ECLI:NL:RVS:2019:1400

201804030/1/V3.

Datum uitspraak: 30 april 2019

AFDELING

BESTUURSRECHTSPRAAK

Uitspraak op het hoger beroep van:

[de vreemdeling],

appellant,

tegen de uitspraak van de rechtbank Den Haag, zittingsplaats Groningen, van 9 mei 2018 in zaak nr. NL18.8071 in het geding tussen:

de vreemdeling

en

de staatssecretaris van Justitie en Veiligheid.

Bij besluit van 24 april 2018 is de vreemdeling in vreemdelingenbewaring gesteld.

Bij uitspraak van 9 mei 2018 heeft de rechtbank het daartegen door de vreemdeling ingestelde beroep ongegrond verklaard en het verzoek om schadevergoeding afgewezen.

Tegen deze uitspraak heeft de vreemdeling hoger beroep ingesteld.

Daartoe in de gelegenheid gesteld, heeft de vreemdeling zich nader uitgelaten.

De Afdeling heeft de zaak ter zitting behandeld op 7 maart 2019, waar de vreemdeling, vertegenwoordigd door mr. L.J. Meijering, advocaat te Assen, en de staatssecretaris, vertegenwoordigd door mr. H.D. Streef, zijn verschenen. Voorts is B.J.S.A.A.F. de Winter aan de zijde van de vreemdeling als deskundige verschenen. Namens de Raad voor de rechtspraak zijn L.H.A. Morsink, G.W.O. Reinders en mr. J.H.M. Hesseling, bijgestaan door mr. E.C. Pietermaat, advocaat te Den Haag, verschenen.

Na sluiting van het onderzoek ter zitting heeft de Afdeling het onderzoek heropend met toepassing van artikel 8:68 van de Algemene wet bestuursrecht (hierna: de Awb). Daarna is een schriftelijke verklaring van mr. C. Coster en A.J. van Bruggen, aan het dossier toegevoegd. Met toepassing van artikel 8:57, eerste lid, van de Awb heeft de Afdeling vervolgens bepaald dat een nadere zitting achterwege blijft.

De Afdeling bestuursrechtspraak van de Raad van State:

I. bevestigt de aangevallen uitspraak;

II. veroordeelt de staatssecretaris van Justitie en Veiligheid tot vergoeding van bij de vreemdeling in verband met de behandeling van het hoger beroep opgekomen proceskosten tot een bedrag van € 5.437,45 (zegge: vijfduizendvierhonderdzevenendertig euro en vijfenveertig cent), waarvan € 4.096,00 is toe te rekenen aan door een derde beroepsmatig verleende rechtsbijstand en waarvan € 1.341,45 kosten van deskundigen betreft; dit laatste bedrag moet worden vermeerderd met de daarover verschuldigde omzetbelasting.

Aldus vastgesteld door mr. N. Verheij, voorzitter, en mr. H.G. Lubberdink en mr. R.J. Koopman, leden, in tegenwoordigheid van mr. A.M. van Meurs-Heuvel, griffier.

w.g. Verheij w.g. Van Meurs-Heuvel

voorzitter griffier

Uitgesproken in het openbaar op 30 april 2019

47-873.

Inleiding

1. Sinds 12 juni 2017 wordt in asiel- en bewaringszaken verplicht digitaal geprocedeerd bij de verschillende zittingsplaatsen van de rechtbank Den Haag en verloopt de communicatie in een zaak via een digitaal dossier (hierna: Mijn Rechtspraak). Bij zaken die na 29 maart 2018 bij de rechtbank zijn ingediend ondertekenen de rechter en de griffier uitspraken digitaal. Voor die datum werden uitspraken in digitale zaken nog geprint, met een 'natte handtekening' ondertekend, gescand en in het digitale dossier geplaatst. De Afdeling beantwoordt in deze uitspraak de vraag of de digitale ondertekening van uitspraken van de rechtbank voldoet aan de eisen die daaraan in de wet worden gesteld. Deze uitspraak is van belang voor alle uitspraken die digitaal zijn ondertekend met gebruikmaking van het door de Raad voor de rechtspraak ontwikkelde systeem.

