Man krijgt drie jaar cel voor grootschalige datahandel

Een 35-jarige man uit Heerenveen is dinsdag veroordeeld tot drie jaar cel, las ik bij Nu.nl. Hij verkocht op internet lijsten met niet openbaar beschikbare persoonsgegevens, die door criminelen misbruikt konden worden voor verschillende vormen van fraude. Bij de strafmaat zit ook hennepbezit en witwassen van 70k, maar toch: dat zie je niet vaak, persoonsgegevenshandel.

Het vonnis bevat voor mij weer een leuke hoeveelheid verbalisantenproza, ditmaal gespekt met cybercrimejargon:

Ik, verbalisant, opende de map ‘ [naam 2] ’ en opende het bestand messages.html met een internetbrowser. Ik zag een export van Telegramgesprekken tussen de accounts [naam 2] en [naam 7]. … Tijdens een gesprek op 6 september 2020 om 16:44 uur zag ik dat [naam 7] aan [naam 2] vroeg of deze nog ’20k nl’ had, [naam 2] reageerde hierop met ‘sws’.
Verbalisant was ambtshalve bekend met het feit dat “20k nl” betekent “Heb jij wellicht een tekstbestand met telefoonnummers van 20.000 Nederlanders”. Dat werd verstrekt in ruil voor betaling met een barkie bol (een meier als Bol.com cadeaubon). Later bleek verdachte ook te handelen in ‘leads’, hier kennelijk bankgegevens van orra (ING) klanten, die na gooien van btc ook daadwerkelijk werden verstrekt.

Na de arrestatie werd de laptop van verdachte doorzocht en werd een verzameling gegevens aangetroffen van malware-data:

Deze verzameling bevat gegevens uit de periode van januari 2021 tot en met maart 2021, is samengesteld op 10 april 2021 en omvat gegevens van ruim 6700 geïnfecteerde computersystemen. De verzamelde gegevens betreffen veelal gebruikersnamen en wachtwoorden voor verschillende internet websites en platformen als ook “autofill” waardes en cookies uit de webbrowser en in enkele gevallen ook bestanden afkomstig van het bureaublad van de geïnfecteerde computers. Per geïnfecteerd computersysteem kan het aantal buitgemaakte wachtwoorden oplopen tot enkele tientallen. Dat geeft deze verzameling een potentieel toegang tot meer dan 100.000 online accounts.
Dit is strafbaar onder artikel 234 Strafrecht:
Hij die stoffen, voorwerpen of gegevens vervaardigt, ontvangt, zich verschaft, verkoopt, overdraagt, verwerft, vervoert, invoert, uitvoert, verspreidt, anderszins ter beschikking stelt of voorhanden heeft waarvan hij weet dat zij bestemd zijn tot het plegen van [oplichting, afpersing of verduistering] voor zover deze feiten betrekking hebben op de verkrijging van een niet-contant betaalinstrument, wordt gestraft met gevangenisstraf van ten hoogste vier jaar of geldboete van de vierde categorie.
Tevens werd diverse keren het misdrijf witwassen gepleegd, door het omzetten van de aldus verkregen cadeaubonnen naar Euro’s en leguanen (ik dacht eerst nft’s maar het ging om levende reptielen). En daarnaast dus 334 gram hennep, alles bij elkaar goed voor vier jaar cel.

Arnoud

OM wil makkelijker gegevens van resellers Nederlandse hosters hebben

geralt / Pixabay

Het Openbaar Ministerie wil dat het makkelijker wordt om klantgegevens en andere informatie op te vragen van bedrijven die serverruimte in Nederland doorverhuren. Dat las ik bij Security.nl. Men citeert hightechcrime-officier Esther Baars in OM-bedrijfsblad Opportuun die signaleert dat cybercriminelen vaak servers van Nederlandse datacentra gebruiken met tussenkomst van een reseller. Optreden daartegen vereist een rechtshulpverzoek, terwijl de data gewoon hier in Nederland staat. “Dat is werkelijk idioot”.

