Uitspraken

Op 7 oktober 2012 om 15:32 uur is op de website www.nu.nl een nieuwsbericht verschenen, geschreven door journalist [naam journalist] (hierna: [naam journalist]) en getiteld ‘Groene Hart Ziekenhuis lekt medische dossiers’. In het artikel is vermeld dat tientallen medische dossiers en de gegevens van honderdduizenden patiënten van het GHZ in Gouda jarenlang via internet toegankelijk zijn geweest op een nauwelijks beveiligde computer en dat een hacker die opereert onder de naam ‘Bonnie’ van het Nederlands Genootschap van Hackende Huisvrouwen dit beveiligingslek heeft ontdekt.

Op 10 oktober 2012 heeft [naam aangever] (hierna: [naam aangever]), voorzitter van de Raad van Bestuur van het GHZ, namens het GHZ aangifte gedaan van diverse vormen van (computer)criminaliteit ten aanzien van het GHZ. [naam aangever] heeft verklaard dat [naam journalist] op 7 oktober 2012 om 10:00 uur aan een medewerker van het GHZ heeft gemeld dat door een bron van hem een datalek was aangetroffen op een server van het GHZ en dat enkele uren later uit voornoemd nieuwsbericht op www.nu.nl bleek dat een hacker ongevraagd en zonder toestemming de veiligheid van het ziekenhuisnetwerk had getest. Voorts heeft [naam aangever] verklaard dat uit onderzoek door het door GHZ ingehuurde beveiligingsbedrijf ‘[naam beveiligingsbedrijf]’ is gebleken dat er van 26 september 2012 tot en met 7 oktober 2012 meermalen in het systeem van GHZ is ingebroken en dat door de hacker(s) vele bestanden zijn gekopieerd, waaronder medische dossiers.2

Op 17 oktober 2012 is door de politie onderzoek gedaan naar het netwerkverkeer van en naar het computersysteem van het GHZ. Uit dit onderzoek is gebleken dat op 26 september 2012 omstreeks 12:00 uur vanaf een Zweeds IP-adres ([IP-adres 1]) door middel van het softwareprogramma ‘Nessus’ verschillende scans zijn uitgevoerd naar de beveiliging van het computernetwerk van het GHZ. Vervolgens is om 12:10 uur vanaf hetzelfde Zweedse IP-adres tevergeefs getracht een bestand ([bestandsnaam]) op de FTP-server van het GHZ te installeren. Om 14:07 uur is voornoemd bestand, dat kan worden gebruikt om zwakheden in de beveiliging van een computersysteem te doorbreken, met behulp van een Nederlands IP-adres ([IP-adres 2]) wel succesvol geïnstalleerd op de server van het GHZ.3

Uit het politieonderzoek is voorts gebleken dat in de periode van 26 september 2012 tot en met 7 oktober 2012 meermalen met de juiste combinatie gebruikersnaam en wachtwoord op de server van het GHZ is ingelogd en dat gedurende deze periode vanaf verschillende IP-adressen bestanden zijn gedownload van die server van het GHZ, waaronder webapplicaties, administratiebestanden, logbestanden en bestanden met patiënt- en medische gegevens. De politie heeft onder meer gerelateerd dat op 1 oktober 2012 drie bestanden met ingescande patiëntgegevens (twee .zip-bestanden en één .tif-bestand) en een bestand met patiëntgegevens van 56.690 patiënten zijn gedownload (‘[bestand patiëntgegevens 1]’),4 dat op 6 oktober 2012 een bestand met de patiëntgegevens van 496.064 patiënten is gedownload (‘[bestand patiëntgegevens 2]’) en dat op 7 oktober 2012 1243 bestanden met ingescande patiëntendossiers zijn gedownload, met daarin onder meer volledige medische gegevens en adviezen over verschillende patiënten.

Tot slot is uit het onderzoek naar voren gekomen dat bij het downloaden van de bestanden in de periode van 26 september 2012 tot en met 3 oktober 2012 gebruik is gemaakt van de VPN-dienst ‘[naam VPN-dienst 1]’,5 terwijl bij het downloaden in de periode van 6 tot en met 7 oktober 2012 gebruik is gemaakt van de VPN-dienst ‘[naam VPN-dienst 2]’.

