5.4.3.5 Het beschikbaar stellen van ‘de administratie’

Voor het verkrijgen van inzage in de (relevante) delen van de administratie moet verplichte medewerking worden verleend. Vanuit het al dan niet aanwezig zijn van de zelfstandige bevoegdheid daartoe, zijn er functionele verschillen. De kans op het ‘snuffelen’ naar informatie komt daarbij naar voren. Dit geldt met name voor het beschikbaar stellen van omvangrijke (elektronische) gegevensbestanden en toenemende technische mogelijkheden die te analyseren.

De Afdeling bestuursrechtspraak van de Raad van State oordeelt dat met het verlenen van toestemming tot het betreden van een woning tevens, impliciet, de toezichthouder toestemming wordt verleend voor het openen van kasten.1 De Afdeling oordeelt dat een betredingsbevoegdheid niet gelijk te stellen is met een doorzoekingsbevoegdheid, maar wel de mogelijkheid geeft om zelfstandig inzage te verkrijgen in boeken en bescheiden. Blijkbaar wordt de bevoegdheid van de toezichthouder ruim genomen als de bewoner toestemming geeft, vanuit de gedachte dat hij voor het onderzoeken dan impliciet ook toestemming heeft gegeven.2

De vraag of een toezichthouder de bevoegdheid heeft om zich overal in een gebouw te begeven en op zoek te gaan naar zakelijke gegevens en bescheiden, moet ontkennend worden beantwoord. Waar zijn grens ligt, is echter op voorhand niet vast te stellen. Zo bepaalt de rechtbank de grens voor het optreden van de Nma bij zijn toezicht op HBG Civiel.3 Naar het oordeel van de onder toezicht gestelde overschreed de Nma zijn toezichtsbevoegdheden. De toezichthouder zou zich namelijk hebben begeven op het opsporingsterrein met het doorzoeken van ruimten.

De rechtbank geeft daarbij aan dat de grens tussen enerzijds onderzoeken in het kader van toezicht en anderzijds het doorzoeken (zoals dat gebeurt in het strafrecht) niet altijd scherp is te trekken. Het eerste behoort tot de toezichtsbevoegdheden en het laatste niet. Bij het kwalificeren van de handeling gaat het – volgens de rechtbank – om de aanwezigheid van een alomvattendheid (volledigheid) en een bepaalde, mogelijk hoge, mate van willekeurigheid. Dan is er sprake van doorzoeking. In andere gevallen is sprake van ‘onderzoeken’. Verder is van belang dat de wetgever met de opneming van voornoemde artikelen in de Awb voor ogen moet hebben gestaan om in normale gevallen een effectief middel voor een toezichthouder te creëren.4

De toezichthouder moet zich binnen zijn bevoegdheid om zelfstandig gebouwen te betreden, beperken tot ‘bekende’ archiefruimten. Ook het ronde archief – de papierbak – kan niet willekeurig worden onderzocht.5 De bevoegdheid tot het op zoektocht gaan naar zakelijke gegevens en bescheiden is ook de toezichthouder niet gegeven. Dat blijft voorbehouden aan opsporingsinstanties (mits zij een bevel daartoe hebben ontvangen). Dit is een kenmerkend verschil tussen het strafrechtelijke doorzoeken en bestuursrechtelijke onderzoeken.

Met dit onderscheid heeft de toezichthouder uitgebreidere zelfstandige bevoegdheden tot het verkrijgen van inzage dan de inspecteur. Die is afhankelijk van de medewerkingsplicht en kan niet zelfstandige inzage nemen in boeken, bescheiden en andere gegevensdragers. De toezichthouder kan, mits hij op de hoogte is van de locatie, zelfstandig toegang verkrijgen en gaan onderzoeken (voor verschil met doorzoeken, zie par. 5.6.2.5).

