PROCUREUR-GENERAAL BIJ DE HOGE RAAD DER NEDERLANDEN Nummer22/03276 Zitting 30 januari 2024 CONCLUSIE M.E. van Wees In de zaak [verdachte] , geboren te [geboorteplaats] op [geboortedatum] 1991, hierna: de verdachte. Inleiding 1.1 Het gerechtshof Den Haag heeft de verdachte bij arrest van 23 augustus 2022 vrijgesproken van computervredebreuk (art. 138ab Sr). Daarnaast heeft het hof de teruggave gelast aan de verdachte van vier in beslag genomen voorwerpen, te weten computers. 1.2 Namens het Openbaar Ministerie heeft H.H.J. Knol, advocaat-generaal bij het ressortsparket, één middel van cassatie voorgesteld. Het middel 2.1 Het middel bevat de klachten dat de uitleg die het hof heeft gegeven aan het begrip ‘geautomatiseerd werk’ getuigt van een onjuiste rechtsopvatting dan wel dat het hof een onjuiste en voor de betrokken partijen onverwachte uitleg heeft gegeven aan de tenlastelegging. 2.2 Aan de verdachte was in deze zaak ten laste gelegd - en is in eerste aanleg ten laste van hem bewezenverklaard - het, kort gezegd, binnendringen van de website van een huisartsenpost. Zodoende zou hij toegang hebben gekregen tot vertrouwelijke informatie. Vervolgens zou de verdachte - volgens hemzelf een ‘ethisch hacker’ - aan de huisartsenpost hebben gemeld dat er een “lek” zat in de beveiliging en hebben aangeboden om dit lek tegen betaling te dichten. Voor een beter beeld van de aan de verdachte verweten feitelijke gedragingen verwijs ik naar het vonnis van de rechtbank in eerste aanleg. 2.3 De volledige tekst van de tenlastelegging luidde, zowel in eerste aanleg als in hoger beroep, dat de verdachte werd verweten dat: “hij op of omstreeks 25 augustus 2017 te ’s-Gravenhage en/of te [plaats] , althans in Nederland, opzettelijk en wederrechtelijk in een (gedeelte van) een geautomatiseerd werk, te weten de website van [A] (http://www. [website] .nl), is binnengedrongen door het doorbreken van een beveiliging en/of door een technische ingreep en/of met behulp van valse signalen of een valse sleutel en/of door het aannemen van een valse hoedanigheid, namelijk door gebruik te maken van één of meer software programma(s), te weten SQL map, welk programma gebruikt wordt om (databases van) websites te hacken door middel van SQL-injecties en/of (vervolgens) gegevens die waren opgeslagen en/of verwerkt en/of overgedragen door middel van (delen van) dat geautomatiseerde werk waarin hij zich wederrechtelijk bevond, voor zichzelf en/of een ander heeft overgenomen en/of afgetapt en/of opgenomen, namelijk door (vertrouwelijke en/of gevoelige) informatie (onder andere big nummers, wachtwoorden, adresgegevens en bankrekeningnummers van aangesloten huisartsen) van die website naar zichzelf en/of een ander te mailen en/of te exporteren.” 2.4 In het arrest wordt de vrijspraak als volgt gemotiveerd: “Vrijspraak De verdachte is - zakelijk weergegeven - tenlastegelegd dat hij wederrechtelijk een geautomatiseerd werk zou zijn binnengedrongen, te weten de website van [A] . In het kader van deze uitspraak wordt aangenomen dat met een website een verzameling gegevens wordt bedoeld die als onderdeel van het World Wide Web via het internet toegankelijk is. Beoordeeld dient te worden of een dergelijke website als zodanig, nu het in de tenlastelegging ontbreekt aan enigerlei aanduiding van een inrichting in de zin van art. 80sexies van het Wetboek van Strafrecht (hierna: ‘Sr’) die ertoe dient deze website toegankelijk te maken (in het algemeen spraakgebruik doorgaans aangeduid als ‘hosting’), als een geautomatiseerd werk in de zin van dit artikel kan worden aangemerkt. Onder 'geautomatiseerd werk' wordt blijkens art. 80sexies Sr - zoals geldend op de tenlastegelegde datum, te weten 25 augustus 2017 - verstaan 'een inrichting die bestemd is om langs elektronische weg gegevens op te slaan, te verwerken en over te dragen'. Blijkens de wetsgeschiedenis heeft de wetgever in de begripsbepaling van 'geautomatiseerd werk' steeds het oog gehad op uitsluitend fysieke apparaten (vergelijk Kamerstukken II, 1991-1992, 21551, nr. 