De eerste grief

2. De vreemdeling klaagt in grief 1 dat de uitspraak van de rechtbank niet rechtsgeldig is ondertekend door de rechter en de griffier. De digitale handtekeningen voldoen niet aan de eisen van artikel 5 en 3 van het Besluit digitalisering burgerlijk procesrecht en bestuursprocesrecht (Stb. 2016, 292; hierna: het Besluit), aldus de vreemdeling.

Wettelijke eisen aan de digitale handtekening

3. Artikel 8:36d, eerste lid, van de Awb luidt:

"Waar in de hoofdstukken 6 en 8 voor het verkeer met de bestuursrechter ondertekening is voorgeschreven is aan dit vereiste voldaan indien het stuk is ondertekend met een elektronische handtekening die voldoet aan bij of krachtens algemene maatregel van bestuur te stellen eisen."

Artikel 5, eerste lid, van het Besluit luidt:

"De elektronische handtekening, bedoeld in artikel 30c, derde lid, van het Wetboek van Burgerlijke Rechtsvordering en artikel 8:36d, eerste lid, van de Algemene wet bestuursrecht, voldoet aan de volgende eisen:

a. de ondertekenaar heeft zich geauthentiseerd met een middel dat voldoet aan de eisen gesteld in artikel 3 van dit besluit; en

b. zij is op zodanige wijze verbonden aan het elektronische bestand waarop zij betrekking heeft, dat de identiteit van de ondertekenaar, het moment van ondertekening en elke wijziging na ondertekening van het document kunnen worden achterhaald."

Artikel 3 van het Besluit luidt:

"Authenticatie om toegang te krijgen tot een digitaal systeem voor gegevensverwerking van de rechterlijke instanties, vindt plaats met een middel dat voldoet aan de volgende eisen:

a. het is uitgegeven door de overheid of een onder toezicht van de overheid staande organisatie;

b. het gaat uit van een tweefactorauthenticatie; en

c. het is aangewezen door de rechterlijke instanties."

Toelichting op de werkwijze en het systeem bij digitaal ondertekenen

4. Op verzoek van de Afdeling heeft de rechtbank Den Haag, zittingsplaats Groningen, bij brief van 26 juli 2018 een toelichting gegeven over de werkwijze van de rechtbank bij het ondertekenen van uitspraken die krachtens artikel 8:36d, eerste lid, van de Awb digitaal worden ondertekend. Naar aanleiding van deze brief heeft de Afdeling de Raad voor de rechtspraak verzocht om een nadere toelichting, toegespitst op de eisen van artikel 5 en 3 van het Besluit. De Raad voor de rechtspraak heeft hiervoor een technisch onderzoek laten verrichten door de ICT-dienstverlener voor de rechtspraak, Informatievoorzieningsorganisatie Rechtspraak (IVO Rechtspraak). Het rapport van technisch onderzoek van 8 augustus 2018 is nader aangevuld bij brief van 1 maart 2019.

4.1. Bij de beschrijving van de manier waarop invulling wordt gegeven aan de vereiste tweefactorauthenticatie maakt de Raad voor de rechtspraak onderscheid tussen drie verschillende situaties. Op verschillende werkplekken wordt namelijk gebruik gemaakt van verschillende authenticatiemethoden. Wanneer de ondertekenaar gebruik maakt van een eigen mobiele werkplek, bijvoorbeeld bij thuiswerken, logt die gebruiker in op het systeem van de rechtspraak met een gebruikersnaam en wachtwoord en een eenmalige code die door een applicatie op een beveiligde mobiele telefoon wordt gegenereerd. Wanneer de ondertekenaar gebruik maakt van een mobiele werkplek van de rechtspraak, de "flexplek", logt die gebruiker in op een, na identiteitscontrole in persoon ontvangen, versleutelde laptop, met een gebruikersnaam en wachtwoord. Wanneer de ondertekenaar gebruik maakt van een vaste werkplek binnen een gebouw van de rechtspraak logt die gebruiker, na met de aan hem of haar verstrekte Rijkspas toegang te hebben verkregen tot de werkplek binnen het gebouw, in met een gebruikersnaam en wachtwoord. Volgens de Raad voor de rechtspraak wordt in al deze situaties voldaan aan de eisen die in artikel 5, eerste lid, aanhef en onder a, van het Besluit en artikel 3 van het Besluit zijn gesteld aan de authenticatie.

