ECLI:NL:RBMNE:2023:6988

RECHTBANK MIDDEN-NEDERLAND Civiel recht kantonrechter locatie Utrecht zaaknummer: 10394661 UC EXPL 23-1796 MJS/1546 Vonnis van 8 november 2023 inzake de besloten vennootschap [eiseres] B.V., gevestigd te [vestigingsplaats] , verder ook te noemen: [eiseres] , eisende partij, verwerende partij in reconventie, gemachtigde: mr. D.C.J. Bogerd, tegen: [gedaagde] , wonende te [woonplaats] , verder ook te noemen: [gedaagde] , gedaagde partij, eisende partij in reconventie, gemachtigde: mr. E.M. Bosscher.

1.1. Het verloop van de procedure blijkt uit: - de dagvaarding van 10 maart 2023 met 16 bijlagen; - de conclusie van antwoord tevens van eis in reconventie; - de conclusie van antwoord in reconventie met bijlagen 17 tot en met 22; - het bezwaar van de advocaat van [gedaagde] bij email van 13 juni 2023 tegen toelating van de conclusie van antwoord in reconventie; - de reactie van de advocaat van [eiseres] bij email van 14 juni 2023 op dit bezwaar; - de beslissing van de kantonrechter op het bezwaar, bij email van de griffier van de rechtbank van 15 juni 2023 aan partijen, dat er op voorhand geen reden bestaat de conclusie van antwoord in reconventie te weigeren; - de email van de advocaat van [gedaagde] van eveneens 15 juni 2023 dat zij gelet op die beslissing de bijgevoegde producties 1 t/m 4 in geding brengt; - nadien heeft de kantonrechter op het verzoek van de advocaat van [gedaagde] om verlengde spreektijd beslist dat partijen kunnen rekenen op 20 minuten spreektijd; - de zowel per email van 21 juni 2023 als per post door [eiseres] overgelegde productie 23 (strafvonnis meervoudige kamer van de rechtbank Noord-Holland van 20 juni 2023). 1.2. De mondelinge behandeling heeft plaatsgevonden op 22 juni 2023. [eiseres] werd vertegenwoordigd door [A] , directeur/bestuurder, en [B] , product manager, bijgestaan door mr. Bogerd, gemachtigde. [gedaagde] is verschenen en werd bijgestaan door mr. Bosscher, zijn gemachtigde. Aan het einde van de zitting is vonnis bepaald. Daarbij heeft de kantonrechter de gemachtigde van [gedaagde] op de mogelijkheid gewezen om binnen twee weken na de zitting aan de gemachtigde van [eiseres] en aan de kantonrechter te laten weten of tegen het strafvonnis appel is ingesteld. Bij email van 6 juli 2023 heeft de gemachtigde van [gedaagde] aan de kantonrechter en aan mr. Bogerd laten weten dat zowel het Openbaar Ministerie als [gedaagde] hoger beroep hebben ingesteld tegen het strafvonnis, zodat het strafvonnis in de civiele procedure geen dwingende bewijskracht, maar vrije bewijskracht heeft.

2.1. [eiseres] voert een onderneming die [....] . 2.2. [gedaagde] was op basis van een arbeidsovereenkomst voor [eiseres] werkzaam sedert 12 december 2018 in de functie van IT-er/helpdeskmedewerker. In deze functie bood [gedaagde] specialistische ondersteuning zoals het onderhouden van de koppelingen waarmee klanten hun gegevens kunnen benaderen in de server. [gedaagde] had voor deze werkzaamheden toegang tot de technische informatie. 2.3. [eiseres] heeft [gedaagde] op 30 april 2021 op staande voet ontslagen. [gedaagde] heeft in dat ontslag berust. De ontslagbrief van 30 april 2021 is overgelegd. Daaruit blijkt dat [eiseres] dit ontslag heeft gebaseerd op informatie die de politie heeft verstrekt. Die informatie hield in dat uit politieonderzoek is gebleken dat [gedaagde] verantwoordelijk is voor afpersing bij de [stichting] (dreiging met publicatie van vertrouwelijke (medische) gegevens wat voorkomen kon worden door een bepaald bedrag in crypto-coins te betalen). [eiseres] maakt er melding van dat er op meerdere gegevensdragers van of bij [gedaagde] certificaten van klanten, waaronder van [stichting] , zijn aangetroffen. [eiseres] schrijft dat sprake is van misbruik van dat certificaat door [gedaagde] . [gedaagde] heeft op 27 maart 2021 de gegevens naar zijn eigen gegevensdrager toegezonden en op een usb stick gezet, wat ook een datalek heeft veroorzaakt. [eiseres] legt in de brief uit dat zij het handelen van [gedaagde] aanmerkt als (ernstig) onverantwoord handelen in strijd met zijn verplichtingen als werknemer. Zij heeft dit uitgelegd en samengevat geschreven: “Kortom: je hebt je toegang verschaft tot data waar je niets te zoeken had, je had het certificaat niet zo mogen gebruiken, je hebt deze data naar je privé omgeving gekopieerd en op USB stick gezet wat uiteraard ten zeerste verboden is, je hebt ons als werkgever niets gezegd, en er bestaat de verdenking dat je deze gegevens vervolgens hebt gebruikt om [stichting] vervolgens af te persen c.q. geld / crypto-coins af te dwingen onder druk van dreigende publicatie van vertrouwelijke medische gegevens, althans een poging daartoe.” [eiseres] heeft [gedaagde] aansprakelijk gesteld voor de door haar nog vast te stellen schade. 2.4. [eiseres] heeft daarna op 9 juni 2021 aangifte gedaan bij de politie van computervredebreuk. 2.5. [stichting] is één van de grootste klanten van [eiseres] . 