Opstelten: aanpak cybersecurity hoog op agenda Europese Unie

Minister Opstelten van Veiligheid en Justitie vindt dat de aanpak van cybersecurity de komende jaren hoog op de agenda van de Europese Unie (EU) moet blijven. Het belang daarvan is groot en aan de hand van de EU-cybersecurity strategie kunnen resultaten worden geboekt, met als doel een open, vrije en beveiligde cyberomgeving te realiseren. Ook wil hij dat binnen de Europese Unie grensoverschrijdend en effectief kan worden opgetreden tegen cybercriminaliteit.

Dit blijkt uit de Nederlandse inbreng tijdens de informele JBZ-raad in Vilnius waar de agenda voor samenwerking in de Europese Unie werd besproken voor de periode vanaf 2015. Aanleiding hiervoor is het meerjarenbeleidskader op het terrein van Justitie en Binnenlandse Zaken - het zogeheten Stockholmprogramma - dat eind 2014 afloopt. De EU-bewindslieden spraken voor het eerst over een opvolger voor het Stockholmprogramma onder het voorzitterschap van Litouwen. Nederland vindt dat de nadruk moet komen te liggen op onder andere cyber security, de (bestuurlijke) aanpak van georganiseerde criminaliteit en de positie van slachtoffers.

Volgens de minister mag er in de uitvoering van de Europese cybersecurity strategie meer aandacht zijn voor publiek-private samenwerking. Een veiliger cyberspace kan niet zonder een beroep te doen op de kracht van het bedrijfsleven. Goede publiek-private samenwerking  kan leiden tot snelle uitwisseling van informatie over dreigingen met partners in de vitale sectoren van de samenleving, zoals financiële dienstverlening. Nederland heeft inmiddels de nodige ervaring opgedaan. Voorbeeld daarvan is het Nationale Cyber Security Centrum (NCSC), waar publieke organisaties zoals het computer emergency response team (CERT), politie en Defensie samenwerken met private partijen. Ook kent Nederland de ICT Response Board, die adviseert bij een grootschalig incident.

Verder is de aanpak van cybercrime een van de belangrijke activiteiten binnen de Europese cybersecurity strategie. Opstelten vindt dat aandacht en actie nodig is om politie en justitiediensten beter in staat te stellen cybercriminaliteit, die naar zijn aard grenzeloos is, effectief aan te pakken zowel door diensten van de individuele lidstaten zelf als door Europese en zelfs nog bredere internationale samenwerking.

Handhaving op internet staat daardoor onder grote druk en is soms niet mogelijk of effectief, terwijl de belangen van burgers en bedrijven of het land met strafbare handelwijzen worden geschaad. Nederland wil daar verandering in brengen. Daarom heeft de bewindsman een wetsvoorstel gemaakt dat bevoegdheden creëert om onder strikt gereglementeerde voorwaarden en op basis van rechterlijke machtiging op afstand (dus via het internet) in computers binnen te dringen. Als niet duidelijk kan worden vastgesteld waar de data zijn opgeslagen, kan die bevoegdheid ook grensoverschrijdend worden ingezet.

Andere landen kampen met vergelijkbare problemen in de opsporing en vervolging en zoeken naar ‘eigen’ oplossingen. Opstelten vindt het belangrijk dat in ieder geval binnen de EU zoveel mogelijk op gelijke wijze adequaat en effectief kan worden opgetreden. Nederland pleit ervoor het actiepunt van het Stockholm Programma dat ziet op verduidelijking en versterking van het juridisch kader met het oog op effectieve opsporing alsnog op te pakken.

bron: Rijksoverheid

'Filtering the Internet for law enforcement purposes?'

The Dutch (concept) bill to fight computer crime is controversial due to the proposed new hacking capabilities for law enforcement authorities. However, the proposed “Notice and Take Down” (NTD)-order is another aspect of the bill that deserves our attention.