4.2. Aan de eisen die in artikel 5, eerste lid, aanhef en onder b, van het Besluit worden gesteld wordt ook voldaan, aldus de Raad voor de rechtspraak. De digitale handtekeningen onder een uitspraak worden voorafgaand aan de plaatsing van de uitspraak in Mijn Rechtspraak gewaarmerkt. Hierbij wordt door een vastgesteld algoritme een unieke cijferreeks bepaald, dit is de "hashcode" van de uitspraak. Deze hashcode wordt samen met andere gegevens van de uitspraak, waaronder de gegevens van de ondertekenaars en het moment van ondertekening, opgeslagen in een register. Het systeem koppelt deze gegevens aan een unieke documentcode die ook in de tekst van de uitspraak wordt opgenomen, waardoor een verbinding ontstaat tussen een specifieke uitspraak en de gegevens van die uitspraak die zijn opgeslagen in het register. Eventuele wijzigingen van de uitspraak na ondertekening zijn te achterhalen door met behulp van het algoritme opnieuw een hashcode te bepalen. Iedere wijziging in de uitspraak zal namelijk bij herberekening door hetzelfde algoritme tot een andere hashcode leiden. Als deze hashcode niet overeenkomt met de hashcode die is opgeslagen in het register, hebben er wijzigingen plaatsgevonden in de uitspraak. Visuele inspectie door de griffie van de rechtbank moet vervolgens uitwijzen wat er precies is gewijzigd in de uitspraak.

4.3. Voorafgaand aan de zitting heeft de vreemdeling schriftelijk op de door de Raad voor de rechtspraak ingediende stukken gereageerd. In zijn laatste reactie, van 5 maart 2019, verwijst de vreemdeling naar een rapport van deskundige B.J.S.A.A.F. de Winter, een Nederlandse onderzoeksjournalist met specialisatie in informatiebeveiliging, privacy en ICT.

Zitting

4.4. Ter zitting heeft de Raad voor de rechtspraak een demonstratie gegeven waarbij een uitspraak digitaal is ondertekend door een rechter en griffier van de rechtbank Den Haag, zittingsplaats Zwolle. De vreemdeling en de door hem meegebrachte deskundige hebben op deze demonstratie gereageerd, waarna de werkwijze en het systeem van de rechtspraak is besproken aan de hand van de demonstratie en de ingediende stukken.

Tweefactorauthenticatie

4.5. De nota van toelichting bij het Besluit vermeldt op pagina 10 dat authenticatie ertoe dient om met voldoende betrouwbaarheid de identiteit van een gebruiker van een digitaal systeem vast te stellen. De identiteit van een ondertekenaar kan alleen aan het document worden verbonden als hij zich heeft geauthentiseerd. De term tweefactorauthenticatie in artikel 3, aanhef en onder b, van het Besluit verwijst naar het gebruik van twee of meer authenticatiemethoden van verschillende typen. Hierbij kan volgens de nota van toelichting (Stb. 2016, 292, p. 23) worden gedacht aan: iets wat de gebruiker weet en iets wat de gebruiker heeft. Iets wat de gebruiker weet is bijvoorbeeld zijn gebruikersnaam en wachtwoord. Als een dienst vervolgens ook gebruik maakt van iets wat in het bezit is van de gebruiker, zoals een token of een mobiele telefoon waarnaar een SMS-bericht met een code wordt gestuurd, is sprake van een tweefactorauthenticatie.

