CBb, 13-01-2015, nr. AWB 13/507 en 13/526

Bestuurlijke fase

Liander, een 100% dochter van Alliander N.V., is aangewezen als netbeheerder in de zin van artikel 10 E-wet en artikel 2 Gaswet. Tot 1 juli 2009 behoorden Liander en Nuon CCC tot dezelfde (Nuon-)groep. Als gevolg van de Wet onafhankelijk netbeheer heeft op die datum een splitsing plaatsgevonden van N.V. Nuon in een productie- en leveringsbedrijf N.V. Nuon Energy (Nuon Energy) en het netwerkbedrijf Alliander N.V.. De toenmalige minister van Economische Zaken heeft een aanwijzing op het splitsingsplan gegeven.

Liander is als netbeheerder op grond van de door ACM krachtens de E-wet en Gaswet vastgestelde Informatiecode Elektriciteit en Gas verplicht een register aan te leggen en te beheren waarin per aansluiting onder meer de European Article Number (EAN-code) van de aansluiting, de naam van de aangeslotene, de adresgegevens, het standaard jaarverbruik en de identificatie van de actuele leverancier die behoort bij de desbetreffende aansluiting (bedrijfs EAN-code) zijn vastgelegd. Liander heeft met de binnen haar verzorgingsgebied op het gas- en/of elektriciteitsnet aangesloten kleinverbruikers voorts een aansluit- en transportovereenkomst gesloten en beschikt in dit kader over contractgegevens zoals naam en adres van de aangesloten kleinverbruiker en het werkelijke jaarverbruik dat in beginsel door meting wordt vastgesteld. Liander heeft verklaard dat al deze gegevens persoonsgegevens in de zin van de Wet bescherming persoonsgegevens (Wbp) zijn.

Liander heeft de administratieve afhandeling van het berichtenverkeer in het kader van verhuizingen en leverancierswitches, het collecteren van meterstanden en de facturatie uitbesteed aan Nuon CCC. Nuon CCC is evenals N.V. Nuon Sales Nederland (Nuon Sales) 100% dochter van N.V. Nuon Sales, die op haar beurt 100% dochter van Nuon Energy is. Nuon CCC verricht naast haar werkzaamheden voor Liander tevens werkzaamheden voor Nuon Sales, zoals het afhandelen van administratieve processen die samenhangen met verhuizingen van klanten van Nuon Sales en leverancierswitches, maar ook commerciële activiteiten als het uitnutten van de bestaande klantcontacten met als doel een verkoop te genereren van een product dat of een dienst die tot het Nuon-portfolio behoort en het zorgen voor de opvang van marketingcampagnes van Nuon Sales.

ACM is in oktober 2010 gestart met een onderzoek naar een mogelijke overtreding door Liander van artikel 79, eerste lid, E-wet en artikel 37, eerste lid, Gaswet. Het onderzoek ziet blijkens de boeterapporten van 23 september 2011 op de periode van 1 juli 2009 tot 23 september 2011. Liander heeft tijdens het onderzoek verklaard dat haar klantgegevens onder meer worden vastgelegd in SAP-NWB, het geautomatiseerde klantsysteem van Liander. ACM heeft - voor zover thans nog van belang - vastgesteld dat Nuon CCC ten behoeve van haar werkzaamheden over klantgegevens van zowel Nuon Sales als Liander beschikt, dat die klantgegevens gezamenlijk zijn opgeslagen in één door Nuon CCC gebruikt geautomatiseerd klantsysteem, genaamd SAP-PLB, dat Liander en Nuon CCC afspraken hebben gemaakt over het gebruik van elkaars IT-systemen en dat in het Dossier Afspraken & Procedures hieromtrent afspraken zijn vastgelegd. Daaruit blijkt dat klantgegevens van Liander die zijn opgeslagen in SAP-NWB ter beschikking worden gesteld aan de afdeling IT van Nuon Energy. Nuon Sales heeft verklaard dat 87 van haar medewerkers tot omstreeks 23 februari 2011 door de afdeling IT van Nuon Energy waren geautoriseerd om op individuele basis in SAP-PLB opgeslagen klantgegevens in te zien. Na die datum zouden nog drie medewerkers van Nuon Sales daartoe geautoriseerd zijn, doch die autorisatie zou in een later stadium eveneens zijn ingetrokken.

Liander heeft in de dienstverleningsovereenkomst en service level agreement met Nuon CCC afspraken opgenomen met betrekking tot het waarborgen van de vertrouwelijkheid van haar klantgegevens. Met uitzondering van periodiek overleg tussen Nuon CCC en Liander over de uitvoering van de overeenkomst en een steekproefsgewijze controle op de werkvloer van Nuon CCC, is ACM niet gebleken van aanvullende controles op het waarborgen van de vertrouwelijkheid van de klantgegevens van Liander door Nuon CCC.

ACM is op grond van deze gegevens van mening dat Liander in de periode die liep van 1 juli 2009 tot 23 februari 2011 artikel 79, eerste lid, E-wet en artikel 37, eerste lid, Gaswet heeft overtreden, omdat zij over vertrouwelijke gegevens van haar klanten beschikte, het vertrouwelijke karakter van deze gegevens kende en deze gegevens niet heeft geheimgehouden. Daarbij is niet het verwijt dat Liander deze gegevens heeft gedeeld met Nuon CCC - dit werd Liander in het kader van de uitbesteding van werkzaamheden toegestaan -, maar dat Liander er onvoldoende zorg voor heeft gedragen dat medewerkers van Nuon Sales niet over vertrouwelijke klantgegevens van Liander konden beschikken2.. Voorts meent ACM dat Nuon CCC - in de hoedanigheid van medepleger - als overtreder kan worden aangemerkt (artikel 5:1, tweede lid, Awb). Maatgevend in dit verband acht ACM dat de samenwerking tussen Liander en Nuon CCC erin heeft geresulteerd dat medewerkers van Nuon Sales over vertrouwelijke klantgegevens van Liander konden beschikken.

Bij besluiten van 26 juni 2012, nummers 103469-2/73 en 103469-3/61, heeft ACM aan Liander respectievelijk Nuon CCC een bestuurlijke boete opgelegd van in totaal € 3.320.000 (tweemaal € 1.660.000) respectievelijk € 208.000 (tweemaal € 104.000) voor overtreding van de geheimhoudingsplicht van artikel 79, eerste lid, E-wet en artikel 37, eerste lid, Gaswet.

Geding in eerste aanleg

Liander en Nuon CCC hebben tegen de respectieve besluiten bezwaar gemaakt en hebben in hun bezwaarschriften ACM verzocht met rechtstreeks beroep bij de bestuursrechter in te stemmen (artikel 7:1a Awb), aan welk verzoek ACM gevolg heeft gegeven.

De rechtbank Rotterdam, die de zaken vervolgens gevoegd heeft behandeld, heeft de beroepen van Liander en Nuon CCC bij de bestreden uitspraak ongegrond verklaard.

Daartoe heeft de rechtbank onder meer overwogen dat, anders dan Liander en Nuon CCC hadden verdedigd, van een overtreding van artikel 79, eerste lid, E-wet en artikel 37, eerste lid, Gaswet, niet eerst sprake kan zijn indien de betrokken medewerkers van Nuon Sales daadwerkelijk van de klantgegevens van Liander hebben kennisgenomen en Nuon Sales deze gegevens ook daadwerkelijk (commercieel) heeft gebruikt. Volgens de rechtbank volstaat voor een overtreding dat een derde partij (niet zijnde Nuon CCC) de mogelijkheid heeft gehad deze gegevens te raadplegen. Naar aanleiding van hetgeen Liander en Nuon CCC over het al dan niet bestaan van een zorgplicht hadden aangevoerd, heeft de rechtbank nog overwogen dat blijkens de tekst en de strekking van de betrokken bepalingen van een resultaatsverplichting sprake is.

Met betrekking tot het door ACM aangenomen medeplegen van Nuon CCC heeft de rechtbank geoordeeld dat voor het medeplegen van culpoze delicten het opzet slechts op de samenwerking behoeft te zijn gericht. Volgens de rechtbank vloeit de voor het medeplegen vereiste nauwe samenwerking voort uit de uitbestedingsrelatie tussen Liander en Nuon CCC die in de dienstverleningsovereenkomst contractueel is vastgelegd. Omdat Liander en Nuon CCC zich beiden van de vertrouwelijkheid van de klantgegevens van Liander bewust waren en Nuon CCC in het kader van de uitbesteding over die gegevens kon beschikken, levert de ter beschikkingstelling van deze vertrouwelijke gegevens door laatstgenoemde aan Nuon Sales medeplegen op van de overtreding van artikel 79, eerste lid, E-wet en artikel 37, eerste lid, Gaswet, aldus nog steeds de rechtbank.

Geding in hoger beroep

Liander en Nuon CCC hebben bij pro forma hoger beroepschrift van 24 juli 2013, aangevuld bij aanvullend hoger beroepschrift van 20 september 2013, respectievelijk bij pro forma hoger beroepschrift van 20 juli 2013, aangevuld bij hoger beroepschrift van 20 september 2013, hoger beroep bij het College van Beroep voor het bedrijfsleven ingesteld.

Liander heeft in hoger beroep onder meer betoogd dat tegen de achtergrond van de Europese energiewetgeving een overtreding van artikel 79, eerste lid, E-wet en artikel 37, eerste lid, Gaswet eerst dan kan worden aangenomen, als vaststaat dat van de vertrouwelijke klantgegevens misbruik is gemaakt. Volgens Liander is, anders dan de rechtbank heeft geoordeeld, van een resultaatsverplichting geen sprake, maar moet worden uitgegaan van een zorgplicht van Liander om de vertrouwelijke klantgegevens geheim te houden. Liander stelt zich op het standpunt dat zij meer dan voldoende voorzorgsmaatregelen heeft getroffen.

Nuon CCC heeft zich in hoger beroep onder meer op het standpunt gesteld dat van een schending van de geheimhoudingsplicht geen sprake is, nu niet is gebleken dat onbevoegde personen van de vertrouwelijke klantgegevens van Liander hebben kennisgenomen. Daarbij heeft Nuon CCC erop gewezen dat uit de wetsgeschiedenis blijkt dat het doel van de onderhavige geheimhoudingsplicht is dat misbruik van vertrouwelijke gegevens wordt voorkomen. Subsidiair heeft Nuon CCC betoogd dat van een medeplegen geen sprake is, omdat het aan de daarvoor vereiste nauwe samenwerking tussen Liander en Nuon CCC bij de door ACM aangenomen schending van de geheimhoudingsplicht heeft ontbroken. Volgens Nuon CCC heeft zij, zoals zij op grond van de dienstverleningsovereenkomst verplicht was, de nodige maatregelen genomen om de klantgegevens van Liander te beschermen en was het niet haar fout maar een (buiten medeweten van haar, van Liander en van de betrokken medewerkers van Nuon Sales gemaakte) fout van Nuon IT dat vertrouwelijke klantgegevens van Liander in theorie voor medewerkers van Nuon Sales benaderbaar waren.

ACM heeft een verweerschrift ingediend en heeft bij haar standpunt volhard.

Op 27 maart 2014 heeft de behandeling ter terechtzitting plaatsgehad. Bij beslissing van 28 mei 2014 heeft het College van Beroep voor het bedrijfsleven het onderzoek heropend, de zaak verwezen naar een grote kamer en iedere verdere beslissing aangehouden.

Bij brief van 14 juli 2014 heeft de President van het College van Beroep voor het bedrijfsleven (hierna: de President) mij verzocht een conclusie te nemen als bedoeld in artikel 8:12a Awb en daarin op de navolgende drie onderwerpen in te gaan:

“1. Geheimhoudingsplicht. In de zaken staat ter discussie wat de geheimhoudingsplicht inhoudt en hoever deze plicht strekt.

2. Schuld. Volgens Liander kan haar de overtreding niet worden verweten, omdat de autorisaties door de afdeling Nuon IT zijn verleend aan Nuon Sales. Beiden staan volledig los van Liander. Vraag is hoe schuld in het bestuursrecht moet worden geduid in verhouding tot de strafrechtelijke beoordeling van dit begrip bij overtredingen.

3. Medeplegen. Sinds invoering van de vierde tranche Awb kunnen ook in het bestuursrecht medeplegers worden beboet. Jurisprudentie op dit punt moet nog worden ontwikkeld.”

In het navolgende zal ik allereerst onder 3-5 in meer algemene zin inhoud en reikwijdte van de geheimhoudingsplicht, de verschillende aspecten van het schuldbegrip (waaronder het begrip schuld in de zin van daderschap) en de figuur van het medeplegen bespreken. Onder 6 zal ik trachten die meer algemene beschouwingen op de feiten van de onderhavige zaken toe te spitsen. Onder 7 zal ik met een aantal conclusies besluiten.

De volgens ACM overtreden bepalingen

Artikel 79, eerste lid, E-wet luidt als volgt:

“Een netbeheerder die bij de uitvoering van zijn taak de beschikking krijgt over gegevens waarvan hij het vertrouwelijke karakter kent of redelijkerwijs moet vermoeden, is verplicht tot geheimhouding van die gegevens, behoudens voor zover enig wettelijk voorschrift hem tot mededeling verplicht, of uit zijn taak de noodzaak tot mededeling voortvloeit.”

Een nagenoeg gelijke formulering wordt gehanteerd in artikel 37, eerste lid, Gaswet:

“Een netbeheerder, een gasopslagbedrijf of een LNG-bedrijf dat bij de uitvoering van zijn taak de beschikking krijgt over gegevens waarvan hij het vertrouwelijke karakter kent of redelijkerwijs moet vermoeden, is verplicht tot geheimhouding van die gegevens, behoudens voor zover enig wettelijk voorschrift hem tot mededeling verplicht of uit zijn taak de noodzaak tot mededeling voortvloeit.”