Op 23 oktober 2012 is verdachte, die woont te Nieuwerkerk aan den IJssel, door de politie geïdentificeerd als gebruiker van voornoemd Nederlands IP-adres ([IP-adres 2]).6

Verdachte heeft bij de politie en ter terechtzitting bekend dat hij meermalen en zonder toestemming de server van het GHZ is binnengedrongen en van die server bestanden heeft gedownload. Verdachte heeft verklaard dat hij op 26 september 2012 met behulp van het softwareprogramma ‘Nessus’ heeft ontdekt dat het computersysteem van het GHZ op verouderde software draaide, dat hij een commando naar de server van het GHZ heeft gestuurd om de configuratie van die server door te sturen en dat hij door het uitlezen en ‘kraken’ van die configuratie de gebruikersnaam en het wachtwoord van de server heeft achterhaald. Vervolgens heeft verdachte op het computersysteem van het GHZ ingelogd, op de server rondgekeken, bestanden gedownload en screenshots van die bestanden aan [naam journalist] doorgestuurd.7 Ter terechtzitting heeft verdachte verklaard dat alle informatie die in de periode van 26 september 2012 tot en met 3 oktober 2012 via de [naam VPN-dienst 1] vanaf de server van het GHZ is verkregen door hem is gedownload, dat zich onder deze informatie twee .tif-bestanden en één of meer .csv- en .txt-bestanden bevonden en dat hij daardoor onder meer inzicht heeft gehad in twee medische dossiers en de patiëntgegevens van 496.064 patiënten van het ziekenhuis.8

Over deze feiten en omstandigheden, waarvan onderdelen in de tenlastelegging zijn terug te vinden, heeft ter terechtzitting geen discussie bestaan. De rechtbank is van oordeel dat de tenlastelegging in zoverre is bewezen en grondt dat oordeel op de redengevende inhoud van de bewijsmiddelen waarnaar in de voetnoten wordt verwezen.

Verdachte heeft evenwel ontkend dat hij op 6 en 7 oktober 2012 op de server van het GHZ heeft ingelogd, alsmede dat hij de 1243 bestanden met ingescande patiëntendossiers heeft gedownload. Bovendien heeft verdachte verklaard dat hij uit ideologisch oogpunt heeft gehandeld en het ten laste gelegde feit enkel heeft begaan om de slechte beveiliging van de server van het GHZ aan te tonen. Gelet hierop ziet de rechtbank zich in de eerste plaats gesteld voor de vraag in welke periode verdachte is binnengedrongen op de server van het GHZ en welke bestanden hij daarbij heeft gedownload. In de tweede plaats ziet de rechtbank zich gesteld voor de vraag of het handelen van verdachte kan worden aangemerkt als wederrechtelijk.

Op 27 november 2012 hebben in het kader van het onderzoek naar de hack op het Groene Hart Ziekenhuis doorzoekingen plaatsgevonden in de woning van verdachte te Nieuwerkerk aan den IJssel en in een woning in Amsterdam. Hierbij is onder meer een tweetal computers aangetroffen en in beslag genomen, te weten een laptop van het merk Dell ([code 1]) en een personal computer (PC) van het merk Midi Tower ([code 2]).9 Gedurende het forensisch digitaal onderzoek naar de inhoud van de gegevensdragers van deze computers is een grote hoeveelheid afbeeldingen aangetroffen van vermoedelijk kinderpornografisch materiaal. De afbeeldingen zijn aangeboden aan een gecertificeerd zedenrechercheur.

De zedenrechercheur heeft vastgesteld dat in het onderzochte materiaal in totaal 3774 afbeeldingen voorkwamen die volgens de daarvoor geldende criteria kinderpornografisch van aard zijn, bestaande uit 3050 foto’s (waarvan 2035 toegankelijk) en 724 films (waarvan 569 toegankelijk).10 Een gedeelte van deze afbeeldingen is aangetroffen in een versleutelde partitie en in een zogenoemde ‘hidden volume’. De zedenrechercheur heeft de afbeeldingen bekeken en de inhoud van het toegankelijke materiaal verwerkt in een collectiescan. Zij heeft gerelateerd dat de afgebeelde minderjarigen bijna allemaal meisjes betreffen, van wie de geschatte leeftijd tussen de vier en veertien jaar ligt. Ongeveer de helft van de afbeeldingen betreft meisjes in de geschatte leeftijd van vier tot negen jaar. Het merendeel van de afbeeldingen betreft verregaande seksuele handelingen, bestaande uit het oraal, vaginaal of anaal binnendringen van het lichaam van de meisjes met een penis, vinger of voorwerp, het likken aan de vagina van de meisjes en het betasten van de penis van kennelijk volwassen mannen door de meisjes.11

