Deel IV: Europese initiatieven

Hoofdstuk 1: Overzicht van internationale initiatieven

1.1. Inleiding en verantwoording

De informatie-infrastructuur is een cruciale schakel geworden in de ruggengraat van onze samenleving. Gebruikers moeten ervan kunnen uitgaan dat informatiediensten beschikbaar zijn en dat gegevens beschermd worden tegen toegang door onbevoegden. De technologie van de informatiemaatschappij kan worden gebruikt voor het plegen en vergemakkelijken van strafbare feiten.

Computercriminaliteit en de bestrijding ervan krijgt daarom steeds meer aandacht, ook in internationale fora. Dit leidde de laatste jaren tot verschillende initiatieven die uitgaan van uiteenlopende werkgroepen en internationale organisaties. Op verschillende niveaus is het besef gegroeid dat men de handen in elkaar moet slaan om op een adequate wijze alle mogelijke vormen van “cybercrime” te kunnen beteugelen.

In deze eindverhandeling is het onmogelijk om een allesomvattend overzicht te presenteren van alle maatregelen en initiatieven die wereldwijd genomen werden om “cybercrime” in te dijken. Ik koos ervoor om in dit hoofdstuk een overzicht te geven van enkele initiatieven die door internationale organisaties werden genomen. Het is geenszins de bedoeling om een exhaustieve opsomming te geven. Toch wil ik de lezer erop wijzen dat op verschillende niveaus het fenomeen “cybercrime” bestudeerd wordt.

In het tweede en laatste hoofdstuk van dit deel, wordt aandacht besteed aan de initiatieven die door de Raad van Europa genomen werden om computercriminaliteit te bestrijden. De recente Cybercrime-Convention komt tevens aan bod in Hoofdstuk 2.

1.2. Nationale en internationale reacties

Computercriminaliteit speelt zich overal in “cyberspace” af en houdt niet op bij de conventionele landsgrenzen. Op nationaal niveau ontbreekt het m.i. vaak nog aan breed en internationaal geörienteerde antwoorden op nieuwe problemen zoals netwerkbeveiliging en computergerelateerde misdrijven. In de meeste landen zijn de reacties op informaticacriminaliteit immers nog te veel gericht op het nationale recht.

Ondanks de inspanningen van internationale en supranationale organisaties vertonen de nationale wetgevingen wereldwijd opmerkelijke verschillen en onduidelijkheden. Deze verschillen houden o.a. verband met de bepalingen inzake privacy-schendingen, de bevoegdheden van opsporingsdiensten en de jurisdictie ten aanzien van grensoverschrijdende incidenten.

Op internationaal niveau bestaat brede overeenstemming over het feit dat doeltreffend moet worden gereageerd tegen computercriminaliteit. Organisaties zoals de Verenigde Naties, de “Organisation for Economic Co-operation and Development”, de G8, de Raad van Europa, de Europese Unie, Europol en ongetwijfeld nog andere, hebben in dit verband gemeenschappelijke objectieven en belangen. Ze hebben alle het fenomeen “cybercrime” uitvoerig bestudeerd. Daarnaast hebben ze instrumenten aangereikt die de ontwikkeling van een strikt wettelijk kader ter bestraffing van computercriminaliteit moeten bevorderen.

1.2.1. G8

De ministers van Justitie en Binnenlandse Zaken van de G8[198] hebben in hun bijeenkomst van 9-10 december 1997 een reeks beginselen en een 10-punten actieplan goedgekeurd om de zogenaamde “high-tech-criminaliteit” aan te pakken.[199] Dit plan werd door de G8-top in Birmingham van 8 mei 1998 bekrachtigd. De 10 punten luiden als volgt:[200]

1. “There must be no safe havens for those who abuse information technologies.

2. Investigation and prosecution of international high-tech crimes must be coordinated among all concerned States, regardless of where harm has occurred.

