ECLI:NL:PHR:2024:1230

Conclusie

PROCUREUR-GENERAAL

BIJ DE

HOGE RAAD DER NEDERLANDEN

Nummer22/03889

Zitting19 november 2024

CONCLUSIE

A.E. Harteveld

In de zaak

[verdachte],

geboren in [geboorteplaats] op [geboortedatum] 1996,

hierna: de verdachte.

1.Het cassatieberoep

1.1

De verdachte is bij arrest van 13 oktober 2022 door het gerechtshof Den Haag wegens de eendaadse samenloop van 1. “medeplegen van computervredebreuk, meermalen gepleegd”, 2. “medeplegen van met het oogmerk dat daarmee een misdrijf als bedoeld in artikel 138ab, eerste lid, 138b of 139c van het Wetboek van Strafrecht wordt gepleegd, een computerwachtwoord, toegangscode of daarmee vergelijkbaar gegeven waardoor toegang kan worden verkregen tot een geautomatiseerd werk of deel daarvan, voorhanden hebben, meermalen gepleegd”, 3. “medeplegen van oplichting, meermalen gepleegd” en 4. “diefstal door twee of meer verenigde personen, waarbij de schuldige het weg te nemen goed onder zijn bereik heeft gebracht door middel van valse sleutels”, veroordeeld tot een gevangenisstraf voor de duur van 14 maanden, met aftrek van voorarrest. Verder heeft het hof een beslissing genomen over in beslag genomen, nog niet teruggegeven voorwerpen en over de vordering van de benadeelde partij. Tot slot heeft het hof de vordering tot tenuitvoerlegging van de eerder bij arrest van het hof Den Haag van 17 januari 2018, rolnummer 22-003217-17, voorwaardelijk opgelegde gevangenisstraf, afgewezen.

1.2

Namens het openbaar ministerie heeft H.H.J. Knol, advocaat-generaal bij het hof Den Haag, één middel van cassatie voorgesteld. Namens de verdachte heeft N. van Schaik, advocaat te Utrecht, eveneens één middel van cassatie voorgesteld. Voorts heeft N. van Schaik namens de verdachte een schriftuur houdende tegenspraak ingediend.

1.3

Deze zaak hangt samen met de zaken 22/03913, 22/03872 en 22/03946. In de zaken 22/03913 en 22/03872 zal ik vandaag ook concluderen. In de zaak 22/03946 is het cassatieberoep ingetrokken.

2.Een korte schets van de feiten

2.1

Gezien de bewijsvoering van het hof gaat het in deze zaak om het volgende. De verdachte en/of zijn mededader(s) hebben in het voorjaar van 2018 via Marktplaats diverse personen met een bankrekening bij de ING benaderd en verleid tot het doen van een betaling ter hoogte van € 0,01 door middel van een betaalverzoek (een “Tikkie-link”), ten behoeve van het vaststellen van de identiteit van de Marktplaatsverkoper. De slachtoffers werden via deze link naar een phisingwebsite geleid, waar zij diverse gegevens met betrekking tot hun ING-bankrekening moesten invullen, die werden afgevangen. Vervolgens werd met deze gegevens ingelogd op het ING-internetbankierenaccount van de slachtoffers, werd de aan de bankrekening van de slachtoffers gekoppelde Mobiel Bankieren App en de Mobiel Betalen App geïnstalleerd op de telefoon(s) van de verdachte en/of zijn mededader(s) en werden aankopen gedaan bij MediaMarkt.

2.2

In het kader van het opsporingsonderzoek heeft onderzoek plaatsgevonden aan digitale-gegevensdragers van de verdachte en/of een of meer medeverdachten. Zowel het namens het openbaar ministerie voorgestelde middel als het namens de verdachte voorgestelde middel gaat over de rechtmatigheid van het onderzoek aan deze gegevensdragers. Voordat ik de middelen bespreek, zal ik daarom eerst de overweging van het hof ten aanzien van de rechtmatigheid van het onderzoek aan de digitale-gegevensdragers weergeven.

3.
De overweging van het hof omtrent het onderzoek aan de digitale-gegevensdragers

3.1

Het hof heeft in het bestreden arrest ambtshalve het volgende overwogen over de rechtmatigheid van het onderzoek aan de gegevensdragers van de verdachte en/of een of meer medeverdachten:

“Rechtmatigheid onderzoek gegevensdragers

In het navolgende zal het hof uit praktische overwegingen de term ‘digitale-gegevensdrager’ gebruiken ter aanduiding van alle apparaten met de functionaliteit om digitale gegevens op te slaan, ook als deze daarnaast aangemerkt kunnen worden als geautomatiseerd werk in de zin van artikel 80sexies van het wetboek van Strafrecht (hierna: ‘Sr’).

Het hof overweegt dat ten aanzien van het onderzoek dat in onderhavige zaak heeft plaatsgevonden aan digitale-gegevensdragers toebehorende aan de verdachte en/of een of meer medeverdachten, dient te worden beoordeeld of, indien eenmaal sprake is van rechtmatig door de rechter-commissaris in beslag genomen voorwerpen, uit (de uitoefening van) die bevoegdheid zonder meer voortvloeit dat de gegevens op die gegevensdragers ongeclausuleerd mochten worden onderzocht.

Zoals het hof eerder heeft overwogen (Hof Den Haag, 26 augustus 2021, ECLI:NL:GHDHA:2021:1873) vloeit, indien het onderzoek van de gegevens op een digitale gegevensdrager zo verstrekkend is dat op voorhand is te voorzien dat een min of meer compleet beeld kan worden verkregen van bepaalde aspecten van het persoonlijk leven van de gebruiker van die gegevensdrager, uit de enkele beslissing tot inbeslagneming niet zonder meer voort dat gegevens op die digitale-gegevensdragers zonder meer mogen worden onderzocht. Indien een dergelijke voorzienbaarheid zich voordoet, zal door de rechter-commissaris die de inbeslaggenomen gegevensdragers voor onderzoek overdraagt aan een opsporingsdienst, moeten worden overwogen of wel of niet beperkingen aan dat onderzoek dienen te worden verbonden.

Bij die beslissing en bij het bepalen van aard en omvang van die eventuele beperkingen zullen factoren als de ingrijpendheid van de inbreuk op de persoonlijke levenssfeer van de gebruiker van de betreffende gegevensdragers door het onderzoek en de proportionaliteit en subsidiariteit van de te verrichten onderzoekshandelingen in relatie tot de aard en omvang van de verdenking waarop het onderzoek betrekking heeft een rol kunnen spelen. Daarbij kan onder meer worden gedacht aan beperkingen betreffende het aantal te onderzoeken gegevensdragers, beperkingen betreffende de te onderzoeken gegevens (zoals afbeeldingen, communicatie, internetgedrag et cetera) en beperkingen betreffende de periode waarbinnen de te onderzoeken gegevens zijn gegenereerd of op de betreffende digitale-gegevensdrager terecht zijn gekomen. Ook kan worden gekozen voor fasering van toegestane onderzoekshandelingen doordat de rechter-commissaris eventueel tussentijds beslist tot uitbreiding of (verdere) beperking van het toegestane onderzoek. In het onderhavige geval heeft een dergelijke toetsing niet kenbaar plaatsgevonden.

Uit het strafdossier blijkt dat na de doorzoekingen in de woningen van de verdachte en de medeverdachten [medeverdachte 1] en [medeverdachte 2] de in beslag genomen voorwerpen door de rechter-commissaris voor nader onderzoek zijn overgedragen aan het onderzoeksteam. Het proces-verbaal van doorzoeking van de woning van de [medeverdachte 3] bevat een dergelijke vermelding niet, maar uit het strafdossier blijkt onmiskenbaar dat aldaar digitale-gegevensdragers in beslag zijn genomen en vervolgens zijn onderzocht door het onderzoeksteam. Nu deze voorwerpen kennelijk feitelijk bij het onderzoeksteam terecht zijn gekomen, neemt het hof aan dat de rechter-commissaris die deze voorwerpen in beslag heeft genomen deze eveneens voor nader onderzoek aan het onderzoeksteam heeft overgedragen.

Voorts blijkt dat bij de aanhouding van de verdachte twee digitale-gegevensdragers bij hem zijn aangetroffen, welke met toestemming van de officier van justitie zijn doorzocht. Nu het hier ging om zogenaamde ‘smartphones’ welke door de verdachte bij zich werden gedragen, moest - nu niet blijkt van aanwijzingen dat hij hier anders dan een doorsnee-gebruiker mee omging - er rekening mee [AEH: zin onleesbaar] zijn persoonlijk leven te vinden zou zijn dat op voorhand te voorzien was dat uit het onderzoek daarvan een min of meer compleet beeld kon worden verkregen van bepaalde aspecten van het persoonlijk leven van de verdachte. Dit leidt ertoe dat het louter met toestemming van de officier van justitie onderzoeken van de betreffende twee digitale-gegevensdragers onrechtmatig was.

Tegen deze achtergrond is thans slechts een beoordeling achteraf mogelijk van de vraag of de rechter-commissaris toestemming zou hebben gegeven voor het onderzoek van de gegevens op de digitale-gegevensdragers van verdachte en de medeverdachten, op de wijze zoals dat heeft plaatsgevonden, namelijk zonder enige kenbare beperking. Daartoe overweegt het hof het volgende.

Het proces-verbaal Aanvraag doorzoeking ter inbeslagneming met betrekking tot de [medeverdachte 3] is gebaseerd op de verdenking dat deze zich schuldig heeft gemaakt aan een zogenaamde Tikkie-fraude op 13 en 14 april 2018 ten aanzien van één aangever ([slachtoffer]).

Het proces-verbaal Aanvraag doorzoeking ter inbeslagneming met betrekking tot de [medeverdachte 1] is gebaseerd op de verdenking dat deze zich schuldig heeft gemaakt aan het medeplegen van een of meer Tikkie-fraudes met de verdachte.

Het proces-verbaal Aanvraag doorzoeking ter inbeslagneming met betrekking tot de [medeverdachte 2] is gebaseerd op de verdenking dat deze zich schuldig heeft gemaakt aan een of meer Tikkie-fraudes op 8/9 en 30 juni 2018.

Het proces-verbaal Aanvraag doorzoeking ter inbeslagneming met betrekking tot de verdachte is gebaseerd op de verdenking dat deze zich schuldig heeft gemaakt 2018 aan een of meer Tikkie-fraudes op 21 en 23 april 2018.

Gegeven hetgeen omtrent deze verdenkingen uit de verschillende aanvragen blijkt, had de rechter-commissaris niet ongeclausuleerd toestemming mogen geven voor doorzoeking van de diverse digitale-gegevensdragers, zodat dit onrechtmatig jegens de verdachte was. Het hof heeft hiervoor reeds aangegeven waaraan bij bedoelde clausulering eventueel zou kunnen worden gedacht. Zo had in dit geval bijvoorbeeld in eerste instantie de toestemming beperkt kunnen worden tot gegevens afkomstig uit 2018. Het ligt voor de hand dat in voorkomende gevallen de visie van de aanvragend officier van justitie op de concrete vormgeving van dergelijke beperkingen wordt betrokken.

Het voorgaande betekent dat het hof op de voet van artikel 359a Sv dient te beoordelen of aan het ontbreken van een wettelijke legitimatie aan de respectievelijke onderzoeken enig rechtsgevolg dient te worden verbonden en, zo ja, welk rechtsgevolg dan in aanmerking komt. Vastgesteld dient te worden dat noch de verdachte, noch één van de medeverdachten, heeft aangevoerd, laat staan onderbouwd, dat de facto sprake is geweest van enige inbreuk op de persoonlijke levenssfeer. Het hof zal derhalve, rekening houdend met het belang dat de geschonden norm dient (de bescherming van de persoonlijke levenssfeer van de verdachte), de ernst van het verzuim en het nadeel dat daardoor wordt veroorzaakt (: geen), volstaan met de constatering dat een vormverzuim is begaan.”

