5.2.2. ((On)rechtmatigheid verkrijging data
De rechtbank heeft zich eerst de vraag gesteld of de verkrijging van de PGPSafedate in onderzoek 26Sassenheim in deze zaak überhaupt ter toetsing voor ligt. De officier van justitie heeft betoogd dat dat niet het geval is vanwege (a) het interstatelijk vertrouwensbeginsel en (b) het feit dat de vergaring van de gegevens niet heeft plaatsgevonden in het voorbereidend onderzoek van Sartell (artikel 359a Sv).
a.
Interstatelijk vertrouwensbeginsel
Het interstatelijk vertrouwensbeginsel staat toetsing door de rechtbank aan de grondslag van het rechtshulpverzoek niet in de weg. Immers, betoogd is dat een onjuiste wettelijke basis voor het gedane rechtshulpverzoek is gehanteerd, te weten artikel 125i Sv in plaats van artikel 125la Sv. Dit is een verantwoordelijkheid van de Nederlandse opsporende instantie en niet die van de Costa Ricaanse rechter die het verzoek ontvangt.
Voor wat betreft de inhoudelijke toetsing voor de inzet van het opsporingsmiddel in Costa Rica, de rechtmatigheid, doelmatigheid, subsidiariteit en proportionaliteit staat het interstatelijk vertrouwensbeginsel toetsing van de beslissing van de Costa Ricaanse rechter wel in de weg. De inzet van het dwangmiddel heeft plaatsgevonden in Costa Rica, met machtiging van een Costa Ricaanse rechter en onder verantwoordelijkheid van de Costa Ricaanse autoriteiten. Het enkele feit dat de Nederlandse autoriteiten hulp hebben aangeboden van Nederlandse opsporingsambtenaren bij de uitvoering van hetgeen waarom verzocht is, welke hulp vervolgens is geaccepteerd, maakt dat niet anders. Dat de Nederlandse opsporingsambtenaren hiermee feitelijk de leiding over en de verantwoordelijkheid zouden hebben gehad voor de in Costa Rica uitgevoerde handelingen is daarmee niet gegeven. Ten overvloede merkt de rechtbank op dat zo dat het geval zou zijn geweest, wel alle servers zouden zijn gekopieerd.
De Costa Ricaanse rechter heeft, zo blijkt uit zijn beslissing, een uitvoerige belangenafweging gemaakt onder meer door te toetsen aan nationaalrechtelijke (grondwettelijke) bepalingen en het IVBPR en de Universele verklaring, alvorens een machtiging te geven voor de doorzoeking. Het is niet aan de Nederlandse rechter deze toetsing over te doen.
Het interstatelijk vertrouwensbeginsel staat in de weg aan de toetsing door de Nederlandse rechter waar het betreft de inzet van het dwangmiddel. De wijze waarop de resultaten daarvan vervolgens zijn verwerkt in het onderhavige dossier, ligt wel ter toetsing voor. De Nederlandse rechter dient immers te waarborgen dat de wijze waarop van de resultaten van het buitenlandse onderzoek in de strafzaak gebruikt wordt gemaakt, geen inbreuk maakt op zijn recht op een eerlijke proces, als bedoeld in artikel 6, eerste lid, van het EVRM.
Grondslag van het rechtshulpverzoek en artikel 359a Sv
Zoals hiervoor overwogen staat het interstatelijk vertrouwensbeginsel de toetsing aan de grondslag van het rechtshulpverzoek in 26Sassenheim niet in de weg. De vraag die hierbij opkomt is of toetsing van het rechtshulpverzoek in onderzoek Sartell kan plaatsvinden. De rechtbank beantwoordt deze vraag als volgt.
Het rechtshulpverzoek heeft in onderzoek 26Sassenheim plaatsgevonden, derhalve niet in het voorbereidend onderzoek van Sartell. De rechtbank is evenwel van oordeel dat dit een toetsing aan de grondslag van het rechtshulpverzoek niet in de weg staat. Zoals volgt uit de arresten van de Hoge Raad van 1 december 2020 (ECLI:NL:HR:2020:1889 en 1890) kan toetsing aan de orde komen bij een onrechtmatige handeling jegens de verdachte begaan in een ander voorbereidend onderzoek, indien het vormverzuim van bepalende invloed is geweest op het verloop van het opsporingsonderzoek naar en/of verdere vervolging van de verdachte ter zake van het tenlastegelegde feit. De rechtbank is van oordeel dat een eventuele onrechtmatige PGPSafedatavergaring en -verwerking ten gevolge van een eventueel onrechtmatig rechtshulpverzoek ook onrechtmatig zou zijn jegens de gebruikers van PGPSafe. Immers, het zijn hun berichten die daarmee worden verkregen en ingezien en de bepalingen die dergelijke vergaring reguleren zien (mede) op de bescherming van de (privacy) belangen van de gebruikers.