3. Law enforcement personnel must be trained and equipped to address high-tech crimes.

4. Legal systems must protect the confidentiality, integrity and availability of data and systems from unauthorized impairment and ensure that serious abuse is penalized.

5. Legal systems should permit the preservation of and quick access to electronic data, which are often critical to the successful investigation of crime.

6. Mutual assistance regimes must ensure the timely gathering and exchange of evidence in cases involving international high-tech crime.

7. Transborder electronic access by law enforcement to publicly available (open source) information does no require authorization from the State where the data resides.

8. Forensic standards for retrieving and authenticating electronic data for use in criminal investigations and prosecutions must be developed and employed.

9. To the extent practicable, information and telecommunication systems should be designed to help prevent and detect network abuse, and should also facilitate the tracing of criminals and the collection of evidence.

10. Work in this area should be coordinated with the work of other relevant international fora to ensure against duplication of efforts.”

Kort nadat het ”I love you”-virus wereldwijd computers platlegde, hielden diplomaten uit de G8-landen (mei 2000) een conferentie over computercriminaliteit. Computerdeskundigen en lobbyisten hadden de hoop dat de verzamelde ministers in Parijs zouden praten over de oprichting van een internationaal politiekorps dat zich louter met de opsporing, en uiteindelijk ook de preventie van computercriminaliteit zou gaan bezighouden. De conferentiegangers bleken de ontmoeting in Parijs echter vooral te zien als een mogelijkheid elkaar advies te geven over hoe computercriminaliteit op nationaal niveau bestreden kan worden en over hoe nationale wetgeving op de nieuwe technologie kan worden aangepast.[201]

In oktober 2000 vond in Berlijn opnieuw een bijeenkomst plaats. Deze workshop bouwde voort op de resultaten uit de Parijse conferentie. Drie thema’s stonden centraal: de lokalisering en identificatie van “cybercriminelen”, preventie van “high-tech crime” en een betere samenwerking met het bedrijfsleven.[202]

Eind februari 2001 verzamelden de ministers van Justitie en Binnenlandse Zaken van de G8 zich in Milaan. Tijdens deze tweedaagse conferentie werd specifiek gewezen op het belang van de strijd tegen de seksuele uitbuiting van minderjarigen. Tevens werd de aandacht gevestigd op de eventuele implementatie van een “G8-database” die moet toelaten dat landen onderling op een snelle manier informatie kunnen uitwisselen over “cybercriminelen”.[203]

Van 22 tot 24 mei 2001 organiseerde de G8 in Tokyo de “Government/Private Sector High level Meeting on High-tech Crime”. Tijdens deze conferentie werd de aandacht nogmaals gevestigd op het belang van samenwerking van overheden met de private sector. Interstatelijke samenwerkingsverbanden volstaan niet om het hoofd te bieden aan computercriminaliteit. In werkgroepen wisselden vertegenwoordigers van overheden en private sector van gedachten over onderwerpen zoals de bewaring en opslag van elektronische data, de veiligheid van elektronische handel, de uitwisseling van informatie, enz.[204]

1.2.2. United Nations (UN)

De Verenigde Naties hebben verschillende onderzoeksgroepen die actief zijn rond het thema “cybercrime”. In 1989 werden door de UN de “Guidelines on the Use of Computerised Personal Data Flow” aangenomen. Een jaar later volgden de richtlijnen met betrekking tot “personal data files”. Ook werd onder impuls van de UN in 1994 werk gemaakt van een “Manual on the prevention and control of computer-related crime”.[205]

Op initiatief van de Russische Federatie nam de Algemene Vergadering van de Verenigde Naties in december 1998 een resolutie aan over cybermisdaad, cyberterrorisme en cyberoorlog.[206] Resolutie 53/70 gaat in op de ontwikkeling van informatie en telecommunicatie in de context van internationale veiligheid. Zij nodigt lidstaten uit om de Algemene Secretaris te informeren over hun visies over het thema van informatieveiligheid en over internationale principes die de veiligheid van globale informatiesystemen kunnen waarborgen.