4.Het namens het openbaar ministerie voorgestelde middel

4.1

In het middel wordt met drie deelklachten opgekomen tegen het oordeel van het hof dat het onderzoek aan de smartphone en aan de andere gegevensdragers van de verdachte onrechtmatig was.

Het juridisch kader

4.2

Het draait in deze zaak om (i) de rechtmatigheid van onderzoek aan elektronische gegevensdragers en geautomatiseerde werken die op de voet van art. 104 Sv door de rechter-commissaris in beslag zijn genomen en (ii) dezelfde vraag ten aanzien van door opsporingsambtenaren in beslag genomen mobiele telefoons. Beide kwesties hebben zeer recent nog een extra dimensie gekregen door de uitspraak van het Hof van Justitie van de EU (hierna: HvJ EU) van 4 oktober 2024 in de zaak C-548/21: (Bezirkshauptmannschaft Landeck).^[1]Op die zaak en de gevolgen daarvan voor het juridisch kader in de onderhavige zaak, in het bijzonder ook voor het onderzoek door een opsporingsambtenaar aan een in beslag genomen mobiele telefoon, ga ik later in. Eerst zal ik ten behoeve van de rechtseenheid en de rechtsontwikkeling trachten aan de hand van het – in ieder geval tot aan de Landeck-uitspraak – geldende recht de in het bestreden arrest opgeworpen vraag te beantwoorden of indien sprake is van rechtmatig door de rechter-commissaris in beslag genomen gegevensdragers en geautomatiseerde werken, uit (de uitoefening van) die bevoegdheid tevens voortvloeit dat die gegevensdragers en geautomatiseerde werken onbeperkt mogen worden onderzocht.

4.3

Het huidige Wetboek van Strafvordering bevat geen regeling die specifiek gaat over het doen van onderzoek aan in beslag genomen elektronische gegevensdragers en geautomatiseerde werken.^[2]Vaste jurisprudentie van de Hoge Raad houdt in dat voor de waarheidsvinding onderzoek mag worden gedaan aan in beslag genomen voorwerpen – waaronder in computers opgeslagen gegevens – teneinde gegevens voor het strafrechtelijk onderzoek ter beschikking te krijgen.^[3]In de praktijk bleek behoefte te bestaan aan meer duidelijkheid en eenduidigheid over de vraag of in het licht van art. 8 EVRM de bepalingen over inbeslagneming van voorwerpen een toereikende wettelijke basis vormen voor onderzoek aan elektronische gegevensdragers en in beslag genomen voorwerpen.^[4]De Hoge Raad heeft in een drietal arresten van 4 april 2017 getracht hierover duidelijkheid te verschaffen.^[5]In de wandeling wordt doorgaans naar (een van) die arresten verwezen met de titel ‘Smartphone-arrest(en)’, maar hetgeen de Hoge Raad overwoog in die arresten is niet beperkt tot in beslag genomen smartphones. Het heeft betrekking op het ruimere terrein van in beslag genomen voorwerpen, waaronder elektronische gegevensdragers en geautomatiseerde werken.

4.4

In de genoemde arresten heeft de Hoge Raad het volgende overwogen ten aanzien van het geldende recht met betrekking tot onderzoek aan in beslag genomen elektronische gegevensdragers en geautomatiseerde werken:

“2.5. Voor de waarheidsvinding mag onderzoek worden gedaan aan inbeslaggenomen voorwerpen teneinde gegevens voor het strafrechtelijk onderzoek ter beschikking te krijgen. In computers opgeslagen of beschikbare gegevens zijn daarvan niet uitgezonderd (vgl. HR 29 maart 1994, ECLI:NL:HR:1994:AD2076, NJ 1994/577). Dat geldt ook voor in andere inbeslaggenomen elektronische gegevensdragers en geautomatiseerde werken, waaronder smartphones, opgeslagen of beschikbare gegevens. De wettelijke basis voor dat onderzoek door opsporingsambtenaren is gelegen in het samenstel van de bepalingen waarop de bevoegdheid tot inbeslagneming is gebaseerd.

2.6.

Voor het doen van onderzoek door een opsporingsambtenaar aan inbeslaggenomen elektronische gegevensdragers en geautomatiseerde werken teneinde de beschikking te krijgen over daarin opgeslagen of beschikbare gegevens vereist de wet geen voorafgaande rechterlijke toetsing of tussenkomst van de officier van justitie. Indien de met het onderzoek samenhangende inbreuk op de persoonlijke levenssfeer als beperkt kan worden beschouwd, biedt de algemene bevoegdheid van opsporingsambtenaren, neergelegd in art. 94, in verbinding met art. 95 en 96 Sv, daarvoor voldoende legitimatie. Dit zal het geval kunnen zijn indien het onderzoek slechts bestaat uit het raadplegen van een gering aantal bepaalde op de elektronische gegevensdrager of in het geautomatiseerde werk opgeslagen of beschikbare gegevens. Indien dat onderzoek zo verstrekkend is dat een min of meer compleet beeld is verkregen van bepaalde aspecten van het persoonlijk leven van de gebruiker van de gegevensdrager of het geautomatiseerde werk, kan dat onderzoek jegens hem onrechtmatig zijn. Daarvan zal in het bijzonder sprake kunnen zijn wanneer het gaat om onderzoek van alle in de elektronische gegevensdrager of het geautomatiseerde werk opgeslagen of beschikbare gegevens met gebruikmaking van technische hulpmiddelen.

[…]

2.8.

Mede gelet op het vooralsnog ontbreken van een daarop toegesneden wettelijke regeling verdient het volgende opmerking. De bevoegdheid tot inbeslagneming van voorwerpen en de daarin besloten liggende bevoegdheid tot het verrichten van onderzoek aan die voorwerpen kunnen op grond van art. 95 en 96 Sv ook worden uitgeoefend door de op grond van art. 148 Sv met het gezag over de opsporing belaste officier van justitie, nu deze blijkens art. 141, aanhef en onder a, Sv met opsporing is belast. Voorts kunnen die bevoegdheden op grond van art. 104, eerste lid, Sv worden uitgeoefend door de rechter-commissaris. De hier genoemde wettelijke bepalingen bieden tevens de grondslag voor het verrichten van onderzoek aan inbeslaggenomen voorwerpen door de officier van justitie respectievelijk de rechter-commissaris, indien de inbeslagneming is geschied door een opsporingsambtenaar.
In zo een geval vormen de genoemde wettelijke bepalingen een toereikende grondslag voor onderzoek aan inbeslaggenomen voorwerpen - waaronder elektronische gegevensdragers en geautomatiseerde werken - dat een meer dan beperkte inbreuk op de persoonlijke levenssfeer meebrengt. Daarbij valt - in het licht van art. 8 EVRM - aan onderzoek door de rechter-commissaris in het bijzonder te denken in gevallen waarin op voorhand is te voorzien dat de inbreuk op de persoonlijke levenssfeer zeer ingrijpend zal zijn.”^[6]

4.5

Uit dit kader blijkt dat, bij het ontbreken van een wettelijke regeling die is toegesneden op onderzoek aan in beslag genomen elektronische gegevensdragers en geautomatiseerde werken, in de bevoegdheid tot inbeslagneming van voorwerpen de bevoegdheid tot het verrichten van onderzoek aan die voorwerpen besloten ligt. De grondslag voor het verrichten van onderzoek door de rechter-commissaris is art. 104 lid 1 Sv, zowel wanneer de inbeslagneming door de rechter-commissaris heeft plaatsgevonden als wanneer de voorwerpen door de opsporingsambtenaar in beslag zijn genomen.

4.6

In lagere rechtspraak – waaronder de bestreden uitspraak – en in de literatuur is de vraag aan de orde gesteld of indien sprake is van rechtmatig door de rechter-commissaris in beslag genomen voorwerpen, uit (de uitoefening van) die bevoegdheid tevens voortvloeit dat de gegevensdragers onbeperkt mogen worden onderzocht.^[7]Met andere woorden: is met de toestemming van de rechter-commissaris voor de inbeslagname van de digitale gegevensdragers tevens toestemming gegeven voor onderzoek naar de gegevens op de aldus in beslag genomen digitale gegevensdragers, of is een nadere machtiging vereist?

4.7

In de feitenrechtspraak lijkt deze vraag niet op een eenduidige wijze te worden beantwoord.

4.8

Zo overwoog het hof Den Haag in een arrest van 26 augustus 2021 – net als in de onderhavige zaak – dat indien het onderzoek van de gegevens op een digitale gegevensdrager zo verstrekkend is dat op voorhand is te voorzien dat een min of meer compleet beeld kan worden verkregen van bepaalde aspecten van het persoonlijk leven van de gebruiker van die gegevensdrager, uit de enkele beslissing tot inbeslagneming niet zonder meer voortvloeit dat gegevens op die digitale-gegevensdrager zonder meer mogen worden onderzocht. Volgens het hof zal indien een dergelijke voorzienbaarheid zich voordoet, door de rechter-commissaris die de in beslag genomen gegevensdrager voor onderzoek overdraagt aan een opsporingsdienst, moeten worden overwogen of wel of niet beperkingen aan dat onderzoek dienen te worden verbonden.^[8]

4.9

In een arrest van 23 februari 2023 nam het hof Den Haag echter een ander standpunt in. In deze zaak had een doorzoeking plaatsgevonden onder leiding van de rechter-commissaris in de woning van de verdachte. Tijdens deze doorzoeking waren op last van de rechter-commissaris voorwerpen, waaronder mobiele telefoons, in beslag genomen op grond van art. 104 Sv. Het hof overwoog ter beantwoording van de vraag of indien eenmaal sprake is van rechtmatig door de rechter-commissaris in beslag genomen voorwerpen, uit (de uitoefening van) die bevoegdheid zonder meer voortvloeit dat de gegevens op gegevensdragers ongeclausuleerd mogen worden onderzocht, dat uit het arrest van de Hoge Raad van 4 april 2017 volgt dat “de doorzoekings- en inbeslagnemingsbevoegdheden van de rechter-commissaris mede inhouden de bevoegdheid om de gegevens op de gegevensdrager ongeclausuleerd te doorzoeken”. Het hof oordeelde dat “mitsdien” geen sprake was van een onherstelbaar vormverzuim.^[9]

4.1

De rechtbank Den Haag nam in een uitspraak van 12 juni 2020 eveneens het standpunt in dat uit de toestemming van de rechter-commissaris om gegevensdragers te zoeken impliciet de toestemming volgt om onderzoek te verrichten naar de onder toezicht van de rechter-commissaris in beslag genomen telefoons, zodat van een vormverzuim geen sprake was.^[10]

4.11

Verder noem ik het vonnis van de rechtbank Amsterdam van 24 februari 2021. In deze zaak overwoog de rechtbank dat gegevens die zijn opgeslagen op een door de rechter-commissaris in beslag genomen digitale-gegevensdrager mogen worden geraadpleegd. De rechter-commissaris hoeft het onderzoek niet zelf te verrichten, maar kan op grond van art. 177 Sv daartoe een opdracht geven aan een opsporingsambtenaar. In de voorliggende zaak was het volgens de rechtbank niet nodig dat de rechter-commissaris een expliciete beslissing nam over het onderzoek aan en in de digitale gegevensdragers van de verdachte, omdat het de betrokkenen duidelijk was waarom de digitale-gegevensdragers in beslag genomen moesten worden. De inbeslagneming door de rechter-commissaris en de terhandstelling van de in beslag genomen smartphones aan de politie impliceert volgens de rechtbank dat deze digitale-gegevensdragers vrijelijk onderzocht mochten worden.^[11]

