Heb jij een interessante vraag op het snijvlak van privacy, cybersecurity en recht? Stuur je vraag naar juridischevraag@security.nl. Elke week geeft ict-jurist Arnoud Engelfriet in deze rubriek antwoord.

Juridische vraag: Zoals je misschien weet kun je als advocaat een speciaal account bij de KvK krijgen, waardoor je dan (op basis van art. 51 lid 5 Handelsregisterbesluit) adresgegevens van natuurlijke personen kunt inzien als je een uittreksel KvK opvraagt. Maar stel nou dat een corrupte advocaat voor een criminele opdrachtgever zo inzicht krijgt in afgeschermde adresgegevens. Is dat strafbaar?

Antwoord: De lezer droeg zelf nog de suggestie aan van oplichting (art. 326 Sr), omdat ook het aftroggelen van gegevens daaronder valt. Maar er is dan een “listige kunstgreep” nodig, en daarvan is geen sprake als je gewoon inlogt en gewoon gegevens opvraagt, met als enige omstandigheid dat je dit niet doet voor het afgesproken doel.

Er is art. 139d Strafrecht, de diefstal van gegevens. Wie deze wederrechtelijk opneemt of aftapt, handelt strafbaar. Dan zou de wederrechtelijkheid zijn dat je dan de regels schendt regels op grond waarvan je erbij mag. Ik zit daar een beetje met “aftappen of opnemen”, want je krijgt ze gewoon in je browser. “Aftappen” suggereert dat je iets geks doet om mee te luisteren.

Ik kom dan toch met frisse tegenzin uit bij computervredebreuk: het binnendringen in een geautomatiseerd werk met een valse sleutel. Er is namelijk jurisprudentie van de Hoge Raad dat je toegang misbruiken voor een oneigenlijk doel telt als computervredebreuk middels valse sleutel (vals wachtwoord). Daarvan is hier ook sprake.

Ik blijf er moeite mee houden dat het strafrecht op deze manier zou werken, met name omdat een private partij dan kan bepalen of iets strafbaar moet zijn. Zoals ook cyberstrafrechtadvocaat Berndsen betoogt:

De bepaling die feitelijk slechts verbiedt om zonder toestemming andermans computer binnen te dringen, verwordt zo tot een algemeen verbod op het kennisnemen van bepaalde informatie. Daarmee is het toepassingsbereik van artikel 138ab Sr en de voorzienbaarheid daarvan evident ruimer en bovendien minder duidelijk dan blijkens wettekst en parlementaire geschiedenis de bedoeling was. Het door ons gesignaleerde probleem van onvoldoende rechtszekerheid is gecreëerd door beslissend te achten of er een beroepsmatige noodzaak van het raadplegen van gegevens bestaat, in plaats van de vraag of wederrechtelijk in een systeem wordt binnengedrongen.

Ik zou zelf meer zien in een tuchtrechtelijk aanpakken – je titel of bevoegdheden verliezen vanwege dit soort akkefietjes lijkt me meer in de lijn der verwachting liggen. Ook kun je nog gaan zitten op schending van het ambtsgeheim (art. 272 Strafrecht) omdat je vertrouwelijke informatie doorvertelt aan een onbevoegde. Dat is natuurlijk lastiger te bewijzen want dan moet je als OM wel weten dat er een derde is die het gehad heeft.

Arnoud Engelfriet is Ict-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.