Inbeslagname van ‘Antifa-server’ in Amsterdam na Amerikaans rechtshulpverzoek roept vragen op over privacy, rechtsbescherming en internationale samenwerking

De Amsterdamse politie heeft op verzoek van de Amerikaanse autoriteiten een server van de Italiaanse internetdienstverlener Autistici/Inventati (A/I) in beslag genomen. De gegevens op de server worden mogelijk beschikbaar gesteld aan de Verenigde Staten. Hoewel het Openbaar Ministerie (OM) stelt dat de inbeslagname een juridische grondslag heeft, is niet duidelijk welke informatie de Amerikaanse autoriteiten precies hebben opgevraagd, welke gegevens worden onderzocht en onder welke voorwaarden die informatie eventueel wordt gedeeld. De zaak roept daardoor belangrijke vragen op over internationale rechtshulp, digitale privacy, de vrijheid van meningsuiting en de bescherming van politieke organisaties en internetgebruikers.

Een server in beslag genomen op verzoek van de Verenigde Staten

De Amsterdamse politie heeft op het Amsterdam Science Park een server in beslag genomen die eigendom is van of werd gebruikt door Autistici/Inventati (A/I), een Italiaanse internetdienstverlener die hostingdiensten aanbiedt aan uiteenlopende groepen en organisaties.

De inbeslagname vond plaats naar aanleiding van een rechtshulpverzoek van de Verenigde Staten. Bij internationale rechtshulp kunnen landen elkaar ondersteunen bij strafrechtelijke onderzoeken. Dat kan bijvoorbeeld betekenen dat een land bewijsmateriaal verzamelt, digitale gegevens veiligstelt, documenten opvraagt of voorwerpen in beslag neemt ten behoeve van een strafzaak in een ander land.

In deze zaak bestaat de mogelijkheid dat een kopie van de gegevens op de server uiteindelijk met de Amerikaanse autoriteiten wordt gedeeld. Het is echter niet duidelijk of dat inmiddels is gebeurd, welke gegevens daarvoor in aanmerking komen en of de Nederlandse autoriteiten eerst zelfstandig onderzoek uitvoeren.

Juist die onduidelijkheid vormt een belangrijk onderdeel van de ontstane discussie. De inbeslagname heeft niet alleen gevolgen voor de betrokken internetdienstverlener, maar kan ook gevolgen hebben voor de organisaties, activisten en andere gebruikers van wie gegevens op de server staan.

Wat is Autistici/Inventati?

Autistici/Inventati, doorgaans afgekort tot A/I, is een Italiaanse internetdienstverlener die ongeveer 25 jaar geleden werd opgericht door een groep vrijwilligers. De organisatie biedt digitale infrastructuur aan voor websites en andere online diensten, met bijzondere aandacht voor groepen die zich bezighouden met antifascisme, anarchisme, sociale bewegingen en politieke activistische activiteiten.

Volgens de aangeleverde informatie maken wereldwijd ongeveer twintigduizend groepen gebruik van de diensten van A/I. Het gaat daarbij om uiteenlopende websites en organisaties die de infrastructuur van de dienstverlener gebruiken om hun informatie en activiteiten online beschikbaar te maken.

A/I vervult daarmee in de eerste plaats een technische functie: de organisatie biedt de middelen waarmee gebruikers hun eigen websites en digitale diensten kunnen beheren. Dat betekent niet automatisch dat A/I verantwoordelijk is voor alle standpunten, publicaties of activiteiten van de organisaties die van de infrastructuur gebruikmaken.

Dat onderscheid is van belang voor de beoordeling van de Amerikaanse maatregelen. Een internetdienstverlener kan technisch onderdak bieden aan een grote verscheidenheid aan gebruikers zonder zelf alle inhoud te onderschrijven of rechtstreeks betrokken te zijn bij de activiteiten van die gebruikers.

De kwestie raakt daarom aan een bredere vraag: in hoeverre kan een hostingbedrijf verantwoordelijk worden gehouden voor de activiteiten of uitingen van de groepen die zijn diensten gebruiken?

