ECLI:NL:GHSHE:2024:725

GERECHTSHOF ’s-HERTOGENBOSCH Team Handelsrecht zaaknummer 200.320.125/01 arrest van 5 maart 2024 in de zaak van [appellant] , wonende te [woonplaats] , appellant, hierna aan te duiden als [appellant] , advocaat: mr. J.W. Stam te Utrecht, tegen [geïntimeerde] , mede handelend onder de naam [handelsnaam] , wonende te [woonplaats] , geïntimeerde, hierna aan te duiden als [geïntimeerde] , advocaat: mr. J.C. Hulsebosch te Amsterdam. als vervolg op het door het hof gewezen tussenarrest van 21 februari 2023 in het hoger beroep van het door de rechtbank Oost-Brabant, zittingsplaats Den Bosch, onder zaaknummer C/01/360044 / HA ZA 20-434 gewezen vonnis van 17 augustus 2022. 5Het verloop van de procedure Het verloop van de procedure blijkt uit: het tussenarrest van 21 februari 2023 waarbij het hof een mondelinge behandeling na aanbrengen gelast; het proces-verbaal van mondelinge behandeling na aanbrengen van 24 mei 2023; de bij H-12 formulier van 12 mei 2023 door [appellant] toegezonden producties A t/m E, die bij de mondelinge behandeling na aanbrengen in het geding zijn gebracht; de memorie van grieven met producties F t/m H; de memorie van antwoord; de mondelinge behandeling, waarbij partijen spreeknotities hebben overgelegd; de bij H-12 formulier van 25 januari 2024 door [appellant] toegezonden productie I, die bij de mondelinge behandeling in het geding is gebracht. Het hof heeft daarna een datum voor arrest bepaald. Het hof doet recht op bovenvermelde stukken en de stukken van de eerste aanleg 6De beoordeling

6.1. In deze zaak gaat het in hoger beroep in de kern om het volgende. [appellant] verwijt [geïntimeerde] dat hij begin 2020 meerdere malen, zonder toestemming van [appellant] heeft ingelogd op de privé-emailadressen van [appellant] met als gevolg dat [appellant] op staande voet is ontslagen door Econocom B.V. [appellant] stelt dat [geïntimeerde] hierdoor onrechtmatig heeft gehandeld. [geïntimeerde] betwist dat hij heeft ingelogd en volgens hem is geen sprake van onrechtmatig handelen.

6.2. In rov. 2.1 tot en met 2.7 van het vonnis van 24 maart 2021 heeft de rechtbank vastgesteld van welke feiten in dit geschil wordt uitgegaan. De door de rechtbank vastgestelde feiten, die niet zijn betwist, vormen ook in hoger beroep het uitgangspunt. Het hof zal deze feiten hierna, als rov. 6.2.1 tot en met 6.2.7, weergeven. 6.2.1. [appellant] werkte als Strategic Operations Director bij Econocom B.V. De ICT-afdeling viel onder zijn management. 6.2.2. [geïntimeerde] heeft een eenmanszaak en werkte als IT-specialist in opdracht van (onder meer) Econocom B.V. 6.2.3. Op 19 maart 2020 ontving [appellant] een e-mail van Econocom B.V. met de mededeling dat zij verontrustende feiten had ontdekt en dat [appellant] daarop kon reageren in een gesprek op 20 maart 2020. 6.2.4. Op 20 maart 2020 heeft Econocom B.V. [appellant] op staande voet ontslagen. 6.2.5. Op 10 en 20 april 2020 heeft [appellant] aan [geïntimeerde] gevraagd:- of hij zichzelf in de maanden februari en maart 2020 toegang heeft gegeven tot het privée-maildomein van [appellant] ,- of hij weet dat iemand anders toegang heeft gekregen tot deze privé e-mail,- of hij op enigerlei wijze medewerking heeft gegeven om Econocom B.V. dan wel een derde toegang tot het privé e-maildomein van [appellant] te laten krijgen. 6.2.6. Bij e-mailberichten van 14 en 20 april 2020 heeft [geïntimeerde] deze vragen ontkennend beantwoord. 6.2.7. Op 25 april 2020 hebben [appellant] en een vrouw de woning van [geïntimeerde] en – omdat hij niet thuis was - de woning van zijn ouders bezocht om te vragen of hij in het privé e-mailaccount van [appellant] had ingelogd. [geïntimeerde] ontkende dat hij dat had gedaan.