In het proces-verbaal zijn vijftien afbeeldingen omschreven die afkomstig zijn van de gegevensdrager met beslagcode [code 4] (afkomstig uit voornoemde PC met [code 2]), waaronder de vijf in de tenlastelegging genoemde afbeeldingen.12 De rechtbank heeft geconstateerd dat de omschrijvingen van deze vijf afbeeldingen in het proces-verbaal strookt met de omschrijvingen zoals opgenomen in de tenlastelegging. Ten aanzien van het bestand [code 6] heeft de rechtbank op grond van haar eigen waarneming vastgesteld dat het handelt om een meisje dat kennelijk de leeftijd van achttien jaar nog niet had bereikt.13

Verdachte heeft bekend dat hij de op de inbeslaggenomen gegevensdragers aangetroffen kinderpornografische afbeeldingen in bezit had. Verdachte heeft verklaard dat hij vanaf 2008 tot aan zijn aanhouding op 27 november 2012 kinderpornografisch materiaal heeft gedownload en heeft bewaard. Voorts heeft verdachte verklaard dat hij wist dat dit strafbaar was en dat hij de afbeeldingen doelbewust in versleutelde partities heeft ondergebracht, om te voorkomen dat het materiaal zou worden gevonden.14

Over deze feiten en omstandigheden, waarvan onderdelen in de tenlastelegging zijn terug te vinden, heeft ter terechtzitting geen discussie bestaan. De rechtbank is van oordeel dat de tenlastelegging in zoverre is bewezen en grondt dat oordeel op de redengevende inhoud van de bewijsmiddelen waarnaar in de voetnoten wordt verwezen.

Waarover de standpunten van de procespartijen uiteenlopen is de vraag of verdachte een gewoonte heeft gemaakt van het in bezit hebben van kinderpornografische afbeeldingen.

De officieren van justitie hebben zich op het standpunt gesteld dat wettig en overtuigend kan worden bewezen dat verdachte zich heeft schuldig gemaakt aan het ten laste gelegde feit, te weten het (mede)plegen van computervredebreuk en de strafverzwarende omstandigheid van het vervolgens overnemen van gegevens in de periode 26 september 2012 tot en met 7 oktober 2012.

Ten aanzien van de ten laste gelegde periode hebben de officieren van justitie aangevoerd dat op 6 en 7 oktober 2012 rechtstreeks op de server van het GHZ is ingelogd met de juiste combinatie van gebruikersnaam en wachtwoord, terwijl er geen aanwijzingen zijn dat er na 26 september 2012 een nieuwe hack heeft plaatsgevonden waarbij deze combinatie door anderen is achterhaald. Hoewel de inloggegevens ook bekend waren bij (oud-)medewerkers van het ziekenhuis, is niet aannemelijk dat deze (oud-)medewerkers zich de toegang tot de server van het GHZ hebben verschaft door middel van een VPN-dienst. Voorts heeft verdachte zelf verklaard dat hij op 6 oktober 2012 nog op de server is geweest en dat hij het allemaal alleen heeft gedaan. Ook blijkt uit het dossier dat verdachte in een chatgesprek met een vriend heeft aangegeven dat er nog 500.000 persoonsgegevens zijn, ligt de aard van de gedownloade gegevens in lijn met de eerder door verdachte gedownloade gegevens en hebben de feiten zich in een korte opeenvolgende periode voorgedaan. Tot slot hebben de officieren van justitie gewezen op de verklaring van [naam journalist] bij de rechter-commissaris. De officieren van justitie houden verdachte dan ook verantwoordelijk voor de hack op 6 en 7 oktober 2012; een alternatief scenario is volgens hen niet aannemelijk geworden.

