De politie kon de afperser van Campina - alias de 'toetjesterrorist' - in de kraag vatten door een combinatie van diens naïviteit en 'toevallig' beschikbare gegevens. Betalingsverkeer en marketing vormen fraaie hulpmiddelen voor de opsporing. Of: hoe het Mevis-rapport al praktijk wordt.
Niet alleen door een lekkende anonymizer liep de Campina-afperser tegen de lamp, maar ook door gegevens van De Telegraaf, van de banken en van de provider. En Albert Heijn verschafte gegevens over kopers van de vergiftigde toetjes zodat deze te traceren waren. Dit doel heiligde veel middelen.
Afgelopen week werd bekend dat de politie 27.600 telefoongesprekken aftapte om vrouwenhandelaren te kunnen vangen. Goed gedaan, laat ze maar 20 jaar zitten, is een voor de hand liggende reactie. Maar bij een flink deel van de telefoontjes was er aan de andere kant van de lijn een persoon die geen verdachte was. Ook hier heiligde het doel veel middelen.
De Telegraaf kreeg een gerechtelijk bevel om bezoekersgegevens van de website Autotelegraaf.nl vast te houden. Dat gebeurde een paar dagen voordat de afgesproken foto met gestenografeerde gegevens geplaatst zou worden. Het ging, zegt De Telegraaf, om de logfiles met IP-nummers. "De politie heeft enkel de bestanden met IP-nummers genomen en geen combinatie gemaakt met onze klantgegevens", aldus woordvoerder Hans Elekan.
Verkeersgegevens zijn voor commerciële sites zoals Autotelegraaf.nl belangrijk om beslissingen te nemen. Bij dergelijke websites met 'personalisatie' - dat wil zeggen: toegesneden op individuele gebruikers - is het surfpatroon van elke bezoeker afzonderlijk te herleiden. Officieel komen deze gegevens voor justitie pas in deze vorm beschikbaar indien providers ze moeten gaan bewaren. Justitie wil dat dit wettelijk wordt geregeld.
Nu kon Justitie bij de provider, in dit geval Planet Media Group, enkel naam, adres en woonplaats van de verdachte vragen, met een gerechtelijk bevel in de hand. Het was een specifieke vraag met een duidelijk doel. Dat is niet het geval bij elk verzoek van justitie. In die gevallen zal de provider afwegen of hij wel of niet de gevraagde gegevens in overeenstemming acht met de vordering van de rechter-commissaris.
Banken: muur en kastje
De afperser is uiteindelijk tijdens het pinnen gegrepen. Het zou gaan om de Rabobank of ABN Amro. Hun betalingsverkeer regelen ze via Interpay, afspraken over beveiliging en contacten met justitie maken ze via de Nederlandse Vereniging van Banken (NVB). Het is niet zo eenvoudig om erachter te komen bij welke partij nu precies de afspraken liggen en wie er wordt aangesproken in deze gevallen. Navraag bij de betrokkenen leidt tot een estafette langs kastje en muur, maar uiteindelijk besluiten de betrokkenen, met name Interpay en de Nederlandse Vereniging van Banken, wat antwoorden te geven.
Opvallend bij de opsporing was wellicht dat de verdacht continu gevolgd kon worden bij de pinautomaat. Justitie kan inderdaad verordonneren om transacties van een bankrekening continu in de gaten te houden, maar Justitie noch de banken zijn daar erg mededeelzaam over. Banken kunnen alleen transacties volgen als het verkeer binnen hun circuit blijft, dus pinnen van een Raborekening via een Rabo-automaat. Zo niet, dan is het zaak van Interpay, zegt de woordvoerder van Interpay.
Het lijkt een perfect middel om iemand te volgen, vooral in combinatie met plaatsbepaling op de mobiele telefoon. "Maar het gaat om incidenten, het gebeurt heel weinig", beweert de woordvoerder van Interpay in Utrecht. "Het hoeft niet enkel in geval van een misdrijf te zijn. Het kan ook voorkomen bij vermiste personen. Er is geen aparte afdeling voor, het valt binnen ons Risk Management."
Interpay ontkent een rol te hebben gespeeld bij het volgen van de Campina-afperser. Cijfers over de aantallen acties van haar Risk Management - waar ook fraude met creditcards onder valt - wil Interpay niet aan de buitenwereld verschaffen. "Meestal wordt Interpay ingeschakeld als het om grensoverschrijdend bancair- of betalingsverkeer gaat. Dan gaat het om creditcards."
De Nederlandse Vereniging van Banken (NVB) in Amsterdam sloot een convenant met Justitie, zegt directeur Hein Blocks: "Het is de praktische uitwerking van wettelijke regeling. Van onze kant willen we voorkomen dat iedere rechercheur maar overal bij de banken kan aankloppen om informatie. Ten tweede is de privacy in het geding - van logfiles bij passen, maar ook wat betreft het bewaren van videobeelden."
Bij grofweg de helft van alle geldautomaten hangen camera's. De NVB wil de beelden langer kunnen vasthouden dan nu het geval is. Blocks: "We zijn in gesprek met Justitie, want het kan belangrijk zijn om de beelden langer te bewaren. We mogen ze enkel bewaren als de bedrijfsvoering dat vereist, maar het kan uit maatschappelijk belang nodig zijn om ze langer te bewaren."
Of er gebruik is gemaakt van real-time videobeelden bij het inrekenen van de toetjesterrorist kan Blocks niet beamen. Hij weet wel dat voorzichtigheid is geboden: "Eén keer is in het tv-programma Opsporing Verzocht een beeld van een verkeerde persoon getoond."
