text: HF is in Slovenië reeds bij onherroepelijk vonnis veroordeeld voor dezelfde feiten als bedoeld in het uitleveringsverzoek; hij heeft bovendien zijn straf volledig uitgezeten.157 De Duitse rechter besluit daarop het Hof van
  Justitie te vragen of hij op grond van het ne bis idem-beginsel de uitlevering moet weigeren voor de strafbare
  feiten waarvoor HF inmiddels onherroepelijk veroordeeld is in Slovenië.158
  Het Hof stelt allereerst vast dat artikel 54 SUO bescherming van het ne bis in idem-beginsel waarborgt wanneer iemands proces definitief is afgehandeld in een lidstaat. Er wordt derhalve geen voorwaarde gesteld dat de
  persoon de nationaliteit van die lidstaat dient te bezitten. Ook in het licht van artikel 50 EU Handvest wordt
  geen verband gelegd met de status van burger van de
  EU. Dat is ook zo in het licht van de doelstellingen van
  deze bepalingen – het waarborgen van de rechtszekerheid door eerbiedigingen van onherroepelijke besluiten
  van overheidsinstanties. Of een burger al dan niet rechtmatig verblijft in de EU doet daar niet aan af.159
  In de tweede plaats stelt het Hof vast dat de uitleveringsovereenkomst tussen de EU en de VS van toepassing is op het geding. Artikel 17 lid 2 van deze overeenkomst verbiedt de uitlevering van personen die reeds
  onherroepelijk zijn berecht voor hetzelfde feit als waarvoor om uitlevering wordt verzocht. De Duitse uitleveringsovereenkomst met de VS lijkt op het eerste gezicht
  niet een dergelijke bepaling te bevatten. In dat geval
  dient volle werking te worden gegeven aan artikel 54
  SUO en artikel 50 EU Handvest en dienen de bepalingen
  die onverenigbaar zijn met deze artikelen buiten toepassing te worden gelaten. In dat geval kan toepassing
  van het ne bis in idem-beginsel worden gebaseerd op
  artikel 17 lid 2 van de EU-VS-overeenkomst.160
  
  157 HvJ EU 28 oktober 2022, C-435/22, ECLI:EU:C:2022:852 (HF), r.o. 22 t/m
  52.
   158 HvJ EU 28 oktober 2022, C-435/22, ECLI:EU:C:2022:852 (HF), r.o. 54.
  159 HvJ EU 28 oktober 2022, C-435/22, ECLI:EU:C:2022:852 (HF), r.o. 63 t/m
  94.
  160 HvJ EU 28 oktober 2022, C-435/22, ECLI:EU:C:2022:852 (HF), r.o. 95 t/m
  114.
  TBS&H 2023 | nr. 1
  
  55
  
  Dit artikel uit Tijdschrift voor Bijzonder Strafrecht & Handhaving is gepubliceerd door Boom juridisch en is bestemd voor anonieme bezoeker
  
  Cybercrime (& cybersecurity)
  Verzorgd door mr. N. van der Voort
  Inleiding
  2022 was wat cybercriminaliteit betreft weer een bewogen jaar. Het jaar stond wederom in het teken van grootschalige nationale en internationale hacks. Deze ingezette lijn werd al bevestigd door de Datalekkenrapportage 2021 van de Autoriteit Persoonsgegevens: het aantal
  meldingen van datalekken door cyberaanvallen (hacking, malware of phishing) is in 2021 88% gestegen.
  Toch werden er ook stappen gezet in de preventie, met
  name nieuwe wetgeving en ondersteuning door overheden bij cybersecurity voor bedrijven. In deze kroniek
  wordt stilgestaan bij de belangrijkste ontwikkelingen in
  de wet- en regelgeving en wordt een overzicht gegeven
  van de rechtspraak op het gebied van cybercrime.
  Ontwikkelingen in de regelgeving
  
  56
  
  •
  Doxing wordt strafbaar
  Op 7 juli 2022 is het wetsvoorstel Strafbaarstelling gebruik persoonsgegevens voor intimiderende doeleinden
  ingediend bij de Tweede Kamer.161 Het wetsvoorstel
  heeft betrekking op het onderwerp ‘doxing’ of wel het
  openbaar maken van iemands privé-informatie. Het
  wetsvoorstel beperkt zich tot doxing voor intimiderende
  doeleinden. Met het voorstel wordt het strafbaar om
  persoonsgegevens van een ander aan een derde te verschaffen, te verspreiden of anderszins ter beschikking te
  stellen met het oogmerk die ander vrees aan te (laten)
  jagen, ernstige overlast aan te (laten) doen of hem in de
  uitoefening van zijn ambt of beroep ernstig te (laten)
  hinderen. De voorgestelde strafbaarstelling is een gevangenisstraf van ten hoogste een jaar of een geldboete
  van de derde categorie.
   •
  
  Wetsvoorstel Bevordering digitale weerbaarheid
  bedrijven
  Het kabinet heeft dit jaar verder gewerkt aan het wetsvoorstel Bevordering digitale weerbaarheid bedrijven,
  ter verbetering van de digitale weerbaarheid van het
  niet-vitale bedrijfsleven in Nederland. Waar de Ministerraad in april dit jaar nog instemde met het wetsvoorstel, was de Raad van State kritisch en stuurde het kabinet terug naar de tekentafel.162 De voornaamste kritiek
  ziet op de noodzakelijkheid van een geheel nieuwe wet,
  de Raad van State wijst op de reeds bestaande Wet beveiliging netwerk- en informatiesystemen (die ziet op
  het vitale bedrijfsleven, bijvoorbeeld energiebedrijven,
  drinkwaterbedrijven en banken) en acht het inpassen
  van de voorgestelde extra bevoegdheden – ofwel het informeren van het bedrijfsleven over actuele dreigingen
  op gebied van security, zoals kwetsbaarheden en incidenten – in deze wet op zijn plaats. Bovendien acht de
  Raad van State het van belang dat duidelijker uiteen
  wordt gezet hoe deze nieuwe informatiebevoegdheid
  161 Kamerstukken II 2021/22, 36171, nr. 2.
  162 Kamerstukken II 2021/22, 36084, nr. 4.
  TBS&H 2023 | nr. 1
  
