Computervredebreuk: ongeoorloofde toegang laten beoordelen

Wat artikel 138ab precies vraagt

Artikel 138ab van het Wetboek van Strafrecht ziet op het opzettelijk en wederrechtelijk binnendringen in een geautomatiseerd werk of een deel daarvan. De bepaling noemt verschillende manieren waarop toegang kan worden verworven, waaronder het doorbreken van beveiliging, een technische ingreep en gebruik van een valse sleutel. Voor de verdediging telt welk gedrag werkelijk ten laste wordt gelegd. De algemene aanduiding hacken is te vaag om te bepalen wat het OM moet bewijzen en op welk onderdeel een concrete reactie nodig is.

Maak onderscheid tussen toegang krijgen, gegevens bekijken, gegevens overnemen en gegevens verder verspreiden. Die handelingen kunnen juridisch verschillende betekenis hebben en de tenlastelegging kan meer dan één feit bevatten. Een uitleg over alleen het wachtwoord laat mogelijke vervolgverwijten onbesproken. Vraag de advocaat daarom welke onderdelen van het dossier welk bestanddeel zouden ondersteunen. Zo wordt duidelijk of de discussie gaat over de identiteit van de gebruiker, de omvang van de toestemming, de manier van binnendringen of handelingen die na de toegang zouden zijn uitgevoerd.

Een machtiging heeft grenzen in tijd en functie

Toestemming kan zijn gekoppeld aan een werkopdracht, een bepaald systeemdeel, een beperkte periode of specifieke gegevens. Een beheerder die ooit een account aanmaakte, heeft daarmee niet noodzakelijk toestemming gegeven voor ieder later doel. Onderzoek de oorspronkelijke opdracht en wijzigingen daarin. Een schriftelijk toegangsbeleid kan relevant zijn, maar ook feitelijke afspraken en communicatie over het einde van een samenwerking. Behandel onduidelijke toestemming als een onderzoeksvraag. Vul de leemte niet automatisch in met de gewenste conclusie dat technisch kunnen gelijkstaat aan juridisch mogen.

Andersom maakt een algemene klacht over ongewenst gebruik niet zonder meer ieder eerder contact strafbaar. Het OM moet de relevante gedraging en vereiste omstandigheden bewijzen. Daarom moet duidelijk blijven welk moment en welk systeemonderdeel worden besproken. Een werknemer kan op een dag nog een beperkte taak hebben gehad terwijl toegang tot andere gegevens buiten die taak viel. Maak een tijdlijn met opdrachten, intrekkingen, rolwijzigingen en de concrete handelingen. De beoordeling wordt nauwkeuriger wanneer brede uitspraken over bevoegdheid worden vertaald naar die afzonderlijke momenten.

Een oud account vormde in een echte zaak geen vrijbrief

De Hoge Raad behandelde in ECLI:NL:HR:2023:610 een zaak over een voormalige boekhouder en toegang tot een bedrijfsserver. De verdachte verzamelde informatie voor de ontslagprocedure van een voormalige werknemer. De Hoge Raad aanvaardde het oordeel over wederrechtelijk binnendringen met een valse sleutel, gelet op de vastgestelde omstandigheden en de onmiskenbare wil van de rechthebbende. Dat de verdachte mogelijk nog andere rechtmatige boekhoudkundige werkzaamheden had verricht, maakte de specifieke toegang voor dat andere doel niet vanzelf geoorloofd.

Lees ook de rest van de beslissing: het cassatieberoep leidde tot strafvermindering vanwege de redelijke termijn, niet tot het verdwijnen van die beoordeling van de toegang. Het arrest is evenmin een regel dat iedere overtreding van een interne werkinstructie automatisch computervredebreuk oplevert. Onze gevolgtrekking is beperkter: oude toegangsgegevens en resterende opdrachten moeten worden gekoppeld aan de concrete toegang waarover de zaak gaat. Wie alleen zegt dat zijn account nooit is afgesloten, laat het belangrijkste juridische onderzoek naar toestemming en wederrechtelijkheid mogelijk liggen.

Een accountnaam is het begin van onderzoek

Een logregel kan laten zien dat een account is gebruikt, maar de stap naar een bepaalde persoon vraagt context. Was het account persoonlijk, gedeeld of gekoppeld aan een automatisch proces? Welke apparaten waren in gebruik en op welke wijze is de registratie veiliggesteld? Een IP-adres kan richting geven, maar vertelt op zichzelf niet ieder detail over de gebruiker achter een verbinding. Laat een deskundige uitleggen wat de aanwezige gegevens wel ondersteunen en welke aanvullende informatie nodig is voordat een stellige conclusie wordt getrokken.