3, p. 5 en 6 en Kamerstukken II, 2018-2019, 34372, nr. 3, p. 85 e.v.). Meer specifiek heeft de wetgever met betrekking tot de artikelen 138a (oud)/138ab (nieuw) Sr de opvatting tot uiting gebracht dat het daarbij gaat om de bescherming van het voorwerp waarin de gegevens zich bevinden, en niet om de gegevens zelf (zie onder meer Kamerstukken II 1990/91, 21551, nr. 6, p. 8-9 en Kamerstukken II 1998/99, 26671, nr. 3, p. 32-33). Nu een website feitelijk slechts bestaat uit een samenstel van gegevens, geen fysieke vorm heeft en derhalve het karakter van 'inrichting' ontbeert, bestaat op grond van het voorgaande voldoende aanleiding om een website niet aan te merken als geautomatiseerd werk. Zulks is in overeenstemming met het (onherroepelijke) arrest van dit hof van 22 september 2020 - (ECLI:NL:GHDHA:2020:2005) waarin het ging om een Facebook-account. Het hof heeft zich nochtans de vraag gesteld of het nadien gewezen arrest van de Hoge Raad van 24 december 2021 (ECLI:NL:HR:2021:1944) tot een ander oordeel noopt. In dit arrest was de vraag aan de orde of sprake was van het belemmeren van toegang tot en/of het gebruik van een geautomatiseerd werk. De Hoge Raad overwoog omtrent het oordeel van het hof Amsterdam dat daarvan inderdaad sprake was: "Het is ook niet onbegrijpelijk, in aanmerking genomen dat de instandhouding van een actieve website vereist dat een geautomatiseerd werk in de onder 2.7 bedoelde zin in werking is, en dat het uitvoeren van een DDoS-aanval de toegang tot die website belemmert, wat meebrengt dat daardoor ook de werking van dit geautomatiseerd werk, voor zover het de functionaliteit van die website in stand houdt, wordt belemmerd." Het hof ziet hierin echter geen aanwijzing dat een website als zodanig wel als geautomatiseerd werk in de zin van art. 80sexies Sr aangemerkt dient te worden. Het hof begrijpt de aangehaalde overweging aldus dat daarin alleen de vraag wordt beantwoord of de vaststelling dat sprake is van een DDoS-aanval op een website met zich brengt dat de werking van een specifiek geautomatiseerd werk wordt belemmerd. Het hof vindt voor deze lezing steun in de conclusie van de Advocaat-Generaal bij dit arrest (ECLI:NL:PHR:2021:1050), waarin onder meer het volgende te lezen valt: (na verwijzing naar jurisprudentie van de Hoge Raad) "3.14 Uit het voorgaande kan worden afgeleid dat onder een geautomatiseerd werk steeds een (onderdeel van) een fysiek apparaat is begrepen. Dus een computer, server, router, “ereader”, chip of wat dies meer zij, maar in elk geval zogenaamde hardware. Het gaat in alle gevallen niet om software, zoals computerprogramma's, of - voor onderhavige casus relevant - websites. (...)" en (na verwijzing naar de parlementaire geschiedenis) "3.17. Uit deze overweging volgt dat ook na de wijziging van art. 80sexies Sr per 1 maart 2019 nog slechts gedacht wordt aan apparaten - aan stoffelijke objecten dus - en niet aan onstoffelijke zaken zoals websites. (...)" "3.18. De conclusie van het voorgaande is dus dat een website 'op zichzelf' niet kan worden aangemerkt als "geautomatiseerd werk" in de zin van art. 80sexies Sr en/of art. 138b Sr." Al het vorengaande, in aanmerking genomen komt het hof tot het oordeel dat niet wettig en overtuigend kan worden bewezen hetgeen aan de verdachte is tenlastegelegd, zodat de verdachte daarvan moet worden vrijgesproken.” 2.5 Het cassatiemiddel keert zich tegen deze uitspraak van het hof en houdt daartoe in dat het binnendringen in “een (gedeelte van) een geautomatiseerd werk, te weten de website van [A] ” zoals opgenomen in de tenlastelegging “niet anders [kan] worden begrepen dan dat (tevens) is tenlastegelegd dat sprake was van het binnendringen in een geautomatiseerd werk, bestaande uit niet alleen die website, maar tevens uit een apparaat, netwerk of deel daarvan dat, door tussenkomst van die website, de functies van opslag, verwerking en overdracht van gegevens vervulde.” 