  zich verhoudt tot de eigen verantwoordelijkheid van het
  bedrijfsleven op het gebied van cybersecurity. Wordt
  vervolgd in 2023.
   •
  EU Netwerk- en Informatiebeveiligingsrichtlijn (NIB2)
  Ook Europees wordt druk gesleuteld aan nieuwe regelgeving. Waar op 13 mei de EU-lidstaten en het Europees
  Parlement een politiek akkoord bereikten over de herziening van de zogenoemde EU Netwerk- en Informatiebeveiligingsrichtlijn (NIB2), in Europa ook wel NIS2
  (Network and Information Systems) Directive genoemd,
  heeft het Europees Parlement op 10 november 2022 ingestemd met de nieuwe richtlijn.163 Het doel? Het cyberbeveiligingsniveau in Europa verhogen. Dit moet bewerkstelligd worden door ondernemingen in meer
  sectoren te verplichten maatregelen te nemen om cyberbeveiligingsrisico’s te beheersen. De digitale zorgplicht zal dus uitgebreid worden naar een grotere kring
  van bedrijven. Het gaat hier onder andere om de levensmiddelensector (industriële voedselproductie en -distributie zoals grotere supermarktketens), partijen in de
  chemische en maakindustrie, afvalverwerking, post- en
  koeriersdiensten, maar ook meer algemeen de gezondheidszorg, bijvoorbeeld fabrikanten van medische hulpmiddelen. Ofwel ondernemingen die van cruciaal belang
  zijn voor de economie en samenleving.
  •
  Digital Operational Resilience Act (DORA)
  Een verordening waar het Europees Parlement mee
  heeft ingestemd was de Digital Operational Resilience
  Act (DORA).164 Deze verordening ziet specifiek op het
  versterken van de digitale weerbaarheid van de financiele sector. Het hoofddoel van de DORA is te voorzien in
  de versterking en overkoepeling van regels voor financiele entiteiten betreffende het gebruik van ICT, met
  name ICT-risicobeheer, beveiliging en bedrijfscontinuïteit, het testen van de weerbaarheid van digitale activiteiten, alsmede een kader voor toezicht op kritische
  ICT-dienstverleners. De definitieve vaststelling van de
  verordening wordt eind 2022 of uiterlijk begin 2023 verwacht. Er geldt een overgangsperiode van twee jaar.
  DORA zal derhalve naar verwachting eind 2024 of begin
  2025 in werking treden.
   •
  Voorstel voor nieuwe Europese Cyber Resilience Act
  De Europese Commissie werkt aan een nieuwe Europese
  verordening waardoor consumenten en bedrijven beter
  worden beschermd tegen producten met ontoereikende
  beveiligingsvoorzieningen door verplichte cyberbeveiligingseisen in te voeren voor producten met digitale elementen gedurende hun gehele levenscyclus.165 Op dit
  moment is het wachten op de standpunten van de Europese Raad en het Europees Parlement over de ontwerpverordening.
  163 www.rijksoverheid.nl/actueel/nieuws/2022/06/22/cybermaatregelen-inmeer-sectoren-maken-nederland-en-eu-digitaal-veiliger#:~:text=De%2
  520EU%252Dlidstaten%2520en%2520het,Europese%2520afspraken%
  2520op%2520dit%2520gebied.
  164 www.consilium.europa.eu/en/press/press-releases/2022/11/28/digitalfinance-council-adopts-digital-operational-resilience-act/.
  165 https://digital-strategy.ec.europa.eu/en/library/cyber-resilience-act.
  doi: 10.5553/TBSenH/229567002023009001005
  
  Dit artikel uit Tijdschrift voor Bijzonder Strafrecht & Handhaving is gepubliceerd door Boom juridisch en is bestemd voor anonieme bezoeker
  
  •
  
  Europese Raad verlengt sanctieregeling voor
  cyberaanvallen
  De EU kan sancties opleggen aan personen of entiteiten
  die verantwoordelijk zijn voor (pogingen tot) cyberaanvallen, of daarmee worden geassocieerd.166 Op 16 mei
  heeft de Raad van de Europese Unie het kader voor beprekende maatregelen tegen cyberaanvallen die de EU
  bedreigen met drie jaar verlengd, tot en met 18 mei 2025.
  Beperkende maatregelen kunnen onder meer bestaan
  uit een verbod om naar de EU te reizen en een bevriezing
  van tegoeden van personen en entiteiten.
  Jurisprudentie
  •
  DDos-aanvallen
  Als start van dit jurisprudentieoverzicht is het goed om
  het arrest van de Hoge Raad van 24 december 2021 over
  Ddos-aanvallen in herinnering te brengen.167 De Hoge
  Raad herhaalt hierin de wetsgeschiedenis over het begrip geautomatiseerd werk (art. 80sexies Sr)168 en oordeelt dat de opvatting van het hof Amsterdam niet onbegrijpelijk is op het punt dat de instandhouding van
  een actieve website vereist dat een geautomatiseerd
  werk in werking is en dat het uitvoeren van een
  DDoS-aanval de toegang tot die website belemmert,
  hetgeen ook meebrengt dat daardoor de werking van het
  geautomatiseerde werk, voor zover het de functionaliteit van die website in stand houdt, wordt belemmerd.
   Het jaar 2022 startte vervolgens met een veroordeling
  voor DDos-aanvallen (Distributed Denial-of-Service-aanvallen) op mijnoverheid.nl.169 Volgens de rechtbank heeft de verdachte opzettelijk en wederrechtelijk
  de toegang tot en het gebruik van een geautomatiseerd
  werk, te weten de webserver van overheid.nl, belemmerd door daaraan gegevens aan te bieden of toe te zenden (art. 138b Sr). Bij het bepalen van de straf houdt de
  rechtbank onder meer rekening met de omstandigheid
  dat de DDoS-aanvallen zijn gepleegd in de beginfase
  van de coronapandemie, toen veel mensen behoefte
  hadden aan informatie van de overheid over de verspreiding van het virus en de maatregelen ter bestrijding
  daarvan door de overheid. De rechtbank legt de verdachte een voorwaardelijke gevangenisstraf op van drie
  maanden en een onvoorwaardelijke taakstraf van 120
  uur.
  •
  Computervredebreuk
  Veruit de meeste gepubliceerde uitspraken betreffen zaken over computervredebreuk, in deze kroniek wordt
  een selectie besproken.170 Een opvallende uitspraak en
  166 Besluit (GBVB) 2019/797 Van de Raad van 17 mei 2019 betreffende beperkende maatregelen tegen cyberaanvallen die de Unie of haar lidstaten bedreigen.
  167 HR 24 december 2021, ECLI:NL:HR:2021:1944.
  168 Kamerstukken II 1998/99, 26671, nr. 3, p. 44; Kamerstukken II 2004/05,
  26671, nr. 10, p. 31; Kamerstukken II 1989/90, 21551, nr. 3, p. 6; Kamerstukken II 1998/99, 26671, nr. 3, p. 28; Kamerstukken II 2004/05, 26671,
  nr. 10, p. 5; Kamerstukken II 2015/16, 34372, nr. 3, p. 85-86.
  169 Rb. Den Haag 4 januari 2022, ECLI:NL:RBDHA:2022:22.
   170 In deze kroniek is met name gefocust op de tweede helft van 2022. Hof
  Den Haag 23 juni 2022, ECLI:NL:GHDHA:2022:1063; Rb. Noord-Holland
  
