ECLI:NL:GHDHA:2022:1551

PROMIS Rolnummer: 22-001512-20 Parketnummer: 09-767016-18 Datum uitspraak: 23 augustus 2022 TEGENSPRAAK Gerechtshof Den Haag meervoudige kamer voor strafzaken Arrest gewezen op het hoger beroep tegen het vonnis van de rechtbank Den Haag van 11 juni 2020 in de strafzaak tegen de verdachte: [verdachte], geboren te [geboorteplaats] op [geboortedatum], BRP-adres: [adres]. Onderzoek van de zaak Dit arrest is gewezen naar aanleiding van het onderzoek op de terechtzitting in eerste aanleg en het onderzoek ter terechtzitting in hoger beroep van dit hof. Het hof heeft kennisgenomen van de vordering van de advocaat-generaal en van hetgeen door en namens de verdachte naar voren is gebracht. Procesgang In eerste aanleg is de verdachte ter zake van het tenlastegelegde veroordeeld tot een gevangenisstraf voor de duur van 2 maanden, waarvan 1 maand voorwaardelijk, met een proeftijd van 2 jaren. Voorts is in eerste aanleg een beslissing genomen omtrent de in beslag genomen voorwerpen, als nader omschreven in het vonnis waarvan beroep. Namens de verdachte is tegen het vonnis hoger beroep ingesteld. Tenlastelegging Aan de verdachte is tenlastegelegd dat: hij op of omstreeks 25 augustus 2017 te 's-Gravenhage en/of te Tiel, althans in Nederland, opzettelijk en wederrechtelijk in een (gedeelte van) een geautomatiseerd werk, te weten de website van [onderneming 1] ([website onderneming 1]), is binnengedrongen door het doorbreken van een beveiliging en/of door een technische ingreep en/of met behulp van valse signalen of een valse sleutel en/of door het aannemen van een valse hoedanigheid, namelijk door gebruik te maken van één of meer software programma(s), te weten SQL map, welk programma gebruikt wordt om (databases van) websites te hacken door middel van SQL-injecties en/of (vervolgens) gegevens die waren opgeslagen en/of verwerkt en/of overgedragen door middel van (delen van) dat geautomatiseerde werk waarin hij zich wederrechtelijk bevond, voor zichzelf en/of een ander heeft overgenomen en/of afgetapt en/of opgenomen, namelijk door (vertrouwelijke en/of gevoelige) informatie (onder andere big nummers, wachtwoorden, adresgegevens en bankrekeningnummers van aangesloten huisartsen) van die website naar zichzelf en/of een ander te mailen en/of te exporteren. Vordering van de advocaat-generaal De advocaat-generaal heeft gevorderd dat het vonnis waarvan beroep zal worden vernietigd en dat de verdachte ter zake van het tenlastegelegde zal worden veroordeeld tot een geheel voorwaardelijke gevangenisstraf voor de duur van 1 maand, met een proeftijd van 2 jaren, alsmede tot een geheel onvoorwaardelijke taakstraf voor de duur van 90 uren, subsidiair 45 dagen hechtenis. Het vonnis waarvan beroep Het vonnis waarvan beroep kan niet in stand blijven omdat het hof zich daarmee niet verenigt. Vrijspraak De verdachte is – zakelijk weergegeven - tenlastegelegd dat hij wederrechtelijk een geautomatiseerd werk zou zijn binnengedrongen, te weten de website van [onderneming 1]. In het kader van deze uitspraak wordt aangenomen dat met een website een verzameling gegevens wordt bedoeld die als onderdeel van het World Wide Web via het internet toegankelijk is. Beoordeeld dient te worden of een dergelijke website als zodanig, nu het in de tenlastelegging ontbreekt aan enigerlei aanduiding van een inrichting in de zin van art. 80sexies van het Wetboek van Strafrecht (hierna: ‘Sr’) die ertoe dient deze website toegankelijk te maken (in het algemeen spraakgebruik doorgaans aangeduid als ‘hosting’), als een geautomatiseerd werk in de zin van dit artikel kan worden aangemerkt. Onder ‘geautomatiseerd werk’ wordt blijkens art. 80sexies Sr – zoals geldend op de tenlastegelegde datum, te weten 25 augustus 2017 – verstaan ‘een inrichting die bestemd is om langs elektronische weg gegevens op te slaan, te verwerken en over te dragen’. Blijkens de wetsgeschiedenis heeft de wetgever in de begripsbepaling van ‘geautomatiseerd werk’ steeds het oog gehad op uitsluitend fysieke apparaten (vergelijk Kamerstukken II, 1991-1992, 21551, nr. 3, p. 5 en 6 en Kamerstukken II, 2018-2019, 34372, nr. 3, p. 85 e.v.). Meer specifiek heeft de wetgever met betrekking tot de artikelen 138a (oud)/138ab (nieuw) Sr de opvatting tot uiting gebracht dat het daarbij gaat om de bescherming van het voorwerp waarin de gegevens zich bevinden, en niet om de gegevens zelf (zie onder meer Kamerstukken II 1990/91, 21551, nr. 6, p. 8-9 en Kamerstukken II 1998/99, 26671, nr. 3, p. 32-33). Nu een website feitelijk slechts bestaat uit een samenstel van gegevens, geen fysieke vorm heeft en derhalve het karakter van ‘inrichting’ ontbeert, bestaat op grond van het voorgaande voldoende aanleiding om een website niet aan te merken als geautomatiseerd werk. Zulks is in overeenstemming met het (onherroepelijke) arrest van dit hof van 22 september 2020 (ECLI:NL:GHDHA:2020:2005) waarin het ging om een Facebook-account. Het hof heeft zich nochtans de vraag gesteld of het nadien gewezen arrest van de Hoge Raad van 24 december 2021 (ECLI:NL:HR:2021:1944) tot een ander oordeel noopt. In dit arrest was de vraag aan de orde of sprake was van het belemmeren van toegang tot en/of het gebruik van een geautomatiseerd werk. De Hoge Raad overwoog omtrent het oordeel van het hof Amsterdam dat daarvan inderdaad sprake was: “Het is ook niet onbegrijpelijk, in aanmerking genomen dat de instandhouding van een actieve website vereist dat een geautomatiseerd werk in de onder 2.7 bedoelde zin in werking is, en dat het uitvoeren van een DDoS-aanval de toegang tot die website belemmert, wat meebrengt dat daardoor ook de werking van dit geautomatiseerd werk, voor zover het de functionaliteit van die website in stand houdt, wordt belemmerd.” Het hof ziet hierin echter geen aanwijzing dat een website als zodanig wel als geautomatiseerd werk in de zin van art. 80sexies Sr aangemerkt dient te worden. Het hof begrijpt de aangehaalde overweging aldus dat daarin alleen de vraag wordt beantwoord of de vaststelling dat sprake is van een DDoS-aanval op een website met zich brengt dat de werking van een specifiek geautomatiseerd werk wordt belemmerd. Het hof vindt voor deze lezing steun in de conclusie van de Advocaat-Generaal bij dit arrest (ECLI:NL:PHR:2021:1050), waarin onder meer het volgende te lezen valt: (na verwijzing naar jurisprudentie van de Hoge Raad) “3.14 Uit het voorgaande kan worden afgeleid dat onder een geautomatiseerd werk steeds een (onderdeel van) een fysiek apparaat is begrepen. Dus een computer, server, router, “ereader”, chip of wat dies meer zij, maar in elk geval zogenaamde hardware. Het gaat in alle gevallen niet om software, zoals computerprogramma’s, of – voor onderhavige casus relevant – websites.(…)” en (na verwijzing naar de parlementaire geschiedenis) “3.17. Uit deze overweging volgt dat ook na de wijziging van art. 80sexies Sr per 1 maart 2019 nog slechts gedacht wordt aan apparaten – aan stoffelijke objecten dus – en niet aan onstoffelijke zaken zoals websites.(…)” “3.18. De conclusie van het voorgaande is dus dat een website ‘op zichzelf’ niet kan worden aangemerkt als “geautomatiseerd werk” in de zin van art. 80sexies Sr en/of art.

Het hof: Vernietigt het vonnis waarvan beroep en doet opnieuw recht: Verklaart niet bewezen dat de verdachte het tenlastegelegde heeft begaan en spreekt de verdachte daarvan vrij. Gelast de teruggave aan de verdachte van de in beslag genomen, nog niet teruggegeven voorwerpen, te weten: 1. Computer Nzxt (goednummer 440419); 2. Computer HP laptop voorzien van lader (goednummer 440412); 3. Computer Apple iMac (goednummer 440403); 4. Apple Macbook Pro (goednummer 440408). Dit arrest is gewezen door mr. Chr.A. Baardman, mr. J.W. van den Hurk en mr. V.M. de Winkel, in bijzijn van de griffier mr. I.M. van Hoevelaken. Het is uitgesproken op de openbare terechtzitting van het hof van 23 augustus 2022.