Een lezer vroeg me:
Er zijn cybersecuritybedrijven die gestolen wachtwoorden en andere gegevens uit datalekken verzamelen, bijvoorbeeld via het darkweb of Telegram. Ze maken deze gegevens doorzoekbaar en verkopen aan bedrijven informatie over gelekte accounts van hun medewerkers. Maar het blijven gestolen persoonsgegevens, waarvan de betrokkenen vaak niet eens weten dat ze worden verwerkt. Mag dit zomaar van de AVG? En is het niet een vorm van digitale heling?
Het klinkt wat tegenstrijdig, maar juist door gestolen gegevens te verzamelen kunnen beveiligingsbedrijven veel schade voorkomen. Denk aan een werknemer wiens laptop besmet raakt met malware die wachtwoorden steelt. Door die gegevens terug te vinden, kan de werkgever tijdig accounts blokkeren en wachtwoorden laten wijzigen. Ook de werknemer profiteert hiervan, omdat bijvoorbeeld zijn privéaccounts gecompromitteerd kunnen zijn.
Strafrechtelijk bestaat er inderdaad zoiets als digitale heling. Artikel 139g Strafrecht verbiedt het verwerven, bezitten en verhandelen van niet-openbare gegevens waarvan je weet of moet vermoeden dat ze door een misdrijf zijn verkregen. Maar gegevens die al openbaar op internet staan, vallen hier niet onder. En voor niet-openbare gegevens kent de wet een uitzondering wanneer iemand te goeder trouw mocht aannemen dat het algemeen belang het gebruik noodzakelijk maakte. Het waarschuwen voor beveiligingsincidenten kan daaronder vallen, ook als er een commercieel motief mee gediend is.
Dan de AVG. Die erkent in overweging 49 uitdrukkelijk dat netwerk- en informatiebeveiliging een gerechtvaardigd belang kan opleveren. Toestemming van iedere betrokken werknemer is dus niet per definitie nodig. Wel moet de verwerking noodzakelijk en proportioneel zijn. Een werkgever waarschuwen dat een zakelijk account is gehackt, is iets heel anders dan hem de complete browsergeschiedenis en privéwachtwoorden van zijn medewerker verstrekken.
Daar komt bij dat het Hof van Justitie recent heeft geoordeeld dat wie weet dat persoonsgegevens eerder onrechtmatig zijn verzameld, zich voor het vervolgens gebruiken daarvan niet op het gerechtvaardigd belang kan beroepen (NTH Haustechnik, r.o. 112). De context was weliswaar of de rechter zulke stukken als bewijs mocht toelaten, maar de redenering is algemeen: je belang is niet gerechtvaardigd als je begint met onrechtmatig verkregen gegevens.
Ik denk dat dit oordeel de commerciële handel in gestolen gegevens behoorlijk onder druk zet. Bij infostealer-logs weet de aanbieder immers dat de gegevens door malware zijn buitgemaakt. Dat een beveiligingsbedrijf hiermee anderen wil beschermen, maakt het opnieuw verzamelen van die gegevens niet rechtmatig. Het gerechtvaardigd belang is daarvoor volgens het Hof geen beschikbare grondslag.
Een andere AVG-grondslag voor het systematisch binnenhalen en indexeren van complete gestolen datasets zie ik niet snel. Anders ligt het bij een werkgever die eigen beveiligingslogs analyseert, of een meldpunt dat op basis van door slachtoffers verstrekte informatie anderen waarschuwt. Daarvoor kan het gerechtvaardigd belang nog steeds een geschikte grondslag zijn.
Arnoud