Een alternatief scenario moet concreet genoeg zijn om te onderzoeken. Een algemene opmerking dat ieder systeem gehackt kan worden, helpt weinig zonder aansluiting op dit dossier. Tegelijk hoeft een verdachte geen verzonnen verklaring te produceren voor ieder technisch onbekend punt. Noteer welke personen daadwerkelijk toegang hadden, welke afspraken daarover bestonden en welke documenten dat kunnen bevestigen. Laat vragen over registratie of gedeeld gebruik via de advocaat stellen. Zelf anderen benaderen om een gezamenlijk verhaal af te spreken, kan juist het zicht op oorspronkelijke herinneringen en onafhankelijke informatie verstoren.

Tijd, volledigheid en betekenis verdienen afzonderlijke controle

Digitale tijdstempels kunnen verschillende tijdzones, zomertijd of systeeminstellingen weerspiegelen. Ook kan een registratie een sessiestart, bestandsoverdracht of achtergrondactiviteit beschrijven zonder dat die begrippen gelijkwaardig zijn. Vraag welke gebeurtenis de gebruikte regel registreert en of de uitleg uit documentatie of onderzoek volgt. Een tabel met honderd regels is niet automatisch bewijs van honderd afzonderlijke menselijke keuzes. Omgekeerd kan een korte registratie wel een belangrijke handeling vastleggen. De betekenis zit in de technische context en de koppeling met andere feiten.

Onderzoek bovendien welke periode ontbreekt en waarom. Een export kan slechts een deel van het bronmateriaal bevatten, terwijl eerdere of latere regels relevante context geven. Vraag niet ongericht om alle data van een organisatie; formuleer welke afbakening nodig is voor het betwiste punt. Denk aan het onderscheid tussen mislukte en geslaagde aanmeldingen, een daadwerkelijk geopend bestand en een automatisch aangemaakte verwijzing. Een deskundigenvraag hoort precies te zijn. Dat maakt het antwoord beter toetsbaar en voorkomt dat technische woorden een zelfstandige overtuigingskracht krijgen zonder inhoudelijke uitleg.

Een behulpzaam motief maakt toegang niet vanzelf toegestaan

Iemand kan menen een collega te helpen, een fout te bewijzen of eigen werk veilig te stellen. Zulke motieven moeten zorgvuldig worden onderscheiden van toestemming om de gekozen middelen te gebruiken. De genoemde Hoge Raad-zaak bevatte ook discussie over rechtvaardiging en bekendmaking van gegevens. Daaruit volgt geen algemene toestemming om bedrijfsinformatie te verzamelen zodra iemand meent dat onrecht plaatsvindt. Laat een mogelijke rechtvaardigingsgrond juridisch beoordelen op de werkelijke feiten en de beschikbare alternatieven. Een morele overtuiging is geen vervanging voor dat onderzoek.

De praktische keuze na een conflict verdient daarom aandacht. Bewaar bestaande correspondentie waarover je rechtmatig beschikt en vraag advies over een wettelijke route om ontbrekende informatie te verkrijgen. Ga niet opnieuw een account binnen om voor de verdediging nog snel bewijs te verzamelen wanneer de bevoegdheid onzeker is. Zo'n nieuwe handeling kan een afzonderlijk probleem creëren en de tijdlijn ingewikkelder maken. Een advocaat kan helpen bepalen welke gegevens via een verzoek, procedure of deskundige veilig kunnen worden opgevraagd, zonder dat de verdachte zelf de grens opnieuw moet opzoeken.

De verdediging heeft juridische en technische vragen nodig

Een technisch deskundige kan de werking van registraties onderzoeken, maar beslist niet zelfstandig of het wettelijke begrip wederrechtelijk is vervuld. Een advocaat kan juridisch afbakenen, maar hoort onzekerheden over systeemgedrag niet zonder onderzoek weg te redeneren. Stem beide perspectieven af. Begin met een klein aantal beslissende vragen en beschrijf welk materiaal daarvoor nodig is. Vraag bijvoorbeeld of de registratie de gestelde overdracht werkelijk aantoont, welke autorisatie toen bestond en of het gebruikte account aan één persoon was toe te schrijven.

