Had ik even gemist: vorige maand bepaalde het Europees Hof voor de Rechten van de Mens dat het gehoor moeten geven aan een decryptiebevel géén schending oplevert van je zwijgrecht – het recht niet tegen jezelf te hoeven getuigen. Een pincode is geen bekentenis, zeg maar.
In deze zaak (Minteh v. Frankrijk) werd een man door de politie gecontroleerd in zijn auto. Daarbij werd veel contant geld met drugssporen, cannabis en een mobieltje gevonden. Bij een daarop volgende huiszoeking werden meer telefoons en een tablet gevonden.
In Frankrijk mag Justitie dan volgens de wet je pincode of decryptiesleutel vorderen van die apparaten, maar meneer weigerde medewerking. Daarop werd hij vervolgd voor het strafbare feit die gegevens niet te geven, en dat kwam bij het Hof met de vraag of dat geen schending van het nemo tenetur beginsel oplevert: het recht om niet aan zijn eigen veroordeling mee te werken.
Al langer weten we dat een biometrisch kenmerk gedwongen gebruikt mag worden. Dat is geen schending van dat beginsel, omdat je vingerafdruk, iris en dergelijke gewoon dingen zijn. Die bestaan los van jouw wil, net als het slot van je voordeur. Daar mag Justitie dus mee aan de slag.
Een bekentenis afdwingen mag niet, want bekentenissen geef je omdat je dat wilt. Je mag wel uit het weigeren te verklaren dingen afleiden, zoals dat iemand het met opzet deed en dat geheim wil houden.
Van pincodes en wachtwoorden wordt vaak gezegd dat ze op één lijn staan met bekentenissen. Het mensenrechtenhof denkt daar nu anders over in deze context:
[D]e bepalingen van artikel 434-15-2 van het Wetboek van Strafrecht [zijn] niet bedoeld om een ??bekentenis van de verdachte te verkrijgen en geen vermoeden van schuld inhouden. Ze zijn uitsluitend bedoeld om de gegevens te ontcijferen en zo het plegen van strafbare feiten te voorkomen en de daders te identificeren. Het Hof voegt hieraan toe, zoals hieronder zal worden aangetoond (paragraaf 58), dat de gegevens op een telefoon onafhankelijk van de wil van de gebruiker bestaan.Het argument is dus: de gegevens op je telefoon zijn er gewoon, en die mag je dus niet vergelijken met een bekentenis die er alleen is als jij dat wil. Omdat het zwijgrecht gaat over getuigen tegen jezelf, is dat recht dus niet van toepassing als je iets moet zeggen dat geen getuigenis is.
De achterliggende gedachte hierbij is dat mensen dwingen tot verklaringen zoals bekentenissen leidt tot valse verklaringen. “Het slaan stopt als je bekent” is een recept voor vele bekentenissen, maar niet voor kwaliteit. Maar dat risico bestaat niet bij pincodes: die werkt, of niet, en dat weet je drie seconden later. En dan vraag je het opnieuw.
Het helpt dat de Franse wet diverse waarborgen kent, namelijk:
de tussenkomst van een rechterlijke autoriteit, het informeren van de verdachte dat zijn weigering waarschijnlijk tot een strafvervolging zal leiden, het aantonen van het gebruik van het apparaat in het kader van het plegen van het misdrijf en de kennis bij de verdachte van zijn decryptiemiddelen.Met name dat “dit apparaat is gebruikt bij het misdrijf waar we voor vervolgen” is hier belangrijk: dat voorkomt fishing expeditions waarbij allerlei apparaten open moeten in de hoop dat er iets strafbaars wordt gevonden. Het begint dus bij een redelijk vermoeden van schuld én bewijs dat de telefoon meer bewijs daarvan gaat geven.
Arnoud
Dan een leuke voor de giegeltoets: wat nu als je je wachtwoord zo kiest dat het een voldoende sluitende bekentenis van een misdaad is?
Uit het proces verbaal van het verhoor zal duidelijk zijn wat de context van een uiting is. Als de vraag is “Wat is je wachtwoord?” dan is “Ik heb het gedaan!” geen bekentenis.
Alleen als je wachtwoord daderkennis bevat dan zou het gebruikt kunnen worden om je schuld aan te tonen.
