdat het een nieuwe ontwikkeling betreft.

De rechtbank Den Haag besliste op 25 augustus 2021 over onderzoekwensen in verband met EncroChat (ECLI:NL:RBDHA:2021:9368). Het meest relevante onderdeel van de beslissing is het onderdeel over de verstrekking van (ook onderliggende gegevens) bij de machtiging van de rechter-commissaris voor het gebruik van EncroChat-gegevens voor strafzaken.

De verdediging voert aan dat de officier van justitie inmiddels de machtiging van de rechter-commissaris d.d. 27 maart 2020 bij de stukken heeft gevoegd, voorzien van een begeleidende brief van het OM d.d. 7 juli 2021. De voeging heeft plaatsgevonden op grond van de volgende overweging die door diverse rechtbanken (in vrijwel gelijkluidende zin) is gebruikt:

Het feit dat de rechter-commissaris diverse voorwaarden heeft gesteld aan het gebruik van de dataset 26Lemont voor andere opsporingsonderzoeken, doet vermoeden dat de rechter-commissaris belangen van de gebruikers heeft afgewogen tegen de relevante opsporingsbelangen en daarbij aan de vereisten van subsidiariteit en proportionaliteit heeft getoetst. De rechtbank kan dit op basis van de nu verkregen stukken echter niet nagaan. Zowel de verdediging als de rechtbank beschikt slechts over het dictum van de 126uba-machtiging en niet over de inhoudelijke afwegingen van de rechter-commissaris om tot verlening van de machtiging over te gaan. De rechtbank wil op dit punt nader worden geïnformeerd.

De rechtbanken willen dus vooral geïnformeerd worden over de afweging die de rechter-commissaris bij het opstellen van de voorwaarden voor het gebruik van de dataset heeft gemaakt met betrekking tot de belangen van de gebruikers en welke toets hij ten aanzien van de subsidiariteit en proportionaliteit heeft aangelegd.

De verdediging heeft echter nog een ander punt naar voren gebracht, namelijk het gebruik van de bevoegdheid van artikel 126uba Sv. De rechter-commissaris constateert dat de machtiging niet alle door de verdediging opgeworpen vragen lijkt te beantwoorden. De (deels gezwarte) machtiging bevat bijvoorbeeld niet (expliciet/zichtbaar) alle onderdelen van het bevel, zoals is voorgeschreven in artikel 126uba lid 3 juncto 126nba lid 4 Sv. In de machtiging wordt wel verwezen naar de vordering (p. 5: “machtigt (…) overeenkomstig de vordering”), processen-verbaal van de politie en een brief van de officier van justitie, maar deze stukken zijn niet gevoegd. Naar het oordeel van de rechter-commissaris moet de verdediging in de gelegenheid worden gesteld een rechtmatigheidstoets uit te voeren naar het gebruik/de verwerking van deze data met het oog op een eventueel verweer daaromtrent. Daarvoor kan niet worden volstaan met de machtiging, ook de andere daaraan gerelateerde stukken – zoals de vordering, de onderliggende processen-verbaal, de genoemde brief en het/de op de machtiging gevolgde bevel(en) (verzoek 1) – zullen moeten worden verstrekt. Datzelfde geldt voor de verlengingen (verzoek 2).

De rechter-commissaris ziet onder ogen dat het voegen van al deze stukken (in hun geheel) gevoelig ligt. Zo staat in de begeleidende brief bij het verstrekken van de machtiging beschreven dat het respecteren van het staatsgeheim van Frankrijk meebrengt dat door de zaaksofficieren van 26Lemont is besloten om de passages in de beschikking die op dat deel betrekking hebben, zwart te maken.

De rechter-commissaris is van oordeel dat de afweging welke stukken (en welke delen daaruit) wel en niet gevoegd kunnen worden, niet (uitsluitend) bij het OM moet liggen. De rechter- commissaris verwijst daarvoor naar artikel 149b Sv: als de officier van justitie vanwege belangen als vermeld in artikel 187d lid 1 Sv, zoals een zwaarwegend opsporingsbelang, de voeging van bepaalde stukken of gedeelten daarvan bij de processtukken achterwege wil laten, behoeft hij daartoe een schriftelijke machtiging van de rechter-commissaris.