In het verlengde van het zelfstandig toegang verkrijgen ligt het ‘snuffelen’. Wanneer deze vorm van nieuwsgierig rondkijken gepaard gaat met alleen de ogen of het raadplegen van algemeen toegankelijke bronnen, behoort dat tot de algemene mogelijkheden van de inspecteur om de aanslag te kunnen vaststellen (art. 11 AWR). Dat kan gepaard gaan met het verkrijgen van toegang tot gebouwen en terreinen (par. 5.6). Dit krijgt echter een ander karakter wanneer hij bij een onderneming al snuffelend op zoek gaat naar gegevens. Een grens tussen beide handelingen is overigens niet eenduidig te trekken. Maar mag hij geen gegevens vragen zonder redelijk vermoeden van een fiscaal belang. Dat kwalificeert als een fishing expedition.6 De inspecteur mag alleen om gegevens vragen, waarvan hij kan aangeven dat zij fiscaal van belang kunnen zijn.7 De inspecteur is dan ook niet bevoegd op goed geluk gegevens op te vragen in de hoop dat zij relevant zouden kunnen zijn.89

De Awb toezichthouder heeft wel bevoegdheid tot het zelfstandig inzage nemen, maar mag niet ongelimiteerd daarin grasduinen.10 Voor het verkrijgen van toegang tot elektronische gegevens moet, hij desgevraagd voldoende aannemelijk kunnen maken dat de inzage van zakelijke gegevens en bescheiden op een wijze plaatsvindt, die redelijkerwijs noodzakelijk is voor de vervulling van zijn taak.11 Om snuffelen te voorkomen bepaalde ook het EU-Gerecht dat de aanleiding van het onderzoek – de toezichtshandeling – van tevoren bekend moet zijn.12 Eenzelfde lijn is ook te zien in de nationale jurisprudentie.13

Bij (zelfstandige) elektronische inzage blijkt het echter niet altijd mogelijk te zijn op voorhand de data te filteren. De toezichthouder moet dan in overleg met de onder toezicht gestelde waarborgen treffen tegen ongeoorloofde inzage van gegevens.14

Een vraag die in het verlengde ligt van het opvragen van alleen de relevante delen van een administratie en het verbod op ‘snuffelen’, is het gebruik van de ‘forensic image’. Daarbij gaat het om het maken van forensische kopieën (de zogenaamde ‘forensic images’) van de harde schijf van een (netwerk van) computer(s). Het begrip kopiëren impliceert dat de toezichthouder daarna over exact dezelfde inhoud van een gegevensdrager beschikt als degene wiens harde schijf is gekopieerd.15 Forensic images, waarbij de gebruiker met technische hulpmiddelen ook verwijderde gegevens weer ter inzage kan verkrijgen, liggen vanuit dat perspectief bezien in het grensgebied met de opsporingssfeer. Ook de vrije toegang tot alle gegevens – met de mogelijkheid tot doorzoeken – behoort immers tot de mogelijkheden. De zogenaamde fishing expeditions zijn eveneens niet uitgesloten evenals het ter inzage krijgen – bewust of onbewust – van geprivilegieerde gegevens.

Het maken van een forensic image kan dan ook op gespannen voet komen te staan met het evenredigheidsbeginsel en met grenzen van wettelijke bevoegdheden. Is dit redelijkerwijs nog noodzakelijk voor het vervullen van de taak van een toezichthouder.16 Een voorzieningenrechter heeft evenwel bepaald dat het maken van een forensic image – op grond van art. 5:17 Awb – tot het instrumentarium van de toezichthouder behoort.17 Wel gelden er bijzondere waarborgen ter voorkoming van het raadplegen van niet-zakelijke documenten dan wel documenten waarop een ‘legal privilege’ rust.18 Zo beslist de voorzieningenrechter in de zaak HBGCiviel19 en overeenkomstig in de zaak Van Hattum & Blakevoort.20 Verhey c.s. stellen zich op het standpunt dat de rechter met deze uitspraak ‘een mooi evenwicht heeft gevonden tussen de onderzoeksbelangen van de NMa en de belangen van de onderzochte onderneming’.21 Met deze uitspraak wordt, zonder het expliciet te benoemen, invulling gegeven aan het spanningsveld rondom het redelijkheidsbeginsel.22 De ACM heeft deze waarborgen vastgelegd in zijn procedures.23 De AFM heeft soortgelijke beschrijvingen.24