4.12

Tot slot ben ik uitspraken tegengekomen waarin het standpunt wordt ingenomen dat het juridisch kader zoals geschetst door de Hoge Raad in zijn arrest van 4 april 2017 niet van toepassing is wanneer een smartphone door de rechter-commissaris in beslag is genomen.^[12]

4.13

In de literatuur komt eveneens een wisselend beeld naar voren. Simmelink stelt dat kan worden aangenomen dat de officier van justitie en de rechter-commissaris met de beslissing tot inbeslagneming van de gegevensdrager impliciet hebben beslist dat die gegevensdrager mag worden onderzocht op gegevens die voor inbeslagneming vatbaar zijn.^[13]Van den Hurk en De Vries betogen daarentegen dat dit zou betekenen dat kan worden volstaan met een “globale, niet-inhoudelijke toets”. Zij wijzen erop dat de vordering van de officier van justitie en het onderliggende proces-verbaal wel enige informatie zal bevatten over de verdenking, maar niet over de vraag in hoeverre een inbreuk op het privéleven zal worden veroorzaakt. Omdat van tevoren niet bekend is welke digitale gegevensdragers zullen worden gevonden en welke gegevens daarop zijn opgeslagen, bestaat het risico dat toestemming wordt gegeven zonder dat er informatie is over de hoeveelheid en het type in beslag te nemen gegevensdragers. Dit zou in feite resulteren in een ‘carte blanche’ voor de politie, waarmee de persoonlijke levenssfeer van de gebruiker van de digitale gegevensdrager niet op een betekenisvolle manier wordt beschermd.^[14]Zij betogen dat de toetsing door de officier van justitie of de rechter-commissaris voorafgaand aan het onderzoek aan de digitale gegevensdragers dient plaats te vinden en dat per afzonderlijke digitale gegevensdrager een beslissing moet worden genomen.^[15]

4.14

Het voorgaande illustreert dat de meningen uiteenlopen. Duidelijkheid op dit punt is temeer van belang, nu uit een onderzoek van Mevis, Verbaan en Salverda blijkt dat het merendeel van de elektronische gegevensdragers en geautomatiseerde werken tijdens de doorzoeking ter inbeslagneming, onder leiding van de officier van justitie of de rechter-commissaris wordt in beslag genomen en niet op grond van een zelfstandige inbeslagnemingsbevoegdheid van de opsporingsambtenaar.^[16]Uit dit onderzoek blijkt voorts dat degene die beslist een gegevensdrager in beslag te nemen, daarmee tevens beslist tot het doen van onderzoek daaraan, zonder dat aanvullende of nadere toetsen plaatsvinden omtrent welke gegevens in de voorwerpen nader (mogen) worden onderzocht.^[17]De hier voorliggende vraag of met de toestemming voor inbeslagname tevens toestemming voor het onderzoeken van de digitale gegevensdrager is gegeven, zal zich dan ook vaak voordoen.

4.15

In het wetsvoorstel voor het nieuwe Wetboek van Strafvordering wordt de bevoegdheid tot het in beslag nemen losgemaakt van de bevoegdheid tot het onderzoeken van in beslag genomen gegevensdragers en geautomatiseerde werken. De algemene bevoegdheid van de rechter-commissaris tot inbeslagneming van voorwerpen berust op art. 2.7.68 jo. 2.7.8 NSv en de bevoegdheid om een woning zonder toestemming van de bewoner te doorzoeken ter inbeslagneming is voortaan neergelegd in art. 2.7.69 NSv. Art. 2.7.38 NSv bevat de (nieuwe) bevoegdheid tot het stelselmatig onderzoeken van gegevens in een (al dan niet in beslag genomen) digitale-gegevensdrager of een geautomatiseerd werk. Daarbij is – in lijn met de Smartphone-arresten van de Hoge Raad – een driedeling aangebracht ten aanzien van de autoriteit die de uitoefening van de bevoegdheid kan bevelen. Zolang het onderzoek een geringe inbreuk op de persoonlijke levenssfeer van de betrokkene oplevert is het onderzoek niet stelselmatig en kan de opsporingsambtenaar dit zelfstandig verrichten op grond van de algemene bevoegdheidsbepaling van art. 2.1.9 NSv.^[18]Als het onderzoek op geautomatiseerde wijze plaatsvindt, zal het waarschijnlijk resulteren in een meer dan geringe inbreuk en is sprake van stelselmatig onderzoek van gegevens, waarvoor een bevel van de officier van justitie is vereist op grond van art. 2.7.1 NSv. Voor ingrijpend stelselmatig onderzoek is ook een bevel van de officier van justitie vereist. Hij heeft daarvoor echter een machtiging van de rechter-commissaris nodig.^[19]In de memorie van toelichting wordt benadrukt dat de betrokkenheid van de rechter-commissaris alleen in bijzondere gevallen van onderzoek van gegevens nodig is en dat het niet de bedoeling is dat uit voorzorg in veel gevallen een machtiging van de rechter-commissaris zal worden gevraagd ter voorkoming van onrechtmatigheid.^[20]De officier van justitie kan in zijn bevel bepalen tot welke (soorten) apparaten het bevel zich uitstrekt, maar er is niet voor elk afzonderlijk apparaat een nieuw bevel nodig. Dit geldt ook voor de machtiging van de rechter-commissaris.^[21]

4.16

Naar mijn mening moet de huidige wettelijke regeling als volgt worden verstaan. Uit de arresten van de Hoge Raad van 4 juli 2017 volgt dat art. 104 lid 1 Sv een toereikende wettelijke grondslag vormt voor het door de rechter-commissaris verrichten van onderzoek aan in beslag genomen voorwerpen, ook als dat een meer dan beperkte inbreuk op de persoonlijke levenssfeer meebrengt. Ik meen dat dit moet worden begrepen als “onderzoek (doen) verrichten” door de rechter-commissaris. De rechter-commissaris hoeft het onderzoek mijns inziens niet per se zelf te verrichten – de daarvoor vereiste kennis en/of apparatuur zal denkelijk ook niet altijd ter beschikking staan in het kabinet van de rechter-commissaris. Onderzoek door een (gespecialiseerde) opsporingsambtenaar is wel mogelijk, en daartoe kan de rechter-commissaris een bevel geven conform art. 177 lid 1 Sv. Uit de eerder genoemde Smartphone-arresten blijkt dat een dergelijk bevel ook later kan worden verkregen dan ten tijde van de eigenlijke inbeslagneming, bijvoorbeeld als gaande het opsporingsonderzoek blijkt dat een ingrijpend onderzoek van de gegevensdrager noodzakelijk is. Met een dergelijk bevel is de proportionaliteit en subsidiariteit van de inzet van dit middel gewaarborgd, meer dan met de algemene beslagbevoegdheid alleen.^[22]Dit betekent dus dat het niet volstaat dat slechts blijkt dat de digitale gegevensdrager door of onder leiding van de rechter-commissaris in beslag is genomen, maar dat tevens moet blijken van een expliciet bevel van de rechter-commissaris tot het doen onderzoeken daarvan. Een zodanig bevel kan worden gegeven wanneer een digitale gegevensdrager voor nader onderzoek wordt overgedragen aan het onderzoeksteam en zal dan moeten specificeren hoever dat onderzoek kan strekken, in het bijzonder ook of de opdracht strekt tot onderzoek van alle in de elektronische gegevensdrager of het geautomatiseerde werk opgeslagen of beschikbare gegevens met gebruikmaking van technische hulpmiddelen. In gevallen waarin de in beslag genomen gegevensdrager zonder nadere aanduiding voor onderzoek is overgedragen aan opsporingsambtenaren kan niet worden gesproken van onderzoek door de rechter-commissaris en is voor situaties waarin op voorhand door de opsporingsambtenaar is te voorzien dat het te verrichten onderzoek een meer dan beperkte inbreuk op de persoonlijke levenssfeer zal meebrengen, een aanvullende beslissing van de rechter-commissaris vereist.

De Landeck-zaak

4.17

Dan komt nu de vraag aan de orde hoe dit in de Smartphone-arresten neergelegde stelsel zich verhoudt tot het arrest van het HvJ EU in de zaak Landeck. Deze zaak met kenmerk C-548/21 betreft een verzoek om een prejudiciële beslissing, ingediend door het Landesverwaltungsgericht Tirol (Oostenrijk) op 6 september 2021 inzake C.G. / Bezirkshauptmannschaft Landeck. Het gerecht in Tirol heeft daarbij de volgende prejudiciële vragen gesteld aan het HvJ EU:

“1) Moet artikel 15, lid 1 (eventueel gelezen in samenhang met artikel 5), van richtlijn 2002/58, zoals gewijzigd bij richtlijn 2009/136/EG, in het licht van de artikelen 7 en 8 van het Handvest van de grondrechten, aldus worden uitgelegd dat de toegang van overheidsinstanties tot de op mobiele telefoons opgeslagen gegevens op dermate ernstige wijze inbreuk maakt op de door die artikelen van het Handvest gewaarborgde grondrechten dat die toegang op het gebied van het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten moet worden beperkt tot de bestrijding van zware criminaliteit?

2) Moet artikel 15, lid 1, van richtlijn 2002/58, zoals gewijzigd bij richtlijn 2009/136, in het licht van de artikelen 7, 8 en 11 alsook artikel 52, lid 1, van het Handvest van de grondrechten, aldus worden uitgelegd dat het zich verzet tegen een nationale regeling als § 18 juncto § 99, lid 1, van de Strafprozessordnung [(wetboek van strafvordering; hierna: “StPO”)], op grond waarvan veiligheidsdiensten zichzelf in het kader van een strafrechtelijk onderzoek zonder toestemming van een rechterlijke instantie of onafhankelijk bestuursorgaan volledige en ongecontroleerde toegang kunnen verschaffen tot alle op een mobiele telefoon opgeslagen digitale gegevens?

3) Moet artikel 47 van het Handvest van de grondrechten, eventueel gelezen in samenhang met de artikelen 41 en 52 van het Handvest, vanuit het oogpunt van het beginsel van wapengelijkheid (equality of arms) en een doeltreffende voorziening in rechte aldus worden uitgelegd dat het zich verzet tegen een regeling van een lidstaat die, zoals § 18 juncto § 99, lid 1, StPO, toestaat dat een mobiele telefoon digitaal wordt uitgelezen zonder dat de betrokkene daarvan vooraf of op zijn minst na de toepassing van de maatregel in kennis wordt gesteld?”^[23]

4.18

Op 4 oktober 2024 heeft de Grote Kamer van het HvJ EU deze prejudiciële vragen beantwoord. Een preliminaire kwestie die zich daarbij afspeelde was dat, zoals ook door – onder meer – de Oostenrijkse regering was aangevoerd, de door het verwijzende gerecht als toepasselijke richtlijn aangewezen Richtlijn 2002/58/EG niet op de betrokken vragen van toepassing was (of kon zijn) aangezien het onderzoek aan een mobiele telefoon niet onder het begrip telecommunicatie valt, terwijl dat het onderwerp is van de aangehaalde richtlijn. Het HvJ EU achtte zich daardoor echter niet verhinderd om een antwoord te geven op de gestelde vragen. Dat kon namelijk door herformulering van de vraag, in die zin deze dat beantwoord kan worden in het licht van de Richtlijn (EU) 2016/680 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad.

4.19

In zijn arrest – dat ten tijde van het schrijven van deze conclusie nog niet vanuit de oorspronkelijke Duitse taal in het Nederlands was vertaald, maar waarvan wel de Engelse vertaling beschikbaar is – besteedt het HvJ EU eerst aandacht aan de gang van zaken die geleid heeft tot het stellen van de prejudiciële vragen:

“The dispute in the main proceedings and the questions referred for a preliminary ruling

20 On 23 February 2021, while carrying out a narcotics check, officers of the customs office of Innsbruck (Austria) seized a package addressed to CG containing 85 grams of cannabis. That package was sent for examination to the central police station of St. Anton am Arlberg (Austria).