De beide bepalingen strekken tot implementatie van de Europese energierichtlijnen, die netbeheerders onder meer voorschrijven de vertrouwelijkheid van commercieel gevoelige informatie die zij bij hun bedrijfsvoering hebben verkregen, te eerbiedigen.3.Tekstueel stemmen beide bepalingen goeddeels overeen met de model-geheimhoudingsbepaling die in het verleden als aanwijzing 73 in de Aanwijzingen voor de wetgevingstechniek was opgenomen.4.Mede daarom kan een vergelijkbare formulering in tal van andere wetten worden aangetroffen. Ook artikel 2:5 Awb, dat ertoe strekte dat de vele gelijksoortige bepalingen in specifieke wetten gaandeweg zouden kunnen vervallen,5.is op de modelbepaling gebaseerd:

“1. Een ieder die is betrokken bij de uitvoering van de taak van een bestuursorgaan en daarbij de beschikking krijgt over gegevens waarvan hij het vertrouwelijke karakter kent of redelijkerwijs moet vermoeden, en voor wie niet reeds uit hoofde van ambt, beroep of wettelijk voorschrift ter zake van die gegevens een geheimhoudingsplicht geldt, is verplicht tot geheimhouding van die gegevens, behoudens voor zover enig wettelijk voorschrift hem tot mededeling verplicht of uit zijn taak de noodzaak tot mededeling voortvloeit.

2. Het eerste lid is mede van toepassing op instellingen en daartoe behorende of daarvoor werkzame personen die door een bestuursorgaan worden betrokken bij de uitvoering van zijn taak, en op instellingen en daartoe behorende of daarvoor werkzame personen die een bij of krachtens de wet toegekende taak uitoefenen.”

Enkele andere, willekeurige voorbeelden van (nog geldende) geheimhoudingsbepalingen met een vergelijkbare formulering als die van artikel 79, eerste lid, E-wet en artikel 37, eerste lid, Gaswet zijn artikel 4 Goedkeuringswet EG-arbitrageverdrag inzake winstcorrecties tussen verbonden ondernemingen, artikel 11 Wet privatisering FVP, artikel 4 Wet klachtrecht cliënten zorgsector enartikel 6 Paspoortwet. Ook in de regelgeving van publiekrechtelijke bedrijfslichamen treft men vergelijkbare formuleringen aan, bijvoorbeeld in artikel 5 Verordening HBAG bestemmingsheffing promotieactiviteiten groothandel groenten en fruit 2013 en artikel 10 Verordening HBAG heffing groenten en fruit 2014.

Dat de geheimhoudingsbepalingen van de E-wet en de Gaswet op een model-geheimhoudingsbepaling zijn gebaseerd, acht ik in die zin van belang, dat niet kan worden aangenomen dat de tekst van die bepalingen de reflectie vormt van een bijzondere betekenis die de wetgever aan de geheimhoudingsplicht van de netbeheerder heeft willen toekennen of van een bijzondere bedoeling die de wetgever met het opleggen van die geheimhoudingsplicht aan de netbeheerder heeft gehad. Aan die geheimhoudingsplicht komt in beginsel geen andere betekenis toe dan aan de vergelijkbaar geformuleerde geheimhoudingsplichten die men ook in andere wetten aantreft. Overigens werpt de oorsprong van de geheimhoudingsbepalingen van de E-wet en de Gaswet in de Aanwijzingen voor de wetgevingstechniek op zichzelf geen licht op inhoud en reikwijdte van de in die bepalingen vervatte geheimhoudingsplicht.6.

Volgens artikel 5:1 lid 1 Awb wordt onder overtreding verstaan: een gedraging die in strijd is met het bepaalde bij of krachtens enig wettelijk voorschrift. Het begrip gedraging moet blijkens de wetsgeschiedenis in de ruimst mogelijke zin worden opgevat. Het omvat mede een nalaten. Ook het laten voortbestaan van een verboden toestand kan een gedraging in de zin van artikel 5:1 lid 1 Awb vormen. Een gedraging kan voorts aan de hand van het gevolg zijn omschreven; zo voorziet artikel 67a Algemene wet inzake rijksbelastingen in een bestuurlijke boete voor het geval dat “aan opzet of grove schuld van de belastingplichtige is te wijten dat de aanslag tot een te laag bedrag is vastgesteld of anderszins te weinig belasting is geheven”.7.

De volgens ACM overtreden bepalingen van E-wet en Gaswet werken niet nader uit wanneer een gedraging met de in die bepalingen vervatte geheimhoudingsplicht in strijd is. Een dergelijke uitwerking vindt men evenmin in artikel 77i, aanhef en onder b, E-wet en artikel 60ad, aanhef en onder b, Gaswet, die ACM bij overtreding van onder meer artikel 79, eerste lid, E-wet en artikel 37, eerste lid, Gaswet bevoegdheid tot het opleggen van een bestuurlijke boete verlenen.

Een zodanige uitwerking treft men wel aan in art. 272 Wetboek van Strafrecht (Sr), dat de volgens ACM overtreden bepalingen (en andere nagenoeg gelijk geformuleerde geheimhoudingsbepalingen zoals hiervoor onder 3.3 bedoeld) strafrechtelijk sanctioneert.

Artikel 272 Sr, dat deel uitmaakt van het tweede boek (“Misdrijven”), titel XVII (“Schending van geheimen”), spreekt van het geval dat iemand “die enig geheim waarvan hij weet of redelijkerwijs moet vermoeden dat hij uit hoofde van ambt, beroep of wettelijk voorschrift dan wel van vroeger ambt of beroep verplicht is het te bewaren, opzettelijk schendt”. Het ligt naar mijn mening voor de hand om ook met het oog op de bestuurlijke sanctionering van artikel 79, eerste lid, E-wet en artikel 37, eerste lid, Gaswet ervan uit te gaan dat overtreding van die bepalingen als delictsgedraging minst genomen een schending van de op de netbeheerder rustende geheimhoudingsplicht veronderstelt. De gedraging van de overtreder zal in elk geval van dien aard moeten zijn, dat gezegd kan worden dat het door hem te bewaren geheim daardoor is geschonden.

De notie van de in een schending van de geheimhoudingsplicht gelegen overtreding lijkt bij het zoeken naar inhoud en reikwijdte van de wettelijke geheimhoudingsplicht van artikel 79, eerste lid, E-wet en artikel 37, eerste lid, Gaswet maar weinig concrete aanknopingspunten te bieden. In het licht van de wetsgeschiedenis van artikel 272 Sr krijgt die notie echter meer reliëf.

In het oorspronkelijke regeringsontwerp van het wetboek luidde het opschrift van de betrokken titel “Openbaring van geheimen”. Ook het oorspronkelijke ontwerp van artikel 272 (toen nog: artikel 291) hanteerde de term “openbaart”: “Hij die opzettelijk eenig geheim hetwelk hij uit hoofde van zijn ambt of beroep verpligt is te bewaren, openbaart, wordt gestraft met gevangenisstraf van ten hoogste zes weken of geldboete van ten hoogste drie honderd gulden.” 8.De minister vond “openbaren” echter een te eng begrip, daar openbaren uitsluitend een algemeen bekendmaken omvat, terwijl elke schending van het geheim strafbaar behoort te zijn. Daarom werd in de bepaling de term “openbaart” door de term “bekendmaakt” vervangen.9.

In 1967 is de term “bekendmaakt” in artikel 272 Sr door de term “schendt” vervangen.10.Anders dan deze wijziging zou kunnen doen vermoeden, ligt daaraan niet een beoogde verruiming, maar juist een beoogde verenging van de reikwijdte van de bepaling ten grondslag. Blijkens de memorie van toelichting van een voorgaand ontwerp11.werd met deze wijziging beoogd te voorkomen dat de bepaling toepassing zou kunnen vinden, indien bijvoorbeeld een ambtsdrager het geheim bekendmaakt aan degene aan wie hij het ambtshalve moet bekendmaken.12.In de literatuur heeft deze wijziging de vraag opgeroepen of daarmee de afwezigheid van alle rechtvaardigingsgronden tot bestanddeel van de norm is gemaakt, dan wel slechts de afwezigheid van bekendmakingsplichten die met het bekleden van het ambt of beroep samenhangen.13.

Als, zoals ik meen, bij de beantwoording van de vraag of sprake is van een overtreding van de geheimhoudingsbepalingen van E-wet en Gaswet, de strafrechtelijk relevante delictsgedraging van een schending van de geheimhoudingsplicht leidend zou moeten zijn, rijst de vraag of aan die schending opzet al dan niet inherent is. Liander en Nuon CCC hebben dat laatste minst genomen gesuggereerd door erop te wijzen dat opzet als bestanddeel in artikel 272 Sr is opgenomen.

Naar mijn mening is opzet niet inherent aan geheimschending. Blijkens de delictsomschrijving van artikel 272 Sr (“(…) die (…) opzettelijk schendt (…)”) ligt het opzet niet al in de delictshandeling (het schenden) zelf besloten. Dat het oorspronkelijke regeringsontwerp dat aan de totstandkoming van de bepaling in het Wetboek van 1886 ten grondslag lag, naast de delictshandeling uitdrukkelijk opzet verlangde, leidde destijds overigens wel tot de vraag van de Raad van State of het woord “opzettelijk” niet zou moeten worden weggelaten. “Het opzet (zo motiveerde de Raad van State die vraag) blijkt uit de daad der openbaring.” De indiener van het ontwerp antwoordde daarop in het Rapport aan den Koning: “Het woord opzettelijk kan niet worden gemist. Het is toch mogelijk, dat iemand zich een geheim laat ontsnappen, zonder dat hij de openbaring wilde, of ook zonder te weten dat het een geheim is. Daarom moet het opzet aanwezig zijn, zal het feit strafbaar worden; (…).”14.Dat geheimschending niet al naar haar aard een opzetdelict is, vindt ten slotte bevestiging in het feit dat de wetgever in de jaren vijftig/zestig van de vorige eeuw voornemens was in artikel 272 Sr ook culpoze geheimschending strafbaar te stellen15.. Van dat voornemen is de wetgever teruggekomen,16.waarbij in het bijzonder een rol speelde dat het door de Hoge Raad in de jaren vijftig van de vorige eeuw erkende voorwaardelijke opzet ook bij schending van geheimen een rol kan spelen.17.Kennelijk werd tegen die achtergrond voor algemene strafbaarstelling van culpoze geheimschending geen aanleiding meer gezien, nu dankzij het voorwaardelijke opzet tegen de meest flagrante vormen van (tot bekendmaking leidende) onachtzaamheid reeds op grond van artikel 272 Sr zou kunnen worden opgetreden.18.

Opzet is niet inherent aan geheimschending. Voorts stellen noch de betrokken geheimhoudingsbepalingen, noch de wettelijke bepalingen op grond waarvan eventuele overtredingen bestuurlijk kunnen worden beboet, die overtredingen van enig opzet afhankelijk. Bij die stand van zaken biedt het feit dat artikel 272 Sr naast de schending van het geheim ook een daarop gerichte opzet verlangt, géén grond om aan te nemen dat slechts een opzettelijke overtreding van de wettelijke geheimhoudingsbepaling bestuursrechtelijk kan worden beboet. Dat geldt temeer nu de wetgever van de Awb onder ogen heeft gezien dat de bestuursrechtelijk gesanctioneerde gedragingen, evenals de overtredingen in het strafrecht, veelal materieel zijn omschreven en geen opzet of schuld als bestanddeel kennen. Daarom kon in de visie van de wetgever worden volstaan met het vastleggen van het beginsel dat geen boete kan worden opgelegd voor een gedraging waarvan de dader geen verwijt kan worden gemaakt.19.

Zoals hiervóór al aan de orde kwam, meen ik dat een overtreding van de volgens ACM geschonden geheimhoudingsbepalingen slechts kan worden aangenomen als van een (al dan niet opzettelijke) schending van de daarbij opgelegde geheimhoudingsplicht kan worden gesproken. Blijkens de wetsgeschiedenis van artikel 272 Sr is voor een dergelijke schending bepalend of de geheimhouder de geheim te houden gegevens aan een (onbevoegde) derde heeft bekendgemaakt.

In de onderhavige zaken is aan de orde dat Nuon IT aan onbevoegde derden (werknemers van Nuon Sales) al dan niet abusievelijk autorisaties heeft gegeven voor het door Nuon CCC gebruikte geautomatiseerde klantsysteem SAP-PLB, waarin (in het kader van de door Nuon CCC voor Liander te verrichten werkzaamheden) ook door Liander geheim te houden klantgegevens waren ondergebracht, en dat Liander zulks volgens ACM door een gebrek aan zorg niet heeft voorkomen, althans niet zo spoedig mogelijk als van haar mocht worden gevergd, heeft ontdekt. ACM heeft niet vastgesteld dat de betrokken werknemers van Nuon Sales daadwerkelijk van de hun verleende autorisaties voor het raadplegen van klantgegevens van Liander gebruik hebben gemaakt en de klantgegevens van Liander daadwerkelijk hebben ingezien. De vraag rijst of bij die stand van zaken kan worden gezegd dat Liander de door haar geheim te houden gegevens (al is het dan indirect) aan de betrokken werknemers van Nuon Sales heeft bekendgemaakt.