The proposed Notice and Take Down-order is meant for criminal cases in which a person or company can take down an illegal website, but fails to do so voluntarily. However, the measure contradicts the right to obtain information as part of the right to free speech. The measure may even result in a filter obligation of specific websites for ISPs. Our Parliamentary Members should think and debate thoroughly about the blocking and filtering measures before making them permissable as an instrument for law enforcement authorities.

Lees verder:

• Filtering the Internet for law enforcement purposes?, Leiden Law Blog

Raad voor de Rechtspraak: Toezicht rechter essentieel bij opsporing computercriminaliteit

Rechterlijk toezicht is van essentieel belang als de mogelijkheden voor de opsporing van computercriminaliteit worden verruimd. Het is daarom ‘wenselijk en verstandig’ dat minister Opstelten nieuwe bevoegdheden voor politie en justitie, die vergaande inbreuk kunnen maken op grondrechten, koppelt aan de voorwaarde dat de rechter-commissaris daar vooraf toestemming voor moet geven. Dat staat in een advies van de Raad voor de rechtspraak over het Wetsvoorstel computercriminaliteit III.

Weinig mogelijkheden

Recente technologische ontwikkelingen bieden criminelen ongekende mogelijkheden om ongezien de wet te ontduiken en bij slachtoffers schade aan te richten. De Raad erkent in het advies dat politie en justitie op dit moment te weinig mogelijkheden hebben om bijvoorbeeld de verspreiding van kinderporno aan te pakken en massale aanvallen via zogeheten botnets, waarmee computersystemen van belangrijke instellingen worden platgelegd, te bestrijden. De minister wil daar verandering in brengen door extra bevoegdheden in de wet op te nemen.

Heimelijk binnendringen

Bepaalde opsporingsambtenaren krijgen volgens het wetsontwerp onder strikte voorwaarden toestemming om ‘onderzoek te doen in een geautomatiseerd werk’. Dat houdt in dat ze op afstand heimelijk binnendringen in computers van verdachten en zo nodig software installeren om de beveiliging te doorbreken en versleutelde gegevens te ontcijferen. De officier van justitie krijgt bovendien meer mogelijkheden om te bevelen dat gegevens op internet ontoegankelijk worden gemaakt, en de nieuwe bevoegdheid om verdachten op te dragen om versleutelde gegevens zichtbaar en leesbaar te maken. Ten slotte wil de minister heling van computergegevens strafbaar maken.

Vergaande inbreuk

De voorgestelde opsporingsbevoegdheden kunnen vergaand inbreuk maken op bepaalde grondrechten, zoals de eerbiediging van de persoonlijke levenssfeer en het brief-, telefoon- en telegraafgeheim. De Raad vindt het van groot belang dat die inbreuk zoveel mogelijk wordt beperkt en dat de burger wordt beschermd tegen willekeurige inmenging van de overheid in zijn privéleven. Het wetsvoorstel houdt daar rekening mee door te stellen dat de bevoegdheden alleen kunnen worden ingezet met een schriftelijke machtiging van de rechter-commissaris. Hij beoordeelt het verzoek niet alleen op rechtmatigheid, maar weegt ook af of het opsporingsdoel – dat vooraf gespecificeerd moet zijn - zo’n zware inbreuk rechtvaardigt.

Kanttekeningen

Dat de minister behoefte heeft aan uitbreiding van opsporingsbevoegdheden nu criminelen steeds meer gebruik maken van draadloze netwerken, versleuteling en ‘cloudcomputing’, vindt de Raad begrijpelijk. Er zijn echter wel wat kanttekeningen te plaatsen. Zo vraagt de Raad zich af of het ontsleutelbevel in strijd is met het beginsel dat niemand aan zijn eigen veroordeling hoeft mee te werken, zoals vervat in artikel 6 van het EVRM (het Europees Verdrag voor de Rechten van de Mens). De minister meent van niet, maar de Raad wijst erop dat rechters daar wel eens anders over kunnen oordelen. Verder moet onder meer gelet worden op het verschoningsrecht van bijvoorbeeld advocaten. Hoe wordt, bij het tappen van computergegevens, gegarandeerd dat hun gegevens buiten beschouwing blijven?