Dan zou de rechter kunnen beslissen dat het door de verdachte gegeven wachtwoord zelf als bewijs wordt uitgesloten. Hij heeft het wachtwoord immers enkel gegeven omdat hij verplicht is om het wachtwoord af te geven zodat de politie toegang krijgt tot zijn telefoon.
IkHebDeBakkerVermoordOp23Juno2021!
Lijkt mij nog steeds een bekentenis, of die nou daderkennis bevat of niet. Lijkt me ook een sterk wachtwoord…
Nee, de context waarin ik dit zeg is dat de politie mij vordert mijn wachtwoord te geven. Dan is het geen bekentenis maar gewoon mijn wachtwoord.
Pas als ik dat had gezegd op de vraag “Wat heb je met de bakker gedaan?” zou het een bekentenis zijn.
Dat ik dit wachtwoord heb gekozen zegt ook niet dat ik de bakker heb vermoord. Ik kan ook een hekel aan de bakker hebben en voor mijn eigen lol dit wachtwoord hebben gekozen. En als de bakker dan vermoord wordt dan kan dat altijd nog door iemand anders gedaan zijn.
Het wachtwoord kan wel aanleiding zijn voor de politie om door te vragen. “Waarom is dat je wachtwoord?” “Omdat ik dat gedaan heb!” “Wat gedaan?” “De bakker vermoord.” Dan heb je wel een bekentenis.
Daderkennis maakt het interessanter omdat dat aantoont dat ik de dader ben. Iedereen kan in zijn wachtwoord zetten dat hij de bakker heeft vermoord. Maar alleen de dader weet dat het met 20 klappen met zijn eigen deegroller was.
En wat dan als iemand die pincode vergeten is? Moeten we er dan vanuit gaan dat dit gelogen is, en dús straffen? Dat klinkt ook niet heel rechtvaardig. Niet super doordachte uitspraak wat mij betreft.
We hebben rechters met als taak de geloofwaardigheid te beoordelen van de verklaringen van de verdachte. Als iemand het oprecht vergeten is, dan is dat zo. Dat is niet anders dan alle “wasn’t me” verklaringen in het strafrecht. Waarom is dit ondoordacht?
Waarom dit niet doordacht is?
Omdat je door de pin code ingeven niet alleen toegang tot het apparaat geeft, maar ook ‘bekent’ dat het jouw apparaat is.
Helemaal als het om niet op naam staande telefoons of laptops gaat is dwingen het wachtwoord af te geven dus dwingen te bekennen dat het jouw apparaat is.
Maar de weigering zou dan dus moeten zijn ‘Dat kan iuk niet, want het is mijn laptop/telefoon niet’ en niet ik weiger er aan mee te werken. Maar hoe dan ook is dat je het af kan dwingen problematisch, omdat je dan mensen vast kan houden en bestraffen ook als het echt hun apparaat niet is.
Jij hebt meer vertrouwen in de rectspraak dat ze hier geen fouten in maken dan ik denk ik, er zijn te veel rechtelijke dwalingen in ons land geweesd om justitie nog het voordeel van de twijfel te geven.
Een pin-code die ik met enige regelmaat gebruik vergeet ik niet, maar heb ik er ook maar een paar van. Voor de rest werk ik met een wachtwoordmanager. Daar zitten allemaal zeer lange rare wachtwoorden in, die lijken op dit: “c.*CE34PKbw]Zm{(“, en die onthoud ik echt niet. Het wachtwoord van mijn wachtwoordmanager wel, maar daarnaast is die gekoppeld aan een “keyfile”, en als die ook weg is, dan kan ik er zelf ook niet meer bij. Maakt het iets lastiger om mij te dwingen een zeker password af te geven.
Sommige systemen kennen het concept van een “duress password” of PIN, die bij gebruik ofwel alleen nutteloze informatie vrijgeeft, ofwel een stil alarm triggert, ofwel het apparaat stilletjes helemaal wist, of iets anders doet, en afhankelijk van hoe zoiets is geïmplementeerd kan dat ook nog eens “plausible deniable” (aanneembaar onkenbaar) zijn, zoals de feature in Veracrypt, die embedded of hidden encrypted volumes ondersteund.
Dit soort functies hebben allemaal legitieme toepassingen, namelijk om je te beschermen tegen mensen die je telefoon afpakken, en klaar staan met een mes om je ook je PIN afhandig te maken. Natuurlijk werken die ook als een rechter met een juridisch mes aankomt.
