Pleegt een (te) nieuwsgierige werknemer computervredebreuk?

Politiemol

Dat speelde onder meer in de zaak van de zogenoemde politiemol Mark M. Hij had als politieagent toegang tot verschillende systemen met vertrouwelijke informatie. Hij gebruikte daarbij zijn eigen dienstnummer en wachtwoord, maar zocht ook gegevens op die hij voor zijn werkzaamheden niet nodig had en deelde informatie met derden. Het hof veroordeelde hem wegens computervredebreuk. De Hoge Raad liet die veroordeling in stand.

De redenering was dat zijn eigen inloggegevens in die situatie als een 'valse sleutel' konden worden aangemerkt. Hij was wel bevoegd om het systeem te gebruiken, maar niet om de betreffende zoekslagen te verrichten. Daarmee is in de rechtspraak feitelijk aanvaard dat iemand ook met zijn eigen wachtwoord kan 'binnendringen' in een systeem waar hij in principe gewoon rechtmatig toegang toe heeft. Hij pleegt dan dus computervredebreuk in de zin van artikel 138ab Sr.

Te ruime wetsuitleg

Daar valt het nodige op af te dingen. De strafbaarstelling van computervredebreuk is naar haar tekst en totstandkomingsgeschiedenis gericht op het binnendringen in een geautomatiseerd werk. De wetgever maakte daarbij juist onderscheid tussen het systeem en de gegevens die zich daarin bevinden. In de wetsgeschiedenis wordt het computersysteem omschreven als de 'huls' die wordt beschermd; niet de gegevens als zodanig.

Dat onderscheid is van belang. Iemand die rechtmatig is ingelogd, bevindt zich immers al in het systeem. De vraag of hij vervolgens bepaalde informatie voor zijn werk wel of niet nodig heeft, ziet niet meer op het binnendringen zelf, maar op het gebruik dat hij van die toegang maakt. Door dat gebruik toch onder computervredebreuk te brengen, verschuift het zwaartepunt van de strafbaarstelling van de toegang tot het systeem naar de vraag welke informatie binnen dat systeem wordt geraadpleegd.

Probleem voor de rechtszekerheid

Daarmee ontstaat ook een probleem van rechtszekerheid. Bij de klassieke uitleg is de grens relatief duidelijk: iemand mag het systeem binnen of hij mag dat niet. Bij de ruimere uitleg hangt de strafbaarheid mede af van de vraag of een bepaalde zoekslag nog voldoende verband houdt met iemands functie. Dat is niet altijd eenvoudig vast te stellen. Interne bedrijfsregels, taakomschrijvingen en de concrete aanleiding voor een zoekactie kunnen dan mede bepalen of sprake is van een strafbaar feit.

Dat betekent niet dat ongeoorloofd grasduinen in vertrouwelijke gegevens onschuldig is. In zulke gevallen kan sprake zijn van schending van een ambts- of beroepsgeheim of van andere strafbare feiten. In minder ernstige gevallen kunnen disciplinaire of arbeidsrechtelijke maatregelen worden getroffen. Kortom, ook de wens om tegen zulk gedrag op te treden rechtvaardigt niet deze zeer ruime uitleg van het begrip computervredebreuk.

Conclusie

De huidige lijn van de Hoge Raad komt erop neer dat ook een werknemer die rechtmatig toegang heeft tot een systeem als 'hacker' kan worden aangemerkt wanneer hij daarin informatie opzoekt waarvoor geen professionele noodzaak bestaat. Die uitleg is vanuit praktisch oogpunt misschien begrijpelijk, maar juridisch niet vanzelfsprekend. Zoals we zagen ziet artikel 138ab Sr op het binnendringen in een computersysteem. Wij vinden dat die bepaling niet mag en kan fungeren als algemene strafbaarstelling van ongeoorloofde kennisneming van gegevens.

Een uitgebreidere versie van deze blogpost verscheen als artikel: M. Berndsen & C.J.J. Visser, 'Niet elke grasduinende mol is een hacker. Waarom de Hoge Raad het begrip computervredebreuk te ver heeft opgerekt' in Boom Strafblad 2022, nr. 4, p. 160-164.