AKTIES TEGEN ENIG GEAUTOMATISEERD WERK ... """"""""""""""""""""""""""""""""""""""""""" Als het aan de kommissie-Franken ligt is komputerkraken binnenkort een kriminele handeling. En daarmee worden brave hobbyisten die op lekken in beveiligingen wijzen, aktivisten voor open toegang tot informatie en 'gewone kriminelen' op een hoop gegooid. Volgens de redaktie komputerwezen zal dat de kwetsbaarheid van de informatiemaatschappij vergroten. Onze juridische medewerker houdt het even bij de voorstellen. Wanneer het gaat om het verkopen van treinkaartjes op stations, het administreren van persoonsgegevens in ziekenhuizen, het CBS en het opslaan van informatie voor en door andere overheidsinstellingen en bedrijven, wordt in toenemende mate gebruik gemaakt van komputers en komputernetwerken. Het administreren van gegevens en opslaan van informatie in komputers betekent een beter overzicht. Ook het uitwisselen van informatie via komputers en netwerken is heden ten dage mogelijk. Hele bestanden kunnen aan elkaar gekoppeld worden. Dus zowel intern als extern kan tegenwoordig makkelijk informatieuitwisseling plaats vinden, zowel binnen instellingen als tussen instellingen onderling. Brengen komputergebruik en komputernetwerken nieuwe verkeersregels met zich? In hoeverre worden belangen van burgers, overheden en bedrijven geschaad? Het opslaan van persoonsgegevens is nu nog in handen van beheerders. Burgers kunnen hierop weinig invloed uitoefenen. In hoeverre kunnen andere overheidsinstellingen en bedrijven zich toegang verschaffen tot deze gegevensbestanden? En kunnen overheid en particulieren binnendringen in komputerbestanden van bedrijven zonder dat dit strafbaar is? Toenemend komputergebruik betekent niet alleen het ontstaan van andere verkeersregels maar ook andere vormen van kriminaliteit en andere definities van kriminaliteit. De nieuwe kriminaliteit is het schaden van nieuw ontstane belangen. Dit kan geshieden door inbreuken op de beschikbaarheid van middelen (o.a. komputers/komputernetwerken) en beschikbaarheid van gegevens. Ook komputerkraken komt steeds meer voor. In 1985 stelde de regering (Lubbers I) een kommissie in om onderzoek te doen naar komputerkriminaliteit. Deze kommissie- Franken kwam in april '87 met het rapport 'Informatietechniek en strafrecht'. Zij konkludeerde dat gegevens niet onder het begrip 'goed' in vermogensrechtelijke zin kunnen worden gevat. Hiermee ging ze in tegen een arrest van een rechter in Arnhem in 1983. De kommissie beschouwt strafrecht slechts als een sluitstuk op de bestrijding van (komputer)kriminaliteit. Er moet ook maar eens beter beveiligd worden. En dan is er de sterke neiging om komputerkriminaliteit binnenskamers af te wikkelen via disciplinaire straffen dan wel gouden handdrukken. De taak van het strafrecht zou moeten zijn om met regels potentiele inbreukmakers af te schrikken. Het oude materiele strafrecht (= de omschrijving van wat strafbaar is. Red.) lijkt niet altijd geschikt deze funktie te vervullen. De essentie van het strafrecht is dat een handeling alleen strafbaar is als ze als zodanig in de wet strafbaar is gesteld. Door de nieuwe inbreukmogelijkheden was niet duidelijk of een handeling wel of niet onder een deliktsomschrijving viel. De kommissie stelde mogelijke bepalingen op om het bestaande strafrecht aan te passen. Het onbruikbaar maken of regelrechte vernielingen is het inbreuk maken op de beschikbaarheid van middelen (komputers). De bepaling van de kommissie luidt als volgt: Onder feiten waardoor de algemene veiligheid van personen en goederen in gevaar wordt gebracht, worden ook akties tegen enig geautomatiseerd werk voor opslag of verwerking van gegevens of voor telekommunikatie gebracht. Verandering en/of toevoeging van gegevens en het weghalen van gegevens betekenen inbreuk op beschikbaarheid van gegevens. De nieuwe bepaling m.b.t. deze kriminaliteitsvorm luidt: Hij/zij die opzettelijk en wederrechtelijk gegevens die door middel van geautomatiseerd werk zijn opgeslagen, worden verwerkt of overgedragen onbruikbaar maakt of wist, wordt gestraft met .... Komputerkraken (zoals met een komputer en een