1.2.3. Organisation for Economic Co-operation and Development (OECD)

De OECD-groep telt een dertigtal landen die de principes van de vrije markteconomie en het democratisch regeren hoog in het vaandel dragen. Van 1983-1985 boog het “Ad hoc Committee on Computer Crime” zich over de mogelijkheid om een internationale harmonisatie van het strafrecht door te voeren voor het domein van de computergerelateerde economische criminaliteit. In 1985 deed dit comité aan de lidstaten de aanbeveling om te onderzoeken in welke mate economische computercriminaliteit dient gevat te worden in nationale regelgeving.[207]

In 1989 zette het OECD zijn werkzaamheden verder en werd er gewerkt rond de veiligheid en beveiliging van informatiesystemen. Drie jaar later nam de Raad van de OECD de “Recommendation Concerning Guidelines for the Security of Information Systems” aan.[208] Deze richtlijnen houden verband met de implementatie van minimale beveiligingsmaatregelen voor informatiesystemen.

1.2.4. Europese Unie

Op het niveau van de Europese Unie is tot voor kort voornamelijk wetgeving ontwikkeld in de vorm van maatregelen op het gebied van het auteursrecht, de bescherming van het fundamentele recht op privacy, de bescherming van persoonsgegevens, elektronische handel, elektronische handtekeningen en ook op het vlak van encryptie.

De belangrijkste aspecten die in de wetgeving inzake specifieke computercriminaliteit worden behandeld op EU-niveau of op het niveau van de lidstaten zijn:[209]

Inbreuken op de persoonlijke levenssfeer: verschillende landen hebben strafwetgeving ingevoerd tegen het onwettig verzamelen, opslaan, wijzigen, bekendmaken of verspreiden van persoonsgegevens. In de EU zijn enkele richtlijnen goedgekeurd ter onderlinge afstemming van de wetgeving inzake de bescherming van de persoonlijke levenssfeer bij de verwerking van persoonsgegevens.[210]

Delicten op het gebied van de inhoud: de EU stelt dat moet opgetreden worden tegen de verspreiding van (kinder)pornografie via het Internet. Ook racistische uitingen en het aanzetten tot geweld moet als onwettig beschouwd worden. De Raad van de E.U. keurde in dit verband een besluit goed ter bestrijding van kinderpornografie.[211]

Economische delicten, onbevoegde toegang en sabotage: in veel landen zijn wetten goedgekeurd waarin specifieke computercriminaliteit in de vorm van economische delicten wordt aangepakt. Ook nieuwe delicten die verband houden met de onbevoegde toegang tot computers en de verspreiding van virussen maakten reeds het voorwerp uit van wetgevende initiatieven.

Delicten op het gebied van de intellectuele eigendom: in dit verband kan gewezen worden op een aantal richtlijnen over de rechtsbescherming van computerprogramma’s en van databanken.[212] Ook schendingen van het auteursrecht en de naburige rechten werden behandeld in een richtlijn.[213]

De laatste jaren werden echter ook een aantal belangrijke niet-wetgevende maatregelen genomen. Daaronder valt het “Actieplan tegen illegale en schadelijke inhoud op het Internet”. In dit kader verleent de EU cofinanciering voor bewustmakingsacties en andere initiatieven die opgezet worden ter bescherming van minderjarigen en van de menselijke waardigheid in de informatiemaatschappij.