4.5.1. In alle drie de door de Raad voor de rechtspraak genoemde situaties wordt gebruikgemaakt van een gebruikersnaam en een wachtwoord, iets wat de gebruiker weet.

8. Het hoger beroep is ongegrond. De uitspraak van de rechtbank wordt bevestigd.

9. De Afdeling ziet aanleiding de staatssecretaris op na te melden wijze en met toepassing van wegingsfactor 2 te veroordelen tot vergoeding van de proceskosten van de vreemdeling.

9.1. De kosten van het door de vreemdeling opgevoerde deskundigenrapport en het verschijnen ter zitting van de deskundige komen voor vergoeding in aanmerking, gelet op de technische kennis die vereist is voor het procederen in deze zaak.

Volgens het formulier proceskosten en de bijgevoegde factuur heeft het deskundigenrapport zeven uur arbeidstijd gekost, wat de Afdeling niet onaannemelijk acht. De Afdeling hanteert hiervoor een forfaitair bedrag van € 121,95 per uur. Verder stelt de Afdeling de verletkosten in verband met het verschijnen van de deskundige ter zitting forfaitair vast op vier uur. De Afdeling zal de kosten voor het bijstaan door de deskundige daarom vaststellen op € 1.341,45, vermeerderd met de daarover verschuldigde omzetbelasting.

Samenvatting van de uitspraak

10. In deze uitspraak heeft de Afdeling geoordeeld dat de werkwijze die door de rechtspraak wordt gehanteerd bij het digitaal ondertekenen van uitspraken in sommige gevallen niet voldoet aan de wettelijke eisen. Bij gebruik van zowel de mobiele werkplek van de rechtspraak als de vaste werkplek authentiseert de ondertekenaar zich niet met een middel dat uitgaat van tweefactorauthenticatie. Dit raakt de betrouwbaarheid van de verbinding tussen de identiteit van de ondertekenaars en de uitspraak. In dit geval heeft de rechter, en mogelijk ook de griffier, zich niet geauthentiseerd met een middel dat uitgaat van tweefactorauthenticatie. De verbinding tussen de identiteit van de ondertekenaars en de uitspraak is echter alsnog tot stand gekomen met een schriftelijke verklaring van de rechter en de griffier. Dit betekent dat de klacht terecht is voorgedragen, maar de grief niet tot vernietiging van de uitspraak van de rechtbank leidt.

Wat betekent dit?

11. Totdat de rechtspraak de gehanteerde werkwijze aanpast, zal de Afdeling in zaken waarin een grief wordt aangevoerd over de digitale ondertekening van de uitspraak van de rechtbank vragen stellen aan de desbetreffende ondertekenaars. Verder geldt dat uitspraken van de rechtbank rechtskracht hebben wanneer daartegen geen hoger beroep is ingesteld. In het geval tegen een uitspraak wel hoger beroep is ingesteld zal de Afdeling de ondertekening daarvan uitsluitend beoordelen wanneer het hogerberoepschrift daarover een grief bevat.

De tweede authenticatiemethode verschilt per situatie. De Afdeling zal daarom voor de verschillende situaties afzonderlijk beoordelen of wordt voldaan aan de eisen die ingevolge artikel 5, eerste lid, aanhef en onder a, van het Besluit in artikel 3 van het Besluit zijn gesteld aan de authenticatie.

De eigen mobiele werkplek

4.5.2. Uit de overgelegde stukken en de gegeven toelichting ter zitting volgt dat in deze situatie wordt voldaan aan het vereiste van tweefactorauthenticatie, als bedoeld in artikel 3, aanhef en onder b, van het Besluit. De ondertekenaar authentiseert zich voor het verkrijgen van toegang tot het systeem van de rechtspraak in dit geval met iets wat hij weet, namelijk zijn gebruikersnaam en wachtwoord, en iets wat hij heeft, namelijk de code die door een applicatie op zijn beveiligde mobiele telefoon wordt gegenereerd. Anders dan de vreemdeling ter zitting heeft betoogd volgt uit artikel 5, eerste lid, aanhef en onder a, van het Besluit niet dat de ondertekenaar zich op het moment van ondertekenen opnieuw moet authentiseren met een middel dat uitgaat van tweefactorauthenticatie.