  doi: 10.5553/TBSenH/229567002023009001005
  
  tevens vrijspraak is van de rechtbank Noord-Holland in
  juni 2022.171 In deze zaak gaat het om kerstcadeaukaarten van Albert Heijn, die ingewisseld konden worden bij
  bepaalde webshops. Uit de overwegingen van de rechtbank is op te maken dat de verdachten hadden ontdekt
  dat de cadeaukaartcodes te dupliceren waren door tegelijk dezelfde code op meerdere apparaten of meerdere
  openstaande tabbladen naar de website te sturen en zo
  tegelijk meerdere vouchers te verkrijgen. Vervolgens
  ontdekten de verdachten dat met een brute force attack172 op het tekstveld van de website, waarbij door een
  programma willekeurige cijfercombinaties worden geprobeerd, cadeaukaartcodes gevonden konden worden,
  waarmee de website kon worden benaderd. Nadat deze
  misbruik was ontdekt, is de website verder beveiligd met
  onder meer een blokkade van IP-adressen die meerdere
  keren werden gebruikt en een tweestapsverificatie.173
  Om deze zwaardere beveiliging te omzeilen hebben de
  verdachten een script ontwikkeld om de brute force attacks uit te blijven voeren, hebben zij de beschikking gekregen over 10.000 IP-adressen en maakten zij gebruik
  van een grote hoeveelheid prepaid simkaarten. In totaal
  zijn er meer dan 700 vouchers verzilverd ter waarde van
  ongeveer € 17.500. De rechtbank heeft zich gebogen over
  de vraag of de verdachten zich schuldig hebben gemaakt
  aan computervredebreuk, ofwel het binnendringen in
  een geautomatiseerd werk als bedoeld in artikel 138ab
  Sr. De rechtbank behandelt eerst de vraag of er sprake is
  van een geautomatiseerd werk (ex art. 80sexies Sr),174
  waarbij de rechtbank benadrukt dat hierbij steeds een
  (onderdeel van) een fysiek apparaat is begrepen.175 De
  instandhouding van een actieve website vereist dat een
  geautomatiseerd werk in werking is. Om die reden gaat
  de rechtbank er bij de beoordeling vanuit dat ‘activiteiten op een actieve website activiteiten op de achterliggende
  server impliceren’. Ofwel, de uitgevoerde handelingen
  hadden betrekking op een geautomatiseerd werk. Nadat
  28 juni 2022, ECLI:NL:RBNHO:2022:5561; Rb. Amsterdam 8 juli 2022,
  ECLI:NL:RBAMS:2022:3944; Rb. Overijssel 19 juli 2022, ECLI:NL:RBOVE:
  2022:2065; Rb. Midden-Nederland 31 augustus 2022, ECLI:NL:RBMNE:
  2022:3502; Rb. Rotterdam 1 september 2022, ECLI:NL:RBROT:2022:
  8682; Rb. Rotterdam 1 september 2022, ECLI:NL:RBROT:2022:8683; Rb.
   Midden-Nederland 5 september 2022, ECLI:NL:RBMNE:2022:3538; Rb.
  Rotterdam 14 september 2022, ECLI:NL:RBROT:2022:7657; Rb. Midden-Nederland 19 september 2022, ECLI:NL:RBMNE:2022:3726; Rb. Den
  Haag 22 september 2022, ECLI:NL:RBDHA:2022:9613; Rb. Amsterdam
  23 september 2022, ECLI:NL:RBAMS:2022:5572; Rb. Noord-Holland
  26 oktober 2022, ECLI:NL:RBNHO:2022:9498, Rb. Overijssel 27 september 2022, ECLI:NL:RBOVE:2022:2703; Rb. Rotterdam 10 oktober 2022,
  ECLI:NL:RBROT:2022:8561; Rb. Rotterdam 11 oktober 2022, ECLI:NL:
  RBROT:2022:8485; Rb. Gelderland 17 oktober 2022, ECLI:NL:RBGEL:
  2022:5879; Rb. Amsterdam 21 november 2022, ECLI:NL:RBAMS:2022:
  6814.
  171 Rb. Noord-Holland 28 juni 2022, ECLI:NL:RBNHO:2022:5561.
  172 Hackers passen deze methode toe om o.a. toegang te krijgen tot persoonlijke accounts, om gegevens te ontsleutelen, of om netwerken of systemen te hacken.
  173 Daarbij moest een telefoonnummer worden ingevoerd waar een code
  naartoe werd gestuurd die weer op de website moest worden ingevoerd.
  174 Onder geautomatiseerd werk wordt verstaan een apparaat of groep van
  onderling verbonden of samenhangende apparaten, waarvan er een of
  meer op basis van een programma automatisch computergegevens verwerken.
  175 Computer, server, router, chip maar in elk geval zogenoemde hardware.
   TBS&H 2023 | nr. 1
  
  57
  
  Dit artikel uit Tijdschrift voor Bijzonder Strafrecht & Handhaving is gepubliceerd door Boom juridisch en is bestemd voor anonieme bezoeker
  
  deze eerste horde genomen was door de rechtbank komt
  zij tot de overweging dat het voor het binnendringen
  van beslissende betekenis of de verdachten hiermee
  toegang hebben verkregen tot afgeschermde gegevens
  op het geautomatiseerde werk en, zo ja, door welke
  techniek(en). De rechtbank komt tot het oordeel dat
  geen sprake is geweest van de in de tenlastelegging omschreven feitelijke gedraging ‘inloggen dan wel toegang
  verkrijgen tot de website door middel van codes’, de website van Albert Heijn was namelijk vrij toegankelijk was;
  er hoefde niet ingelogd te worden. De rechtbank kan
  niet met zekerheid vaststellen of de verdachte en zijn
  medeverdachten meer hebben gedaan dan het gebruik
  maken van een kwetsbaarheid van de website waarmee
  zij vouchers in bezit hebben gekregen. Er is weliswaar
  sprake geweest van het gebruik van een valse sleutel, als
  bedoeld artikel 138ab lid 1 Sr, maar de strafbepaling kan
  niet zo worden gelezen dat deze handelwijze als zodanig
  reeds het zich verschaffen van toegang oplevert. De verdachten worden vrijgesproken van computervredebreuk. Wél komt de rechtbank tot een veroordeling wegens diefstal nu er sprake is van het wederrechtelijk
  wegnemen – door middel van het plaatsen in een virtuele winkelmand en na invoering van onrechtmatig verkregen codes van de kerstcadeaukaarten elektronisch
  over te laten brengen naar het ingevoerde e-mailadres –
  van vouchers (een goed, te weten een niet-stoffelijk object van economische waarde).
   58
  
  Een andere vrijspraak in het kader van computervredebreuk komt van het hof Den Haag.176 Het Openbaar Ministerie legt het hacken van een website en vervolgens
  wederrechtelijk overnemen van gegevens ten laste. Het
  hof herhaalt de overwegingen uit 2020 en wetsgeschiedenis177 en concludeert dat een website als zodanig niet
  als geautomatiseerd werk in de zin van artikel 80sexies
  Sr aangemerkt kan worden: ‘Nu een website feitelijk
  slechts bestaat uit een samenstel van gegevens, geen fysieke vorm heeft en derhalve het karakter van “inrichting”
  ontbeert.’ Het hof overweegt dat er in de tenlastelegging
  geen nadere aanduiding is opgenomen van een inrichting van een geautomatiseerd werk.178 De verdachte
  wordt vrijgesproken. Indien de het Openbaar Ministerie
  de tenlastelegging specifieker had ingestoken, bijvoorbeeld ‘het binnendringen van een webserver waarop een
  website draait’, zou de zaak gezien de staande jurisprudentie vermoedelijk in een veroordeling zijn geëindigd.
  Een andere uitspraak betreft de veroordeling van een
  man voor diefstal van bitcoins.179 Het slachtoffer in deze
  