6.3. In de onderhavige procedure vorderde [appellant] in eerste aanleg - samengevat - om bij vonnis, uitvoerbaar bij voorraad: - voor recht te verklaren dat [geïntimeerde] jegens [appellant] een onrechtmatige daad heeft gepleegd door in strijd met de privacy rechten uit de Algemene Verordening Gegevensbescherming (AVG) te hebben gehandeld;- [geïntimeerde] te veroordelen tot betaling van schadevergoeding op te maken bij staat en te vereffenen volgens de wet en,- [geïntimeerde] te veroordelen in de proceskosten. 6.4. [appellant] heeft aan zijn vordering, kort samengevat, ten grondslag gelegd dat in zijn ontslagbrief een beroep werd gedaan op stukken waarvan [appellant] vermoedde dat die afkomstig waren van zijn privé e-mailaccount. Uit het onderzoek dat [appellant] heeft laten uitvoeren is gebleken dat [geïntimeerde] zich meerdere malen, zonder toestemming van [appellant] , toegang heeft verschaft tot het privé e-mailaccount van [appellant] . [geïntimeerde] heeft daardoor op grove wijze privacy rechten van [appellant] geschonden. De schade die [appellant] heeft geleden bestaat uit onderzoekskosten, advocaatkosten, proceskosten en schade doordat gegevens zijn gedeeld met Econocom B.V. die uiteindelijk hebben geleid tot zijn ontslag op staande voet, aldus [appellant] . Ter onderbouwing van zijn stelling dat [geïntimeerde] zich meerdere malen zonder zijn toestemming toegang heeft verschaft tot zijn privé e-mailaccount, heeft [appellant] een Excel-bestand overgelegd (productie 6 bij dagvaarding eerste aanleg), dat als volgt tot stand is gekomen. Op 19 maart 2020 heeft [persoon A] van NEG IT Solutions (hierna: [persoon A] ) in opdracht van [appellant] een Audit Log aangezet in de Office 365-omgeving waar de e-mail van het privé account van [appellant] ( [e-mailadres] ) is ondergebracht. Vanaf dat moment heeft Microsoft de betreffende gegevens opgeslagen. In deze logfile zijn onder meer het IP-adres van de computer van waaraf is ingelogd en de geografische locatie van dat IP-adres op dat moment vermeld. De inhoud van deze logfile, die is gemaakt tussen 19 maart 2020 14:32 uur en 25 maart 2020 16:53 uur, heeft [persoon A] opgeslagen in een CSV-bestand en vervolgens - voor de leesbaarheid - omgezet naar een Excel-bestand. Hieruit blijkt dat in de week van 19 t/m 25 maart 2020 talloze keren is ingelogd in het privé account van [appellant] vanaf het [IP-adres 1] en de [woonplaats] van [geïntimeerde] en vanaf het [IP-adres 2] en de [locatie] van Econocom B.V. De logfile ging slechts terug tot 19 maart 2020, maar het is aannemelijk dat [geïntimeerde] ook vóór 18 maart 2020 al heeft ingelogd in de privé e-mailaccount van [geïntimeerde] om te zoeken naar belastende e-mails. Het rapport van [---] Bedrijfsrecherche B.V., die onderzoek heeft gedaan naar [appellant] in opdracht van Econocom B.V., is namelijk pas op 30 april 2020 opgeleverd, zodat conclusies daaruit redelijkerwijs niet aan het ontslag op 20 maart 2020 ten grondslag gelegd kunnen zijn, aldus [appellant] . 6.5. [geïntimeerde] heeft gemotiveerd verweer gevoerd. Daarnaast heeft [geïntimeerde] een eis in reconventie ingesteld en daarbij veroordeling gevorderd van [appellant] tot betaling van een bedrag van € 3.315,00 exclusief btw ter vergoeding van door [geïntimeerde] geleden vermogensschade, met veroordeling van [appellant] in de proceskosten. 