2.6. [stichting] heeft bij brief van haar advocaat van 4 november 2021 [eiseres] aansprakelijk gesteld voor de schade die zij stelt te hebben geleden en te zullen lijden als gevolg van de berichten die zij op 2 en 7 april 2021 had ontvangen van een onbekende afzender. In die berichten is geschreven dat de afzender in het bezit is gekomen van alle cliëntdata van [stichting] en toegang had tot haar IT systemen. De afzender maakte aanspraak op een bitcoin-betaling omdat anders de data verkocht zouden worden aan de hoogste bieder met informatie aan lokale kranten. [stichting] heeft op 14 april 2021 aangifte gedaan van afdreiging, diefstal van gegevens en computervredebreuk. Zij maakt in de brief aan [eiseres] melding van aanzienlijke gemaakte kosten voor ingeschakelde juridische bijstand en forensisch onderzoek, getroffen extra beveiligingsmaatregelen, communicatie met cliënten en andere stakeholders en interne kosten in verband met aan de zaak bestede tijd. Aan de aansprakelijkstelling van [eiseres] legt [stichting] ten grondslag dat na strafrechtelijk onderzoek een verdachte is aangehouden die werkzaam is (geweest) voor [eiseres] en onmiskenbaar misbruik heeft gemaakt van de toegang die hij uit dien hoofde had tot de (cliënt)gegevens van [stichting] . [stichting] houdt [eiseres] naast de betrokken medewerker aansprakelijk omdat zij kennelijk is tekort geschoten in haar contractuele verplichtingen als verwerker van de (cliënt)gegevens en het handelen van de medewerker in dienst van [eiseres] kwalificeert als een fout van een ondergeschikte in de zin van artikel 6:170 BW. 2.7. [eiseres] en [stichting] hebben vervolgens mede met bijstand van hun gemachtigden overleg gevoerd dat uiteindelijk heeft geleid tot het op 12 oktober 2022 sluiten van een vaststellingsovereenkomst. De kern daarvan vormt de afspraak dat [eiseres] een bedrag van € 75.000,- inclusief btw zal overmaken op een bankrekening van [stichting] en voor dat bedrag een creditnota aan [stichting] zal doen toekomen. Ter zitting is komen vast te staan dat deze creditnota alleen een vorm van administratie inhield en geen verrekening. [stichting] heeft daarmee afstand gedaan van de door haar als uitgangspunt van het overleg met [eiseres] gestelde schade van ruim € 150.000 inclusief btw. Blijkens de considerans van de vaststellingsovereenkomst is daarmee een einde gemaakt aan een verschil van inzicht tussen [eiseres] en [stichting] over de vraag of [eiseres] aansprakelijk is op de voet van artikel 6:170 BW. 2.8. [eiseres] heeft op 24 februari 2023 na daartoe verkregen verlof van de voorzieningenrechter, ten laste van [gedaagde] conservatoir (derden)beslag laten leggen. 2.9. De meervoudige strafkamer van de rechtbank Noord-Holland heeft bij op tegenspraak gewezen vonnis van 20 juni 2023 (hierna: het strafvonnis) bewezen verklaard: dat [gedaagde] op 27 maart 2021 in [plaats 1] en [plaats 2] opzettelijk en wederrechtelijk is binnen gedrongen in een server van [eiseres] (waarop de medische gegevens van patiënten van [stichting] stonden), onbevoegd gebruik makend van een toegangscertificaat (digitale sleutel) met bijbehorend wachtwoord met een ander doel dan waarvoor het certificaat en wachtwoord was verschaft en waarvoor hem de toegang tot die server was toegestaan en dat hij vervolgens een omschreven hoeveelheid opgeslagen gegevens voor zichzelf heeft overgenomen (via download en opslag op eigen gegevensdragers). dat [gedaagde] in de periode van 2 april 2021 tot en met 22 april 2021 in [plaats 1] , in elk geval in Nederland ter uitvoering van een door hem voorgenomen misdrijf om met het oogmerk zich wederrechtelijk te bevoordelen, door [stichting] te dwingen tot afgifte van bitcoins door bedreiging met openbaarmaking van een geheim: - onder de naam ‘ [naam 1] ’ meerdere berichten te sturen via het contactformulier op de website van [stichting] en via de website [website] met de inhoud (samengevat) dat hij beschikt over de gehele database met medische gegevens van [stichting] en in die berichten aan te geven dat [stichting] een of meerdere bitcoins moet betalen om te voorkomen dat die gegevens openbaar worden gemaakt en/of verkocht aan de hoogste bieder, terwijl de uitvoering van dat voorgenomen misdrijf niet is voltooid. 2.10. In de motivering van het vonnis is ingegaan op het verweer van [gedaagde] dat hij mogelijk het slachtoffer is geweest van een hack. De rechtbank heeft dat verweer verworpen omdat het strafrechtelijk onderzoek heeft uitgewezen dat er geen malware is aangetroffen op de desktopcomputer en twee telefoons van [gedaagde] en dat er verder zoveel (“overvloedig” is de gebruikte term) bewijs van betrokkenheid van [gedaagde] bij de ten laste gelegde feiten is, dat het verweer onvoldoende is onderbouwd en daarom wordt verworpen. De rechtbank heeft [gedaagde] strafbaar verklaard voor de bewezen feiten en heeft een gevangenisstraf en een taakstraf opgelegd. De vordering van [eiseres] als benadeelde partij is niet-ontvankelijk verklaard.