  176 Hof Den Haag 23 augustus 2022, ECLI:NL:GHDHA:2022:1551.
  177 Hof Den Haag 22 september 2020, ECLI:NL:GHDHA:2020:2005.
  178 Blijkens de wetsgeschiedenis heeft de wetgever in de begripsbepaling van
  ‘geautomatiseerd werk’ steeds het oog gehad op uitsluitend fysieke apparaten. Meer specifiek heeft de wetgever met betrekking tot art. 138a
  (oud) / 138ab (nieuw) Sr de opvatting tot uiting gebracht dat het daarbij
  gaat om de bescherming van het voorwerp waarin de gegevens zich bevinden, en niet om de gegevens zelf (zie onder meer Kamerstukken II 1990/91,
  21551, nr. 6, p. 8-9 en Kamerstukken II 1998/99, 26671, nr. 3, p. 32-33).
  179 Rb. Midden-Nederland 7 april 2022, ECLI:NL:RBMNE:2022:1414. Hof
  Den Haag 23 juni 2022, ECLI:NL:GHDHA:2022:1063.
   TBS&H 2023 | nr. 1
  
  zaak had zijn blockchainaccount staan op de werkcomputer van zijn tandartsenpraktijk. Nadat werd geconstateerd dat er 30 bitcoins en 30 bitcoin cash waren verdwenen is er een onderzoek verricht door Fox-IT. Uit dit
  onderzoek blijkt o.a. dat er sprake is geweest van een
  ‘remote desktop’-sessie, waarmee de verdachte toegang
  had verkregen tot het systeem van het slachtoffer. De
  bitcoins zijn verstuurd naar een andere wallet en vervolgens opgesplitst in negen transacties waarbij gebruik
  werd gemaakt van Shapeshift.io, ook wel bekend als zogenoemde bitcoinmixer.180 De rechtbank neemt bij de
  strafmaat expliciet in overweging dat het vertrouwen
  van het slachtoffer in het digitale betalingsverkeer is geschaad, maar ook voor de maatschappij in het algemeen.
  De rechtbank acht dit vertrouwen – in de huidige tijd
  waarin online betalen aan de orde van de dag is en natuurlijke personen hiervan afhankelijk zijn – van groot
  belang. De verdachte wordt veroordeeld tot een taakstraf van 240 uur en een voorwaardelijke gevangenisstraf van zes maanden.
   Ook zijn er in 2022 weer de nodige uitspraken geweest
  over ambtsdragers en andere functionarissen van de
  overheid die betrokken zijn bij computervredebreuk.181
  In juni en juli 2022 werden twee politieambtenaren veroordeeld voor het delen van politie-informatie met een
  derde en voor het bevragen van de politiesystemen voor
  ‘privédoeleinden’.182 Op grond van artikel 138ab Sr is
  sprake van wederrechtelijk binnendringen wanneer
  men zich buiten de opgedragen taak toegang verschaft
  tot een geautomatiseerd werk.183 De rechtbank Overijsel
  kwam derhalve in juli 2022 tot de veroordeling van de
  politieambtenaar wegens het zeer frequent schenden
  van het ambtsgeheim en het plegen van computervredebreuk.184 De politieambtenaar heeft circa twee jaar
  lang vertrouwelijke informatie opgezocht die was opgeslagen in diverse digitale politiesystemen (o.a. over personen en kentekens).185 Deze bevragingen konden
  plaatsvinden door de aanstelling als opsporingsambtenaar, waarmee hij over een autorisatie beschikte om de
  systemen te raadplegen. De crux van de zaak ligt volgens de rechtbank bij de omstandigheid dat de verdach180 Een dienst die bitcointransacties door elkaar husselt, zodat het spoor onderbroken wordt en het traceren van de transacties wordt bemoeilijkt.
  181 Hof Den Haag 23 juni 2022, ECLI:NL:GHDHA:2022:1063; Rb. Overijssel
  19 juli 2022, ECLI:NL:RBOVE:2022:2065; Rb. Rotterdam 1 september 2022,
  ECLI:NL:RBROT:2022:8682; Rb. Rotterdam 1 september 2022, ECLI:NL:
  RBROT:2022:8683; Rb. Noord-Holland 26 oktober 2022, ECLI:NL:RBNHO:2022:9498; Rb. Overijssel 27 september 2022, ECLI:NL:RBOVE:2022:
  2703; Rb. Gelderland 17 oktober 2022, ECLI:NL:RBGEL:2022:5879.
  182 Rb. Overijssel 19 juli 2022, ECLI:NL:RBOVE:2022:2065.
  183 HR 30 november 2021, ECLI:NL:HR:2021:1691, NJ 2022/54.
  184 Rb. Overijssel 19 juli 2022, ECLI:NL:RBOVE:2022:2065.
   185 Rb. Overijssel 19 juli 2022, ECLI:NL:RBOVE:2022:2065, par. 4.1 (modus
  operandi): ‘(…) korte tijd na een gedane bevraging in de politiesystemen betreffende een specifiek persoon of kenteken een of meer contacten hebben plaatsgevonden tussen verdachte en (onder meer) [medeverdachte] , zoals blijkt uit
  onderzoek van de WhatsApp-contacten van verdachte in de onder hem inbeslaggenomen smartphone. (…) De rechtbank stelt verder vast dat kort voor of
  na een bevraging in de politiesystemen door verdachte een afspraak is gemaakt
  voor een ontmoeting met onder meer [medeverdachte] en kort daarna diverse
  malen contante geldstortingen hebben plaatsgevonden op de bankrekening
  van verdachte of zijn dochters.’
  
  doi: 10.5553/TBSenH/229567002023009001005
  
  Dit artikel uit Tijdschrift voor Bijzonder Strafrecht & Handhaving is gepubliceerd door Boom juridisch en is bestemd voor anonieme bezoeker
  
  te met deze niet noodzakelijke en/of niet-werkgerelateerde bevragingen de grenzen van de aan hem verleende autorisatie ver te buiten ging. Op deze wijze – dus
  door zijn autorisatie te gebruiken voor doeleinden die
  buiten de grenzen van zijn autorisatie vielen – is hij
  daarmee diverse malen wederrechtelijk binnengedrongen in een geautomatiseerd werk. Door zich telkens op
  die manier toegang te verwerven, heeft de verdachte gebruik gemaakt van een valse sleutel in de zin van artikel 138ab Sr. De politieambtenaar wordt veroordeeld tot
  een gevangenisstraf voor de duur van dertig maanden.
   Het hof Den Haag veroordeelde een andere politieambtenaar, wederom in hoger beroep, wegens het bevragen
  en opzoeken in het politiesysteem van persoonsgegevens voor privégebruik.186 In september 2022 zijn twee
  politieagenten veroordeeld wegens het meerdere malen
  plegen van computervredebreuk. Beide agenten waren
  al ruim veertig jaar in dienst bij de politie. In het onderzoek door de politie is niet geheel duidelijk geworden
  waarom de agenten in een periode van ruim twee respectievelijk vier jaar zowel onder werktijd als in de vrije
  tijd, de servers van de politie hebben geraadpleegd om
  niet-werkgerelateerde redenen en daarbij gegevens van
  zichzelf en van andere personen hebben opgezocht. Gezien de lange staat van dienst bij de politie, het feit dat
  hij spijt heeft betuigd en de wens die hij heeft uitgesproken om de komende jaren tot aan zijn pensioen nog
  werkzaam te blijven binnen de politie wordt een van de
  agenten veroordeeld voor een geheel voorwaardelijke
  taakstraf van 60 uur. Tegen de andere agent wordt een
  taakstraf geëist, maar de rechtbank komt uiteindelijk tot
  het opleggen van een geldboete.187 In oktober 2022 werd
  wederom een politieagent veroordeeld voor computervredebreuk wegens het meermaals raadplegen van gegevens zonder dat daartoe vanuit de uitoefening van de
  politietaak enige aanleiding bestond.188 Uit het strafrechtelijk onderzoek is niet gebleken dat de verdachte
  criminele intenties heeft gehad bij de bevragingen van
  de politiesystemen, evenmin is gebleken dat de verdachte informatie heeft gedeeld uit eigen (financieel)
  gewin en/of ter frustratie van lopende strafrechtelijke
  onderzoeken. Volgens de rechtbank is de strafzaak niet
  te vergelijken met die van zogenoemde politiemollen.
  De rechtbank komt om die reden tot een taakstraf die
  – omgerekend – gelijk is aan de duur van het voorarrest,
  te weten 54 uur.
   Ook enkele medewerkers van de Belastingdienst zijn
  door de rechtbank Overijssel veroordeeld voor computervredebreuk naar aanleiding van het zogenoemde on-
  
