De rechter-commissaris in Den Haag heeft de politie bevolen om in te loggen op het WhatsApp- en Google-account van een overleden slachtoffer en zo de WhatsApp-communicatie en Google Takeout veilig te stellen voor zover die gegevens relevant zijn voor het onderzoek. Daarbij is er geen sprake van het omzeilen van de hackbevoegdheid, zo stelt de rechter-commissaris in een reactie op een vordering van de officier van justitie.

Het slachtoffer is in deze zaak mogelijk door een misdrijf om het leven gekomen. Twee telefoons die het slachtoffer in bezit zou hebben gehad zijn niet teruggevonden. Doorzoekingen, telefoon- en printertaps en het opvragen van telefoongegevens hadden ook geen resultaat. Wel vond de politie een oude telefoon van het slachtoffer die tot 2018 in gebruik bleek te zijn. Berichten tussen de verdachte en het slachtoffer zouden mogelijk kunnen aantonen of de verdachte bij de dood van het slachtoffer betrokken was en wat zijn motieven waren.

De wet voorziet niet in een specifieke bevoegdheid voor een opsporingsambtenaar om zich toegang te verschaffen tot het WhatsApp-account en het Google-account van het slachtoffer en gegevens vast te leggen. In de rechtspraak is echter inmiddels meer dan eens geoordeeld dat het zich verschaffen van toegang tot een account onder bepaalde voorwaarden mogelijk is, aldus de rechter-commissaris. Die voegt toe dat de gegevens in beide accounts niet tijdig op een andere wijze zijn te verkrijgen.

De recente telefoons van het slachtoffer zijn niet beschikbaar. Daarnaast is het ook niet mogelijk om de gegevens binnen afzienbare tijd bij de betreffende communicatiediensten te vorderen. WhatsApp maakt gebruik van end-to-end versleuteling en slaat afgeleverde berichten niet zelf op, laat de rechter-commissaris weten. In het geval van Google zou een rechtshulpverzoek aan de Verenigde Staten mogelijk zijn. Volgens de officier van justitie blijkt dat de Amerikaanse autoriteiten een groot deel van de rechtshulpverzoeken weigeren en dat de procedure minimaal anderhalf à twee jaar in beslag neemt.

Toegang

Volgens de rechter-commissaris is de vordering om toegang tot beide accounts te krijgen dan ook gerechtvaardigd. "Hiervoor is slechts toegang nodig tot het telefoonnummer van het slachtoffer door middel van een duplicaat SIM kaart. Feitelijk wordt de backup van Whatsapp dan teruggezet op een telefoon. Daarvoor moet dus een nieuwe (duplicaat) simkaart worden aangevraagd bij de provider met het nummer van het slachtoffer, welke in een toestel kan worden gedaan waarop Whatsapp opnieuw geïnstalleerd wordt", zo laat officier van justitie weten in de vordering over het verkrijgen van toegang tot het WhatsApp-account van het slachtoffer.

In het geval van het Google-account is dit afhankelijk van de instellingen, zoals het gebruik van tweefactorauthenticatie. "Indien bijvoorbeeld de code naar een email adres wordt gestuurd, en dat email adres komt niet binnen op de genoemde telefoon, stoppen de inlogmogelijkheden. Als de code naar het nummer van de telefoon wordt verzonden dan kan daar wel mee ingelogd worden", aldus de vordering. Daarin staat verder dat als dit niet werkt, er kan worden gekozen om via het invullen van beveiligingsvragen het wachtwoord te resetten.

De rechter-commissaris stelt dat de politie geen rechtstreekse toegang tot de accounts heeft, maar dat er tussenstappen nodig zijn. Welke tussenstappen moeten worden gezet is afhankelijk van de instellingen, waarover op voorhand geen informatie beschikbaar is. Daarbij kijkt de rechter-commissaris ook in hoeverre deze werkwijze zich verhoudt tot het binnendringen van een systeem, zoals de "hackbevoegdheid" mogelijk maakt. De voorwaarden en waarborgen van deze bevoegdheid mag de politie namelijk niet omzeilen, benadrukt de rechter-commissaris.

De officier van justitie stelde dat er geen sprake van de hackbevoegdheid is, omdat er wordt ingelogd op een normale wijze, zonder kunstgrepen, met toestemming van de nabestaande, die doorgaans ook door een provider in staat wordt gesteld om een duplicaat simkaart aan te vragen als iemand overlijdt. Iets waar de rechter-commissaris het mee eens is. "Het betreft stappen die een gebruiker zelf ook kan of zelfs moet zetten op het moment dat deze geen toegang meer heeft tot een account."

Volgens de rechter-commissaris is het terugzetten van een back-up, zoals bij WhatsApp, een gebruikelijke handeling, wat ook geldt voor het invoeren van tweefactorauthenticatiecodes en beantwoorden van beveiligingsvragen om toegang te krijgen tot een account. "Kortom, weliswaar beschikt de politie niet over kant-en-klare inloggegevens, maar de wijze waarop een opsporingsambtenaar toegang tot de accounts verkrijgt, is in de kern niet anders dan de wijze waarop de rechtmatige gebruiker in een vergelijkbare situatie toegang zou verkrijgen. Dat er meerdere stappen moeten worden gezet, maakt dit niet anders", stelt de rechter-commissaris, die toevoegt dat het van belang is dat er geen gebruik wordt gemaakt van een bepaalde techniek om inloggegevens te ontfutselen of van kunstmatige intelligentie. De vordering werd dan ook toegewezen.