Mag de politie computerreparateurs betalen om te dataspitten?

| AE 9308 | Strafrecht | 34 reacties

De Amerikaanse FBI zou sinds 2007 medewerkers van de Geek Squad, een computerreparatiedienst van elektronicaketen Best Buy, betaald hebben om als informanten te dienen. Dat meldde Tweakers onlangs. De reparateurs spitten door binnengebrachte computers heen op zoek naar bijvoorbeeld kinderporno. De truc daarachter zou zijn dat de reparateurs dat kunnen zonder gerechtelijk bevel of zelfs maar verdenking, en dat die dan daarna een aangifte doen dat wél grond is voor een verdenking en juridische actie. Hoe zou dat in Nederland uitpakken?

Ook bij ons geldt natuurlijk dat de politie niet zomaar in computers mag snuffelen. Een officier van justitie zou bevel geven tot doorzoeking, en meestal is daarvoor toestemming van de rechter-commissaris nodig. Dat vereist al een stevige verdenking van een misdrijf, op de bonnefooi eens gaan zoeken is niet toegestaan.

Privépersonen zijn niet aan die regels gebonden. Als een reparateur dus bij herstelwerk iets strafbaars aantreft, dan is hij bevoegd daar aangifte van te doen. Hij heeft geen toestemming nodig van een overheidsinstantie om te zoeken naar strafbare informatie of om aangifte te mogen doen.

Het maakt zelfs niet uit of de reparateur toestemming van de eigenaar had om op die plek te gaan zoeken. Snuffelen zonder grondslag kan een probleem zijn – contractbreuk, misschien zelfs computervredebreuk – maar dat maakt het aldus verkregen bewijsmateriaal niet onbruikbaar voor Justitie. In theorie zou de reparateur dan vervolgd worden voor die computervredebreuk, parallel aan de rechtszaak tegen de eigenaar voor hetgeen dat er gevonden is middels die computervredebreuk.

Het punt is hier alleen wel: dit is niet zomaar wat tegenkomen, of zelfs maar snuffelen uit nieuwsgierigheid en wat tegenkomen. Dit is werken in opdracht van de politie. En dán val je ook als burger onder die regels voor de politie. Bewijs dat uit zo’n betaalde snuffelopdracht komt, is dus onbruikbaar bij ons.

De elektronicaketen ontkent overigens dat ze zo’n regeling getroffen hebben. Ik kan me ook moeilijk voorstellen dat de FBI dat wél zou aanbieden, al is het maar omdat de kans dat je wat strafbaars vindt, toch vrij klein is. Nog los van de discussie over rechtmatig verkregen bewijs.

Arnoud

Politie mag smartphone niet doorzoeken van Gerechtshof

| AE 7648 | Strafrecht | 15 reacties

telefoon.jpg Het Hof Leeuwarden trekt een streep door de bevoegdheid van de politie om smartphones na inbeslagname te doorzoeken, las ik bij Computerworld. Deze doorzoekingsbevoegdheid kent te weinig waarborgen voor de privacy van de burger en is daarom niet geschikt voor informatiedragers zoals smartphones.

Alle voorwerpen “die kunnen dienen om de waarheid aan de dag te brengen” mogen in beslag worden genomen (art. 94 Strafvordering). Die voorwerpen mogen vervolgens worden doorzocht, dus wordt een rugzak of koffer in beslag genomen dan mag die open en de inhoud worden bekeken. Dat is niet heel erg op dat moment.

Specifiek bij computers en smartphones ligt dit een stuk gevoeliger. Dergelijke apparatuur bevat veel meer privéinformatie dan een koffer, denk aan foto’s, opgeslagen berichten en ook toegang tot allerlei diensten als het ding wachtwoorden onthoudt. In de strafzaak waar dit arrest over ging, had de politie toegang gekregen tot opgeslagen WhatsApp-conversaties uit de in beslag genomen telefoon.

Dat gaat te ver, aldus het Hof:

De technische ontwikkelingen anno 2015 brengen met zich dat er via een smartphone niet alleen toegang wordt verkregen tot verkeersgegevens, maar ook tot de inhoud van communicatie en privé-informatie van de gebruiker van de smartphone. En dat zonder enige vorm van voorafgaande beoordeling van de subsidiariteit en/of proportionaliteit van de bevoegdheid.

Algemeen geldt de regel in het strafrecht dat de politie niets mag, tenzij het óf hooguit een geringe inbreuk op grondrechten oplevert óf expliciet en apart geregeld is in de wet. Dat schemert ook hier doorheen: de wettelijke regeling over in beslag nemen is te generiek, daar kunnen we dus niets mee. Dus is het de politie verboden om smartphones te doorzoeken enkel omdat ze in beslag genomen worden. In dit geval gaat de zaak er zelfs half stuk op: de WhatsApp-conversatie mag niet als bewijs worden gebruikt.

Er moet dus een specifieke bevoegdheid komen om smartphones te mogen doorzoeken. Er zijn wel enkele regels (zoals 125i Strafvordering) maar die zijn vaak gebonden aan een situatie, zoals al een huiszoeking mogen doen. Dat levert dus geen algemene bevoegdheid met randvoorwaarden op.

