Het spiksplinternieuwe bevel data-analyse definitief in nieuw Wetboek van Strafvordering
"Eigenlijk heeft het nieuwe Wetboek van Strafvordering maar één echt nieuwe opsporingsbevoegdheid: het bevel data-analyse." Marnix Goos, juridisch adviseur bij de nationale politie, meent het serieus. Alle andere nieuwe bevoegdheden in het gemoderniseerde Wetboek van Strafvordering (WvSV) volgen uit jurisprudentie of zijn aanvullingen op dan wel wijzigingen in bestaande bevoegdheden. Maar niet het bevel data-analyse in het nieuwe artikel 2.7.50 WvSv. Met dit bevel in de hand kun je nieuwe, nog niet bestaande of bekende data door een derde laten genereren voor het opsporingsonderzoek. Een spiksplinternieuwe bevoegdheid met een flinke toef kennis uit de oude doos. Dat laatste blijkt als Marnix ingaat op de achtergrond van het bevel data-analyse. Daarnaast gaat hij in op de voordelen van de nieuwe bevoegdheid en noemt hij een aantal voorbeelden. Tot slot bekijken we de obstakels en praktische invulling van de nieuwe opsporingsbevoegdheid.
Wettekst nieuw bevel data-analyse al sinds 2001 Hoewel de bevoegdheid gloednieuw is, laat Marnix weten dat de tekst van het wetsartikel 2.7.50 al uit 2001 dateert. Dat vraagt om uitleg en we gaan hiervoor terug in de tijd. Marnix werkt al sinds 2014 aan de modernisering van het Wetboek van Strafvordering. In 2018 maakte hij, samen met Anne Marie van Hoorn (WBOM), deel uit van de ‘Commissie modernisering opsporingsonderzoek in het digitale tijdperk’ onder leiding van prof. E.J. Koops (Commissie Koops). Zij onderzochten hoe het opsporingsonderzoek gemoderniseerd kon worden. In het onderzoek van de Commissie Koops werd teruggegrepen op de bevindingen hierover door de Commissie Strafvorderlijke gegevensverzameling in de informatiemaatschappij, onder leiding van prof. P.A.M. Mevis. De Commissie Mevis onderzocht in 2001 of het Wetboek van Strafvordering voorzag in een toereikend wettelijk kader voor de gegevensvergaring en bewerking die voor de opsporing nodig zijn.
Een van de aanbevelingen uit het rapport van Commissie Mevis is:
- dat er een wettelijke bevoegdheid komt voor de opsporingsinstanties om te vorderen dat de houder van gegevens deze ten behoeve van de opsporing bewerkt (data mining of register vergelijking). Dit houdt in dat uit analyse vergelijking of combinatie van verschillende gegevens een nieuw gegeven voortkomt.
De commissie stelt aan het gebruik van de bevoegdheid zware voorwaarden:
- zij moet dringend noodzakelijk zijn, vooraf is een machtiging door de Rechter Commissaris nodig, en het moet gaan om verdenking van delicten met een maximumstraf van vier jaar of meer die een ernstige inbreuk op de rechtsorde opleveren. De kosten van dit soort onderzoek dienen voor rekening te komen van de opsporingsinstanties.
Deze aanbevelingen uit 2001 vormden de basis voor een van de adviezen van de Commissie Koops om het opsporingsonderzoek te moderniseren. Later hebben de wetgevingsjuristen de tekst van de Commissie Mevis hier en daar opgepoetst, zodat het wetsartikel over het bevel data-analyse aansluit bij de huidige ontwikkelingen. Maar het is duidelijk te zien waar de inspiratie voor het bevel data-analyse vandaan komt.
Wat houdt het bevel data-analyse in?
Kort gezegd, biedt lid 1 van het bevel data-analyse de mogelijkheid om een derde die gegevens verwerkt (zoals een bank, bedrijf of instelling) te bevelen deze gegevens te bewerken, te analyseren, en de uitkomst daarvan te verstrekken. Het gaat dan bijvoorbeeld om persoons-, verkeers- en locatiegegevens die na een bewerking nieuwe, meer accurate, volledige of specifieke informatie bevatten die ingezet kan worden bij de opsporing. Voorwaarden zijn, dat er sprake is van een verdenking van een misdrijf waar vier jaar of meer gevangenisstraf op is gesteld (dit is ook de nieuwe terminologie voor een VH-feit in plaats van de verwijzing naar art. 67 lid 1 WvSv) en dat kan worden vermoed dat het bedrijf en de instelling beschikken over de voor opsporing relevante gegevens. Lid 2 bepaalt dat de OvJ een machtiging van een RC nodig heeft indien het bevel betrekking heeft op een persoon die aanspraak kan maken op journalistieke bronbescherming of indien het bevel betrekking heeft op communicatie die wordt beschermd door het telecommunicatiegeheim. Lid 3 moet ervoor zorgen dat er niet meer of andere bewerkingen worden gedaan dan die nodig of gewenst zijn. Sterker nog, ‘op aanwijzing van’ in dit artikel kan in de praktijk betekenen dat een opsporingsambtenaar naast de medewerker van het bedrijf gaat zitten om mee te kijken en aanwijzingen te geven. Dit kan bijvoorbeeld het geval zijn bij een kleine onderneming die niet in staat is, of onvoldoende betrouwbaar wordt geacht, om de bewerking uit te voeren. Lid 4 van het artikel is het antwoord op de vraag hoe een officier moet weten of kan inschatten welke informatie er is, wat de mogelijkheden zijn om daarop een bewerking toe te passen en welke resultaten dit zou kunnen geven. De derde is verplicht inzicht te geven in hoe het betreffende datasysteem in elkaar zit. In de praktijk kan het betekenen dat in grote onderzoeken de politie en de officier eerst in gesprek gaan met een bedrijf over de mogelijkheden. Daarna kan worden bepaald of een bevel tot data-analyse zinvol is, en zo ja, dan kan zorgvuldiger de analysevraag uit lid 1 worden geformuleerd.