Baars legt uit waar de kern van het probleem zit:

Vaak gebruiken [cybercriminelen] servers van datacentra in Nederland. Zo’n datacenter verhuurt een server aan een tussenpersoon, een ‘reseller’. Dat mag gewoon. En die reseller verhuurt dan die serverruimte in Nederland weer door aan zijn eigen klanten. Dat maakt het voor ons ingewikkeld om verdachte klanten op te sporen.
Dus zeg maar, het Nederlandse bedrijf verhuurt een opslagbox aan een ondernemer, die daar vervolgens mooie opslagkasten in zet en buitenlandse klanten elk in diens eigen kast wat laat opslaan. Het probleem is dan: waar in de gewone wereld de politie gewoon die kast mag openmaken, moet de cyberpolitie per kast nagaan wat de identiteit van de reseller of de eindklant is om vervolgens in dat land een rechtshulpverzoek te doen – in “Rusland, de Seychellen, de Verenigde Arabische Emiraten, of een ander land waarmee wij geen, of een trage rechtshulprelatie hebben.”

Het punt is natuurlijk, bij zo’n gewone kast in een opslagbox kun je een slotenmaker meenemen en het ding openmaken, of je neemt hem (de kast, niet de slotenmaker) mee naar het bureau om daar rustig na te gaan wat er in zit. Bij een digitale kast, de vps van de klant van een reseller, is dat een stuk complexer:

[Dan] is het niet onmogelijk om een kopie te maken, maar kan dat kopiëren schade veroorzaken voor onbekende klanten die die server ook gebruiken maar niks met de criminaliteit te maken hebben. … [O]nze wet is zo ingericht dat we dan eigenlijk rechtshulpverzoeken moeten doen om die gegevens te krijgen. Dat is werkelijk idioot, want het is gewoon data die in Nederland staat en de plaats delict is dus gewoon Nederland.
Ik denk dat het issue is dat om zo’n kopie te maken je de server even uit moet zetten (‘bevriezen’), maar een typische resellermachine – de opslagbox met de kasten – kan vele tientallen klantensystemen tegelijk hebben. Dan gaan die dus allemaal even uit, en als eentje daarvan dan toevallig de betalingsdiensten van Alibaba in Nederland doet dan wordt het een ongezellige middag.

Ja, ik kan me ook niet direct voorstellen dat dezelfde reseller én een berg pittige cybercriminelen én Alipay Nederland als klant heeft, maar dit is het voorbeeld dat men noemt dus dat zal ergens op gebaseerd zijn. Maar goed ook als het gaat om gewoon een doorsnee gamingdienst of betaald forum, je dupeert een onschuldige ondernemer enkel omdat die bij dezelfde reseller wat afneemt als een crimineel.

De reseller kan gericht servers afsluiten of kopieën helpen maken, maar die is daar zelden toe bereid zonder bevel van de lokale overheid, vandaar die route van het rechtshulpverzoek. En dat gaat inderdaad vaak traag, als men in zo’n land al bereid is om überhaupt iets te doen tegen een reseller wiens klanten in dat land geen directe rottigheid uithalen.

Wat dan wel?

De reseller [weet precies] waar wij moeten zijn. Het zou zo logisch zijn als we de Nederlandse partij kunnen verplichten die exacte locatie te achterhalen en aan ons door te geven.
Komen de kasten weer: de verhuurder van de opslagbox moet een reservesleutel van de box en liefst ook van elke kast hebben. Zo kan gericht de juiste kast meegenomen worden. Het is technisch niet héél moeilijk om dit zo in te richten, de reseller (de huurder) kan vrij eenvoudig aan de hoster (de verhuurder) welke vps van welke klant is en dan desbevolen een kopie daarvan af te geven aan het OM.

Een lastige is, hoe dwing je resellers om dit te doen. Je komt dan al snel bij administratieve procedures uit, zoals dat de hoster moet kunnen meekijken in het VPS controlepaneel maar dan zonder de overige, commercieel zeer interessante, gegevens over de klanten. Of dat de hoster een beperkte set informatie krijgt maar wel moet kunnen nagaan dat dat overeenkomt met de werkelijke configuratie. Het kan allemaal maar praktisch is anders.

