Heb jij een interessante vraag op het snijvlak van privacy, cybersecurity en recht? Stuur je vraag naar juridischevraag@security.nl. Elke week geeft ict-jurist Arnoud Engelfriet in deze rubriek antwoord.

Juridische vraag: Steeds vaker merk ik dat telefoontjes binnenkomen op telefoonnummers die alleen gevonden kunnen zijn door het gebruik van informatie uit datalekken. Bijvoorbeeld een verkoper die je op je niet publieke privénummer belt of mailt op je privé mailadres, omdat je werkt bij een bepaald bedrijf. Is het gebruik van gelekte informatie op zichzelf eigenlijk strafbaar?

Antwoord: Sinds de Wet Computercriminaliteit III in 2019 is apart strafbaar gesteld het verwerven, voorhanden hebben, aan een ander bekend maakt of geeft, of uit winstbejag hebben of gebruiken van niet-openbare gegevens. Het criterium daarbij is of je "weet of redelijkerwijs moet vermoeden dat het door misdrijf verkregen gegevens betreft."

Voor de zekerheid is nog als uitzondering toegevoegd dat je niet strafbaar bent wanneer je te goeder trouw mocht aannemen dat het in het algemeen belang was om dit te doen. Dit is met name bedoeld om klokkenluiders en journalisten te beschermen. Een simpel voorbeeld is een stukje uit een datalek publiceren als de organisatie ontkent dat het datalek zich überhaupt had voorgedaan, want dat is technisch het bekend maken van door misdrijf verkregen gegevens. Maar dat is hier dan nodig voor het nieuwsbelang.

Mensen gaan bellen voor verkoopgesprekken op uit datalekken verkregen telefoonnummers dient natuurlijk niet het algemeen belang. Ik zou dat wel het "uit winstbejag gebruiken" noemen, zodat aan dat element van het artikel is voldaan.

De lastiger vraag is of de organisatie wist of moest vermoeden dat de telefoonnummers uit misdrijf verkregen waren. De meeste salesorganisaties schuimen niet zelf internet af op zoek naar willekeurige telefoonnummers, maar kopen die als bestand ergens in. En als de verkoper van die gegevens in het contract verklaart alles legaal verkregen te hebben, dan denk ik dat bewijs van "wist of moest vermoeden" bij de koper heel lastig te leveren wordt.

Natuurlijk kunnen we dan naar die verkoper gaan kijken, want ergens was er iemand die de data uit het lek schraapte en ging bundelen. Dat is niet onmogelijk, maar vooral veel werk. Met de AVG in de hand kun je van de bellende organisatie eisen dat men meldt waar de data vandaan komt (art. 14 lid 2 onder f AVG), al is mijn ervaring dat het gedoe is om meer te krijgen dan "van diverse hoog aangeschreven leveranciers en uit openbare bronnen".

Arnoud Engelfriet is ict-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als chief knowledge officer bij juridisch adviesbureau ICTRecht en blogt dagelijks over internetrecht. Hij schreef onder meer de boeken ICT&Recht en AI&Algorithms, en verzorgt de opleiding tot Certified Cybersecurity Compliance Officer.