staat gelet op de betwisting door [gedaagde] civielrechtelijk vast dat hij zich schuldig heeft gemaakt aan het downloaden van (medische) gegevens van [stichting] en het pogen [stichting] daarmee af te persen? is [eiseres] aansprakelijk via artikel 6:170 BW voor de schade van [stichting] en staat het haar vrij daarvoor op [gedaagde] regres te nemen? is de gevorderde schadevergoeding toewijsbaar? Voldoende gesteld bij dagvaarding? 4.2. Het verweer van [gedaagde] dat de dagvaarding onvoldoende volledig is, dat niet voldaan is aan de stelplicht en [gedaagde] in zijn verdediging is benadeeld, is blijkens de toelichting gebaseerd op de stelling van [gedaagde] dat [eiseres] de kaarten tegen de borst houdt met als gevolg dat hij eerst ter zitting de (te beperkte) gelegenheid zal krijgen daarop te reageren. De kantonrechter oordeelt dat de dagvaarding voldoet aan de wettelijke eisen. Van [gedaagde] wordt in een civiel geding alleen verlangd dat hij ingaat op de gestelde grondslag(en) van de vordering van [eiseres] . Als [eiseres] beperkt is in haar onderbouwing, kan ook het antwoord beperkt blijven. Daarmee is [gedaagde] dus niet beperkt in zijn verdediging. [gedaagde] heeft volledig gelijk dat het de bedoeling van de wetgever is geweest, en de kantonrechter onderschrijft die van harte, dat het geschil voorafgaand aan de mondelinge behandeling voldoende moet zijn uiteen gezet. Als een partij de kaarten tegen de borst houdt, hoeft hij dus niet te rekenen op de mogelijkheid om ter zitting uit te pakken. De kantonrechter zal daar ook tegen waken en zo nodig zijn conclusies verbinden aan die handelwijze. In deze zaak heeft de kantonrechter echter geen reden om op die wijze corrigerend op te treden: de vordering van [eiseres] is in de kern gebaseerd op informatie die zij van de politie had gekregen. [gedaagde] heeft zich verweerd dat die informatie niet juist is en hij ook nog niet strafrechtelijk is vervolgd (ten tijde van de conclusie van antwoord van 19 april 2023). In die situatie is een echt diepgaand gesprek ook niet mogelijk en daar zou ter zitting zeker aandacht aan zijn besteed. De kantonrechter heeft geen reden aan de wijze van procesvoering van [eiseres] consequenties te verbinden. De aanvankelijk uitsluitend in reconventie verstrekte nadere informatie van [eiseres] is ter zitting besproken, ook voor de conventie, en daarvoor is voldoende tijd beschikbaar gebleken. Dat [gedaagde] in zijn verweermogelijkheden is beperkt, kan dan ook niet worden aangenomen. [gedaagde] heeft in de periode tussen 19 april 2023 en 6 juni 2023 (de datum van de terechtzitting in zijn strafzaak) kennis genomen, althans is het tegendeel gesteld noch gebleken, van het strafdossier en hij heeft – zoals ter zitting is besproken – deskundige bijstand gehad van een advocaat in de strafzaak. [eiseres] heeft zich in die strafzaak als civiele partij gesteld dus beide partijen zijn van alle aspecten in de strafzaak op de hoogte. [gedaagde] moet daarmee in staat geacht worden in deze civiele zaak zijn verweer vorm te geven. Dat dit anders is, is uiteindelijk ook niet gesteld of gebleken. I): staat voldoende vast dat [gedaagde] zich schuldig heeft gemaakt aan het downloaden van (medische) gegevens van [stichting] en het pogen [stichting] daarmee af te persen? Het strafvonnis van 20 juni 2023 4.3. De vordering van [eiseres] op [gedaagde] is evident gebaseerd op hetgeen in de strafprocedure aan informatie beschikbaar is gekomen. Het strafvonnis van 20 juni 2023 vormt dus een belangrijke basis voor de vordering van [eiseres] en tegelijk voor de beoordeling van het verweer van [gedaagde] . Een aandachtspunt voor de kantonrechter is dat het strafvonnis van 20 juni 2023 uiterst kort voor de mondelinge behandeling in deze zaak (op 21 juni 2023) beschikbaar is gekomen. Geen van partijen heeft daar echter een punt van gemaakt en dat heeft ongetwijfeld te maken met het feit dat zij (anders dan de kantonrechter) al eerder bekend waren met het strafdossier. De kantonrechter zal dit vonnis dan ook in zijn beoordeling betrekken. De grondslag van de vordering van [eiseres] 4.4. De conclusie die de kantonrechter trekt is dat [eiseres] aan haar vordering op [gedaagde] concreet ten grondslag legt dat blijkens de uit het strafrechtelijk onderzoek gebleken feiten sprake is van een ernstig tekortschieten van [gedaagde] in zijn verplichtingen als werknemer van [eiseres] omdat [gedaagde] met gebruikmaking van aan hem als werknemer ter beschikking gestelde certificaten en een wachtwoord de via systemen van [eiseres] beschikbare gegevens van [stichting] zonder medeweten van [eiseres] en dus zonder haar toestemming op eigen gegevensdragers heeft gedownload, terwijl dit niet behoort tot zijn overeengekomen werkzaamheden. Het is daar niet bij gebleven, want [eiseres] verwijt [gedaagde] dat hij vervolgens heeft geprobeerd via afpersing [stichting] te bewegen tot betalen in de vorm van bitcoins. Dit is uiteraard een zeer ernstig verwijt dat, indien juist leidt tot schadeplichtigheid van [gedaagde] . 