Waarom beschouwen de Verenigde Staten A/I als een terroristische organisatie?

De Amerikaanse autoriteiten hebben A/I eind augustus op een Amerikaanse terreurlijst geplaatst. Volgens de beschreven gang van zaken hangt die aanwijzing samen met de vermeende ondersteuning van antifascistische en anarchistische groepen en de relatie die de Amerikaanse overheid legt tussen dergelijke groepen, Antifa en terrorisme.

De Amerikaanse overheid beschouwt Antifa als een terroristische organisatie en stelt dat de dienstverlening van A/I activiteiten faciliteert die zij als terroristisch aanmerkt.

Het is daarbij belangrijk om onderscheid te maken tussen het Amerikaanse standpunt en wat daarmee onafhankelijk is vastgesteld. De plaatsing op een Amerikaanse lijst is een maatregel van de Amerikaanse autoriteiten. Die kwalificatie betekent niet automatisch dat A/I naar Nederlands recht als terroristische organisatie is aangemerkt, noch dat daarmee vaststaat dat de internetdienstverlener zelf strafbare feiten heeft gepleegd.

Ook moet onderscheid worden gemaakt tussen het bieden van technische infrastructuur en het bewust ondersteunen van concrete strafbare activiteiten. Dat een dienstverlener websites host die verband houden met een politieke beweging, is op zichzelf niet hetzelfde als het plegen van terroristische misdrijven.

Om de juridische betekenis van de Amerikaanse aanwijzing goed te kunnen beoordelen, zijn onder meer de precieze gronden voor de plaatsing, de toepasselijke Amerikaanse regels en de eventuele Nederlandse strafrechtelijke verdenkingen van belang. Die details zijn in de beschreven zaak niet openbaar gemaakt.

Hoe werkt een internationaal rechtshulpverzoek?

Wanneer de autoriteiten van een land informatie nodig hebben voor een strafrechtelijk onderzoek, kunnen zij de autoriteiten van een ander land om rechtshulp verzoeken. Dat gebeurt op basis van toepasselijke wetgeving en internationale afspraken.

Een dergelijk verzoek kan betrekking hebben op uiteenlopende vormen van bewijsvergaring. Bij digitale onderzoeken kan het bijvoorbeeld gaan om het veiligstellen van servers, het verkrijgen van opgeslagen communicatie of het onderzoeken van gegevens die relevant kunnen zijn voor een strafzaak.

De Nederlandse autoriteiten beoordelen binnen het toepasselijke juridische kader hoe met een buitenlands verzoek moet worden omgegaan. Daarbij kunnen wettelijke voorwaarden, bevoegdheidsregels en eventuele weigeringsgronden een rol spelen.

Het bestaan van een rechtshulpverzoek betekent dus niet zonder meer dat iedere gevraagde handeling automatisch moet worden uitgevoerd. De beoordeling hangt af van de toepasselijke regels, de inhoud van het verzoek en de omstandigheden van de zaak.

Het Openbaar Ministerie heeft laten weten dat de inbeslagname in deze kwestie een juridische grondslag heeft. Volgens een woordvoerder was er geen toepasselijke weigeringsgrond die ertoe leidde dat het verzoek moest worden afgewezen.

Het OM heeft echter niet bekendgemaakt wat de Amerikaanse autoriteiten precies hebben gevraagd. Daardoor kan van buitenaf niet volledig worden beoordeeld welke belangen zijn afgewogen, welke wettelijke bepalingen zijn toegepast en welke beperkingen eventueel aan de uitvoering van het verzoek zijn verbonden.

Dat maakt het lastig om vast te stellen hoe ruim het verzoek was en of de inbeslagname uitsluitend betrekking had op gegevens die relevant kunnen zijn voor een specifiek strafrechtelijk onderzoek.

Waarom neemt de geheimhouding rond het verzoek de zorgen niet weg?

Een belangrijk discussiepunt is dat het OM weinig informatie heeft verstrekt over de inhoud van het Amerikaanse verzoek en de precieze uitvoering daarvan.

