OM-cassatie en cassatie verdachte.

Wetboek van Strafrecht). (...) Rechtmatigheid onderzoek gegevensdragers In het navolgende zal het hof uit praktische overwegingen de term ‘digitale-gegevensdrager’ gebruiken ter aanduiding van alle apparaten met de functionaliteit om digitale gegevens op te slaan, ook als deze daarnaast aangemerkt kunnen worden als geautomatiseerd werk in de zin van artikel 80sexies van het Wetboek van Strafrecht (hierna: ‘Sr’). Het hof overweegt dat ten aanzien van het onderzoek dat in onderhavige zaak heeft plaatsgevonden aan digitale-gegevensdragers toebehorende aan de verdachte en/of een of meer medeverdachten, dient te worden beoordeeld of, indien eenmaal sprake is van rechtmatig door de rechter-commissaris in beslag genomen voorwerpen, uit (de uitoefening van) die bevoegdheid zonder meer voortvloeit dat de gegevens op die gegevensdragers ongeclausuleerd mochten worden onderzocht. Zoals het hof eerder heeft overwogen (Hof Den Haag, 26 augustus 2021, ECLI:NL:GHDHA:2021:1873) vloeit, indien het onderzoek van de gegevens op een digitale gegevensdrager zo verstrekkend is dat op voorhand is te voorzien dat een min of meer compleet beeld kan worden verkregen van bepaalde aspecten van het persoonlijk leven van de gebruiker van die gegevensdrager, uit de enkele beslissing tot inbeslagneming niet zonder meer voort dat gegevens op die digitale-gegevensdragers zonder meer mogen worden onderzocht. Indien een dergelijke voorzienbaarheid zich voordoet, zal door de rechter-commissaris die de inbeslaggenomen gegevensdragers voor onderzoek overdraagt aan een opsporingsdienst, moeten worden overwogen of wel of niet beperkingen aan dat onderzoek dienen te worden verbonden. Bij die beslissing en bij het bepalen van aard en omvang van die eventuele beperkingen zullen factoren als de ingrijpendheid van de inbreuk op de persoonlijke levenssfeer van de gebruiker van de betreffende gegevensdragers door het onderzoek en de proportionaliteit en subsidiariteit van de te verrichten onderzoekshandelingen in relatie tot de aard en omvang van de verdenking waarop het onderzoek betrekking heeft een rol kunnen spelen. Daarbij kan onder meer worden gedacht aan beperkingen betreffende het aantal te onderzoeken gegevensdragers, beperkingen betreffende de te onderzoeken gegevens (zoals afbeeldingen, communicatie, internetgedrag et cetera) en beperkingen betreffende de periode waarbinnen de te onderzoeken gegevens zijn gegenereerd of op de betreffende digitale-gegevensdrager terecht zijn gekomen. Ook kan worden gekozen voor fasering van toegestane onderzoekshandelingen doordat de rechter-commissaris eventueel tussentijds beslist tot uitbreiding of (verdere) beperking van het toegestane onderzoek. In het onderhavige geval heeft een dergelijke toetsing niet kenbaar plaatsgevonden. Uit het strafdossier blijkt dat na de doorzoekingen in de woningen van de verdachte en de medeverdachten [medeverdachte 3] en [medeverdachte 4] de in beslag genomen voorwerpen door de rechter-commissaris voor nader onderzoek zijn overgedragen aan het onderzoeksteam. Het proces-verbaal van doorzoeking van de woning van de medeverdachte [medeverdachte 1] bevat een dergelijke vermelding niet, maar uit het strafdossier blijkt onmiskenbaar dat aldaar digitale-gegevensdragers in beslag zijn genomen en vervolgens zijn onderzocht door het onderzoeksteam. Nu deze voorwerpen kennelijk feitelijk bij het onderzoeksteam terecht zijn gekomen, neemt het hof aan dat de rechter-commissaris die deze voorwerpen in beslag heeft genomen deze eveneens voor nader onderzoek aan het onderzoeksteam heeft