Gelet op het voorgaande zal de rechter-commissaris beslissen dat de verzoeken 1 en 2 zullen worden toegewezen en dat de betreffende 126uba-machtiging en de daaraan gerelateerde stukken in beginsel volledig en ongezwart bij de processtukken dienen te worden gevoegd. Wel staat daarbij de weg van artikel 149b Sv open. De rechter-commissaris kan op vordering van de officier van justitie een machtiging verlenen om bepaalde stukken niet te voegen of onderdelen daaruit te ‘zwarten’. Anders dan de rechtbank kan de rechter-commissaris wel kennisnemen van de volledige inhoud van de stukken. Voor de goede orde merkt de rechter-commissaris op dat deze beslissing ook geldt voor de 126uba- machtiging die inmiddels al deels gezwart door het OM bij de stukken is gevoegd. Deze machtiging zal in beginsel ongezwart moeten worden gevoegd, tenzij de rechter-commissaris een machtiging voor het zwarten van bepaalde delen heeft verleend. De rechtbank is het hier mee eens.

Veroordeling voor professionele sextortion

Op 28 juli 2021 heeft de rechtbank Den Haag een uitspraak gewezen in een opvallende ‘sextortion-zaak’ (ECLI:NL:RBDHA:2021:8203). De verdachte wordt veroordeeld voor deelname aan een criminele organisatie (art. 140 Sr) die tot oogmerk had het plegen van oplichting (art. 326 Sr), afdreiging (art. 318 Sr) en gewoontewitwassen (art. 420ter Sr). Op sociale media is een groot aantal slachtoffers met gebruik van nepaccounts gelokt en vervolgens benaderd met – tegen betaling – het aanbod van een ontmoeting met een vrouw voor een seksdate of naaktfoto’s van een vrouw. De politie heeft 39 slachtoffers geïdentificeerd die ingegaan zijn op dit aanbod en/of een naaktfoto hebben gestuurd van zichzelf.

Uit de bewijsmiddelen leidt de rechtbank af dat steeds op min of meer dezelfde manier te werk werd gegaan. Een mogelijk slachtoffer (door de verdachten ook wel aangeduid als ‘clannies’) werd op internet of via sociale media met gebruikmaking van nepaccounts tegen betaling een afspraak of (naakt)foto’s aangeboden. Uit verklaringen van meerdere verdachten is duidelijk geworden dat dit bekend stond als ‘schetsen’. Na betaling bleef de afspraak of het beeldmateriaal uit. Het slachtoffer werd na betaling onder druk gezet om meer te betalen onder dreiging van openbaarmaking van de contacten tussen het slachtoffer en het betreffende account. Ook werd slachtoffers gevraagd een naaktfoto van zichzelf te sturen. Wanneer slachtoffers aan dat verzoek voldeden, werd vervolgens gedreigd de foto te verspreiden onder familie en vrienden, tenzij er zou worden betaald. (Soms bleef het overigens niet bij dreiging). Om de bedreigingen kracht bij te zetten, werden slachtoffers vaak benaderd op verschillende van hun sociale media. De slachtoffers ontvingen, om de gevraagde betalingen te kunnen verrichten, vaak opeenvolgende betaalverzoeken, al dan niet via ‘Tikkie’, vanaf rekeningen van een of meer personen. Het geld dat met deze praktijken werd verkregen, werd over verschillende rekeningen verspreid en vervolgens contant opgenomen of doorgeboekt.