Maar in de situatie van een ‘duress’ code die eigenlijk het apparaat effectief vernietigt (of permanent ontoegankelijk maakt) kun je nog argumenteren dat het vernietigen is van bewijsmateriaal.
Zelfde als een beveiliging die als een dodemansknop werkt en dus automatisch de code verandert in een random wachtwoord als je hem niet op tijd ontgrendelt.
De vraag is hoe dit te bewijzen is. Natuurlijk makkelijk as het het hele apparaat is, maar wat als het maar een paar bestanden zijn die ook nog op een verborgen volume staan?
Dat kun je ook omdraaien: Wie zegt er dat wanneer je een wachtwoord invult en er rollen legitieme, maar niet belastende gegevens uit, dat die gegevens niet verzonnen zijn om de politie (of geheime diensten) voor het lapje te houden?
De regels in een strafzaak zijn simpel: Justitie moet met overtuigend bewijs komen. Als jij een wachtwoord afgeeft en justitie ziet onschuldige gegevens, dan heb jij aan je ontsleutelingsplicht voldaan. Tenzij justitie met hard bewijs komt dat er een tweede partitie bestaat.
Mogelijk is mogelijk maar geen bewijs. Kan kan maar is ook geen bewijs. Begin bij concrete aanwijzingen.
Is het vernietigen van dingen van jou die mogelijk als bewijsmateriaal zouden kunnen dienen verboden?
Anders gezegd, als ik een kraak zet en daarna de koevoet schoonmaak en met het oud ijzer laat afvoeren, ben ik dan schuldig aan twee misdrijven, inbraak en vernietiging van bewijsmateriaal?
Ja, artikel 189 Wetboek van Strafrecht maakt het zoekmaken van bewijsmateriaal strafbaar, maar lid 3 vertelt dat er in jouw casus geen straf opgelegd wordt.
Vernietigen van bewijs kan strafbaar zijn. Meestal kom je dan bij artikel 189 Sr: nadat enig misdrijf is gepleegd voorwerpen of sporen daarvan vernietigen “met het oogmerk om het te bedekken of de nasporing of vervolging te beletten of te bemoeilijken”. Je intentie moet dan zijn het hinderen van de opsporing, en het is alleen strafbaar bij misdrijven. Per abuis over sporen heenlopen (bv. je was aan het joggen en je trapt het mes weg dat een dader had weggegooid) is niet strafbaar.
Als dader je eigen sporen uitwissen is ook strafbaar, maar als je kunt bewijzen dat jij sporen van die kraak wegmaakt dan kun je ook bewijzen dat jij de kraak hebt gezet, denk ik. En dan zou ik voor inbraak gaan ipv wegmaken sporen.
Meer algemeen is trouwens nog art. 200 Sr, “zaken, bestemd om voor de bevoegde macht tot overtuiging of bewijs te dienen” vernietigen/kwijtmaken/etc. Dit los van of er een misdrijf speelt, maar dit is beperkt tot zaken als officiële registers, akten enzovoorts.
Via de link van MathFox is echter te lezen: (artikel 189-3)
Deze bepalingen zijn niet van toepassing op hem die de daarin vermelde handelingen verricht ten einde gevaar van vervolging te ontgaan of af te wenden van een van zijn bloedverwanten of aangehuwden in de rechte linie of in de tweede of derde graad van de zijlinie of van zijn echtgenoot of gewezen echtgenoot.
Dat zijn niet je eigen sporen, dat zijn sporen van familieleden. Je directe familie “beschermen” door Justitie te hinderen is niet strafbaar, maar bij jezelf is dat het wel.
Toen ik eerder keek waarom MathFox dacht dat de wisser van zijn eigen sporen niet zou worden vervolgd was mijn conclusie dat het stukje voor de OF (ten einde gevaar van vervolging te ontgaan) sloeg op de dader (hem) en alleen het ‘af te wenden’ sloeg op de directe familie.
chatgpt ziet het ook zo.
Toch ben je vrij stellig, dus ik neem aan dat dat is als gevolg van jurisprudentie en niet op basis van wat er staat.
Mijn AI geeft een iets andere reden waarom het zoekmaken van bewijs door de dader niet tot strafoplegging leidt:
Dus als we dan de analogie van de kluis gebruiken, moet je zorgen dat er naast belastende zaken over jezelf ook iets belastends over een familielid in ligt?