4.5. [gedaagde] bestrijdt echter dat hij zich schuldig heeft gemaakt aan het downloaden van gegevens van [stichting] op eigen gegevensdragers en de gestelde afpersing. De betekenis van het strafvonnis 4.6. Op grond van artikel 161 Rv levert een in kracht van gewijsde gegaan, op tegenspraak gewezen, vonnis dwingend bewijs op van door de Nederlandse strafrechter bewezen verklaarde feiten die iemand heeft begaan. Tijdens de mondelinge behandeling stond tegen het strafvonnis van 20 juni 2023 nog de mogelijkheid van hoger beroep open. [gedaagde] heeft tijdens de zitting verklaard dat hij nog nadenkt over hoger beroep. De kantonrechter heeft daarom ter zitting met partijen afgesproken dat zij na afloop van de appeltermijn de kantonrechter over een eventueel ingesteld hoger beroep mogen informeren. [gedaagde] heeft daarna laten weten dat tegen het strafvonnis appel is ingesteld. Dit betekent dat er nog geen sprake is van een in kracht van gewijsde gegaan strafvonnis, zodat het strafvonnis voor de beoordeling in deze civiele zaak geen dwingende, maar vrije bewijskracht heeft. 4.7. Uitgaande van deze vrije bewijskracht heeft te gelden dat het strafvonnis een serieus te nemen bewijsmiddel is. De in dat vonnis na strafrechtelijk onderzoek door de meervoudige kamer vastgestelde feiten, waarvan evident is dat deze door [eiseres] aan haar vordering ten grondslag zijn gelegd, zal de kantonrechter voor juist houden indien deze niet voldoende onderbouwd door [gedaagde] in deze procedure worden bestreden. Anders gezegd: [eiseres] heeft aan haar stelplicht voldaan en de aandacht gaat uit naar het verweer van [gedaagde] . Downlaad 27 maart 2021 4.8. In het strafvonnis is overwogen dat na onderzoek is gebleken dat op 27 maart 2021 een dataoverdracht heeft plaatsgevonden van de server van [eiseres] via een IP-adres dat door [gedaagde] gebruikt bleek te zijn. Verder is overwogen dat die gegevens beveiligd waren met een certificaat waarover [gedaagde] beschikte. Dit heeft geleid tot nader onderzoek naar [gedaagde] , onder meer door een huiszoeking in zijn woning op 22 april 2021. Bij die gelegenheid is in zijn woning een USB-stick aangetroffen met daarop datasets die omstreeks het tijdstip van de download op een telefoon (Microsoft Lumia) van [gedaagde] zijn beland. Op die USB-stick stonden ook het voor toegang tot de server van [eiseres] benodigde certificaat en bijbehorende wachtwoord. Dit alles is in dit geding niet door [gedaagde] bestreden.

De kantonrechter: in conventie: 5.1. veroordeelt [gedaagde] om aan [eiseres] een schadevergoeding te betalen van € 64.795,28, vermeerderd met de wettelijke rente hierover vanaf 10 maart 2023 tot de voldoening; 5.2. veroordeelt [gedaagde] om aan [gedaagde] de beslagkosten te betalen van € ‬2.680,81. in reconventie: 5.3. wijst de vordering af; in conventie en in reconventie: 5.4. veroordeelt [gedaagde] tot betaling van de proceskosten aan de zijde van [eiseres] , tot de uitspraak van dit vonnis begroot op € 2.803,70, waarin begrepen € 1.985,00 aan salaris gemachtigde; 5.5. verklaart dit vonnis uitvoerbaar bij voorraad 5.6. wijst het meer of anders gevorderde af. Dit vonnis is gewezen door mr. M.J. Slootweg, kantonrechter, en is in het openbaar uitgesproken op 8 november 2023.

Ook volgt uit de stellingen van [eiseres] dat het niet tot de taak van [gedaagde] hoorde om bestanden te downloaden en op te slaan op eigen gegevensdragers; het tegendeel is ook niet door [gedaagde] gesteld. Dat het opslaan van een certificaat en wachtwoord op een afzonderlijke privé gegevensdrager (zoals een USB-stick) als onderdeel van de normale werkzaamheden kan worden beschouwd is evenmin door [gedaagde] gesteld. 4.8.1. De door [gedaagde] ter gelegenheid van de mondelinge behandeling gegeven toelichting (zie onder meer randnummers 16 tot en met 20 van de pleitaantekeningen en de antwoorden op de vragen van de kantonrechter) geeft geen verklaring voor het feit dat de betreffende bestanden op een usb-stick van [gedaagde] terecht zijn gekomen. De veronderstelling van [gedaagde] ter zitting dat derden op zijn thuis netwerk (wifi) hebben ingebroken omdat hij een gemakkelijk te raden (maar verder wel encrypted) wifinetwerk heeft, geeft zonder toelichting – die ontbreekt – geen enkele verklaring voor het feit dat het bestand, het certificaat en het bijbehorende wachtwoord op een usb stick terecht zijn gekomen (en tegelijk ook op zijn Microsoft Lumia telefoon), die in zijn woning lag. Een usb stick pleegt immers niet verbonden te zijn met een netwerk. Bovendien vraagt het veel meer toelichting dan geboden als [gedaagde] heeft willen betogen dat op het toevallige moment dat de usb stick met computer of telefoon verbonden was de download (zonder dat hij daar erg in had) plaatsvond én naar zijn telefoon én naar de usb stick. Tot slot is dit verweer niet meer dan gissen. Omstandigheden die op een dergelijke inbreuk wijzen (zoals een vreemd MAC-adres in de netwerk router; of in die tijd genoteerde andere afwijkingen in het internet gebruik) zijn niet gesteld. Het gissen wordt al helemaal onaannemelijk als de kantonrechter probeert zich een voorstelling te maken van het belang dat een buitenstaander kan hebben bij het downloaden van gegevens op gegevensdragers van [gedaagde] in plaats van op eigen gegevensdragers. De kantonrechter hanteert het uitgangspunt dat onaannemelijke zaken wel waar kunnen zijn, maar dat een onaannemelijk scenario wel voldoende onderbouwd moet zijn. Daarvan is hier geen sprake. Daarbij komt tot slot dat op bladzijde 3 van het strafvonnis is te lezen dat een dataoverdracht van gegevens uit de server van [eiseres] op 27 maart 2021 heeft plaatsgevonden via IP-adres [IP-adres] , dat gebruikt bleek te zijn