  186 Hof Den Haag 23 juni 2022, ECLI:NL:GHDHA:2022:1063.
  187 De rechtbank acht een taakstraf in onderhavig geval niet passend en geboden, gelet op de leeftijd van de verdachte en zijn staat van dienst binnen de politie. De verdachte heeft zich als politieambtenaar ruim 47 jaar
  ingezet voor (de veiligheid van) de maatschappij. Ook na zijn pensioen zet
  hij zich middels vrijwilligerswerk nog voor de maatschappij in. Tot slot
  houdt de rechtbank er rekening mee dat de feiten langere tijd geleden zijn
  gepleegd en dat de strafvervolging geruime tijd boven het hoofd van de
  verdachte heeft gehangen.
  188 Rb. Noord-Holland 26 oktober 2022, ECLI:NL:RBNHO:2022:9498.
   doi: 10.5553/TBSenH/229567002023009001005
  
  derzoek ‘26Bozeman’.189 Uit dit onderzoek is naar voren
  gekomen dat personen via het communicatienetwerk
  Encrochat informatie met elkaar uitwisselden die afkomstig leek van de Belastingdienst. Uit verschillende
  chats kwam naar voren dat gegevens van bepaalde
  kentekenhouders, waaronder namen, adressen en automerken, tegen betaling werden ingewonnen via een medewerker van de Belastingdienst. Er is volgens de rechtbank sprake geweest van het wederrechtelijk in delen
  van geautomatiseerde werken, namelijk in servers van
  de Belastingdienst (het RDW-systeem van de Belastingdienst) binnendringen met behulp van een valse sleutel,
  namelijk door onbevoegd gebruik te maken van een gebruikersnaam en wachtwoord en toegang te verschaffen
  tot servers waarop informatie was geplaatst met een ander doel dan waarvoor die gebruikersnaam en dat wachtwoord ter beschikking stonden en waarvoor die toegang
  was toegestaan. De verdachte kreeg een gevangenisstraf
  van achttien maanden opgelegd, waarvan zes maanden
  voorwaardelijk. De rechtbank rekent de volgende omstandigheden aan de verdachte aan: het gemak waarmee de gegevens werden verstrekt, de frequentie (maar
  liefst 216 keer), het enkele financiële eigen gewin en het
  op geen enkele manier rekening houden met de mogelijke gevolgen en gevaren voor anderen. De tweede medewerker werd veroordeeld tot een voorwaardelijke gevangenisstraf van zes maanden.190
  Dan is er nog een veroordeling door de militaire kamer
  te benoemen van een (ondertussen) ex-medewerker van
  de Marechaussee, Brigade Politie en Beveiliging op
  Schiphol.191 Hij heeft zich gedurende een periode van
  bijna een jaar schuldig gemaakt aan het meermalen plegen van computervredebreuk, door het ongeautoriseerd
  raadplegen van verschillende politie-informatiesystemen, op verzoek van een derde. De verdachte heeft deze
  informatie enige tijd bevraagd en doorgegeven in ruil
  voor cocaïne en is nadat hij is afgekickt doorgegaan met
  de informatieverschaffing, onder druk van bedreigingen.
   De militaire kamer acht een geheel voorwaardelijke gevangenisstraf van acht maanden, met een proeftijd van
  drie jaar, met daarnaast een taakstraf van 240 uur, passend en geboden.
  En ten slotte zijn de vonnissen van de rechtbank
  Midden-Nederland192 en de rechtbank Rotterdam193
  noemenswaardig. Hier ging het om het onbevoegd opzoeken en delen van (medische) gegevens in GGD-systemen. De verdachte in de zaak bij de rechtbank Midden-Nederland maakte zich schuldig aan computervredebreuk (in vereniging) door buiten zijn bevoegdheid
  om in het CoronIT-systeem persoonsgegevens van zichzelf, vrienden, familieleden en enkele bekende Nederlanders in te zien en werd veroordeeld tot een voorwaardelijke gevangenisstraf van een maand en een taakstraf
  189 Rb. Overijssel 27 september 2022, ECLI:NL:RBOVE:2022:2703.
  190 Rb. Overijssel 27 september 2022, ECLI:NL:RBOVE:2022:2700.
  191 Rb. Gelderland 17 oktober 2022, ECLI:NL:RBGEL:2022:5879.
  192 Rb. Midden-Nederland 5 september 2022, ECLI:NL:RBMNE:2022:3538.
  193 Rb. Rotterdam 14 september 2022, ECLI:NL:RBROT:2022:7657.
  TBS&H 2023 | nr. 1
  
  59
  
  Dit artikel uit Tijdschrift voor Bijzonder Strafrecht & Handhaving is gepubliceerd door Boom juridisch en is bestemd voor anonieme bezoeker
  
  van 120 uren. Bij de rechtbank Rotterdam was sprake
  van een grootschalige fraude in vaccinatiebewijzen,
  waarbij de verdachte in het CoronIT-systeem van de
  GGD gegevens van personen heeft ingevoerd, waarna zij
  in het systeem als gevaccineerd werden geregistreerd.
  De verdachte heeft op die manier met anderen valse
  Coronavaccinatiebewijzen verkocht en zich schuldig gemaakt aan computervredebreuk om dit te bewerkstelligen. De verdachte wordt veroordeeld voor een gevangenisstraf van twaalf maanden waarvan negen maanden
  voorwaardelijk.
   60
  