Ten aanzien van de vraag of verdachte wederrechtelijk heeft gehandeld hebben de officieren van justitie vooropgesteld dat een maatschappelijk belang kan worden gediend door het aantonen van een beveiligingslek, zeker waar het de bescherming van bijzonder gevoelige gegevens betreft, zoals medische en persoonsgegevens. Zij hebben evenwel voorts betoogd dat een slechte beveiliging geen open uitnodiging is om binnen te treden in het netwerk en dat de omstandigheid dat het GHZ de beveiliging van de server niet goed op orde had, verdachte niet ontslaat van zijn eigen verantwoordelijkheid of de verplichting belangen juist af te wegen. Volgens de officieren van justitie had verdachte zijn doel op een minder vergaande manier kunnen bereiken. Zij hebben er hierbij op gewezen dat verdachte bij het verschaffen van de toegang tot de server ‘malware’ heeft geplaatst, dat verdachte zich na het eerste moment van binnentreden nog telkenmale de toegang heeft verschaft en dat hij in een periode van ruim een week gegevens heeft gedownload, die niet uitsluitend bestonden uit patiëntgegevens en medische dossiers. Verdachte had zich kunnen en moeten beperken tot het raadplegen en/of downloaden van zijn eigen gegevens dan wel het maken van screenshots van deze gegevens. Tot slot had verdachte het lek zelf kunnen melden bij het ziekenhuis en afspraken kunnen maken over de wijze en het moment waarop hij daarmee naar buiten zou treden. Verdachte heeft de grenzen van het noodzakelijke ruimschoots overtreden en volkomen disproportioneel en niet subsidiair gehandeld. Verdachte kan dan ook geen beroep doen op artikel 10 van het Europees Verdrag tot bescherming van de Rechten van de Mens en de fundamentele vrijheden (hierna: EVRM), aldus de officieren van justitie.

De officieren van justitie achten wettig en overtuigend te bewijzen dat verdachte het ten laste gelegde feit heeft begaan, ook voor wat betreft het gewoonte maken van het bezit van kinderpornografische afbeeldingen.

De raadsman heeft zich op het standpunt gesteld dat verdachte van het ten laste gelegde feit dient te worden vrijgesproken, nu de wederrechtelijkheid aan het handelen van verdachte is komen te ontvallen. De raadsman heeft hiertoe aangevoerd dat verdachte ‘ethisch hacker’ is en in die hoedanigheid een beroep kan doen op artikel 10 van het EVRM. De raadsman heeft betoogd dat verdachte heeft voldaan aan de eis van proportionaliteit, door uiterst zorgvuldig en prudent te werk te gaan, geen schade aan het netwerk van het GHZ toe te brengen, geen medische dossiers van derden in te kijken of naar buiten te brengen en bovendien een ziekenhuis uit te kiezen waar hij zelf patiënt is. Ook aan de eis van subsidiariteit heeft verdachte voldaan, nu het niet mogelijk was om het beveiligingslek op een andere manier aan te tonen dan op de wijze waarop verdachte dit heeft gedaan.

Ten aanzien van de ten laste gelegde periode heeft de raadsman betoogd dat niet kan worden bewezen dat verdachte zich schuldig heeft gemaakt aan het hacken van de server van het GHZ op 6 en 7 oktober 2012. De raadsman heeft hiertoe aangevoerd dat verdachte heeft ontkend dat hij op deze twee dagen bestanden heeft gedownload, dat bij het downloaden op deze dagen een andere VPN-dienst is gebruikt dan tijdens het downloaden op eerdere dagen, dat verdachte geen reden had om nogmaals het netwerk van het GHZ binnen te dringen en dat op de inbeslaggenomen computerapparatuur geen aanwijzingen zijn gevonden die duiden op betrokkenheid van verdachte bij de hack op 6 en 7 oktober 2012.

De raadsman heeft zich op het standpunt gesteld dat niet kan worden bewezen dat verdachte een gewoonte heeft gemaakt van het in bezit hebben van kinderpornografische afbeeldingen, zodat hij van dit bestanddeel dient te worden vrijgesproken. De raadsman heeft daartoe aangevoerd dat verdachte nimmer enige betaling heeft gedaan voor de afbeeldingen en dat anderen derhalve niet door verdachte zijn gestimuleerd om strafbaar materiaal op het internet te plaatsen. De omstandigheid dat een feit meermalen is gepleegd, maakt nog niet dat kan worden gesproken van gewoontebezit, aldus de raadsman.