Bij strafrechtelijke onderzoeken kan geheimhouding noodzakelijk zijn. Het openbaar maken van onderzoeksinformatie kan bijvoorbeeld een lopend onderzoek schaden, de opsporing bemoeilijken of de rechten van betrokkenen aantasten.

Tegelijkertijd kan geheimhouding het voor burgers, organisaties en onafhankelijke deskundigen moeilijk maken om te controleren of overheidsinstanties zorgvuldig en proportioneel handelen.

In deze zaak blijven daardoor verschillende belangrijke vragen onbeantwoord. Welke feiten liggen aan het Amerikaanse verzoek ten grondslag? Welke gegevens zijn volgens de Amerikaanse autoriteiten noodzakelijk? Wordt de volledige server onderzocht of worden alleen bepaalde gegevens geselecteerd? En welke waarborgen voorkomen dat informatie van niet-verdachte gebruikers onnodig wordt ingezien of gedeeld?

Zonder nadere informatie kan niet worden vastgesteld dat de Nederlandse autoriteiten onrechtmatig hebben gehandeld. Maar evenmin is het mogelijk om op basis van de beschikbare toelichting alle zorgen over de reikwijdte en de gevolgen van de inbeslagname weg te nemen.

De discussie gaat daarom niet uitsluitend over de vraag of de politie bevoegd was om de server mee te nemen. Ook de manier waarop die bevoegdheid wordt toegepast en de bescherming van de gegevens van derden zijn van belang.

Worden de gegevens rechtstreeks aan de Verenigde Staten verstrekt?

Na de eerste berichtgeving over de inbeslagname ontstond onrust over de mogelijkheid dat de gegevens op de server aan de Amerikaanse autoriteiten zouden worden overgedragen.

Het OM heeft daarop aangegeven dat de gegevens niet rechtstreeks of onmiddellijk met de Verenigde Staten worden gedeeld. Die toelichting maakt echter niet duidelijk wat er vervolgens met de gegevens gebeurt.

Het is bijvoorbeeld niet bekend of de Nederlandse politie eerst een eigen onderzoek uitvoert, of er een selectie wordt gemaakt van relevante bestanden en of gegevens die geen verband houden met het onderzoek buiten beschouwing blijven.

Ook is niet duidelijk wanneer de Amerikaanse autoriteiten eventueel toegang krijgen tot de gegevens, welke voorwaarden daarbij gelden en welke mogelijkheden betrokkenen hebben om tegen de verstrekking van hun gegevens op te komen.

Het verschil tussen onmiddellijke overdracht en overdracht na een Nederlandse beoordelingsstap is wezenlijk. Wanneer Nederlandse autoriteiten eerst beoordelen welke gegevens relevant zijn en welke gegevens rechtmatig mogen worden verstrekt, kan dat een extra waarborg vormen. Of en in welke vorm zo'n beoordeling in deze zaak plaatsvindt, is op basis van de beschikbare informatie niet vast te stellen.

Daarom kan op dit moment niet zonder meer worden geconcludeerd dat de gegevens al met de Verenigde Staten zijn gedeeld. Evenmin kan worden uitgesloten dat dit later alsnog gebeurt.

Waarom een volledige server gevoelige informatie kan bevatten

Een server is niet noodzakelijk één afzonderlijk bestand of één afgebakende verzameling gegevens. Afhankelijk van de technische inrichting kan een server informatie bevatten van veel verschillende gebruikers en organisaties.

Denk aan websitebestanden, configuratiegegevens, logbestanden, accountinformatie, technische gegevens over verbindingen en mogelijk andere opgeslagen informatie. Welke categorieën daadwerkelijk op de in beslag genomen server aanwezig zijn, is niet bekendgemaakt.

Dat is van belang omdat gegevens van een hostingbedrijf niet alleen informatie kunnen bevatten over een eventuele verdachte, maar ook over mensen en organisaties die geen enkele betrokkenheid hebben bij de aanleiding voor het onderzoek.