Voorts moet worden vastgesteld dat de PGPSafedata die zijn verkregen op grond van het rechtshulpverzoek en in onderzoek Sartell zijn opgenomen, een omvangrijk deel van het Sartell dossier uitmaken. Voorafgaand aan de verkrijging van de PGPSafedataset in Sartell, waren de verdachten in de zaakdossiers Scan en Broer (met feiten afkomstig uit 2015 en 2016) voor het merendeel niet in beeld. Daar waar het de zaak Scan betreft waren de verdachten [naam medeverdachte 1] en [naam medeverdachte 2] weliswaar al eerder als verdachten in beeld, maar werden de zaken tegen hen wegens onvoldoende bewijs geseponeerd. Nadat de data in onderzoek Sartell werden opgenomen, kwamen de verdachten (al dan niet opnieuw) in beeld. De rechtbank is van oordeel dat de verkrijging van de PGPSafedataset naar aanleiding van het rechtshulpverzoek voor onderzoek Sartell (althans de zaaksdossiers Scan en Broer) van bepalende invloed is geweest. De bewijsconstructie van de officier van justitie ziet hier overigens ook grotendeels op.
Het voorgaande betekent niet dat de rechtbank het onderzoek 26Sassenheim als voorbereidend onderzoek naar de verdachten van zaaksdossier Scan en Broer in onderzoek Sartell beschouwt, het betekent uitsluitend dat zij reden ziet de rechtmatigheid van het rechtshulpverzoek tot de verkrijging van de PGPSafedataset te toetsen naar aanleiding van het door verdediging op dit punt gevoerde verweer.
In dit kader heeft de rechtbank zich vervolgens de vraag gesteld of de officier van justitie bevoegd was tot het doen van het rechtshulpverzoek aan Costa Rica zoals dat op 4 april 2017 is gedaan. Meer toegespitst: is door de officier van justitie hierbij de juiste bevoegdheid aangewend?
De rechtbank overweegt in navolging van het vonnis in de Ennetcomzaak van 21 september 2021dat het openbaar ministerie (hierna: OM) artikel 125la Sv – dat beperkingen voorschrijft in de vast te leggen gegevens die worden aangetroffen bij een doorzoeking op grond van artikel 125i Sv en bovendien een machtiging van de rechter-commissaris vergt – bij de doorzoeking in de serverruimte van [naam bedrijf 1] in [vestigingsplaats bedrijf] (Costa Rica), die te gelden heeft als doorzoeking bij PGPSafe, en ook bij de verkrijging van de PGPSafedata in acht had moeten nemen.
Dit omdat PGPSafe als ‘aanbieder van een openbaar telecommunicatienetwerk of een openbare telecommunicatiedienst’ als bedoeld in dit artikel heeft te gelden, hoewel de door PGPSafe aangeboden PGPfaciliteiten/functies maken dat deze zich onderscheidt van een reguliere serviceprovider of internetaanbieder.
Het begrip ‘aanbieder van een openbaar telecommunicatienetwerk of (…) openbare telecommunicatiedienst’ in artikel 125la Sv legt de rechtbank hier eveneens uit aan de hand van het begrip ‘aanbieder van een communicatiedienst’ als bedoeld in artikel 126la Sv(oud) thans 138g Sv. De emailberichten op de servers van PGPSafe komt hiermee dezelfde bescherming toe als het ‘briefgeheim’.
Deze bevoegdheid kon worden ontleend aan 125la Sv, mits aan de daarin genoemde voorwaarden werd voldaan, te weten (1) er mag slechts kennis worden genomen van berichten die niet van of voor de dienst bestemd zijn voor zover zij klaarblijkelijk van de verdachte afkomstig zijn, voor hem bestemd zijn, op hem betrekking hebben of tot het begaan van het strafbare feit hebben gediend, ofwel klaarblijkelijk met betrekking tot die gegevens het strafbare feit is gepleegd en (2) er dient een voorafgaande schriftelijke machtiging te worden verleend door de rechter-commissaris.
Voor wat betreft de eerst genoemde voorwaarde is de rechtbank, anders dan door de verdediging is betoogd, van oordeel dat daaraan door de officier van justitie is voldaan. De verdenking van onder andere witwassen en deelname aan een criminele organisatie binnen onderzoek 26Sassenheim bood een heel ruime grondslag, in het kader waarvan ook de berichtgeving en de eventueel daaruit voortvloeiende hoedanigheid van de gebruikers van de PGPSafetelefoons relevantie had. De – al dan niet directe – link met het strafbare feit is daarmee gegeven.
Voor wat betreft de tweede genoemde voorwaarde is evident dat daaraan niet is voldaan. De officier van justitie heeft bij het opstellen/indienen van het rechtshulpverzoek op grond van de (letterlijke) tekst van de wet in de veronderstelling verkeerd dat hij een eigen bevoegdheid had en heeft dientengevolge geen voorafgaande schriftelijke machtiging van de rechter-commissaris gevraagd.
Het ontbreken van de voorafgaande machtiging door de rechter-commissaris levert een onherstelbaar vormverzuim op. Dit vormverzuim heeft zich weliswaar niet in het voorbereidend onderzoek jegens de verdachten in deze zaak voorgedaan maar wel zal moeten worden beoordeeld of dit vormverzuim tot consequenties moet leiden in dezen. Bij het verrichten van die beoordeling, houdt de rechtbank rekening met het
belangdat het voorschrift dient, de
ernstvan het verzuim en het
nadeeldat daardoor wordt veroorzaakt.