Pleegperiode en gedownloade bestanden

Op grond van de hiervoor onder 4.1.1 genoemde bewijsmiddelen kan wettig en overtuigend worden bewezen dat verdachte in de periode van 26 september 2012 tot en met 3 oktober 2012 meermalen heeft ingelogd op de server van het GHZ en dat hij gedurende deze periode meermalen bestanden van de server heeft gedownload (‘eerste hack’).

Anders dan de officieren van justitie, is de rechtbank van oordeel dat niet kan worden bewezen dat verdachte zich ook in de periode van 4 oktober 2012 tot en met 7 oktober 2012 hieraan schuldig heeft gemaakt (‘tweede hack’). De rechtbank overweegt hiertoe dat verdachte ter terechtzitting heeft ontkend dat hij in deze periode heeft ingelogd en bestanden heeft gedownload van de server van het GHZ, dat in deze periode gebruik is gemaakt van een VPN-dienst ([naam VPN-dienst 2]) waarvan uit onderzoek niet is gebleken dat verdachte hierover de beschikking heeft gehad, en dat op de in beslag genomen computerapparatuur van verdachte wel bestanden zijn aangetroffen die in verband met de ‘eerste hack’ kunnen worden gebracht, maar geen bestanden die in verband met de ‘tweede hack’ kunnen worden gebracht. Gelet hierop kan niet worden uitgesloten dat een ander dan verdachte in de periode van 4 oktober 2012 tot en met 7 oktober 2012 op de server van het GHZ heeft ingelogd en bestanden (waaronder de 1243 medische dossiers) heeft gedownload, mede in aanmerking genomen dat verdachte met derden over de ‘eerste hack’ heeft gecommuniceerd waarbij ook het wachtwoord en de gebruikersnaam zijn uitgewisseld. Dat verdachte heeft verklaard dat hij inzicht heeft gehad in een bestand met gegevens van 496.064 patiënten waarvan uit onderzoek is gebleken dat een dergelijk bestand (‘[bestand patiëntgegevens 2]’) op 6 oktober 2012 is gedownload, leidt niet tot een ander oordeel, nu uit chatgesprekken van verdachte met [persoon X.] volgt dat verdachte reeds op 1 oktober 2012 kon beschikken over de gegevens van “500k pers.” (de rechtbank begrijpt: 500.000 personen) (p. 458-463). De rechtbank zal verdachte dan ook vrijspreken van het gedeelte van de tenlastelegging dat betrekking heeft op de ‘tweede hack’.

Heeft verdachte wederrechtelijk gehandeld?

De rechtbank stelt voorop dat elke inbreuk op een geautomatiseerd werk zonder toestemming van de rechthebbende strafbaar is, tenzij hogere belangen een dergelijke inbreuk rechtvaardigen. Bij de beoordeling van de vraag of in een concreet geval sprake is van dergelijke hogere belangen zijn naar het oordeel van de rechtbank drie factoren van belang. In de eerste plaats dient te worden beoordeeld of verdachte heeft gehandeld in het kader van een wezenlijk maatschappelijk belang. Indien deze vraag bevestigend wordt beantwoord, dient de rechtbank te beoordelen of verdachte met zijn handelen heeft voldaan aan de eisen van proportionaliteit en subsidiariteit.

De rechtbank neemt als uitgangspunt dat het aantonen van gebreken in de beveiliging van vertrouwelijke, medische gegevens en persoonsgegevens een wezenlijk maatschappelijk belang kan dienen. Verdachte heeft door een hack aan het licht gebracht dat de beveiliging van de computersystemen van het GHZ verouderd was en het netwerk van het GHZ kwetsbaar was voor toegang door onbevoegden. Naar het oordeel van de rechtbank levert dergelijk hacken op zichzelf bezien een belangrijke bijdrage aan de beveiliging van vertrouwelijke gegevens in de gezondheidszorg en de maatschappelijke discussie daarover.