Men kan het begrip bekendmaken strikt of minder strikt opvatten. Zo wordt met betrekking tot artikel 273a Sr (dat strafbaar stelt dat een persoon, werkzaam bij een openbare instelling van vervoer, een aan die instelling toevertrouwde brief, gesloten stuk of pakket opzettelijk en wederrechtelijk opent, daarvan inzage neemt of de inhoud aan een ander bekendmaakt) wel aangenomen dat onder bekendmaken ook het geven van inzage behoort te worden begrepen.20.Naar mijn mening kan het begrip bekendmaken echter niet zo ruim worden opgevat dat het alle situaties omvat waarin de geheimhouder, in het bijzonder door een gebrek aan zorg, een situatie in het leven heeft geroepen waarin derden van de geheim te houden gegevens zouden kunnen kennisnemen, maar daadwerkelijke kennisname uitblijft.

Naar mijn mening mag het in het leven roepen of laten voortduren van een situatie waarin onbevoegde derden van de geheim te houden gegevens zouden kunnen kennisnemen, niet zonder meer met een bekendmaking worden vereenzelvigd. Zoals door Liander en Nuon CCC is benadrukt, maakt ook de wetgever een onderscheid tussen beide situaties, waar hij, naast een geheimhoudingsplicht, in een zorgplicht voorziet. Liander en Nuon CCC hebben in dit verband in het bijzonder gewezen op de Wet bescherming persoonsgegevens (Wbp), die, naast de geheimhoudingsplicht van artikel 12, in artikel 13 passende technische en organisatorische maatregelen verlangt, die, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau garanderen.

Liander en Nuon CCC hebben voorts erop gewezen dat de E-wet en de Gaswet, naast de geheimhoudingsplicht, niet in een dergelijke, op de netbeheerder rustende zorgplicht voorzien. Volgens ACM is het ontbreken van een dergelijke zorgplicht in de E-wet en de Gaswet echter eenvoudig te verklaren:21.

“In de Wbp is een uitgangspunt dat een ander dan de verantwoordelijke de gegevens kan bewerken. Daarom is vastgelegd hoe in een dergelijk geval de geheimhouding moet worden gewaarborgd. Bij de geheimhoudingsplicht in de E-wet en de Gaswet is dit niet het uitgangspunt. Daar is het feit dat een netbeheerder bepaalde werkzaamheden uitbesteedt, een uitzondering die tijdelijk was toegestaan in afwachting van de invoering van het leveranciersmodel. Omdat het niet efficiënt zou zijn om in afwachting van de invoering van dit nieuwe marktmodel een netbeheerder te verplichten deze werkzaamheden zelf uit te voeren, heeft de minister uitbesteding toegestaan, hoewel dat onder de letterlijke tekst van de wet niet mag. Vanuit dat oogpunt is het verklaarbaar dat in de wettekst van de E-wet en de Gaswet geen bepalingen zijn opgenomen over de te nemen maatregelen.”

Blijkens de memorie van toelichting bij de Wet onafhankelijk netbeheer is de minister afgeweken van het advies van de toenmalige DTe (Dienst uitvoering en toezicht energie) om de administratieve activiteiten voor en over de op het net van de netbeheerder aangesloten afnemers te rekenen tot de activiteiten die de netbeheerder zelf moet uitvoeren, omdat de in het kader van die activiteiten bij te houden en te registreren gegevens marktgevoelig en strategisch zijn:22.

“Naast het beheren van zijn net heeft de netbeheerder te maken met een aantal administratieve activiteiten voor en over de op zijn net aangesloten afnemers. Te denken valt hierbij aan het registreren en bijhouden van verbruikersgegevens, meetgegevens of gegevens over de aansluiting, en het bewerken van die gegevens, bijvoorbeeld voor een factuur. De DTe adviseert deze activiteiten te rekenen tot de activiteiten die de netbeheerder zelf uit moet voeren, omdat de gegevens marktgevoelig en strategisch zijn.

(…)

In de sector wordt momenteel gewerkt aan een uniforme toepassing van het leveranciersmodel, waarbij de leverancier ook het enige loket is voor de afnemer. Tevens wordt gewerkt aan modellen waarin een centrale instantie de administratieve processen van alle energiebedrijven beheert. Teneinde deze ontwikkelingen niet te frustreren en ook andere mogelijkheden om de administratie goed en efficiënt te regelen mogelijk te maken (bijvoorbeeld door middel van uitbesteding aan deskundige derden) is in dit wetsvoorstel geen nadere eis opgenomen ten aanzien van de administratieve processen. Dit betekent dat een netbeheerder de voor hem noodzakelijke administratieve processen kan uitbesteden, bijvoorbeeld aan een centrale instantie.

Hiermee wijk ik af van het door de DTe uitgebrachte advies, waarin wordt voorgesteld een netbeheerder te verplichten zijn administratie van gegevens van aangeslotenen zelf bij te houden en hem niet toe te staan deze administratieve processen uit te besteden.

Momenteel wordt op basis van de rapportages van de DTe over de administratieve problemen en los van dit wetsvoorstel onderzocht of, en zo ja welke, maatregelen nodig zijn om de administratieve problemen structureel op te lossen. Deze maatregelen en eventuele initiatieven van de bedrijven mogen uiteraard geen afbreuk doen aan de met dit wetsvoorstel beoogde onafhankelijkheid van de netbeheerders.”

Dat, zoals in de memorie van toelichting wordt gesteld, in het wetsvoorstel geen nadere eis ten aanzien van de administratieve processen is opgenomen, is juist. De administratie van gegevens van aangeslotenen komt niet voor in de wettelijke opsomming van werkzaamheden ter uitvoering van taken die de netbeheerder in eigen beheer of tezamen met een of meer andere netbeheerders moet verrichten (artikel 16Aa, tweede lid, E-wet, c.q. artikel 7a, tweede lid, Gaswet); evenmin zijn wettelijke regels gesteld met betrekking tot de uitbesteding van die administratie. Weliswaar is wettelijk in uitbesteding van werkzaamheden voorzien en is in dat verband bepaald dat de netbeheerder de verantwoordelijkheid behoudt voor de volledige en juiste uitvoering van de desbetreffende taken (artikel 16Aa, derde lid, E-wet, c.q. artikel 7a, derde lid, Gaswet), maar die regeling ziet slechts op de limitatief opgesomde taken, bedoeld in artikel 16Aa, tweede lid, E-wet, c.q. artikel 7a, tweede lid, Gaswet (waaronder dus niet de administratie). Alhoewel op zichzelf juist is dat het in de memorie van toelichting ingenomen standpunt de netbeheerder althans jegens anderen dan het in te schakelen administratiekantoor niet zonder meer van de op hem rustende geheimhoudingsplicht ontslaat, is het in verband met het voorgaande niet juist om zulks (zoals ACM doet23.) af te leiden uit de in de memorie van toelichting onder 4.4 gemaakte opmerking dat “(o)ok ingeval van uitbesteding (…) de netbeheerder de uiteindelijke verantwoordelijkheid (draagt)”;24.deze opmerking, die overigens niet op de te betrachten geheimhouding is toegespitst, betreft slechts de uitbesteding van de limitatief opgesomde taken, bedoeld in artikel 16Aa, tweede lid, E-wet, c.q. artikel 7a, tweede lid, Gaswet.

Opmerking verdient dat de minister zelf (in verband met de financiële gevolgen van de ontvlechting) als implicatie van het ingenomen standpunt zag dat een netbeheerder, óók na ontvlechting, de bedoelde administratie voorshands zou kunnen onderbrengen bij het “administratiekantoor” binnen de groep waartoe de netbeheerder voordien behoorde:25.

“Zoals ook blijkt uit paragraaf 4 ben ik in mijn definitie van wettelijke taken van netbeheerders op enkele punten afgeweken van het door DTe afgegeven advies. Deze aanpassing in de implementatie van de wet biedt energiebedrijven de mogelijkheid om specifieke activiteiten, die niet als strategisch worden aangemerkt, niet te verdubbelen. Ik denk hierbij aan uitvoerende activiteiten als bijvoorbeeld inkoop, de financiële administratie en beheer ICT-omgeving. Roland Berger concludeert dat, hoewel wettelijk niet vereist, in de praktijk een groot aantal uitvoerende activiteiten

toch zal worden gesplitst.”

In het hiervóór (onder 3.19) bedoelde standpunt van ACM lijkt besloten te liggen dat het ook naar het oordeel van ACM in de rede had gelegen dat de wetgever de netbeheerder uitdrukkelijk ertoe had verplicht bij uitbesteding van de administratieve activiteiten technische en organisatorische maatregelen te treffen om een voldoende niveau van beveiliging van de klantadministratie zeker te stellen, ware het niet dat de mogelijkheid van zodanige uitbesteding in verband met het beoogde leveranciersmodel (waarvan invoering per 1 juli 2010 werd verwacht maar dat eerst per 1 augustus 2013 is ingevoerd26.en waarin de leveranciers geen inzage zouden hebben in andere Liander-gegevens dan die van hun eigen klanten) bij voorbaat als tijdelijk was bedoeld.

Als ACM hierin gelijk zou hebben, zou de wetgever een hiaat in de regelgeving hebben laten bestaan, ondanks de aan de wetgever bekende bezwaren van DTe tegen uitbesteding door netbeheerders van de administratie van gegevens van aangeslotenen en ondanks het inzicht dat, als die uitbesteding zou worden toegestaan, ook bij ontvlechting van de geïntegreerde energiebedrijven activiteiten als de financiële administratie waarschijnlijk niet aanstonds zouden worden gesplitst.

Overigens verdient het opmerking dat, in het geval dat het de geheimhouder wordt toegestaan de geheim te houden gegevens aan bepaalde derden bekend te maken, de wetgever (in plaats van ervoor te kiezen bepaalde technische en organisatorische maatregelen voor te schrijven) veelal ervoor kiest de desbetreffende geheimhoudingsplicht mede voor die derden te laten gelden. Als voorbeeld noem ik artikel 20, vierde lid, van de Wet op de ondernemingsraden:

“De in het eerste lid bedoelde verplichting (verplichting tot geheimhouding; LK) geldt voorts niet tegenover hem die door een lid van de ondernemingsraad of door een lid van een commissie van die raad wordt benaderd voor overleg, mits de ondernemer, onderscheidenlijk degene die geheimhouding heeft opgelegd, vooraf toestemming heeft gegeven voor het overleg met de betrokken persoon en deze laatste schriftelijk heeft verklaard, dat hij zich ten aanzien van de betrokken aangelegenheid tot geheimhouding verplicht. In dat geval is ten aanzien van de bedoelde persoon het eerste lid van overeenkomstige toepassing.”

Vergelijkbare bepalingen treft men onder meer aan in artikel 1:4, vijfde lid, Wet rol werknemers bij Europese rechtspersonen en artikel 4, vijfde lid, Wet op de Europese ondernemingsraden27.. Enigszins verwant acht ik de bepalingen waarin de kring van geheimhouders bij voorbaat ruim wordt getrokken, zoals bijvoorbeeld het op 1 januari 2015 in werking getreden artikel 11a, eerste lid, Advocatenwet:

“Voor zover niet bij wet of bij verordening van het college van afgevaardigden anders is bepaald, is de advocaat ten aanzien van al hetgeen waarvan hij uit hoofde van zijn beroepsuitoefening als zodanig kennis neemt tot geheimhouding verplicht. Dezelfde verplichting geldt voor medewerkers en personeel van de advocaat, alsmede andere personen die betrokken zijn bij de beroepsuitoefening.”

Hiermee vergelijkbare bepalingen treft men onder meer aan in artikel 22, eerste lid, Wet op het notarisambt en, last but not least, in artikel 2:5, tweede lid, Awb, dat buiten twijfel stelt dat de geheimhoudingsplicht van het eerste lid mede geldt voor instellingen en daartoe behorende of daarvoor werkzame personen, die door een bestuursorgaan bij de uitvoering van zijn taak worden betrokken.

Als ook op de derde een wettelijke geheimhoudingsplicht rust, zal die derde zelf voor een aan hem toe te rekenen bekendmaking van die gegevens aansprakelijk zijn. Voor toerekening van een dergelijke bekendmaking aan de initiële geheimhouder vanwege een schending van een zorgplicht zie ik dan geen plaats. De initiële geheimhouder mag in beginsel erop vertrouwen dat de derde de op hemzelf rustende wettelijke geheimhoudingsplicht nakomt. In een zodanig geval ontslaat afgifte van de geheim te houden gegevens aan de betrokken derde de initiële geheimhouder dus wel degelijk van de verantwoordelijkheid voor een bekendmaking van die gegevens door die derde.

ACM heeft bij herhaling het standpunt ingenomen dat Liander haar klantadministratie strikt genomen niet aan Nuon CCC mocht uitbesteden, daarbij kennelijk doelend op de geheimhoudingsplicht die Liander ook jegens Nuon CCC als derde in acht had te nemen. Als dat standpunt juist is en als de geheimhoudingsplicht zich bij voorbaat tegen uitbesteding van de administratie verzette, dan rijst de vraag hoe het niettemin toestaan van de uitbesteding van de administratie in verband met de op de netbeheerder rustende geheimhoudingsplicht moet worden geduid.

Door de administratie van de klantgegevens niet op te nemen in de catalogus van werkzaamheden die de netbeheerder zelf diende te verrichten en door, in de woorden van de memorie van toelichting (zie hiervóór onder 3.20), geen nadere eis ten aanzien van de administratieve processen in het wetsvoorstel op te nemen, had de wetgever het obstakel van de geheimhoudingsplicht nog niet weggenomen. Naar luid van de geheimhoudingsbepalingen van de E-wet en de Gaswet gold een verplichting tot geheimhouding, “behoudens voor zover enig wettelijk voorschrift hem (de netbeheerder; LK) tot mededeling verplicht of uit zijn taak de noodzaak tot mededeling voortvloeit”. Uitbesteding was, in de woorden van memorie van toelichting, weliswaar een andere mogelijkheid om de administratie goed en efficiënt te regelen, maar men kan moeilijk staande houden dat een noodzaak tot uitbesteding uit de wet of uit de taak van de netbeheerder voortvloeide.