Het
belangvan het geschonden voorschrift is groot. Het betreft het ontbreken van een voorafgaande rechterlijk toets, die is ingegeven door de ernst van de inbreuk die wordt gemaakt door toepassing van het dwangmiddel. Door het ontbreken van de rechterlijk toets, heeft geen voorafgaande
rechterlijkebeoordeling van de rechtmatigheid, subsidiariteit en proportionaliteit
in Nederland(voorafgaand aan het indienen van het rechtshulpverzoek) plaatsgevonden. Echter, in casu is die beoordeling wel gemaakt door de rechter in Costa Rica zoals blijkt uit het bevel van 8 mei 2017, waarbij de rechter zowel aan nationaal (grond)wettelijke bepalingen als aan internationaal recht (IVBPR en de Universele verklaring) heeft getoetst . Dit relativeert de ernst van het ontbreken van de voorafgaande rechterlijke toets in Nederland.
Voor wat betreft de
ernst van het verzuimis van belang dat niet gebleken is van een bewust onjuist handelen van de officier van justitie. Eerst in september 2021 is door de rechtbank uiteen gezet dat en waarom het begrip ‘aanbieder van een openbaar telecommunicatienetwerk of (…) openbare telecommunicatiedienst’ in artikel 125la Sv uitgelegd moet worden aan de hand van het begrip ‘aanbieder van een communicatiedienst’ als bedoeld in artikel 126la Sv(oud) thans 138g Sv. De rechtbank is bovendien van oordeel dat, zo de officier van justitie om een voorafgaande machtiging van de rechter-commissaris zou hebben gevraagd, hij deze naar alle waarschijnlijkheid gekregen zou hebben, gezien de ernst van de verdenking en hetgeen uit tal van strafrechtelijke onderzoeken reeds bekend was over PGPSafe, namelijk dat deze aanbieder (wellicht niet alleen maar wel) bij uitstek werd gebruikt om communicatie over ernstige strafbare feiten geheim te kunnen houden, zoals ook uitvoerig uiteen is gezet in het rechtshulpverzoek. De rechtbank is het dan ook niet eens met de verdediging waar deze stelt dat ‘geen redelijk denkend rechter-commissaris een dergelijke machtiging zou hebben afgegeven’.
Het
nadeeldat door het vormverzuim zou zijn geleden, mag volgens vaste jurisprudentie niet gelegen zijn in de ontdekking van een strafbaar feit. In het onderhavige geval kan als nadeel dan in algemene zin worden genoemd: een inbreuk op de privacy (al stellen de verdachten geen van allen dat zij inderdaad degenen zijn die aan de in beslag genomen communicatie hebben deelgenomen). Ook dit nadeel dient te worden gerelativeerd. Voor zover de rechtbank daar zicht op heeft gekregen, heeft deze communicatie voor het overgrote deel betrekking op strafbaar handelen. Gesprekken die de persoonlijke levens van de gespreksdeelnemers betreffen, zijn in dit dossier zeldzaam en zeer beperkt. Zeker kan niet worden gesteld dat met het kennisnemen van deze communicatie een min of meer compleet beeld van iemands persoonlijke leven wordt verkregen. De inbreuk kan daardoor als relatief gering worden bestempeld.
De rechtbank ziet het voorgaande beschouwend geen aanleiding voor de conclusie dat niet met constatering van het vormverzuim kan worden volstaan.
De rechtbank ziet, anders dan de verdediging, evenmin grond voor het oordeel dat sprake is geweest van een ernstige schending van een strafvorderlijk voorschrift of beginsel waarbij toepassing van bewijsuitsluiting noodzakelijk is als rechtsstatelijke waarborg en als middel om vergelijkbare verzuimen in de toekomst te voorkomen. Hiervoor is reeds overwogen en toegelicht dat en waarom de rechtbank het verzuim niet ziet als een bewust onjuist handelen van de officier van justitie.
Dat het openbaar ministerie moet worden aangemerkt als een (in de woorden van de verdediging) onverbeterlijke recidivist volgt de rechtbank niet.
Dit laat onverlet dat ook de rechtbank ziet dat opsporing, waarbij gebruik wordt gemaakt van zogenoemde bulkvergaring zoals dat is gebeurd bij PGPSafe (en naar bekend ook bij andere diensten) een vorm van opsporing betreft, die mogelijk niet is voorzien en waarmee dus de randen van de strafvorderlijke bevoegdheden worden opgezocht. Dat het OM hierbij inzake PGPSafe (want alleen daar ziet deze overweging op) de randen bewust is overgegaan, ziet de rechtbank niet.
De verstrekking van de data aan Sartell
De rechtbank heeft zich vervolgens de vraag gesteld of de PGPSafedata die in onderzoek 26Sassenheim waren verkregen, aan onderzoek Sartell mochten worden verstrekt.
Feitelijke gang van zaken
In een tweetal andere onderzoeken dan Sartell – te weten onderzoek Dobricicen onderzoek Rockaway– is informatie verkregen dat de in dat onderzoek relevante personen gebruik maakten van PGPSafe. De emailadressen die bij die personen hoorden zijn ten behoeve van de onderzoeken Dobricic en Rockawayverstrekt aan het onderzoeksteam 26Sassenheim en deze zijn door hen bevraagd in de dataset van 26Sassenheim.