De rechtbank is voorts van oordeel dat er voor verdachte geen andere, minder vergaande manieren waren om zijn doel te bereiken en dat verdachte derhalve heeft voldaan aan de eis van subsidiariteit. De rechtbank overweegt daartoe dat verdachte zijn bevindingen heeft gemeld bij een journalist ([naam journalist]) bij wie hij eerder bevindingen had gemeld, met wie hij een vertrouwensrelatie had opgebouwd en van wie hij wist dat deze, voordat hij de bevindingen zou publiceren, het GHZ eerst de gelegenheid zou bieden adequate maatregelen te treffen om te voorkomen dat gevoelige gegevens in de openbaarheid terecht zouden komen. De rechtbank neemt bovendien in aanmerking dat verdachte ter terechtzitting heeft verklaard dat hij zijn bevindingen een eventuele volgende keer beter bij het Nationaal Cyber Security Centrum (NCSC) zou melden, maar dat deze organisatie ten tijde van de hack op het GHZ nog niet bestond.

Vervolgens dient de rechtbank de vraag te beantwoorden of verdachte heeft voldaan aan de eis van proportionaliteit en binnen de grenzen van het noodzakelijke is gebleven om zijn doel te bereiken. De rechtbank beantwoordt deze vraag (deels) ontkennend en overweegt hiertoe het volgende. Verdachte heeft verklaard dat hij op 26 september 2012 met behulp van een softwareprogramma heeft ontdekt dat het computersysteem van het GHZ op verouderde software draaide en dat hij vervolgens een commando naar de server van het GHZ heeft gestuurd om de inloggegevens van de server te achterhalen. Hoewel verdachte geen toestemming had om de server van het GHZ binnen te dringen en hij bovendien een bestand (\Omniback\i386\instellservice.exe) heeft geplaatst, dat kan worden aangemerkt als malware (p. 120), is de rechtbank van oordeel dat deze handelingen van verdachte noodzakelijk waren om aan te tonen dat het netwerk van het GHZ slecht beveiligd was. De rechtbank overweegt evenwel dat verdachte vervolgens gedurende een week meermalen opnieuw zonder toestemming in het systeem van het GHZ heeft ingelogd en bestanden heeft gedownload, terwijl verdachte heeft verklaard dat hij reeds op 26 september 2012 aan [naam journalist] had gemeld dat de beveiliging van het GHZ niet op orde was (p. 537) en hij dus kennelijk op die datum al voldoende informatie had verzameld. Bovendien heeft verdachte verklaard dat hij in de door hem aangetroffen patiëntgegevens heeft gezocht naar informatie over derden, niet alleen familieleden en een vriend, maar ook een ‘bekende Nederlander’ als [naam].15 In het licht van het door verdachte gestelde doel, te weten aantonen dat het computersysteem van het GHZ slecht beveiligd was, bestond hiertoe geen enkele noodzaak, zeker niet gelet op de zeer vertrouwelijke aard van de gegevens.

Nu verdachte de grenzen van proportionaliteit heeft overschreden, is de rechtbank van oordeel dat verdachte wederrechtelijk heeft gehandeld en zich, na de initiële hack, meermalen schuldig heeft gemaakt aan het plegen van computervredebreuk.

Op grond van de hiervoor onder 4.1.2 genoemde bewijsmiddelen kan wettig en overtuigend worden bewezen dat verdachte in de periode van 1 januari 2010 tot en met 27 november 2012 te Nieuwerkerk aan den IJssel een gegevensdrager bevattende kinderpornografische afbeeldingen in bezit heeft gehad.

Anders dan de verdediging heeft bepleit acht de rechtbank ook bewezen dat verdachte van het plegen van dit misdrijf een gewoonte heeft gemaakt. De rechtbank overweegt daartoe dat op de gegevensdrager van verdachte duizenden kinderpornografische afbeeldingen zijn aangetroffen. Voorts neemt de rechtbank in aanmerking dat verdachte heeft verklaard dat hij deze verzameling vanaf 2008 tot aan zijn aanhouding op 27 november 2012 heeft opgebouwd, dat hij de afbeeldingen frequent heeft gedownload en dat hij de bestandsnamen van de afbeeldingen na het downloaden heeft gewijzigd en de afbeeldingen in een zogenaamde ‘hidden volume’ heeft geplaatst.16 Hieruit leidt de rechtbank af dat verdachte jarenlang (in elk geval vanaf 1 januari 2010) keer op keer een wilsbesluit heeft genomen om bestanden met kinderpornografische afbeeldingen te downloaden en te bewaren.

Op grond van voornoemde omstandigheden is de rechtbank van oordeel dat verdachte van het bezit van kinderpornografische afbeeldingen een gewoonte heeft gemaakt.