Wanneer meerdere organisaties dezelfde infrastructuur gebruiken, kan een inbeslagname bovendien gevolgen hebben voor hun bereikbaarheid, hun dienstverlening en de vertrouwelijkheid van hun gegevens.

Het is daarom relevant om onderscheid te maken tussen het veiligstellen van een server als bewijsmiddel en het onbeperkt doorzoeken of verstrekken van alle gegevens die daarop aanwezig zijn. De juridische voorwaarden voor onderzoek en gegevensverstrekking zijn afhankelijk van de concrete bevoegdheid en omstandigheden.

Een zorgvuldige aanpak vereist dat de omvang van het onderzoek en de verwerking van gegevens in verhouding staan tot het doel waarvoor de maatregel is genomen. Ook moet worden voorkomen dat informatie van niet-betrokken gebruikers zonder voldoende noodzaak wordt ingezien of verspreid.

Wanneer is het in beslag nemen van een server gerechtvaardigd?

Dat een server door verschillende organisaties wordt gebruikt, betekent niet dat de politie deze nooit in beslag zou mogen nemen. Er kunnen goede redenen bestaan om digitale gegevens veilig te stellen.

Rejo Zenger van burgerrechtenorganisatie Bits of Freedom wijst erop dat de beoordeling sterk afhangt van de aanleiding en het doel van de maatregel. Wanneer bijvoorbeeld een ernstig geweldsdelict is gepleegd en er een concrete verdenking bestaat dat een server belangrijke aanwijzingen over de dader bevat, kan inbeslagname gerechtvaardigd zijn.

In een dergelijke situatie kan het veiligstellen van digitale gegevens noodzakelijk zijn om bewijsverlies te voorkomen en een strafrechtelijk onderzoek mogelijk te maken.

De beoordeling wordt ingewikkelder wanneer de maatregel verband houdt met politieke organisaties, activistische bewegingen of de inhoud van websites. Dan is extra aandacht nodig voor de vraag of de maatregel noodzakelijk is, of er minder ingrijpende alternatieven bestaan en welke gevolgen de maatregel heeft voor mensen die niet van een strafbaar feit worden verdacht.

Zenger waarschuwt dat overheidsinstanties niet zouden moeten meewerken aan maatregelen die in werkelijkheid bedoeld zijn om politieke tegenstanders het leven moeilijk te maken.

Dat is geen vaststelling dat de inbeslagname van A/I daadwerkelijk een dergelijke politieke bedoeling heeft. De precieze motieven en omstandigheden van het Amerikaanse verzoek zijn immers niet openbaar. Het is wel een belangrijke normatieve vraag die de zaak oproept: hoe voorkomen overheden dat strafrechtelijke samenwerking wordt gebruikt op een manier die de vrijheid van politieke meningsuiting of legitiem activisme onevenredig beperkt?

Vrijheid van meningsuiting en politieke activiteiten

De zaak raakt aan fundamentele rechten, waaronder de vrijheid van meningsuiting, de vrijheid van vereniging en de bescherming van persoonsgegevens.

Deze rechten betekenen niet dat politieke organisaties of internetdienstverleners zijn vrijgesteld van strafrechtelijk onderzoek. Wanneer er voldoende juridische gronden bestaan, kunnen ook organisaties die zich met politieke of maatschappelijke onderwerpen bezighouden aan onderzoek worden onderworpen.

Tegelijkertijd moeten maatregelen van overheden binnen de geldende rechtsregels blijven. Politieke overtuigingen of het publiceren van controversiële standpunten mogen niet zonder meer worden gelijkgesteld aan strafbaar handelen.

Daarom is het van belang om de concrete verdenking, de noodzaak van de inbeslagname en de omvang van de gegevensverwerking te onderscheiden van de politieke identiteit van de gebruikers.

Als een server gegevens bevat van duizenden groepen, kan een maatregel die formeel op één onderzoek is gericht in de praktijk een veel grotere groep mensen raken. Dat kan ook gevolgen hebben voor de bereidheid van organisaties om gebruik te maken van digitale diensten, vooral wanneer zij vrezen dat hun gegevens zonder voldoende waarborgen bij buitenlandse overheden terechtkomen.

