OM mag beslag leggen op cloud-data
Is de leverancier van een cloud-applicatie een aanbieder van een communicatiedienst?
OM mag beslag leggen op gegevens uit de Cloud
In dit blog ga ik in op de uitspraak van de raadkamer van de rechtbank Overijssel. In deze uitspraak oordeelt de raadkamer dat het openbaar ministerie gebruik mag maken van fiscale gegevens die het OM in beslag heeft genomen uit de cloud bij een aanbieder van een fiscaal softwarepakket.
De klagende partij in deze zaak is een leverancier van bedrijfssoftware voor dienstverlenende organisaties. Deze leverancier biedt software ter ondersteuning van fiscale aangifte- en advieswerkzaamheden voor accountants en administratiekantoren. Deze software wordt als Cloud-applicatie aangeboden. De gegevens die door de gebruikers van de software worden ingevoerd, zijn geplaatst op een server in Ierland die eigendom is van Amazon. De hosting van de server gebeurt door Amazon, bij wie het softwarebedrijf een deel huurt van de server ten behoeve van haar klanten.
Op 14 november 2016 is de leverancier van de cloud-applicatie benaderd door de FIOD met het verzoek om informatie ter voorbereiding van een vordering op grond van artikel 126nd Sv; er wordt gevraagd om bestanden van een klant over te dragen. Vervolgens heeft de rechter-commissaris op 21 november 2016, overeenkomstig de vordering van de officier van justitie in het kader van een strafrechtelijk onderzoek tegen de verdachte, de officier van justitie machtiging verleend voor een bevel tot het verstrekken van gegevens door de aanbieder van de cloud-applicatie. Op 23 november 2016 is door aanbieder van de cloud-applicatie een bestand met de verzochte gegevens aan de FIOD verstrekt.
De leverancier van de cloud-applicatie is het met deze gang van zaken niet eens en heeft vervolgens geklaagd over de kennisneming en het gebruik van gegevens die op vordering van de officier van justitie zijn verstrekt.
Is de leverancier van een cloud-applicatie een aanbieder van een communicatiedienst?
De leverancier van de cloud-applicatie stelt zich primair op het standpunt dat zij niet kan worden aangemerkt als aanbieder van een “communicatiedienst” waarop de vordering is gericht.
De leverancier van de cloud-applicatie stelt dat zij een toonaangevende leverancier van bedrijfssoftware voor dienstverlenende organisaties is en dat zij geen dienst aanbiedt die de mogelijkheid om te communiceren biedt. Daarom, zo vindt zij, kan zij niet worden aangemerkt als aanbieder van een communicatiedienst als bedoeld in artikel 126ng, eerste lid Sv.
Even wat achtergrond bij dit artikel
Op grond van artikel 126ng, tweede lid Sv, kan de officier van justitie in geval van verdenking van een misdrijf als omschreven in artikel 67, eerste lid Sv dat gezien zijn aard of de samenhang met andere door de verdachte begane misdrijven een ernstige inbreuk op de rechtsorde oplevert, indien het belang van het onderzoek dit dringend vordert, van de aanbieder van wie redelijkerwijs kan worden vermoed dat hij toegang heeft tot gegevens als bedoeld in de laatste volzin van het eerste lid van dit artikel, deze gegevens vorderen, voor zover zij klaarblijkelijk van de verdachte afkomstig zijn, voor hem bestemd zijn, op hem betrekking hebben of tot het begaan van het strafbare feit hebben gediend, of klaarblijkelijk met betrekking tot die gegevens het strafbare feit is gepleegd.
Op grond van artikel 126la Sv wordt verstaan onder
a) aanbieder van een communicatiedienst: de natuurlijke persoon of rechtspersoon die in de uitoefening van een beroep of bedrijf aan de gebruikers van zijn dienst de mogelijkheid biedt te communiceren met behulp van een geautomatiseerd werk, of gegevens verwerkt of opslaat ten behoeve van een zodanige dienst of de gebruikers van die dienst;
b) gebruiker van een communicatiedienst: de natuurlijke persoon of rechtspersoon die met de aanbieder van een communicatiedienst een overeenkomst is aangegaan met betrekking tot het gebruik van die dienst of die feitelijk gebruik maakt van een zodanige dienst.