21 On 6 March 2021, two police officers of that station conducted a search of CG’s residence in the course of which they questioned him regarding the consignor of that package and went through his home. During that search, the police officers asked for access to the connection data on CG’s mobile telephone. Following CG’s refusal, those police officers seized that mobile telephone, which contained a SIM card and an SD card, and gave CG the seizure report.

22 Subsequently, that mobile telephone was handed over to an expert of the Landeck District (Austria) police station with a view to unlocking it. That expert not having succeeded in unlocking the mobile telephone at issue, it was sent to the Vienna Bundeskriminalamt (Federal Office of the Criminal Investigation Police) (Austria) where a new attempt to unlock the telephone was made.

23 The seizure of CG’s mobile telephone and the subsequent attempts to make use of that telephone were carried out at the personal initiative of the police officers concerned, without the authorisation of the Public Prosecutor’s Office or a court.

24 On 31 March 2021, CG brought an action before the Landesverwaltungsgericht Tirol (Regional Administrative Court, Tyrol, Austria), the referring court, challenging the lawfulness of the seizure of his mobile telephone. That telephone was returned to CG on 20 April 2021.

25 CG was not informed promptly of the attempts to make use of his mobile telephone. He only became aware of those attempts when the police officer who seized that telephone and subsequently took the first steps to exploit its digital data was questioned as a witness in the proceedings pending before the referring court. Nor were those attempts documented in the file compiled by the criminal investigation police.

26 In the light of the foregoing, the referring court asks, in the first place, whether, in the light of paragraphs 52 to 61 of the judgment of 2 October 2018, Ministerio Fiscal (C 207/16, EU:C:2018:788), and the case-law cited therein, Article 15(1) of Directive 2002/58, read in the light of Articles 7 and 8 of the Charter, must be interpreted as meaning that full and uncontrolled access to all digital data contained in a mobile telephone, that is to say connection data, the content of communications, photos and browsing history – which can provide a very detailed and in-depth picture of almost all areas of the private life of the data subjects – constitutes so serious an interference with the fundamental rights enshrined in Articles 7 and 8 of the Charter that, as regards the prevention, investigation, detection and prosecution of criminal offences, that access must be limited to fighting serious offences.

27 In that regard, that court states that the offence of which CG is accused in the criminal investigation at issue in the main proceedings is set out in Paragraph 27(1) of the Law on Narcotics and is punishable by a term of imprisonment of up to a year and constitutes, in the light of the classification set out in Paragraph 17 of the StGB, only a minor offence.

28 In the second place, after recalling the lessons to be drawn from paragraphs 48 to 54 of the judgment of 2 March 2021, Prokuratuur (Conditions of access to data relating to electronic communications) (C 746/18, EU:C:2021:152), and the case-law cited therein, the referring court asks whether Article 15(1) of Directive 2002/58 precludes a national legal rule such as that stemming from the combined provisions of Paragraph 18 and Paragraph 99(1) of the StPO pursuant to which, in the course of a criminal investigation, the criminal investigation police can gain, without the authorisation of a court or independent administrative body, full and uncontrolled access to all digital data contained in a mobile telephone.

29 In the third and last place, after stating that Paragraph 18 of the StPO, read in conjunction with Paragraph 99(1) thereof, does not impose any obligation on the police to document the measures for the digital exploitation of a mobile telephone, or to inform its owner of the existence of such measures, so that the latter may, as the case may be, object to such measures by means of a preventive or ex post facto challenge before the courts, the referring court is uncertain whether those provisions of the StPO are compatible with the principle of equality of arms and the right to an effective judicial remedy within the meaning of Article 47 of the Charter.

30 In those circumstances the Landesverwaltungsgericht Tirol (Regional Administrative Court, Tyrol) decided to stay the proceedings and to refer the following questions to the Court of Justice for a preliminary ruling:

‘(1) Is Article 15(1) [of Directive 2002/58 – as the case may be, in combination with Article 5 thereof –], read in the light of Articles 7 and 8 of the [Charter], to be interpreted as meaning that [access by public authorities] to data stored on mobile telephones [constitutes an] interference with [the] fundamental rights enshrined in those articles of the Charter which is sufficiently serious to [require] that that access [be] limited, in areas of prevention, investigation, detection and prosecution of criminal offences, to the objective of fighting serious crime?

(2) Is Article 15(1) of Directive [2002/58], read in the light of Articles 7, 8 and 11 and Article 52(1) of the [Charter], to be interpreted as meaning that it precludes a national rule, such as that enacted in Paragraph 18 of the [StPO], read in combination with Paragraph 99(1) thereof, which allows security authorities to grant themselves full and uncontrolled access to all digital data stored on a mobile telephone in the course of a criminal investigation without the authorisation of a court or independent administrative body?

(3) Is Article 47 of the [Charter], [as the case may be,] read in combination with Articles 41 and 52 thereof, to be interpreted, from the point of view of equality of arms and from the point of view of an effective remedy, as meaning that it precludes a national rule, such as that enacted in Paragraph 18 of the [StPO], read in combination with Paragraph 99(1) thereof, which allows [data stored on a mobile telephone to be exploited] without advising the data subject [of the measure concerned beforehand or, at the very least, after it is taken]?’”^[24]

4.2

Om tot een beantwoording te komen van de gestelde vragen in het licht van Richtlijn 2016/680 onderzoekt het HvJ EU eerst of de (uiteindelijk mislukte) poging van de politie om toegang te verkrijgen tot de op de mobiele telefoon opgeslagen gegevens onder die Richtlijn valt:

“The application of Directive 2016/680 to an attempt to access data contained in a mobile telephone

69 Article 2(1) of Directive 2016/680 defines its material scope. According to that provision, that directive ‘applies to the processing of personal data by competent authorities for the purposes set out in Article 1(1) [thereof]’, that is to say, inter alia, ‘the prevention, investigation, detection or prosecution of criminal offences’.

70 Article 3(2) of that directive defines the concept of ‘processing’ as including ‘any operation or set of operations which is performed on personal data or on sets of personal data, whether or not by automated means, such as … retrieval, consultation’ or also ‘dissemination or otherwise making available’.

71 It is thus apparent from the very wording of Article 3(2) of Directive 2016/680 and, in particular, from the use of the expressions ‘any operation’, ‘any set of operations’ and ‘otherwise making available’ that the EU legislature intended the concept of ‘processing’ to be broad in scope and, consequently, for the material scope of that directive to be wide. That interpretation is supported by the non-exhaustive nature, expressed by the expression ‘such as’, of the list of operations mentioned in that provision (see, by analogy, judgment of 24 February 2022, Valsts ieņēmumu dienests (Processing of personal data for tax purposes), C 175/20, EU:C:2022:124, paragraph 35).

72 Those textual elements thus argue in favour of an interpretation according to which, where the police seize a telephone and handle it with a view to extracting and consulting personal data contained therein, they begin processing within the meaning of Article 3(2) of Directive 2016/680, even if they do not, for technical reasons, succeed in accessing those data.

73 That interpretation is confirmed by the context of Article 3(2) of Directive 2016/680. Under Article 4(1)(b) of that directive, Member States are to provide that personal data are to be collected for specified, explicit and legitimate purposes and not processed in a manner that is incompatible with those purposes. The latter provision lays down the principle of purpose limitation (see, to that effect, judgment of 26 January 2023, Ministerstvo na vatreshnite raboti (Recording of biometric and genetic data by the police), C 205/21, EU:C:2023:49, paragraph 122). The effectiveness of that principle necessarily requires that the purpose of the collection be determined as from when the competent authorities attempt to access personal data since such an attempt, if successful, is such as to enable those authorities, inter alia, to collect, extract or consult the data in question immediately.

74 As regards the objectives of Directive 2016/680, that directive seeks, inter alia, as is apparent from recitals 4, 7 and 15 thereof, to ensure a high level of protection of the personal data of natural persons.

75 That objective would be undermined should it not be possible to classify an attempt to access personal data contained in a mobile telephone as ‘processing’ of that data. An interpretation of Directive 2016/680 to that effect would expose the persons concerned by such an access attempt to a significant risk that it will no longer be possible to prevent the principles established by that directive from being breached.

76 It should also be noted that such an interpretation is consistent with the principle of legal certainty, which, in accordance with the Court’s settled case-law, requires the application of rules of law to be foreseeable by those subject to them, in particular where they may have adverse consequences (judgment of 27 June 2024, Gestore dei Servizi Energetici, C 148/23, EU:C:2024:555, paragraph 42 and the case-law cited). An interpretation according to which the applicability of Directive 2016/680 depends on the success of the attempt to access personal data contained in a mobile telephone would create uncertainty incompatible with that principle for both the competent national authorities and individuals.

77 It follows from the foregoing that an attempt by the police to access the data contained in a mobile telephone for the purposes of a criminal investigation, such as that at issue in the main proceedings, falls, as the Advocate General stated in point 53 of his Opinion, within the scope of Directive 2016/680.”^[25]

4.21

Na de positieve beantwoording van de vraag naar de toepasselijkheid van Richtlijn 2016/680 op de onderliggende casus gaat het HvJ EU over tot beantwoording van de drie gestelde vragen:

“The first and second questions

78 The referring court expressly referred, in its first and second questions, first, to Article 15(1) of Directive 2002/58, which requires, inter alia, that the legislative measures which it allows the Member States to adopt to restrict the scope of the rights and obligations laid down in several provisions of that directive, constitute a necessary, appropriate and proportionate measure within a democratic society to safeguard national security – that is to say, State security – defence and public security, and the prevention, investigation, detection and prosecution of criminal offences or of unauthorised use of the electronic communications system, and, second, to Article 52(1) of the Charter, which enshrines the principle of proportionality in the context of limitations on the exercise of the rights and freedoms recognised by the Charter.

79 Under Article 4(1)(c) of Directive 2016/680, Member States are to provide for personal data to be adequate, relevant and not excessive in relation to the purposes for which they are processed. That provision thus requires the Member States to observe the principle of ‘data minimisation’, which gives expression to the principle of proportionality (judgment of 30 January 2024, Direktor na Glavna direktsia ‘Natsionalna politsia’ pri MVR – Sofia, C 118/22, EU:C:2024:97, paragraph 41 and the case-law cited).

80 It follows that, in particular, the collection of personal data in the context of criminal proceedings and their storage by police authorities, for the purposes set out in Article 1(1) of that directive, must, like any processing falling within the scope of that directive, comply with that principle (judgment of 30 January 2024, Direktor na Glavna direktsia ‘Natsionalna politsia’ pri MVR – Sofia, C 118/22, EU:C:2024:97, paragraph 42 and the case-law cited).

81 Thus, it must be held that, by its first and second questions, which it is appropriate to examine together, the referring court asks, in essence, whether Article 4(1)(c) of Directive 2016/680, read in the light of Articles 7 and 8 of the Charter and Article 52(1) thereof, precludes national legal rules which afford the competent authorities the possibility of accessing data contained in a mobile telephone, for the purposes of preventing, investigating, detecting and prosecuting criminal offences in general, and which do not make reliance on that possibility subject to prior review by a court or an independent administrative body.

82 As a preliminary point, it should be noted that, as is apparent from recitals 2 and 4 of Directive 2016/680, while establishing a strong and coherent framework for the protection of personal data in order to ensure respect for the fundamental right of protection of natural persons with regard to the processing of their personal data, recognised in Article 8(1) of the Charter and Article 16(1) TFEU, that directive is intended to contribute to the accomplishment of an area of freedom, security and justice within the European Union (see, to that effect, judgment of 25 February 2021, Commission v Spain (Personal Data Directive – Criminal law), C 658/19, EU:C:2021:138, paragraph 75).