Een dergelijke terughoudendheid kan op haar beurt invloed hebben op de manier waarop maatschappelijke organisaties hun activiteiten online organiseren.

A/I besluit te stoppen

De Amerikaanse aanwijzing heeft volgens de beschreven informatie ook gevolgen gehad voor het voortbestaan van A/I zelf.

Eind augustus werd bekend dat de organisatie op de Amerikaanse terreurlijst was geplaatst. Kort daarna besloot A/I zijn activiteiten te beëindigen. De organisatie gaf aan dat zij haar gebruikers en mensen in haar directe omgeving wilde beschermen tegen mogelijke juridische en financiële gevolgen.

Volgens A/I kon het voortzetten van de dienstverlening risico's opleveren voor mensen die bij de organisatie betrokken zijn, maar ook voor mensen die slechts indirect met haar verbonden zijn.

Het besluit om te stoppen werd daarmee niet alleen gepresenteerd als een organisatorische keuze, maar ook als een reactie op de mogelijke gevolgen van de Amerikaanse maatregelen.

Na de aankondiging begon A/I met het sluiten van servers en het wissen van harde schijven. Dat proces moest bijdragen aan de beëindiging van de dienstverlening en de bescherming van de gebruikers.

In Nederland was dat proces nog niet afgerond toen de betrokken server in beslag werd genomen. Toen de server zou worden opgehaald, bleek dat de politie deze al had meegenomen. Volgens de beschreven gang van zaken waren de betrokkenen daar niet vooraf over geïnformeerd.

Hierdoor ontstond een situatie waarin de organisatie bezig was haar infrastructuur af te bouwen, terwijl een deel van die infrastructuur door de Nederlandse autoriteiten werd veiliggesteld voor een buitenlands strafrechtelijk onderzoek.

De precieze juridische en technische gevolgen daarvan zijn niet volledig duidelijk. Het is bijvoorbeeld niet bekend welke gegevens nog aanwezig waren, welke informatie al was verwijderd en welke gevolgen de inbeslagname heeft gehad voor het geplande beëindigingsproces.

Zorgen binnen de Nederlandse internetsector

Ook de Dutch Cloud Community (DCC), de branchevereniging voor Nederlandse cloud- en internetdienstverleners, heeft zorgen geuit over de zaak.

De vereniging noemt de plaatsing van A/I op de Amerikaanse terreurlijst uitzonderlijk. Volgens de DCC worden internetdienstverleners doorgaans niet verantwoordelijk gehouden voor alles wat hun gebruikers online publiceren.

Dat standpunt sluit aan bij een fundamenteel onderscheid binnen de digitale sector: de partij die de technische infrastructuur levert, is niet noodzakelijk dezelfde partij die de inhoud produceert of bepaalt.

Wanneer hostingbedrijven zonder voldoende onderscheid verantwoordelijk zouden worden gehouden voor alle activiteiten van hun gebruikers, kan dat verstrekkende gevolgen hebben voor de organisatie van het internet. Dienstverleners zouden dan mogelijk een grotere druk voelen om klanten te weigeren, websites te verwijderen of gegevens te verstrekken uit vrees voor juridische of financiële consequenties.

De DCC vraagt daarom om meer duidelijkheid van de betrokken partijen. De branchevereniging wil weten wat er precies is gebeurd, op welke juridische gronden de Nederlandse autoriteiten hebben gehandeld en welk precedent deze zaak kan scheppen.

Die vragen zijn ook relevant voor andere hostingbedrijven en cloudproviders die infrastructuur aanbieden aan maatschappelijke organisaties, politieke bewegingen, journalisten en andere groepen.

Welk precedent kan deze zaak scheppen?

De inbeslagname kan gevolgen hebben die verder reiken dan de specifieke server van A/I. De zaak maakt duidelijk dat internationale strafrechtelijke samenwerking ook betrekking kan hebben op digitale infrastructuur die door een groot aantal verschillende organisaties wordt gebruikt.