overgedragen. Voorts blijkt dat bij de aanhouding van de verdachte twee digitale-gegevensdragers bij hem zijn aangetroffen, welke met toestemming van de officier van justitie zijn doorzocht. Nu het hier ging om zogenaamde ‘smartphones’ welke door de verdachte bij zich werden gedragen, moest – nu niet blijkt van aanwijzingen dat hij hier anders dan als een doorsnee-gebruiker mee omging – er rekening mee worden gehouden dat hierop zodanige informatie omtrent zijn persoonlijk leven te vinden zou zijn dat op voorhand te voorzien was dat uit het onderzoek daarvan een min of meer compleet beeld kon worden verkregen van bepaalde aspecten van het persoonlijk leven van de verdachte. Dit leidt ertoe dat het louter met toestemming van de officier van justitie onderzoeken van de betreffende twee digitale-gegevensdragers onrechtmatig was. Tegen deze achtergrond is thans slechts een beoordeling achteraf mogelijk van de vraag of de rechter-commissaris toestemming zou hebben gegeven voor het onderzoek van de gegevens op de digitale-gegevensdragers van verdachte en de medeverdachten, op de wijze zoals dat heeft plaatsgevonden, namelijk zonder enige kenbare beperking. Daartoe overweegt het hof het volgende. Het proces-verbaal Aanvraag doorzoeking ter inbeslagneming met betrekking tot de medeverdachte [medeverdachte 1] is gebaseerd op de verdenking dat deze zich schuldig heeft gemaakt aan een zogenaamde Tikkie-fraude op 13 en 14 april 2018 ten aanzien van één aangever ( [aangever 1] ). Het proces-verbaal Aanvraag doorzoeking ter inbeslagneming met betrekking tot de medeverdachte [medeverdachte 3] is gebaseerd op de verdenking dat deze zich schuldig heeft gemaakt aan het medeplegen van een of meer Tikkie-fraudes met de verdachte. Het proces-verbaal Aanvraag doorzoeking ter inbeslagneming met betrekking tot de medeverdachte [medeverdachte 4] is gebaseerd op de verdenking dat deze zich schuldig heeft gemaakt aan een of meer Tikkie-fraudes op 8/9 en 30 juni 2018. Het proces-verbaal Aanvraag doorzoeking ter inbeslagneming met betrekking tot de verdachte is gebaseerd op de verdenking dat deze zich schuldig heeft gemaakt aan een of meer Tikkie-fraudes op 21 en 23 april 2018. Gegeven hetgeen omtrent deze verdenkingen uit de verschillende aanvragen blijkt, had de rechter-commissaris niet ongeclausuleerd toestemming mogen geven voor doorzoeking van de diverse digitale-gegevensdragers, zodat dit onrechtmatig jegens de verdachte was. Het hof heeft hiervoor reeds aangegeven waaraan bij bedoelde clausulering eventueel zou kunnen worden gedacht. Zo had in dit geval bijvoorbeeld in eerste instantie de toestemming beperkt kunnen worden tot gegevens afkomstig uit 2018. Het ligt voor de hand dat in voorkomende gevallen de visie van de aanvragend officier van justitie op de concrete vormgeving van dergelijke beperkingen wordt betrokken. Het voorgaande betekent dat het hof op de voet van artikel 359a Sv dient te beoordelen of aan het ontbreken van een wettelijke legitimatie aan de respectievelijke onderzoeken enig rechtsgevolg dient te worden verbonden en, zo ja, welk rechtsgevolg dan in aanmerking komt. Vastgesteld dient te worden dat noch de verdachte, noch één van de medeverdachten, heeft aangevoerd, laat staan onderbouwd, dat de facto sprake is geweest van enige inbreuk op de persoonlijke levenssfeer. Het hof zal derhalve, rekening houdend met het belang dat de geschonden norm dient (de bescherming van de persoonlijke levenssfeer van de verdachte), de ernst van het verzuim en het nadeel dat daardoor wordt veroorzaakt (: geen), volstaan met de constatering dat een vormverzuim is begaan.”