Bron: de Rechtspraak

'Kan de National Security Agency hier vervolgd worden wegens computercriminaliteit?'

Via PRISM blijkt de Amerikaanse geheime dienst National Security Agency (NSA) ons allemaal af te luisteren. In Nederland is dat hartstikke illegaal. Kan ik daar aangifte van doen en wat gaat Justitie dan doen aan deze buitenlandse daders?

Lees verder:

• Kan de National Security Agency hier vervolgd worden wegens computercriminaliteit?, Ius mentis

Beleid OM ‘ethische hackers’ in lijn met ‘leidraad Responsible Disclosure’

Recente berichtgeving op NU.nl wekt de indruk dat het opsporingsbeleid van het OM op gespannen voet staat met het beleid van de minister van Veiligheid en Justitie. Deze aanname is feitelijk onjuist. Het OM heeft begin dit jaar beleid ontwikkeld hoe te handelen bij ethische hackers dat in lijn is met de ‘Leidraad Responsible Disclosure'.

Op 18 maart 2013 ontvingen alle parkethoofden van het OM hierover een beleidsbrief. Aanleiding was de handreiking ‘Leidraad om te komen tot een praktijk van Responsible Disclosure' dat kort daarvoor gepresenteerd was door het Nationaal Cyber Security Centrum (NCSC) van het Ministerie van Veiligheid.

Doel van deze leidraad is het bieden van bouwstenen voor organisaties om een beleid voor Responsible Disclosure (RD) vast te kunnen stellen. Dit beleid geeft de ‘ethische hacker' duidelijkheid hoe door de desbetreffende organisatie zal worden omgegaan met door die hacker aangetoonde en/of gemelde kwetsbaarheden in de ICT-systemen. Het biedt de getroffen bedrijven de mogelijkheid om kwetsbaarheden te verhelpen en schade te beperken voordat de hacker met zijn daad naar buiten treedt.

Het RD is dan ook geen ‘gegeven' of ‘beleid' waar eenieder zich zondermeer op kan beroepen.  Evenmin is de RD uniform. Er is sprake van RD, wanneer het gehackte bedrijf ook een RD-beleid heeft. Wanneer daar geen sprake van is, is er ook geen sprake van RD. Dikwijls is nader (strafrechtelijk) onderzoek nodig om na te gaan of een melding die is gedaan door een hacker, onder de gegeven omstandigheden noodzakelijk en proportioneel was.

Als een hacker direct en veilig communiceert met de eigenaar van het ICT-systeem over een aangetroffen lek in de beveiliging en er geen gegevens zijn verwijderd of gemanipuleerd, kan er sprake zijn van RD en is er geen aanleiding om (verder) strafrechtelijk onderzoek of vervolging in te stellen. Er is echter geen sprake van RD daar waar wel gegevens zijn verwijderd, gemanipuleerd of gekopieerd, dan wel op onevenredige wijze toegang is verschaft tot het ICT-systeem.

Bron: OM

• Beleidsbrief Responsible Disclosure d.d. 18 maart 2013

Europees Parlement akkoord met strengere sancties cyberaanvallen

Het Europees Parlement heeft gisteren ingestemd met strengere straffen voor cybercriminelen. De ontwerprichtlijn, waarover informeel al overeenstemming is bereikt met de Raad, moet ook het voorkomen van cyberaanvallen makkelijker maken en samenwerking tussen politie en justitie op dit gebied te stimuleren. In geval van een cyberaanval, moeten EU-landen binnen acht uur reageren op dringende verzoeken voor hulp.