83 To that end, Directive 2016/680 seeks, inter alia, as has been noted in paragraph 74 of the present judgment, to ensure a high level of protection of the personal data of natural persons.

84 In that regard, it should be recalled that, as recital 104 of Directive 2016/680 highlights, the limitations which, under that directive, can be placed on the right to the protection of personal data, provided for in Article 8 of the Charter, and on the right to respect for private and family life, protected by Article 7 of the Charter, must be interpreted in accordance with the requirements of Article 52(1) thereof, which include respect for the principle of proportionality (see, to that effect, judgment of 30 January 2024, Direktor na Glavna direktsia ‘Natsionalna politsia’ pri MVR – Sofia, C 118/22, EU:C:2024:97, paragraph 33).

85 Those fundamental rights are not absolute rights, but must be considered in relation to their function in society and be weighed against other fundamental rights. Any limitation on the exercise of those fundamental rights must, in accordance with Article 52(1) of the Charter, be provided for by law, respect the essence of those fundamental rights and observe the principle of proportionality. Under the principle of proportionality, limitations may be made only if they are necessary and genuinely meet objectives of general interest recognised by the European Union or the need to protect the rights and freedoms of others. They must apply only in so far as is strictly necessary and the legislation which entails the limitations in question must lay down clear and precise rules governing the scope and application of those limitations (judgment of 30 January 2024, Direktor na Glavna direktsia ‘Natsionalna politsia’ pri MVR – Sofia, C 118/22, EU:C:2024:97, paragraph 39 and the case-law cited).

86 As regards, in the first place, the objective of general interest capable of justifying a limitation on the exercise of the fundamental rights enshrined in Articles 7 and 8 of the Charter, such as that arising from the legal rule at issue in the main proceedings, it should be noted that the processing of personal data in the context of a police investigation aimed at the prosecution of a criminal offence – such as an attempt to access the data contained in a mobile telephone – must be regarded, in principle, as genuinely meeting an objective of general interest recognised by the European Union, within the meaning of Article 52(1) of the Charter.

87 As far as concerns, in the second place, the requirement that such a limitation be necessary, as stated, in essence, in recital 26 of Directive 2016/680, that requirement is not met where the objective of general interest pursued can reasonably be achieved just as effectively by other means less restrictive of the fundamental rights of the data subjects (see, to that effect, judgment of 30 January 2024, Direktor na Glavna direktsia ‘Natsionalna politsia’ pri MVR – Sofia, C 118/22, EU:C:2024:97, paragraph 40 and the case-law cited).

88 By contrast, the requirement of necessity is met where the objective pursued by the data processing at issue cannot reasonably be achieved just as effectively by other means less restrictive of the fundamental rights of data subjects, in particular the rights to respect for private life and to the protection of personal data guaranteed in Articles 7 and 8 of the Charter (judgment of 26 January 2023, Ministerstvo na vatreshnite raboti (Recording of biometric and genetic data by the police), C 205/21, EU:C:2023:49, paragraph 126 and the case-law cited).

89 As regards, in the third place, the proportionate nature of the limitation on the exercise of the fundamental rights guaranteed in Articles 7 and 8 of the Charter, resulting from such processing, it involves balancing all the relevant factors in the individual case (see, to that effect, judgment of 30 January 2024, Direktor na Glavna direktsia ‘Natsionalna politsia’ pri MVR – Sofia, C 118/22, EU:C:2024:97, paragraphs 62 and 63 and the case-law cited).

90 Such factors include, inter alia, the seriousness of the limitation thus placed on the exercise of the fundamental rights at issue, which depends on the nature and sensitivity of the data to which the competent police authorities may have access, the importance of the objective of general interest pursued by that limitation, the link existing between the owner of the mobile telephone and the criminal offence in question and the relevance of the data in question for the purpose of establishing the facts.

91 As regards, first, the seriousness of the limitation on fundamental rights resulting from a legal rule such as that at issue in the main proceedings, it is apparent from the order for reference that that rule authorises the competent police authorities to access, without prior authorisation, the data contained in a mobile telephone.

92 Such access is liable to concern, depending on the content of the mobile telephone in question and the choices made by the police, not only traffic and location data, but also photographs and the internet browsing history on that telephone, or even a part of the content of the communications made with that telephone, in particular by consulting the messages stored therein.

93 Access to such a set of data is liable to allow very precise conclusions to be drawn concerning the private life of the data subject, such as his or her everyday habits, permanent or temporary places of residence, daily or other movements, the activities carried out, the social relationships of that data subject and the places he or she frequents socially.

94 Last, it cannot be ruled out that the data contained in a mobile telephone may include particularly sensitive data, such as personal data revealing racial or ethnic origin, political opinions and religious or philosophical beliefs, such sensitivity justifying the specific protection afforded to them by Article 10 of Directive 2016/680, which also extends to data revealing information of that nature indirectly, following an intellectual operation involving deduction or cross-referencing (see, by analogy, judgment of 5 June 2023, Commission v Poland (Independence and private life of judges), C 204/21, EU:C:2023:442, paragraph 344).

95 The interference with the fundamental rights guaranteed in Articles 7 and 8 of the Charter to which the application of a rule such as that at issue in the main proceedings may give rise must therefore be regarded as serious, or even particularly serious.

96 As regards, second, the importance of the objective pursued, it should be noted that the seriousness of the offence which is the subject matter of the investigation is one of the main parameters when examining the proportionality of the serious interference which access to the personal data contained in a mobile telephone constitutes and which allow precise conclusions to be drawn concerning the private life of the data subject.

97 However, to consider that only combating serious crime may justify access to data contained in a mobile telephone would limit the investigative powers of the competent authorities, within the meaning of Directive 2016/680, in relation to criminal offences in general. This would increase the risk of impunity for such offences, given the importance that such data may have for criminal investigations. Accordingly, such a limitation would disregard the specific nature of the tasks performed by those authorities for the purposes set out in Article 1(1) of that directive, highlighted in recitals 10 and 11 thereof, and would undermine the objective of achieving an area of freedom, security and justice within the European Union pursued by that directive.

98 That being so, those considerations are without prejudice to the requirement, arising from Article 52(1) of the Charter, that any limitation on the exercise of a fundamental right must be ‘provided for by law’, that requirement implying that the legal basis authorising such a limitation must define its scope sufficiently clearly and precisely (see, to that effect, judgment of 26 January 2023, Ministerstvo na vatreshnite raboti (Recording of biometric and genetic data by the police), C 205/21, EU:C:2023:49, paragraph 65 and the case-law cited).

99 In order to satisfy that requirement, it is for the national legislature to define with sufficient precision the factors, in particular the nature or categories of the offences concerned, which must be taken into account.

100 As regards, third, the link that exists between the owner of the mobile telephone and the criminal offence in question and the relevance of the data in question for the purpose of establishing the facts, it is apparent from Article 6 of Directive 2016/680 that the concept of ‘data subject’ covers different categories of persons, namely, in essence, persons suspected, on serious grounds, of having committed or being about to commit a criminal offence, persons convicted of a criminal offence, victims or potential victims of such offences, and others parties to a criminal offence which may be called on to testify in investigations in connection with criminal offences or subsequent criminal proceedings. According to that article, Member States are required to provide for the controller, where applicable and as far as possible, to make a clear distinction between personal data of different categories of data subjects.

101 In that regard, so far as concerns, in particular, access to the data contained in the mobile telephone of a person who is subject to a criminal investigation, as in the case in the main proceedings, it is important that the existence of reasonable suspicions in relation to that person – in the sense that that person has committed, commits or plans to commit an offence, or that he or she is involved in one way or another in such an offence – is supported by objective and sufficient evidence.

102 It is essential – in particular in order to ensure that the principle of proportionality is observed in each specific case by balancing all the relevant factors – that, where access to personal data by the competent national authorities carries the risk of serious, or even particularly serious, interference with the fundamental rights of the data subject, that access be subject to a prior review carried out either by a court or by an independent administrative body.

103 That prior review requires that the court or independent administrative body entrusted with carrying it out must have all the powers and provide all the guarantees necessary in order to reconcile the various legitimate interests and rights at issue. As regards a criminal investigation in particular, it is a requirement of such a review that that court or body must be able to strike a fair balance between, on the one hand, the legitimate interests relating to the needs of the investigation in the context of combating crime and, on the other hand, the fundamental rights to respect for private life and protection of personal data of the persons whose data are concerned by the access.

104 That independent review, in a situation such as that referred to in paragraph 102 of the present judgment, must take place prior to any attempt to access the data concerned, except in cases of duly justified urgency, in which case that review must take place within a short time. A subsequent review would not enable the objective of a prior review, consisting in preventing the authorisation of access to the data in question that exceeds what is strictly necessary, to be met.

105 In particular, the court or independent administrative body, acting in the context of a prior review carried out following a reasoned request for access falling within the scope of Directive 2016/680, must be entitled to refuse or restrict that access where it finds that the interference with fundamental rights which that access would constitute would be disproportionate in the light of all the relevant factors.

106 A refusal to authorise the competent police authorities to access the data contained in a mobile telephone, or a restriction on that access, is therefore necessary if, taking into account the seriousness of the offence and the needs of the investigation, access to the content of the communications or to sensitive data does not appear to be justified.

107 As regards, in particular, the processing of sensitive data, account must be taken of the requirements laid down in Article 10 of Directive 2016/680, the purpose of which is to ensure enhanced protection with regard to that processing which is liable, as is apparent from recital 37 of that directive, to create significant risks to fundamental rights and freedoms, such as the right to respect for private and family life and the right to the protection of personal data, guaranteed by Articles 7 and 8 of the Charter. To that end, as follows from the very terms of Article 10 of Directive 2016/680, the requirement that the processing of such data be allowed ‘only where strictly necessary’ must be interpreted as establishing strengthened conditions for lawful processing of sensitive data, compared with those which follow from Article 4(1)(b) and (c) and Article 8(1) of that directive and refer only to the ‘necessity’ of data processing that falls generally, within the directive’s scope (judgment of 26 January 2023, Ministerstvo na vatreshnite raboti (Recording of biometric and genetic data by the police), C 205/21, EU:C:2023:49, paragraphs 116 and 117 and the case-law cited).

108 Thus, first, the use of the adverb ‘only’ before the words ‘where strictly necessary’ underlines that the processing of special categories of data, within the meaning of Article 10 of Directive 2016/680, will be capable of being regarded as necessary solely in a limited number of cases. Second, the fact that the necessity for processing of such data is an ‘absolute’ one signifies that that necessity is to be assessed with particular rigour (judgment of 26 January 2023, Ministerstvo na vatreshnite raboti (Recording of biometric and genetic data by the police), C 205/21, EU:C:2023:49, paragraph 118).

109 In the present case, the referring court states that, in the course of criminal investigation proceedings, the Austrian police are authorised to access data contained in a mobile telephone. In addition, it states that such access is not, in principle, subject to the prior authorisation of a court or independent administrative authority. It is, however, for that court alone to draw the appropriate conclusions from the clarifications provided, inter alia, in paragraphs 102 to 108 of the present judgment in the main proceedings.

110 It follows from the foregoing that the answer to the first and second questions is that Article 4(1)(c) of Directive 2016/680, read in the light of Articles 7 and 8 and Article 52(1) of the Charter, must be interpreted as not precluding national legal rules which afford the competent authorities the possibility to access data contained in a mobile telephone for the purposes of the prevention, investigation, detection and prosecution of criminal offences in general, provided those rules:

– define with sufficient precision the nature or categories of offences concerned,

– ensure respect for the principle of proportionality, and

– make reliance on that possibility, except in duly justified cases of urgency, subject to prior review by a judge or an independent administrative body.