In het “Actieplan inzake georganiseerde misdaad”, dat in mei 1997 door de JBZ-Raad werd goedgekeurd, werd de Commissie verzocht voor eind 1998 een studie naar computercriminaliteit te verrichten. Deze studie, de “COMCRIME-studie”, werd door de Commissie in april 1998 ingediend bij de multidisciplinaire werkgroep van de Raad die zich bezighoudt met de bestrijding van georganiseerde criminaliteit.[214]

In januari 2001 vond te Gent de conferentie “Strategies of the EU and the US in combating transnational organized crime” plaats. Eén van de workshops was gewijd aan “cybercrime”. In het verslag van deze werkgroep word gewezen op het belang van de afstemming van nationale regelgeving op de supranationale aanbevelingen en richtlijnen. Ook wordt gewaarschuwd voor het gevaar van tegenstrijdige wetgevende bepalingen ter beteugeling van “cybercrime”.[215]

1.2.5. Europol

Europol richt zich als internationale organisatie op het bestrijden van grensoverschrijdende, georganiseerde criminaliteit. De organisatie heeft een ondersteunende rol ten behoeve van de politiediensten in de landen van de Europese Unie. Europol verzamelt en analyseert informatie over personen die (mogelijk) lid zijn van een criminele organisatie die internationaal opereert.

Het huidige voorzitterschap van de EU is in handen van Spanje. Dit land pleit voor de oprichting van een waarnemingscentrum voor “hightechcriminaliteit” binnen Europol. Deze plannen zijn echter omstreden. Volgens Spanje zijn de Europese landen extreem kwetsbaar voor aanslagen op vitale infrastructuren zoals elektriciteitsvoorziening en communicatiesystemen.[216]

Om deze dreiging af te wenden moet er bij Europol een waarnemingscentrum voor hightechcriminaliteit komen. Dit centrum moet vroegtijdig bedreigingen van de vitale infrastructuur opsporen en tegenmaatregelen nemen. Ook zou deze instantie pro-actief het Internet kunnen monitoren. Daarnaast moet het waarnemingscentrum gaan fungeren als alarmcentrale. Er is immers op Europees niveau geen centraal punt waar bedrijven en overheden zich toe kunnen wenden.

Het Spaanse voorstel is met gemengde reacties ontvangen in de EU. Het voorstel is te vaag en legt veel verschillende activiteiten tegelijk bij één centrum, aldus een aantal lidstaten. Maar vooral de Europese Commissie keerde zich tegen de plannen.

Volgens de Commissie mag Europol zich alleen bemoeien met strafbare feiten op Internet. Zaken als netwerkintegriteit, de bescherming van netwerken tegen virussen of interceptie en privacybescherming vallen onder de sociaal-economische poot van de Europese Unie, waar de Europese Commissie de scepter zwaait. De Commissie is waarschijnlijk bang dat Europol, en in het verlengde daarvan de Europese justitieministers, een te grote rol gaan spelen op dit terrein, waardoor de Commissie een deel van haar macht kan kwijtraken. Omgekeerd vinden de justitieministers dat de Europese Commissie op het gebied van nieuwe technologieën te weinig oog heeft voor de belangen van de opsporingsautoriteiten.

Hoofdstuk 2: Initiatieven van de Raad van Europa

2.1. Historische schets

2.1.1. “Recommendation No. R (89)”

Van 1985 tot 1989 boog het “Select Committee of Experts on Computer-Related Crime” van de Raad van Europa zich over de juridische problematiek rond computercriminaliteit. In 1989 werd in dit verband een rapport gepresenteerd. De werkzaamheden van deze groep hebben geleid tot “Recommendation No. R (89)”.[217] Deze aanbeveling wil de lidstaten ertoe bewegen om bij de redactie van wetgevende initiatieven rekening te houden met de werkzaamheden van de Raad van Europa, meer bepaald het “Report on computer-related crime”. In dit rapport wordt o.a. een minimumlijst geciteerd, die de lidstaten moeten helpen bij het strafbaar stellen van allerhande vormen van “cybercrime”.