De rechter oordeelt later dat uit de beschreven werkwijze niet volgt dat de toezichthouder (in casu de AFM) gehouden is eerst een (nadere) selectie te maken uit de reeds geselecteerde digitale gegevens.25 Dat zou volgens de rechtbank in de praktijk nauwelijks uitvoerbaar zijn en ook niet uit de wet volgen (art. 5:13 Awb). Het maken van een integrale kopie – of forensic image – kan daarom ook plaatsvinden door bijvoorbeeld de gehele inhoud van de e-mailboxen te kopiëren waarbij op een later moment de inzage plaatsvindt, rekening houdend met de eerdergenoemde waarborgen. Hetgeen niet relevant is dan wel op basis van het legal privilege niet opgevraagd had kunnen worden, moet in beginsel worden vernietigd of teruggegeven.

Binnen het fiscale domein is beperkte jurisprudentie voorhanden die het kader aangeeft voor het gebruik van de forensic image. De inzageverplichting van de inspecteur strekt zich – desgevraagd – uit tot de elektronische gegevensverzamelingen, maar dat doet niets af aan de algemene uitgangspunten. Zo geldt de mogelijke fiscale relevantie onverkort. Op het moment waarop de inspecteur gegevensdragers voor raadpleging opvraagt, moet er (mogelijke) fiscale relevantie zijn.26 En voor het verkrijgen van een kopie van de bedrijfsserver moet die wijze van inzage proportioneel zijn.27 Ook hier geldt als uitgangspunt dat de inspecteur zich niet zelfstandig toegang mag verschaffen tot archieven. En elektronische gegevensverzamelingen zijn qua aard niet anders dan de papieren gegevensverzamelingen (archieven). De inhoudsopgave vormt de sleutel tot het archief, zowel voor gegevensvastleggingen op traditionele media als bijvoorbeeld die op tapes en schijven.28 In het fiscal toezicht komt in het algemeen de vraag van (elektronisch) kopiëren dan pas aan de orde nadat de gegevens voor raadpleging beschikbaar zijn gesteld (art. 49 lid 2 AWR).29

Een uitzondering daarop is te vinden in de civiele procedure van de Belastingdienst versus het trustkantoor Tradman.30 In het kader van een derdenonderzoek verkrijgt de inspecteur geen volledige inzage in de administratie. Hij vordert vervolgens civielrechtelijk een (forensic) image van de gegevensdragers die de administratie van de trustmaatschappij bevatten en die van administraties die de trustmaatschappij houdt. Ter controle op de volledigheid vordert hij tevens ‘een kopie van een back-up van het computer(netwerk)’.

De voorzieningenrechter onthoudt zich van een algemeen oordeel over de algemene reikwijdte van de bevoegdheden van de inspecteur en beperkt zich tot de concrete vordering tot het maken van een image ingeval de inspecteur – aantoonbaar – geen inzage krijgt in alle (mogelijk) van belang zijnde gegevens. Naast het verschaffen van inzicht in de opzet en werking van de gehele (elektronische) administratie (inclusief het opslagbeheer van de gegevens), strekt de medewerkingsplicht zich uit tot het (laten) maken van een image van de gegevensbronnen. De voorzieningenrechter oordeelt dat ook het verstrekken van een back-up van de recente administraties tot de medewerkingsplicht behoort. Met zijn vordering heeft de inspecteur naar alle waarschijnlijkheid met ‘een kopie van een back-up van het computer(netwerk)’ bedoeld ‘van de administratie(s)’.

Mag de inspecteur bij elk onderzoek een (forensic) image maken? Die vraag is onbeantwoord. De civiele procedure had betrekking op een (derden)onderzoek met onvoldoende medewerking. De inspecteur kon geen vertrouwen ontlenen aan de verleende inzage. Hij kreeg zodoende niet te zien wat hij wilde weten. Vandaar dat hij de gehele administratie ter beschikking wilde krijgen middels een image om die vervolgens zelfstandig in te zien.