The third question

111 It is apparent from the order for reference that, by its third question, the referring court seeks, in essence, to determine whether CG should have been informed of the attempts to access the data contained in his mobile telephone in order to be able to exercise his right to an effective remedy guaranteed in Article 47 of the Charter.

112 In that regard, the relevant provisions of Directive 2016/680 are, first, Article 13 of that directive, entitled ‘Information to be made available or given to the data subject’, and, second, Article 54 of that directive, entitled ‘Right to an effective judicial remedy against a controller or processor’.

113 It must also be borne in mind that, as recital 104 of Directive 2016/680 highlights, the limitations imposed by that directive on the right to an effective remedy and to a fair trial, protected by Article 47 of the Charter, must be interpreted in accordance with the requirements of Article 52(1) thereof, which include respect for the principle of proportionality.

114 It must therefore be held that, by its third question, the referring court asks, in essence, whether Articles 13 and 54 of Directive 2016/680, read in the light of Article 47 and Article 52(1) of the Charter, must be interpreted as precluding national legal rules which authorise the competent authorities in criminal matters to attempt to access data contained in a mobile telephone without informing the data subject.

115 It follows from Article 13(2)(d) of Directive 2016/680 that, in addition to the information referred to in paragraph 1, such as the identity of the controller, the purpose of that processing and the right to lodge a complaint with a supervisory authority which must be made available to the data subject, Member States are to provide by law for the controller to give the data subject further information to enable him or her to exercise his or her rights, where necessary, in particular where the personal data are collected without the knowledge of the data subject.

116 However, Article 13(3)(a) and (b) of Directive 2016/680 allows the national legislature to restrict the provision of information to the data subject pursuant to paragraph 2, or to omit to provide that information ‘to the extent that, and for as long as, such a measure constitutes a necessary and proportionate measure in a democratic society with due regard for the fundamental rights and the legitimate interests of the natural person concerned’, inter alia, to ‘avoid obstructing official or legal inquiries, investigations or procedures’ or to ‘avoid prejudicing the prevention, detection, investigation or prosecution of criminal offences or the execution of criminal penalties’.

117 Last, it should be noted that Article 54 of Directive 2016/680, which gives expression to Article 47 of the Charter, requires Member States to provide that, where a person considers that his or her rights laid down in the provisions adopted pursuant to that directive have been infringed as a result of the processing of his or her personal data in breach of those provisions, that person has the right to an effective judicial remedy.

118 It is apparent from the case-law that the right to an effective judicial remedy, guaranteed in Article 47 of the Charter, requires, in principle, that the person concerned must be able to ascertain the reasons on which the decision taken in relation to him or her is based, so as to make it possible for him or her to defend his or her rights in the best possible conditions and to decide, with full knowledge of the relevant facts, whether there is any point in his or her applying to the court with jurisdiction, and in order to put the latter fully in a position in which it may carry out the review of the lawfulness of that decision (judgment of 16 November 2023, Ligue des droits humains (Verification by the supervisory authority of data processing), C 333/22, EU:C:2023:874, paragraph 58).

119 Although that right is not an absolute right and, in accordance with Article 52(1) of the Charter, limitations may be placed upon it, that is on condition that those limitations are provided for by law, they respect the essence of the rights and freedoms at issue and, in compliance with the principle of proportionality, they are necessary and genuinely meet objectives of general interest recognised by the European Union or the need to protect the rights and freedoms of others (judgment of 16 November 2023, Ligue des droits humains (Verification by the supervisory authority of data processing), C 333/22, EU:C:2023:874, paragraph 59).

120 Therefore, it follows from the provisions cited in paragraphs 115 to 119 above that it is for the competent national authorities which have been authorised by a court or an independent administrative body to access the data stored to inform the data subjects, within the framework of the applicable national procedural rules, of the grounds on which that authorisation is based, as soon as such information is not liable to jeopardise the investigations carried out by those authorities, and to make available to them all the information referred to in Article 13(1) of Directive 2016/680. That information is indeed necessary to enable those persons to exercise, inter alia, the right to a remedy expressly provided for in Article 54 of Directive 2016/680 (see, to that effect, judgment of 17 November 2022, Spetsializirana prokuratura (Retention of traffic and location data), C 350/21, EU:C:2022:896, paragraph 70 and the case-law cited).

121 By contrast, national legal rules which exclude as a general rule any right to obtain such information are not consistent with EU law (see, to that effect, judgment of 17 November 2022, Spetsializirana prokuratura (Retention of traffic and location data), C 350/21, EU:C:2022:896, paragraph 71).

122 In the present case, it is apparent from the order for reference that CG knew that his mobile telephone had been seized when the Austrian police attempted in vain to unlock it in order to access the data contained therein. In those circumstances, it does not appear that informing CG of the fact that those authorities were going to attempt to access those data was liable to prejudice the investigations; accordingly, he should have been informed of those attempts beforehand.

123 It follows from the foregoing that the answer to the third question is that Articles 13 and 54 of Directive 2016/680, read in the light of Article 47 and Article 52(1) of the Charter, must be interpreted as precluding national legal rules which authorise the competent authorities to attempt to access data contained in a mobile telephone without informing the data subject, within the framework of the applicable national procedural rules, of the grounds on which the authorisation to access such data, issued by a court or an independent administrative body, is based, once the communication of that information is no longer liable to jeopardise the tasks of those authorities under that directive.

Costs

124 […]

On those grounds, the Court (Grand Chamber) hereby rules:

1. Articles 4(1)(c) of Directive (EU) 2016/680 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA, read in the light of Articles 7, 8 and Article 52(1) of the Charter of Fundamental Rights of the European Union,

must be interpreted as not precluding national legal rules which afford the competent authorities the possibility to access data contained in a mobile telephone for the purposes of the prevention, investigation, detection and prosecution of criminal offences in general, provided those rules:

– define with sufficient precision the nature or categories of offences concerned,

– ensure respect for the principle of proportionality, and

– make reliance on that possibility, except in duly justified cases of urgency, subject to prior review by a judge or an independent administrative body.

2. Articles 13 and 54 of Directive 2016/680, read in the light of Article 47 and Article 52(1) of the Charter of Fundamental Rights,

must be interpreted as precluding national legal rules which authorise the competent authorities to attempt to access data contained in a mobile telephone without informing the data subject, within the framework of the applicable national procedural rules, of the grounds on which the authorisation to access such data, issued by a court or an independent administrative body, is based, once the communication of that information is no longer liable to jeopardise the tasks of those authorities under that directive.”^[26]

4.22

Naar het arrest in deze Landeck-zaak is, zeker nadat de A-G Campos Sánchez-Bordona op 23 april 2023 bij het HvJ EU had geconcludeerd,^[27]al een tijd uitgezien, met ten minste gespannen verwachtingen. Een zekere parallel is immers aanwezig met het eerdere Prokuratuur-arrest, dat de Hoge Raad noodzaakte tot aanpassing van het nationale strafprocesrecht op het punt van het vorderen van verkeersgegevens: daarvoor moest vanaf het wijzen van het desbetreffende arrest door de Hoge Raad de rechter-commissaris worden ingeschakeld.^[28]Iets dergelijks zou wellicht ook het gevolg van de Landeck-zaak moeten zijn. Verrest, in zijn preadvies voor de Nederlandse Juristen-Vereniging van 2024 vreest voor onduidelijkheid, die gemakkelijk kan ontaarden in een situatie van rechtsonzekerheid in de strafrechtelijke praktijk, die moet snel worden verholpen.^[29]Schermer en Custers stellen naar aanleiding van de conclusie van Campos Sánchez-Bordona: “Dit betekent dat het voor het verzamelen van persoonsgegevens volgens de A-G bij het HvJ EU altijd een onafhankelijke toetsing noodzakelijk is. Aangezien in Nederland de officier van justitie aan het hoofd van het onderzoek staat, lijkt een bevel van de officier daarom niet te volstaan.”^[30]

4.23

Het lijkt mij inderdaad een acute en dringende vraag hoe de uitspraak van het HvJ EU in de Landeck-zaak moet worden geduid. Is nu voor alle gevallen waarin de politie zich toegang verschaft tot een mobiele telefoon een machtiging van de rechter-commissaris vereist? Daarnaast is het nog de vraag welke repercussies de invulling die het HvJ EU geeft aan de Richtlijn 2016/680 heeft voor andere objecten in de digitale sfeer die in beslag zijn genomen en die moeten worden onderzocht. Ik merk daarbij nog eens en waarschijnlijk ten overvloede op dat de Hoge Raad in zijn smartphone-arresten heel algemeen spreekt over een “elektronische gegevensdrager of in het geautomatiseerde werk opgeslagen of beschikbare gegevens”. Het HvJ EU wijdt daaraan geen woorden maar beperkt zich tot de specifieke vraag die is voorgelegd met betrekking tot een in beslag genomen mobiele telefoon. Een derde punt, waar het arrest van het HvJ EU volstrekt duidelijk over is, is of uit de Richtlijn 2016/680 beperkingen voortvloeien met betrekking tot de soort strafbare feiten waarvoor een onderzoeksbevoegdheid als de onderhavige kan worden ingezet. Maar, zoals het HvJ EU stelt, een beperking tot ernstige criminaliteit zou teveel afbreuk doen aan de doelstelling van het opsporen en voorkomen van strafbare feiten en geldt dus hier niet – anders dan in Richtlijn 2002/58, waarop (onder meer) de Prokuratuur-uitspraak betrekking had.

4.24

Het lijkt mij – mede gelet op het voorgaande – verstandig eerst te analyseren waarop de aan het HvJ EU voorgelegde vragen betrekking hebben. Dat betreft de situatie waarin volgens de Oostenrijkse verwijzende rechter door de politie een mobiele telefoon in beslag is genomen door politieambtenaren ingevolge Oostenrijkse wetgeving “op grond waarvan veiligheidsdiensten zichzelf in het kader van een strafrechtelijk onderzoek zonder toestemming van een rechterlijke instantie of onafhankelijk bestuursorgaan volledige en ongecontroleerde toegang kunnen verschaffen tot alle op een mobiele telefoon opgeslagen digitale gegevens.” Niet onbelangrijk voor de uitkomst van de vervolgens gestelde prejudiciële vragen is naar ik meen het volgende. In haar interventie bij het HvJ EU had de Oostenrijkse regering aangevoerd dat de verwijzende Tiroolse rechter over het hoofd had gezien dat (paragraaf 45): “under Austrian law, an order of the Public Prosecutor’s Office is necessary in order to seize a mobile telephone or to attempt to access data contained in that telephone.” Het HvJ EU houdt echter vast aan de uitleg van het nationale recht die door de verwijzende rechter is gegeven (paragraaf 54):

“In the present case, it is apparent from the request for a preliminary ruling and, in particular, from the wording of the questions referred, that the referring court considers, first, that those provisions of Austrian law are applicable to the dispute in the main proceedings and, second, that an attempt to access data contained in a mobile telephone, without prior authorisation from the Public Prosecutor’s Office or a court, such as that at issue in the main proceedings, is permitted under Austrian law. In accordance with the case-law cited in the preceding paragraph of the present judgment, it is not for the Court to rule on such an interpretation of those provisions.”^[31]

4.25

Met deze precisering wordt duidelijk dat het gaat om de omvang van de bevoegdheid die aan de opsporingsambtenaren in de concrete zaak toekomt.

4.26

De uitkomst, bij de tweede prejudiciële vraag van het Oostenrijkse gerecht, is vervolgens dat een wettelijke regeling die inhoudt dat opsporingsambtenaren in het kader van een strafrechtelijk onderzoek zonder toestemming van een rechterlijke instantie of onafhankelijk bestuursorgaan zich volledige en ongecontroleerde toegang kunnen verschaffen tot alle op een mobiele telefoon opgeslagen digitale gegevens in strijd is met de Richtlijn 2016/680.