door [gedaagde] en dat blijkens de bij het strafvonnis genoemde bewijsmiddelen, bladzijde 13 van het strafvonnis, in gebruik is bij KPN Mobile. Dat het wifi netwerk van [gedaagde] toegang tot het internet heeft via een mobiele verbinding is zozeer uitzondering op de regel (namelijk dat een dergelijke toegang via een vast netwerk wordt verzorgd) dat het op de weg van [gedaagde] had gelegen dit te stellen. Dat is niet gebeurd. Dit leidt de kantonrechter tot de conclusie dat op 27 maart 2021 op het voor de mobiele telefoon aan [gedaagde] toegekende IP-adres is gedownload, dus geheel buiten het wifi netwerk om. 4.8.2. [gedaagde] heeft ter zitting (aantekeningen advocaat nr.16) nog aangevoerd dat op zijn in beslag genomen telefoon blijkens het verbruiksoverzicht van provider Simpel geen data verkeer op die telefoon is geweest. Simpel en KPN zijn echter verschillende providers, zoals [gedaagde] ook zelf aangeeft in de aantekeningen van zijn advocaat onder nr. 9. Dit betekent dat het dataverkeer via provider KPN kan zijn gelopen. Dat sluit aan op de vaststelling hiervoor dat het gebruikte IP adres is toegekend door KPN Mobile. Aan het overzicht van Simpel komt op dit onderdeel dus geen betekenis toe. 4.8.3. De slotsom is dat de kantonrechter geen enkele reden heeft te twijfelen aan het oordeel van de strafrechter dat de download van de gegevens van [stichting] op 27 maart 2021 vanaf de server van [eiseres] naar de gegevensdragers van [gedaagde] door [gedaagde] zelf is uitgevoerd. De afpersingsberichten 4.9. In het strafvonnis is te lezen dat onder de namen ‘ [naam 1] ’ en ‘ [naam 2] ’ in de periode van 2 april 2021 tot 22 april 2021 zeven dreigberichten naar [stichting] zijn gestuurd. Dit gebeurde via het contactformulier op de website van [stichting] en per e-mail. Het vonnis maakt er onder meer melding van dat op de bij [gedaagde] aangetroffen gegevensdragers (de eerder genoemde USB stick, de desktop computer en de Microsoft Lumia telefoon) tekstdocumenten zijn aangetroffen met een vergelijkbare inhoud als de aan [stichting] verstuurde dreigberichten. Bij onderzoek van de desktop computer van [gedaagde] is bovendien gebleken dat [gedaagde] de beschikking had over de privé sleutel voor de toegang tot het bitcoin adres dat op de eerste alinea van bladzijde 4 van het strafvonnis voluit is geschreven en dat genoemd werd in de dreigberichten. 4.10. Van belang acht de kantonrechter verder het volgende. In de bij het vonnis gevoegde bijlage bewijsmiddelen, blz. 27, is te lezen dat uit de logfiles van de webservers van [stichting] blijkt dat het contactformulier van [stichting] is bezocht door “een applicatie die zich identificeert als een Microsoft Lumia 950 XL” telefoon. De kantonrechter stelt vast dat dit type telefoon op 22 april 2021 in de woning van [gedaagde] is aangetroffen. In de browsergeschiedenis van die telefoon is (blijkens nr. 2.7.4 van de bewijsmiddelen) op 21 april 2021 de pagina met het contactformulier van [stichting] terug te vinden. Er is vastgesteld dat die pagina is bezocht om 22.55 uur omstreeks het moment dat het dreigbericht is verstuurd (22.54 uur, voor dit verschil is een verklaring gegeven). Dit bericht wordt verder aangeduid als brief 6. Op bladzijde 29 van de bewijsmiddelen is te lezen dat de Lumia-telefoon van [gedaagde] uitsluitend gebruik heeft gemaakt van een wifi netwerk “ [.] ” en dat is het hotspot (wifi-)adres dat is aangetroffen op een andere bij [gedaagde] aangetroffen telefoon, een Samsung S20. Met die telefoon (geïdentificeerd via het IMEI nummer) is via KPN mobiele data de internet verbinding opgezet voor het afleveren van het dreigbericht. Dit alles levert overtuigend bewijs op dat het [gedaagde] is geweest die het dreigbericht heeft gestuurd. 4.10.1. Ter zitting heeft [gedaagde] doen betogen dat “uit bladzijde 107 van het strafdossier is gebleken dat providers Simpel en KPN op 2 april 2021 geen dataverbruik hebben geregistreerd”. Volgens blz. 22 van het strafvonnis heeft [stichting] op 2 april 2021 de eerste dreigbrief (‘brief 1’) ontvangen van een onbekende afzender. Als er op de gegevensdragers van [gedaagde] toen geen dataverbruik is geweest, zou dat inderdaad vragen oproepen die afbreuk doen aan het bewijs. Evenwel kan de kantonrechter in het als productie 18 door [eiseres] overgelegde strafdossier op bladzijde 107 de gestelde mededeling niet lezen. Die bladzijde is onderdeel van de weergave van het onderzoek naar activiteiten op een desktop computer en gaat dus helemaal niet over het KPN mobiel verbruik op het moment van ontvangen van de dreigbrieven door [stichting] . De Lumia telefoon wordt wel genoemd: die was kennelijk verbonden met de desktop computer, maar was op 21 april 2021 om 22:50:36 daarvan los gekoppeld, kort voor brief 6 en 7, die door [stichting] zijn ontvangen om 22.54 uur en om 22.56 uur . Dit zegt dus niets over het verbruik van de KPN mobiele verbinding. Dat de Lumia is losgekoppeld van de desktop computer is verder niet relevant: dat was nog een vijftal minuten voor de verzending van twee dreigberichten en die zijn via de mobiele verbinding van de middels een hotspot verbonden Samsung telefoon tot stand gekomen. 4.10.2. [gedaagde] heeft verder betoogd dat het niet mogelijk is dat zijn telefoon de dreigbrief heeft verstuurd omdat uit bladzijde 76-78 van het strafdossier volgt dat die bestanden niet zijn geopend.