Als bij het redigeren van de geciteerde passages over uitbesteding van de administratie al aan de complicatie van de geheimhoudingsplicht is gedacht, heeft de wetgever wellicht voor ogen gestaan dat de aan uitbesteding inherente overtreding van de geheimhoudingsbepalingen althans tijdelijk zou moeten worden gedoogd. In dat geval waren aan een dergelijk gedogen niet uitdrukkelijk voorwaarden verbonden, ertoe strekkende dat de netbeheerder bij uitbesteding van zijn klantadministratie voldoende maatregelen zou treffen om geheimhouding van zijn klantgegevens door het administratiekantoor te waarborgen. Als niettemin een dergelijke (gedoog)voorwaarde zou moeten worden aangenomen, rijst vervolgens de vraag waarin bij niet-nakoming van die voorwaarde de te beboeten overtreding zou zijn gelegen. Naar mijn mening zou dan niet de schending van die voorwaarde als zodanig, maar de (initiële en niet aan die voorwaarde beantwoordende) bekendmaking van de gegevens aan het administratiekantoor de te beboeten overtreding zijn.28.De litigieuze boetebesluiten zijn echter uitdrukkelijk niet op die initiële bekendmaking gericht.

Men kan zich afvragen of de notie van schending van enig geheim ruimte laat de uitbesteding van de administratie van de netbeheerder met de geheimhoudingsplicht van de netbeheerder verenigbaar te achten. Ik herinner in dit verband aan de wijziging van artikel 272 Sr in 1967, bij welke gelegenheid de formulering “enig geheim (…) bekendmaakt” door “enig geheim (…) schendt” is vervangen. Achtergrond van deze wijziging was dat de term “bekendmaking” als te ruim werd opgevat, omdat hij mede niet-strafbare gevallen van bekendmaking zou omvatten, met name in situaties waarin een ambtsdrager een geheim bekendmaakt aan degene bij wie hij het ambtshalve moet bekendmaken. Die wijziging heeft in de literatuur tot discussie geleid over de vraag of de inperking zag op de afwezigheid van iedere rechtvaardigingsgrond, dan wel slechts op bekendmakingsplichten die met het bekleden van het ambt of het beroep samenhangen. Volgens Noyon/Langemeijer & Remmelink verdient deze laatste uitleg de voorkeur. In die voorstelling zou bijvoorbeeld een buiten het normale beeld vallende “incidentele” schending op ambtelijk bevel of in een noodtoestand-situatie nog wel als een schending moeten worden opgevat en zou de bevrijding in toepassing van een rechtvaardigingsgrond bestaan.29.

In de standaard-geheimhoudingsbepaling waarnaar ook de litigieuze geheimhoudingsbepalingen zijn gemodelleerd, is de in 1967 beoogde inperking van de geheimhoudingsplicht zoals die door Noyon/Langemeijer & Remmelink wordt opgevat, echter reeds verwerkt in de zinsnede “behoudens voor zover enig wettelijk voorschrift hem tot mededeling verplicht of uit zijn taak de noodzaak tot mededeling voortvloeit”; in zoverre speelt die inperking geen rol meer. Een ruimere opvatting brengt onder die inperking weliswaar iedere rechtvaardigingsgrond, maar ook in zoverre lijkt die inperking met het oog op de bekendmaking door Liander van haar klantgegevens aan Nuon CCC geen rol te spelen. Van een rechtvaardiging van die bekendmaking in de strikte zin van het woord is geen sprake.

Het begrip schuld wordt in het strafrecht in verschillende betekenissen gehanteerd. Met het begrip schuld wordt onder meer het daderschap aangeduid. Het begrip wordt dan gebruikt in de zin van “het gedaan hebben”. Voorts kan met het begrip op “verwijtbaarheid” worden gedoeld; dat is in het bijzonder het geval wanneer schuld bestanddeel vormt van de delictsomschrijving van een strafbaar feit (doorgaans wordt dan van “culpa” gesproken), wanneer het wordt gebruikt in verband met de algemene strafuitsluitingsgrond van “afwezigheid van alle schuld” (a.v.a.s.) of wanneer het wordt gebruikt als maatstaf voor de straftoemeting..

Daderschap

Daderschap in het strafrecht staat voor “het gedaan hebben”. Men heeft “het gedaan” als men de delictsomschrijving heeft vervuld.

Van oudsher bestond in het strafrecht slechts een fysiek handelingsbegrip, maar gaandeweg is er ook ruimte gekomen voor het zogenaamde functionele daderschap30.. Het eigenhandig vervullen van de delictsomschrijving is niet meer vereist; de delictsomschrijving kan ook worden vervuld door tussenkomst van anderen, bijvoorbeeld binnen organisatorische entiteiten zoals een onderneming. Zo kan een drukker “drukken” door tussenkomst van zijn personeel. Met name in het sociaal-economische verkeer is voor het functionele daderschap plaats.

Een volgende stap in de ontwikkeling was het daderschap van de rechtspersoon, dat (in artikel 51 Sr) in het algemeen deel van het Wetboek van Strafrecht regeling heeft gevonden en dat zich daardoor (in beginsel) bij alle soorten van strafbare feiten kan voordoen. Ook het daderschap van de rechtspersoon is in de kern een functioneel daderschap, aangezien een rechtspersoon slechts door middel van natuurlijke personen kan handelen. Bij het daderschap van de rechtspersoon komt het erop aan of het handelen van natuurlijke personen redelijkerwijs aan de rechtspersoon kan worden toegerekend.

De Hoge Raad is in het zogenaamde Drijfmest-arrest nader ingegaan op de vraag wanneer een (verboden) gedraging in redelijkheid aan een rechtspersoon kan worden toegerekend.31.Volgens de Hoge Raad is het antwoord op die vraag afhankelijk van de concrete omstandigheden van het geval, waartoe mede behoort de aard van de verboden gedraging. Een algemene regel laat zich dus bezwaarlijk formuleren. Bij de toerekening is wel een belangrijk oriëntatiepunt of de gedraging heeft plaatsgevonden dan wel is verricht in de sfeer van de rechtspersoon. Een dergelijke gedraging kan in beginsel aan de rechtspersoon worden toegerekend. Van een gedraging in de sfeer van de rechtspersoon zal volgens de Hoge Raad sprake kunnen zijn, indien zich een of meer van de navolgende omstandigheden voordoen:

“3.4 (…)

- het gaat om een handelen of nalaten van iemand die hetzij uit hoofde van een dienstbetrekking hetzij uit anderen hoofde werkzaam is ten behoeve van de rechtspersoon,

- de gedraging past in de normale bedrijfsvoering van de rechtspersoon,

- de gedraging is de rechtspersoon dienstig geweest in het door hem uitgeoefende bedrijf,

- de rechtspersoon vermocht erover te beschikken of de gedraging al dan niet zou plaatsvinden en zodanig of vergelijkbaar gedrag werd blijkens de feitelijke gang van zaken door de rechtspersoon aanvaard of placht te worden aanvaard. Onder bedoeld aanvaarden is mede begrepen het niet betrachten van de zorg die in redelijkheid van de rechtspersoon kon worden gevergd met het oog op de voorkoming van de gedraging. Daarbij verdient opmerking dat laatstbedoelde criteria - die zijn ontwikkeld in HR 23 februari 1954, NJ 1954, 378 en die naar het geval dat in die zaak aan de orde was, plegen te worden aangeduid als ‘ijzerdraadcriteria’ - weliswaar zijn ontwikkeld met het oog op het functionele daderschap van een natuurlijke persoon (dus met het oog op de strafrechtelijke aansprakelijkheid van een natuurlijk persoon voor een gedraging van een andere natuurlijke persoon), maar dat zij in voorkomende gevallen tevens kunnen fungeren als maatstaven voor de toerekening van een gedraging van een natuurlijk persoon aan een rechtspersoon (vgl. HR 14 januari 1992, NJ 1992, 413).”

In de literatuur is erop gewezen dat, als één of meer van de bedoelde omstandigheden zich voordoen, zulks niet zonder meer leidt tot toerekening, en - omgekeerd - dat toerekening onder omstandigheden ook mogelijk is als géén van de genoemde gevallen zich voordoet.32.Voorts is erop gewezen, dat, alhoewel beschikken en aanvaarden bij de toerekening centraal lijken te staan, ook aanvaarding slechts één van de omstandigheden is die bij de beoordeling van de toerekening van een verboden gedraging aan de rechtspersoon in aanmerking kunnen komen.33.

Dat de door de Hoge Raad ontwikkelde criteria mede van belang zijn bij de toerekening van bestuursrechtelijk gesanctioneerde overtredingen, is in de bestuursrechtspraak erkend. Zo heeft het College van Beroep voor het bedrijfsleven bij deze criteria (en in het bijzonder bij de ijzerdraadcriteria) aangesloten, toen het moest oordelen over toerekening van de overtreding van (het inmiddels ingetrokken34.) artikel 70b Mededingingswet (zegelverbreking) aan de Landelijke Huisartsen Vereniging. Volgens het College van Beroep voor het bedrijfsleven kon de zegelverbreking niet op grond van functioneel daderschap aan de Landelijke Huisartsen Vereniging worden toegerekend, nu deze vereniging had voldaan aan haar verplichting om de zorg te betrachten die in redelijkheid van haar kon worden gevergd met het oog op het voorkomen van het verbreken van het zegel.35.

Reeds hier wijs ik erop dat de omstandigheden die de Hoge Raad met het oog op een mogelijke toerekening aan de rechtspersoon heeft gereleveerd, ook met het oog op de beoordeling van een beroep op afwezigheid van alle schuld (a.v.a.s.) van belang kunnen zijn. In het bijzonder in het geval dat de betrokken gedraging aan de rechtspersoon is toegerekend omdat de rechtspersoon niet de zorg heeft betracht die in redelijkheid van hem kon worden gevergd (de “ijzerdraadcriteria”), spreekt het vanzelf dat er, gelet op die omstandigheid, voor een beroep op a.v.a.s. nauwelijks nog ruimte zal zijn. De toerekening berust dan immers op het tekortschieten van de rechtspersoon in de zorg die in redelijkheid van hem kon worden gevergd, bij welke stand van zaken moeilijk denkbaar is dat de rechtspersoon geen enkele verwijt treft.

“Culpa”

Indien schuld als bestanddeel in een delictsomschrijving voorkomt, wordt die vorm van schuld doorgaans met “culpa” aangeduid. Schuld is dan een zogenaamd subjectief (of psychisch) bestanddeel, zoals ook opzet (“dolus”) dat is. Subjectieve (of psychische) bestanddelen zeggen iets over de geesteshouding van de dader bij het plegen van het delict. Het enkele verrichten van de in de delictsomschrijving beschreven gedraging (zoals bijvoorbeeld het toebrengen van zwaar lichamelijk letsel) is onvoldoende voor het plegen van het strafbare feit dat een dergelijk subjectief bestanddeel omvat. In de systematiek van het strafrecht komt in de omschrijving van misdrijven steeds opzet of schuld als bestanddeel voor. Overtredingen kennen in hun omschrijving als regel geen opzet of schuld. Culpa komt in de omschrijving van een beperkt aantal misdrijven als bestanddeel voor; men noemt die delicten culpoze delicten. De culpoze vorm van het delict komt vaak naast de doleuze vorm van het delict voor. Het bestanddeel opzet (“dolus”) heeft een wezenlijk andere betekenis dan culpa. Opzettelijk handelen betekent in het strafrecht willens en wetens handelen36.. Voor beide subjectieve bestanddelen geldt dat zij een constitutief vereiste zijn: “bewezen” moet worden dat aan het vereiste van opzet of culpa is voldaan.

Culpa als bestanddeel wordt doorgaans omschreven als “een aanmerkelijke mate van verwijtbare onvoorzichtigheid”. Het meest aansprekende voorbeeld van een culpoos delict is het misdrijf van artikel 6 WVW 1994, het door schuld veroorzaken van een verkeersongeval als gevolg waarvan een ander overlijdt (of zwaar lichamelijk letsel oploopt). De bepaling ziet op aanmerkelijk onvoorzichtig verkeersgedrag; een enkele lichte verkeersfout leidt doorgaans niet tot een veroordeling voor het misdrijf.

Verwijtbaarheid

De term schuld wordt in het strafrecht ook gebezigd in de betekenis van verwijtbaarheid. Dat is bijvoorbeeld het geval bij de (ongeschreven) strafuitsluitingsgrond “afwezigheid van alle schuld”, vaak afgekort tot a.v.a.s. De bedoelde schuld is hier, anders dan bij culpa, geen constitutief vereiste, in de zin dat de aanwezigheid van verwijtbaarheid moet worden “bewezen”. Schuld in de zin van verwijtbaarheid is nimmer een bestanddeel van de delictsomschrijving, noch van misdrijven, noch van overtredingen. Niettemin maakt de algehele afwezigheid van schuld in de zin van verwijtbaarheid dat de dader niet strafrechtelijk aansprakelijk is voor het verrichten van de in een delictsomschrijving voorkomende gedragingen. Het uitgangspunt voor het aannemen van strafrechtelijke aansprakelijkheid is dat de dader in staat is geweest anders te handelen dan hij heeft gedaan. Dit wordt wel aangeduid als het beginsel “geen straf zonder schuld”. De dader gaat echter pas vrijuit wanneer hem van zijn handelen geen enkel verwijt kan worden gemaakt.