6.6. Bij tussenvonnis van 23 september 2020 heeft de rechtbank een mondelinge behandeling bepaald. Op 18 februari 2021 heeft deze mondelinge behandeling plaats gevonden. Daarbij heeft de rechtbank met partijen gesproken over een mogelijk onderzoek door een gerechtelijk deskundige over de vraag of [geïntimeerde] wel of niet in het privé e-mailaccount van [appellant] heeft ingelogd. Partijen hebben daarbij meegedeeld dat bij een dergelijk onderzoek één deskundige volstaat en dat een deskundige van Fox-IT voor beide partijen aanvaardbaar is. 6.7. In het tussenvonnis van 24 maart 2021 heeft de rechtbank aangekondigd dat een gerechtelijk deskundige van Fox-IT benoemd zal worden en partijen in de gelegenheid gesteld zich uit te laten over de aan de deskundige voor te leggen vragen. 6.8. Bij tussenvonnis van 19 mei 2021 heeft de rechtbank een onderzoek bevolen door een deskundige voor de beantwoording van de volgende vragen: “1. Is het CSV-bestand wel of niet een download van de Audit Log in de Office 365- omgeving waar de e-mail van het privé account van [appellant] [e-mailadres] is ondergebracht en waaruit blijkt dat? 2. Is het CSV-bestand wel of niet geheel en volledig omgezet naar het overgelegde Excel-bestand van productie 6 bij dagvaarding en waaruit blijkt dat? 3. Indien u van oordeel bent dat het CSV-bestand origineel is, kunt u dan aan de hand van de betreffende (door [geïntimeerde] ter beschikking te stellen) digitale e-mailbestanden vaststellen of [geïntimeerde] de IP-adressen in [plaats] en [plaats] heeft gebruikt? 4. Welke conclusies zijn te trekken uit de (eventuele) vermelding van het IP-adres en de woonplaats van [geïntimeerde] in het CSV-bestand? Als daaruit de conclusie moet worden getrokken dat [geïntimeerde] heeft ingelogd in de privé e-mailaccount van [appellant] , welke mate van zekerheid bestaat dan daaromtrent? 5. Zijn er nog andere punten die u naar voren wilt brengen waarvan de rechter volgens u kennis dient te nemen bij de verdere beoordeling?” 6.9. Bij tussenvonnis van 27 oktober 2021 heeft de rechtbank tot deskundige benoemd: [naam] , verbonden aan Fox-IT B.V. Op 8 maart 2022 heeft deze zijn deskundigenrapport opgeleverd. Daarin komt de deskundige ter beantwoording van de eerste vraag tot de volgende conclusies: - "Deskundige heeft op basis van de verklaring van [persoon A] en op basis van de kolomnamen in het CSV-bestand opgemaakt dat het CSV-bestand een 'Sign-in log' is en niet een Unified Audit log. - Deskundige heeft op basis van de verklaring van [persoon A] en op basis van digitale sporen in het CSV-bestand opgemaakt dat het CSV-bestand een Sign-in log is van het mailaccount ' [e-mailadres] . -Deskundige stelt dat het technisch niet mogelijk was om het CSV-bestand op digitaal forensisch verantwoordelijke wijze veilig te stellen, omdat Microsoft 365 geen functionaliteit aanbiedt om een dergelijke CSV-bestand op digitaal verantwoordelijke wijze veilig te stellen. Dit betekent dat Deskundige niet kan vaststellen of het CSV-bestand na het downloaden is aangepast. -Deskundige heeft uit de verklaring van [persoon A] opgemaakt dat [persoon A] het CSV-bestand en het mailbericht heeft gedownload, maar niet in een digitaal forensische container heeft geplaatst. Hierdoor heeft [persoon A] niet een speciale procedure gevolgd die doorgaans in praktijk wordt uitgevoerd door digitaal forensische onderzoeksbureaus bij het downloaden van logbestanden van een Microsoft 365 omgeving om de kans van het onopgemerkt aanpassen van een logbestand door belanghebbenden te neutraliseren.