Sv: “Met de opsporing van strafbare feiten zijn belast: a. de officieren van justitie; b. de ambtenaren van politie, bedoeld in artikel 2, onder a, van de Politiewet 2012, en de ambtenaren van politie, bedoeld in artikel 2, onder c en d, van die wet, voor zover zij zijn aangesteld voor de uitvoering van de politietaak; c. de door Onze Minister van Veiligheid en Justitie in overeenstemming met Onze Minister van Defensie aangewezen militairen van de Koninklijke marechaussee; d. de opsporingsambtenaren van de bijzondere opsporingsdiensten, bedoeld in artikel 2 van de Wet op de bijzondere opsporingsdiensten.” - Artikel 148 leden 1 en

Voor het doen van onderzoek door een opsporingsambtenaar aan inbeslaggenomen elektronische gegevensdragers en geautomatiseerde werken teneinde de beschikking te krijgen over daarin opgeslagen of beschikbare gegevens vereist de wet geen voorafgaande rechterlijke toetsing of tussenkomst van de officier van justitie. Indien de met het onderzoek samenhangende inbreuk op de persoonlijke levenssfeer als beperkt kan worden beschouwd, biedt de algemene bevoegdheid van opsporingsambtenaren, neergelegd in art. 94, in verbinding met art. 95 en

Mede gelet op het vooralsnog ontbreken van een daarop toegesneden wettelijke regeling verdient het volgende opmerking. De bevoegdheid tot inbeslagneming van voorwerpen en de daarin besloten liggende bevoegdheid tot het verrichten van onderzoek aan die voorwerpen kunnen op grond van art. 95 en

Het Unierecht stelt regels voor het verwerken van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen. Deze regels zijn neergelegd in Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad (hierna: Richtlijn 2016/680). De volgende bepalingen uit deze richtlijn zijn in het bijzonder van belang. - Artikel 1: “Onderwerp en doelstellingen

Verder zijn de volgende bepalingen uit het Handvest van de grondrechten van de Europese Unie (hierna: Handvest) van belang. - Artikel 7: “Eerbiediging van het privé-leven en het familie- en gezinsleven Eenieder heeft recht op eerbiediging van zijn privé-leven, zijn familie- en gezinsleven, zijn woning en zijn communicatie.” - Artikel 8: “Bescherming van persoonsgegevens

Vervolgens is deze telefoon, met het oog op de ontgrendeling ervan, overgedragen aan een expert van het Bezirkspolizeikommando Landeck (regionale politie Landeck, Oostenrijk). Aangezien deze er niet in slaagde om de betrokken mobiele telefoon te ontgrendelen, is die telefoon aan het Bundeskriminalamt (federale recherche, Oostenrijk) in Wenen gezonden, waar een nieuwe poging is gedaan om die telefoon te ontgrendelen.

De inbeslagneming van de mobiele telefoon van CG alsmede de latere pogingen om die telefoon uit te lezen, hebben plaatsgevonden op eigen initiatief van de betrokken politieagenten, zonder dat zij daarvoor toestemming hadden gekregen van het openbaar ministerie of een rechter. (...)

In deze omstandigheden heeft het Landesverwaltungsgericht Tirol de behandeling van de zaak geschorst en het Hof de volgende prejudiciële vragen gesteld: „1) Moet artikel 15, lid 1, [van richtlijn 2002/58, eventueel gelezen in samenhang met artikel 5], in het licht van de artikelen 7 en 8 van het [Handvest], aldus worden uitgelegd dat de toegang van overheidsinstanties tot de op mobiele telefoons opgeslagen gegevens op dermate ernstige wijze inbreuk maakt op de door die artikelen van het Handvest gewaarborgde grondrechten dat die toegang op het gebied van het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten moet worden beperkt tot de bestrijding van zware criminaliteit?

Moet artikel 15, lid 1, van [richtlijn 2002/58], in het licht van de artikelen 7, 8 en 11 alsook artikel 52, lid 1, van het [Handvest], aldus worden uitgelegd dat het zich verzet tegen een nationale regeling als § 18 juncto § 99, lid 1, [StPO], op grond waarvan veiligheidsdiensten zichzelf in het kader van een strafrechtelijk onderzoek zonder toestemming van een rechterlijke instantie of onafhankelijk bestuursorgaan volledige en ongecontroleerde toegang kunnen verschaffen tot alle op een mobiele telefoon opgeslagen digitale gegevens?

In dit verband dient in herinnering te worden gebracht dat het Hof met name op basis van artikel 1, leden 1 en 3, en artikel 3 van richtlijn 2002/58 heeft geoordeeld dat wanneer de lidstaten rechtstreeks maatregelen toepassen die inbreuk maken op het beginsel van de vertrouwelijkheid van elektronische communicatie, zonder dat zij verwerkingsverplichtingen opleggen aan aanbieders van elektronische-communicatiediensten, de bescherming van de gegevens van de betrokken personen niet wordt beheerst door richtlijn 2002/58, maar uitsluitend door nationaal recht, behoudens de toepassing van richtlijn 2016/680 (arresten van 6 oktober 2020, Privacy International, C-623/17, EU:C:2020:790, punt 48, en 6 oktober 2020, La Quadrature du Net e.a., C-511/18, C-512/18 en C-520/18, EU:C:2020:791, punt 103).