[gedaagde] verwijst naar zijn nagezonden productie 4 die echter voor de kantonrechter grotendeels onleesbaar is. Voor zover er wel iets op te onderscheiden is lijkt het te gaan om dezelfde tekst van bladzijdes 75 tot en met 78 van het door [eiseres] overgelegde strafdossier, een verslag van onderzoek aan de Microsoft Lumia 950 XL. De kantonrechter stelt vast dat op blz. 76 en 77 van dat dossier een lijst met tekstbestanden (*.txt) en json bestanden (*.json) is vermeld met bij elk bestand een “modified” datum. Die data liggen tussen 27 maart 2021 en 21 april 2021. Nu elk van die bestanden een modified-datum vermelding hebben, is niet te begrijpen wat [gedaagde] op dit onderdeel heeft willen betogen. Dat moet voor zijn rekening blijven. Dit verweer treft derhalve ook geen doel. 4.11. De kantonrechter concludeert dat [gedaagde] in deze procedure onvoldoende heeft gesteld tegenover de vaststellingen in het strafvonnis en de als bijlage daarbij gevoegde informatie. Dat had wel op zijn weg gelegen. De kantonrechter ziet dan ook geen grond om tot een ander oordeel te komen dan de strafrechter. Onder verwijzing naar het strafvonnis heeft [eiseres] voldoende onderbouwd dat [gedaagde] tijdens het dienstverband uit het systeem van [eiseres] informatie heeft gestolen en heeft gepoogd [stichting] daarmee af te persen. II: Is [eiseres] aansprakelijk via artikel 6:170 BW voor de schade van [stichting] en staat het haar vrij daarvoor op [gedaagde] regres te nemen? 4.12. Ter zitting heeft [eiseres] bevestigt dat zij haar vordering op [gedaagde] niet baseert op artikel 6:170 BW, maar dat zij door [stichting] op grond van dit artikel is aangesproken om schade te vergoeden en heeft ingeschat dat er een reële kans was dat zij na een procedure door [stichting] gehouden zou worden de schade te vergoeden. [eiseres] heeft door de schikking met [stichting] geprobeerd de schade te beperken. 4.13. [gedaagde] voert als verweer dat niet is voldaan aan alle vereisten voor aansprakelijkheid van [eiseres] op grond van artikel 6:170 BW waardoor [eiseres] geen regres op hem kan nemen. Volgens [gedaagde] heeft hij namelijk geen fout gemaakt en is er geen sprake van opzet of bewuste roekeloosheid. Verder lijkt [gedaagde] zich op het standpunt te stellen dat er geen functioneel verband is tussen de gemaakte fout en de opgedragen werkzaamheden. 4.14. De kantonrechter volgt [gedaagde] hierin niet. 4.15. Op grond van artikel 6:170 BW is degene in wiens dienst de ondergeschikte zijn taak vervult aansprakelijk voor schade aan een derde toegebracht door een fout van de ondergeschikte, indien de kans op de fout door de opdracht tot het verrichten van deze taak is vergroot en degene in wiens dienst hij stond, uit hoofde van hun desbetreffende rechtsbetrekking zeggenschap had over de gedragingen waarin de fout was gelegen. 4.16. Nu [gedaagde] gegevens van [stichting] op eigen gegevensdragers heeft gedownload en [stichting] tijdens de arbeidsovereenkomst daarmee heeft afgeperst, heeft hij een fout gemaakt. [gedaagde] betwist dat sprake is geweest van opzet, maar gelet op de aard van zijn handelen, downloaden en afpersen, is duidelijk dat [gedaagde] de fout opzettelijk heeft gemaakt. De hiermee toegebrachte schade, is daarom een gevolg van opzet. Voor zover [gedaagde] stelt dat een functioneel verband tussen de hem opgedragen werkzaamheden en de door hem gemaakte fout ontbreekt, overweegt de kantonrechter het volgende. 