6.11. [appellant] heeft in hoger beroep vijf grieven aangevoerd. [appellant] heeft geconcludeerd tot vernietiging van het beroepen vonnis en opnieuw rechtdoende bij arrest zijn vorderingen alsnog toe te wijzen en [geïntimeerde] te veroordelen in de kosten van de procedure in beide instanties, vermeerderd met wettelijke rente. 6.12. [geïntimeerde] verzoekt het hof om het vonnis te bekrachtigen met veroordeling van [appellant] in de kosten in beide instanties. Omvang van het hoger beroep 6.13.

6.14. Het hof ziet aanleiding om de grieven 1 tot en met 4 gezamenlijk te behandelen. Met deze grieven betoogt [appellant] – samengevat – dat het CSV-bestand authentiek is en als bewijs kan dienen, althans dat het bewijsaanbod van [appellant] ten onrechte is gepasseerd. Ter toelichting wijst [appellant] erop dat het CSV-bestand bewijswaarde behoudt, ook als de kans bestaat dat het is aangepast. Daarnaast is de rechtbank ten onrechte voorbij gegaan aan de onderlinge samenhang van de overige bewijsmiddelen, waaronder de geografische locaties van de IP-adressen vanwaar de inbreuken plaats vonden. Dat [geïntimeerde] heeft ingelogd bij [appellant] blijkt ook uit de verklaring van Tend-IT (zie producties A t/m E en H in hoger beroep). Verder is het bewijsaanbod van [appellant] breder dan zoals opgevat door de rechtbank. Ook is het horen van getuigen niet van dezelfde waarde als schriftelijke getuigenverklaringen die al in het geding zijn gebracht. Tot slot is de rechtbank ten onrechte voorbij gegaan aan het nader onderzoek dat de gerechtelijk deskundige in de beantwoording van de overige vragen heeft voorgesteld, aldus [appellant] . 6.15. Het hof stelt het volgende voorop. Op grond van artikel 150 Rv draagt de partij die zich beroept op rechtsgevolgen van door hem gestelde feiten of rechten, de bewijslast van die feiten of rechten, tenzij uit enige bijzondere regel of uit de eisen van redelijkheid en billijkheid een andere verdeling van de bewijslast voortvloeit. Overeenkomstig de hoofdregel van artikel 150 Rv rust in het onderhavige geval de stelplicht en de bewijslast op [appellant] . Het ligt dus op de weg van [appellant] om feiten en omstandigheden aan te voeren, waaruit kan blijken dat [geïntimeerde] zonder toestemming heeft ingelogd op de privé mailaccounts van [appellant] – met andere woorden: dat sprake is van onrechtmatig handelen doordat [geïntimeerde] inbreuk heeft gemaakt op de privacy van [appellant] c.q. op de AVG. Uit de processtukken en het tijdens de mondelinge behandeling in hoger beroep verhandelde komt naar voren dat het voor [appellant] als een paal boven water staat dat [geïntimeerde] dit gedaan heeft. [appellant] heeft herhaaldelijk geponeerd dat dat de enige logische conclusie is. Mede gelet op de ernst van de beschuldigingen en de (potentieel) verstrekkende gevolgen daarvan voor [geïntimeerde] kan naar het oordeel van het hof niet licht worden aangenomen dat [geïntimeerde] zichzelf (of derden) toegang heeft verschaft tot het persoonlijke domein van [appellant] . Daarvoor dient een deugdelijke onderbouwing te bestaan, ook in de resultaten van het in deze zaak verrichte digitaal-forensisch onderzoek. Zoals hierna zal blijken, is het hof van oordeel dat dit niet het