2.6 In mijn bespreking van dit middel zal ik voortborduren op het genoemde arrest van 24 december 2021 en de daaraan voorafgaande conclusie van AG Harteveld. De relevante delen daarvan zal ik daarom eerst weergeven (2.7-2.12). Om echter onnodige herhaling te voorkomen, volsta ik hier voor wat betreft de relevante wetsgeschiedenis en eerdere rechtspraak met een verwijzing naar het arrest en de conclusie. In aanvulling daarop zal ik nader ingaan op de verhouding tussen de begrippen ‘geautomatiseerd werk’ en ‘gegevens’ (2.13-2.23) en op enkele aspecten van tenlasteleggingstechniek (2.24-2.30). Ten slotte kom ik toen aan de beoordeling van het middel (2.31-2.45). Het arrest van 24 december 2021 2.7 De feiten die ten grondslag lagen aan het arrest van 24 december 2021 behelsden een zogenoemde DDOS-aanval. Aan de verdachte werd kort gezegd verweten dat hij door het orkestreren van zo’n aanval een website (of de achterliggende infrastructuur) had weten te overbelasten, waardoor deze ontoegankelijk werd. 2.8 In het arrest van 24 december 2021 ging het net als in de onderhavige zaak om feiten die zich (zouden) hebben afgespeeld vóór 1 maart 2019. Daarom was in die zaak - en is in de onderhavige zaak eveneens - in de eerste plaats de voordien geldende tekst van art. 80sexies Sr (oud) leidend: “Onder geautomatiseerd werk wordt verstaan een inrichting die bestemd is om langs elektronische weg gegevens op te slaan, te verwerken en over te dragen.” Omdat het onderscheid met ‘gegevens’ hier aan de orde is, haal ik ook de definitie aan van dit begrip in art. 80quinquies Sr: “Onder gegevens wordt verstaan iedere weergave van feiten, begrippen of instructies, op een overeengekomen wijze, geschikt voor overdracht, interpretatie of verwerking door personen of geautomatiseerde werken.” 2.9 AG Harteveld kwam, na een analyse van de wetsgeschiedenis en eerdere rechtspraak, tot de slotsom dat het begrip ‘geautomatiseerd werk’ naar de kern bezien inhoudt dat sprake moet zijn van hardware en niet van software. Dat oordeel wordt door het hof in de hierboven weergegeven motivering van de vrijspraak aangehaald en in die opvatting lijkt het hof steun te vinden voor zijn oordeel dat een website geen geautomatiseerd werk is. 2.10 Harteveld tekende bij die slotsom evenwel aan - zo begrijp ik althans - dat een hard onderscheid tussen die twee begrippen in technische zin niet zonder meer zinvol is, omdat zij in een noodzakelijk functioneel verband tot elkaar staan. Dit onderdeel van zijn conclusie is door het hof niet geciteerd in de hierboven weergegeven overweging. Zonder die weglating luidt de overweging van Harteveld als volgt: “3.17. Uit deze overweging volgt dat ook na de wijziging van art. 80sexies Sr per 1 maart 2019 nog slechts gedacht wordt aan apparaten – aan stoffelijke objecten dus – en niet aan onstoffelijke zaken zoals websites. Een website is ‘in wezen’ een stuk software en geen hardware. Wel is het zo dat een website, om zijn functie op het internet te kunnen vervullen, moet zijn ondergebracht (worden ‘gehost’) op een geautomatiseerd werk (een server), dat met dat internet is verbonden. In die zin bestaat er wel een duidelijk functioneel verband van een website met een geautomatiseerd werk. Als de server waarop de website wordt gehost op een of andere manier in een storing raakt is de website doorgaans niet meer benaderbaar via het internet en kan de website – hoewel hij nog wel bestaat in de vorm van de software – hetgeen waarvoor hij is bedoeld ook niet meer verrichten. 3.18. De conclusie van het voorgaande is dus dat een website ‘op zichzelf’ niet kan worden aangemerkt als “geautomatiseerd werk” in de zin van art. 80sexies Sr en/of art. 138b Sr.” 2.11 Deze overwegingen brachten Harteveld niet ertoe tot vernietiging te concluderen. Argumenten hiervoor ontleende hij aan de redactie van de tenlastelegging. Deze kon volgens hem zo worden gelezen (en was volgens hem kennelijk door het hof zo gelezen) dat de website niet als ‘het’ belemmerde geautomatiseerde werk werd aangewezen. In plaats daarvan zou het hof hebben bewezenverklaard dat de toegang tot een in de tenlastelegging niet nader gespecificeerd geautomatiseerd werk was belemmerd. Op dit aspect van zijn conclusie kom ik hieronder nog terug. 