4.17. Aan de kwalitatieve werkgeversaansprakelijkheid op grond van artikel 6:170 BW ligt het beginsel van slachtofferbescherming ten grondslag, waardoor dit artikel zeer ruim moet worden uitgelegd. Hoofdregel is dat de werkgever aansprakelijk is indien de ‘kans op de fout door de opdracht is vergroot’. [gedaagde] had vanuit zijn functie als IT-medewerker toegang tot certificaten en wachtwoorden en moest onder meer koppelingen onderhouden waarmee klanten van [eiseres] gegevens van de server konden raadplegen. [eiseres] gaf [gedaagde] voor het verrichten van zijn taken dus toegang tot vertrouwelijke gegevens, waardoor het voor [gedaagde] mogelijk was deze zonder toestemming te downloaden op eigen gegevensdragers. Aan het vereiste dat ‘de kans op de fout door de opdracht is vergroot’, is daardoor al voldaan. Verder is voor werkgeversaanprakelijkheid vereist dat de werkgever ‘zeggenschap had over de gedragingen waarin de fout is gelegen’. [gedaagde] beschikte over middelen van [eiseres] , een certificaat en een bijbehorend wachtwoord, om toegang te krijgen tot gegevens van [stichting] . Daaruit volgt al dat [eiseres] zeggenschap had over de gedragingen van [gedaagde] waarin de fout is gelegen. De omstandigheid dat de gegevens van [stichting] bij [gedaagde] thuis op zijn gegevensdragers zijn aangetroffen en dat hij deze gegevens niet onder werktijd heeft gedownload, doet daar niet aan af. [gedaagde] beschikte namelijk over inlogcodes van [eiseres] om (gedeeltelijk) thuis te werken waardoor hij thuis en buiten werktijd ook toegang had tot de gestolen gegevens van [stichting] . Gelet op het voorgaande komt de kantonrechter tot de conclusie dat [eiseres] wel degelijk op grond van artikel 6:170 BW aansprakelijk kan worden gehouden voor de schade als gevolg van de fout van [gedaagde] . 4.18. [gedaagde] heeft ontkend dat hij zich niet als goed werknemer heeft gedragen en/of onrechtmatig heeft gehandeld. Uit de hiervoor vermelde conclusies van de kantonrechter dat [gedaagde] gegevens van [stichting] heeft gedownload op eigen gegevensdragers en heeft gepoogd [stichting] daarmee af te persen, volgt echter dat [gedaagde] jegens [eiseres] zijn verplichting om zich te gedragen als goed werknemer heeft geschonden en onrechtmatig heeft gehandeld. 4.19. [eiseres] stelt zich op het standpunt dat [gedaagde] aansprakelijk is voor haar schade omdat [gedaagde] zich niet als goed werknemer heeft gedragen. De kantonrechter is van oordeel dat dat op zichzelf niet voldoende is voor aansprakelijkheid van een werknemer voor door hem toegebrachte schade. [eiseres] ziet namelijk over het hoofd dat deze aansprakelijkheid er alleen kan zijn als er opzet of bewuste roekeloosheid is, wat volgt uit artikel 7:661 lid 1, eerste volzin, BW. Op grond van deze bepaling is de werknemer die bij de uitvoering van de overeenkomst schade toebrengt aan de werkgever of een derde jegens wie de werkgever tot vergoeding van die schade is gehouden, niet jegens de werkgever aansprakelijk, tenzij de schade een gevolg is van zijn opzet of bewuste roekeloosheid. De kantonrechter heeft hiervoor onder punt 4.16 al geoordeeld dat [gedaagde] opzettelijk heeft gehandeld. Dit betekent dat [gedaagde] jegens [eiseres] aansprakelijk kan worden gehouden voor de schade die hij heeft toegebracht aan [eiseres] of aan [stichting] , in afwijking van het uitgangspunt als bedoeld in artikel 7:661 BW. 4.20. De kantonrechter komt daarom tot de conclusie dat [eiseres] regres kan nemen op [gedaagde] voor de schade die hij bij de uitvoering van de arbeidsovereenkomst heeft toegebracht aan [eiseres] en aan [stichting] . III): Is de gevorderde schadevergoeding toewijsbaar? 4.21. [gedaagde] betwist de (hoogte van de) door [eiseres] gestelde schade en dat de door [stichting] en [eiseres] gemaakte kosten redelijk zijn. 4.22. [eiseres] baseert haar schade op de oorspronkelijke claim van [stichting] van € 154.939,23 die zij heeft weten terug te brengen tot een betaling van € 61.983,47 ex btw. Ter onderbouwing van de claim van [stichting] verwijst [eiseres] naar productie 7, een excel-overzicht waarin [stichting] haar kosten specificeert met facturen aan [stichting] . [gedaagde] stelt dat hierop een toelichting in de dagvaarding ontbreekt. De kantonrechter overweegt hierover het volgende.