Daarbij hoort aandacht voor privacy en vertrouwelijkheid. Een compleet gekopieerd bedrijfsarchief kan gegevens van veel derden bevatten die niets met het verwijt te maken hebben. Deel materiaal uitsluitend via een passende beveiligde route en bespreek de noodzakelijke omvang vooraf. Verwijder of wijzig bestanden niet op eigen initiatief omdat ze ongunstig lijken of mogelijk vertrouwelijk zijn. Behoud de bestaande toestand en laat de advocaat aangeven hoe bewaren, onderzoek en eventuele teruggave moeten worden geregeld. Zorgvuldigheid in de verdediging gaat ook over de omgang met informatie van anderen.

Fictief voorbeeld: nog wel boekhouden, geen privéarchief

In een fictieve situatie beëindigt Daan een samenwerking, maar helpt hij nog één week met de laatste facturen. Zijn account blijft actief. Een oud-collega vraagt hem tegelijk gegevens te zoeken voor een privéconflict met de directeur. Daan opent daarom mappen die hij voor de facturen niet nodig heeft en stuurt stukken door. Later zegt hij dat hij nog voor het bedrijf werkte. Die algemene uitleg beantwoordt niet welke toegang was toegestaan, wat hij feitelijk opende en voor welk doel hij op dat moment handelde.

De advocaat verzamelt de afspraken over de afronding, de feitelijke toegangsrechten en de oorspronkelijke communicatie met de collega. Een deskundige beoordeelt wat de logs werkelijk aantonen. Dat kan zowel belastende als ontlastende feiten verduidelijken. De fictieve casus staat los van het echte arrest en voorspelt geen uitkomst. Zij maakt zichtbaar waarom één account tegelijkertijd onderdeel kan zijn van toegestane werkzaamheden en een discussie over ongeoorloofde handelingen. De analyse moet per handeling plaatsvinden en kan niet worden vervangen door een algemeen oordeel over de hele arbeidsrelatie.

Zeven onderdelen van een controleerbaar toegangsverhaal

Maak voor ieder betwist moment een regel waarin bevoegdheid en registratie naast elkaar staan. Gebruik oorspronkelijke documenten als bijlage en noteer duidelijk wanneer een feit alleen uit eigen herinnering komt. Het overzicht hoeft geen technisch rapport te worden. Het moet vooral laten zien waar een specifieke vraag onbeantwoord blijft en wie die kan onderzoeken. Houd rekening met de datum van wijzigingen: het huidige accountbeleid vertelt niet vanzelf welk beleid gold op de dag waarop het verweten feit zou hebben plaatsgevonden.

• Systeem: welk werk of onderdeel is genoemd en welke gegevens bevinden zich daar?
• Persoon: wie had feitelijk toegang tot account, apparaat of gezamenlijke werkomgeving?
• Machtiging: opdracht, rol, toestemming, beperkingen en relevante wijzigingen met datum.
• Handeling: aanmelding, raadpleging, overname of verspreiding, met onderscheid tussen vaststelling en vermoeden.
• Registratie: bron, tijdzone, selectie, technische betekenis en eventuele ontbrekende periode.
• Context: volledige berichten, afronding van werkzaamheden en het doel van de concrete toegang.
• Onderzoek: gerichte vragen voor advocaat en deskundige, met rechtmatige verkrijging en veilige bewaring.

De vraag is wie wat wanneer mocht doen

Onze conclusie is dat een computervredebreukzaak nauwkeuriger moet worden gelezen dan het label hacken suggereert. Een geslaagde login vertelt niet vanzelf dat toegang rechtmatig was, terwijl een herkenbaar account niet automatisch iedere menselijke handeling bewijst. De kwaliteit van het dossier ontstaat waar juridische toestemming en technische vaststellingen elkaar ontmoeten. Dat vraagt openheid over ongunstige gegevens en terughoudendheid bij onbekende technische details. Een sterke verdediging maakt de beslissende verschillen zichtbaar, in plaats van ieder punt onder hetzelfde algemene verhaal over een werkend wachtwoord te schuiven.

Gebruik de uitleg over het strafdossier om de beschikbare stukken en ontbrekende onderdelen te bespreken. Bij onderzoek van een inbeslaggenomen toestel kan ook de pagina over een telefoon in beslag helpen de procedure te begrijpen. Laat aanvullende verzoeken aansluiten op de tenlastelegging en de technische vragen. Dat vergroot de kans dat onderzoek antwoord geeft op de echte discussie: welke toegang en vervolgactie zijn bewezen, wie verrichtte die en waarom zou die binnen of buiten de bevoegdheid vallen?