Op 8 september 1995 nam de Raad van Europa een aanbeveling aan inzake de opsporing van strafbare feiten in een geautomatiseerde omgeving. Deze aanbeveling dient gezien te worden als het vervolg op “Recommendation No. R (89)”. Ze bestaat uit een aantal principes die de lidstaten van de Raad van Europa geacht worden in hun nationale wetgeving toe te passen. De principes formuleren een aantal nieuwe bevoegdheden voor justitie en politie en geven tevens aan hoe op dit punt de aanbevolen principes in de bestaande wetgeving worden ingepast.[218]

2.1.2. Aanloop naar het Cybercrime-Verdrag

De Raad van Europa richtte tevens twee “follow-up” comités op. Het “Committee of Experts on Procedural Law Problems Connected with Computer-related Crime” en anderzijds het “Committee of Experts on Crime in Cyberspace”. Dit laatste comité kreeg als opdracht mee een verdrag uit te werken dat materieel- en formeelrechtelijke bepalingen zou bevatten m.b.t. criminaliteit die gepleegd wordt via het Internet of andere telecommunicatienetwerken. Ook diende dit Cybercrime-verdrag bepalingen te bevatten i.v.m. internationale samenwerking m.b.t. onderzoeken naar dergelijke misdrijven.

Teneinde een vlotte internationale samenwerking te bekomen, diende het Comité zich ook te buigen over aspecten als definities en sancties, en over de aansprakelijkheid van de diverse actoren in “cyberspace”. Ook werden de mogelijkheden nagegaan inzake de grensoverschrijdende aanwending van dwangmiddelen in een technologische omgeving. Concreet dient men daarbij te denken aan de interceptie van telecommunicatieverkeer, elektronische bewaking van informatienetwerken, de zoeking en inbeslagneming in informaticaomgevingen, enz.[219]

Op 14 april 1997 presenteerde het “Committee of Experts on Crime in Cyberspace”[220], ook wel “PC-CY” genoemd, een “Green Paper on the protection of minors and human dignity in audiovisual and information services”.[221] De redactieleden stellen in de inleiding dat twee belangrijke uitdagingen onderzocht worden in de “Green Paper”. Het betreft enerzijds de bescherming van minderjarigen en anderzijds de vrijwaring van de menselijke waardigheid.

Het Comité diende uiterlijk eind 2000 een ontwerp van een verdrag aan de “Stuurgroep Strafrechtelijke Vraagstukken” van de Raad van Europa voor te leggen. Naast de grote Europese landen als Frankrijk, Duitsland en Engeland, werden niet-leden van de Raad nauw betrokken als waarnemer bij de werkzaamheden. De belangrijkste zijn de VS, Canada, Japan, Zuid-Afrika, de Europese Commissie, de OESO en de UNESCO. Daarnaast namen onafhankelijke wetenschappelijke experts aan de beraadslagingen deel.

In April 2000 werd een ontwerptekst van de Cybercrime-Conventie[222] vrijgegeven en gepubliceerd. Deze ongewone stap werd gezet zodat specialisten van over de hele wereld commentaar konden geven op de bepalingen van de ontwerptekst. Een jaar later werden experten uitgenodigd op een speciale hoorzitting.

Uiteindelijk werd de verdragstekst aangenomen door de Assemblée in april 2001. De ondertekening gebeurde door 26 lidstaten van de Raad van Europa te Boedapest op 23 november 2001.[223] Op 1 mei 2002 hadden reeds 33 staten het Verdrag ondertekend.[224] Voor de inwerkingtreding van de Cybercrime-Conventie[225] zijn minstens vijf ratificaties vereist waarvan drie dienen te gebeuren door lidstaten van de Raad van Europa.

2.2. Bespreking van het Cybercrime-Verdrag

2.2.1. Objectieven

Een eerste objectief van dit verdrag is dat in alle Europese landen een gelijkaardige wetgeving wordt uitgevaardigd die toelaat specifieke inbreuken m.b.t. de vertrouwelijkheid, integriteit of beschikbaarheid van gegevens en vervalsing, bedrog of oplichting met behulp van computers te bestraffen. Hetzelfde wordt overeengekomen voor niet-specifieke informaticamisdrijven, zoals deze die betrekking hebben op kinderpornografie of auteursrechtelijke inbreuken.