4.27

Die uitkomst spoort naar ik meen in belangrijke opzichten met de uitkomst van de Hoge Raad in de Smartphone-arresten: voor zover het onderzoek in elektronische gegevensdragers en geautomatiseerde werken een meer dan beperkte inbreuk op de persoonlijke levenssfeer meebrengt is naar geldend Nederlands recht voor opsporingsambtenaren immers een onderzoek door een andere autoriteit – de officier van justitie of de rechter-commissaris – vereist. Een probleem daarbij is wel dat, zoals in de Prokuratuur-zaak bleek, de officier van justitie niet als een ‘onafhankelijk bestuursorgaan’ kan gelden.^[32]Dat zou er dus naar ik meen toe moeten leiden dat – in ieder geval als het een mobiele telefoon betreft – de rechter-commissaris voor een meer dan beperkt onderzoek toestemming moet geven. Op een meer precieze afgrenzing kom ik nog terug.

4.28

Waar ik stelde dat de uitkomst in de Smartphone-arresten nog wel in belangrijke mate spoort met de uitkomst in de Landeck-zaak zijn er enkele punten die meen ik in het bijzonder aan de orde moeten komen. Dat is ten eerste de vraag of een onderzoek door opsporingsambtenaren dat slechts in geringe mate een inbreuk maakt op de persoonlijke levenssfeer nog wel is toegelaten onder de Richtlijn 2016/680.

4.29

In paragraaf 92 en verder wordt door het HvJ EU benadrukt dat de Oostenrijkse wet de toegang tot alle data betreft, waaruit het risico voortvloeit dat sprake is van een ernstige of zelfs zeer ernstige inbreuk op het recht op eerbiediging van de persoonlijke levenssfeer:

“92 Such access is liable to concern, depending on the content of the mobile telephone in question and the choices made by the police, not only traffic and location data, but also photographs and the internet browsing history on that telephone, or even a part of the content of the communications made with that telephone, in particular by consulting the messages stored therein.

4.3

De aangehaalde redenering van het HvJ EU laat ruimte over voor onderzoekshandelingen met betrekking tot de mobiele telefoon waaruit niet een ernstige of zelfs zeer ernstige inbreuk op de privacy voortvloeit. Dat zulke handelingen in het licht van Richtlijn 2016/680 nog wel door opsporingsambtenaren zouden kunnen worden verricht blijkt naar mijn mening uit het evenzeer recente Luxemburgse arrest van het HvJ EU van 30 april 2024 in de zaak C-470/21 (La Quadrature du Net II).^[34]In die zaak was de handhaving van het auteursrecht aan de orde en in verband daarmee werden bepaalde persoonsgegevens verzameld door de organisatie die dat auteursrecht handhaaft. Weliswaar gaat het in die zaak – net als in Prokuratuur – over de Richtlijn 2002/58, maar de onderliggende beginselen zijn vergelijkbaar. Het HvJ EU geeft in dit verband weer wat het beoordelingskader in zulke zaken onder meer bepaalt:

“130 Uit de rechtspraak van het Hof over het evenredigheidsbeginsel, dat volgens artikel 15, lid 1, eerste volzin, van richtlijn 2002/58 moet worden geëerbiedigd – met name uit de rechtspraak volgens welke, bij de beoordeling of de lidstaten een beperking van de omvang van de met name in de artikelen 5, 6 en 9 van deze richtlijn bedoelde rechten en plichten kunnen rechtvaardigen, moet worden bepaald wat de ernst is van de inmenging in de in de artikelen 7, 8 en 11 van het Handvest verankerde grondrechten die een dergelijke beperking meebrengt, en moet worden nagegaan of het belang van de met die beperking nagestreefde doelstelling van algemeen belang in verhouding staat tot die ernst (arrest van 6 oktober 2020, La Quadrature du Net e.a., C‑511/18, C‑512/18 en C‑520/18, EU:C:2020:791, punt 131) – volgt dat de mate van inmenging in de betrokken grondrechten die de toegang tot de persoonsgegevens in kwestie met zich meebrengt alsmede de gevoeligheid van die gegevens ook van invloed moeten zijn op de materiële en procedurele waarborgen voor die toegang, zoals het vereiste van een voorafgaande toetsing door een rechterlijke instantie of een onafhankelijke bestuurlijke autoriteit.

131 Gelet op dit evenredigheidsbeginsel moet derhalve worden geoordeeld dat het vereiste van voorafgaande toetsing door een rechterlijke instantie of een onafhankelijke bestuurlijke entiteit noodzakelijk is wanneer, in de context van een nationale regeling die voorziet in de toegang van een overheidsinstantie tot persoonsgegevens, die toegang het risico inhoudt van een ernstige inmenging in de grondrechten van de betrokkene, in die zin dat die overheidsinstantie op basis daarvan nauwkeurige gevolgtrekkingen over zijn privéleven kan maken en, in voorkomend geval, een gedetailleerd profiel van hem kan bepalen.

132 Omgekeerd is het niet de bedoeling dat dit vereiste van voorafgaande toetsing wordt toegepast wanneer de inmenging in de betrokken grondrechten die de toegang van een overheidsinstantie tot persoonsgegevens met zich meebrengt, niet als ernstig kan worden aangemerkt.

133 Dat is het geval met de toegang tot gegevens betreffende de burgerlijke identiteit van de gebruikers van elektronische-communicatiemiddelen met als enige doel de betrokken gebruiker te identificeren en zonder dat deze gegevens in verband kunnen worden gebracht met informatie over de tot stand gebrachte communicatie, omdat de inmenging die een dergelijke verwerking van die gegevens met zich meebrengt volgens het Hof in beginsel niet als ernstig kan worden aangemerkt (zie in die zin arrest van 6 oktober 2020, La Quadrature du Net e.a., C‑511/18, C‑512/18 en C‑520/18, EU:C:2020:791, punten 157 en 158).

134 Wanneer een bewaringsmechanisme zoals beschreven in de punten 86 tot en met 89 van dit arrest wordt ingevoerd, is er bijgevolg in beginsel geen voorafgaande toetsing door een rechterlijke instantie of een onafhankelijk bestuurlijke autoriteit vereist voor de toegang van de overheidsinstantie tot de aldus bewaarde met een IP-adres overeenkomende gegevens betreffende de burgerlijke identiteit.”^[35]

4.31

Het onder paragraaf 132 gestelde - naar analogie toegepast - laat meen ik de ruimte voor opsporingsambtenaren om net zoals in Nederland het geval is een onderzoek te verrichten aan een mobiele telefoon als daardoor niet een ernstige inmenging in de grondrechten van de betrokkene ontstaat. Daartoe moeten uiteraard wel de grenzen worden bepaald. Door de Hoge Raad kunnen die grenzen worden bewaakt. Ik verwijs daarvoor naar het arrest van 9 juli 2019, ECLI:NL:HR:2019:1079. Daar was door opsporingsambtenaren (i) de gehele inhoud van de mobiele telefoon van de verdachte en de bij die telefoon behorende SD-kaart gekopieerd en veiliggesteld met als doel de daarop opgeslagen of beschikbare gegevens nader te onderzoeken, en (ii) op verschillende momenten onderzoek gedaan naar deze opgeslagen of beschikbare gegevens, waarbij alle foto’s en video’s zijn onderzocht. De Hoge Raad overwoog vervolgens:

“2.4.1 […] Op basis van deze vaststellingen heeft het Hof geoordeeld dat art. 94 Sv een toereikende wettelijke grondslag vormt voor het door de opsporingsambtenaren verrichte nadere onderzoek aan de inbeslaggenomen smartphone en de daarbij behorende SD-kaart van de verdachte, aangezien daarmee niet meer dan een beperkte inbreuk op de persoonlijke levenssfeer is gemaakt.

2.4.2

Gelet op hetgeen hiervoor onder 2.3 is vooropgesteld - en in aanmerking genomen dat het Hof wel overweegt dat “de politie selectief is geweest in het onderzoek aan de telefoon”, maar dat het niet heeft vastgesteld aan de hand waarvan en met het oog waarop een selectie, die blijkbaar tenminste alle opgeslagen foto’s en films omvatte, is gemaakt -, is het oordeel van het Hof niet toereikend gemotiveerd.”^[36]

4.32

Een onderzoek door opsporingsambtenaren zoals in het arrest is dus naar Nederlands recht onrechtmatig, aangezien daardoor een meer dan beperkte inbreuk op de persoonlijke levenssfeer werd gemaakt. Voorts is (ook) de uitoefening van onderzoeksbevoegdheden waarvan hier sprake is onderworpen aan de beginselen van proportionaliteit en subsidiariteit. En als waarborg geldt ook dat opsporingsambtenaren zijn beëdigd en zijn gebonden aan regels van geheimhouding omtrent hetgeen zij in hun taakuitoefening aan gegevens verzamelen.^[37]

4.33

Een tweede punt dat aandacht behoeft is hoe het onderzoek naar de gegevens in een mobiele telefoon, zoals in de Landeck-zaak aan de orde is, zich verhoudt tot het onderzoek aan in beslag genomen voorwerpen – waaronder elektronische gegevensdragers en geautomatiseerde werken – in het algemeen, zoals dat in de Smartphone-arresten aan de orde was. Voor zover het andere elektronische gegevensdragers en geautomatiseerde werken betreft ligt naar ik meen een parallel met het Smartphone-arresten voor de hand. Het onderzoek naar de daarin opgeslagen gegevens is ook een vorm van ‘dataprocessing’ zoals genormeerd in de Richtlijn 2016/680. Als het onderzoek naar die gegevens een meer dan beperkte inbreuk meebrengt zal dan ook, die parallel doortrekkend, de rechter-commissaris voor dat onderzoek toestemming moeten geven. Dat kan ook, zoals uit de Smartphone-arresten voortvloeit, als het een door een opsporingsambtenaar zelf in beslag genomen voorwerp betreft en gaandeweg uit een – eerst beperkt – onderzoek blijkt dat nader, verdergaand onderzoek noodzakelijk is.

4.34

Een derde punt dat in de Smartphone-arresten niet expliciet is benoemd maar dat wel in de Landeck-zaak naar voren komt, is het volgende. Bij het antwoord op de eerste en tweede prejudiciële vraag formuleert het HvJ EU een uitzondering op het vereiste van een voorafgaande ‘review’ door een rechter of onafhankelijke bestuurlijke autoriteit. Dat geldt “except in duly justified cases of urgency.” In paragraaf 104 wordt daarbij overwogen dat in een dergelijk urgent geval “that review must take place within a short time.” Het is denkbaar dat, doordat de rechter-commissaris wellicht niet altijd op stel en sprong is te bereiken en zelfs een mondelinge machtiging niet mogelijk is, ook naar Nederlands recht de behoefte aan een soortgelijke uitzondering zich zou kunnen voordoen. Daarvoor zou een voorziening in de wet geschapen kunnen worden. Bij gebreke daaraan moet naar ik meen vooralsnog worden vertrouwd op de bereikbaarheid van de rechter-commissaris, in combinatie met de bestaande mogelijkheden om bijvoorbeeld bij een voorgenomen doorzoeking de situatie ter plaatse te bevriezen (art. 96 lid 2 Sv).

4.35

Het vierde en laatste punt betreft het antwoord op de derde prejudiciële vraag, waarop het HvJ EU ingaat op de noodzaak om de betrokkene (“the data subject”) te informeren over het onderzoeken van de mobiele telefoon. Dat kan gerealiseerd worden door een bescheiden uitbreiding van de al bestaande notificatieplicht van art. 126bb Sv. Vooralsnog kan dat ook zonder wettelijke grondslag in het bestaande beleid worden ingepast.

