Artikel 2.7.50

Toelichting ARTIKELSGEWIJS DEEL › BOEK 2 HET OPSPORINGSONDERZOEK › HOOFDSTUK 7 Bevoegdheden met betrekking tot voorwerpen en gegevens › TITEL 7.3 Onderzoek van gegevens › AFDELING 7.3.3 Verstrekking van gegevens ten behoeve van het onderzoek › Artikel 2.7.50 [bevel data-analyse door een derde] · Toelichting 36327 (KWEST-structuur) · verificatie tegen officiële XML: verified · bron

Dit artikel betreft de bevoegdheid voor de officier van justitie om bedrijven of instellingen waarvan redelijkerwijs vermoed kan worden dat zij toegang hebben tot bepaalde gegevens, te bevelen dat zij deze gegevens bewerken en het resultaat daarvan vervolgens verstrekken aan de opsporing. Deze bevoegdheid, die eerder is voorgesteld door de Commissie strafvorderlijke gegevensverwerking in de informatiemaatschappij (Commissie-Mevis), is nu op advies van de Commissie-Koops alsnog opgenomen in het nieuwe wetboek. Door de opsporingsdiensten is hierop met instemming gereageerd. Ook de Rvdr beaamt dat de nieuwe bevoegdheid (hieronder aan te duiden) voordelen meebrengt voor de bescherming van de persoonlijke levenssfeer. De NOvA is kritisch en maakt zich zorgen over de waarborging van het functioneel verschoningsrecht. Daarop wordt hieronder in de toelichting op het tweede lid ingegaan.

De huidige wetgeving ten aanzien van het bevel tot verstrekken van gegevens geeft alleen de mogelijkheid om een derde te bevelen bepaalde gegevens te verstrekken. Er bestaat op grond van het huidige wetboek geen mogelijkheid om de vermoedelijke houder van gegevens te bevelen dat hij de gegevens analyseert, vergelijkt of combineert om nieuwe gegevens te verkrijgen. De behoefte daaraan bestaat wel in de opsporingspraktijk en wordt steeds groter, gezien de grote hoeveelheid gegevens die bedrijven soms bezitten. Hierdoor levert een bevel tot verstrekking soms zo’n grote hoeveelheid gegevens op dat de relevantie en bruikbaarheid voor het opsporingsonderzoek ondergesneeuwd raakt. Zo worden er op dit moment ook veel gegevens verstrekt die niet relevant zijn voor het onderzoek. Toch zullen deze gegevens vaak bewaard blijven, wat dan resulteert in een onnodige inbreuk op de persoonlijke levenssfeer van mensen. Grote bedrijven zoals Google, Facebook en Apple beschikken over zoveel gegevens dat het ook technisch onmogelijk is dat de opsporing beschikking zou krijgen over alle potentieel relevante gegevens en die vervolgens nog onderzoekt. Het voordeel van de bevoegdheid die in dit artikel is neergelegd is dat het recht op eerbiediging van de persoonlijke levenssfeer – door een bewerking van gegevens door grote bedrijven die daartoe veel beter zijn toegerust dan de opsporing – beter kan worden gewaarborgd.

Bedrijven en instellingen kennen hun data zelf heel goed en over het algemeen zijn bij dit soort grote bedrijven zoals gezegd de middelen voorhanden om een analyse uit te kunnen voeren over de gegevens. Voor bedrijven is het maken van zo’n analyse eenvoudiger dan voor de opsporing. Sommige bedrijven geven ook aan dat zij best bereid zijn om vrijwillig mee te werken, maar ook zij voelen zich hierin beperkt door de mogelijke civielrechtelijke aansprakelijkheid, privacywetgeving en civielrechtelijk overeengekomen geheimhoudingsverplichtingen. De bevoegdheid in dit artikel dient ertoe om deze bezwaren weg te nemen.