Afwezigheid van alle schuld

In het strafrecht is het begrip afwezigheid van alle schuld (schuld in de zin van verwijtbaarheid) langs jurisprudentiële weg ontstaan en tot verdere ontwikkeling gekomen.

De belangrijkste verschijningsvormen zijn die, welke samengevat onder het hoofd verontschuldigbare dwaling vallen. Daarbij kan worden gedacht aan dwaling ten aanzien van bepaalde feitelijke omstandigheden en dwaling ten aanzien van het recht, meer specifiek ten aanzien van de wederrechtelijkheid of het verboden karakter van de handeling.

In gevallen van dwaling ten aanzien van de feiten (bijvoorbeeld het niet gezien hebben van een verkeersbord) levert zulks pas a.v.a.s. op indien het niet-weten van de dader verontschuldigbaar is, in die zin dat hem van dat niet-weten geen enkel verwijt kan worden gemaakt. Of dat laatste zo is, is een normatieve vraag, hier te vertalen naar wat redelijkerwijze van iemand ter voorkoming van het strafbare feit kan worden gevergd. In het voorbeeld van het niet opgemerkte verkeersbord: van elke verkeersdeelnemer wordt uiteraard gevergd dat hij op de verkeersborden let. Slechts in zeer uitzonderlijke gevallen is het niet-zien van een verkeersbord verontschuldigbaar. In het strafproces is a.v.a.s. een exceptief verweer; de strafrechter behoeft het zich al dan niet voordoen van a.v.a.s. niet ambtshalve te onderzoeken en vast te stellen.

Naast de gevallen van dwaling omvat a.v.a.s. een restcategorie van “zorgvuldig gedrag”, in die zin dat de maximaal of in redelijkheid te vergen zorg ter vermijding van het begaan van het strafbare feit is betracht.37.Te dien aanzien wordt als criterium wel gehanteerd of “door de verdachte alle maatregelen zijn genomen die redelijkerwijze van haar konden worden gevergd ten einde te voorkomen dat in strijd met de te dezen overschreden voorschriften werd gehandeld.”38.

Specifieke zorgplichten kunnen bij het beoordelen van een beroep op a.v.a.s. van belang zijn. Zo stelde een verkoper van brood dat van hem onmogelijk kon worden verwacht dat hij de samenstelling van de door de producent geleverde producten zou controleren alvorens deze te verkopen. Het tot a.v.a.s. strekkende verweer werd echter verworpen met de motivering dat de verdachte als verkoper van brood voor het voldoen aan de eisen gesteld krachtens de Warenwet een eigen verantwoordelijkheid draagt.39.

De afwezigheid van alle schuld is in het bestuursrecht te herkennen in het uitgangspunt dat van boeteoplegging behoort te worden afgezien, indien verwijtbaarheid ontbreekt. Een en ander is neergelegd in artikel 5:41 Awb: “Het bestuursorgaan legt geen bestuurlijke boete op voor zover de overtreding niet aan de overtreder kan worden verweten.” Uit de memorie van toelichting bij de Vierde tranche Awb blijkt dat daarbij het strafrechtelijke gedachtegoed wordt gevolgd. Voor de volledigheid citeer ik de toelichting op het genoemde artikel (toen nog artikel 5.4.1.2):40.

“Deze bepaling beoogt het beginsel «geen straf zonder schuld» ook voor bestuurlijke boeten te codificeren. Thans is het te vinden in een aantal bijzondere wetten, zoals de Wet bescherming persoonsgegevens (artikel 66, tweede lid). Net als bij strafrechtelijke overtredingen is schuld in de zin van verwijtbaarheid bij bestuursrechtelijk gesanctioneerde overtredingen doorgaans geen bestanddeel van het delict. Dit betekent dat het bestuursorgaan de verwijtbaarheid niet behoeft te bewijzen, maar deze mag veronderstellen als het daderschap vaststaat. Dit laat echter onverlet, dat ook in deze gevallen het beginsel «geen straf zonder schuld» geldt (zo reeds HR 14 februari 1916, NJ 1916, 681 (Melk-en-water-arrest)). Om aan het opleggen van een boete te ontkomen, zal de overtreder dan echter een beroep moeten doen op afwezigheid van alle schuld, en deze afwezigheid aannemelijk moeten maken. Een en ander is neergelegd in artikel 5.4.1.2.”

Dat bestuursrechtelijk gesanctioneerde gedragingen, net als de overtredingen in het strafrecht, veelal materieel zijn omschreven en geen opzet of schuld als bestanddeel kennen, is ook elders in de memorie van toelichting onderkend.41.Het bestuursorgaan behoeft de verwijtbaarheid daarom niet te bewijzen, maar mag deze veronderstellen als het daderschap vaststaat. Om aan het opleggen van een boete te ontkomen zal de overtreder zich op a.v.a.s. moeten beroepen en a.v.a.s. aannemelijk moeten maken. Voor zover het gaat om de a.v.a.s.-variant van een “zorgvuldig gedrag”, zal de overtreder aannemelijk moeten maken dat hij, om een overtreding te voorkomen, alle maatregelen heeft genomen die redelijkerwijze van hem konden worden gevergd.42.Ten slotte behoeft evenmin als in het strafrecht medeverwijtbaarheid van de overtreding aan een ander in de weg te staan aan verwijtbaarheid aan de overtreder.43.

Hiervóór (onder 4.5) signaleerde ik al dat in verband met de toerekening van gedragingen van derden aan een rechtspersoon relevant kan zijn dat deze rechtspersoon niet de zorg heeft betracht die met het oog op de voorkoming van de gedraging in redelijkheid van hem kon worden gevergd (één van de zogenaamde ijzerdraadcriteria). Strikt genomen staat toepassing van de ijzerdraadcriteria los van de vraag naar de verwijtbaarheid van de (eventueel toe te rekenen) overtreding. Bij toepassing van de ijzerdraadcriteria gaat het om het geven van een antwoord op de vraag of een bepaalde gedraging, wellicht door een ondergeschikte binnen het bedrijf, of zelfs door iemand die buiten de eigenlijke sfeer van de rechtspersoon werkzaam is, aan de rechtspersoon kan worden toegerekend, omdat de (verboden) gang van zaken kennelijk door de rechtspersoon werd aanvaard of placht te worden aanvaard. Een mogelijk niet-weten van de gang van zaken staat dan niet aan het daderschap in de weg, als de rechtspersoon met het oog op het voorkomen van de verboden gedraging niet de zorg heeft betracht die redelijkerwijze van hem kon worden gevergd. De beoordeling of dat laatste geval zich voordoet, is eerder een feitelijke dan een normatieve; hierbij gaat het immers erom of de gedraging al dan niet in de sfeer van de rechtspersoon is verricht en aldus het daderschap van de rechtspersoon oplevert. Een en ander neemt echter niet weg dat bij toerekening op de hier bedoelde grond voor een geslaagd beroep op a.v.a.s. of op zorgvuldig gedrag nauwelijks ruimte zal zijn.

Schuld en straftoemeting

Het laatste aspect van het begrip “schuld” komt aan de orde bij de straftoemeting. Zo wordt wel gepostuleerd dat de hoogte van de straf (mede) aan de mate van schuld in de zin van verwijtbaarheid dient te zijn gerelateerd. In dit verband moet echter worden bedacht dat in het strafrecht niet slechts de persoon van de dader, maar ook de ernst van het feit bepalend is voor de vraag welke straf dient te worden opgelegd. Hoewel de wet de strafrechter geen expliciete richtlijnen voor de straftoemeting geeft, kan men uit artikel 9a Sr (de bepaling over de rechterlijke clementie) afleiden dat naast de persoonlijkheid van de dader en de omstandigheden waaronder het feit is begaan en die zich nadien hebben voorgedaan, ook de ernst van het feit bij de straftoemeting dient te worden betrokken. De persoonlijke factor kan reeds daarom niet doorslaggevend zijn. Daarbij komt dat binnen het strafrecht (soms tegelijkertijd) meerdere strafdoelen een rol spelen, zoals bijvoorbeeld de beveiliging van de maatschappij, waardoor de regel van straf naar de mate van schuld niet onbeperkt kan gelden.

Op grond van artikel 5:46, eerste lid, Awb bepaalt de wet de bestuurlijke boete die wegens een bepaalde overtreding ten hoogste kan worden opgelegd. Vervolgens moet worden onderscheiden, naar gelang de hoogte van de boete al dan niet bij wettelijk voorschrift is vastgesteld. Als de hoogte van de boete niet bij wettelijk voorschrift is vastgesteld, stemt het bestuursorgaan de boete af op de ernst van de overtreding en de mate waarin de boete aan de overtreder kan worden verweten (artikel 5:46, tweede lid, Awb). Ook echter als de hoogte van de boete wettelijk is gefixeerd, legt het bestuursorgaan niettemin een lagere bestuursrechtelijke boete op, indien de overtreder aannemelijk maakt dat de vastgestelde bestuurlijke boete wegens bijzondere omstandigheden te hoog is (artikel 5:46, derde lid, Awb). Overigens stelde de bestuursrechter zich reeds voor de inwerkingtreding van de Vierde tranche Awb op het standpunt dat artikel 6 EVRM meebrengt dat de rechter dient te toetsen of de opgelegde boete in redelijke verhouding staat tot de ernst en de verwijtbaarheid van de overtreding.44.

In het navolgende zal ik hetgeen hiervóór (onder 3-5) werd besproken, toespitsen op hetgeen mij uit de beide dossiers is gebleken. Daarbij stel ik voorop dat ik het, mede gelet op de mij gestelde vragen, niet tot mijn taak reken mij uit te laten over de feiten. In het navolgende zal ik, louter veronderstellenderwijs en om enig reliëf te kunnen geven aan hetgeen hiervóór aan de orde kwam, uitgaan van de feiten zoals ik die, na bestudering van de beide dossiers, het meest aannemelijk acht. Het College van Beroep voor het bedrijfsleven zal over het feitelijk substraat uiteraard anders kunnen oordelen. Voorts stel ik voorop dat ik mij evenmin zal begeven in de vraag hoe de rechtsstrijd ten overstaan van het College van Beroep voor het bedrijfsleven is begrensd en of er wel of geen ruimte is bepaalde aspecten (alsnog) in de beoordeling van de hoger beroepen te betrekken.

Alvorens op de hiervóór (onder 3-5) besproken thema’s terug te komen, stel ik bovendien voorop dat ik voor de uiteindelijke beoordeling van belang acht waarin de aan Liander verweten overtreding nu exact is gelegen en wanneer die overtreding precies zou zijn gepleegd. ACM heeft zich daarover in wisselende zin uitgelaten door nu eens te benadrukken dat Liander heeft nagelaten voldoende (voorzorgs)maatregelen te nemen - in welk verband ACM van een zorgplicht heeft gesproken - en dan weer het accent te leggen op het karakter van de door Liander geschonden verplichting als resultaatsverplichting. Ook met het oog op het aan Nuon CCC verweten medeplegen is het naar mijn mening van doorslaggevend belang waaruit het verweten grondfeit zou hebben bestaan en wanneer dat grondfeit zou zijn gepleegd.

Inhoud en reikwijdte van de geheimhoudingsplicht

ACM heeft de op Liander als netbeheerder rustende geheimhoudingsplicht getypeerd als een resultaatsverplichting. Dat karakter van resultaatsverplichting zou overigens niet louter aan de geheimhoudingsplicht van artikel 79 lid 1 E-wet en artikel 37 lid 1 Gaswet zijn voorbehouden. Ter zitting van 2 december 2014 heeft ACM zich op het standpunt gesteld dat het niet ongebruikelijk is dat een geheimhoudingsplicht een resultaatsverplichting inhoudt en dat bijvoorbeeld ook artikel 12 Wbp en artikel 13 RO naar hun aard tot een resultaat verplichten (pleitaantekeningen onder 21). De op Liander rustende resultaatsverplichting zou zijn geschonden als de betrokken gegevens niet geheim zijn gebleven en Liander (dus) heeft nagelaten die gegevens geheim te houden. Tegen die achtergrond heeft ACM overtreding van de geheimhoudingsplicht als een beboetbaar gesteld nalaten gekenschetst; ook heeft zij in dit verband wel van een omissiedelict gesproken.

Dat de op de geheimhouder rustende geheimhoudingsplicht als een resultaatsverplichting zou gelden, in die zin dat de betrokken gegevens geheim moeten blijven en de geheimhouder reeds aansprakelijk is als de betrokken gegevens niet langer geheim blijken te zijn, kan ik niet onderschrijven. Geheim te houden gegevens kunnen buiten ieder toedoen van de geheimhouder bekend worden. Van (culpoze) schending van de op de geheimhouder rustende geheimhoudingsplicht zal eerst sprake kunnen zijn, als de geheim te houden gegevens door relevant (dat wil zeggen: “daderschap” opleverend) toedoen van de geheimhouder bekend zijn geworden. Dat toedoen zal, gelet op de hiervóór (onder 3.10-3.11) besproken wetsgeschiedenis van artikel 272 Sr, in een bekendmaking van de geheim te houden gegevens moeten zijn gelegen. In verband met dit laatste kan ik evenmin onderschrijven dat schending van de geheimhoudingsplicht een omissiedelict zou zijn64.. Overigens staan, ook als de geheim te houden gegevens door relevant toedoen van de geheimhouder zijn bekendgemaakt, de strafrechtelijke en bestuursrechtelijke aansprakelijkheid van de geheimhouder niet vast. Onder omstandigheden zal de geheimhouder zich immers op afwezigheid van alle schuld kunnen beroepen. Ook dat verzet zich tegen een typering van de geheimhoudingsplicht als een resultaatsverplichting. Aan een resultaatsverplichting is eigen dat degene op wie die verplichting rust, voor het beoogde resultaat heeft in te staan, óók als hem niet kan worden verweten dat dit resultaat niet wordt bereikt. Naar burgerlijk recht is dat niet anders: een resultaatsverbintenis is eerst dan vervuld, wanneer het resultaat is verwezenlijkt; dat de schuldenaar heeft gedaan wat in zijn vermogen ligt om dat resultaat tot stand te brengen, is niet voldoende.65.