Deze bevraging heeft geleid tot kennisname van berichten die betrekking leken te hebben op de invoer van een partij cocaïne in Rotterdam tussen 27 en 30 mei 2016. Dit kwam sterk overeen met de partij die in onderzoek Romp in beslag was genomen.
De resultaten zijn door het onderzoeksteam 26Sassenheim met toestemming van de officier van justitie verstrekt aan respectievelijk onderzoek Dobricicen Rockaway.
In de loop van 2019 is de verkregen informatie ter beschikking gesteld aan onderzoek Sartell. Vanuit onderzoek Sartell is aan het onderzoeksteam 26Sassenheim gevraagd om de uit de hiervoor genoemde onderzoeken naar voren gekomen PGPsafe-emailadressen in de dataset te bevragen. De resultaten van het onderzoek zijn met toestemming van de officier van justitie op grond van artikel 126dd Sv gedeeld met onderzoek Sartell.
Rechtmatigheid verstrekking
De rechtbank ziet geen grond voor het oordeel dat artikel 126dd Sv onvoldoende basis biedt voor de verstrekking van de data aan Sartell, zowel vanuit Dobricic en Rockaway als vanuit 26Sassenheim.
De verdediging heeft grote bezwaren geuit tegen de vergaring van en het kunnen putten uit de grote dataset zoals die in 26Sassenheim is veiliggesteld. De rechtbank acht in dat kader relevant dat uit de gang van zaken zoals die uit de diverse processen-verbaal duidelijk naar voren komt, dat niet blijkt dat de verschillende zaaksofficieren zelf de mogelijkheid hadden om vrijelijk te zoeken in de dataset van 26Sassenheim. De zoekslagen in de dataset zijn steeds via het onderzoeksteam 26Sassenheim gedaan.
Daarnaast komt duidelijk naar voren dat gezocht is in het kader van lopende strafrechtelijke onderzoeken waarin een ‘verdacht’ emailadres naar voren kwam. Er was sprake van een concrete verdenking van ernstige strafbare feiten – zoals invoer van grote partijen cocaïne – waarbij tijdens de bevraging van één adres een keten aan andere gesprekspartners naar voren kwam die concreet met elkaar leken te communiceren over de invoer van een grote partij cocaïne, waarvan de specificaties ook nog eens overeen leken te komen met een daadwerkelijk aangetroffen partij cocaïne. Van een fishing expedition of willekeurige zoekslagen op willekeurige emailadressen of een lijst met zoektermen is geen sprake geweest. De rechtbank ziet dan ook geen aanleiding voor het oordeel dat het onderzoeksteam in Sartell niet vrij stond om de bedoelde emailadressen te doen bevragen in de dataset van 26Sassenheim, noch dat hiermee een ongerechtvaardigde of disproportionele inbreuk zou worden gemaakt op de rechten van de gebruikers van deze emailadressen.
De verdediging heeft uitvoerig betoogd dat geen sprake is van equality of arms. Ten onrechte zou de verdediging niet de beschikking hebben gekregen over de gehele PGPSafedataset (zoals verkregen in onderzoek 26Sassenheim).
Behalve de PGPSafeberichten die zich in het dossier bevinden (en dus zijn verstrekt aan rechtbank en verdediging), heeft de verdediging afzonderlijk nog de beschikking gekregen over de data van de PGPlijnen die aan de verdachte zelf worden toegeschreven. Daarnaast heeft de verdediging de mogelijkheid gekregen om de volledige Sartell dataset in te zien bij NFI met gebruikmaking van Hansken. De officier van justitie in de zaak Sartell heeft niet meer data ter beschikking gehad.
De verdediging heeft gewezen op de onmogelijkheid om te controleren of er ontlastend materiaal in de 26Sassenheim dataset is te vinden en heeft gesteld dat zij daarom de beschikking had moeten krijgen over de volledige dataset, althans de gelegenheid had moeten krijgen die in te zien.
De rechtbank volgt de verdediging hierin niet. Hiervoor is reeds uiteengezet dat uit het dossier blijkt hoe de Sartell dataset tot stand is gekomen, namelijk door bevraging van een aantal concrete emailadressen. Emailadressen die naar voren zijn gekomen bij bevraging van verdachte adressen en het vervolgens stuiten op verdachte gesprekken over concrete strafbare feiten.
In zijn algemeenheid valt niet in te zien waarom de verdediging inzage zou moeten hebben op alle PGPSafedata die in onderzoek 26Sassenheim is verkregen. De verdediging heeft daarbij geen enkel concreet punt genoemd waaruit de relevantie van die data voor de zaak Sartell of een specifieke verdachte zou blijken.
De enkele stelling dat er mogelijk iets in te vinden is dat ontlastend zou kunnen zijn, is daarvoor onvoldoende. Van strijd met equality of arms is geen sprake, noch de rechtbank, noch de officier van justitie beschikken over de 26Sassenheim dataset.
De rechtbank ziet ook anderszins geen aanleiding voor de conclusie dat de procedure op dit punt niet fair of in strijd met de regels van een behoorlijk proces is geweest. Van schending van het gestelde in artikel 6 van het EVRM is dan ook naar het oordeel van de rechtbank op deze gronden geen sprake.