Vast staat dat in het hoofdgeding de politiediensten rechtstreeks hebben geprobeerd om toegang te krijgen tot op een mobiele telefoon opgeslagen persoonsgegevens, zonder dat om de tussenkomst van een aanbieder van elektronische-communicatiediensten is verzocht.

Artikel 2, lid 1, van richtlijn 2016/680 definieert de materiële werkingssfeer. Volgens deze bepaling is deze richtlijn „van toepassing op de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de doeleinden van artikel 1, lid 1”, te weten met name „de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten”.

Artikel 3, punt 2, van die richtlijn definieert het begrip „verwerking” als „een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het [...] opvragen, raadplegen” of het „verspreiden of op andere wijze ter beschikking stellen”.

Zo blijkt uit de bewoordingen zelf van artikel 3, punt 2, van richtlijn 2016/680 en met name uit het gebruik van de uitdrukkingen „een bewerking”, „een geheel van bewerkingen” en „op andere wijze ter beschikking stellen” dat de Uniewetgever een ruime strekking heeft willen geven aan het begrip „verwerking” en dus aan de materiële werkingssfeer van die richtlijn. Deze uitlegging vindt steun in het feit dat de in die bepaling genoemde handelingen niet exhaustief zijn, wat tot uitdrukking komt in het woord „zoals” [zie naar analogie arrest van 24 februari 2022, Valsts ieņēmumu dienests (Verwerking van persoonsgegevens voor fiscale doeleinden), C-175/20, EU:C:2022:124, punt 35].

Deze tekstuele elementen pleiten dan ook voor een uitlegging volgens welke de politiediensten, wanneer zij een telefoon in beslag nemen en die manipuleren om de op die telefoon opgeslagen persoonsgegevens op te vragen en te raadplegen, een verwerking initiëren in de zin van artikel 3, punt 2, van richtlijn 2016/680, ook als die diensten er om technische redenen niet in slagen om toegang te krijgen tot die gegevens.

Deze uitlegging wordt bevestigd door de context van artikel 3, punt 2, van richtlijn 2016/680. Op grond van artikel 4, lid 1, onder b), van die richtlijn schrijven de lidstaten immers voor dat persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en legitieme doeleinden worden verzameld en niet op een met die doeleinden onverenigbare wijze worden verwerkt. In deze laatste bepaling is het beginsel van doelbinding neergelegd [zie in die zin arrest van 26 januari 2023, Ministerstvo na vatreshnite raboti (Registratie van biometrische en genetische gegevens door de politie), C-205/21, EU:C:2023:49, punt 122]. De doeltreffendheid van dit beginsel vereist noodzakelijkerwijs dat het doel van de gegevensverzameling wordt bepaald vanaf het moment waarop de bevoegde autoriteiten proberen om toegang te krijgen tot persoonsgegevens, aangezien een dergelijke poging, wanneer die succesvol is, die autoriteiten met name in staat stelt om de betrokken gegevens onmiddellijk te verzamelen, op te vragen of te raadplegen.

Wat de doelstellingen van richtlijn 2016/680 betreft, beoogt deze richtlijn met name een hoge mate van bescherming van de persoonsgegevens van natuurlijke personen te waarborgen, zoals blijkt uit de overwegingen 4, 7 en 15.

Aan deze doelstelling zou echter afbreuk worden gedaan indien een poging om toegang te verkrijgen tot op een mobiele telefoon opgeslagen persoonsgegevens niet kan worden aangemerkt als „verwerking” van die gegevens. Een dergelijke uitlegging van richtlijn 2016/680 zou voor de personen op wie die poging tot toegang betrekking heeft immers het grote risico met zich meebrengen dat een schending van de in deze richtlijn neergelegde beginselen niet meer kan worden vermeden.

Opgemerkt dient nog te worden dat die uitlegging in overeenstemming is met het rechtszekerheidsbeginsel, dat volgens vaste rechtspraak van het Hof vereist dat de toepassing van rechtsregels voorzienbaar is voor de justitiabelen, in het bijzonder wanneer die regels nadelige gevolgen kunnen hebben (arrest van 27 juni 2024, Gestore dei Servizi Energetici, C148/23, EU:C:2024:555, punt 42 en aldaar aangehaalde rechtspraak). Een uitlegging volgens welke de toepasselijkheid van richtlijn 2016/680 afhangt van het succes van de poging tot het verkrijgen van toegang tot op een mobiele telefoon opgeslagen persoonsgegevens, zou immers voor zowel de bevoegde nationale autoriteiten als de justitiabelen een onzekerheid met zich meebrengen die onverenigbaar is met dit beginsel.