  •
  Malware
  In deze zaak heeft de verachte malware voorhanden gehad (bestaande uit de Remote Acces Trojan Tool Imminent Monitor (IM RAT), Dark Comet en Nanocore) om
  daarmee computers binnen te dringen.194 De verdachte
  heeft de malware echter niet alleen voorhanden gehad
  maar ook gebruikt en zich gedurende een periode van
  ruim vijf jaar schuldig gemaakt aan computervredebreuk. Hij heeft door middel van de voornoemde malware een groot aantal computers geïnfecteerd, waarna
  hij cryptovaluta en inloggegevens van de gebruikers van
  deze computers naar zijn eigen computer kon downloaden en zich toe-eigenen. Uit de analyse van de bankrekeningen van de verdachte blijkt dat er structureel
  aanzienlijke bedragen aan cryptovaluta giraal zijn uitbetaald, in totaal een bedrag van € 447.539,73. De verdachte wordt veroordeeld voor de duur van 24 maanden
  waarvan zes maanden voorwaardelijk.
  Een andere uitspraak betreft de veroordeling van een
  man voor het aftappen van gegevens en het plaatsen
  van opname- en afluisterapparatuur.195 Verdachte had
  een laptop met spyware aan zijn ex-partner verstrekt;
  daardoor kreeg hij de mogelijkheid om na te gaan welke
  informatie zijn ex-partner op deze laptop ontving, opsloeg en verstuurde. Door zo te handelen heeft hij volgens de rechtbank een ernstige inbreuk gemaakt op de
  persoonlijke levenssfeer van het slachtoffer. De rechtbank veroordeelt verdachte tot een gevangenisstraf van
  80 uur.
   Ten slotte nog een uitspraak van de rechtbank Amsterdam waar de verdachte werd veroordeeld tot twaalf jaar
  gevangenisstraf in verband met meerdere strafbare feiten (drugshandel, wapenhandel en computervredebreuk). De verdachte heeft computervredebreuk gepleegd door via een havenmedewerkster een USB-stick
  voorzien van malware te plaatsen in een computer en
  vervolgens een backdoor te installeren. Via die backdoor
  werd op afstand toegang verkregen tot de systemen van
  het havenbedrijf en heeft hij informatie en gegevens ingezien, daar afbeeldingen van gemaakt en die gedeeld
  met anderen. Het doel was om toegang krijgen tot de
  havensystemen om vervolgens ongezien en ongemerkt
  drugs te kunnen invoeren en daarmee de drugshandel
  mogelijk te maken.
  194 Rb. Noord-Holland 16 november 2022, ECLI:NL:RBNHO:2022:11549.
  195 Rb. Midden-Nederland 23 september 2022, ECLI:NL:RBMNE:2022:3801.
   TBS&H 2023 | nr. 1
  
  •
  Phishing (en online oplichtingspraktijken)
  En last but not least zijn er uiteraard enkele uitspraken te
  noemen in het kader van phishing en andere digitale oplichtingspraktijken. Te beginnen met een vonnis van de
  rechtbank Zeeland-West-Brabant van 21 november 2022.196 Het ging hier om een grootschalige online
  oplichting waarbij 28 slachtoffers (allen op leeftijd) telefonisch zijn benaderd. De modus operandi was steeds
  als volgt: de persoon die belde deed zich voor als een
  medewerker van een bank. Tegen het slachtoffer werd
  gezegd dat er door een derde geprobeerd werd om een
  geldbedrag van hun bankrekening af te schrijven. In een
  aantal gevallen werd eerst het vertrouwen van het
  slachtoffer gewonnen door het delen van persoonlijke
  gegevens met het slachtoffer. Daarna werd aangegeven
  dat het slachtoffer geholpen kon worden met het veiligstellen van het geld en het beveiligen van de bankomgeving. Hiervoor werd aan het slachtoffer gevraagd om een
  programma te downloaden en te installeren. Vervolgens
  verkregen de daders met dit programma toegang tot de
  computer van het slachtoffer en konden zij meekijken
  en de computer overnemen. In een aantal gevallen is gevraagd om een geldbedrag over te maken naar een door
  verdachte opgegeven bankrekening of werd gesteld dat
  het geld weggenomen zou worden door hackers die door
  de beller tegengehouden konden worden. Om deze handelingen te verrichten moesten de slachtoffers inloggen
  in hun bankomgeving, inloggen op hun randomreader
  en deze gegevens vervolgens delen met de beller. Volgens de rechtbank heeft de verdachte zich met een aantal onbekend gebleven mededaders schuldig gemaakt
  aan oplichting en computervredebreuk. De rechtbank
  legt een onvoorwaardelijke gevangenisstraf op voor de
  duur van dertig maanden.
   Op 28 juni 2022 heeft de rechtbank Noord-Holland twee
  uitspraken gedaan in een zaak over oplichting door middel van phishing en simwissels van ING- en ICS-klanten197 De verdachten maakten deel uit van een crimineel
  samenwerkingsverband waardoor klanten van andere
  financiële instellingen ook werden opgelicht. De organisatie verstuurde misleidende e-mails uit naam van financiële instellingen met daarin een link naar een phishing-website. In deze e-mails werd aan klanten meegedeeld dat er een nieuwe creditcard moest worden
  aangevraagd omdat de oude bijna was verlopen én dat er
  gegevens moesten worden ingevuld vanwege een veiligheidsonderzoek. Met deze gegevens werd vervolgens
  toegang verkregen tot de onlinebankierenomgeving van
  de slachtoffers. Op deze manier konden de rekeningen
  van slachtoffers worden leeggehaald door overboekingen naar andere bankrekeningen, pintransacties en het
  plaatsen en betalen van bestellingen. De rechtbank
  neemt bij de strafmaat in overweging dat het vertrouwen van de rekeninghouders in het onlinebetalingsver-
  
  196 Rb. Zeeland-West-Brabant 21 november 2022, ECLI:NL:RBZWB:2022:
  6917.
  197 Rb. Noord-Holland 28 juni 2022, ECLI:NL:RBNHO:2022:5537 en ECLI:
  NL:RBNHO:2022:5534.
  doi: 10.5553/TBSenH/229567002023009001005
  
  Dit artikel uit Tijdschrift voor Bijzonder Strafrecht & Handhaving is gepubliceerd door Boom juridisch en is bestemd voor anonieme bezoeker
  
  keer is geschaad en dat dit vertrouwen van groot belang
  is om ontwrichting van het maatschappelijke en economische verkeer te voorkomen. De ernst van de feiten
  rechtvaardigt volgens de rechtbank dan ook een forse
  onvoorwaardelijke gevangenisstraf. De rechtbank houdt
  wel rekening met de persoonlijke omstandigheden van
  verdachte en de overschrijding van de redelijke termijn.
  De verdachte wordt veroordeeld tot een gevangenisstraf
  voor de duur van 87 dagen en een taakstraf van 120 uur.
  In de tweede zaak wordt verdachte veroordeeld tot een
  gevangenisstraf van 170 dagen en een taakstraf van 240
  uur.
   Een andere uitspraak betreft de veroordeling van een
  man die zich samen met anderen heeft schuldig gemaakt aan oplichting via Marktplaats en gewoontewitwassen.198 Daarnaast heeft hij technische hulpmiddelen
  en wachtwoorden voor Marktplaats-accounts voorhanden gehad met het oogmerk computervredebreuk te
  plegen en had hij de beschikking over bankrekeninggegevens van verschillende mensen ter voorbereiding van
  het plegen van gewoontewitwassen. Door het Landelijk
  Meldpunt Internet Oplichting (LMIO) zijn verschillende
  aangiftes geanalyseerd en geclusterd. Uit de analyse
  bleek dat diverse bankrekeningnummers voorkwamen
  van personen die stonden geregistreerd op het adres
  van een instelling voor jongeren die met justitie in aanraking zijn geweest of dreigen te komen; veel van deze
  jongeren hebben psychiatrische problemen. Door verdachten werden onder valse namen advertenties geplaatst op Marktplaats waarbij goederen werden aangeboden. Uiteindelijk kwam het tot een overeenkomst
  waarbij slachtoffers geld overmaakten naar een bankrekening, de goederen werden echter nooit geleverd. Uit
  de verhoren van meerdere verdachten bleek dat er personen waren in wiens opdracht zij hun bankrekeningnummer beschikbaar stelden, een van die personen was
  de verdachte. De rechtbank komt tot het oordeel dat de
  gepleegde feiten het algemene vertrouwen in het digitale betalingsverkeer aantasten. De verdachte werd veroordeeld tot een gevangenisstraf voor de duur van 27
  maanden.
   Bij het arrest van het Hof Arnhem-Leeuwarden ging het
  om een verdachte die gebruik maakte van software om
  phishing e-mails en sms-berichten te sturen naar een
  grote hoeveelheid e-mailadressen en telefoonnummers.199 Daarbij werden slachtoffers via hyperlinks
  geleid naar niet van echt te onderscheiden (betaal)omgevingen, op deze wijze zijn inloggegevens van slachtoffers gebruikt om geldbedragen over te schrijven en/of op
  te nemen. Het hof is van oordeel dat met name vanwege
  de schending van het vertrouwen van de slachtoffers in
  het betalingsverkeer en het bankwezen een onvoorwaardelijke gevangenisstraf op zijn plaats is: een veroordeling tot een gevangenisstraf voor de duur van 34
  maanden.
  198 Rb. Noord-Nederland 18 juli 2022, ECLI:NL:RBNNE:2022:2658.
  199 Hof Arnhem-Leeuwarden, ECLI:NL:GHARL:2022:6882.
  doi: 10.5553/TBSenH/229567002023009001005
  