De ontwerprichtlijn schrijft voor dat EU-landen maximale gevangenisstraffen vaststellen van minstens twee jaar in het geval van illegale toegang tot informatiesystemen, manipulatie van gegevens, het onderscheppen van communicatie of het produceren of verkopen van apparatuur die kan worden gebruikt om deze strafbare feiten te plegen. Kleine voorvallen vallen buiten de richtlijn, maar het is aan elk land zelf om vast te stellen wat een "klein" voorval is.

"Botnets"

De tekst stelt een minimumstraf van drie jaar voor het gebruiken van "botnets", wat wil zeggen dat er vanaf afstand controle wordt uitgeoefend over een groot aantal computers door ze te infecteren met kwaadaardige software.

Aanvallen op kritieke infrastructuur

Aanvallen tegen "kritieke infrastructuur", zoals elektriciteitscentrales en netwerken van vervoer en overheden, kan leiden tot een gevangenisstraf van vijf jaar. Hetzelfde geldt als een aanval is gepleegd door een criminele organisatie of als het ernstige schade veroorzaakt.

Acht uur deadline voor dringende verzoeken

Speciale contactpunten in de lidstaten moeten binnen acht uur reageren op dringende verzoeken voor hulp in het geval van een cyberaanval. Dit moet samenwerking tussen nationale politie-eenheden verbeteren.

Aansprakelijkheid van rechtspersonen

Rechtspersonen, zoals bedrijven, moeten aansprakelijk gesteld worden voor de strafbare feiten die in hun belang zijn gepleegd (bijvoorbeeld voor het inhuren van een hacker om toegang te krijgen tot de database van de concurrentie). Onder de sancties zou ook uitsluiting van aanspraak op uitkeringen of sluiting van panden kunnen vallen.

Volgende stappen

De tekst wordt naar verwachting binnenkort formeel door de Raad goedgekeurd. De nieuwe richtlijn is gebaseerd op regels die sinds 2005 van kracht zijn. Als de regels eenmaal zijn aangenomen, hebben lidstaten twee jaar de tijd om de Europese regels om te zetten naar nationale wetgeving.

Bron: Europees Parlement

• Voorstel voor een richtlijn van het Europees Parlement en de Raad over aanvallen op informatiesystemen en tot intrekking
• Questions and Answers: Directive on attacks against information systems

Kamer: banken voortaan verplicht schade door phishing te vergoeden

Klanten die op hun bankrekeningen slachtoffer zijn van online fraude als phishing of malware moeten geleden schade voortaan door hun bank vergoed krijgen. De Tweede Kamer stemde vandaag in met een voorstel hiervoor van PvdA en SP.

Nu verschilt het beleid voor dit soort schadevergoedingen nog per bank en zelfs binnen banken. De Kamer vindt dat mensen erop moeten kunnen vertrouwen dat online bankieren veilig is, zeggen de Kamerleden. Voorwaarde is wel dat mensen niet 'grof nalatig, roekeloos of met opzet' hebben gehandeld.

Bron: nrc.nl

Cybersecuritybeeld Nederland: kwetsbaarheid van ICT onverminderd hoog

Cybercriminaliteit als ook digitale spionage blijven de grootste dreigingen voor overheid en bedrijfsleven. Voorts is de dreiging op verstoring van online dienstverlening toegenomen. Het afgelopen jaar is de omvang van de criminele cyber dienstensector gegroeid en zichtbaarder geworden. Hulpmiddelen om aanvallen uit te voeren worden via ‘cybercrime-as-a-service’ commercieel door malafide partijen beschikbaar gesteld. Daarnaast wordt de potentiele impact van incidenten steeds groter waardoor de mogelijkheid van verstoring van de vitale infrastructuur en mogelijke maatschappelijke ontwrichting ook toeneemt. Dit komt door de toenemende afhankelijkheid van ICT door ontwikkelingen als hyperconnectiviteit, cloudcomputing en de mate waarin internet wordt ingezet. Dat komt naar voren in het derde Cybersecuritybeeld Nederland (CSBN-3) dat minister Opstelten van Veiligheid en Justitie vandaag naar de Tweede Kamer heeft gestuurd.