Dat geldt voor elk misdrijf (en elke overtreding?) waar een apparaat met opslag bij betrokken is. Te beginnen bij elke beschuldiging van smaad, toegang tot zowel PC als telefoon en elk social medium en chatdienst? Eng.
Wat is de consequentie van een fishing expedition? Ik meen te herinneren dat bewijs na onrechtmatige huiszoeking vaak/ soms nog wel gebruikt mag worden.
Waarom moet je een telefoon doorzoeken bij een uitingsdelict? Je weet wat diegene heeft gezegd, het moet per definitie openbaar zijn. Of bedoel je dat de verdachte stelt: dat heb ik nooit gezegd? Dan is heel misschien doorzoeken van zijn telefoon nuttig, om te bewijzen dat het vanaf die telefoon is geplaatst. Ik weet niet precies wat daar eng aan is?
Bij fishing expeditions gaat de politie dingen zoeken zonder redelijke verdenking en/of wettelijke bevoegdheid. Of met misbruik van een andere bevoegdheid. Dat leidt al snel tot uitsluiting van het bewijs.
Ik heb nog wel een extreem voorbeeld, waarover nog een ei te leggen valt;
Wat als de officier van justitie je beschuldigd van steganografie in combinatie met encryptie? In theorie kan elke harde schijf of .jpeg een geheim bestand bevatten, dat alleen tevoorschijn komt als je exact het juiste wachtwoord geeft. Daarnaast kunnen er ook extra bestanden zijn die ook verborgen zijn, maar verder onschuldig.
In zo’n geval… Hoe kan de aanklager dit bewijzen? En andersom; wat als ik beticht wordt van steganografie? Ik kan niet bewijzen dat er geen verborgen bestanden zijn.
Ik ben het eens met de rechtbank in het algemeen. Gedwongen worden om een wachtwoord te geven, is niet het zelfde als gedwongen worden om een getuigenis af te leggen. Echter, de techniek kan roet in het eten gooien en dit kan nog steeds tot justitiële dwalingen leiden.
PS. Aangaande steganografie, hier een praktijkvoorbeeld: https://veracrypt.io/en/Hidden%20Volume.html
Het OM moet bewijzen, jij hoeft je onschuld niet te laten zien.
Ik zou als officier beginnen met je gesprekspartners. Eentje stuurt jou steeds plaatjes van boeketten. Die op zijn laptop in de map Downloads zijn anders dan zoals bij jou ontvangen. NFI zegt dat dit toegevoegde ruis is.
Vervolgens tref ik op de laptop van de medeverdachte een Google maps zoekopdracht naar een bepaald steegje en dat is waar jij bent opgepakt. Dan krijg ik wel een deskundige die wil verklaren dat mogelijk die coördinaten in dat boeket zaten.
En op basis van wat gaat het NFI dan concluderen dat het ’toegevoegde ruis’ is en niet versleutelde data waarvan de sleutel alleen nog niet bekend is?
Want dat is het grote risico hier. Elk blok aan random ruis kan (wiskundig gezien) ook versleutelde gegevens zijn, wat dus ook betekent dat een OM spoken kan gaan zien als ze een reden willen hebben om iemand te pakken.
Wanneer een OvJ naar eer en geweten handelt zie ik daar nog niet zo veel problemen in, maar het wordt vooral een probleem wanneer dat niet meer zo is. Denk aan de VS waar je toch nu je twijfels kan krijgen bij de rechtsgang en waar een brok met random data (waar dus ook werkelijk niets in zit) zonder pardon aangevoerd kan worden als ‘versleuteld bewijs’ en een verdachte die het (niet-bestaande) wachtwoord niet af kan geven, kan gepakt worden voor obstructie.
Je kunt “toegevoegde ruis” concluderen uit de pixelverschillen tussen de gedownloade foto (en kennelijk origineel, gezien het ook op een bronsite staat met die pixels) en de ontvangen foto bij de ander. Wat die ruis doet, dat weet je niet.
Het gaat altijd om het totaalplaatje, er is geen binair criterium waarmee vaststaat dat het wel stego moet zijn. Spoken zien kan altijd, maar daar zal de rechter wel bewijs van willen zien. En met een keten zoals ik schets, kom je een heel eind. Maar je hebt meer nodig dan enkel de ict, zoals de Maps-coordinaten waar jij aangehouden werd. Hoe kwamen die bij jou als jij alleen boeket-plaatjes uitwisselt met die persoon?