Volgens ACM zijn de geheim te houden gegevens niet geheimgehouden. ACM heeft dat in het primaire besluit gebaseerd op de omstandigheid dat 90 medewerkers van Nuon Sales vanaf 1 juli 2009 ten minste tot 23 februari 2011 de mogelijkheid hadden van directe inzage in vertrouwelijke gegevens van klanten van Liander door middel van een autorisatie voor het geautomatiseerde klantsysteem SAP-PLB van Nuon CCC (zie in het bijzonder het primaire besluit onder 65 en 71). ACM heeft aan het opleggen van een bestuurlijke boete aan Liander niet ten grondslag gelegd dat de betrokken medewerkers van Nuon Sales daadwerkelijk hebben kennisgenomen van de gegevens met betrekking tot aangeslotenen van Liander (niet tevens Nuon-klanten) die zij met gebruikmaking van de hun verleende autorisaties hadden kunnen inzien. Of de betrokken medewerkers van Nuon Sales ook daadwerkelijk gebruik hebben gemaakt van de gegevens waartoe zij toegang hadden of daarvan zelfs maar hebben kennisgenomen, is volgens ACM voor het constateren van de overtreding niet relevant (zie het primaire besluit onder 51 en 64, alsmede het verweerschrift van ACM onder 64).

Hiervóór (onder 3.10-3.11) kwam al aan de orde dat blijkens de wetsgeschiedenis van artikel 272 Sr schending van een geheimhoudingsplicht een bekendmaking van de geheim te houden gegevens veronderstelt. Voorts kwam (onder 3.17) al aan de orde dat het begrip bekendmaken strikt en minder strikt kan worden opgevat. Zo wordt in het kader van artikel 273a Sr wel aangenomen dat van het bekendmaken van een brief ook sprake kan zijn als de geheimhouder die brief aan een derde ter inzage geeft (die brief aan een derde laat lezen), zonder dat vaststaat dat de betrokken derde de inhoud van de brief daadwerkelijk leest. Daarbij wordt erop gewezen dat ook een schriftelijke mededeling een bekendmaking zal impliceren (zie voetnoot 20). Naar mijn mening kunnen echter niet alle gevallen waarin de geheimhouder, in het bijzonder door een gebrek aan zorg, (culpoos) een mogelijkheid tot kennisname van de geheim te houden gegevens heeft gecreëerd (of heeft laten voortbestaan), met een bekendmaking worden gelijkgesteld. Het zal van de omstandigheden van het geval afhangen of van een bekendmaking kan worden gesproken, dan wel slechts sprake is van een te laag beveiligingsniveau, dat de wetgever in bepaalde gevallen als zodanig heeft gesanctioneerd.

In casu is sprake van autorisaties voor het geautomatiseerde klantsysteem SAP-PLB, dat (als vanzelfsprekend) de klantgegevens van Nuon omvat (SAP-PLB is immers het geautomatiseerde klantsysteem van het productie- en leveringsbedrijf van Nuon), maar waarin - specifiek voor het doel van de samenwerking tussen Liander en Nuon CCC - óók de klantgegevens van Liander zijn ondergebracht. Voor de vraag of de verlening van deze autorisaties een bekendmaking impliceert, acht ik allereerst van belang dat van de 90 autorisaties 87 autorisaties abusievelijk zijn verleend, mogelijk zonder dat (naar ik uit de stukken begrijp) de betrokken medewerkers van Nuon Sales zich die autorisaties überhaupt bewust zijn geweest. De drie overige autorisaties zijn verleend aan (kwaliteits)medewerkers van Nuon Sales met het oogmerk dat deze medewerkers, in geval van klachten van klanten van Nuon, de gegevens van die Nuon-klanten in SAP-PLB zouden kunnen verifiëren. In dit verband is van belang dat SAP-PBL primair het geautomatiseerde klantsysteem van Nuon is en dat toegang van (kwaliteits)medewerkers van Nuon Sales tot de klantgegevens van Nuon op zichzelf alleszins voor de hand ligt.

De in SAP-PLB ondergebrachte gegevens van klanten van Nuon en aangeslotenen van Liander waren, naar ik begreep, slechts per klant/aangeslotene te benaderen. Liander en Nuon CCC hebben verdedigd dat dit de in SAP-PLB opgeslagen klantgegevens bij voorbaat ongeschikt maakte voor commercieel gebruik door medewerkers van Nuon Sales. Dat roept in de tweede plaats de vraag op of aannemelijk is dat de betrokken medewerkers van Nuon Sales, voor zover zij zich al bewust waren dat hun een autorisatie voor SAP-PLB was verleend én dat die autorisatie hun niet alleen toegang gaf tot de gegevens van Nuon-klanten maar óók tot de in SAP-PLB opgenomen gegevens van aangeslotenen van Liander die niet tevens Nuon-klant waren, de hun gegeven autorisatie daadwerkelijk hebben gebruikt om de klantgegevens van zulke Liander-aangeslotenen zelfs maar in te zien.

Liander en Nuon CCC hebben erop gewezen dat van misbruik van “Liander only”-gegevens door Nuon Sales niet is gebleken. Anders dan de genoemde partijen wel hebben betoogd, meen ik dat misbruik van de bedoelde gegevens als zodanig geen voorwaarde is voor het aannemen van een schending van de geheimhoudingsplicht van artikel 79, eerste lid, E-wet en artikel 37, eerste lid, Gaswet. Weliswaar is aannemelijk dat de aan die wetsartikelen ten grondslag liggende bepalingen inzake de vertrouwelijkheid van de energierichtlijnen ertoe strekken commercieel misbruik van de betrokken gegevens te voorkomen en een level playing field in de energiesector te creëren, maar dat betekent niet dat iedere schending van de geheimhoudingsplicht met een dergelijk misbruik gepaard behoeft te gaan. Dat is naar mijn mening zo evident, dat een prejudiciële verwijzing ter verduidelijking van de geheimhoudingsbepalingen in de energierichtlijnen niet noodzakelijk is. Waar de energierichtlijnen misbruik van de bedoelde gegevens beogen te voorkomen, meen ik dat daarin wél een argument kan worden gevonden om het begrip bekendmaking niet al te zeer op te rekken. De ratio van de bepalingen van de energierichtlijnen over het eerbiedigen van de vertrouwelijkheid van commercieel gevoelige gegevens komt immers pas in het geding, op het moment dat leveringsbedrijven zich de betrokken gegevens daadwerkelijk eigen hebben gemaakt en misbruik van die gegevens dreigt.

Hoewel men van mening kan verschillen over de vraag of al dan niet sprake is van een voor een schending van de geheimhoudingsplicht toereikende bekendmaking van de geheim te houden gegevens, heeft ACM de aan Liander verweten overtreding in elk geval niet op een dergelijke bekendmaking gebaseerd. ACM heeft zich gebaseerd op een volgens haar in artikel 79, eerste lid, E-wet en artikel 37, eerste lid, Gaswet besloten liggende plicht “om maatregelen te nemen die zijn gericht op het geheim houden van haar klantgegevens. Wanneer Liander haar klantgegevens aan een derde ter beschikking stelt in het kader van een uitbesteding van administratieve processen, moet Liander er zorg voor dragen dat deze derde maatregelen neemt om te zorgen dat deze gegevens ten opzichte van onbevoegden geheim worden gehouden en niet worden gebruikt voor een ander doel dan waarvoor zij zijn gegeven” (besluit onder 55).

Die benadering, volgens welke op de netbeheerder een zorgplicht rust om maatregelen te nemen die op het geheimhouden van zijn klantgegevens zijn gericht (besluit onder 50), acht ik moeilijk te verenigen met de ten processe door ACM verdedigde en hiervóór (onder 6.4) reeds afgewezen opvatting dat de geheimhoudingsplicht een resultaatsverplichting zou inhouden. Bij een resultaatsverplichting gaat het louter om het beoogde resultaat en doet juist niet ter zake hoe dat resultaat (al dan niet dankzij passende en voldoende maatregelen) wordt bereikt (in die zin ook het verweerschrift van ACM onder 53: “De manier waarop dit (het geheimhouden van de gegevens; LK) gebeurt, is niet relevant, het gaat om het resultaat.”, alsmede de pleitaantekeningen van ACM van 2 december 2014 onder 21: “Hoe de netbeheerder daarvoor (geheimhouding; LK) zorgt, doet er niet toe. Als hij er maar voor zorgt.”). Overigens heeft ACM zelf ter zitting van 2 december 2014 een onderscheid tussen resultaatsverplichtingen en zorgplichten gesuggereerd en daarbij op de doorgaans expliciete uitwerking van zorgplichten door de wetgever gewezen:66.

“Overigens is het niet ongebruikelijk dat een geheimhoudingsplicht een resultaatsverplichting inhoudt. Naar hun aard zullen bijv. ook artikel 12 Wbp en artikel 13 RO tot een resultaat (namelijk: geheimhouding) verplichten. Zorgplichten zijn minder gebruikelijk en worden door de wetgever doorgaans expliciet vermeld. Zie bijv. artikel 11.2 Tw en artikel 15 Wbp.”

Het geciteerde standpunt over het expliciteren van zorgplichten sluit intussen aan bij het hiervóór (onder 3.19) bedoelde en (kennelijk tot het bestaan van een zorgplicht van Liander strekkende) betoog van ACM dat de wetgever van de E-wet en de Gaswet niet heeft voorzien in een specifieke zorgplicht van de netbeheerder met het oog op de geheimhouding door een derde aan wie de netbeheerder de geheim te houden gegevens beschikbaar stelt, omdat uitbesteding van de administratie in afwachting van het zogenaamde leveranciersmodel slechts tijdelijk zou zijn toegestaan. Het komt mij voor dat de aan Liander verweten overtreding bezwaarlijk kan worden gebaseerd op veronachtzaming van een zorgplicht waarin de wetgever (ook volgens ACM) had moeten, maar niet heeft voorzien, kennelijk omdat de korte tijd gedurende welke uitbesteding zou zijn toegestaan, nadere regulering niet rechtvaardigde.

Overigens was ACM zich blijkens het tot Liander gerichte besluit zeer wel bewust dat de algemene bewoordingen van de norm van artikel 79, eerste lid, E-wet en artikel 37, eerste lid, Gaswet een grens stellen aan de zorgplichten die men daaruit kan afleiden. Om laatstbedoelde reden heeft ACM geen overtreding van Liander kunnen vaststellen in verband met het ontbreken van een functionele scheiding binnen de organisatie van Nuon CCC (nota bene de aanleiding voor het onderzoek door ACM; zie het besluit onder 16). In het besluit onder 67 heeft ACM overwogen:

“Op basis van het in het dossier aanwezige bewijs en de door Liander ingediende zienswijze is naar het oordeel van de Raad vast komen te staan dat er maatregelen zijn genomen om de geheimhouding van de vertrouwelijke klantgegevens van Liander te waarborgen. Uit de algemene bewoordingen van de norm kan niet zonder meer worden afgeleid dat in aanvulling hierop specifieke maatregelen hadden moeten worden genomen ten aanzien van de aspecten gerelateerd aan de zogenoemde functionele scheiding.”

Als uit de algemene bewoordingen van de in de E-wet en de Gaswet vervatte geheimhoudingsplicht niet kan worden afgeleid dat Liander, in aanvulling op de in haar relatie met Nuon CCC genomen maatregelen om de geheimhouding van haar vertrouwelijke klantgegevens te waarborgen, was gehouden nadere maatregelen te treffen, specifiek met het oog op een functionele scheiding binnen Nuon CCC, vraagt het minst genomen om een nadere motivering waarom uit die algemene bewoordingen dan wél zou kunnen worden afgeleid dat Liander nadere maatregelen had moeten nemen, specifiek met het oog op autorisaties voor het door Nuon CCC gebruikte klantsysteem. Dat er, uit oogpunt van risicomanagement, een relevant verschil bestaat tussen de situatie dat medewerkers van Nuon CCC met commerciële verkooptargets voor Nuon Sales over vertrouwelijke gegevens van de klanten van Liander kunnen beschikken en de situatie dat medewerkers van Nuon Sales zelf (mogelijk zonder dat te weten) de mogelijkheid hebben zulke gegevens in te zien, acht ik niet evident. ACM heeft de eerstbedoelde situatie, zonder een overtreding van Liander aan te nemen, “zeer onwenselijk en onverenigbaar (...) met artikel 79, eerste lid, van de E-wet en artikel 37, eerste lid, van de Gaswet” geacht en om die reden een bindende aanwijzing aan Liander opgelegd.67.

De door ACM zelf onderkende grens die de algemene bewoordingen van de geheimhoudingsbepalingen van de E-wet en de Gaswet aan daaruit af te leiden, concrete zorgplichten stellen, heeft ook een principiële dimensie. Zij kan in verband worden gebracht met de voorzienbaarheid van de uitleg van de norm en daarmee, meer principieel, met het legaliteitsbeginsel en de daaruit afgeleide lex certa-regel.68.