Dat is op zichzelf niet uitzonderlijk: digitale gegevens kunnen belangrijk bewijsmateriaal zijn en internationale onderzoeken kunnen grensoverschrijdende samenwerking noodzakelijk maken.

De gevoeligheid ontstaat vooral wanneer verschillende factoren samenkomen: een buitenlandse overheid kwalificeert een organisatie als terroristisch, een Nederlandse autoriteit neemt infrastructuur op Nederlands grondgebied in beslag en gegevens van meerdere gebruikers kunnen mogelijk bij die buitenlandse overheid terechtkomen.

Daarmee ontstaat de vraag hoe zorgvuldig wordt vastgesteld welke gegevens daadwerkelijk nodig zijn en welke bescherming geldt voor mensen die niet zelf onderwerp van het onderzoek zijn.

Ook speelt de vraag welke betekenis een buitenlandse terreuraanwijzing heeft binnen de Nederlandse rechtsorde. Een besluit van een buitenlandse overheid kan aanleiding geven tot juridische procedures of internationale samenwerking, maar de gevolgen ervan moeten worden beoordeeld binnen het toepasselijke Nederlandse en internationale recht.

Een zorgvuldige behandeling van dergelijke verzoeken is van belang om te voorkomen dat buitenlandse kwalificaties zonder voldoende onafhankelijke beoordeling leiden tot ingrijpende maatregelen tegen organisaties of gebruikers in Nederland.

Welke vragen zijn nog onbeantwoord?

Op basis van de beschikbare informatie zijn verschillende belangrijke punten nog niet opgehelderd:

1. Wat was de precieze aanleiding voor het Amerikaanse rechtshulpverzoek? Het is niet bekend welke feiten of verdenkingen eraan ten grondslag liggen.
2. Welke gegevens wilden de Amerikaanse autoriteiten verkrijgen? Onduidelijk is of het verzoek betrekking heeft op specifieke bestanden, bepaalde gebruikers of een bredere verzameling gegevens.
3. Waarom was inbeslagname noodzakelijk? Het is niet bekend of minder ingrijpende alternatieven zijn overwogen, zoals het veiligstellen van bepaalde gegevens in plaats van de volledige server.
4. Welke Nederlandse beoordeling heeft plaatsgevonden? Het OM stelt dat de inbeslagname een juridische basis heeft, maar de precieze motivering en de toegepaste waarborgen zijn niet openbaar gemaakt.
5. Worden de gegevens eerst door Nederlandse autoriteiten onderzocht? Het OM heeft aangegeven dat de gegevens niet direct met de Verenigde Staten worden gedeeld, maar verdere details ontbreken.
6. Welke informatie wordt eventueel aan de Verenigde Staten verstrekt? Het is niet duidelijk of een selectie wordt gemaakt en hoe wordt omgegaan met gegevens die geen verband houden met het onderzoek.
7. Welke bescherming hebben niet-betrokken gebruikers? Er is geen volledige openbare toelichting beschikbaar over de manier waarop de privacy en vertrouwelijkheid van andere klanten worden beschermd.
8. Welke gevolgen heeft de maatregel voor de beëindiging van A/I? De precieze gevolgen voor het verwijderen van gegevens, het sluiten van infrastructuur en het beschermen van gebruikers zijn niet duidelijk.
9. Welke mogelijkheden hebben betrokken organisaties om bezwaar te maken? Op basis van de beschikbare informatie kan niet worden vastgesteld welke rechtsmiddelen in deze concrete situatie openstaan en wie daarvan gebruik kan maken.
10. Wat betekent de zaak voor andere Nederlandse hostingbedrijven? De branche wil duidelijkheid over de grenzen van internationale rechtshulp en de verantwoordelijkheden van dienstverleners die infrastructuur aanbieden aan politieke of maatschappelijke organisaties.

Deze vragen kunnen niet allemaal worden beantwoord zonder nadere informatie van de betrokken autoriteiten en organisaties.

Door: Drifter