Dan kom je op het puntje van “redelijke verdenking”, en dat is precies wat ik probeerde te zeggen: Wanneer je aan de ene kant die noodzaak tot redelijke verdenking het raam uit gooit (denk aan de praktijken van ICE in de VS) en aan de andere kant gaat proberen om overal ‘bewijsmateriaal’ in te zien ook als dat niet bestaat, dan kom je heel erg op glad ijs uit.
Denk aan een voorbeeld van iemand die (onterecht) ervan beschuldigd wordt dat ie kinderporno bezit, en het enige wat het OM kan zien is een blanco harde schijf. Moeten ze dan door gaan vragen of daar een (al dan niet dubbele) encrypted container in zit, van die persoon een wachtwoord gaan eisen, of zelfs gaan stellen dat ie bewijsmateriaal heeft verdoezeld/vernietigd, zonder dat ze weten dat het bestaat?
Alles valt of staat met de basisaanname dat Justitie en de rechtspraak zich aan de fundamentele beginselen van de rechtsstaat houdt. Alle waarborgen zijn daarop gebaseerd.
Op het moment dat die wegvallen, dan valt al het overige ook weg en dan krijg je kangoeroerechtbanken die wel juridisch taalgebruik bezigen maar niet daadwerkelijk aan rechtspraak doen. “De raven van Odin vlogen over je huis, dus bewezen is dat je steganografie gebruikt.”
Glad ijs bestaat niet in het huidige systeem, ook niet bij dit punt. De waarborg is: we zijn redelijk zeker dat dit specifieke apparaat informatie bevat die hoognodig is om het bewijs van dit specifieke misdrijf rond te krijgen. Dat zijn dingen waar een rechter op kan toetsen.
Ik vind het toch wel lastig om in deze gedachtengang van het hof mee te gaan. Ja, die gegevens zijn er gewoon. Maar de gegevens die er zijn, dat zijn toch de versleutelde bytes op de geheugenchips. Die hebben ze gewoon in hun bezit. Maar wat justitie nu van de verdachte wil is een methode om die bytes te transformeren.
Maar misschien begrijp ik ook gewoon niet wat justitie in de analoge wereld allemaal van een verdachte mag vorderen. Ik weet dat dit snel naar “komt weer zo’n nerd die het in het extreme wil trekken en het recht is geen wiskunde” gaat, maar toch… Stel ik heb een bonnetje opgeschreven van wat ik allemaal heb gestolen, maar die heb ik ROT13 opgeschreven. En Justitie heeft dat papiertje wel gevonden, denkt dat het nuttig bewijsmateriaal is, maar komt er niet uit hoe ze dat moeten ontsleutelen en leesbaar maken. Dan zegt het Hof nu dus dat ik ze dat moet uitleggen, omdat die gegevens er al zijn ookal kan Justitie het nu niet lezen. En om een of andere manier is dat dan anders dan dat ik ze moet vertellen in welke garagebox ik mijn gestolen spullen heb bewaard.
Ik ben geen jurist, maar iets voelt hier niet goed.
Ik weet niet of dat anders is. Met garageboxen is het probleem er niet echt, die kun je als politie gewoon opsporen want zó veel plekken zijn er niet waar jij die gehuurd kan hebben. Mogelijk is er een bankafschrift met betaling, een getuige zag je er heen gaan, de buurman herkende je van Opsporing Verzocht.
Ik zie wel hoe dit arrest doortrekken betekent dat je ook moet zeggen waar de garagebox staat. Ik weet niet precies wat daar mis mee is. (Behalve dat in de Franse wet de toepassing beperkt is tot decryptiesleutels en -technieken, dus niet op garageboxlocaties.)
Wat ik vooral niet snap is hoe dat hof de rechtsbeginselen zo ver heeft kunnen oprekken.
“Je hoeft niet aan je eigen veroordeling mee te werken” is een heel simpel principe, en voor elk normaal mens is dat heel duidelijk. Maar iemand kan dan ineens zomaar bepalen “ja leuk, maar eiiigenlijk betekent dat alleen maar dat je niet gedwongen kunt worden om te bekennen”.
Op normale mensen komt dat erg raar over. Dus je kunt wel zeggen dat “Alles valt of staat met de basisaanname dat Justitie en de rechtspraak zich aan de fundamentele beginselen van de rechtsstaat houdt”, maar op deze manier wordt het vertrouwen daarin wel erg ver uitgehold. Het lijkt voor een gewone burger veel meer op “give me the man, and I will find the crime”.