Wat overigens van het voorgaande zij, ik meen dat het karakter van de litigieuze geheimhoudingsplicht als resultaatsverplichting niet kan worden aanvaard. Voorts meen ik dat het bij een schending van die geheimhoudingsplicht evenmin gaat om het schenden van een (zorg)plicht om voldoende maatregelen te treffen teneinde geheimhouding te waarborgen, maar om een schending van het geheim zelf, bestaande in een bekendmaking daarvan. Dat de geheimhoudingsplicht geen resultaatsverplichting is, impliceert anderzijds niet dat de geheimhouder slechts met een door hem te leveren inspanning kan volstaan. Een (aan de geheimhouder toe te rekenen) bekendmaking van de geheim te houden gegevens impliceert steeds een schending van de op de geheimhouder rustende geheimhoudingsplicht, waarbij de mate van zorg die de geheimhouder heeft betracht hooguit bepalend is voor de mate van verwijtbaarheid, zowel in verband met een mogelijk beroep op a.v.a.s. als in verband met de straftoemeting. Naar mijn mening draagt noch een typering van de geheimhoudingsplicht als een resultaats(- dan wel inspannings)verplichting, noch een typering van die plicht als zorgplicht om geheimhouding te waarborgen, aan een bruikbare vaststelling van inhoud en reikwijdte van de geheimhoudingsplicht bij.

Daderschap

De keuze van ACM voor een benadering van de geheimhoudingsplicht als een resultaatsverplichting c.q. als een zorgplicht om voldoende maatregelen te nemen teneinde geheimhouding te waarborgen, heeft ook voor de notie van schuld in de zin van daderschap vergaande consequenties. In de benadering van ACM is het daderschap van Liander niet problematisch. In deze benadering zijn de betrokken gegevens niet geheimgehouden, nu een mogelijkheid bestond dat derden die gegevens direct zouden inzien. Dat de betrokken gegevens niet zijn geheimgehouden, impliceert dat Liander, die haar klantgegevens aan een derde ter beschikking heeft gesteld in het kader van een uitbesteding van administratieve processen, onvoldoende maatregelen heeft genomen om geheimhouding te waarborgen. Aldus heeft, nog steeds volgens ACM, Liander zelf artikel 79, eerste lid, E-wet en artikel 37, eerste lid, Gaswet overtreden.

Als echter voor de overtreding van de geheimhoudingsbepalingen van de E-wet en de Gaswet - zoals ik meen - bepalend is of de geheim te houden gegevens zijn bekendgemaakt (en als de verlening van autorisaties aan medewerkers van Nuon Sales al een zodanige bekendmaking zou vormen), staat daarmee het daderschap van Liander nog niet vast. Liander zelf heeft de bedoelde autorisaties niet verleend. Het besluit waarbij aan Liander bestuurlijke boeten zijn opgelegd, bevat geen vaststelling van de exacte gang van zaken met betrekking tot de verlening van die autorisaties. Vast staat wel dat Liander deze autorisaties niet zelf heeft verleend; haar wordt verweten die autorisaties te hebben toegelaten dan wel niet te hebben voorkomen (besluit onder 60). Voorts lijken partijen ervan uit te gaan dat de autorisaties evenmin door Nuon CCC zijn verleend, alhoewel in het besluit onder 58 onder verwijzing naar randnummer 164 van het Rapport (mijns inziens ten onrechte69.) van autorisatie door Nuon CCC wordt gesproken. Inmiddels lijken partijen ervan uit te gaan dat de autorisaties zijn verleend door een derde, te weten door Nuon IT, de IT-afdeling voor de hele Nuon-groep (zie ook het besluit onder 19). In de opvatting van ACM was het ten opzichte van Liander en Nuon CCC althans een derde die de autorisaties verleende en daarbij een fout maakte (zie pleitaantekeningen 2 december 2014, onder 45).

Het voorgaande sluit daderschap van Liander op zichzelf niet uit. Zoals hiervóór (onder 4.2-4.8) reeds besproken, kan daderschap ook voortvloeien uit functioneel daderschap van de rechtspersoon. Voor een toepassing van de leer van het functionele daderschap in de sfeer van de bestuurlijke handhaving verwees ik al eerder naar een recente uitspraak van het College van Beroep voor het bedrijfsleven.70.

Bij een toetsing aan de criteria voor functioneel daderschap c.q. daderschap van een rechtspersoon wreekt zich dat de exacte omstandigheden waaronder de litigieuze autorisaties zijn verleend, niet vaststaan. Er wordt een verband gelegd met de splitsing van het oude Nuon-klantsysteem in SAP-PLB en SAP-NWB, maar of de autorisaties bij die gelegenheid, nadien of wellicht al daarvóór zijn verleend en bij de splitsing al dan niet abusievelijk zijn gecontinueerd, en of de autorisaties zijn verleend op een moment waarop de klantgegevens van Liander al in SAP-PLB waren opgenomen, blijkt niet uit de stukken.

Ervan uitgaande dat Nuon IT de autorisaties goeddeels abusievelijk heeft verleend, acht ik een toerekening daarvan aan Liander, gelet op de daarvoor geldende criteria (zie hiervóór onder 4.5), niet op voorhand evident.

Dat Nuon IT ten behoeve van Liander werkzaam was, is minst genomen voor discussie vatbaar. Meer voor de hand ligt dat Nuon IT werkzaam was ten behoeve van Nuon CCC, wier IT-voorzieningen zij beheerde, en/of ten behoeve van Nuon Sales, wier medewerkers Nuon IT van autorisaties ten behoeve van de door deze medewerkers te verrichten werkzaamheden voorzag. Voorts kan onmogelijk worden gezegd dat het geven van autorisaties aan onbevoegde derden die daarmee toegang kregen tot de vertrouwelijke klantgegevens van Liander binnen de normale bedrijfsvoering van Liander paste. Dat de verlening van de autorisaties aan medewerkers van Nuon Sales Liander (of Nuon CCC) dienstig is geweest in het door haar uitgeoefende bedrijf, valt evenmin in te zien; hooguit zijn die autorisaties (onverhoopt) dienstig geweest aan Nuon Sales.

Tot de criteria voor toerekening behoren ook de zogenaamde ijzerdraadcriteria. Volgens deze criteria is voor toerekening ook plaats als de rechtspersoon erover vermocht te beschikken of de gedraging al dan niet zou plaatsvinden en zodanig of vergelijkbaar gedrag blijkens de feitelijke gang van zaken door de rechtspersoon werd aanvaard of placht te worden aanvaard. Daarbij wordt onder aanvaarden mede begrepen het niet betrachten van de zorg die in redelijkheid van de rechtspersoon kon worden gevergd met het oog op de voorkoming van de gedraging.

Liander had slechts met Nuon CCC en niet ook met Nuon IT een rechtstreekse band. In haar relatie met Nuon CCC had Liander onder meer bedongen dat Nuon CCC zou zorgdragen voor het waarborgen van beschikbaarheids-, integriteits- en vertrouwelijkheidsaspecten, waarbij het vereiste niveau door de classificatie van de informatie volgens de geldende Alliander standaard voor informatieclassificatie werd bepaald71.. Voorts had Liander van Nuon CCC onder meer verlangd dat Nuon CCC zou zorgdragen voor passende technische en organisatorische maatregelen om persoonsgegevens tegen verlies of tegen enige vorm van onrechtmatige verwerking te beveiligen.72.De contractuele arrangementen tussen Liander en Nuon CCC bevatten bovendien meer in het algemeen een verbod van terbeschikkingstelling van vertrouwelijke informatie aan (onbevoegde) derden of gebruik daarvan voor een ander doel dan de uitvoering van de overeenkomst, alsmede een (ook) voor Nuon CCC geldende verplichting om deze geheimhoudingsplicht aan haar werknemers en aan door haar ingeschakelde derden op te leggen.73.Contractuele geheimhoudingsverplichtingen met betrekking tot bijzonderheden aangaande een onderneming zijn ook in die zin niet vrijblijvend, dat zij strafrechtelijk (in artikel 273 Sr) zijn gesanctioneerd. Ten slotte hebben Liander en Nuon CCC gewezen op de ISO 9001 (kwaliteitsmanagement), de ISO 27001 (informatiebeveiliging) en de COPC (Customer Operations Performance Center)-certificering van Nuon CCC en de daaraan verbonden controles door de certificerende instellingen; de ISO 9001-certificering was door Liander (in artikel 3 van de dienstverleningsovereenkomst) ook contractueel verplicht gesteld.74.

De vraag rijst of, ondanks deze arrangementen, kan worden gezegd dat Liander niet de zorg heeft betracht die in redelijkheid van haar kon worden gevergd met het oog op de voorkoming van door Nuon IT (al dan niet abusievelijk) aan (onbevoegde) derden uit te geven autorisaties met behulp waarvan (mede) vertrouwelijke klantgegevens van Liander zouden kunnen worden ingezien. In de resultaatsbenadering van ACM schoten de getroffen maatregelen tekort, omdat zij de uitgifte van autorisaties aan medewerkers van Nuon Sales nu eenmaal niet hebben voorkomen. Dat laatste is echter niet zonder meer voldoende voor het oordeel dat Liander niet de zorg heeft betracht die met het oog op de voorkoming van de gedraging in redelijkheid van haar kon worden gevergd. Dat laatste geldt temeer nu de litigieuze autorisaties (althans goeddeels) abusievelijk zijn verleend, en Liander (in termen van de ijzerdraadcriteria) niet erover vermocht te beschikken of een derde, Nuon IT, al dan niet een fout zou maken. Ook ACM is kennelijk van oordeel dat een fout (de gedraging) zoals die van Nuon IT niet kan worden voorkomen. Aan het proces-verbaal van de zitting van 27 maart 2014 ontleen ik het navolgende citaat:

“ACM: de vraag is niet wat had Liander moeten doen om fout te voorkomen. Een fout is menselijk. Vraag is wat had Liander moeten doen om te voorkomen dat die fout zo lang bleef voortbestaan. Ze had daartoe controlemaatregelen moeten nemen.”

Voor zover ACM het verwijt hier verlegt naar het ontbreken van controlemaatregelen om eventuele fouten niet te voorkomen maar zo spoedig mogelijk te ontdekken, teken ik voor de goede orde nog aan dat - naar mij voorkomt - dit verwijt het kader van een eventuele toerekening van de in de verlening van die autorisaties mogelijk gelegen bekendmaking te buiten gaat.

Liander stond buiten de relatie van Nuon CCC enerzijds en Nuon IT en Nuon Sales anderzijds, binnen welke relatie de litigieuze autorisaties (al dan niet abusievelijk) zijn verleend. Ook in verband met de ijzerdraadcriteria rijst de vraag of toerekening aan Nuon CCC, als daarvoor al plaats is, niet veeleer voor de hand ligt dan toerekening aan Liander. Gelet op haar rechtstreekse relatie met Nuon IT en Nuon Sales, vermocht Nuon CCC jegens die partijen immers méér dan Liander, die haar invloed slechts via Nuon CCC kon aanwenden. Daaraan doet op zichzelf niet af dat Nuon CCC in geval van een dergelijke toerekening geen overtreder zou zijn van artikel 79, eerste lid, E-wet en artikel 37, eerste lid, Gaswet, nu zij niet de normadressaat is75..

Ten slotte merk ik op dat met kennis achteraf veelal kan worden geconstateerd dat bepaalde gedragingen hadden kunnen worden voorkomen en dat men ter voorkoming daarvan altijd méér had kunnen doen dan men in werkelijkheid heeft gedaan. Ook dat is (anders dan in een resultaatsbenadering zoals ACM die volgt) op zichzelf niet voldoende voor de conclusie dat de betrokken partij niet de zorg heeft betracht die in redelijkheid van haar kon worden gevergd. De tot het treffen van (voorzorgs)maatregelen gehouden partij mag zich mede laten leiden door redelijke verwachtingen met betrekking tot de effecten van de maatregelen die zij wél heeft getroffen. Ook het College van Beroep voor het bedrijfsleven is daarvan uitgegaan in de zaak van de zegelverbreking.76.

A.v.a.s.

Aan een mogelijke afwezigheid van alle schuld zal men eerst toekomen, wanneer zowel een bekendmaking van de ingevolge artikel 79, eerste lid, E-wet en artikel 37, eerste lid, Gaswet geheim te houden gegevens als een toerekening van die bekendmaking aan Liander wordt aangenomen. Naar mijn mening bieden hooguit de ijzerdraadcriteria ruimte voor een toerekening aan Liander; dat betekent dat toerekening vooronderstelt dat Liander niet de zorg heeft betracht die met het oog op de voorkoming van de bekendmaking in redelijkheid van haar kon worden gevergd. Als het oordeel in laatstbedoelde zin moet luiden, leidt dat oordeel niet alleen tot toerekening aan Liander, maar sluit het naar mijn mening ook afwezigheid van alle schuld van Liander uit.

Schuld en straftoemeting

De omstandigheid dat in het hierboven veronderstelde geval een beroep op afwezigheid van alle schuld niet zou slagen, neemt niet weg dat, bij een overtreding en een toerekening aan Liander zoals hiervoor bedoeld, wel degelijk het nodige op de verwijtbaarheid valt af te dingen. Zo heeft Liander (ook volgens ACM) wel degelijk (voorzorgs)maatregelen getroffen en is de bekendmaking terug te voeren op goeddeels abusievelijk door een derde verleende autorisaties. Aan de verwijtbaarheid van een eventuele overtreding lijkt mij voorts af te doen dat de wetgever uitbesteding van de administratie heeft toegestaan zonder specifieke voorzorgsmaatregelen te verlangen en dat (ondanks de door DTe geuite zorg over uitbesteding van de administratie van netbeheerders77.) specifieke voorzorgsmaatregelen evenmin zijn verlangd toen het splitsingsplan van Liander (dat volgens Liander “uitgebreide beschrijvingen van de administratieve processen, de IT-processen en de verdeling van verantwoordelijkheden tussen Nuon CCC en Liander en de tussen hen geldende overeenkomsten tot instandhouding van een shared service center (bevat)” 78.) achtereenvolgens door ACM en de minister werd beoordeeld en de minister daarop een aanwijzing gaf, die op het punt van de geheimhouding echter géén betrekking had.79.

