Computer Fraud and Abuse Act: de Amerikaanse antihackwet uitgelegd
De Computer Fraud and Abuse Act, kortweg CFAA, is de belangrijkste Amerikaanse wet tegen computercriminaliteit. Ze dateert uit 1986 en maakt het strafbaar om zonder toestemming binnen te dringen in een computersysteem, of om toegang die je wél hebt te misbruiken op een manier die niet is toegestaan. Denk aan de wet als het Amerikaanse equivalent van huisvredebreuk, maar dan voor computers: net zoals je niet zomaar iemands huis mag binnengaan zonder uitnodiging, mag je niet zomaar inloggen op een systeem waar je geen recht toe hebt.
Het bijzondere aan de CFAA is dat de wet is geschreven in een tijd dat internet nog nauwelijks bestond, maar tot op de dag van vandaag wordt gebruikt om zaken te vervolgen die de opstellers zich nooit hadden kunnen voorstellen: van het kraken van overheidssystemen tot het scrapen van websites en het delen van een wachtwoord met een collega. Die brede toepasbaarheid maakt de wet krachtig, maar ook omstreden, omdat rechters en aanklagers al decennia discussiëren over waar 'legale toegang' precies ophoudt.
Wat is het precies?
De CFAA is vastgelegd in de Amerikaanse federale wetgeving onder de code 18 U.S.C. § 1030. De kern van de wet draait om twee soorten overtredingen: toegang verkrijgen tot een computer 'zonder autorisatie' (unauthorized access), of toegang 'overschrijden die wel is toegestaan' (exceeding authorized access). Het eerste geval is duidelijk: iemand die inbreekt in een systeem waar hij helemaal geen account voor heeft. Het tweede geval is veel lastiger, want het gaat over mensen die wél mogen inloggen, maar de informatie vervolgens gebruiken op een manier die niet de bedoeling was.
De wet beschermt specifiek 'protected computers'. Dat klinkt beperkt, maar door de brede definitie vallen daar in de praktijk vrijwel alle computers onder die verbonden zijn met internet, ook computers buiten de Verenigde Staten zodra er een link is met Amerikaanse handel of communicatie. Daardoor heeft de CFAA de facto een enorm bereik.
Overtreding van de wet kan zowel strafrechtelijk als civielrechtelijk gevolgen hebben. Het Openbaar Ministerie (Department of Justice) kan iemand strafrechtelijk vervolgen, met gevangenisstraffen die kunnen oplopen van enkele jaren tot bij zware of herhaalde delicten aanzienlijk meer. Daarnaast staat de wet ook particulieren en bedrijven toe om zelf een civiele rechtszaak aan te spannen tegen iemand die naar hun mening onrechtmatig hun systeem heeft benaderd, bijvoorbeeld om schadevergoeding te eisen. Die combinatie van straf- en civiel recht is vrij uniek en heeft de wet ook aantrekkelijk gemaakt voor bedrijven die concurrenten of ex-werknemers willen aanpakken.
Wat wil men ermee bereiken?
Het Amerikaanse Congres nam de CFAA aan in 1986, in een periode waarin computers steeds vaker met elkaar verbonden raakten en de eerste voorbeelden van hacking in het nieuws kwamen. De film WarGames uit 1983, waarin een tiener per ongeluk inbreekt in een militair systeem en bijna een kernoorlog veroorzaakt, wordt vaak genoemd als een van de culturele aanleidingen die het onderwerp op de politieke agenda zette. Voor die tijd bestond er geen federale wet die specifiek computerinbraak strafbaar stelde; bestaande wetten over diefstal of vandalisme pasten niet goed op digitale systemen.
Het doel was dus simpel: computersystemen van banken, overheden en bedrijven beschermen tegen indringers, en een juridisch instrument geven aan aanklagers om daders te vervolgen. Naarmate internet groeide, breidde het toepassingsgebied van de wet zich uit, van bescherming van financiële en overheidssystemen naar vrijwel elk systeem dat met internet verbonden is.
In de kern is de belofte van de wet dat digitale eigendommen dezelfde bescherming verdienen als fysieke eigendommen: een slot op de voordeur moet net zo veel gewicht in de schaal leggen als een wachtwoord op een server. Critici vinden echter dat die vergelijking mank gaat, omdat 'onbevoegde toegang' online veel moeilijker eenduidig te definiëren is dan het overschrijden van een fysieke drempel.
Voorbeelden uit de praktijk
United States v. Morris (1988-1990) was de allereerste grote zaak onder de CFAA. Robert Tappan Morris, destijds student, verspreidde de zogeheten Morris Worm, een van de eerste zelfreplicerende programma's op het toenmalige internet. De worm legde duizenden systemen plat en leidde tot de eerste veroordeling onder de nieuwe wet.
United States v. Aaron Swartz (2011) is een van de meest besproken zaken. De internetactivist en medeoprichter van Reddit werd aangeklaagd omdat hij via het netwerk van het Massachusetts Institute of Technology (MIT) op grote schaal wetenschappelijke artikelen downloadde van de database JSTOR. Hem hing een gevangenisstraf van tientallen jaren boven het hoofd. Swartz maakte in 2013 een einde aan zijn leven voordat de zaak voorkwam. De zaak leidde tot een wetsvoorstel genaamd 'Aaron's Law', dat de CFAA minder streng moest maken, maar dat voorstel is nooit door het Congres aangenomen.
