Een website kan niet aangemerkt worden als een geautomatiseerd werk. Een site is immers geen apparaat, maar een verzameling van gegevens die via het internet bereikbaar is. Om die reden is een man, die een website hackte, vrijgesproken van het onrechtmatig binnendringen van een geautomatiseerd werk.
Dat blijkt uit het vonnis van het gerechtshof in Den Haag, dat vandaag is gepubliceerd.
Hacker dreigt met reputatieschade na ontdekken lek
Voor het begin van de zaak moeten we terug de tijd in naar augustus 2017. Een toen 29-jarige man uit Tiel benaderde de directeur van een Haagse huisartsenpost dat de beveiliging van zijn website niet op orde was. Hierdoor had hij toegang tot persoonlijke gegevens van de medewerkers van de huisartsenpost, waaronder e-mailadressen, gebruikersnamen, wachtwoorden en bankrekeningnummers.
Even daarop ontving de directeur van de huisartsenpost een offerte van de Tielenaar. Hij was bereid om het lek te verhelpen, maar daarvoor moest wel een bedrag tussen de 16.500 euro en 23.000 euro worden neergelegd. Tegelijkertijd chanteerde de hacker de directeur: “Er zal waarschijnlijk een boete betaald moeten worden wanneer dit openbaar is en er zal een flinke reputatieschade plaatsvinden.”
De eigenaar van de huisartsenpost was daarvan niet gediend en deed aangifte bij de politie. Na enig onderzoek kwamen agenten al snel uit bij de verdachte. Dat hij de dader was, stond als een paal boven water. Zo was er op zijn laptop informatie over de digitale inbraak terug te vinden. Het IP-adres was bovendien terug te herleiden tot de laptop van de Tielenaar. Tot slot gebruikte hij zijn eigen smartphone om screenshots van de hackmethode vast te leggen.
Rechter legt twee maanden gevangenisstraf op
De verdachte zei dat hij een white hat hacker was en dat hij enkel het lek aan de kaak wilde stellen. Het arrondissementsparket van Den Haag geloofde deze lezing niet. Zo had hij van tevoren duidelijk moeten maken dat hij onderzoek deed naar de beveiliging van de website van de huisartsenpraktijk. Verder had de man zonder toestemming gevoelige informatie gedownload van medewerkers van de praktijk.
De rechter kon dan ook niet anders en veroordeelde de man tot twee maanden cel, waarvan één maand voorwaardelijk en een proeftijd van twee jaar.
Rechtbank spreekt verdachte vrij
De veroordeelde accepteerde de uitspraak niet en ging in hoger beroep. Vandaag vond de uitspraak van het hoger beroep plaats. Het gerechtshof sprak de man vrij.
De vrijspraak heeft alles te maken met de definitie van de term ‘geautomatiseerd werk’. Daarvoor citeert de rechter artikel 80sexies van het Wetboek van Strafrecht. Daar staat dat een geautomatiseerd werk “een inrichting [is] die bestemd is om langs elektronische weg gegevens op te slaan, te verwerken en over te dragen”. Volgens de rechter doelt de wetgever hiermee uitsluitend op fysieke apparaten.
“Nu een website feitelijk slechts bestaat uit een samenstel van gegevens, geen fysieke vorm heeft en derhalve het karakter van ‘inrichting’ ontbeert, bestaat op grond van het voorgaande voldoende aanleiding om een website niet aan te merken als geautomatiseerd werk”, zo staat er in het vonnis. De rechtbank zegt dat het niet anders kan dan de verdachte vrij te spreken voor het inbreken op een geautomatiseerd werk.
Het gerechtshof heeft de opdracht gegeven het eerdere vonnis te vernietigen en alle in beslag genomen computers en laptops aan de Tielenaar te overhandigen.
Verontwaardigde reacties op het vonnis
Op internet wordt met grote verontwaardiging gereageerd op de uitspraak. Ronald Prins, oprichter van het Nederlandse cybersecuritybedrijf Hunt & Hackett, noemt de uitspraak op Twitter “een idioot vonnis”. Een ander noemt het een “blunder eerste klas” en hoopt dat de Hoge Raad dit gaat corrigeren. Anderen noemen het “karige inzichten”, “wetgeving uit het jaar kruik” en “een fout in de tenlastelegging”.