Bij dit alles komt, dat de ernst van de overtreding hier niet in de weg behoeft te staan aan een straf die aan de mate van schuld is gerelateerd. Dat onbevoegden daadwerkelijk van de geheim te houden gegevens hebben kennisgenomen, laat staan dat - in strijd met de ratio van de energierichtlijnen waarin de betrokken geheimhoudingsplichten hun grond vinden - misbruik van die gegevens is gemaakt, is niet vastgesteld.

Medeplegen

Ook in verband met het aan Nuon CCC verweten medeplegen is uiteraard van belang waarin het grondfeit heeft bestaan. ACM heeft in het tot Nuon CCC gerichte besluit hetzelfde stramien gevolgd als in het besluit waarbij aan Liander bestuurlijke boeten zijn opgelegd. Volgens ACM overtreedt de netbeheerder de geheimhoudingsplicht zoals bedoeld in artikel 79, eerste lid, E-wet en artikel 37, eerste lid, Gaswet, indien hij nalaat voldoende (voorzorgs)maatregelen te nemen (besluit Nuon CCC, onder 40). Als deze opvatting geen stand houdt, geldt datzelfde voor het aan Nuon CCC verweten medeplegen.

Wat de rol van Nuon CCC betreft, volstaat volgens ACM bewijs van bewuste samenwerking om medeplegen aan te nemen (besluit Nuon CCC, onder 75). Bewuste samenwerking is volgens ACM gegeven, gelet op de contractueel tussen Liander en Nuon CCC vastgelegde uitbestedingsrelatie; er is voorts sprake van een gelijkwaardige relatie, nu Liander en Nuon CCC als contractpartijen gelijkwaardig zijn (besluit Nuon CCC, onder 76). ACM heeft voorts gereleveerd dat Nuon CCC zich heeft verplicht mede zorg te dragen voor de waarborging van de vertrouwelijkheid van de klantgegevens van Liander (besluit Nuon CCC, onder 77). Aan de bewuste samenwerking doet volgens ACM niet af dat zij niet op overtreding was gericht; medeplegen van een culpoos delict vereist immers geen opzet op een overtreding (besluit Nuon CCC, onder 78). Ten slotte lag het volgens ACM in het vermogen van Nuon CCC om de overtreding te beëindigen (besluit Nuon CCC, onder 79).

Hoewel juist is dat voor het medeplegen van een culpoos delict geen dubbel opzet (opzet op de samenwerking én opzet op de overtreding) mag worden verlangd, betwijfel ik of ACM, bij het bepalen van de rol van Nuon CCC, terecht als irrelevant heeft beschouwd dat de samenwerking niet op de overtreding was gericht. De enkele omstandigheid dat partijen in enig opzicht bewust samenwerkten, maakt partijen nog niet tot medeplegers van een door één van hen gepleegd delict. Samenwerking op zichzelf zegt in dit verband helemaal niets, net zoals medeplegen op zichzelf een inhoudsloos begrip is: het gaat, in de woorden van De Hullu,80.steeds om het medeplegen van een bepaald strafbaar feit. Zoals De Hullu naar mijn mening overtuigend heeft aangetoond, moet een tot medeplegen leidende samenwerking tussen partijen wel degelijk op de delictsgedraging van het grondfeit (in casu de verlening van de autorisaties en de mogelijk daarin gelegen bekendmaking) zijn gericht.81.De Hullu is zich bewust dat dit laatste bijna automatisch een opzetvereiste op de delictsgedraging impliceert, maar meent dat de eis van een bewuste samenwerking daarop misschien ook wel neerkomt.82.

Discutabel acht ik voorts het oordeel dat sprake is van een gelijkwaardig relatie, omdat Liander en Nuon CCC als contractpartijen gelijkwaardig zijn. Volgens mij komt het voor een strafbaar medeplegen niet aan op een gelijkwaardigheid van partijen in hun contractuele relatie, maar op een (zekere) gelijkwaardigheid van hun rol bij het plegen van het delict. In de woorden van de Hoge Raad: “De kwalificatie medeplegen is slechts dan gerechtvaardigd als de bewezenverklaarde - intellectuele en/of materiële - bijdrage aan het delict van de verdachte van voldoende gewicht is.” In dat verband heeft de Hoge Raad ook van “een voldoende significante of wezenlijke bijdrage” gesproken.83.Welke bijdrage Nuon CCC aan de volgens ACM door Liander gepleegde overtreding heeft geleverd, wordt uit het besluit niet duidelijk. In het besluit (onder 77) wordt benadrukt dat Nuon CCC zich had verplicht mede zorg te dragen voor de waarborging van de vertrouwelijkheid van de klantgegevens van Liander. Daarmee is echter nog niet gegeven dat Nuon CCC aan een (volgens ACM) in het treffen van onvoldoende voorzorgsmaatregelen bestaande schending van de geheimhoudingsplicht door Liander ook een wezenlijke bijdrage heeft geleverd. Voorts wordt in het besluit (onder 79) geconstateerd dat het in het vermogen van Nuon CCC lag om de overtreding te beëindigen, maar dat Nuon CCC dit heeft nagelaten. Ook daarmee is niet gegeven dat Nuon CCC een wezenlijke bijdrage aan het plegen van die overtreding door Liander heeft geleverd.

Opmerking verdient dat het besluit van ACM afwijkt van het volledige criterium voor een medeplegen, dat niet alleen een bewuste, maar ook een voldoende nauwe samenwerking met een ander of anderen verlangt.84.Ik begrijp dat ACM zich op het element van een bewuste samenwerking heeft geconcentreerd, omdat in haar visie sprake is van een omissiedelict (het tekortschieten in een zorgplicht), waarbij zich geen uitvoeringshandelingen laten onderscheiden die als toetssteen voor de intensiteit van de samenwerking bij de overtreding (“een voldoende nauwe samenwerking”) zouden kunnen dienen. Waar de overtreding in de visie van ACM bestaat uit een niet-geheimhouden als gevolg van het treffen van onvoldoende voorzorgsmaatregelen, zou de gedachtegang kunnen zijn dat zowel Liander als Nuon CCC daarvoor aansprakelijk zijn, nu zij beiden tot het treffen van voldoende voorzorgsmaatregelen waren gehouden, maar beiden in die gezamenlijke verantwoordelijkheid zijn tekortgeschoten. Nog daargelaten dat in het tot Nuon CCC gerichte besluit een analyse van de exacte betrekkingen tussen Nuon CCC en Nuon IT (alsmede Nuon Sales) en van de daarin al dan niet geldende waarborgen met betrekking tot de vertrouwelijkheid van de klantgegevens van Liander ontbreekt en nog daargelaten dat op Nuon CCC niet de wettelijke geheimhoudingsplicht van artikel 79, eerste lid, E-wet en artikel 37, eerste lid, Gaswet, maar de contractueel door Liander bedongen geheimhoudingsplichten rustten,85.geldt als bezwaar tegen de veronderstelde gedachtegang dat schending van een geheimhoudingsplicht mijns inziens geen omissiedelict is, maar een bekendmaking van de geheim te houden gegevens verlangt (zie hiervóór onder 6.4). Als de verlening van de litigieuze autorisaties al een aan Liander toe te rekenen bekendmaking vormt, zal het bij de beoordeling van een eventueel medeplegen door Nuon CCC aankomen op de vraag of en zo ja, welke (significante of wezenlijke) bijdrage Nuon CCC aan die bekendmaking heeft geleverd.

Voor de inhoud en reikwijdte van de geheimhoudingsplicht van artikel 79, eerste lid, E-wet en artikel 37, eerste lid, Gaswet, acht ik bepalend dat artikel 272 Sr, dat de schending van (onder meer) wettelijke geheimhoudingsplichten strafrechtelijk sanctioneert, voor de schending van een geheimhoudingsplicht een bekendmaking van de geheim te houden gegevens verlangt. Het begrip bekendmaking kan strikt en minder strikt worden opgevat, maar het omvat zeker niet alle gevallen waarin het aan een voldoende beveiliging van de geheim te houden gegevens ontbreekt.

Artikel 79, eerste lid, E-wet en artikel 37, eerste lid, Gaswet, behelzen géén resultaatsverplichting, in die zin dat ieder bekend worden van de geheim te houden gegevens een beboetbare overtreding vormt. Een beboetbare overtreding doet zich slechts voor als de geheimhouder de geheim te houden gegevens bekend heeft gemaakt dan wel een bekendmaking van die gegevens aan de geheimhouder dient te worden toegerekend, en de geheimhouder zich niet met succes op afwezigheid van alle schuld kan beroepen.

De geheimhoudingsplicht van artikel 79, eerste lid, E-wet en artikel 37, eerste lid, Gaswet kan mijns inziens evenmin als een zorgplicht worden getypeerd. Een gebrek aan zorg dat niet tot een bekendmaking van de geheim te houden gegevens leidt, vormt geen schending van de geheimhoudingsplicht. Anderzijds vormt een bekendmaking van de geheim te houden gegevens door de geheimhouder of een bekendmaking van die gegevens die aan de geheimhouder dient te worden toegerekend, een schending van de geheimhoudingsplicht, ongeacht de mate van zorg die de geheimhouder heeft betracht om bekendmaking van die gegevens te voorkomen. De door de geheimhouder betrachte zorg kan wel leiden tot afwezigheid van alle schuld of tot een met het oog op de straftoemeting relevante mindere mate van verwijtbaarheid.

Als bekendmaking van de geheim te houden gegevens de delictsgedraging vormt, kan schending van de geheimhoudingsplicht van artikel 79, eerste lid, E-wet en artikel 37, eerste lid, Gaswet niet als een omissiedelict worden aangemerkt.

Dat bekendmaking van de geheim te houden gegevens als delictsgedraging heeft te gelden, impliceert dat een bekendmaking van de geheim te houden gegevens door een derde slechts dan een overtreding door de geheimhouder vormt, als de betrokken gedragingen van die derde aan de geheimhouder moeten worden toegerekend. Daarbij komt het, voor zover van belang, aan op de vraag of de geheimhouder erover vermocht te beschikken of die gedragingen al dan niet zouden plaatsvinden en of zodanig of vergelijkbaar gedrag blijkens de feitelijke gang van zaken door de geheimhouder werd aanvaard of placht te worden aanvaard. Onder aanvaarden wordt hier mede begrepen het niet betrachten van de zorg die in redelijkheid van de geheimhouder kon worden gevergd met het oog op de voorkoming van de gedraging.

Als de bekendmaking door een derde aan de geheimhouder dient te worden toegerekend op grond van het laatste criterium, sluit dat een beroep op afwezigheid van alle schuld praktisch uit. In dat geval is de geheimhouder immers tekortgeschoten in de zorg die in redelijkheid van hem kon worden gevergd.

Het uitgangspunt dat de geheimhoudingsbepalingen van de E-wet en de Gaswet niet eraan in de weg staan dat een netbeheerder zijn klantgegevens in het kader van een uitbesteding aan een administratiekantoor bekendmaakt, acht ik problematisch. Weliswaar heeft de wetgever zodanige uitbesteding blijkens de memorie van toelichting tijdelijk willen toestaan, maar daarbij heeft hij zich kennelijk onvoldoende rekenschap gegeven van de complicatie die de geheimhoudingsbepalingen in dat verband vormen. Als de gedachte zou zijn dat de aan uitbesteding inherente overtreding van de geheimhoudingsbepalingen tijdelijk moet worden gedoogd onder voorwaarde van voldoende (voorzorgs)maatregelen, geldt dat zodanige voorwaarde niet is geëxpliciteerd en dat bij overtreding daarvan niet de overtreding van die voorwaarde, maar de niet langer te gedogen bekendmaking kan worden beboet. De bestreden besluiten zijn echter uitdrukkelijk niet op de uitbesteding gericht.

Of sprake is van een medeplegen, wordt (uiteraard) allereerst bepaald door de delictsgedraging die tot het grondfeit leidt. Het oordeel kan anders uitvallen, al naar gelang een gebrek aan zorg dan wel een bekendmaking van de geheim te houden gegevens als de in aanmerking te nemen delictsgedraging heeft te gelden.

Medeplegen veronderstelt een voldoende nauwe en bewuste samenwerking tussen de medeplegers. Niet iedere samenwerking volstaat voor een medeplegen. Hoewel voor het medeplegen van overtredingen niet mag worden verlangd dat sprake is van “dubbele” opzet (opzet op de samenwerking en opzet op het delict), moet worden aangenomen dat de voor medeplegen vereiste samenwerking minst genomen op de delictsgedraging moet zijn gericht.

Van medeplegen is pas sprake als de intellectuele en/of materiële bijdrage van de medepleger aan het delict van voldoende gewicht (significant of wezenlijk) is. In die zin moet de samenwerking tussen de medeplegers gelijkwaardig zijn. Hierbij komt het aan op een zekere gelijkwaardigheid bij het plegen van de overtreding. Daarvoor is op zichzelf niet voldoende dat de medeplegers, als zij in een contractuele relatie tot elkaar staan, als contractpartijen gelijkwaardig zijn.

w.g. mr. L.A.D. Keus

Raadsheer Advocaat-Generaal