Wat mij betreft wel een logische uitspraak. Smartphones zijn geen rugzakken, je krijgt toegang tot zó veel persoonlijke gegevens dat je een smartphonedoorzoeking op hetzelfde niveau mag stellen als een huiszoeking. Persoonlijk zou ik zelfs liever hebben dat iemand mijn huis overhoop haalt dan dat iemand in mijn telefoon gaat snuffelen. Jullie?

Arnoud

Het zwijgrecht van de verdachte versus de vingerafdruksensor in de iPhone

| AE 5937 | Strafrecht | 23 reacties

iphone-vingerafdrukBij dit soort berichten weet ik nou nooit of het écht een relevant juridisch onderwerp is of dat men een haakje zoekt om op #iphone5s mee te kunnen liften. Hoe dan ook, Wired meldde dat gebruikers van de iPhone 5S met vingerafdruksensor nog wel eens raar op kunnen kijken als ze ooit als verdachte worden gehoord: je kunt dan verplicht worden je vinger op je telefoon te leggen om de autoriteiten zo een doorzoeking te laten uitvoeren. Dat is anders wanneer er een wachtwoord op zit, want je bent in de VS wettelijk beschermd tegen self-incrimination. En ja, bij ons werkt dat ook zo.

Dat je als verdachte niet tegen jezelf hoeft te getuigen, is een basisprincipe uit het strafrecht. De belangrijkste gedachte erachter is om oneigenlijke dwanguitoefening – wat klinkt als een eufemisme voor marteling maar dat terzijde – op de verdachte te voorkomen. Dat principe is niet absoluut – zie de recente discussie over ontsleutelplichten. Maar het gaat alleen over gegevens in je hoofd, dingen die je weet en die Justitie graag ook zou willen weten.

Dingen die je hébt, mag Justitie zelf in beslag nemen en onderzoeken om daarmee de waarheid aan het licht te brengen. Ze mogen je kluis openen met een lasbrander (of een handige slotenmaker), onder de vloer kijken, je harddisk kopiëren, je tuin omspitten en je administratie meenemen als daar bewijs te verwachten valt.

Ook je telefoon mag in beslag worden genomen en onderzocht als bewijs. Daar is speciale apparatuur voor, die veelal in staat is je telefoonwachtwoord te passeren en gewoon de ruwe data te klonen van de interne opslagmedia. Zo kan de daar genoemde XRV media in een “Physical mode” gewoon een telefoon uitlezen:

A physical extraction is separated out into two distinct stages, the initial ‘dump’ whereby the raw data is recovered from the device and then the second stage ‘decode’ – where XRY can automatically reconstruct the data into something meaningful; such as a deleted SMS without the need for manual carving of data.

Maar goed, dat kost tijd en een specialist in het lab. En die tijd kun je je nu als agent besparen door te zeggen, leg even je vinger op die sensor en dan kijk ik zélf in je adresboek of verzondensmssenmapje in het belang van het onderzoek. Dat is geen strijd met dat “tegen jezelf getuigen” want je verklaart niets, je zegt niets. Je doet alleen maar iets, je legt je vinger neer. Maar wat nu als je dat niet wil, kan de opsporingsambtenaar dan je hand pakken en fysiek de vinger op de sensor forceren?

Het is wettelijk toegestaan om gedwongen een vingerafdruk af te nemen, maar het moet dan eigenlijk gaan om identificatie van de verdachte (art. 27a Strafvordering). Dat is toch wel even iets anders dan een vingerafdruk inzetten om een telefoon te openen. Maar bij een ernstig misdrijf mag er meer (art. 55c):

De foto’s en vingerafdrukken [van de verdachte] kunnen ook worden verwerkt voor het voorkomen, opsporen, vervolgen en berechten van strafbare feiten en het vaststellen van de identiteit van een lijk.

Met enige goede wil is “openen van zijn telefoon” wel te rekenen onder “opsporen van strafbare feiten”, als de data op die telefoon daar deel van uitmaakt. Maar getest bij de strafrechter is het nog nooit.

Een héél bijdehante agent kan misschien nog een vingerafdruk van het glaasje water halen, daar een latexvinger mee construeren en zo zelf bij de telefoon. Dáár zou ik dan wel eens een strafrechter over willen horen.

Arnoud

Mag ik ons netwerk opschonen van illegale zaken?

| AE 2527 | Beveiliging, Privacy | 66 reacties

Een lezer vroeg me: Ik ben systeembeheerder bij een school. Wij geven iedereen een netwerkaccount zodat ze bestanden kunnen opslaan en kunnen mailen. Nu weet ik dat leerlingen (maar ook docenten) regelmatig illegale zaken opslaan op hun account (plaatjes, filmpjes, muziek, keyloggers, hacktools, niet school gerelateerd materiaal, etcetera). Vorige week heb ik een grote schoonmaak… Lees verder

Massale laptopcontroles Schiphol leveren niets op

| AE 1574 | Beveiliging, Internetrecht | 10 reacties

De Marechaussee op Schiphol heeft vorig jaar meer dan duizend maal gecontroleerd op digitale gegevensdragers, meldde nu.nl afgelopen vrijdag. Vorig jaar begon men met een proef voor het doorzoeken van digitale gegevensdragers van reizigers, met als voornaamste doel het afschrikken van mensen die digitale kinderporno Nederland in zouden willen smokkelen. De juridische basis was en… Lees verder