Arnoud

Oh ja, dat Parkeerwekker bestond dus nog, maar in hoger beroep niet meer

Weet u nog, Parkeerwekker? De app waarmee gebruikers scanauto’s van een gemeentelijke parkeerdiensten konden detecteren, en zo snel de parkeerapp aanzetten omdat ze giechel giechel “waren vergeten” deze aan te zetten. En ja schandalig scanauto’s zijn in strijd met de AVG dus eigenlijk beschermen we de grondrechten hahaha. Het Hof Amsterdam vond het allemaal niet grappig en deed een Kevin O’Leary: ophouden hiermee, dit is aanzetten tot belastingontduiking en uw zogenaamde argumenten nemen wij volstrekt niet serieus. Einde van de app lijkt me.

De dienst herkent met AI scanauto’s van gemeentelijke parkeerdiensten en geeft een seintje zodra zo’n controleur je geparkeerde auto passeert. Nee, dat is voor vergeetachtige mensen, aldus de directeur met een braaf gezicht. “Nee, we knipoogden niet, er zat iets in ons oog. Knipoog.” zoals ze het bij Top Gear zeiden. Kijk, dan verlies je het dus ondanks je mooie juridische argumenten – dat zei ik in 2021 en het bleek nog waar ook. De gemeente Amsterdam kreeg een verbod voor elkaar bij de rechter: Deze app zet aan tot ontduiking van parkeerbelasting.

Uiteraard was men het daarmee oneens, dus werd hoger beroep ingesteld. In mei werd zelfs een extra argument losgelaten: bekeuringen van scanauto’s worden waarschijnlijk automatisch uitgedeeld, met hooguit steekproefsgewijs een controle, en dat mag niet van de AVG. Of zoiets, tot een daadwerkelijk juridisch argument leidde dit alles niet.

Het hoger beroep was vanuit Parkeerwekker vooral een herhaling van argumenten, wat zelden een goed teken is. Het Hof had dan ook weinig geduld met de voorstelling van zaken:

Parkeerwekker [is] een systeem dat ertoe leidt dat in beginsel steeds geen of te weinig parkeerbelasting wordt betaald: de automobilist wordt immers pas gewaarschuwd als een scanauto wordt gedetecteerd. Die waarschuwing kan dus gedurende het gehele tijdvak dat de desbetreffende auto geparkeerd staat niet komen, en als die waarschuwing wel komt zal dat pas het geval zijn enige of geruime tijd na het parkeren van de auto. Daarmee wordt, ongeacht de bedoelingen van de individuele parkeerder, bewerkstelligd dat geen of te weinig parkeerbelasting wordt betaald.
Deze komt echt uit mijn tenen maar het tegenargument zou dan zijn dat je nou eenmaal een trigger moet hebben om “hee je moet betalen” te sturen, en dat het detecteren van een scanauto daar een goede trigger bij is. Nee, is ‘m niet he? U gaat door voor de koelkast:
[A]ls een automobilist die gebruik wil maken van Parkeerwekker een auto parkeert in een betaald parkeren gebied, deze (a) de camera op de weg dient te richten en (b) de app Parkeerwekker dient in te schakelen. Dit laat zich niet verdragen met de stelling dat Parkeerwekker ertoe dient automobilisten die vergeten te betalen aan die betalingsverplichting te herinneren.
Want het hele punt van Parkeerwekker was dus dat je zelf die app activeert en een camera om je heen laat kijken. Hoe je enerzijds kunt vergeten de parkeer-app aan te zetten en anderzijds wel dat allemaal doen, daar ging men nooit op in. En dan zijn we verder snel klaar.

Arnoud

Rechter beveelt politie in te loggen op WhatsApp-account overleden slachtoffer

Pexels / Pixabay

De rechter-commissaris in Den Haag heeft de politie bevolen om in te loggen op het WhatsApp- en Google-account van een overleden slachtoffer en zo de WhatsApp-communicatie en Google Takeout veilig te stellen voor zover die gegevens relevant zijn voor het onderzoek. Dat las ik bij Security.nl. Opmerkelijk, want de wet voorziet niet in een specifieke bevoegdheid hiervoor maar gezien de jurisprudentie zou het moeten kunnen.