Op hoofdlijnen zijn er ten opzichte van het voorgaande Cybersecuritybeeld Nederland geen grote verschuivingen in dreigingen waarneembaar. Van de (heimelijke) activiteiten van beroepscriminelen en van staten gaan nog steeds de grootste dreigingen uit. Voor overheden richt de dreiging zich met name op de vertrouwelijkheid van informatie en de continuïteit van dienstverlening.

Voor het bedrijfsleven is de dreiging op verstoring van online dienstverlening toegenomen, die bijvoorbeeld recente incidenten zoals de DDoS-aanvallen op banken nadrukkelijk zichtbaar hebben gemaakt. Grootschalige verstoringen van de digitale infrastructuur kunnen binnen de vitale sectoren leiden tot ontwrichting van de dienstverlening en daarmee tot ongewenste maatschappelijke effecten.

Daarnaast bestaat het grootse risico uit het achterhalen van concurrentiegevoelige informatie en misbruik van financiële gegevens voor fraude.

Burgers worden met name geraakt door identiteitsfraude en chantage. Hierbij staan belangen als geld, privacy, beschikbaarheid van online diensten en digitale identiteit op het spel. Zij hebben vooral te kampen met het vrijwaren van hun eigen computers en elektronica van malware en ransomware.

Publieke en private partijen nemen, zowel afzonderlijk als gezamenlijk, verschillende initiatieven om de digitale weerbaarheid te vergroten. Daarmee spelen zij in op de toenemende afhankelijkheid van ICT en veranderende dreigingen. Wel heeft een brede groep organisaties belangrijke basismaatregelen, zoals het patchen of updaten van systemen of het wachtwoordenbeleid, nog niet voldoende op orde. Daarom zijn oude kwetsbaarheden en aanvalsmethoden nog steeds effectief.

De eindgebruiker krijgt daarbij in de praktijk ook een steeds grotere verantwoordelijkheid toegedicht voor ICT-beveiliging, terwijl hij daarnaast wel steeds vaker wordt geconfronteerd met kwetsbaarheden in apparaten en diensten waar hij beperkte invloed op heeft of geen kennis van heeft. Om die reden wordt daarom onverminderd ingezet het vergroten van het cyber security bewustzijn van gebruikers, bijvoorbeeld door de campagne Alert Online die ook dit jaar weer wordt georganiseerd. Uiteindelijk begint veilig gebruik immers bij awareness.

Het is van belang deze snelle ontwikkelingen bij te houden en in te spelen op de risico’s die deze met zich mee brengen. Juist daarom wordt binnenkort de juridische verkenning afgerond die tot doel heeft de slagkracht van het Nationaal Cyber Security Centrum verder te versterken.

Ook komt het kabinet na de zomer met een actualisatie van de Nationale Cyber Security Strategie die inspeelt op de snelle ontwikkelingen in het digitale domein. Met deze strategie 2.0 wordt de brede cyber security aanpak met private en publieke partijen verder versterkt. Het Cybersecuritybeeld Nederland is opgesteld door het Nationaal Cyber Security Centrum onder verantwoordelijkheid van de Nationaal Coördinator Terrorismebestrijding en Veiligheid. Aan de totstandkoming is bijgedragen door een grote diversiteit aan spelers binnen de ICT-community waaronder partijen uit de publieke en private sectoren, wetenschappers en maatschappelijke organisaties.

Bron: Rijksoverheid

• Aanbiedingsbrief Cyber Security Beeld
• Cybersecuritybeeld Nederland

Meer weten over cybersecurity en cybercrime? Kom op donderdag 14 november naar de Studiedag Cybercrime in Den Haag.