Zoals gezegd stelde de Commissie-Mevis in 2001 al dat een bevoegdheid voor het verplichten van bewerken van data nodig was. De Commissie-Mevis gaf toen al aan dat het belang van deze bevoegdheid in de toekomst steeds groter zou worden. Desondanks is er destijds niet voor gekozen om de bevoegdheid op te nemen in het wetboek. Door de dataficering van de samenleving, de mogelijkheden data te analyseren en de ontwikkelingen in de kunstmatige intelligentie is de voorspelling van de Commissie-Mevis ten volle bewaarheid. De bevoegdheid in dit artikel is dan ook sterk geïnspireerd op het eerdere voorstel van de Commissie-Mevis. Het belangrijkste argument om deze bevoegdheid nu alsnog op te nemen is dat door de sterk toegenomen hoeveelheid en complexiteit van de gegevensbestanden bij derden, het bevelen tot verstrekken van de gegevens in onbewerkte toestand veelal een disproportionele inbreuk op de persoonlijke levenssfeer zal maken, die kan worden voorkomen door een bevel tot het bewerken van data te geven.

Eerste lid

In geval van verdenking van een misdrijf waarop gevangenisstraf van vier jaar of meer is gesteld (of verdenking van een in artikel 2.1.8 opgenomen lichter misdrijf), kan de officier van justitie, degene die anders dan ten behoeve van persoonlijk gebruik gegevens verwerkt en van wie redelijkerwijs vermoed kan worden dat hij toegang heeft tot bepaalde gegevens, bevelen dat hij deze gegevens bewerkt en de daardoor verkregen gegevens vervolgens verstrekt. Het gaat bij deze bevoegdheid dus om bedrijven en instellingen waarvan kan worden vermoed dat zij beschikken over voor de opsporing relevante gegevens.

De enkele omstandigheid dat van zo’n bedrijf of instelling een bepaalde analyse wordt gevergd, maakt dit bevel niet noodzakelijkerwijs ingrijpender dan een bevel gegevens te verstrekken. De benodigde inspanning om bepaalde gegevens te produceren, rechtstreeks of via een bewerkingsslag, hangt immers sterk af van de omvang en de inrichting van de dataset bij het bedrijf. Niettemin is de belasting die een analysebevel voor het bedrijf oplevert een wegingsfactor die de officier van justitie moet betrekken bij zijn afweging met betrekking tot de proportionaliteit en subsidiariteit van zijn bevel. Dat betekent dat hij een klein bedrijf bij een relatief klein vergrijp niet moet belasten met een bevel tot het verrichten van een ingewikkelde analyse. Kleinere bedrijven zullen een relatief grotere inspanning moeten leveren om de gevraagde bewerking uit te voeren op hun dataset. Bij grotere bedrijven zal een dergelijke data-analyse vaker voorkomen en daarmee makkelijker kunnen worden georganiseerd. De ter uitvoering van het bevel gemaakte kosten worden conform de gebruikelijke regeling vergoed.

Het bevel tot het bewerken van gegevens en vervolgens verstrekken van het resultaat daarvan gaat verder dan een «gewoon» bevel tot verstrekking van gegevens. Er is immers een extra handeling – de gevraagde bewerking – vereist. Niet elke vorm van bewerking, of elke handeling die verder gaat dan het simpelweg opzoeken van gegevens en deze vervolgens verstrekken, valt onder de data-analyse, bedoeld in dit artikel. Het komt momenteel ook al voor dat voor het verstrekken van gegevens een eenvoudige analyse door de derde moet plaatsvinden, voordat hij de gegevens kan verstrekken (eerst een klantnummer zoeken in het ene systeem en vervolgens met dat klantnummer de NAW-gegevens zoeken in een ander systeem). Dergelijke handelingen blijven vallen onder het traditionele bevel tot verstrekking van gegevens.

Het gaat bij de bevoegdheid uit dit artikel om bewerkingen die verdergaan dan meervoudige zoekhandelingen, bijvoorbeeld het integraal met elkaar vergelijken van alle gegevens uit een dataset met alle gegevens uit een andere dataset, om zo gegevens te identificeren die in beide sets voorkomen. Het belangrijkste kenmerk van deze bevoegdheid, die onderscheidend is met de normale verstrekking van gegevens, is dat de bewerking «nieuwe» gegevens oplevert, die vervolgens worden verstrekt. Bij een normale verstrekking gaat het om gegevens die al als zodanig ergens staan geregistreerd.