De raadkamer overweegt als volgt over deze eerste vraag:
“Artikel 126la Sv verstaat onder de aanbieder van een communicatiedienst onder andere: “de rechtspersoon die in uitoefening van een beroep of bedrijf aan de gebruikers van zijn dienst de mogelijkheid biedt te communiceren met behulp van een geautomatiseerd werk of gegevens verwerkt of opslaat ten behoeve van een zodanige dienst”. Klaagster is een leverancier van bedrijfssoftware. Zij biedt onder andere het software pakket ‘ [naam fiscaal softwarepakket] ’ aan aan klanten. Klaagster heeft gesteld dat ‘ [naam fiscaal softwarepakket] ’ een zogenoemde cloud-applicatie is, wat inhoudt dat de gebruiker van het programma overal ter wereld toegang heeft tot de door hem ingevoerde gegevens. Deze gegevens staan niet op de computer van de klant, maar zijn geplaatst op een server van Amazon in Ierland. Klaagster huurt een deel van de server van Amazon ten behoeve van haar klanten en het is daarmee klaagster die voor haar klanten de mogelijkheid faciliteert om bij de cloud te komen waar de klanten toegang hebben tot de door hen opgeslagen gegevens. Klaagster stelt zich daarbij op als provider. Zij biedt immers diensten aan aan klanten tegen een vergoeding en is daarmee de toegangspoort voor die klanten tot de server. Het toegang hebben tot die gegevens en het invoeren van de gegevens kan enkel via telecommunicatiestructuren en het faciliteren van de mogelijkheid om klanten toegang te geven tot de cloud, is dan ook een vorm van telecommunicatie.”
Op grond hiervan is de raadkamer van oordeel dat de aanbieder van de cloud-applicatie aanbieder is van een communicatiedienst als bedoeld in artikel 126la onder a Sv. De officier van justitie heeft daarmee op juiste gronden de vordering gedaan.
Was het opvragen van de data wel proportioneel?
De aanbieder van de cloud-applicatie heeft zich subsidiair op het standpunt gesteld dat bij de beoordeling van de vordering sprake is van schending van de beginselen van proportionaliteit en subsidiariteit.
De raadkamer is van oordeel dat met het vooraf vragen van een schriftelijke rechterlijke machtiging aan de rechter-commissaris de eisen van subsidiariteit en proportionaliteit in acht genomen zijn. De rechter-commissaris is vervolgens ook op juiste gronden tot het verlenen van een machtiging kunnen komen. De raadkamer betrekt bij die toets alle omstandigheden zoals die ten tijde van de vordering golden. Zo zijn bij de beoordeling andere alternatieven overwogen, maar die zijn niet afdoende gebleken.
Daar waar de leverancier van de cloud-applicatie heeft gesteld dat er minder ingrijpende alternatieven voorhanden waren, is de raadkamer van oordeel dat die alternatieven zouden bestaan uit een doorzoeking van de computers van en bij de verdachte die vervolgens vele uren in beslag zou nemen of het in beslag nemen van de server. Beide alternatieven zouden naar het oordeel van de raadkamer beduidend ingrijpender zijn dan het op bevel en na verkregen machtiging van de rechter-commissaris moeten verstrekken van gegevens.
De raadkamer is dan ook van oordeel dat bij de beoordeling is voldaan aan de eisen van proportionaliteit en subsidiariteit. Daar waar de leverancier van de cloud-applicatie op dit punt nog heeft gesteld dat bij het afgeven van een machtiging voor een bevel tot het verstrekken van gegevens van haar klanten, er “een hausse aan vorderingen tot het verstrekken van opgeslagen gegevens kan worden verwacht”, is de raadkamer van oordeel dat dit met de vooraf door de rechter-commissaris vereiste toets zal worden ondervangen.
Conclusie
De raadkamer is op grond van het voorgaande van oordeel dat het klaagschrift ongegrond moet worden verklaard.