modem je toegang verschaffen tot een komputersysteem of -netwerk door b.v. toegangskodes te jatten of te raden of door gebruik te maken van systeemlekken) noemt de kommissie komputervredebreuk. Ze wil dit strafbaar stellen met ten hoogste 6 maanden gevangenisstraf of een geldboete. Overigens een groot verschil met de recente Duitse wetgeving waarin sprake is van mogelijke straffen van 5 jaar of meer. De kommissie stelt twee eisen aan de inbreuk en dus twee beperkingen. De inbreuk moet wederrechtelijk (= zonder instemming) zijn, zoals gebruikelijk in het strafrecht. Maar, en dat is nieuw, er moet sprake zijn van een beveiligd komputersysteem. De nieuw opgestelde bepaling luidt als volgt: Hij/zij die wederrechtelijk binnendringt in een daartoe beveiligd geautomatiseerd werk voor de opslag of verwerking van gegevens of in een daartoe beveiligd deel daarvan, wordt gestraft met ... Gebruik van pinkodes en passwords zou reeds een vorm van bedoelde beveiliging kunnen zijn. Dat beveiligd zijn is zelfs een voorwaarde voor strafbaarstelling. In het blad Accountant en Automatisering plaatst Mollema, direkteur van een accountantsburo, een kanttekening bij deze voorwaarde. Wie bepaalt wat de inhoud is van "beveiligd zijn"? Indien hiervan geen opsomming is opgenomen in de deliktomschrijving dan wordt dit overgelaten aan de jurisprudentie. Juist door de technologisering is de kans steeds groter dat met behulp van op de markt gebrachte middelen zo op het oog perfekte beveiligingssystemen te neutraliseren zijn. Volgens Mollema zullen rechters bij opeenvolgende soortgelijke zaken de neiging krijgen steeds hogere eisen te stellen aan de beveiliging al voorwaarde voor strafbaarheid van daders. Hij trekt de vergelijking met een huis waarin wordt ingebroken. Dan wil dit ook niet zeggen dat wegens onvoldoende beveiliging inbrekers niet strafbaar zijn. De konklusie van Mollema is dat de hoogste beveiliging maatschappelijk zeer niet het hoogste goed is. Wat betreft het formele strafrecht (= hoe een proces en een onderzoek dienen te verlopen) heeft de kommissie zich ook beziggehouden met wettelijke ontwerpen omtrent justitiele bevoegdheden in de komputeromgeving. Het gaat niet om bepalingen om iemand te beschermen maar om organisaties open te stellen voor justitieel onderzoek. Allereerst trekt de kommissie de konklusie dat in het opsporingsonderzoek gegevens nu niet in beslag kunnen worden genomen. Ze onderscheiden de volgende dwangmiddelen: 1) inbeslagname van voorwerpen en vergaring van gegevens 2) het bevel tot uitlevering van voorwerpen en gegevens 3) het afluisteren van kommunikatie via openbare lijnen (eigen netwerken van bedrijven vallen daar niet onder) 4) de schouw, dat is het verkrijgen van een beeld van de plaatselijke situatie 5) de huiszoeking. Beoordeling van deze middelen houdt de afweging in tussen het belang van de overheid om haar taak als rechtshandhaver te kunnen uitvoeren en het belang van organisaties waar onderzoek wordt gedaan. De suggestie is dat objekten van onderzoek konkreet zijn en zich op een bepaalde plaats bevinden. In komputeromgevingen is dit nu juist het probleem. Men kan niet zomaar even een bepaalde lokatie binnenstappen en daar gegevens weghalen. De inbeslagname van gegevensdragers betekent bovendien het stilleggen van gegevensverwerking. In veel gevallen is bedrijfsvoering afhankelijk van het in bedrijf zijn van het systeem. Een andere komplikatie is dat veelal sprake is van het verwerken van gegevens voor meer partijen in komputernetwerken. Is een van de partijen voor justitie een verdachte dan zal ze haar gegevens moeten halen bij het rekencentrum dat t.o.v. de verdachte een derde is. Inbeslagname of huiszoeking betekent dat andere partijen benadeeld worden, terwijl zij niets met de verdachtmaking te maken hebben. Tenslotte heeft de kommissie-Franken nog een enquete gehouden naar de beveiliging van de geautomatiseerde gegevensverwerking bij diverse instellingen. Zoals te verwachten was het daarmee slecht gesteld. Jan Roelof/Red. komputerwezen Een kortere versie van dit artikel verscheen in een komputerbijlage bij NN 15 Met dank aan de Zwarte Ster *