De verdediging heeft uitvoerig betoogd dat de PGPSafedatavergaring en – verwerking in strijd is met het recht op eerbiediging van het persoonlijke leven zoals gewaarborgd in artikel 8 van het EVRM. De rechtbank wijst op hetgeen zij hiervoor heeft overwogen, te weten dat het interstatelijk vertrouwensbeginsel in de weg staat aan de toetsing van de beslissing van de Costa Ricaanse rechter tot inzet van het dwangmiddel. Daarbij merkt de rechtbank op dat de Costa Ricaanse rechter het recht op eerbiediging van persoonlijke leven uitdrukkelijk heeft betrokken in de belangenafweging. Getoetst is aan artikel 17 van het IVBPR. Daar waar is betoogd dat deze toets minder waarborgen inhoudt dan die voortvloeien uit artikel 17 van het IVBPR deelt de rechtbank dit niet. De waarborg van artikel 8 van het EVRM is wel meer duidelijk geformuleerd doordat de beperkingsgronden in artikel 8 van het EVRM meer specifiek zijn aangegeven, terwijl ingevolge artikel 17 van het IVBPR elke beperking mag worden opgelegd mits deze niet van willekeur getuigt en niet onwettig is.
De rechtbank verwijst voorts naar hetgeen zij hiervoor heeft overwogen ten aanzien van de verwerking van de PGPSafedata in onderzoek Sartell. Anders dan de verdediging heeft gesteld, is dit gebeurd naar aanleiding van concrete verdenkingen.
Ieder verkrijgen, verwerken en analyseren van berichten die niet voor anderen bestemd zijn, levert een inbreuk op de privacy op. Echter, een inbreuk gebaseerd op een wettelijke grondslag met een gerechtvaardigd opsporingsbelang, behoeft geen strijd met artikel 8 van het EVRM op te leveren. Naar het oordeel van de rechtbank is daarvan, gezien de Costa Ricaanse machtiging en de concrete bevraging naar aanleiding van strafrechtelijke onderzoeken sprake geweest. Daar komt nog bij dat de inbreuk, zoals hiervoor ook reeds is betoogd, beperkt is gebleven tot kennisname van communicatie die vrijwel uitsluitend betrekking heeft op strafbare handelingen zonder dat daarbij een compleet beeld van het persoonlijke leven van de verdachte(n) is gekregen. Ook vanuit de eisen van subsidiariteit en proportionaliteit bezien, levert de verwerking van de data in onderzoek Sartell naar het oordeel van de rechtbank derhalve geen strijd met het bepaalde in artikel 8 van het EVRM op.
Unierecht en ander internationaal recht
De verdediging heeft eveneens uitvoerig betoogd dat sprake is van strijd met het Unierecht. Daartoe is op de artikelen 7, 8, 11 en 52 van het Handvest gewezen die zakelijk weergegeven zien op bescherming van de persoonlijke levenssfeer, bescherming van persoonsgegevens en vrijheid van meningsuiting. Daarnaast is een beroep gedaan op artikelen 4 en 8 van Richtlijn 2016/680 en 15 van Richtlijn 2002/58, die kort gezegd zien op de wijze van verwerking van persoonsgegevens.
In dit kader verwijst de rechtbank naar hetgeen hiervoor reeds is opgemerkt. Immers ook in het Unierecht geldt dat rechten op bescherming van privacy en persoonsgegevens niet absoluut zijn. Vanuit dezelfde overweging als hiervoor gegeven bij de bespreking van artikel 8 van het EVRM is de rechtbank van oordeel dat voor zover al inbreuk gemaakt is op de persoonlijke levenssfeer bij de verwerking van de data, deze gerechtvaardigd is geweest en niet in strijd met eisen van subsidiariteit en proportionaliteit.
Voor wat betreft de verwijzing naar de hiervoor genoemde richtlijnen, merkt de rechtbank nog het volgende op. Richtlijn 2016/680 is geïmplementeerd in de Wet Politiegegevens en de Wet Justitiële en strafvorderlijke gegevens en de daaronder vallende besluiten. De verdediging heeft niet concreet gesteld dat in strijd met (één van) de bepalingen van deze wet- en regelgeving is gehandeld.
Met betrekking tot Richtlijn 2002/58 geldt dat deze, gelet op het bepaalde in artikel 1, derde lid, van deze Richtlijn niet van toepassing is op verwerking van de PGPSafedata door de politie. Maatregelen die inbreuk maken op het beginsel van vertrouwelijkheid van elektronische communicatie zonder dat daarbij verwerkingsverplichtingen worden opgelegd aan aanbieders van elektronische-communicatiediensten, vallen buiten het bereik van deze richtlijn.
De door de verdediging gestelde strijdigheid met het Unierecht ziet de rechtbank niet, evenmin ziet de rechtbank strijdigheid met de ook nog door de verdediging genoemde bepalingen van het IVBPR (artikel 17), United Nationas Convention against Transnational Organized Crime (artikel 18) en het Cybercrimeverdrag (artikel 25, vierde lid).
De verdediging heeft geopperd dat de rechtbank prejudiciële vragen stelt waar het de verenigbaarheid met het Unierecht betreft.