De NVB en Interpay zijn op de hoogte van de inhoud van het rapport van de commissie-Mevis, waarin ook wordt voorgesteld om Justitie eenvoudiger en sneller toegang te verlenen tot gegevens van banken. De banken zijn er geen principieel tegenstander van, zolang een eventuele toename van de verzoeken om informatie maar goed wordt gecoördineerd, liefst met centrale aanspreekpunten aan beide kanten.
De Bonusopsporing
De slagroom op het toetje in de zaak van de Campina-afperser leverde Albert Heijn: persoonlijke data van de kopers van alle eventueel vergiftigde toetjes. "We hebben Justitie er zelf op geattendeerd dat we dit konden doen toen ze ons inlichtten over de afpersing", aldus de woordvoerster van Albert Heijn in Zaandam.
De geplaagde kruidenier werd geprezen voor deze mogelijkheid, ofschoon zich ook na publicatie nog personen meldden die niet waren getraceerd en wellicht toch slachtoffer waren van vergiftigde toetjes.
Bij het aanvragen van een bonuskaart tekent de klant voor akkoord van de algemene voorwaarden en wordt vanaf dat moment deelgenoot van de marketing van Albert Heijn - nu nog gericht op doelgroepen zoals jonge ouders (luiers) en wijnliefhebbers, maar ook om lokale zaken te melden (winkelverbouwing).
Bovenal vormen de gegevens een belangrijke bron van datamining ten behoeve van het prijsbeleid en een beter toegesneden assortiment. In het kader van de privacywetgeving kun je bij Albert Heijn vragen welke gegevens ze van je bewaren. Zo'n verzoek krijgt AH nooit. En als we het nu eens breed bekendmaken dat dit mogelijk is? "Als het de spuigaten uitloopt, dan zien we wel weer. Overigens zijn aan het opvragen van gegevens door bonuskaarthouders kosten verbonden conform het besluit kostenvergoeding", aldus de woordvoerster.
AH verkoopt de gegevens niet aan zijn leveranciers, en stelt die ook niet gratis ter beschikking. In geval van Campina was het anders: "Wij zijn verplicht volgens artikel 8c van de Wet bescherming persoonsgegevens te verstrekken op bevel of machtiging van de rechter-commissaris. Het is dus voor de politie niet voldoende om zich te beroepen op artikel 96 van het Wetboek van Strafvordering." In dat artikel staat dat een opsporingsambtenaar beslag kan leggen op gegevensverzamelingen. Hiervan is verschillende malen misbruik gemaakt, meldde het College Bescherming Persoonsgegevens.
Er zijn andere vagere mogelijkheden om gegevens af te staan, namelijk Artikel 8d van de Wbp: "Wij mogen gegevens verstrekken aan justitie (en anderen) indien dit in het vitale belang van de betrokkene is. Hier vallen onder: het verstrekken van NAW-gegevens aan politie/justitie, indien een AH Bonuskaarthouder niet meer weet waar hij woont, of een AH Bonuskaarthouder die een ongeluk heeft gehad en alleen geïdentificeerd kan worden aan de hand van zijn Bonuskaartnummer."
Net als de banken zegt ook Albert Heijn dat ze veel vaker om gegevens wordt gevraagd ingeval van vermissing - inclusief gevonden personen waarvan de identiteit niet direct bekend is - dan voor opsporing. AH en andere bedrijven mogen ook gegevens verstrekken indien dat in hun eigen belang of dat van derden is, tenzij de fundamentele rechten en vrijheden van de betrokkene zouden moeten prevaleren. Hier vindt op grond van artikel 8f een belangenafweging plaats.
AH: "Op grond hiervan mogen wij Bonuskaartgegevens verstrekken aan de politie indien er personeelsfraude plaatsvindt. Eventueel zouden wij op grond van dit artikel ook gegevens aan de politie mogen verstrekken in het kader van strafrechtelijke onderzoeken waar AH niet bij betrokken is, maar hierover is de rechtspraak niet eenduidig. Het is in elk geval in strijd met onze interne procedure."
Justitie is nu nog voor een deel afhankelijk van de belangenafwegingen van bedrijven en wil daarvan af. Dat staat in het advies van de commissie-Mevis, waartegen het CBP geprotesteerd heeft. Het wetsvoorstel daartoe moet in 2004 in het parlement komen.
Het Openbaar Ministerie is nu laconiek als gevraagd wordt naar het opvragen van gegevens bij bedrijven zonder dat er een bevel is van de rechter-commissaris. De woordvoerder: "Bedrijven hebben dan geen verplichting, dus zijn we afhankelijk van de bereidwillige medewerking. Vragen staat vrij, ook voor ons..."
[Peter Olsthoorn, 19 september 2003]
Warning: include() [function.include]: open_basedir restriction in effect. File(/home/sites/www.netkwesties.nl/web/templates/artikel_kolomscheider.php) is not within the allowed path(s): (/home/netkwestie/:/tmp:/usr/local/lib/php/) in /home/netkwestie/domains/netkwesties.nl/public_html/editie69/artikel3.php on line 67
Warning: include(/home/sites/www.netkwesties.nl/web/templates/artikel_kolomscheider.php) [function.include]: failed to open stream: Operation not permitted in /home/netkwestie/domains/netkwesties.nl/public_html/editie69/artikel3.php on line 67
Warning: include() [function.include]: Failed opening '/home/sites/www.netkwesties.nl/web/templates/artikel_kolomscheider.php' for inclusion (include_path='.:/usr/local/lib/php') in /home/netkwestie/domains/netkwesties.nl/public_html/editie69/artikel3.php on line 67