Het slachtoffer is vermoedelijk door een misdrijf om het leven gekomen, en de politie had het vermoeden dat de WhatsApp- en Google Takeout communicatie relevant bewijs kon geven. Deze uit de telefoon van het slachtoffer halen lukte niet, omdat de telefoons onvindbaar waren. Een vordering bij WhatsApp-moederbedrijf Meta heeft geen zin vanwege de e2e encryptie, en Google zou volgens de officier makkelijk twee jaar over een rechtshulpverzoek doen en het dan waarschijnlijk afwijzen.

Blijft over de optie van de backup terugzetten. Daarvoor is technisch nodig dat je de sim van de verdwenen telefoon dupliceert (de provider kan dit), deze in een nieuwe telefoon plaatst en dan het WhatsApp-account herstelt. Alle backupdata wordt dan teruggezet, en daarna kun je deze lezen vanaf je nieuwe telefoon. Alleen, nergens in de wet is geregeld dat opsporingsambtenaren dit mogen doen. Je zou het zelfs een vorm van hacken kunnen noemen, binnendringen in andermans account bij WhatsApp immers.

De rechter-commissaris ziet in deze specifieke vorm van binnendringen weinig crimineels:

Het betreft stappen die een gebruiker zelf ook kan of zelfs moet zetten op het moment dat deze geen toegang meer heeft tot een account. Het terugzetten van een back-up (zoals bij WhatsApp) kan als een gebruikelijke handeling worden beschouwd, een back-up is immers bedoeld voor de situatie waarin er onverhoopt geen toegang meer tot de gegevens bestaat. Ook het moeten invoeren van bepaalde codes of het invullen van beveiligingsvragen om toegang te verkrijgen tot een account (zoals bij Google) is niet ongebruikelijk. … Het aanvragen van een duplicaat simkaart en het afvangen van een verificatiecode gebeurt niet alleen met toestemming van de nabestaande, maar valt naar het oordeel van de rechter-commissaris ook binnen de rechtmatige uitoefening van de politietaak gelet op artikel 3 van de Politiewet en de artikelen 141 en 142 Sv.
Het helpt natuurlijk zeer dat die nabestaande van het slachtoffer ook wilde wat er was gebeurd, en dus toestemming wilde geven. Of dat juridisch genoeg is om het binnendringen rechtmatig te maken, kun je over twisten: een nabestaande kan ook niet per definitie toestemming geven om een garagebox van de overledene open te breken. Maar de rechter-commissaris gebruikt het hier als een van de argumenten die maken waarom het binnendringen door de politie rechtmatig is.

Natuurlijk krijg je na deze actie toegang tot alle logs van alle chats, maar de vordering was beperkt tot bepaalde gesprekken in de elf dagen tot het overlijden. De overige data mag dus niet worden gebruikt.

Arnoud

Wacht even, dat Telegram-sluitbevel was een vrijwillig verzoek? Ik snap er nu niks meer van

Weet u nog: het Openbaar Ministerie had in oktober twee kanalen van complotdenkers op chatapp Telegram laten blokkeren, zo blogde ik destijds. Een week later bleek het anders te liggen: er is geen takedown-bevel aan Telegram gegeven, maar het bleek gewoon een handig gebruik van de telefoon van een verdachte. Dacht ik toen. Want nu komt BNR met bewijs dat er kanalen door de beheerders zijn gesloten na druk vanuit politie en Justitie.