Tweede lid

In Afdeling 7.3.3 is betrokkenheid van de rechter-commissaris bij een regulier bevel tot verstrekking van gegevens twee keer voorgeschreven. Indien het bevel betrekking heeft op een persoon die aanspraak kan maken op bronbescherming als bedoeld in artikel 1.6.8 en indien het bevel betrekking heeft op communicatie die wordt beschermd door het telecommunicatiegeheim, kan de officier van justitie het bevel alleen geven na een daartoe verleende machtiging van de rechter-commissaris. Het tweede lid maakt duidelijk dat deze normering ook geldt voor het bevel data-analyse.

De NOvA is bezorgd dat de regeling inzake de bescherming van het verschoningsrecht in Titel 7.5 via de omweg van een bevel data-analyse zou kunnen worden omzeild en dat de opsporing via een dergelijk bevel zonder rechterlijke tussenkomst de beschikking zou kunnen krijgen over verschoningsgerechtigd materiaal. In reactie op deze zorg kan erop worden gewezen dat Titel 7.5 een regeling bevat voor onderzoek van gegevens bij een andere persoon dan een functioneel verschoningsgerechtigde (artikelen 2.7.65 en 2.7.66). Indien ten aanzien van de gegevens die zijn verkregen door een bevel data-analyse het redelijke vermoeden ontstaat dat het functioneel verschoningsrecht zich daarover uitstrekt, beslist de rechter-commissaris over de voorwaarden waaronder dit onderzoek zal plaatsvinden (artikel 2.7.65). De gegevens zijn immers overgenomen bij een ander persoon dan een functioneel verschoningsgerechtigde. En kennisneming van gegevens waarvan het redelijke vermoeden bestaat dat het verschoningsrecht zich daarover uitstrekt is zonder tussenkomst van de rechter-commissaris ook niet toegestaan (artikel 2.7.66).

Derde lid

In dit lid is bepaald dat de officier van justitie in zijn bevel data-analyse kan bepalen dat de degene tot wie het bevel is gericht, de bewerking uitvoert in overeenstemming met de aanwijzingen van de opsporingsambtenaar. Dit artikellid biedt dus de mogelijkheid om eisen aan de uitvoering te stellen, ook ten aanzien van de controleerbaarheid van de bewerking achteraf. Een van de aanwijzingen van de opsporingsambtenaar kan namelijk zijn om de exacte werkwijze bij de analyse te beschrijven of om de analyse te laten controleren of herhalen door een tweede persoon. Een aanwijzing kan ook zijn dat de analyse in aanwezigheid en onder toezicht van een opsporingsambtenaar of een andere deskundige moet plaatsvinden. Hierbij zal een rol spelen of het bevel is gericht tot een groot bedrijf dat regelmatig dergelijke analyses voor de opsporing uitvoert of tot een relatief klein bedrijf dat wellicht minder betrouwbaar wordt geacht. In dat laatste geval ligt het voor de hand dat de opsporing een grote rol speelt, door bijvoorbeeld de analyse te ondersteunen door het leveren van hardware en software. Het derde lid biedt de ruimte om de aanwijzingen aan te passen aan de specifieke casus. Bij de wijze van uitvoering spelen uiteraard de beginselen van proportionaliteit en subsidiariteit een belangrijke rol.

Verder zal in de lagere regelgeving tot uitdrukking komen dat dit specifieke bevel tot data-analyse een zo nauwkeurig mogelijke aanduiding van de bewerking moet bevatten, zodat het desbetreffende bedrijf, ook zonder eventuele aanwijzingen van de opsporingsambtenaar, goed weet wat er wordt verwacht ter uitvoering van het bevel.

Vierde lid

Op grond van dit lid is de officier van justitie bevoegd degene tot wie het bevel data-analyse is gericht, ook te bevelen inlichtingen te verstrekken over de gegevens waartoe hij toegang heeft en over de handelingen die nodig zijn om de analyse uit te voeren. De Commissie-Koops stelt dat het voor een goede uitoefening van de bevoegdheid tot data-analyse noodzakelijk is dat de officier van justitie vooraf vragen kan stellen over de (opbouw van de) dataset en de inspanning die een bedrijf moet plegen om een bepaalde analyse uit te voeren. Dit stelt de officier van justitie in staat om te beoordelen of een bevel tot data-analyse zinvol is en zo ja, welke voorwaarden (bedoeld in het derde lid) gesteld moeten worden.