Ik snap het. Voor juristen is een rechtsbeginsel zeg maar een mooie uitspraak, geen hard recht dat de overheid of rechter bindt. Je vindt het ook niet terug in de Grondwet of het EVRM. Je hebt recht op een eerlijk proces (artikel 6), en in diverse uitspraken is bepaald dat verdachten dwingen tot bekentenissen het proces oneerlijk maakt. Dan kom je bij de vraag wat een bekentenis is, en vandaar dit soort lijnen.
Ik vind het van belang dat bij zo’n rechtsbeginsel men ook de huidige maatschappij meeweegt. In de Romeinse tijd was iets of een ding dat je moest zoeken, of een gegeven dat iemand wist. En dat laatste was eigenlijk altijd daderkennis of bekentenis.
Maar het opmerkelijke is wel dat als je je to-do lijst waar op staat ‘lijk laten verdwijnen’ in je hoofd bewaart, je dat geheim mag houden, maar als je die to-do lijst opschrijft op een plek waar er ook niemand aankan (een encrypted bestand), je dat ineens niet meer geheim mag houden.
Ergens klopt er daar iets niet.
Als je het hebt over ‘de huidige maatschappij meewegen’ dan lijkt het me zeer verdedigbaar dat, gezien de toenemende complexiteit en het belang van grote hoeveelheden data, je telefoon een ‘uitbreiding’ van je lichamelijke geheugen is, en je daarop dus dezelfde basisrechten zou moeten kunnen uitoefenen.
Ik denk dat het meer is: het was nooit een issue dat mensen zulke dingen in het hoofd hielden. Als we dingen moesten weten, was dat eigenlijk altijd een bekentenis of wat daarbij hoort (zoals namen van partners in crime). Todo lijstjes slingeren ergens rond. De buit ligt ergens in huis. Die garagebox heb jij gehuurd, we bellen gewoon alle verhuurders in de stad.
Interessant. Jij bekijkt het vanuit een praktische kant. Je schreef ook al in de originele blog:
en dat vond ik ook al bijzonder.Ik was er altijd van overtuigd dat ‘de achterliggende verklaring’ simpelweg het erkennen van een natuurlijk recht is.
In mijn optiek was het altijd al een issue dat mensen dingen in hun hoofd hebben. Het was alleen een onoplosbare issue zonder aan de natuurlijke rechten van een ieder te raken.
Wat zou dan allemaal onder meewerken vallen?
Is de politie binnen laten als ze met een huiszoekingsbevel voor je deur staan meewerken? En wat is dan het verschil tussen de politie in je huis laten en de politie in je computer laten? Behalve dat het makkelijker is om toegang tot je huis te forceren dan tot je computer?
Vanwege dit praktisch onderscheid was dit vroeger niet of nauwelijks een ding. Justitie kon het ook zonder jouw hulp, behalve je bekentenis verkrijgen.
Ik kan me voorstellen dat het vroeger een discussie was, als bv. het lijk van het slachtoffer niet kon worden gevonden en de verdachte weigerde te zeggen waar het lag. Maar ik zie hoe het moeilijk is zoiets te vertellen zonder op zijn minst te bekennen dat je een lijk hebt kwijtgemaakt (151 Sr).
Stel ik heb een aantal grote en kleine versleutelde bestanden met random data op mijn pc. Hier heb ik het wachtwoord nooit van opgeslagen maar ook als ik dat wel zou doen zit er alleen ruis in. Het doel is om bepaalde code te testen die geen echte data nodig hebben
Hoe ga ik dit dan aantonen? Het hebben van versleutelde bestanden op je systeem is geheel legaal mag ik hopen
De voorvraag is: waarom denkt Justitie dat er informatie over een strafbaar feit in zit waarvan jij op dat moment al verdachte bent? Enkel “er staat hier een blob die volgens onze tools encrypted data is” is daarvoor niet genoeg. Staat ie in de map “Handel / MDMA / Okt 2025 / adressenbestand.xlsx.gpg” dan zou ik snappen dat Justitie de sleutel van je vordert wanneer ze je net van je scooter hebben geplukt met een handelshoeveelheid MDMA.