4.5.3. Verder wordt ook voldaan aan de overige eisen van artikel 3 van het Besluit. Voor het ondertekenen wordt namelijk gebruikgemaakt van een digitaal systeem voor gegevensverwerking dat door de Raad voor de rechtspraak is ontwikkeld. Het gebruikte authenticatiemiddel is een onderdeel van dit systeem en daarmee uitgegeven door de Raad voor de rechtspraak, een organisatie die ingevolge de Wet op de rechterlijke organisatie onder toezicht staat van de overheid. Ook is het gebruikte systeem aangewezen door de rechterlijke instanties (Stcrt. 2017, nr. 15688-n1).

De mobiele werkplek van de rechtspraak

4.5.4. In deze situatie maakt de ondertekenaar gebruik van een laptop die door de rechtspraak ter beschikking is gesteld. Deze laptop is na een identiteitscontrole uitgereikt aan één specifieke persoon en versleuteld met een BitLocker encryptietool. De BitLocker encryptietool vergrendelt de harde schijf van de laptop. Om te kunnen inloggen moet de gebruiker de BitLocker-versleuteling ontgrendelen met een code die hij bij afgifte van de laptop zelf heeft gekozen. Na het ontgrendelen van de BitLocker-versleuteling verkrijgt de gebruiker toegang tot het systeem van de rechtspraak met zijn gebruikersnaam en wachtwoord.

4.5.5. De Afdeling volgt de Raad voor de rechtspraak niet in zijn betoog dat het bezit van de laptop, waarvan de harde schijf is vergrendeld met de BitLocker encryptietool, kan worden aangemerkt als de authenticatiemethode, waarbij de gebruiker iets heeft. De identiteitscontrole vindt namelijk alleen bij afgifte van de laptop plaats, terwijl tweefactorauthenticatie volgens pagina 10 van de nota van toelichting bij het Besluit moet waarborgen dat degene die gebruikmaakt van het middel ook degene is aan wie het middel is uitgegeven. Op het moment dat een gebruiker toegang wil verkrijgen tot het systeem van de rechtspraak, gebruikt hij daarvoor de BitLocker-code en een gebruikersnaam en wachtwoord. In tegenstelling tot de eerste situatie wordt de gebruikte code niet gegenereerd op het moment dat de gebruiker toegang wenst te verkrijgen tot het systeem. De BitLocker-code is door de gebruiker zelf bedacht bij afgifte van de laptop. In deze situatie wordt dus twee keer dezelfde authenticatiemethode gebruikt, namelijk iets wat de gebruiker weet. Gelet op het voorgaande is in deze situatie geen sprake van tweefactorauthenticatie als bedoeld in artikel 3, aanhef en onder b, van het Besluit.

De vaste werkplek van de rechtspraak

4.5.6. In deze situatie maakt de ondertekenaar gebruik van een vaste werkplek binnen een beveiligd gedeelte van een gebouw van de rechtspraak. De gebruiker van het systeem krijgt toegang tot het gebouw en daarmee tot deze werkplek met de Rijkspas en verkrijgt vervolgens toegang tot het systeem van de rechtspraak door middel van zijn gebruikersnaam en wachtwoord.

4.5.7. De Afdeling volgt de Raad voor de rechtspraak niet in zijn betoog dat het gebruik van de Rijkspas om toegang te verkrijgen tot de vaste werkplek moet worden aangemerkt als authenticatiemethode, te weten iets wat de gebruiker heeft. Er bestaat, zoals de Raad voor de rechtspraak ter zitting ook heeft erkend, namelijk geen systematische verbinding tussen de controle of de persoon die op enig moment het beveiligde gedeelte van het gebouw betreedt ook de persoon is die door middel van zijn gebruikersnaam en wachtwoord toegang verkrijgt tot het systeem van de rechtspraak. De twee systemen functioneren los van elkaar. Alleen al hierom kan het bezit en gebruik van de Rijkspas niet als authenticatiemethode gelden in de zin van het Besluit. Gelet op het voorgaande voldoet ook deze situatie niet aan het vereiste van tweefactorauthenticatie als bedoeld in artikel 3, aanhef en onder b, van het Besluit.