De namen van de kanalen duizelen me een beetje, maar zo te lezen gaat het hier om een ander kanaal dan die met de telefoon van de verdachte zijn gesloten. Zoals BNR het beschrijft:

Twee agenten brachten 8 oktober een huisbezoek aan de beheerder. De Officier van Justitie had telefonisch overleg met de politie ter plaatse en dreigde de man met strafvervolging als hij het kanaal niet ter plekke zou verwijderen.
Daarop koos de man eieren voor zijn geld en sloot hij het kanaal. Dat doet raar aan: de normale manier is dat je de dienst Telegram sommeert het kanaal te sluiten. Dat werkte hier alleen niet, aldus het OM:
‘Aangezien Telegram zelf stelt: ‘To this day, we have disclosed 0 bytes of user data to third parties, including governments’, heeft de rechter-commissaris er in dit geval vanaf gezien Telegram te proberen te betrekken’, schrijft een woordvoerder.
Dat snap ik, en ik zie ook wel dat de volgende stap dan is om de beheerder zelf aan te spreken. Alleen, met welke wettelijke bevoegdheid doe je dat? De drie geciteerde deskundige juristen bij BNR weten het alle drie niet te noemen.

Mij lijkt een inroep van 54a Strafrecht logisch:

Een tussenpersoon die een communicatiedienst verleent bestaande in de doorgifte of opslag van gegevens die van een ander afkomstig zijn, wordt bij een strafbaar feit dat met gebruikmaking van die dienst wordt begaan als zodanig niet vervolgd indien hij voldoet aan een bevel als bedoeld in artikel 125p van het Wetboek van Strafvordering.
Je zou dan stellen dat de beheerder een tussenpersoon is, door het in stand houden van de groep verleent hij dan de dienst van doorgifte van gegevens van anderen (de chattende gebruikers). Punt is wel dat je dan niet alleen de officier van justitie nodig hebt, maar ook de rechter-commissaris. En die lijkt hier niet in beeld te zijn geweest. (Nog los van dat het ietwat discutabel is of een losse Telegram gebruiker te zien moet zijn als een provider.)

BNR heeft het proces-verbaal erbij geleverd, waarin te lezen is hoe de agenten het instaken. Zij, verbalisanten, gaven een gedragsaanwijzing (artikel 509hh Strafvordering), waarvoor inderdaad alleen een officier nodig is. Alleen, een gedragsaanwijzing heeft maar beperkte mogelijkheden:

2 De gedragsaanwijzing kan inhouden dat de verdachte wordt bevolen:

a.zich niet op te houden in een bepaald gebied,

b.zich te onthouden van contact met een bepaalde persoon of bepaalde personen,

c.zich op bepaalde tijdstippen te melden bij de daartoe aangewezen opsporingsambtenaar,

d.zich te doen begeleiden bij hulpverlening die van invloed kan zijn op het plegen van strafbare feiten door de verdachte.

De aanwijzing hier was een verbod “Red Pill Journals of informatie van vergelijkbare aard of inhoud te delen op het internet en/of via sociale media”. Ik kan dat hooguit een zeer gezochte invulling van lid 2 sub b noemen: “het internet en/of sociale media” zijn dan “bepaalde personen”, nee sorry waar ik zei “gezochte invulling” bedoelde ik “komt niet door de giecheltoets” stop de tijd. Ik snap dit niet.

Of nou ja, praktisch snap ik het wel: dit soort kanalen kunnen erg kwalijke effecten hebben, dus dat je daar als politie of officier bovenop zit en in wilt grijpen dat is heel logisch. Alleen moet zoiets wel via de regels, juist omdat het gaat om meningsuitingen. Ik had dus zelf ingezet op 54a en dat bij de rechter laten toetsen.

Arnoud

Met historisch akkoord herschrijft Brussel de regels voor het internet, nou nou nou

ColiN00B / Pixabay

De Europese Unie laat een tijdperk van zelfregulatie achter zich met de invoering van ingrijpende nieuwe regels voor internetbedrijven, zo noemt NRC het. Nu.nl is iets feitelijker: De EU-lidstaten, de Europese Commissie en het Europees Parlement zijn het in de nacht van vrijdag op zaterdag eens geworden over definitieve, strengere wetgeving die de macht van grote internetbedrijven als Google en Meta moet beperken en consumenten beter moet beschermen. Voor de juristen: er is politieke overeenstemming over de definitieve tekst van de Digital Services Act, de laatste in een reeks Europese wetten die gedrag en aansprakelijkheid van de grote platforms moet reguleren. Ik lees veel gejuich, maar let op, er is nog géén definitieve tekst laat staan een wet die binnenkort van kracht gaat zijn.

