De Nederlandse politie heeft per abuis gevoelig materiaal uit een onderzoek gelekt aan een persoon. Dat meldde Tweakers afgelopen weekend. Toen die persoon die gegevens niet wilde verwijderen, heeft de politie de man aangehouden en zijn woning doorzocht. Raar verhaal.
De politie legt zelf uit in een persbericht:
In verband met een ander lopend onderzoek bij de recherche nam de verdachte op donderdag 12 februari contact op met de politie, omdat hij beelden in bezit had die mogelijk relevant zijn voor dat onderzoek. De agent die contact had met de man, besloot een link te sturen waarmee de man de beelden kon uploaden. Door een vergissing werd niet een uploadlink, maar een downloadlink gedeeld, waardoor de man de mogelijkheid had om vertrouwelijke politiedocumenten te downloaden.Nadat de man een en ander ook daadwerkelijk had gedownload, kreeg hij een sommatie te stoppen en de data te verwijderen. Zijn reactie: “daar wil ik wel wat voor terug”. Ik weet niet wat hij had verwacht maar hij kreeg een arrestatieteam.
De politie gooit het daarbij op computervredebreuk, wat bij mij vele, vele wenkbrauwen van hun stoel liet vallen:
Als je een downloadlink toegestuurd krijgt, terwijl je weet dat je een uploadlink zou moeten krijgen, er duidelijk gezegd wordt vervolgens niet te downloaden en ervoor kiest de bestanden toch te downloaden, dan maak je je mogelijk schuldig aan computervredebreuk. De ontvanger kan namelijk redelijkerwijs aannemen dat de downloadlink en de bestanden die daarmee gedeeld worden, niet voor hem bedoeld zijn.Nu is de definitie van computervredebreuk erg breed, maar dit voelt toch wel als erg ver oprekken. Heel misschien als het downloaden pas gebeurde nádat de agent belde met “oeps dat was de verkeerde link”. Maar als ik een link verwacht, een link krijg en daarop klik, dan zie ik niet hoe ik ergens binnendrong.
Een serieuzer vraag voor mij is waar die meneer stond zodra hem duidelijk was dat hij iets had gedownload dat vertrouwelijke politiegegevens betrof. Staatsgeheimen zijn dat niet, en schending van het ambtsgeheim (art. 272 Sr) is het ook niet want meneer is zelf geen agent. De Wet politiegegevens bevat geen bepalingen voor onbevoegde niet-agenten.
Diefstal van gegevens kennen we in twee smaken:
- Aftappen (art. 139c Strafrecht). Dit hangt hier op de wederrechtelijkheid, die ontbreekt als je de indruk wordt gegeven dat je er bij mag.
- Gegevensdiefstal sec (art. 139g Strafrecht), dat vereist dat de gegevens niet-openbaar zijn én dat deze door misdrijf verkregen zijn. Dat laatste speelt hier niet.
[Dit systeem is een applicatie van Seeburger en] is een gedrocht van een programma. Om te downloaden en te uploaden moet je eerst een map maken en je geeft dan Download en upload permissies. [Die knoppen staan naast elkaar] … In een zaak kan je dus meerdere Upload permissies maken zodat alle beelden in een map komen. Maak je per ongeluk een Download permissie dan kan de persoon met de link alles downloaden uit die map.Er is dan dus geen downloadknop an sich. Je krijgt een map te zien, en je kunt daar dingen naar uploaden en/of uit downloaden. Achteraf is het natuurlijk makkelijk oordelen “je mag niet klikken”. Maar een map is in onze mentale computermodellen een container, geen brievenbus. Wanneer iemand een link opent en een mappenstructuur ziet, activeert dit onmiddellijk de verkenningsdrang.
In UI/UX-termen heet dit de affordance: de uiterlijke kenmerken van een object die uitnodigen tot een specifiek gebruik. Een knop ‘nodigt uit’ om op te drukken; een invoerveld ‘nodigt uit’ om te typen. Een gedeelde map met naast elkaar gelegen knoppen voor ‘Upload’ en ‘Download’ heeft een ambivalente affordance. Een robuust ontwerp had een strikte scheiding van functies moeten hanteren. Een upload-only scherm, zoals bij de bekende datadeeldiensten, is veel logischer.
Natuurlijk is het bepaald ergerlijk dat die persoon (nota bene ook al verdachte in een andere zaak) die ontvangen gegevens onder zich houdt, nadat duidelijk is dat ze ten onrechte zijn verkregen. Maar dat betekent niet dat er dús een strafbaar feit is begaan.
Arnoud
Is het houden van vertrouwelijke gegevens in een dergelijk systeem niet strafbaar? Dat je zo makkelijk een link kan delen die toegang geeft tot deze informatie is vreemd. Ik heb wel eens per ongeluk een Sharepoint link gehad, maar die gaf nergens toegang toe, want ik hoorde niet tot de organisatie. Overheid heeft toch een plicht om minstens aan industriestandaarden te voldoen voor beveiliging?
[q]Nadat de man een en ander ook daadwerkelijk had gedownload, kreeg hij een sommatie te stoppen en de data te verwijderen. Zijn reactie: “daar wil ik wel wat voor terug”. Ik weet niet wat hij had verwacht maar hij kreeg een arrestatieteam.[/q]
Een soort afpersing was wel weer een hele domme reactie richting de politie Werk je gewoon mee dan is er niks aan de hand
Zeker niet slim. Maar stel hij had de data weggegooid en verdere medewerking geweigerd. Waar had de politie dan gestaan?