De rechtbank realiseert zich, zoals in de inleiding gezegd, dat een oordeel over de rechtmatigheid van het gebruik van de PGPSafedata aan principiële vragen raakt, ook op het gebied van het Unierecht en dat de rechtspraak op dit punt veelal nog voorlopige oordelen betreft. Dat zijn overwegingen die de rechtbank meeneemt. Maar het belangrijkste is, dat de rechtbank zich na de inhoudelijke behandeling, bestudering van alle stukken, en nadere bestudering van de jurisprudentie, waaronder die van het Hof van Justitie van de Europese Unie, voldoende voorgelicht acht en geen aanleiding ziet om die vragen in deze procedure te stellen.
5.2.3.Betrouwbaarheid PGPSafedata
De verdediging heeft zich het standpunt gesteld dat de PGPsafedata, ook zonder dat sprake is van een vormverzuim als bedoeld in artikel 359a Sv, niet voor het bewijs gebruikt mogen worden. Er hebben zich namelijk onregelmatigheden voorgedaan die de betrouwbaarheid en nauwkeurigheid van die data wezenlijk hebben aangetast.
Voorafgaand aan de bespreking van de verweren van de verdediging merkt de rechtbank het volgende op ten aanzien van de aard en het karakter van het digitale bewijsmateriaal, waarvan hier sprake is.
De verdediging heeft met recht op de kwetsbaarheden bij het veiligstellen van digitaal bewijs gewezen. Onder ideale omstandigheden bestaat de mogelijk dit zo te doen dat de kans op corruptie van dat bewijs maximaal wordt uitgesloten.
De rechtbank ziet zich – nu de doorzoeking in Costa Rica voortijdig werd beëindigd in die zin dat op dat moment nog niet alle data van de servers waren gekopieerd – voor de vraag gesteld in hoeverre het voorliggende bewijs een getrouw beeld geeft van de (inhoud van de) emailwisselingen die met de betreffende PGPSafe-adressen, die toegeschreven worden aan de verdachten, is gevoerd.
Hierbij speelt de aard van die data een relevante en voor de beoordeling van de betrouwbaarheid daarvan wezenlijke rol. Het gaat hier namelijk om versleuteld emailverkeer dat tussen de gebruikers van PGPSafe heeft plaatsgevonden, encryptiesleutels en aan dat berichtenverkeer verbonden metadata.
Zoals ook al in het NFI rapport van september 2020, ‘mobiele telefoons met EncroChat’, ten aanzien van cryptografisch versleutelde berichten bij PGPtelefoons is vermeld, brengt bij het ontsleutelen van die berichten en notities een minimale verandering in de versleutelde data al mee dat een enorme verandering in het ontsleutelde resultaat optreedt. Het bericht wordt dan namelijk volstrekt onleesbaar (het zogenoemde lawine-effect). Dit brengt ook mee dat, wanneer uiteindelijk na het ontsleutelen van die data wél leesbare berichten zijn verkregen, de mogelijkheid dat daarin sprake is geweest van onvolkomenheden bij het kopiëren vanaf de bron (zijnde de oorspronkelijke server in Costa Rica) naar de uiteindelijke ontvanger (het onderzoeksnetwerk van de Nederlandse politie) vrijwel uitgesloten moet worden geacht.
Deze eigenschap van versleutelde data relativeert dan ook de invloed van mogelijke onvolkomenheden bij het veiligstellen van de berichten, mochten die zijn veiliggesteld zonder dat ten volle is voldaan aan de hedendaagse standaarden ten aanzien van het veiligstellen van digitale data. De vergelijking die de verdediging daarbij heeft gemaakt met de strikte waarborgen die gelden bij een onderzoek naar het alcoholgehalte in het bloed als bedoeld in artikel 8 van de Wegenverkeerswet 1994 gaat daarbij mank. Immers, wanneer in dat geval sprake is van foutieve verwerking van de digitale data kan dit een resultaat opleveren, waarvan de onjuistheid niet is af te lezen. Bij het verwerken van de versleutelde PGPSafeberichten ligt dit dus wezenlijk anders.
Nog afgezien van het feit dat de Standard Operating Procedures, de Guidelines en de good practises waarop de verdediging zich beroept ten tijde van het veiligstellen van de data in Costa Rica nog niet waren opgesteld en de verkrijging toen nog niet langs die lat gelegd had kunnen worden, brengt het niet integraal volgen van die richtlijnen niet zonder meer mee dat de PGPsafeberichten daarom zouden moeten worden uitgesloten van het bewijs.
De verdediging heeft evenwel ook nog op andere gronden uitsluiting van de PGPSafeberichten als bewijs bepleit. De rechtbank zal hierop nader ingaan.
a. De authenticiteit van de data
Het is juist dat in Costa Rica bij het kopiëren van de data de data op de server niet zijn gehasht. Die hashwaarde kan dus niet worden vergeleken met de hashwaarde van de data op de door de Costa Ricaanse autoriteiten aan de Nederlandse politie geleverde harde schijven. Dit valt het OM echter niet te verwijten aangezien dit toen geen Nederlandse aangelegenheid is geweest.
Hieraan behoeft echter evenmin een gevolg voor de betrouwbaarheid van die data verbonden te worden, nu van enige manipulatie van die data voordat deze bij de Nederlandse politie is aanbeland niet is gebleken. De rechtbank neemt daarbij in ogenschouw dat met het verbreken van de verbinding tussen de servers en het internet, het verzegelen van de servers op het moment dat de Costa Ricaanse autoriteiten niet aanwezig waren en het verpakken en verzegelen van het gekopieerde materiaal, dat naar Nederland is gestuurd de kans dat die data toen zouden zijn gemanipuleerd uitermate klein kan worden geacht. Het dossier biedt hiervoor ook overigens geen begin van aannemelijkheid.