De DSA is formeel de opvolger van de e-commerce richtlijn uit 2000 die de basis legde voor de internetwereld zoals die nu is. De kern was vrij simpel: hands off, laat bedrijven groeien en zorg voor duidelijke informatieverstrekking. Aansprakelijkheid is een begrijpelijke zorg van dienstverleners, dus die wordt beperkt tot notice/takedown en dan zal het zichzelf wel reguleren. Eh, ja nee niet helemaal zoals het bedoeld was. We zitten nu met enorme platforms die nauwelijks verantwoordelijkheid nemen, machtsconcentraties waar de mededingingswet niet tegen kan en diepe informatiebubbels waar je u tegen zegt.

Het doel van de nieuwe wet is om hier een tegenwicht aan te stellen. Transparantie staat voorop, net als het betrekken van mensenrechten in bedrijfsbeslissingen en het eerlijk omgaan met klachten en belangen van gebruikers. En voor de héle grote jongens nog een hele trits aan extra regels op het gebied van transparantie, meewerken met onderzoekers en onderzoeken welke “zorgvuldig geselecteerde partners” dingen mogen doen met je klanten. Heel groot ben je overigens als je 10% van de EU-burgers als klant hebt.

Voor bedrijven die zaken moeten doen met die grote jongens zou er veel positiefs moeten komen: duidelijke regels, een eerlijk speelveld, geen arbitraire regelwijzigingen en zelfs mogen concurreren met de eigen business van die platforms. Consumenten zouden minder last moeten hebben van illegale inhoud, krijgen toegang tot online dispuutoplossing plus inzicht met opt-out tegen gepersonaliseerde reclame en contentselectie. En zo kan ik nog wel even doorgaan.

Negatieve noten zijn er natuurlijk ook. Er is geen recht op end-to-end encryptie opgenomen, en ook do-not-track wordt niet ondersteund. Een fundamenteel probleem dat nog niet is opgelost, is dat iedere rechtbank in de EU een verbod kan uitspreken dat dan in de hele EU moet worden gerespecteerd. Denk aan een Ierse rechtbank die een website verbiedt die (vrijwel overal legale) abortuspillen verkoopt, of een Hongaarse rechter die optreedt tegen educatieve publicaties met homostellen. Daar zal dan uiteindelijk het Hof van Justitie wat van moeten vinden, maar dat duurt natuurlijk de nodige jaren.

Desondanks, het signaal is duidelijk: de tijd van terughoudendheid vanuit de wetgever is voorbij. De grote jongens, en tot op zekere hoogte iedereen met een online dienst, moet zich aan nieuwe, strenge regels houden die echt tot verandering zouden moeten leiden. Ik ben benieuwd naar de finale tekst.

Arnoud

 

 

Boete voor wie volgeladen elektrische auto bij laadpaal laat staan

mohamedhassan / Pixabay

Eigenaren van elektrische auto’s riskeren een boete van 95 euro als zij hun auto, nadat deze is opgeladen, bij een laadpaal laten staan. Dat meldde NRC onlangs. Daarbij maakt het niet uit hoelang de volgeladen auto daar blijft staan, aldus het Hof Arnhem-Leeuwarden dat hierover uitspraak deed in hoger beroep. De uitspraak zal een strop zijn voor vele elektrischeautorijders die de laadplek tevens zien als handige (gratis) parkeerplaats in de vaak drukke binnenstad.

Aan de betrokkene is als kentekenhouder bij inleidende beschikking een sanctie opgelegd van € 95,- voor: “parkeren op parkeergelegenheid met ander doel dan aangegeven wijze”, zo opent het arrest. En dan zeggen ze dat vonnissen onbegrijpelijk zijn voor gewone mensen. In gewone taal: u parkeerde waar dat niet mocht. Want de betreffende plek had het bord E04 met onderbord, wat betekent dat dit een parkeerplaats is voor het opladen van een elektrische auto (BABW artikel 8). Iets dat mensen volgens mij vaak interpreteren als “je mag je elektrische auto hier parkeren en je kunt ‘m gelijk opladen”.