4.5.8. Wanneer de ondertekenaar gebruikmaakt van de mobiele of de vaste werkplek van de rechtspraak voldoet de authenticatie, gelet op hetgeen onder 4.5.5 en 4.5.7 is overwogen, niet aan de eisen van artikel 3 en 5, eerste lid, aanhef en onder a, van het Besluit.

De overige eisen van artikel 5 van het Besluit

4.6. Wanneer de ondertekenaar gebruikmaakt van de eigen mobiele werkplek wordt, gelet op hetgeen onder 4.5.2 en 4.5.3 is overwogen, voldaan aan de eisen van artikel 3 en 5, eerste lid, aanhef en onder a, van het Besluit. Daarom komt de Afdeling ook toe aan de beoordeling of het systeem van de rechtspraak voldoet aan de eisen van artikel 5, eerste lid, aanhef en onder b, van het Besluit. Dit artikellid vereist dat de digitale handtekening op zodanige wijze wordt verbonden aan de uitspraak, dat de identiteit van de ondertekenaar, het moment van ondertekening en elke wijziging na ondertekening van de uitspraak kunnen worden achterhaald.

4.7. Het door de Raad voor de rechtspraak in de overgelegde stukken beschreven systeem voldoet aan de eisen van artikel 5, eerste lid, aanhef en onder b, van het Besluit. De gegevens van de ondertekenaars en het moment van ondertekening staan opgeslagen in het register en kunnen aan de hand van de unieke documentcode worden achterhaald. Door een nieuwe hashcode te bepalen en deze te vergelijken met de hashcode in het register kan worden achterhaald of de uitspraak na ondertekening gewijzigd is. Visuele inspectie door de griffie van de rechtbank zal vervolgens uitwijzen wat er precies gewijzigd is. Het plaatsen door de griffie van de uitspraakdatum in de uitspraak is, anders dan de vreemdeling betoogt, geen wijziging van de uitspraak. Die plaatsing is, volgens de door de Raad voor de rechtspraak overgelegde stukken, net als de digitale ondertekening zelf een geautomatiseerde systeemfunctie waarmee de tekst van de uitspraak niet kan worden veranderd. Overigens wordt die handeling intern geregistreerd en is die aldus ook te achterhalen.

4.8. Behalve partijen moeten ook personen die geen toegang hebben tot het digitale dossier van een specifieke zaak kunnen vertrouwen op uitspraken, die zijn voorzien van digitale handtekeningen. In dit verband moeten zij ook de mogelijkheid hebben om een uitspraak te laten valideren. Daarvoor zijn zij op dit moment afhankelijk van de griffie, net zoals partijen. Niet is in geschil dat een digitale validatieservice in dit verband wenselijk is. De rechtbank heeft in haar digitale uitspraken kortstondig verwezen naar de validatieservice Justid. Deze verwijzing is weer uit de uitspraken verwijderd omdat de service op dit moment niet naar behoren werkt. Dit leidt echter niet tot de conclusie dat de ondertekening niet voldoet aan artikel 5, eerste lid, aanhef en onder b, van het Besluit. Daarin worden namelijk geen eisen gesteld aan de manier waarop wijzigingen kunnen worden achterhaald. De huidige werkwijze waarbij de griffie validatieverzoeken van anderen dan partijen afhandelt is ook daarom in overeenstemming met het Besluit.

Heropening onderzoek

5. Aan de uitspraak van de rechtbank is niet te zien van welke werkplek de rechter en de griffier bij de ondertekening gebruik hebben gemaakt.