Maar is deze soort van afpersing strafbaar? Ervan uitgaande dat de computervredebreuk geen stand houdt, kan de politie er iets mee? Hij had (nog) niet met openbaarmaking gedreigd. Had de politie er tijdelijk in mee kunnen gaan om zijn bedoeling te achterhalen, of is dat uitlokking?
Iemand zijn gang laten gaan is geen uitlokking. Dat is het pas als je iemand op andere gedachten brengt en aanzet tot dingen die deze niet zelf van plan was. Gelegenheid scheppen tot een misdrijf is daarvoor niet genoeg (zoals bij lokfietsen).
Ik denk dat je met “hoe bedoel je, wat voor terug, wij hebben een enorm probleem je moet het nu vernietigen” een prima reactie zou geven. Wie dan zegt “ja haha ik wil eerst vrijspraak (OVAR) in mijn andere zaak” die pleegt dan afpersing.
Waar had de politie gestaan als de persoon alleen had gezegd de gegevens te verwijderen, maar eerst even een backup maakt? De inval ruikt sterk naar misbruik van bevoegdheden.
Ik kan niet uit deze tekst halen dat hij verdachte is/was in een andere zaak. Hij had beelden die mogelijk relevant waren voor een onderzoek, in mijn ogen is hij in deze zaak meer getuige. Dat hij vervolgens daadwerkelijk informatie download i.p.v. upload, is natuurlijk zeer kwalijk. Maar goed denk dat er ook meer naar de applicatie gekeken moet worden die de politie hiervoor gebruikt.
Nee deze man was niet slim bezig (understatement), maar de politie zal het eerst bij zichzelf moeten zoeken.
De knoppen die in de Tweakers reactie worden genoemd zijn er alleen voor de politiemedewerker, niet de ontvanger. De ontvanger krijgt een link waar hij alleen dat kan waarvoor de permissie is. In dit geval is er dus door de politiemedewerker op de downloadpermissie knop gelikt en er een downloadlink gestuurd, waar dat een uploadlink had moeten zijn. De gebruiker heeft niet zelf gekozen om te kunnen downloaden i.p.v. te uploaden.
En wat doe je als gebruiker wanneer je een upload link verwacht: erop klikken. Oeps, uploaden werkt niet, kijken of er in een van de andere bestanden wel staat hoe uploaden werkt.
Je krijgt van de politie het verzoek om via een bepaalde link bestanden te uploaden. Wanneer je op de link klinkt, kom je in een map met allemaal andere bestanden zonder de mogelijkheid om nieuwe bestanden te uploaden.
Tenzij je bestanden ziet die ‘readme.txt’ of ‘InstructiesUploaden2019FINALv3_WEB.pdf’ heten, zou ik persoonlijk niet geneigd zijn om dan maar die andere bestanden te gaan bekijken of te downloaden.
Alhoewel het natuurlijk lastig is om van ‘binnendringen’ te spreken als je expliciet een link naar die omgeving hebt gekregen, zie ik wel dat het voor de gebruiker duidelijk had mogen/kunnen/moeten zijn dat deze niet in de juiste omgeving was, en dat het grasduinen door dingen die daar aanwezig waren niet de bedoeling was. Of het weigeren om te ‘vertrekken’ na een dergelijke constatering ook voldoende is om computervredebreuk op te leveren, is natuurlijk een tweede.
Sorry maar daar heb ik wat moeite mee. Deze ontvanger had relevante informatie over een kwestie, en was niet benaderd door de politie maar zocht zelf contact omdat hij informatie had die van belang was voor een lopend onderzoek. Het betrof dus niet de politie die opnamen kwam opeisen van een videodeurbel of zo. Hij was er dus op een of andere wijze bij betrokken en mogelijk (dat kan ik er niet helemaal uit halen) ook een verdachte.
Als je dan in zo’n omgeving komt waar allemaal documenten staan die betrekking hebben op een zaak waar je zelf bij betrokken bent dan kan ik me niet voorstellen dat je niet geneigd zou zijn om te kijken wat er in staat. Als jij “Leo Leshy” heet en je logt daar in, en er staat “aangifte tegen leo leshy.doc” en “getuigenverklaring tegen leo leshy.doc” en “onopvallende opnamen gemaakt van leo leshy en mevrouw leshy.mp4” dan kan ik me niet voorstellen dat je niet eens de neiging zou hebben om die documenten te downloaden. Dat zou een welhaast bovenmenselijke mate van zelfbeheersing vereisen.
Op basis van de info die ik lees lijkt het er toch sterk op dat de inval een wraakactie was voor het feit dat de man niet meewerkte.
De politie kan toch niet zomaar iemand aanhouden om hem tot medewerking te dwingen? En dan de huiszoeking? Moet daar niet een OvJ toestemming voor geven?
Ik weet natuurlijk niet op welke manier de politie het gevraagd heeft, en wat de man precies geantwoord heeft, maar op het eerste gezicht lijkt met dat je MINIMAAL kunt twijfelen aan proportionaliteit van de actie van de politie. Sowieso was er geen haast (lijkt me), het kwaad was al geschied, en de kans dat een snelle inval groter kwaad zou voorkomen is slechts theoretisch.