Voorbeelden en voordelen
Marnix Goos noemt een aantal voorbeelden van zaken die bij uitstek geschikt zijn voor een bevel data-analyse, zoals een liquidatie met twee plaatsen delict. "In het onderzoek worden van die twee locaties de zendmastgegevens opgevraagd. Nu krijgt de politie alle telefoonnummers die binnen een bepaald tijdsframe in de buurt van die zendmasten waren. Dat levert een enorme lading gegevens op van grotendeels personen die niks met het misdrijf te maken hebben, maar die wel bewaard worden. Straks kun je vragen of de provider al deze gegevens met elkaar wil vergelijken om te kunnen achterhalen welke telefoonnummers op beide plaatsen in het betreffende tijdsframe aanwezig waren. Dat zou niet alleen de politie aanzienlijk in tijd schelen, maar het zorgt er ook voor dat het recht op eerbiediging van de persoonlijke levenssfeer beter kan worden gewaarborgd." In een andere zaak, waarin een dode baby is gevonden in een meer, gaat het om vragen naar een identiteit op basis van kenmerken bij Google. Uit de kleding die de baby droeg is af te leiden dat de moeder waarschijnlijk van Bulgaarse afkomst is. De baby ligt maximaal 10 uur in het water. Dan zou de vraag gesteld kunnen worden: is er gedurende dit tijdvak langs de oevers van dit meer een smartphone actief geweest met als taalinstelling Bulgaars (en mogelijk eerder actief in Bulgarije) van een vrouw die het belangstellingsprofiel had van een zwangere vrouw. Op advies van digitaal specialisten wordt deze vraag gesteld aan Google, omdat de kans dat de vrouw een Android-toestel zou hebben gehad relatief groot wordt ingeschat. Google zou deze vraag op basis van een relatief simpele bestandsanalyse kunnen uitvoeren. In beide zaken is het voor te stellen hoeveel tijd en stapels niet ter zake doende persoonlijke gegevens het zou hebben gescheeld als daarin een data-analyse had plaatsgevonden.
Marnix Goos
Juridisch adviseur bij de nationale politie
"Laten we niet meteen beginnen om bij Facebook of Google aan te kloppen met het bevel."
Hoe zal het bevel data-analyse in de praktijk worden toegepast?
Het lijkt te mooi om waar te zijn, deze nieuwe opsporingsbevoegdheid. Is er geen enkel kritisch punt te noemen over artikel 2.7.50 WvSv? Ja, toch wel. Er kunnen problemen ontstaan door een gebrek aan transparantie en de haalbaarheid die te bieden. Het bedrijf of de instelling voert de data-analyse uit en geeft de uitkomsten daarvan aan de politie. Niet ondenkbaar is dat de verdediging zal willen weten hoe deze data-analyse tot stand is gekomen en of er niet nog andere relevante gegevens uit zijn gekomen. De kans bestaat dat het bedrijf niet meer alle gegevens die in de bewerking zijn meegenomen heeft bewaard, zodat de analyse niet meer kan worden herhaald. Dat kan in het slechtste geval gevolgen hebben voor de beoordeling van de betrouwbaarheid van de resultaten. Daarnaast vraagt het bevel een heel andere houding van de verplicht meewerkende bedrijven en instellingen dan nu het geval is bij het opvragen van gegevens. Het grote verschil is dat bedrijven en instellingen de aanwijzingen van de opsporingsambtenaar moeten volgen en die kunnen vergaand zijn zoals blijkt uit lid 3. Zo kan gevraagd worden om de exacte werkwijze bij de analyse te beschrijven of om de analyse te laten controleren of herhalen door een tweede persoon. Dat betekent naast extra kosten aan bedrijven en instellingen omdat de bewerking meer werk vraagt, ook goede voorlichting over deze nieuwe bevoegdheid. Ali Anakhrouch, officier van justitie in opleiding bij het parket Den Haag, werkte voordat hij naar het OM kwam als toezichthouder bij de Nederlandse Bank. We vroegen hem hoe hij, met zijn ervaring bij de bank, kijkt naar het bevel data-analyse: "Het lijkt me goed om nog voor de inwerkingtreding van het nieuwe wetboek in gesprek te gaan met de banken, maar ook met andere instellingen, over de komst van de nieuwe bevoegdheid. Je wil niet zomaar een bank overvallen met een bevel data-analyse, want het vraagt nogal wat van de samenwerking om de juiste gegevens te produceren met name als de systemen en processen van de betrokken bank verschillend zijn ingericht". Marnix Goos: "Ik zie voor me dat het bevel data-analyse in eerste instantie wordt toegepast in zaken waarbij we regelmatig samenwerken met instellingen zoals de belastingdienst. Laten we niet meteen beginnen om bij Facebook of Google aan te kloppen met het bevel." Los van een voorzichtige start, spelen de beginselen van proportionaliteit en subsidiariteit een belangrijke rol in de praktische uitvoering van het bevel. Daarbij zal jurisprudentie gaan bepalen wat de grenzen hierin zijn voor partijen. Duidelijk is wel dat politie en OM eraan toe zijn om aan de slag te gaan met gegevensbewerking, zodat er net zo scherp kan worden getarget in het opsporingsonderzoek als in de gemiddelde marketingcampagne.