In de tweede plaats wil men via het verdrag bereiken dat in alle Europese landen de strafprocedure wordt aangepast aan het gebruik van informatica, zodat naast huiszoekingen ook opsporingen in bedrijfsnetwerken mogelijk worden. Een derde objectief is de bevordering van de internationale samenwerking. Daarom komen de deelnemende landen overeen dat ze onder bepaalde voorwaarden tot uitlevering van verdachten zullen overgaan. Ook worden een aantal vormen van wederzijdse samenwerking afgesproken met een contactpunt dat permanent bereikbaar moet zijn.[226]

2.2.2. Innovaties?

Het Cybercrime-Verdrag, waar vier jaar aan gewerkt is, verbiedt onder meer fraude, hacken en het bezitten, maken en verspreiden van kinderpornografie en virussen. Ook schending van het auteursrecht en merkenrecht wordt strafbaar gesteld. Het verdrag regelt ook dat rechtspersonen aansprakelijk kunnen worden gesteld voor schade die ontstaat door bijvoorbeeld hacken. Als een werknemer van een bedrijf aan het hacken slaat of als een bedrijf zijn systemen aantoonbaar onvoldoende heeft beveiligd waardoor een werknemer op een ander computernetwerk kan inbreken, moet de betreffende onderneming de schade betalen.

In veel landen die het verdrag ondertekenen zijn de meeste van de genoemde misdaden al strafbaar. Het verdrag is vooral bedoeld om bestaande wetgeving te harmoniseren en internationale samenwerking gemakkelijker te maken. Hoewel het verdrag zeer breed is, wordt over racisme en antisemitisme gezwegen.

2.2.3. Amerikaanse druk

Onder druk van de Verenigde Staten bevat het verdrag geen passage die racistische en antisemitische uitlatingen op Internet verbiedt. In de VS zijn racistische uitlatingen toegestaan omdat ze volgens de algemene consensus onder de vrijheid van meningsuiting vallen. Websites van neonazi-groeperingen en Holocaust-ontkenners zijn er legaal. Veel Europese rechtsextremisten hebben hun websites bij Amerikaanse bedrijven ondergebracht om aan strafrechtelijke vervolging in hun eigen land te ontkomen.

2.2.4. “First Additional Protocol to the Convention on Cybercrime”

Binnen afzienbare tijd komt er een protocol bij het Cybercrime-Verdrag voor landen die willen samenwerken om racisme en antisemitisme op Internet te bestrijden. In dit verband kan verwezen worden naar de zeer recente werkzaamheden van het “Committee of Experts on the Criminalisation of Acts of Racist of Xenophobic Nature committed through Computer Networks” (PC-RX).[227]

2.2.5. Kritische bemerkingen

Door racisme in een apart protocol op te nemen, kunnen de VS zich wel bij het Cybercrime-Verdrag aansluiten. De Raad van Europa is m.i. niet in staat geweest de Amerikanen haar wil op te leggen. Als de Amerikanen het verdrag niet zouden ondertekenen, zou het weinig waarde hebben, dacht men. Het is jammer dat de Europese landen niet beter hebben onderhandeld. Waarom deed de Raad van Europa niet beter haar best om de Amerikanen duidelijk te maken hoe men hier denkt over racisme en antisemitisme?

In de Europese Unie gaat men bovendien verder dan de Raad van Europa. Men deed immers een studie naar de wetgeving die in de verschillende lidstaten inzake informaticacriminaliteit werd uitgevaardigd. Op basis van deze analyse, onderzoekt men verschillende mogelijkheden die de EU kan nemen om computercriminaliteit te bestrijden.

In de EU zal de onderlinge afstemming van de wetgeving verder gaan dan in het verdrag van de Raad van Europa. Internationale afstemming zal in deze laatste de facto tot een minimum beperkt blijven.