United States v. Nosal, behandeld door het federale hof van beroep voor het negende circuit, draaide om een voormalig medewerker van het recruitmentbureau Korn/Ferry die na zijn vertrek nog steeds gegevens uit het bedrijfssysteem haalde met de inloggegevens van een oud-collega. De uitspraken in deze zaak, onder meer in 2012 en 2016, hielpen bepalen hoe ver 'onbevoegde toegang' reikt wanneer iemand technisch gezien beschikt over een geldig wachtwoord.
Van Buren v. United States (2021) is de belangrijkste recente uitspraak. Een Amerikaanse politieagent, Nathan Van Buren, zocht tegen betaling een kenteken op in een politiedatabase waar hij voor zijn werk toegang toe had, maar dan voor een privédoel. Het Amerikaans Hooggerechtshof oordeelde met 6 tegen 3 stemmen dat de CFAA niet van toepassing is op mensen die toegang misbruiken voor een verkeerd doel, zolang ze op zich wel bevoegd zijn om bij die specifieke data te komen. Deze uitspraak beperkte de reikwijdte van de wet aanzienlijk.
hiQ Labs v. LinkedIn ging over het scrapen (automatisch aftappen) van openbare LinkedIn-profielen door het analysebedrijf hiQ Labs. Het negende circuit oordeelde in 2019 dat het scrapen van publiek toegankelijke webpagina's geen overtreding van de CFAA is. Na de Van Buren-uitspraak werd de zaak teruggestuurd naar het hof, dat de eerdere conclusie in 2022 opnieuw bevestigde. Deze zaak wordt gezien als belangrijk voor de vraag of dataverzameling van open websites juridisch riskant is.
Hoe ver is de techniek?
De CFAA is geen technologie die zich ontwikkelt, maar een wet waarvan de uitleg door rechtbanken voortdurend verschuift. Decennialang gebruikten aanklagers een brede interpretatie van 'exceeding authorized access', waardoor bijna elk gebruik van een systeem dat indruiste tegen de gebruiksvoorwaarden van een werkgever of website in theorie strafbaar kon zijn. Denk aan het checken van je persoonlijke Gmail op een bedrijfscomputer als dat tegen het beleid was, of het aanmaken van een nepaccount in strijd met de voorwaarden van een platform.
De Van Buren-uitspraak uit 2021 heeft die brede interpretatie sterk teruggedrongen. Het Hooggerechtshof koos voor een zogeheten 'gates-up-or-down'-benadering: als iemand toegang heeft tot een bepaald deel van een systeem, dan is het niet strafbaar volgens de CFAA om die toegang te gebruiken voor een verkeerd doel, ook al is dat wel in strijd met interne regels of een arbeidscontract. Alleen het volledig ontbreken van toegang, ofwel een 'gesloten poort', valt nog onder de wet.
Deze verschuiving betekent dat veel praktijken die vroeger juridisch grijs gebied waren, zoals het scrapen van openbare webpagina's of het overtreden van gebruiksvoorwaarden van een website, nu minder snel als federaal misdrijf worden gezien. Toch blijft er onzekerheid: lagere rechtbanken verschillen nog van mening over de precieze toepassing, en er lopen voortdurend nieuwe zaken die de grenzen verder aftasten. Pogingen om de wet inhoudelijk te herzien via nieuwe wetgeving, zoals eerdere 'Aaron's Law'-voorstellen, zijn tot nu toe gestrand in het Congres.
Wie werken eraan?
Bij de CFAA zijn geen bedrijven of laboratoria betrokken zoals bij een technologie, maar wel een aantal vaste partijen die de wet vormgeven en bekritiseren. Het Amerikaanse ministerie van Justitie (Department of Justice) is verantwoordelijk voor strafrechtelijke vervolging onder de wet en publiceert richtlijnen voor aanklagers over wanneer een zaak onder de CFAA valt.
De Electronic Frontier Foundation (EFF), een Amerikaanse burgerrechtenorganisatie gericht op digitale vrijheden, is al jaren een van de meest prominente pleitbezorgers voor hervorming en inperking van de wet. De EFF voert regelmatig zaken of dient amicus curiae-stukken in bij rechtszaken zoals Van Buren en hiQ v. LinkedIn.
Ook academische juristen aan Amerikaanse universiteiten, zoals hoogleraren gespecialiseerd in cyberrecht, publiceren veelvuldig over de interpretatie van de wet. Het Amerikaanse Congres blijft daarnaast de instantie die uiteindelijk de wet zou moeten aanpassen, al zijn concrete hervormingsvoorstellen tot dusver niet aangenomen. Rechtbanken, met als hoogste instantie het Amerikaans Hooggerechtshof, spelen intussen de facto de grootste rol in het vormgeven van de wet, simpelweg omdat zij de vage bewoordingen van 1986 moeten toepassen op een steeds veranderend digitaal landschap.