Over bovenstaande feiten en omstandigheden is door de verdediging geen verweer gevoerd. De rechtbank stelt vast dat de handelingen die gepaard gingen met de hierboven beschreven werkwijze een behoorlijke mate van samenwerking en coördinatie vereisten, te weten het maken en promoten van nepaccounts, het contact leggen met en informatie verzamelen over potentiële slachtoffers, het sturen en ontvangen van foto’s, het sturen van betaalverzoeken vanaf verschillende bankrekeningen waarbij vaak gebruik werd gemaakt van dezelfde codes/afkortingen, en het opnemen van (grote) contante bedragen na al dan niet losse overboekingen. Uit de werkwijze blijkt ook van een zekere rolverdeling binnen de organisatie als afdreiger/oplichter en geldezel/bank, welke rollen de diverse leden afwisselend vervulden. Samen met de onderlinge verbanden tussen de incidenten en de verdachten, duidt dit alles naar het oordeel van de rechtbank op een samenwerkingsverband met een zekere duurzaamheid en structuur. De organisatie legde een duidelijke stelselmatigheid aan de dag gelet op de organisatiegraad van het handelen en het grote aantal slachtoffers.

De rechtbank is op basis van de bewijsmiddelen in onderlinge samenhang bezien van oordeel dat er sprake is geweest van een criminele organisatie, waarvan het oogmerk was het plegen van afdreiging, oplichting en gewoontewitwassen.

Het merendeel van de in het onderzoek geïdentificeerde slachtoffers was minderjarig ten tijde van de misdrijven. Veel van hen hebben tegenover de politie verklaard over vaak langdurige gevoelens van angst die de feiten bij hen teweeg hadden gebracht. De daders hebben de slachtoffers misleid en bedreigd en gevoelens van schaamte en angst maximaal uitgebuit om hen zoveel mogelijk geld afhandig te maken. Gebleken is dat slachtoffers uit schaamte en/of angst nauwelijks op eigen initiatief aangifte doen van dergelijke afdreigingen en oplichtingen. Dat de verdachte heeft deelgenomen aan een organisatie die zozeer gericht was op winstbejag ten koste van de slachtoffers rechtvaardigt volgens de rechtbank op zichzelf al een forse straf. Tegelijkertijd houdt de rechtbank ook rekening met de (zeer) jonge leeftijd van de verdachte (15 jaar) ten tijde van de bewezenverklaarde feiten. De rechtbank heeft bij de bepaling van de op te leggen straf ook meegewogen dat sprake is van overschrijding van de redelijke termijn, terwijl het – omvangrijke – opsporingsonderzoek naar deze ernstige verdenkingen al in januari 2020 was afgerond. De verdachte wordt voor het onvoorwaardelijke deel van zijn straf veroordeeld tot de tijd die de verdachte in voorlopige hechtenis heeft doorgebracht.

Heimelijk filmen van seksuele handelingen

Op 23 augustus 2021 heeft de rechtbank Amsterdam een 51-jarige man veroordeeld (ECLI:NL:RBAMS:2021:4470) tot 10 maanden gevangenisstraf (waarvan 4 voorwaardelijk) voor het heimelijk maken van opnamen in de slaapkamer van een woning waar hij als schoonmaker werkte. Dit vond plaats via het hacken van een router met verkregen inloggegevens van het WiFi-netwerk en het plaatsen van een IP-camera gericht op een bed. De verdachte wordt veroordeeld voor computervredebreuk, het plaatsen van afluisterapparatuur en het opzettelijk en wederrechtelijk vervaardigen van en het ter beschikking hebben van afbeeldingen van seksuele aard van de aangeefster en haar vriend.

Op grond van het dossier en de verklaring van verdachte stelt de rechtbank vast dat verdachte een camera in de kamer van aangeefster heeft geplaatst en deze heeft verbonden met het wifi-netwerk. Om toegang te krijgen tot het wifi-netwerk heeft verdachte het wifi-wachtwoord gebruikt dat hij van aangeefster had gekregen om via internet muziek te kunnen luisteren. Omdat de verdachte het wifi-wachtwoord heeft gebruikt met een ander doel dan waarvoor deze aan hem was verstrekt, is de rechtbank van oordeel dat verdachte opzettelijk wederrechtelijk is binnengedrongen in een geautomatiseerd werk (de router dan wel het wifi-netwerk), door middel van een valse sleutel.