geval is. 6.16. Ter onderbouwing van zijn stelplicht wijst [appellant] met name op het CSV-bestand en de bevindingen daaromtrent van zowel [persoon A] als Tend-IT, maar dat is naar het oordeel van het hof onvoldoende mede gelet op de gemotiveerde betwisting door [geïntimeerde] en de daarbij door [geïntimeerde] aangeleverde onderbouwing, waaronder de verklaring van 26 augustus 2020 van de legal counsel van Econocom (productie 7, conclusie van antwoord). Het hof heeft zich daarbij rekenschap gegeven van de bevindingen die door de gerechtelijk deskundige zijn opgenomen in het deskundigenrapport van 8 maart 2022. Uit dat rapport valt op te maken dat gerechtelijk deskundige [naam] van Fox-IT niet kan vaststellen of het CSV-bestand na het downloaden is aangepast. De gerechtelijk deskundige heeft vastgesteld dat het CSV-bestand niet in een digitaal forensische container is geplaatst en dat [persoon A] niet een speciale procedure heeft gevolgd die doorgaans in de praktijk wordt uitgevoerd door digitaal forensische onderzoeksbureaus bij het downloaden van logbestanden van een Microsoft 365 omgeving om de kans op het ongemerkt aanpassen van een logbestand door belanghebbende te minimaliseren. Voorts heeft het hof de bevindingen van de deskundige in onderling verband en samenhang bezien (en niet alleen acht geslagen op het antwoord op de eerste vraag). In aanvulling op hetgeen hiervoor reeds uit het rapport van Fox-IT is weergegeven (zie hiervoor in rov. 6.9.), geeft het hof ook de algehele conclusie weer van de deskundige. Deze luidt als volgt: ‘De deskundige concludeert dat op basis van de aangeleverde stukken en het aangeleverde bewijsmateriaal het niet aannemelijk kan worden gemaakt dat de natuurlijke persoon de heer [geïntimeerde] heeft ingelogd op het mailaccount [e-mailadres] tussen 19 maart 2020 en 25 maart 2020’ (blz. 24 van het deskundigenbericht).’. [appellant] heeft onvoldoende aangevoerd om tot een andersluidende conclusie te kunnen komen. Het hof maakt deze conclusie tot de zijne. 6.17. Naar het oordeel van het hof komt tegen deze achtergrond aan het CSV-bestand onvoldoende waarde toe als onderbouwing van de stellingen van [appellant] , mede gelet op de gemotiveerde betwisting door [geïntimeerde] . De rechtbank heeft onder rov. 2.5. (laatste alinea) geoordeeld dat het CSV-bestand geen bewijs kan opleveren. Voor de duidelijkheid merkt het hof op dat het hof het Excel-bestand dat is gebaseerd op het CSV-bestand wel in zijn beoordeling heeft betrokken, maar dat de bevindingen en conclusies van Fox-IT zozeer afbreuk doen aan de waarde daarvan dat dit geen deugdelijke onderbouwing oplevert voor de stellingen van [appellant] . Door [appellant] is immers geen deugdelijke onderbouwing gegeven van zijn stellingen, terwijl dat wel op zijn weg had gelegen. Het hof neemt hierbij in aanmerking dat door [appellant] geen hoger beroep is ingesteld van de tussenvonnissen die aan het bestreden eindvonnis vooraf zijn gegaan en waarbij Van Dongen van Fox-IT met instemming van partijen is aangesteld als gerechtelijk deskundige en waarbij de aan hem voor te leggen vragen eveneens met instemming van partijen zijn vastgesteld. De conclusies van de gerechtelijke deskundige noch diens deskundigheid zijn bestreden. Er is niet gesteld of gebleken dat de conclusies van de gerechtelijk deskundige onjuist zijn, zodat ook het hof daarvan uitgaat aangezien deze het hof overtuigend overkomen. Ten aanzien van de beslissing van een rechter om de bevindingen van een deskundige te volgen geldt een beperkte motiveringsplicht (HR 9 januari 2011, ECLI:NL:HR:2011:BT2921 (http://zoeken.rechtspraak.nl/detailpage.aspx?ljn=BT2921)). 