Omdat ik denk dat het een illusie is om te denken dat criminelen hun databestanden allemaal netjes op die manier genoemd opslaan in nette folders waarvan alleen al de naamgeving bewijs vormt.
En stel dat; stel nu dat er op een in beslag genomen computer een “Documenten / criminele handelingen / Handel / MDMA / 2025 / 10 / afnemers.xlsx.gpg” bestaat, en nog 100 soortgelijke bestanden in soortgelijke directories, allemaal netjes geordend. Maar naast die directory is er ook een “Documenten / Legale activiteiten” met daarin ook meerdere versleutelde bestanden genaamd “prive filmpje .mp4.gpg” en “stortingsbewijs prive-rekening (niet voor zwart geld, alleen legaal) .pdf.gpg”, Denk je dan echt dat justitie niet zal eisen dat je ook je sleutels verstrekt voor die versleutelde bestanden in de “legale activiteiten” directory? Kom op, dat is toch niet een redelijke verwachting? Als je 100 versleutelde bestanden hebt die bewijs vormen voor criminele activiteiten, dan gaat justitie echt niet de overige bestanden links laten liggen alleen maar omdat je die directory anders genoemd hebt. Het lijkt mij in elk geval een volkomen onrealistische aanname.
Exact dat. Het mooiste geval zou nog zijn wanneer je computer gebruikt is door een ander of door malware die encrypted bestanden heeft achtergelaten. Vervolgens wordt je verdachte door bijv een geo peiling wie er bij een mast in de buurt of omdat iemand meld misdaad anoniem misbruikt oid.
Tada schuldig aan het schenden van het decryptie bevel zonder ooit het tegendeel te kunnen bewijzen.
Counterpoint: Wat nu als de data zélf het strafbare feit is? Ik noem een goed voorbeeld, namelijk kinderporno, dat is ‘verboden data’ en het bestaan van de data op zich is dan al een strafbaar feit. Hoe gaat Justitie daar een redelijke verdenking op krijgen of geeft ze dat wel vrij spel om te gaan scrapen en elk versleuteld bestand te beschouwen als mogelijkerwijs strafbare gegevens?
Die verdenking komt op de normale manier, net zoals ze een verdenking kan concretiseren dat jij onversleuteld kindermisbruikmateriaal op je harde schijf hebt. De stap “oh verhip het is een versleutelde blob” komt pas daarna. Het is idioot dat men zonder verdenking binnen mag stappen, een blob aanwijzen en zeggen “ontsleutel die want mogelijk strafbare inhoud”.
Die bestanden met random data, dat zijn one time pads. Gefeliciteerd, jullie hebben de sleutels al. Ga nu maar op zoek naar de bijbehorende versleutelde bestanden.
Er staan ook een aantal nog ongebruikte sleutels tussen…
Tja, en wat dan? Met de simpele XOR “decryptie” kan ik, met een one-time-pad elk gewenst bestand dat minstens zo groot is als het aangetroffen bestand, verkrijgen. Dus ik genereer een bekentenis of hard bewijs, verhaspel het zodat de one-time-pad in combinatie met mijn nep bestand werkt als een sleutel die dan weer die bekentenis oplevert.
@Arnoud: Is het eveneens strafbaar om medewerking te weigeren als justitie de combinatiecode van je kluis vordert? Alle argumenten die ik lees over waarom het vorderen van een pincode geen schending van je zwijgrecht is zie ik net zo goed opgaan voor het weigeren die combinatiecode af te geven.
Als er een wet is die eist dat je bij (concrete verdenking van een misdrijf) én (een concreet vermoeden dat de inhoud van de kluis het bewijs verder helpt) de kluiscombinatie geeft, dan moet jij volgens deze jurisprudentie meewerken. Dit is echter geen probleem in de praktijk. De meeste criminelen hebben niet zulke kluizen waar ze bewijs in bewaren. En waar die er wel zijn, werken de fabrikanten mee aan het openmaken. Bij zakelijke kluizen is het bedrijf sowieso al verplicht tot medewerking.
Justitie, politie, allemaal hetzelfde voor veel mensen, dus met deze uitspraak in de hand kan een nepagent aan de deur nu ook de pincode of wachtwoord op komen halen.
Ik leef dus on the edge …
Ik heb in de kast een doos met elke harddisk en SSD die ik ooit heb gekocht en vervangen voor ik de hele computer weg deed. Ik schat dat get er een kleine 40 zijn en dat driekwart daarvan is versleuteld met sleutels die ik al jaren niet meer weet / sleutels die zijn opgeslagen in de TPM van een moderbord wat ik niet meer in bezit heb.
