Is handel in gestolen persoonsgegevens digitale heling of valt dit onder gerechtvaardigd belang?

In dit artikel:

Cybersecuritybedrijven die gestolen wachtwoorden en andere persoonsgegevens uit datalekken verzamelen, kunnen daarmee schade helpen voorkomen. Werkgevers kunnen bijvoorbeeld gehackte accounts blokkeren en wachtwoorden laten wijzigen. Toch mogen zij deze gegevens niet zonder meer systematisch verzamelen en doorzoekbaar maken.

Strafrechtelijk kan het verwerven of verhandelen van niet-openbare gegevens die vermoedelijk door een misdrijf zijn verkregen, digitale heling zijn. De wet maakt een uitzondering als iemand te goeder trouw handelt omdat het algemeen belang het gebruik noodzakelijk maakt, bijvoorbeeld om voor een beveiligingsincident te waarschuwen. Openbaar gemaakte gegevens vallen niet onder deze strafbepaling.

Ook onder de AVG kan netwerk- en informatiebeveiliging een gerechtvaardigd belang zijn, waardoor niet altijd toestemming van iedere werknemer nodig is. De verwerking moet wel noodzakelijk en proportioneel blijven. Een waarschuwing over een gehackt zakelijk account is iets anders dan het delen van iemands volledige browsergeschiedenis of privéwachtwoorden.

Volgens een recent oordeel van het Hof van Justitie kan iemand zich bovendien niet op een gerechtvaardigd belang beroepen als hij weet dat persoonsgegevens eerder onrechtmatig zijn verzameld. Dat zet commerciële handel in infostealer-logs onder druk: aanbieders weten doorgaans dat deze gegevens door malware zijn buitgemaakt. Het beveiligingsdoel maakt het verzamelen van complete gestolen datasets daarom niet automatisch rechtmatig.

Wel kan verwerking anders worden beoordeeld wanneer een werkgever eigen beveiligingslogs analyseert of een meldpunt slachtoffers helpt en op basis van hun informatie anderen waarschuwt. Cybersecurity is dus een legitiem doel, maar geen vrijbrief om gestolen persoonsgegevens op grote schaal te exploiteren. Eerst moet vaststaan dat de gegevens überhaupt mochten worden verzameld.