Tijdens deze studiedag wordt de ontwikkeling van computercriminaliteit besproken en een overzicht gegeven van de meest voorkomende delicten en hoe zij worden gepleegd. Het juridisch kader wordt uiteen gezet met toepasselijk internationaal, Europees en nationaal recht. Hier zal ook uitgebreid aandacht worden besteed aan toekomstige ontwikkelingen, zoals het Wetsvoorstel versterking aanpak computer- criminaliteit. Welke (grensoverschrijdende) opsporingsmogelijkheden bestaan er in een geautomati- seerde omgeving? Welke praktische problemen spelen er met betrekking tot jurisdictie en hoe wordt daarmee omgegaan? Ook zal uitgebreid aandacht worden besteed aan e-evidence als nieuwe vorm van bewijs in strafzaken en onderzoek in cyberspace.

Sprekers o.a.: Bert-Jaap Koops, Christiaan Baardman, Jan-Jaap Oerlemans en vele anderen.

Klik hier voor meer informatie.

'Hackvoorstel moet van tafel'

Onlangs is het Wetsvoorstel Computercriminlaiteit III ter consultatie aan een aantal organisaties. voorgelegd. In de optiek van Bits of Freedom moet het voorstel van tafel:

De voorgestelde hackbevoegdheid is onbegrensd. De maatregel vormt een ernstige inperking van de grondrechten van onschuldige en verdachte burgers wereldwijd, terwijl de noodzaak, proportionaliteit en effectiviteit van de maatregel niet zijn aangetoond. Bovendien heeft de maatregel grote internationale implicaties. De hackbevoegdheid is in strijd met internationaal recht en kan tegenreacties van andere landen uitlokken. Burgers wereldwijd worden daar het slachtoffer van. Verder heeft de hackbevoegdheid gevaarlijke gevolgen voor onze cybersecurity: de inzet van deze bevoegdheid creëert diverse veiligheidsrisico’s, waardoor Nederland niet veiliger, maar juist onveiliger zal worden. Om deze redenen – afzonderlijk en tezamen bezien – moet het voorstel van tafel.

Het decryptiebevel vormt een stevige inperking van de grondrechten van verdachten en niet-verdachten. Het is in strijd met het rechtsbeginsel dat je niet kan worden gedwongen mee te werken aan je eigen veroordeling en bovendien wordt het maatschappelijk belang van encryptie door zo’n bevel doorkruist. Dit terwijl de noodzaak van deze inperkingen van rechten niet is aangetoond, de maatregel niet effectief is en bovendien makkelijk misbruikt kan worden. Ook dit plan moet dus worden ingetrokken.

Ook is de organisatie van mening dat het strafbaar stellen van het overnemen van ‘niet-openbare gegevens’ leidt tot een zeer breed verbod, dat belemmerend werkt op de vrijheid van meningsuiting van mensen met een belangrijke functie in een democratische samenleving, zoals journalisten, klokkenluiders en security-onderzoekers. Ook in dit geval ontbreekt de noodzaak die zo’n maatregel vereist, zodat dit voorstel in deze vorm niet in stand kan blijven.

Verder moet de bevoegdheid om informatie ontoegankelijk te maken worden aangepast. Om voldoende recht te doen aan het grondrecht op vrijheid van meningsuiting, moeten de belangen van de verdachte en de aanbieder van de gegevens altijd worden gehoord.

Hoe nu verder? Het Ministerie van Veiligheid en Justitie gaat alle reacties bestuderen en het wetsvoorstel aanpassen. Het aangepaste voorstel wordt vervolgens besproken in de Ministerraad en ter consultatie aan de Raad van State voorgelegd. Pas daarna gaat het richting de Tweede Kamer. Dat zal waarschijnlijk tegen het einde van 2013 zijn.