4.36

Al met al denk ik dat naar aanleiding van de Landeck-zaak – in het voetspoor van de Smartphone-arresten – wel een redelijk samenhangend systeem kan worden gevolgd. Tot het verrichten van een slechts beperkt onderzoek in mobiele telefoons, elektronische gegevensdragers en geautomatiseerde werken blijft de opsporingsambtenaar bevoegd. Als naar redelijke verwachting is te voorzien dat het onderzoek een meer dan beperkte inbreuk op de persoonlijke levenssfeer meebrengt dan is onderzoek door de rechter-commissaris vereist. Daarbij kan worden aangetekend dat de rechter-commissaris zulk onderzoek ook kan opdragen aan een alsdan onder verantwoordelijkheid van de rechter-commissaris opererende opsporingsambtenaar. Van dat onderzoek dient in lijn met art. 126bb Sv de betrokkene op enig moment achteraf op de hoogte te worden gesteld.

Beoordeling van het middel

4.37

De eerste deelklacht is gericht tegen het oordeel van het hof dat het met toestemming van de officier van justitie doorzoeken van de twee digitale-gegevensdragers (smartphones) die bij de aanhouding van de verdachte bij hem zijn aangetroffen en onder hem in beslag zijn genomen, onrechtmatig is. Het hof zou – in mijn woorden samengevat – hebben overwogen dat dit onderzoek onrechtmatig is, aangezien op voorhand te voorzien was dat door het onderzoek een min of meer compleet beeld kon worden verkregen van bepaalde aspecten van het persoonlijk leven van de verdachte en dat toestemming van de officier van justitie in een dergelijk geval niet volstaat. Volgens het openbaar ministerie heeft het hof hiermee de uit HR 4 april 2017, ECLI:NL:HR:2017:584, voortvloeiende bevoegdheidsverdeling miskend.

4.38

In de schriftuur houdende tegenspraak wordt namens de verdachte betoogd dat het openbaar ministerie geen belang heeft bij deze deelklacht, aangezien vaste rechtspraak reeds een antwoord geeft op deze rechtsvraag, zodat het belang van de rechtseenheid en de rechtsontwikkeling is komen te ontvallen.

4.39

Naar ik meen is het echter wel van belang voor de rechtsontwikkeling om de in het middel opgeworpen deelklacht te beantwoorden. Voor de beoordeling van de deelklacht is immers niet meer uitsluitend het genoemde arrest van belang, maar dient daarbij ook het hiervoor besproken Landeck-arrest van het HvJ EU te worden betrokken. Uit die bespreking – samengevat onder 4.36 – blijkt dat naar mijn mening het oordeel van het hof, dat uitgaande van de vaststelling dat het voorzienbaar was dat het onderzoek van de smartphones een meer dan beperkte inbreuk op de persoonlijke levenssfeer zou meebrengen het onderzoek door de rechter-commissaris had moeten worden verricht, juist is.

4.4

De tweede deelklacht gaat over het oordeel van het hof dat het onderzoek aan de digitale-gegevensdragers die na doorzoekingen in de woningen van de verdachte en de medeverdachten [medeverdachte 1] en [medeverdachte 2] in beslag zijn genomen en door de rechter-commissaris voor nader onderzoek zijn overgedragen aan het onderzoeksteam, onrechtmatig is. Dit oordeel getuigt volgens het openbaar ministerie van een onjuiste rechtsopvatting, omdat de inbeslagname door de rechter-commissaris en de overdracht aan het onderzoeksteam meebrengt dat zonder (nadere) machtiging van de rechter-commissaris onderzoek mag worden verricht aan de digitale-gegevensdrager, ook indien op voorhand redelijkerwijs voorzienbaar is dat daardoor een ingrijpend beeld van iemands privéleven kan ontstaan. Inbeslagneming door een autoriteit brengt immers mee dat daaraan onderzoek mag worden gedaan waartoe die autoriteit bevoegd is. De overdracht aan het onderzoeksteam impliceert de machtiging daartoe, aldus het openbaar ministerie.

4.41

Deze deelklacht berust naar ik meen op gronden zoals hierboven onder 4.16 door mij zijn weergegeven op een onjuiste rechtsopvatting.

4.42

De derde deelklacht betreft het oordeel van het hof dat de rechter-commissaris beperkingen kan stellen aan het onderzoek aan in beslag genomen gegevensdragers. Ook hiermee zou het hof blijk hebben gegeven van een onjuiste rechtsopvatting. Volgens de steller van het middel is een gedetailleerde inmenging van de rechter-commissaris in de manier waarop opsporingsonderzoek plaatsvindt in strijd met de door de wetgever beoogde systematische uitgangspunten van strafvordering, waarbij in een geval als dit slechts een machtiging van de rechter-commissaris vereist is.

4.43

Hierboven onder 4.16 heb ik gesteld dat uit de Smartphone-arresten voortvloeit dat een onderzoek als hier gesteld wordt verricht ‘door de rechter-commissaris’. Dat houdt in dat de rechter-commissaris, ook als het onderzoek ingevolge de opdracht van de rechter-commissaris door een opsporingsambtenaar wordt verricht, de aard en omvang van dat onderzoek bepaalt. Dat uitgangspunt vindt bevestiging in het aangehaalde Landeck-arrest van het HvJ EU, in het bijzonder in het door dat Hof gestelde in paragraaf 105:

“In particular, the court or independent administrative body, acting in the context of a prior review carried out following a reasoned request for access falling within the scope of Directive 2016/680, must be entitled to refuse or restrict that access where it finds that the interference with fundamental rights which that access would constitute would be disproportionate in the light of all the relevant factors.”

4.44

Het hof heeft aldus anders dan de steller van het middel aanvoert naar ik meen geen blijk gegeven van een onjuiste rechtsopvatting.

4.45

Het middel faalt in al zijn onderdelen.

5.Het namens de verdachte voorgestelde middel

5.1

Het middel bevat de klacht dat het oordeel van het hof dat ten aanzien van het geconstateerde vormverzuim kan worden volstaan met de enkele constatering van dat verzuim, van een onjuiste rechtsopvatting getuigt, althans onbegrijpelijk is en/of ontoereikend is gemotiveerd.

5.2

Daartoe wordt in de eerste plaats geklaagd dat het oordeel van het hof dat de verdachte geen nadeel heeft ondervonden, onbegrijpelijk is. De steller van het middel voert in dat verband aan dat het hof heeft overwogen dat “uit het strafdossier [onmiskenbaar] blijkt […] dat aldaar digitale-gegevensdragers […] zijn onderzocht door het onderzoeksteam”. In deze overweging zou besloten liggen dat een inbreuk is gemaakt op de persoonlijke levenssfeer van de verdachte en dat hij wel degelijk nadeel heeft geleden.

5.3

Ten tweede wordt – subsidiair – betoogd dat het impliciete oordeel van het hof dat enig nadeel vereist is om op de voet van art. 359a Sv tot bewijsuitsluiting over te gaan, onjuist is en/of onvoldoende met redenen is omkleed. Bewijsuitsluiting kan volgens de steller van het middel noodzakelijk zijn als rechtsstatelijke waarborg of als middel om opsporingsambtenaren ervan te weerhouden in de toekomst vergelijkbare vormverzuimen te begaan. Het hof zou ontoereikend hebben gemotiveerd waarom in de onderhavige zaak bewijsuitsluiting niet het aangewezen rechtsgevolg zou zijn.

5.4

Bij de beoordeling van het middel stel ik het volgende voorop. Als de rechter van oordeel is dat sprake is van een vormverzuim en als de rechtsgevolgen daarvan niet uit de wet blijken, moet de rechter beoordelen of aan dat vormverzuim enig rechtsgevolg moet worden verbonden en zo ja, welk rechtsgevolg dat is. Bij deze beoordeling moeten de factoren die zijn genoemd in art. 359a lid 2 Sv worden betrokken, te weten het belang dat het geschonden voorschrift dient, de ernst van het verzuim en het nadeel dat daardoor wordt veroorzaakt. Bij deze laatste factor is van belang of en in hoeverre de verdachte door het verzuim daadwerkelijk in zijn verdediging is geschaad.^[38]De rechter hoeft niet altijd toepassing te geven aan een van de in art. 359a Sv genoemde rechtsgevolgen (niet-ontvankelijkheid, bewijsuitsluiting of strafvermindering), maar hij kan ook volstaan met het oordeel dat een vormverzuim is begaan.^[39]Of een rechtsgevolg aan een vormverzuim moet worden verbonden, is afhankelijk van een afweging tussen enerzijds de belangen van vervolging en berechting van strafbare feiten en anderzijds de belangen van handhaving van grondrechten en bevordering van een normconform verloop van het voorbereidend onderzoek. Waar mogelijk wordt volstaan met het – vanuit het perspectief van de belangen van vervolging en berechting van strafbare feiten – minst verstrekkende rechtsgevolg.^[40]Gelet hierop mag van de verdediging worden gevergd dat duidelijk en gemotiveerd aan de hand van de factoren zoals genoemd in art. 359a lid 2 Sv wordt aangegeven tot welk rechtsgevolg het vormverzuim zou moeten leiden. Alleen op een dergelijk verweer moet de rechter een met redenen omklede beslissing te nemen.^[41]

5.5

Anders dan de steller van het middel, acht ik het niet onbegrijpelijk dat het hof heeft geoordeeld dat het verzuim geen nadeel heeft veroorzaakt. Daarbij neem ik in aanmerking dat het bij deze beoordelingsfactor van belang is of en in hoeverre de verdachte door het verzuim daadwerkelijk in zijn verdediging is geschaad.^[42]In de onderhavige zaak is door of namens de verdachte niet aangevoerd dat zijn persoonlijke levenssfeer is geschonden en dat de verdachte als gevolg van die schending daadwerkelijk nadeel heeft geleden, laat staan dat is geconcretiseerd in welke mate zijn persoonlijke levenssfeer is geschaad en hij nadeel heeft geleden.^[43]In zoverre faalt het middel.

5.6

Ook voor zover geklaagd wordt dat het hof ontoereikend heeft gemotiveerd waarom in de onderhavige zaak bewijsuitsluiting niet het aangewezen rechtsgevolg zou zijn, faalt het middel. De motiveringsplicht ontstaat immers pas wanneer sprake is van een verweer dat is ingekleed aan de hand van de criteria zoals genoemd in art. 359a lid 2 Sv. In dit geval is een dergelijk verweer niet gevoerd, zodat het hof niet was gehouden zijn beslissing met redenen te omkleden.^[44]Ook getuigt het kennelijke oordeel van het hof dat bewijsuitsluiting in dit geval niet aangewezen was, niet van een onjuiste rechtsopvatting en is dit oordeel niet onbegrijpelijk.

5.7

Het middel faalt in al zijn onderdelen.

6. Het middel van het openbaar ministerie faalt. Het namens de verdachte voorgestelde middel faalt eveneens.

7. Ambtshalve merk ik op dat namens de verdachte op 18 oktober 2022 cassatie is ingesteld. Dat betekent dat de Hoge Raad uitspraak doet nadat meer dan twee jaren zijn verstreken na het instellen van het cassatieberoep. Daarmee is de redelijke termijn als bedoeld in art. 6 lid 1 EVRM geschonden. Dit dient te leiden tot vermindering van de opgelegde gevangenisstraf naar de gebruikelijke maatstaf.

8. Voor het overige heb ik ambtshalve geen grond aangetroffen die tot vernietiging van de bestreden uitspraak aanleiding behoort te geven.

9. Deze conclusie strekt tot vernietiging van de uitspraak van het hof, maar uitsluitend wat betreft de duur van de opgelegde gevangenisstraf, tot vermindering daarvan naar de gebruikelijke maatstaf en tot verwerping van het beroep voor het overige.

De procureur-generaal

bij de Hoge Raad der Nederlanden