Op de SD-kaart in de IP-camera zijn filmpjes aangetroffen waarop te zien is dat aangeefster en haar vriend seksuele handelingen verrichten. De rechtbank overweegt dat aangeefster en haar vriend geen toestemming hebben gegeven voor het plaatsen van de camera en het filmen. Gelet op de bedoeling van verdachte met het ophangen van de camera acht de rechtbank de verklaring van verdachte dat het niet zijn bedoeling was om filmpjes op te slaan niet aannemelijk. Hierbij speelt tevens mee dat verdachte een grote hoeveelheid filmpjes heeft opgeslagen op verschillende gegevensdragers en hij ter terechtzitting heeft verklaard geïnteresseerd te zijn in “voyeur”-filmpjes van internet en dat hij deze vaak opslaat. Op grond van het voorgaande acht de rechtbank dan ook bewezen dat verdachte opzettelijk en wederrechtelijk videobeelden heeft vervaardigd waarop te zien is dat aangeefster en haar vriend seksuele handelingen verrichten. De verdediging heeft zich op het standpunt gesteld dat verdachte geen beschikking heeft gehad over de SD-kaart in de camera, omdat die zich in de woning van aangeefster bevond. De rechtbank verwerpt dit verweer. Hoewel de camera met daarin de SD-kaart zich in de woning van aangeefster bevond, had verdachte daar – tot het moment van de ontdekking van de camera – wel degelijk beschikkingsmacht over.

Het openbaar ministerie verweet de verdachte ook dat hij grote hoeveelheid filmpjes van onbekende personen heeft gemaakt, op dezelfde manier gemaakt als de filmpjes van de aangeefster. De filmpjes zijn allemaal gemaakt met een IP-camera en hebben het bed als centraal punt in beeld. De rechtbank vindt het echter niet bewezen dat verdachte foto’s of beelden heeft opgenomen in een Bed & Breakfast en dat hij de beschikking heeft gehad over die beelden terwijl hij wist of redelijkerwijs moest vermoeden dat die beelden wederrechtelijk waren opgenomen (artikel 139h Sr). De verdachte wordt daarvan vrijgesproken, omdat niet bekend is wie de personen zijn die zijn gefilmd, of het filmen zonder hun toestemming heeft plaatsgevonden (er zijn geen aangiftes gedaan) en waar de beelden zijn opgenomen. Ook is niet komen vast te staan dat verdachte degene is die een camera heeft opgehangen en de betreffende personen heeft gefilmd. Al met al bevindt zich in het dossier te weinig informatie over deze beelden om tot een bewezenverklaring van het ten laste gelegde te komen. De rechtbank kan op basis van het dossier niet vaststellen dat de beelden wederrechtelijk zijn vervaardigd.

De verdachte wordt veroordeeld voor en de vergoeding van 190 euro materiële en 1000 euro immateriële schade.

Veroordeling voor ontwikkelen van betaalomgeving voor phishing

Op 2 juli 2021 heeft het Hof Arnhem-Leeuwarden een verdachte veroordeeld (ECLI:NL:GHARL:2021:6521) voor voorbereidingshandelingen gericht op het plegen van computervredebreuk. De verdachte heeft een niet van echt te onderscheiden betaalomgeving ontwikkeld en deze omgeving aan andere personen verstrekt om phishing-activiteiten mogelijk te maken. Daarmee heeft de verdachte een technisch hulpmiddel dat hoofdzakelijk geschikt gemaakt of ontworpen is tot het plegen van computervredebreuk (art. 139d Sr jo 138ab Sr).

Slachtoffers werden gevraagd 1 cent over te maken om (zogenaamd) de betrouwbaarheid van te controleren. Hierbij werd de betaalomgeving van de verdachte gebruikt, waarheen de slachtoffers werden geleid.