Na ontvangst van de harde schijven uit Costa Rica zijn de data volgens de regelen der kunst gekopieerd naar het onderzoeksnetwerk van de Nederlandse politie. Ook hierin ligt geen grondslag om de data voor het bewijs uit te moeten sluiten.
De selectie van de data op de servers in Costa Rica
Het is juist dat niet alle data op de door PGPSafe gehuurde servers in Costa Rica veiliggesteld konden worden. Vooropgesteld moet worden dat de duur van de doorzoeking niet het gevolg geweest is van een keuze van de Nederlandse opsporingsambtenaren, die daar slechts ter assistentie aanwezig waren, maar van de Costa Ricaanse rechter. Deze heeft immers op enig moment de doorzoeking beëindigd, voordat alle virtuele machines waren gekopieerd. Dit heeft verder buiten de macht van het Nederlandse onderzoeksteam gelegen.
Het feit dat de politie ervoor heeft gekozen om de door PGPSafe in 2012 gehuurde server als eerste te kopiëren is naar het oordeel van de rechtbank een begrijpelijke en gerechtvaardigde keuze geweest omdat de kans dat de voor het onderzoek naar PGPSafe relevante emailberichten zich op die server zouden vinden aanzienlijk groter was dan dat deze op de andere server zouden staan. Die laatste server was immers pas in 2016 gehuurd en in gebruik genomen. Het bewust of onbewust niet meenemen van ontlastend materiaal bij de doorzoeking is daarmee niet aannemelijk geworden. Evenmin geven de werkzaamheden die hebben plaatsgevonden in Costa Rica blijk van een doelbewuste selectie waarbij enkel belastende berichten zouden zijn gekopieerd.
Het feit dat men niet al het materiaal heeft kunnen veiligstellen komt ook bij reguliere doorzoekingen of andere opsporingsactiviteiten met regelmaat voor. Met het verstrekken van de ‘binder’ Algemene achtergrondinformatie inzake Ennetcom data, PGPSafedata en de Hansken zoekmachine (hierna: de binder Ennetcom & PGPSafe) heeft de officier van justitie hierover ook steeds openheid van zaken betracht, zodat ook hierin geen reden ligt voor het uitsluiten van PGPSafe berichten voor het bewijs.
De selectie van de data in het onderzoek 26Sassenheim
De PGPSafedata zijn verstrekt op basis van de opgave van een lijst met PGP-adressen waarvan werd vermoed dat de gebruikers daarvan betrokken waren bij de invoer van partijen cocaïne zoals beschreven in de zaaksdossiers Broer en Scan. Alleen ten aanzien van die emailadressen bestond immers het vermoeden dat die voor de verweten feiten relevante informatie zouden kunnen bevatten. Hieruit kan niet worden afgeleid dat met die selectie aan de verdediging relevant ontlastend materiaal is onthouden. Het verweer dat met die selectie de betrouwbaarheid van het bewijs is geraakt volgt de rechtbank niet.
De kwaliteit van de PGPSafedata
De verdediging heeft aangevoerd dat van diverse emailwisselingen het individuele bericht zou ontbreken. De rechtbank begrijpt dat de verdediging hiermee doelt op het bericht wanneer dat voor de eerste keer is verzonden (en dan later nog zichtbaar kan zijn in de ketting van berichten die daarna zijn gevolgd).
Uit de binder Ennetcom & PGPsafe blijkt genoegzaam dat een dergelijk bericht in de database inderdaad kan ontbreken wanneer dat bericht bijvoorbeeld niet meer op de server in Costa Rica aanwezig is geweest, de verzender dat wellicht al verwijderd had of van het bericht geen encryptiesleutel is aangetroffen waarmee het leesbaar kan worden gemaakt. Het enkele feit dat een bericht ontbreekt, terwijl het als voorgaand omschreven in een ander bericht nog wel bestaat, doet aan het bestaan en de betrouwbaarheid van de inhoud van dat bericht op zich niet af.
Het is inderdaad altijd mogelijk dat een bericht bij het doorsturen naar een ander door diegene wordt gewijzigd. Dat zich dat bij het PGPSafe bewijs ook daadwerkelijk heeft voorgedaan heeft de verdediging niet gesteld en heeft de rechtbank niet gezien. Deze theoretische mogelijkheid beïnvloedt de betrouwbaarheid van het bewijs in deze zaak dan ook niet.
Datzelfde geldt ook ten aanzien van het feit dat veel berichten (vooralsnog) niet ontsleuteld hebben kunnen worden. Voor het ontsleutelen daarvan zijn passende encryptiesleutels nodig. Ontbreken die, dan komt er geen leesbaar bericht tot stand. Aan de waarde van de berichten die wel leesbaar zijn doet dat verder niet af. Voor zover de verdediging heeft bedoeld te stellen dat de inhoud van veel berichten onbekend gebleven kan dat zeker waar zijn. De rechtbank constateert echter ook dat de verdediging geen informatie heeft verstrekt welke concrete (ontlastende) berichten in de visie van de verdachte zouden ontbreken, waardoor een ander licht op het bestaande bewijs geworpen wordt.