CBb vernietigt boetes voor verspreiding ongewenste software

De OPTA heeft op 5 november 2007 aan drie Nederlandse bedrijven en hun directeuren boetes opgelegd van in totaal € 1.000.000 omdat ze ongewenste software installeerden op meer dan 22 miljoen computers van internetgebruikers in Nederland en daarbuiten. Met de illegale plaatsing van deze zogeheten ad- en spyware verspreidden de samenwerkende bedrijven onder de naam DollarRevenue reclameboodschappen en verschaften zich toegang tot gegevens van de internetgebruikers. Dit is in strijd met artikel 4.1, eerste lid, van het Besluit universele dienstverlening en eindgebruikersbelangen (Bude), thans artikel 11.7a Tw.

Tegen dit besluit hebben partijen gezamenlijk bezwaar gemaakt. Op 18 juni 2008 heeft ACM het bezwaar ongegrond verklaard. Hiertegen hebben partijen beroep ingesteld bij de rechtbank Rotterdam. Op 3 februari 2010 heeft de rechtbank uitspraak gedaan.

• Rechtbank Rotterdam 3 februari 2010, LJN: BL2092

Eerdere uitspraak rechtbank Rotterdam

De rechtbank liet de opgelegde boetes in beroep goeddeels in stand. Zij was van oordeel dat artikel 4.1 Bude een groot aantal maal is overtreden, dat ACM bevoegd was om op te treden en dat onder de naam alsmede onder verantwoordelijkheid van het samenwerkingsverband DollarRevenue de overtredingen hebben plaatsgevonden. Ten aanzien van de rol van verschillende overtreders heeft de rechtbank overwogen dat twee rechtspersonen en één directeur terecht en één rechtspersoon en één directeur ten onrechte als overtreder zijn aangemerkt. De hoogte van de (aan de overgebleven drie overtreders) opgelegde boetes achtte de rechtbank niet onevenredig.

Zowel ACM als partijen hebben vervolgens tegen de uitspraak van de rechtbank hoger beroep ingesteld bij het College van Beroep voor het bedrijfsleven (CBb).

Uitspraak van het CBb

In afwijking van het oordeel van de rechtbank heeft het CBb op 20 juni 2013 het boetebesluit vernietigd en alle opgelegde boetes geschrapt. Het CBb stelt eerst vast dat de verbodsbepaling van artikel 4.1, eerste lid, Bude alleen de gebruikers in Nederland beschermt en niet geldt voor computers buiten de Nederlandse landsgrenzen, ook niet als de plaatsing van de software vanuit Nederland plaatsvindt. Hierdoor beperkt het CBb het aantal overtredingen.

Het CBb komt verder tot de conclusie dat er weliswaar sprake is van overtredingen maar dat de daarvoor beboete bedrijven geen overtreder zijn. ACM had alle beboete partijen als zelfstandig overtreder aangemerkt. Het CBb beperkt de kring van overtreders echter tot de degenen die de initiële software feitelijk plaatsten (in dit geval tussenpersonen, de zgn. affiliates). Zij zijn volgens het CBb als (feitelijke) overtreder allleen verantwoordelijk voor de informatieverstrekking en het geven van een weigeringsmogelijkheid. Het feit dat door plaatsing van de software vervolgens ook nog automatisch andere software werd geplaats (waaronder die van partijen), maakt hen niet tot overtreders.Partijen kunnen volgens hetCBb evenmin als medepleger worden aangemerkt omdat de Algemene wet bestuursrecht pas vanaf 1 juli 2009 de mogelijkheid kent om een boete aan medeplegers op te leggen en de overtredingen voor die tijd hebben plaatsgevonden. Het oordeel van het CBb is definitief: tegen deze uitspraak kan geen beroep meer worden aangetekend.

• College van Beroep voor het bedrijfsleven 20 juni 2013, LJN: CA3716

ACM is teleurgesteld over deze strikte interpretatie van het CBb van de regels voor het verspreiden van spyware.

Bron: ACM