6.18. De bevindingen van Tend-IT (zie producties A t/m E en H in hoger beroep) werpen hier geen ander licht op gelet op de omstandigheid dat Tend-IT op pagina 1 van haar rapport heeft vermeld dat bij het door haar uitgevoerde technisch IT onderzoek als uitgangspunten gelden: “• De aan ons verstrekte informatie is correct en volledig. • De aan ons verstrekte informatie is vooraf niet gewijzigd. Mocht niet zijn voldaan aan een van de bovenstaand genoemde uitgangspunten, dan kunnen wij niet garanderen dat de door ons getrokken conclusie juist is.” Vanwege dit voorbehoud en de conclusie van de gerechtelijk deskundige omtrent de authenticiteit van het CSV-bestand, kunnen de conclusies van Tend-IT in haar rapportage niet tot een ander oordeel leiden. Tend-IT gaat daarbij namelijk uit van dezelfde aannames als die [appellant] ten grondslag legt aan zijn vorderingen. De bevindingen van Fox-IT zijn hierdoor niet weerlegd. Overigens is de deskundigheid van Tend-IT niet gebleken en [appellant] heeft hier ook geen inzicht in gegeven. Het door [appellant] in het geding gebrachte Excelbestand waarop eenzelfde IP-adres is vermeld vanwaar een e-mail is verzonden en vanwaar is ingelogd op het mailaccount van [appellant] leidt - tegen de achtergrond van het voorgaande – niet tot een andere conclusie. Hetzelfde geldt voor de door [appellant] als productie I in hoger beroep in het geding gebrachte verklaring van [persoon B] , aangezien deze verklaring niet de gestelde feiten betreft waar het in deze zaak om gaat.

6.22. De slotsom is dat het hoger beroep van [appellant] ongegrond is. Bewijslevering is niet aan de orde, zoals is uiteengezet in rov. 6.19. Het vonnis van 17 augustus 2022 dient te worden bekrachtigd voor zover aan de orde in hoger beroep. 6.23. Als de in het ongelijk gestelde partij zal [appellant] worden veroordeeld in de kosten van het hoger beroep. De kosten voor de procedure in hoger beroep aan de zijde van [geïntimeerde] zullen vastgesteld worden op: Griffierechten € 343,- Salaris advocaat € 3.035,- (2,5 punten x tarief II) Nakosten € 178,- (plus de verhoging zoals vermeld in de beslissing) + Totaal € 3.556,-. 7De uitspraak Het hof: bekrachtigt het vonnis van 17 augustus 2022 voor zover in hoger beroep aan de orde; veroordeelt [appellant] in de proceskosten in hoger beroep, en begroot deze kosten aan de zijde van [geïntimeerde] op € 3.556,-, te betalen binnen veertien dagen na aanschrijving daartoe. Als [appellant] niet tijdig aan de veroordeling voldoet en het arrest daarna wordt betekend, dan moet [appellant] € 92,- extra betalen vermeerderd met de kosten van betekening. Dit arrest is gewezen door mrs. J.P. de Haan, A.C. van Campen en C.B.M. Scholten van Aschat en in het openbaar uitgesproken door de rolraadsheer op 5 maart 2024. griffier rolraadsheer