2.12 De Hoge Raad oordeelde net als AG Harteveld dat het cassatiemiddel moest falen (rov. 2.9). Het arrest bevat naast de door het hof weergegeven zin uit de toetsing van de beslissing van het hof (voluit in rov. 2.8) ook een, deels op eerdere rechtspraak voortbouwende vooropstelling (rov. 2.7). Ik citeer de hier relevante onderdelen uit het arrest: “2.7. Een inrichting kan alleen als een “geautomatiseerd werk” in de zin van artikel 80sexies (oud) Sr worden aangemerkt als zij geschikt is om drie functies te vervullen, te weten opslag, verwerking en overdracht van gegevens. Het begrip “geautomatiseerd werk” in de zin van artikel 80sexies (oud) Sr is echter niet beperkt tot apparaten die zelfstandig aan deze drievoudige eis voldoen. Ook netwerken bestaande uit computers die door middel van via het internet verspreide software met elkaar zijn verbonden en/of telecommunicatievoorzieningen vallen onder dat begrip, evenals delen van zulke geautomatiseerde werken. (Vgl. HR 26 maart 2013, ECLI:NL:HR:2013:BY9718 en, over het in artikel 161sexies (oud) Sr voorkomende begrip “geautomatiseerd werk”, HR 22 februari 2011, ECLI:NL:HR:2011:BN9287.) Dat zo een apparaat, netwerk of deel daarvan slechts met behulp van een of meer computerprogramma’s die functies van opslag, verwerking en overdracht van gegevens kan vervullen, brengt mee dat een belemmering van de werking van een computerprogramma waarmee een of meer van die functies worden vervuld ook kan worden aangemerkt als een belemmering van de werking van dit geautomatiseerd werk. 2.8 Het hof heeft vastgesteld dat de verdachte via de website ‘[internetsite 1]’ zestien Distributed Denial of Service-aanvallen (hierna: DDoS-aanvallen) heeft laten uitvoeren op de website ‘[internetsite 2]’, en dat de toegang tot de website ‘[internetsite 2]’ door deze aanvallen daadwerkelijk (tijdelijk) belemmerd is geweest. Op grond hiervan heeft het hof bewezenverklaard dat de verdachte de toegang tot en/of het gebruik van een geautomatiseerd werk heeft belemmerd. In het licht van de onder 2.5 en 2.6 weergegeven wetsgeschiedenis en gelet op wat hiervoor onder 2.7 is vooropgesteld, geeft dit oordeel niet blijk van een onjuiste rechtsopvatting. Het is ook niet onbegrijpelijk, in aanmerking genomen dat de instandhouding van een actieve website vereist dat een geautomatiseerd werk in de onder 2.7 bedoelde zin in werking is, en dat het uitvoeren van een DDoS-aanval de toegang tot die website belemmert, wat meebrengt dat daardoor ook de werking van dit geautomatiseerd werk, voor zover het de functionaliteit van die website in stand houdt, wordt belemmerd. 2.9. Het cassatiemiddel faalt. 2.10. Aantekening verdient dat wat hiervoor onder 2.7 is overwogen over een geautomatiseerd werk in de zin van artikel 80sexies (oud) Sr, in het licht van de onder 2.5 en 2.6 weergegeven wetsgeschiedenis ook van toepassing is op het huidige artikel 80sexies Sr, dat volgens de wetsgeschiedenis immers een verruiming vormt ten opzichte van artikel 80sexies (oud) Sr.” ‘Geautomatiseerd werk’ en ‘gegevens’ 2.13 Op dit arrest is in de literatuur kritiek geweest. Naar mijn mening doet het arrest echter recht aan het, door AG Harteveld zo gedoopte, “functionele verband” tussen geautomatiseerde werken en gegevens. Ook al zijn en blijven ‘geautomatiseerd werk’ en ‘gegevens’ van elkaar te onderscheiden begrippen, dit functionele verband is onmiskenbaar op het moment dat met een geautomatiseerd werk handelingen worden verricht. Met ‘handelingen verrichten’ doel ik hier zowel op de ‘normale’ handelingen met een geautomatiseerd werk dat in werking is, als op (malafide) handelingen zoals het binnendringen hierin of het belemmeren hiervan in de zin van onderscheidenlijk art. 138ab en 138b Sr. 2.14 Ik zou dit nog als volgt nader willen uitwerken. 