De verdachte is inmiddels werkzaam in de ICT-branche en lijkt volgens de rechtbank ‘op meerdere terreinen – hij heeft werk, een vaste relatie en een kind – zijn leven in de goede richting ter hand te hebben genomen’. Ook is de redelijke termijn van de berechting van deze zaak overschreden. Een en ander brengt het hof ertoe een de verdachte te veroordelen tot een gevangenisstraf van 20 maanden, waarvan 10 maanden voorwaardelijk en een proeftijd van 3 jaar.

WhatsApp-fraude

Op 23 juli 2021 heeft de rechtbank Rotterdam een minderjarige verdachte veroordeeld (ECLI:NL:RBROT:2021:7807) voor oplichting (WhatsApp- en Tikkie-fraude), het medeplegen van computervredebreuk, verboden vuurwapenbezit en gewoontewitwassen.

De werkwijze was als volgt. De verdachten beschikten over een telefoonnummer van een WhatsApp-gebruiker. De verdachten vroegen een verificatiecode voor het account dat zij over wilde nemen. Deze code werd vervolgens door WhatsApp via sms verstuurd naar de gebruiker van dat telefoonnummer. Vervolgens stuurden de verdachten aan deze gebruiker een bericht met het verzoek om de verificatiecode door te sturen. Dit bericht werd verzonden namens iemand uit de contactenlijst van het beoogde slachtoffer, van wie zij al eerder het account hadden overgenomen. Op die manier lijkt het voor het beoogde slachtoffer alsof hij of zij het verzoek krijgt van een bekende. Na het ontvangen van de verificatiecode voerden de verdachten deze code in en kregen zij op deze manier toegang tot het WhatsApp-account van het slachtoffer. Daarna stuurden zij iedereen uit de contactenlijst van het slachtoffer een bericht met de vraag of zij geld konden lenen. Zij namen daarmee WhatsApp-accounts van willekeurige personen over en benaderden via die WhatsApp-accounts vrienden en familieleden van die personen. Het oorspronkelijke, echte, account werd geblokkeerd en de verdachten deden zich voor als de persoon van wie het WhatsApp-account was. Zij meldden aan de vrienden en familieleden van die persoon dat zij dringend financiële hulp nodig hadden. Veelgebruikte excuses daarbij waren dat het om een spoedgeval ging en dat zij even niet bij hun spaargeld konden.

Als de vrienden en familieleden bereid waren om te helpen, kregen zij van de verdachten een Tikkie-betaalverzoek toegestuurd. Als daar een bevestigend antwoord op kwam, werd een Tikkie betaalverzoek voor het genoemde bedrag gestuurd. Deze betalingen kwamen terecht op bankrekeningen van geldezels. De ontvangen bedragen werden zo snel mogelijk opgenomen bij de pinautomaat. Op die manier werden de contacten van het overgenomen WhatsApp-account opgelicht en werd veel geld verdiend.

Voor de bewijsvoering zijn betaalverzoeken na oplichting van de slachtoffers op de mobiele telefoons van de verdachte en (onder andere) het IP-adres van de woning van de verdachte op die dag op de internetbankieren-omgeving van vier van de vijf begunstigde bankrekeningnummers ingelogd. De rechtbank achtte in deze zaak de oplichting van dertien slachtoffers en tweemaal computervredebreuk bewezen. De rechtbank ging ervan uit dat dit slechts het topje van de ijsberg is geweest en dat er door de verdachte en zijn medeverdachte meer slachtoffers zijn gemaakt. Op basis van de verklaring ter zitting van de verdachte zelf, waaruit volgt dat hij 20% van het bedrag ontving dat op basis van een Tikkie betaalverzoek werd overgemaakt en dat hij in totaal €20.000,- zou hebben verdiend met de door hem gepleegde WhatsApp-fraude, hebben hij en zijn medeverdachte hun slachtoffers in ieder geval voor een totaalbedrag van €100.000,- benadeeld. Uitgaande van de gemiddelde bedragen die de slachtoffers in de ten laste gelegde feiten hebben overgemaakt, gaat het daarmee bij de oplichting alleen al om meer dan honderd slachtoffers. Naast de WhatsApp-fraude heeft de verdachte zich ook schuldig gemaakt aan het witwassen van grote contante geldbedragen van in totaal ruim €75.000,- en luxe schoenen. Tot slot heeft de verdachte op zijn slaapkamer een vuurwapen en kogelpatronen voorhanden gehad.