  Een andere uitspraak is van de rechtbank Midden-Nederland en betreft de veroordeling van een man die zich
  schuldig heeft gemaakt aan oplichting, computervredebreuk en diefstal door middel van betaallinkfraude.200
  Met nepprofielen benaderde hij verkopers op Facebook
  en toonde interesse in aangeboden goederen; vervolgens vroeg hij de verkopers een klein bedrag over te maken door op een frauduleuze link te klikken waar de
  slachtoffers vervolgens hun gegevens invulden. Een medeverdachte kreeg daarmee toegang tot de bankomgeving van slachtoffers en wijzigde de instellingen, waardoor hij met zijn eigen smartphone vanaf de rekening
  van slachtoffers betalingen kon uitvoeren en geld kon
  opnemen. De rechtbank veroordeelt de verdachte tot
  een taakstraf van 120 uur.
   De volgende strafzaak is onderdeel van een strafrechtelijk onderzoek genaamd Gamay.201 De modus operandi
  was als volgt: het slachtoffer, dat een advertentie had
  geplaatst om een goed te verkopen op Marktplaats, werd
  benaderd door een geïnteresseerde koper. De geïnteresseerde koper gaf vervolgens aan dat hij slechte ervaringen had met het betalen en verzenden op Marktplaats
  en vroeg het slachtoffer mee te werken aan een betaalverificatie. Via WhatsApp werd een link gestuurd naar
  de verkoper om ter verificatie 1 cent over te maken; zo
  kwamen slachtoffers terecht op een vervalste website
  van een bank waar zij vervolgens hun gegevens invulden. Op deze wijze werd de slachtoffers geld afhandig
  gemaakt en werden producten gekocht. De verdachte
  wordt veroordeeld tot een gevangenisstraf voor de duur
  van twaalf maanden. Van eenzelfde soort modus operandi was sprake bij een strafzaak die diende bij de rechtbank Noord-Nederland. Een man werd veroordeeld voor
  oplichting, computervredebreuk en diefstal met valse
  sleutel van ongeveer 250 personen.202 Hij deed zich op
  Marktplaats voor als geïnteresseerde koper, stuurde vervolgens een phishinglink waardoor slachtoffers terechtkwamen op een nep-bankomgeving waar hen werd gevraagd 1 cent over te maken. De rechtbank komt tot het
  oordeel dat de verdachte op grote schaal misbruik heeft
  gemaakt van gebruikers van Marktplaats en het vertrouwen van klanten van banken. De rechtbank rekent het
  de verdachte aan dat hij bestanden met een groot aantal
  persoonsgegevens heeft ontvangen en doorverkocht
  terwijl hij wist dat die bestemd waren tot het plegen van
  diefstal en oplichting en dat hij daarmee verschillende
  vormen van cybercriminaliteit in heel Nederland heeft
  gefaciliteerd. De verdachte wordt veroordeeld tot een
  gevangenisstraf voor de duur van vier jaar, waarvan één
  jaar voorwaardelijk.
   En ten slotte een arrest van het hof Den Haag waarbij
  een verdachte werd veroordeeld voor internetoplichting
  wegens het gebruik van valse Tikkie-links en phishing-
  
  200 Rb. Midden-Nederland 23 augustus 2022, ECLI:NL:RBMNE:2022:3430.
  201 Rb. Noord-Holland 28 juni 2022, ECLI:NL:RBNHO:2022:5537 en ECLI:
  NL:RBNHO:2022:5534.
  202 Rb. Noord-Nederland 30 september 2022, ECLI:NL:RBNNE:2022:3573.
  TBS&H 2023 | nr. 1
  
  61
  
  Dit artikel uit Tijdschrift voor Bijzonder Strafrecht & Handhaving is gepubliceerd door Boom juridisch en is bestemd voor anonieme bezoeker
  
  websites. De verdachte wordt veroordeeld tot een gevangenisstraf voor de duur van veertien maanden.203
  
  Varia
  Verzorgd door prof. mr. J. Nan
  Het was met betrekking tot het nemo tenetur-beginsel
  natuurlijk geen wedstrijd, maar de Hoge Raad lijkt ’m
  toch te hebben gewonnen. Op 4 oktober 2022 keurde het
  EHRM namelijk diens beperkte invulling van het beginsel dat men niet hoeft mee te werken aan de eigen veroordeling, in een Nederlandse, fiscale zaak van De Legé
  expliciet goed.204 Daarin werd geklaagd dat artikel 6
  EVRM was geschonden omdat De Legé in verband met
  een fiscale boeteprocedure ten onrechte gedwongen was
  op straffe van een civiele dwangsom in het bijzonder
  bankafschriften over te leggen aan de Belastingdienst
  van een Luxemburgse bank waar hij een of meer rekeningen zou hebben. Het EHRM besliste echter dat documenten die bestaan en waarvan de sanctionerende
  overheid weet heeft, op straffe van een dwangsom mogen worden gevorderd van de betrokkene zelf. Anders
  dan in eerdere rechtspraak, waaronder Ibrahim,205 geeft
  het EHRM in de onderhavige zaak wél een volledig toetsingskader voor het soms toch wat ongrijpbare nemo
  tenetur-beginsel.
   62
  