2.15 Om te beginnen zou ik willen wijzen op de in de definitie van art. 80quinquies Sr begrepen verschillende groepen gegevens. Dit kunnen onder andere zijn gegevens (zoals instructies) die slechts bedoeld zijn om een computer te sturen, oftewel computerprogramma’s. Daarnaast zijn er ook gegevens die bedoeld zijn om de mens informatie ter beschikking te stellen. 2.16 Verder valt op dat volgens de twee aangehaalde wettelijke definities gegevens wel kunnen bestaan zonder een geautomatiseerd werk, maar een geautomatiseerd werk niet zonder gegevens. Van een gegeven is immers ook sprake als het alleen geschikt is voor overdracht, interpretatie en overdracht door personen en niet (ook) door een geautomatiseerd werk. In het Wetboek van Strafrecht komen dan ook bepalingen voor waarin een gegeven een bestanddeel is, maar een geautomatiseerd werk niet, zoals bij het schenden van staatsgeheimen (art. 98-98c Sr). 2.17 Van een geautomatiseerd werk kan echter alleen worden gesproken in relatie tot gegevens en wel op twee wijzen. Ten eerste moet de inrichting zijn bestemd om gegevens op te slaan, te verwerken en over te dragen. Ten tweede gaat het om een geautomatiseerd werk, dat dus voor een deel onafhankelijk van menselijk ingrijpen functioneert. Dit is alleen mogelijk door het gebruik van gegevens in de vorm van computerprogramma’s. Dit laatste is nog explicieter gemaakt in de sinds 1 maart 2019 met de Wet computercriminaliteit III geldende definitie van een geautomatiseerd werk (art. 80sexies Sr): “Onder geautomatiseerd werk wordt verstaan een apparaat of groep van onderling verbonden of samenhangende apparaten, waarvan er één of meer op basis van een programma automatisch computergegevens verwerken.” 2.18 Met deze laatste definitie is aangesloten bij de begripsbepaling van ‘computersysteem’ in art. 1 onder a van het Cybercrimeverdrag.Het Explanatory Report to the Convention on Cybercrime van de Raad van Europa stelt onomwonden: ‘A computer system under the Convention is a device consisting of hardware and software developed for automatic processing of data’. Hoewel volgens de parlementaire geschiedenis nadrukkelijk de gegevens die zich in een geautomatiseerd werk bevinden, niet zijn betrokken in de definitie van een geautomatiseerd werk zelf, houdt dit wel de erkenning in dat een geautomatiseerd werk slechts aan zijn bestemming kan voldoen door computerprogramma’s/software. Zoals beschreven, gold dit uit de aard der zaak ook voor geautomatiseerde werken zoals gedefinieerd in art. 80sexies Sr (oud), waarbij overigens de parlementaire geschiedenis bij de Wet computercriminaliteit II vermeldt dat deze definitie ook na de inwerkingtreding van het Cybercrimeverdrag nog volstaat. 2.19 In een annotatie onder het hier bestreden arrest van het gerechtshof Den Haag, zet N. Folsche nog eens uiteen wat het functionele verband is tussen een geautomatiseerd werk en gegevens als het gaat om een website (met weglating van een voetnoot): “10. Een aantal begrippen zijn belangrijk om te verduidelijken: website en webserver. Een website bestaat uit software die ervoor zorgt dat er een pagina kan worden weergegeven in de webbrowser van een computer. Een webserver is een computer die is geprogrammeerd om een website te hosten (benaderbaar te maken) op het internet. Een webserver bestaat uit een hardwarecomponent en een software-component. Het hardwarecomponent van de webserver is een computer die verbonden is met het internet. Het software-component van een webserver bestaat uit een programma dat zorgt voor het geautomatiseerd verwerken van verzoeken van clients. Dit houdt in dat de software zorgt voor het verwerken van een binnengekomen verzoek van een client dat vraagt om de website te zien. Vervolgens verstuurt de webserver de website. Hardware heeft uiteindelijk software nodig om automatisch bepaalde handelingen uit te voeren. Op zijn beurt kan software niet functioneren zonder hardware. 