Website ‘op zichzelf’ geen geautomatiseerd werk

HR Conclusie A-G 9 november 2021, IEF 20403, IT 3751; ECLI:NL:PHR:2021:1050 ( DDoS-aanvallen) Strafrecht. De verdachte is bij arrest van 22 juli 2020 door het gerechtshof Amsterdam wegens het “opzettelijk en wederrechtelijk de toegang tot en/of het gebruik van een geautomatiseerd werk belemmeren door daaraan gegevens toe te zenden” − DDoS-aanvallen −, veroordeeld tot een geheel voorwaardelijke taakstraf voor de duur van 40 uren, met een proeftijd van één jaar. Daarnaast heeft het hof de onttrekking aan het verkeer bevolen van een computer en de teruggave gelast van een gsm, een en ander als nader in het arrest bepaald. Bij herstelarrest van 23 juli 2020 is het dictum aangevuld met een vervangende hechtenis van 20 dagen hechtenis voor het geval de taakstraf niet naar behoren zal worden verricht. De A-G concludeert tot verwerping van het beroep. De klacht in het middel dat het hof onder een geautomatiseerd werk ook een website heeft verstaan berust op een onjuiste lezing van de tenlastelegging en bewezenverklaring.

Overwegingen van het hof

3.2. (...) Om te kunnen spreken van het belemmeren van het gebruik van een geautomatiseerd werk als bedoeld in artikel 138b, eerste lid, Wetboek van Strafrecht is vereist dat vast komt te staan dat het gebruik van het desbetreffende geautomatiseerd werk daadwerkelijk wordt belemmerd (vgl. Kamerstukken II. 2004-2005 26671. nr. 10. p. 28 en 29). Noch de tekst van de wet, noch de wetsgeschiedenis biedt aanknopingspunten voor de gedachte dat aan de in de wetsbepaling voorkomende term 'belemmert' een andere betekenis dient te worden toegekend dan daaraan volgens normaal spraakgebruik pleegt te worden gedaan, te weten: bemoeilijken, hinderen. Uit de bewijsmiddelen volgt naar het oordeel van het hof dal de website ‘[internetsite 2]' door verdachtes toedoen meermalen is aangevallen door middel van een DDoS-aanval én dat de toegang tot die website daardoor (tijdelijk) metterdaad belemmerd is geweest. Dat laatste leidt het hof (meer specifiek) af uit de inhoud van de aangifte, de inhoud van de door de verdachte aan de aangever op 23 en 24 oktober 2017 verzonden e-mails en het bericht dat hij op 24 oktober 2017 aan ‘[internetsite 1]' heeft verzonden. Dat het de verdachte kennelijk niet is gelukt om de website volledig en voor een lange periode 'uit de lucht te halen', doet hier niet aan af: ook een lijdelijke belemmering van de toegang tot de website is voldoende om tot een bewezenverklaring van het primair tenlastegelegde te kunnen komen. Het hof verwerpt het verweer dan ook.” (...)

 3.14. Uit het voorgaande kan worden afgeleid dat onder een geautomatiseerd werk steeds een (onderdeel van) een fysiek apparaat is begrepen. Dus een computer, server, router, “ereader”, chip of wat dies meer zij, maar in elk geval zogenaamde hardware. Het gaat in alle gevallen niet om software, zoals computerprogramma’s, of – voor onderhavige casus relevant – websites. Dit onderscheid lijkt in de gepubliceerde feitenrechtspraak ook, op een enkele uitzondering na, te worden volgehouden.

3.15. Enigszins ten overvloede kan er nog op gewezen worden dat deze afbakening van het begrip “geautomatiseerd werk” tot hardware ook naar voren komt in de wijziging van art. 80sexies per 1 maart 2019. Dit artikel luidt per 1 maart 2019:

“Onder geautomatiseerd werk wordt verstaan een apparaat of groep van onderling verbonden of samenhangende apparaten, waarvan er één of meer op basis van een programma automatisch computergegevens verwerken”

3.16. Deze wijziging – die op zichzelf voor de onderhavige casus geen betekenis heeft omdat zij plaatsvond na de bewezenverklaarde gedragingen – wordt in de Memorie van Toelichting aangeduid als een “verruiming” van de begripsbepaling17. Als argument voor die verruiming wordt gegeven dat de Hoge Raad weliswaar heeft geoordeeld dat “het begrip geautomatiseerd werk niet is beperkt tot apparaten die zelfstandig voldoen aan de cumulatie van functies” (zoals een router, verwezen wordt naar het arrest uit 2013), maar niettemin aanleiding bestaat “tot aanpassing van het begrip vanwege de technologische ontwikkelingen, die ertoe leiden dat apparaten zelfstandig op basis van een programma automatisch gegevens verwerken, zonder dat deze onderdeel vormen van een netwerk.”18 Het type “apparaten” waaraan wordt gedacht blijkt met name uit de volgende overweging:

“Deze definitie omvat computers, servers, modems, routers, smartphones en tablets. In het advies van Bof wordt erop gewezen dat in het conceptwetsvoorstel voorgestelde de begripsomschrijving van het conceptwetsvoorstel dat in consultatie is gegeven ook technische apparaten omvat die in verbinding staan met een netwerk, zoals de SCADA-systemen die worden gebruikt bij industriële productiesystemen, navigatiesystemen, televisies, een digitaal fototoestel met Wifi-compatibiliteit of een pacemaker. Deze apparaten vallen ook onder de thans voorgestelde begripsomschrijving. Dit is echter niet zozeer een gevolg van de wens tot verruiming van de omschrijving van het geautomatiseerd werk als wel van de ontwikkeling van de techniek, die ertoe leidt dat steeds meer apparaten beschikken over functies die voorheen waren voorbehouden aan de computer.”

3.17. Uit deze overweging volgt dat ook na de wijziging van art. 80sexies Sr per 1 maart 2019 nog slechts gedacht wordt aan apparaten – aan stoffelijke objecten dus – en niet aan onstoffelijke zaken zoals websites. Een website is ‘in wezen’ een stuk software en geen hardware. Wel is het zo dat een website, om zijn functie op het internet20 te kunnen vervullen, moet zijn ondergebracht (worden ‘gehost’) op een geautomatiseerd werk (een server), dat met dat internet is verbonden. In die zin bestaat er wel een duidelijk functioneel verband van een website met een geautomatiseerd werk. Als de server waarop de website wordt gehost op een of andere manier in een storing raakt is de website doorgaans niet meer benaderbaar via het internet en kan de website - hoewel hij nog wel bestaat in de vorm van de software – hetgeen waarvoor hij is bedoeld ook niet meer verrichten.

3.18. De conclusie van het voorgaande is dus dat een website ‘op zichzelf’ niet kan worden aangemerkt als “geautomatiseerd werk” in de zin van art. 80sexies Sr en/of art. 138b Sr.