Dat blijkt dus paalkleven te heten, iets dat ze in Noordwijk (waar dit speelde) fors dwars zat:

Het juiste en enige toegestane gebruik van een oplaadpaal en/of oplaadinfrastructuur is: als een elektrisch voertuig met de kabel aangesloten is aan de oplaadpaal en/of oplaadinfrastructuur. Indien niet op de juiste manier/wijze wordt geparkeerd op een voor elektrische voertuigen gereserveerde parkeerplaats dan wordt hier op gehandhaafd. Hierbij wordt naar redelijkheid en billijkheid opgetreden. Het langdurig bezet houden van een gereserveerde parkeerplaats met een ander doel dan het opladen dan wel het ‘smart chargen’ is niet toegestaan (het zogenaamde paalkleven).
Je kunt als gemeente inderdaad invullen wat het onderbord precies moet betekenen. (Dat is dat artikel 8 BABW.) Het is dus mogelijk dat je als gemeente zegt, parkeerplaats (eventueel betaald) en je mag laden, maar ook dat je zegt, alléén daar parkeren terwijl je aan het laden bent. Lampje groen? Wegwezen. Maar dan in ambtelijke taal.

De betrokkene had onder meer als bezwaar aangedragen dat hij dan bij de laadpaal zou moeten blijven staan tot die groen wordt, want anders zou je na 1 seconde een groen lampje al boetewaardig zijn. Dat is natuurlijk een tikje overdreven:

Het behoort tot de verantwoordelijkheid en het risico van de bestuurder van een elektrisch voertuig om het voertuig te verplaatsen zodra het voertuig niet meer wordt opgeladen op een parkeerplaats die is aangeduid met een bord E04 met het onderbord “opladen elektrische voertuigen”. Voor zover van de zijde van de betrokkene is gesteld dat de bestuurder steeds bij het voertuig zou moeten blijven om te weten wanneer hij zijn voertuig moet verplaatsen, wordt opgemerkt dat na het aansluiten van een elektrisch voertuig aan een laadpaal door het voertuig in de regel zelf een berekening wordt gegeven van de te verwachten laadtijd, terwijl de bestuurder ook zelf een zodanige berekening kan maken.
De gemeente had zoals hierboven aangehaald, al gezegd dat er naar redelijkheid zou worden gehandhaafd. Het boetebesluit laat ook zien dat er pas na de tweede constatering (zowel 12:40 uur als 14:39 kwam een boa langs) een boete werd uitgeschreven. Dat lijkt mij een prima manier, die 12:40 kan net twee minuten na het einde-laden zijn, maar als je er dan om 14:39 nóg staat, dan sta je echt gewoon te parkeren anders dan ten behoeve van opladen elektrische auto.

Arnoud

Amsterdam verliest rechtszaak over bericht in Berichtenbox MijnOverheid

Een heffingsambtenaar van de gemeente Amsterdam moet een nieuwe beslissing nemen op het bezwaar van een Amsterdammer tegen een niet tijdig ingediende aanslag. Dat meldde Security.nl onlangs. Dit vanwege een opmerkelijke reden: het niet aanvinken van het vinkje “stuur mij een mail als ik een nieuw bericht heb” heel gek, en een bestuursorgaan moet nagaan of dat wel de bedoeling was. Doet ze dat niet, dan kun je het de burger niet verwijten het bericht gemist te hebben.

De Amsterdammer had een aanslag onroerendezaakbelasting gekregen, en deze was elektronisch in zijn Mijn Berichtenbox geplaatst. Dat mocht, omdat hij een geactiveerd Jouw MijnOverheid-account had. Hij ging in bezwaar, maar dat was te laat. De termijn start immers wanneer het bericht in je uw mijn box geplaatst wordt (art. 2:17 Awb). En dat ging hier dus mis.

