Werknemer vrijgesproken van computervredebreuk, wel veroordeeld voor het overnemen van vertrouwelijke bestanden

Pleegt een werknemer die met zijn eigen inloggegevens bestanden raadpleegt die hij niet direct nodig heeft computervredebreuk, en is het strafbaar dat hij vertrouwelijke bestanden buiten de beveiligde werkomgeving naar externe harde schijven kopieert?

De rechtbank spreekt de verdachte vrij van computervredebreuk (artikel 138ab Sr): het raadplegen van bestanden die niet direct nodig waren voor zijn functie was hier 'grasduinen' en geen wederrechtelijk binnendringen met een valse sleutel. Wel acht de rechtbank bewezen dat hij in 2021 en 2024 opzettelijk en wederrechtelijk niet-openbare gegevens voor zichzelf heeft overgenomen, door vertrouwelijke ontwerpdocumenten en softwarecode buiten de virtuele werkomgeving (VDI) naar externe harde schijven te kopiëren. De straf is een taakstraf van 60 uur, subsidiair 30 dagen hechtenis; de officier van justitie had 3 jaar gevangenisstraf geëist, waarvan 1 jaar voorwaardelijk.

De rechtbank volgt het kader van de Hoge Raad over misbruik van een verleende autorisatie (HR 30 november 2021, ECLI:NL:HR:2021:1691). De verdachte had toegang en een niet weerlegde verklaring: hij bekeek de bestanden ter voorbereiding op een mogelijke overstap naar een ander cluster en uit technische interesse. Niet is gebleken dat hij het systeem oneigenlijk wilde gebruiken, dus was er geen wederrechtelijk binnendringen; voor 2021 bleek niet ondubbelzinnig dat de bestanden niet nodig waren voor zijn functie. Strafbaar was het kopiëren buiten de beveiligde omgeving: gelet op de getekende geheimhoudingsverklaring met de gedragscode, de gevolgde training en de instructie moet hij hebben geweten dat dit niet was toegestaan. Bij de straf weegt mee dat hij niet eerder is veroordeeld, zijn baan kwijt is en dat niet is gebleken van een financieel motief, verspreiding of substantieel nadeel.

Bestanden bekijken waar iemand met zijn eigen inlog bij kan, is niet snel computervredebreuk: daarvoor moet vaststaan dat hij zijn autorisatie misbruikt, en 'grasduinen' was hier niet genoeg. Strafbaar was wel het kopiëren van vertrouwelijke bestanden buiten de beveiligde omgeving, omdat de werknemer door geheimhoudingsverklaring, gedragscode, training en instructie wist dat dit niet mocht.

Leg in een geheimhoudingsverklaring, gedragscode en instructie vast welke bestanden medewerkers niet mogen kopiëren of buiten de beveiligde omgeving mogen brengen, en zorg dat ze daarvoor tekenen en getraind worden. Leg ook vast welke toegang voor welke functie nodig is.

Dit is geen AI-zaak. De uitspraak laat zien waar de grens tussen rondkijken en strafbaar handelen lag: niet bij de toegang, maar bij het meenemen van vertrouwelijke gegevens terwijl duidelijk was dat dat niet mocht. Voor werkgevers telt daarom niet alleen technische toegangscontrole, maar ook aantoonbare afspraken over wat medewerkers met gegevens mogen doen.