[eiseres] heeft in de dagvaarding toegelicht dat [stichting] na ontvangst van de dreigberichten hiernaar onderzoek heeft laten doen, zowel door externe partijen als door haar interne ICT-afdeling, beveiligingsmaatregelen heeft getroffen, communicatie heeft voorbereid voor haar cliënten en juridische bijstand heeft ingeschakeld. Uit de facturen aan [stichting] , achter productie 7, blijkt dat deze betrekking hebben op advocaatkosten, ICT-producten van [onderneming 1] en onderzoeks- en advieskosten van [onderneming 2] . Uit de factuur van [onderneming 1] van 9 april 2021 blijkt niet precies waarvoor kosten zijn gemaakt, wel is duidelijk dat het gaat om producten voor de ICT-afdeling. Uit de omschrijving op de facturen van [onderneming 2] blijkt alleen dat deze zien op ‘onderzoek en advisering’. Voor de onderbouwing van de kosten voor [onderneming 2] , is het niet nodig dat het rapport van [onderneming 2] wordt overgelegd, zoals [gedaagde] stelt. [gedaagde] betwist niet dat [onderneming 2] is ingeschakeld en dat daarvoor kosten gemaakt moeten worden. Op het excel-overzicht heeft [stichting] ook een schatting gemaakt van de personeelskosten voor de tijd die haar medewerkers hebben gewerkt aan het onderzoek naar de oorzaak en beperking van de gevolgen van de afpersing. Wat er over de hoogte van de kosten aan twijfel kan bestaan is er wel uitgehaald, want uiteindelijk heeft [eiseres] met [stichting] afgesproken maar € 75.000,- inclusief btw te betalen. Het excel-overzicht met bijlagen (productie 7) geeft voor dit bedrag voldoende aanknopingspunten. [eiseres] heeft de hoogte van de door haar gestelde schade van € 61.983,47 (het bedrag dat zij met aftrek van btw uiteindelijk aan [stichting] heeft betaald), dan ook voldoende onderbouwd. Het lag op de weg van [gedaagde] om duidelijk te maken waarom dit schadebedrag te hoog is. De door [eiseres] betaalde schadevergoeding van € 61.983,47 is daarom toewijsbaar. 4.23. [eiseres] vordert verder € 2.292,40 aan juridische kosten ter vaststelling van de schade en ter beperking daarvan en stelt dat deze kosten, die zien op het verweer tegen de werkgeversaansprakelijkheid, niet door haar verzekering wordt gedekt. De kantonrechter vindt deze kosten redelijk omdat [eiseres] verweer moest voeren tegen [stichting] over haar aansprakelijkheid als werkgever. [gedaagde] stelt dat [eiseres] voor deze schade mogelijk is verzekerd en vergoed zal hebben gekregen. [eiseres] heeft vervolgens gewezen op een e-mail van haar verzekeraar (productie 19) waaruit blijkt dat ‘de onderhavige polis voor de kosten voor werkgeversaansprakelijkheid geen dekking biedt’. [gedaagde] heeft hierop niet meer gereageerd. De kantonrechter vindt de mededeling in deze e-mail dan ook voldoende om aan te nemen dat de kosten voor werkgeversaansprakelijkheid niet verzekerd zijn. De gevorderde juridische kosten voor werkgeversaansprakelijkheid van € 2.292,40 zijn daarom toewijsbaar. 4.24. [eiseres] vordert ook € 519,41 ex btw voor advieskosten rondom het ontslag van [gedaagde] . De kantonrechter is van oordeel dat deze advieskosten redelijk zijn omdat het ontslag noodzakelijk was om te voorkomen dat [gedaagde] als werknemer van [eiseres] nog meer schade zou kunnen toebrengen. De hoogte van deze kosten wordt door [gedaagde] niet betwist, zodat het bedrag van € 519,41 toewijsbaar is. 4.25. In totaal is het door [eiseres] gevorderde schadebedrag van € 64.795,28 (bestaande uit € 61.983,47 + € 2.292,40 + € 519,41), volledig toewijsbaar. [gedaagde] heeft een beroep gedaan op matiging van de schadevergoeding omdat toekenning van de volledige schadevergoeding tot kennelijk onaanvaardbare gevolgen zou leiden. Hij wijst erop dat hij vader is van een jong kind en geen geld heeft, waardoor hij de vordering onmogelijk kan voldoen. [eiseres] betwist dat dit omstandigheden zijn die maken dat het naar maatstaven van redelijkheid en billijkheid onaanvaardbaar is om [gedaagde] aan de schadevergoeding te houden. De kantonrechter is van oordeel dat het beroep op matiging niet slaagt. [gedaagde] heeft niet onderbouwd dat hij geen geld heeft om de schadevergoeding te betalen. Van belang is dat de schade van [eiseres] is ontstaan door opzettelijk handelen van [gedaagde] om zichzelf financieel voordeel te verschaffen, waarvoor hij is veroordeeld door de strafrechter. Niet gezegd kan worden dat in deze omstandigheden toewijzing van de volledige schadevergoeding kennelijk leidt tot voor [gedaagde] onaanvaardbare gevolgen. De kantonrechter zal daarom de gevorderde schadevergoeding van € 64.795,28 volledig toewijzen. De hierover gevorderde wettelijke rente zal worden toegewezen vanaf de datum van dagvaarding, 10 maart 2023. Beslagkosten 4.26. Artikel 706 Rv bepaalt dat de kosten van het beslag van de beslagene kunnen worden teruggevorderd, tenzij het beslag nietig, onnodig of onrechtmatig was. [gedaagde] heeft in conventie geen verweer gevoerd tegen deze vordering. De rechtbank wijst de beslagkosten toe. De toewijsbare beslagkosten bestaan uit € 676,00 aan griffierecht (voor het verzoekschrift), € 1.210,81 aan kosten van (over)betekening van de beslagexploten door de deurwaarder en € 794,00 aan salaris voor de advocaat (1 punt). Dat is in totaal € ‬2.680,81. in reconventie: 4.27. De vordering in reconventie behoeft geen bespreking omdat deze is gebaseerd op afwijzing van de vordering in conventie. Nu de vordering in conventie wordt toegewezen, zal de kantonrechter de vordering in reconventie afwijzen. Proceskosten in conventie en in reconventie: 4.28. [gedaagde] zal als de in het ongelijk gestelde partij in de proceskosten worden veroordeeld. Bij de hoogte van het griffierecht voor deze procedure is rekening gehouden met het griffierecht voor het beslagrekest, dat daarop al in mindering is gebracht. Bij het salaris gemachtigde gaat de kantonrechter uit van twee punten voor de eis in conventie (dagvaarding en zitting, beide 1 punt) en een half punt voor het antwoord in reconventie omdat dit antwoord voortvloeit uit het verweer in conventie. De kosten aan de zijde van [eiseres] worden begroot op: - dagvaarding € 110,70 - griffierecht € 708,00 - salaris gemachtigde € 1.985,00 (2,5 punt x tarief € 794,00) Totaal € 2.803,70