Weliswaar zit er aan zo’n berichtplaatsing een emailnotificatie, maar wanneer die verzonden (laat staan ontvangen) wordt is niet relevant. En als je die mist (omdat hij in uw je spam komt bijvoorbeeld) dan is dat jouw probleem. Althans, zo redeneert de praktijk. En toen viel menig bestuursrechtjurist van de stoel:

Als iemand aangeeft dat hij elektronisch bereikbaar is voor de overheid zonder dat hij de optie heeft aangevinkt een email te willen ontvangen steeds wanneer een bericht in de berichtenbox van MijnOverheid is geplaatst, moet het bestuursorgaan echter controleren of dit werkelijk zijn bedoeling is.
Oké, ik viel zelf van uw mijn stoel want de rechtbank citeert een uitspraak van de hoogste bestuursrechter uit 2021:
Als uitgangspunt bij de toepassing van dit artikel heeft – aansluiting zoekend bij wat is neergelegd in het wetsvoorstel genoemd in 4.4.3 – te gelden dat het ontbreken van een notificatie ertoe leidt dat de indiener van een te laat bezwaar de termijnoverschrijding niet wordt tegengeworpen als hij binnen de in de Awb voorgeschreven termijn van zes weken nadat hij kennis heeft genomen van het besluit, alsnog bezwaar maakt.
Men verwijst naar onder meer een rapport van de Ombudsman, dat erop neerkomt dat lang niet iedereen elke dag een rondje Uw Mijn Berichtenboxen doet om te zien wat daar nu weer in geplaatst is. De overheid verschuift met deze vorm van communicatie veel extra lasten naar de burger, dit in tegenstelling tot een brief in je gewone envelop. Die notificatie is dus meer dan service, die is een essentieel deel van de dienstverlening.

In die zaak van de Cbb ging het om sociale zekerheid, maar deze rechter trekt de uitspraak door naar belastingrecht. De impact van een gemiste belastingaanslag is immers vaak net zo groot als een gemiste brief van een uitkeringsinstantie:

De rechtbank oordeelt dat ook in belastingzaken geldt dat de overheid moet waarschuwen als berichten alleen zichtbaar worden in de Berichtenbox van MijnOverheid zonder notificatie, gelet op de mogelijk ingrijpende gevolgen van termijnoverschrijding.
Ongerelateerd: wat is taalkundig verantwoord voor het bezittelijk voornaamwoord bij een dienst die “Mijn” of “Uw” heet?

Arnoud

Minister: providers die illegaal materiaal hosten zijn moeilijk te vervolgen edit

Het is voor de Nederlandse politie moeilijk om hostingproviders strafrechtelijk te vervolgen als ze illegaal materiaal hosten. Dat meldde Tweakers vorige week. In antwoord op Kamervragen meldt Ye?ilgöz van Justitie dan ook dat de politie voornamelijk inzet op samenwerking met de sector. Meer zou lastig zijn: hostingproviders kunnen onder de Europese wet niet aansprakelijk worden gesteld voor het gedrag van hun klanten. Eh, ja, maar iets ingewikkelder.

Deze discussie heeft niets te maken met de Europese regels over aansprakelijkheid van providers. Aansprakelijkheid is civiel (burgerlijk) recht, hier gaat het om strafrecht. Als je strafbaar bent, krijg je een boete of celstraf. Als je aansprakelijk bent, moet je iemands schade vergoeden.

Het klopt in zoverre dat toen de civiele regels over aansprakelijkheid van providers werden gemaakt, Nederland gekozen heeft voor ook een regel van strafrecht, artikel 54a Wetboek van Strafrecht. Die zegt, een provider is niet strafrechtelijk aan te pakken als hij na een bevel van de rechter-commissaris meteen het contentitem weghaalt waar het om gaat.

Dat leek destijds een goed idee, nadeel blijkt ondertussen dat dit gelezen wordt als “je moet per URL een bevel geven en dan halen we specifiek die URL offline”. Waardoor criminele klanten bij wijze van spreken één letter veranderen in de abs_path en het weer online zetten. En er is geen juridische basis om providers te bevelen een klant te weren of een hele site offline te halen.

Er wordt nu gewerkt aan nieuwe Europese regels die meer strafrechtelijke armslag moeten geven, zodat een provider ook strafrechtelijk te vervolgen zou worden wanneer hij weigert een klant geheel af te sluiten die grootschalig de strafwet overtreedt.

Arnoud