De rechtbank zal dan ook de berichten, die zich wel in het dossier bevinden, zoals te doen gebruikelijk in de gegeven context op logica en betrouwbaarheid beoordelen.
De verdediging heeft voorts gesteld dat de onbetrouwbaarheid van de PGPSafeberichten onder meer blijkt uit de verschillen die zich soms voordoen bij de vermelding van de tijdstippen van verzending en ontvangst die aan die berichten zijn gekoppeld in de lijn van de verzender en die van de ontvanger. Het feit dat die verschillen zich kunnen voordoen is al in een eerder stadium door de deskundigen in de binder Ennetcom & PGPSafe onderkend. Echter, daaruit volgt nog niet dat de inhoud van het bericht daarmee onjuist is. Deze verschillen in tijdsaanduiding kunnen zich voordoen wanneer men zich bijvoorbeeld in verschillende tijdzones bevindt, het een doorgestuurd bericht betreft dat met het nieuwe bericht wordt opgeslagen op de server of de tijdsinstellingen van het toestel zelf anders zijn ingesteld. Hoewel dit meebrengt dat het tijdstip van verzenden respectievelijk ontvangen van een bericht altijd een kritische blik vereist, kan hieruit niet zonder meer en niet zonder nadere specifieke toelichting de onbetrouwbaarheid van de inhoud van die berichten afgeleid worden.
Voor zover de verdediging heeft aangevoerd dat niet alle berichten foutloos zijn vertaald, constateert de rechtbank dat de vertalingen hebben plaatsgevonden met behulp van een beëdigde tolk. De rechtbank gaat dan ook in beginsel uit van de juistheid van die vertaling.
Zo al sprake zou zijn van een foutieve vertaling in een belastend bericht mag van de verdediging ook verwacht worden dat dit bij de inhoudelijk behandeling daarvan geconcretiseerd wordt, anders dan dat een kantoorgenoot, die de desbetreffende vreemde taal eigen is, dit bemerkt heeft, zodat die vertaling alsnog gecontroleerd kan worden. Nu die situatie zich verder niet heeft voorgedaan, laat staan dat gesproken kan worden van een zodanige frequentie dat aan de kwaliteit van de vertaling getwijfeld moet worden, kan ook dit verweer niet slagen.
e. Controle van de databases
Tot slot heeft de verdediging aangevoerd dat zij onvoldoende mogelijkheden heeft gehad om de betrouwbaarheid van de PGPSafeberichten te controleren, met name omdat zij geen inzage hebben gehad in de volledige dataset van 26Sassenheim.
De rechtbank heeft zich hierover al in haar voorgaande overwegingen uitgelaten. Nog daargelaten dat de equality of arms hiermee niet in het geding zou komen, omdat het OM noch de rechtbank over die data beschikken, zou met het onbeperkt inzien van die dataset een ongerechtvaardigde inbreuk gemaakt worden op de privacy van personen, die verder geen relatie hebben met het onderzoek Sartell.
Ook de PGPSafedataset van het onderzoek Sartell stelt de verdediging onvoldoende te hebben kunnen controleren. De rechtbank volgt de verdediging ook daarin niet.
Hierbij neemt de rechtbank mee dat de gesprekken in het dossier staan uitgeschreven, de eigen lijnen en die van de medeverdachten digitaal aan de verdediging ter beschikking zijn gesteld en gelegenheid geboden is om met behulp van de Hansken software van het NFI die dataset te bevragen. Slechts twee raadslieden hebben van deze mogelijkheid gebruik gemaakt en hebben hun vragen ten aanzien van die data ook onmiddellijk kunnen voorleggen en beantwoord gezien.
Het feit dat na de eerste inzage bleek dat niet alle bij de politie beschikbare encryptiesleutels waren ingeladen, vindt de rechtbank een omstandigheid die te betreuren valt, maar deze omissie is nadien onmiddellijk hersteld en heeft de brondata zelf verder niet betroffen. Hierna is een nieuw inzage moment aangeboden.
Over het ontbreken van een deel van die encryptiesleutels hebben de politie en het NFI (in de persoon van [naam 1] , die tevens als getuige ter zitting op verzoek van de verdediging is gehoord) nog nader uitleg gegeven. De rechtbank acht met die nadere uitleg het (in eerste instantie) bij de inzage ontbreken van een deel van die sleutels voldoende verklaard en ziet ook in het uiteindelijke verschil van vier unieke sleutelbestanden op een totaal van 872 geen aanleiding om aan de betrouwbaarheid van de PGPSafedataset en de daarin opgenomen berichten te twijfelen of te oordelen dat de controlemogelijkheden voor de verdediging onvoldoende zijn geweest.
De rechtbank verwerpt dan ook dit verweer van de verdediging en acht, alles samengenomen, geen gronden aanwezig om de PGPSafeberichten van het bewijs uit te sluiten. Evenmin is de rechtbank van oordeel dat sprake is van zodanige onvolkomenheden in de vergaring, verwerking en controleerbaarheid van het bewijs dat hiermee niet langer sprake zou zijn van een eerlijk proces als bedoeld in artikel 6 van het EVRM.