De verwijzende rechter heeft in zijn eerste en tweede vraag uitdrukkelijk verwezen naar, enerzijds, artikel, 15, lid 1, van richtlijn 2002/58, dat met name vereist dat de wettelijke maatregelen die de lidstaten kunnen treffen ter beperking van de reikwijdte van de in meerdere artikelen van deze richtlijn bedoelde rechten en plichten noodzakelijk, redelijk en proportioneel zijn in een democratische samenleving ter waarborging van de nationale veiligheid, dat wil zeggen de staatsveiligheid, de landsverdediging, de openbare veiligheid, of het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten of van onbevoegd gebruik van het elektronische-communicatiesysteem, en, anderzijds, artikel 52, lid 1, van het Handvest, waarin het evenredigheidsbeginsel is neergelegd in verband met de beperking van de uitoefening van de door het Handvest erkende rechten en vrijheden.

Op grond van artikel 4, lid 1, onder c), van richtlijn 2016/680 moeten de lidstaten ervoor zorgen dat de persoonsgegevens toereikend en ter zake dienend zijn en niet bovenmatig zijn in verhouding tot de doeleinden waarvoor zij worden verwerkt. Deze bepaling vereist dus dat de lidstaten het beginsel van de „minimale gegevensverwerking” in acht nemen, dat uitdrukking geeft aan dit evenredigheidsbeginsel (arrest van 30 januari 2024, Direktor na Glavna direktsia „Natsionalna politsia” pri MVR – Sofia, C-118/22, EU:C:2024:97, punt 41 en aldaar aangehaalde rechtspraak).

Hieruit volgt dat met name bij het verzamelen van persoonsgegevens in het kader van een strafprocedure en bij de opslag daarvan door de politiediensten voor in artikel 1, lid 1, van richtlijn 2016/680 genoemde doeleinden, aan dit laatste beginsel moet worden voldaan, net zoals bij elke verwerking die binnen de werkingssfeer van deze richtlijn valt (arrest van 30 januari 2024, Direktor na Glavna direktsia „Natsionalna politsia” pri MVR – Sofia, C-118/22, EU:C:2024:97, punt 42 en aldaar aangehaalde rechtspraak).

Derhalve moet worden aangenomen dat de verwijzende rechter met zijn eerste en tweede vraag, die gezamenlijk moeten worden onderzocht, in wezen wenst te vernemen of artikel 4, lid 1, onder c), van richtlijn 2016/680, gelezen in het licht van de artikelen 7 en 8 alsmede artikel 52, lid 1, van het Handvest, zich verzet tegen een nationale regeling die de bevoegde autoriteiten de mogelijkheid biedt om zich toegang te verschaffen tot de op een mobiele telefoon opgeslagen gegevens met het oog op het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten in het algemeen, en die het gebruik van die mogelijkheid niet afhankelijk stelt van een voorafgaande toetsing door een rechter of een onafhankelijk bestuursorgaan.

Om te beginnen blijkt uit de overwegingen 2 en 4 van richtlijn 2016/680 dat deze richtlijn bedoeld is om bij te dragen aan de totstandkoming van een ruimte van vrijheid, veiligheid en recht binnen de Unie, waarbij een solide en coherent kader voor de bescherming van persoonsgegevens wordt ontwikkeld om de eerbiediging te waarborgen van het grondrecht van de bescherming van natuurlijke personen met betrekking tot de verwerking van de hen betreffende persoonsgegevens, dat is erkend in artikel 8, lid 1, van het Handvest en artikel 16, lid 1, VWEU [zie in die zin arrest van 25 februari 2021, Commissie/Spanje (Persoonsgegevensrichtlijn – Strafrechtelijk gebied), C-658/19, EU:C:2021:138, punt 75].

Hiertoe beoogt richtlijn 2016/680 met name, zoals is opgemerkt in punt 74 van dit arrest, een hoge mate van bescherming van de persoonsgegevens van natuurlijke personen te waarborgen.