De minderjarige verdachte is veroordeeld voor 282 dagen jeugddetentie waarvan 180 dagen voorwaardelijk, een werkstraf van 180 uur, en een proeftijd van 2 jaar met bijzondere voorwaarden.  

Daarnaast heeft de rechtbank Overijssel op 9 augustus 2021 een verdachte veroordeeld (ECLI:NL:RBOVE:2021:3149) voor oplichting. De man maakte samen met zijn mededaders in 1,5 jaar tijd zo’n 18 slachtoffers. Het begon met oplichting via WhatsApp en Marktplaats, uiteindelijk deed hij zich zelfs voor als fraudebestrijder bij een bank. De groep koos vooral slachtoffers met een hogere leeftijd uit.

Hij ging daarbij als volgt te werk. Hij benaderde slachtoffers en won het vertrouwen door zich voor te doen als dochter van de aangeefster. Vervolgens werd haar verzocht om geld over te maken voor de aanschaf van een nieuwe telefoon en laptop. Dit geld kwam terecht op een bankrekening waarover verdachte de beschikking had. Ook heeft hij mensen via Markplaats opgelicht, door zich als potentiële koper voor te doen en ‘ter verificatie’ een phisinglink te sturen. Daardoor werden de slachtoffers overgehaald tot het afgeven van inloggegevens van hun internetbankierenaccounts, waarna er bedragen van hun bankrekeningen werden afgehaald. Om deze vorm van oplichting mogelijk te maken heeft verdachte geldezels geronseld. Daarna werd de oplichting door verdachte en diens medeverdachten nog geavanceerder, stelselmatiger en grootschaliger uitgevoerd. Verdachte belde zijn slachtoffers, die bewust werden uitgekozen vanwege hun hogere leeftijd, volgens een vaststaand script en deed zich voor als een medewerker van de fraude afdeling van de bank waar het slachtoffer bankierde. Verdachte ontfutselde zijn slachtoffers op die manier codes om te kunnen inloggen op het internetbankierenaccount van zijn slachtoffers. Verdachte en zijn medeverdachten waren dan in staat om alle aan dit account gekoppelde rekeningen te beheren. Het afgeboekte geld werd vaak meteen overgeboekt naar een tussenrekening, vermoedelijk om cryptovaluta aan te schaffen. Soms werden meerdere slachtoffers op één dag gebeld. Een enkele keer werd dertig keer door een aangeefster een bedrag afgeboekt tot een bedrag van maar liefst € 28.795,00. De verdachte heeft volgens de rechtbank eraan bijgedragen dat het vertrouwen van de vijftien veelal oudere slachtoffers op grove wijze is geschaad en heeft misbruik gemaakt van zijn slachtoffers enkel en alleen ten behoeve van zijn eigen financiële gewin. Dit soort digitale oplichtingspraktijken hebben tot gevolg dat mensen minder vertrouwen hebben in elektronisch bankieren. De rechtbank rekent dat verdachte zwaar aan.

Gezien de ernst van de gepleegde feiten en de lange periode waarin deze hebben plaatsgevonden, kan naar het oordeel van de rechtbank niet anders worden gereageerd dan met het opleggen van een onvoorwaardelijke gevangenisstraf van aanmerkelijke duur, ondanks dat verdachte deels wordt vrijgesproken van hetgeen hem ten laste is gelegd. De verdachte is veroordeeld tot een gevangenisstraf van 30 maanden waarvan 10 maanden voorwaardelijk met een proeftijd van 3 jaar en bijzondere voorwaarden.