11. Een website bestaat uit software die bepaalt hoe de website eruit komt te zien en welke functionaliteiten de website heeft. Een website kan bijvoorbeeld gebruikmaken van een database voor het weergeven van bepaalde gegevens op de website. Door misbruik te maken van bepaalde kwetsbaarheden in de software van de website kan het voor kwaadwillenden mogelijk zijn om gegevens op te vragen uit een database op een webserver (…)” 2.20 De voorgaande nuancering van het onderscheid tussen geautomatiseerde werken en gegevens zou in overeenstemming kunnen zijn met de overwegingen van de Hoge Raad in het arrest van 24 december 2021 “dat een apparaat, netwerk of deel daarvan slechts met behulp van een of meer computerprogramma’s die functies van opslag, verwerking en overdracht van gegevens kan vervullen” en “dat de instandhouding van een actieve website vereist dat een geautomatiseerd werk (…) in werking is”. Dit zou zo kunnen worden begrepen dat het in de definities van ‘geautomatiseerd werk’ en ‘gegevens’ gelegen onderscheid tussen beide begrippen niet is losgelaten, maar dat is erkend dat het functionele verband tussen beide, dat mede in deze definities is begrepen, van belang is voor de vaststelling of de in een tenlastelegging beschreven handeling is verricht. 2.21 Dat lijkt ook de analyse te zijn die het gerechtshof Den Haag maakt in de bestreden uitspraak, waar het overweegt: “Het hof begrijpt de aangehaalde overweging aldus dat daarin alleen de vraag wordt beantwoord of de vaststelling dat sprake is van een DDoS-aanval op een website met zich brengt dat de werking van een specifiek geautomatiseerd werk wordt belemmerd.” et bofHet hof bespreekt in zijn arrest echter niet de mogelijkheid dat voor het in de tenlastelegging en in art. 138ab Sr opgenomen ‘binnendringen’ een zelfde soort verband zou kunnen bestaan tussen een geautomatiseerd werk en gegevens als voor het ‘belemmeren’ in de zin van art. 138b Sr. 2.22 Op zich is een dergelijk verband goed denkbaar. In de parlementaire geschiedenis bij de Wet computercriminaliteit III wordt genoemd dat juist een kwetsbaarheid in de (beveiligings)software het mogelijk kan maken een geautomatiseerd werk binnen te dringen. Het binnendringen in een geautomatiseerd werk zal verder vaak via een website lopen, bijvoorbeeld door in te loggen op een website met een inlognaam en wachtwoord die samen als een valse sleutel zijn aan te merken. Concreet staat in de in deze zaak door de rechtbank gebruikte bewijsmiddelen dat de beheerder van de website had geconstateerd “dat iets aan de hand was op de [web]pagina ‘wachtwoord vergeten’” (cursivering toegevoegd, MvW). 2.23 Dit laat onverlet dat uiteindelijk moet zijn binnengedrongen in een geautomatiseerd werk. Van ‘binnendringen’ als bedoeld in art. 138ab lid 1 Sr is sprake wanneer de toegang tot (een deel van) een geautomatiseerd werk wordt verschaft tegen de onmiskenbare wil van de rechthebbende. Een dergelijk toegang verschaffen veronderstelt gebruik van een computerprogramma in dat geautomatiseerde werk. Naar mijn mening is het dan ook niet mogelijk om binnen te dringen in “een verzameling gegevens”, zoals geformuleerd door het hof in de onderhavige zaak, zonder ook binnen te dringen in het geautomatiseerde werk. Enkele opmerkingen over de wijze van ten laste leggen 2.24 Voor ik toekom aan de beoordeling van het middel, eerst nog enkele algemene opmerkingen over de rol die de tenlastelegging speelt in deze problematiek. In de praktijk lijkt een aantal verschillende wijzen van ten laste leggen te worden gebruikt. In de DDOS-zaak die ten grondslag lag aan het arrest van 24 december 2021 was de tenlastelegging als volgt geformuleerd (onderstrepingen en cursiveringen mijnerzijds): ‘[dat de verdachte] in of omstreeks de periode van 23 oktober 2017 tot en met 25 oktober 2017 te Amsterdam, in elk geval in Nederland, opzettelijk en wederrechtelijk de toegang tot en/of het gebruik van een geautomatiseerd werk heeft belemmerd, door daaraan gegevens aan te bieden en/of toe te zenden, immers heeft verdachte door middel van de site "[website 1]" gegevens aangeboden en/of toegezonden naar de website "[website 2]" waardoor de toegang tot en/of het gebruik van dit geautomatiseerde werk werd(
AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.