Het probleem blijft altijd dat je dingen gaat eisen die mensen echt niet weten en dan? Onschuldigen vastzetten omdat de politie een redelijke verdenking hebben, terwijl er normaal voor een strafrecht veroordeling veel meer zekerheid nodig is? Normaal is een redelijke verdenking geen basis voor een strafrechtelijke veroordeling, maar als je zegt de sleutel niet te weten is het wel genoeg om je op te sluiten?
Het klopt simpelweg niet.
Je mist een voorvraag: met welke redelijke en concreet onderbouwde verdenking komt Justitie bij jou binnen met een huiszoekingsbevel dat ook strekt tot de inhoud van al die harddisks. Als er niets is, of niets dat te linken is aan die harddisks, dan kan een ontsleutelbevel niet worden gegeven. Niet in Frankrijk en niet hier.
Waar het mij om gaat is, stel men heeft een redelijke en concreet onderbouwde verdenking, en die heeft iets met digitale data te maken, maar deze klopt niet. Dat is geen onrealistische situatie, er worden immers genoeg mensen vrijgesproken en ik ga er maar even vanuit dat die niet vervolgd zouden worden zonder een redelijke en concreet onderbouwde verdenking. /s
Ze komen bij mij thuis en ik kan prima mijn huidige systeem voor ze ontsleutelen om te laten zien dat ze ongelijk hebben. Maar ik heb ook een doos met harddisks die ik niet kan ontsleutelen. Het klopt dan niet dat je opgesloten kan worden op basis van iets wat in de uiteindelijke strafzaak onvoldoende is voor een strafrechtelijke veroordeling.
Mijn probleem is en blijft dat je nooit kan bewijzen wat iemand weet. Er is geen rechtbank die in het hoofd van een persoon kan kijken of iemand niet meewerkt omdat hij weet dat er bewijs in die bestanden staat of omdat de persoon echt de sleutel niet heeft.
Je creëert hier dus de situatie waar de onschuldige persoon altijd gestraft zal worden, omdat je hem een opdracht geeft waaraan hij onmogelijk kan voldoen. En die situatie maak je ook nog eens waarschijnlijker door de bewijslast hiervoor te verlagen naar een redelijke concreet onderbouwde verdenking, iets wat in het strafrecht terecht onvoldoende is voor een veroordeling. Ik kan dat niet anders dan barbaars noemen.
Niet alleen “die heeft iets met digitale data te maken” maar ook “en met die concrete dragers”. Stel jij wordt gearresteerd op verdenking van drugshandel, een agent in burger kocht bij jou drugs en zag jou op je telefoon iets typen, waarna een jongen op een scooter je een zakje wiet gaf. Dán is “ik wil de data van de chatapps op je telefoon” een rechtmatige vordering.
Daarna naar huis gaan en zeggen “ik wil van álle harddisks hier alle data” gaat ‘m niet worden. Waarom verdenk je die harddisks?
Ja, maar dat is een duidelijke situatie. Het punt is dat het echt niet altijd zo eenduidig is.
Nu de situatie wij hebben met netwerk monitoring gezien dat je op tijdstip X een groot versleuteld bestand hebt gedownload, waarvan wij vermoeden dat het – noem eens iets – staatsgeheimen bevat. Dan staan ze geheid bij je thuis en nemen ze alle datadraghers in je huis in beslag. Want wie zegt dat je het op de schijf in je computer hebt opgeslagen?
Vergezocht? Niet echt in 2009 nog gebeurd bij een journalist van de Telegraaf. Die had de mazzel dat journalisten wat meer bescherming genieten dan de gemiddelde persoon en uiteindelijk werd feitelijk de rechter-commissaris terug gevloten.
Ik kan mij ook niet aan de indruk onttrekken dat bij een verdenking van grootschalige auteursrechten schending men ook alle datadragers mee zal nemen.
Wij hebben redelijke onderbouwde verdenking van grootschalige auteursrechten schending / dat jij in bezit bent van staatsgeheimen. Deze gegevensdragers zijn bij jou thuis gevonden en die zijn dus van jou en die data is digitaal opgeslagen dus op één van die datadragers staat het ontsleutel maar die boel.