  Dat toetsingskader om te bepalen of het beginsel van
  toepassing en eventueel geschonden is, houdt het volgende in. Ten eerste moet worden bekeken of er op de
  betrokkene enige druk is uitgeoefend. Ten tweede moet
  bezien worden of die druk is uitgeoefend rondom een
  procedure die kan worden bestempeld als een ‘criminal
  charge’, en of – als dat niet het geval is – de afgedwongen, belastende informatie nadien alsnog in een dergelijke procedure tegen hem wordt gebruikt. Dit zijn twee
  voorvereisten.
  Vervolgens is het, ten derde, inhoudelijk de vraag of het
  gebruik van de door dwang verkregen incriminerende
  informatie niettemin toch buiten het bereik van het
  nemo tenetur-beginsel valt, nu het beginsel hoofdzakelijk het zwijgrecht beoogt te respecteren. Het omvat
  niet, zo weten we sinds Saunders,206 ‘the use in criminal
  proceedings of material which may be obtained from the
  accused through the use of compulsory powers but which
  has an existence independent of the will of the suspect such
  as, inter alia, documents acquired pursuant to a warrant,
  breath, blood and urine samples and bodily tissue for the
  purpose of DNA testing’. De hamvraag van de onderhavige zaak was of de overheid (dus) onder dwang ook documenten kon opvragen, zoals de Belastingdienst pleegt te
  203 Hof Den Haag 13 oktober 2022, ECLI:NL:GHDHA:2022:2145.
  204 EHRM 4 oktober 2022, nr. 58342/15 (De Legé tegen Nederland).
  205 EHRM 13 september 2016 (GK), nrs. 50541/08, 50571/08, 50573/08 en
  40351/09 (Ibrahim e.a. tegen het Verenigd Koninkrijk).
  206 EHRM 17 december 1996, nr. 19187/91 (Saunders tegen het Verenigd Koninkrijk).
   TBS&H 2023 | nr. 1
  
  doen via een kort geding met dwangsom. Die kwestie
  hield de gemoederen tot op heden al heel lang bezig.207
  Daarover schenkt het EHRM dan toch eindelijk klare
  wijn. Na een tour d’horizon langs zijn eerdere rechtspraak (waaronder Funke, J.B. en Chambaz), komt het
  hoge woord eruit:
  ‘Where the use of documentary evidence obtained under
  threat of penalties in the context of financial law matters is concerned, it may further be deduced from the
  Court’s case-law (…), that such use does not fall within
  the scope of protection of the privilege against self-incrimination where the authorities are able to show that
  the compulsion is aimed at obtaining specific preexisting documents – thus, documents that have not
  been created as a result of the very compulsion for the
  purpose of the criminal proceedings – which documents
  are relevant for the investigation in question and of
  whose existence those authorities are aware. That situation is to be distinguished from the situation where the
  authorities attempt to compel an individual to provide
  the evidence of offences he or she has allegedly committed by forcing him or her to supply documents which
  they believe must exist, although they are not certain of
  it. The latter situation the Court has described as “fishing expeditions”. The Court considers that in that context a parallel may be drawn with testimonial evidence:
  when a person makes a statement which incriminates
  him or her, he or she is similarly providing the authorities with information of whose existence those authorities were not yet aware. Where the making of that statement came about as a result of coercion or compulsion,
  an issue arises under the privilege against self-incrimination, since, as set out above (…), it is incumbent on
  the prosecution in a criminal case to prove their case
  without resort to evidence obtained through such methods.’
  Het gaat er bij deze derde stap dus om of de documenten
  reeds bestaan en niet door de betrokkene moeten worden gecreëerd, alsmede of de overheid weet dát zij bestaan. Dan mag de overheid de documenten opvragen en
  daarvoor druk zetten. Er mag evenwel geen sprake zijn
  van een ‘fishing expedition’. De betrokkene hoeft de
  overheid in zoverre dus niet tegen zijn wil in wijzer te
  maken dan zij al is (net als bij de verklaringsvrijheid c.q.
   het zwijgrecht). Ook zal hij geen toelichting op de verstrekte data hoeven geven, neem ik aan.208 De overheid
  moet wel zelf de zaak tegen de betrokkene maken. Inzake de toepasselijkheid van het beginsel moet, ten vierde,
  nog worden bekeken of de dwang dermate groot is dat
  artikel 3 EVRM is geschonden. Dan valt de wijze van verkrijging alsnog binnen de reikwijdte van het nemo tenetur-beginsel, ongeacht de wils(on)afhankelijkheid van
  het daardoor verkregen materiaal.
  207 Zie recent J.S. Nan, ‘Een probleem rondom het nemo tenetur-beginsel?’,
  BSb 2021, nr. 4, p. 116-128.
  208 Vergelijk CBb 5 juli 2019, ECLI:NL:CBB:2019:177.
   doi: 10.5553/TBSenH/229567002023009001005
  
  Dit artikel uit Tijdschrift voor Bijzonder Strafrecht & Handhaving is gepubliceerd door Boom juridisch en is bestemd voor anonieme bezoeker
  
  Als sprake is van (potentieel) gebruik in een punitieve
  procedure van door druk afgedwongen materiaal dat
  binnen het bereik van het nemo tenetur-beginsel valt,
  moet ten vijfde (en ten slotte) worden bezien of de wijze
  van verkrijging per saldo niet de beschermende werking
  van het beginsel teniet doet (‘extinguish the very essence
  of the privilige’). Daarvoor moet worden gekeken naar de
  bekende drie factoren: ‘the nature and degree of compulsion used to obtain the evidence; the existence of any relevant safeguards in the procedure; and the use to which any
  material so obtained is put.’ Een Nederlands voorbeeld is
  het met zo nodig gepaste (fysieke) dwang verkrijgen van
  toegang tot een smartphone via een duimafdruk van de
  betrokkene. Dat levert geen probleem op, als alle regels
  dienaangaande netjes zijn gevolgd.209
  De Legé had bij de toepassing van dit schema, zoals al
  gezegd, het nakijken in Straatsburg. De gang van zaken
  kon voor het EHRM door de beugel, ook al was er wel
  sprake van dwang (door de dwangsom) en van een ‘criminal charge’ (het ging immers om de vaststelling van een
  fiscale boete). De Belastingdienst was er al van op de
  hoogte dat hij een of meer rekeningen had bij de desbetreffende bank en hij was door de Voorzieningenrechter
  verplicht voor een specifieke periode van vijf jaren de
  bankafschriften c.q. overzichten over te leggen. Van een
  ‘fishing expedition’ was aldus geen sprake. Evenmin was
  de wijze van verkrijging in strijd met artikel 3 EVRM.
  Daarom is in het geval van De Legé het nemo tenetur-beginsel niet van toepassing. Het EHRM hoefde dus
  niet meer te kijken of de essentie van het beginsel was
  uitgedoofd.
   63
  
  Met deze uitspraak van het EHRM kan de Nederlandse
  praktijk met betrekking tot financiële c.q. fiscale strafzaken wel vooruit, denk ik. Een laatste vraag is in ieder
  geval nog of het Europese Hof van Justitie er hetzelfde
  over denkt. Het nemo tenetur-beginsel wordt ook in het
  EU-recht (expliciet) erkend (zie art. 6 lid 3 VEU, art. 4748 EU Handvest en art. 7 lid 2 Richtlijn betreffende de
  versterking van bepaalde aspecten van het vermoeden
  van onschuld). Het Luxemburgse hof heeft zich over het
  verstrekken van documenten nog niet zo stellig uitgelaten als het EHRM. Alleen het afdwingen van een verklaring is, zoals mocht worden verwacht, uit den boze.210
  
  209 HR 9 februari 2021, ECLI:NL:HR:2021:202, NJ 2021/120, m.nt. J.M. Reijntjes.
  210 HvJ EU 2 februari 2021, C-481/19, ECLI:EU:C:2021:84 (DB).
  doi: 10.5553/TBSenH/229567002023009001005
  
  TBS&H 2023 | nr. 1.
  