In dit verband is van belang dat uit eerdere jurisprudentie blijkt dat de inspecteur ‘niet alles wat van zijn gading is’ – in casu e-mailberichten – maar niet primair betrekking heeft op het onderzoek, kan ‘kopiëren’ voor verder onderzoek.31 Met het treffen van waarborgen die de inzage kunnen beperken, is het gebruik van de forensic image te vergelijken met het verkrijgen van inzage van beschikbaar gestelde gegevens.32 Wel kan de inspecteur de consistentie van het bestand beoordelen en zonodig conclusies trekken wanneer delen in de beschikbaar gestelde data ontbreken.33 Het technisch terughalen van eventueel verwijderde bestanden, dan wel het op zoek gaan naar verborgen bestanden lijkt niet tot zijn mogelijkheden te behoren.34

De bevoegdheden op basis van de Awb zijn dan ook uitgebreider dan de fiscale verplichtingen gegevens (ter inzage) te verstrekken en kopieën daarvan te maken. De inspecteur is afhankelijk van hetgeen hij ziet en in concreto vraagt. De Awb- toezichthouder kan zelfstandig meer (niet op voorhand zichtbare en toegankelijke) toezichtgegevens verkrijgen door het maken van een forensic image en/of kopie van totale harde schijf dan wel bedrijfsserver alsmede bepaalde ruimtes onderzoeken.

Bij het maken van kopieën moeten zowel de inspecteur als de toezichthouder rekening houden met de algemene beginselen van behoorlijk bestuur. Het subsidiariteitsbeginsel vereist terughoudendheid.35 Het nemen van afschriften of kopieën van vertrouwelijke stukken in het dossier brengt een risico met zich mee. Het verliezen van USB-sticks en cd-roms is namelijk niet uitgesloten.36 Dit geldt ook voor het hacken van de overheid.37 Uiteraard mag de kopie alleen worden aangewend voor het specifieke doel: andere toezichthouders mogen niet meekijken. Het vernietigen van de gegevensverzameling na (eigen) gebruik lijkt dan ook het meest voor de hand te liggen: of mijns inziens beter, de zorgvuldigheid verplicht het bestuursorgaan daartoe.

De inspecteur kan – bij weigering door de gebruiker van een bedrijfsruimte of grond om hem toe te laten – de assistentie inroepen van de ‘sterke arme’ (zie voor verkrijgen toegang tot gebouwen of grond, par. 5.6). Daarover is geen specifieke bepaling opgenomen in de AWR, maar het vloeit voort uit de algemene ‘dienstverlening’ van de politie bij het uitoefenen van de taakuitoefening door de inspecteur. Eenmaal binnen de poort kan hij daarentegen alleen waarnemen; inzage bijvoorbeeld kan hij immers niet zelfstandig nemen.

Dit ligt anders voor de toezichthouders. Ten aanzien van het verkrijgen van toegang is in de Awb wel expliciet bepaald dat de toezichthouder die, zo nodig, verkrijgt met behulp van de ‘sterke arm’ (art. 5.15 lid 2 Awb). Een dergelijke bepaling acht de minister van Justitie ‘volstrekt gebruikelijk’.38 De ‘sterke arm’ beschikt namelijk over bevoegdheden tot geweldgebruik dan wel andere dwangmiddelen waarover de toezichthouder – over het algemeen – niet beschikt. In de memorie van toelichting bij het wetsvoorstel dat heeft geleid tot de Invoeringswet Politiewet 1993 is op deze ‘sterke-armfunctie’ van de politie ingegaan.39 Bij de behandeling van de Awb verwijst de minister van Justitie daarnaar en geeft aan dat dit tot de taken van de politie behoort.40 Het gebruik van geweld door de politie is, zo vervolgt de minister, een serieuze mogelijkheid.41 Dit geldt tevens voor het – verplicht – toelaten van de inspecteur tot gebouwen en gronden (zie par. 5.6.). De aanwezigheid of de mogelijkheid tot het inschakelen van de sterke arm kan ‘preventief werken’.

De ACM heeft als een van de weinige toezichthouders de wettelijke bevoegdheid om ook bij het verkrijgen van inzage ‘de sterke arm in te schakelen’ (art. 12b lid 2Iw ACM).42 Naast de noodzaak om direct inzage kunnen verkrijgen, ziet de minister van Economische Zaken nog additionele voordelen.43 Uiteraard moet het inzetten van deze bevoegdheid proportioneel zijn.