Rb. Gelderland 7 augustus 2025, ECLI:NL:RBGEL:2025:6547 – Curator beboet voor verkoop harde schijf met persoonsgegevens. Bewijslastverdeling: curator moet alternatief scenario aannemelijk maken.

Instantie Rechtbank Gelderland

Datum uitspraak: 7 augustus 2025

Datum publicatie: 12 augustus 2025

ECLI: ECLI:NL:RBGEL:2025:6547

Fragment:

Kon eiser redelijkerwijs beschikken over de persoonsgegevens op de Western Digitale harde schijf?

5. De AP stelt zich in het bestreden besluit op het standpunt dat buiten redelijke twijfel is dat de Western Digital harde schijf afkomstig is uit de boedel van [naam stichting] . Dit baseert zij op de volgende feiten en omstandigheden:

–
De verklaring van de tipgever dat hij de HP ML350-server met harde schijf heeft gekocht op de veiling van de failliete [naam stichting] ;

–
De door de tipgever overgelegde aankoopfactuur van [naam veilingbedrijf] met betrekking tot kavel [kavelnummer] ;

–
De zichtbare visuele overeenkomsten tussen de door de [naam veilingbedrijf] gepresenteerde informatie over kavel [kavelnummer] en hetgeen de toezichthouders van de AP bij de tipgever hebben aangetroffen;

–
Het taxatierapport opgesteld in opdracht door de curator. Die maakt melding van 2 HP back-up servers, type Proliant ML350;

–
De bij de tipgever aanwezige gelabelde apparaten met benamingen BACKUP, EX1 en EX2. Deze benamingen staan ook op het overzicht van de hardware van [naam stichting] die door de curator is opgeleverd aan de AP.;

–
De aangetroffen persoonsgegevens op de harde schijf. Het gaat om een grote hoeveelheid bestanden met veel bijzondere en gevoelige persoonsgegevens van zowel (oud)medewerkers als (oud)cliënten van [naam stichting] . Daaronder begrepen zijn gegevens over salaris, NAW-gegevens, BSN nummers, gegevens over ontslagprocedures en medische gegevens.

5.1.
Eiser stelt dat hij niet kon beschikken over de persoonsgegevens op de Western Digital harde schijf, omdat deze zich niet bevond in de boedel van [naam stichting] . Gelet op de verzwaarde bewijslast, is het volgens eiser aan de AP om buiten redelijke twijfel aan te tonen dat eiser kon beschikken over de persoonsgegevens. De AP heeft niet aan deze bewijslast voldaan. Er bestaan namelijk ernstige twijfels over het scenario van de AP dat de harde schijf onderdeel uitmaakte van de faillissementsboedel van [naam stichting] en dat de tipgever de harde schijf via de faillissementsveiling heeft verkregen. De AP baseert zich in het bestreden besluit veelvuldig op oncontroleerbare aannames, speculaties en veronderstellingen. De in het bestreden besluit genoemde feiten en omstandigheden zeggen alleen iets over de herkomst van de HP ML350-server, maar niets over de Western Digital harde schijf. Zelfs als er vanuit wordt gegaan dat de geveilde HP ML350-server dezelfde is als de server die bij de tipgever is aangetroffen, is daarmee nog niet aangetoond dat de Western Digital harde schijf daarin was gemonteerd. Alleen de verklaring van de anonieme tipgever(s) en de op de Western Digital harde schijf aangetroffen persoonsgegevens zouden mogelijk iets zeggen over de herkomst van de harde schijf. Kort gezegd komen de bezwaren van eiser op het volgende neer:

– De verklaring van de anonieme tipgever is niet betrouwbaar;

– De plek waar de Western Digital harde schijf is aangetroffen is ongebruikelijk en ondersteunt het scenario dat deze daar na de veiling is geplaatst en (dus) niet tot de faillissementsboedel behoorde;

– Het is mogelijk dat de Western Digital harde schijf op een eerder moment is ontvreemd zodat deze niet tot de failliete boedel behoorde.

Eiser wijst er daarbij op dat hij, nadat het faillissement van [naam stichting] was uitgesproken, alle in de boedel aanwezige actieve ICT-apparatuur door een deskundige heeft laten inventariseren op de aanwezigheid van gegevensdragers en dat de Western Digital harde schijf daarbij niet naar voren is gekomen. Verder heeft hij direct voorafgaand aan de veiling opdracht gegeven om alle gegevensdragers te verwijderen. Ook daarbij is de Western Digital harde schijf niet aangetroffen. Dit ondersteunt het scenario dat de harde schijf niet tot de boedel behoorde. Eiser heeft deze bezwaren in beroep uitgebreid toegelicht. Hierop zal de rechtbank hieronder ingaan.

5.2.
De rechtbank stelt voorop dat sprake is van een belastend besluit. Dit betekent dat de AP de bewijslast draagt voor de feiten en omstandigheden waarop het besluit rust. De overtreding moet buiten redelijke twijfel bewezen zijn.3 Eiser kan volstaan met het leveren van tegenbewijs. Hij hoeft niet te bewijzen dat de zaak anders ligt dan het AP stelt, maar alleen dat het onderzoek waar het AP zich op baseert niet deugt. Indien eiser zich beroept op een alternatief scenario verschuift de bewijslast naar eiser. Het is dan aan hem om dit alternatieve scenario aannemelijk te maken.4

5.3.
De rechtbank is van oordeel dat de AP buiten redelijke twijfel heeft aangetoond dat de tipgever de Western Digital harde schijf, die was gemonteerd in een HP ML350-server, heeft verkregen middels de aankoop van een kavel tijdens de boedelveiling van [naam stichting] en dat op die Western Digital harde schijf (bijzondere) persoonsgegevens zijn aangetroffen. Hiertoe acht de rechtbank het volgende redengevend.

Uit de aankoopfactuur blijkt dat de tipgever bij de veiling van de failliete [naam stichting] kavel [kavelnummer] heeft gekocht. Hierin zat een patchkast met HP-servers. Uit het taxatierapport, opgesteld in opdracht van eiser, blijkt dat er twee HP back-up servers, type Proliant ML350 in de boedel zaten.5 De tipgever heeft de toezichthouders het digitale origineel van de aankoopfactuur laten zien. De toezichthouders hebben geconstateerd dat de kopie van de aankoopfactuur identiek is aan het origineel. De toezichthouders hebben onderzoek gedaan bij de woning van de tipgever. Daar hebben de toezichthouders een patchkast aangetroffen waarin zich onder andere 2 HP ML350 servers bevonden.6 De toezichthouders hebben geconstateerd dat hetgeen ze bij de tipgever hebben aangetroffen visueel overeenkomt met hetgeen [naam veilingbedrijf] heeft gepresenteerd over dit kavel op de website van de digitale veiling.7 In één van die servers hebben de toezichthouders intern gemonteerd de Western Digital harde schijf aangetroffen. Op die harde schijf hebben de toezichthouderes persoonsgegevens aangetroffen van (oud)medewerkers en (oud)patiënten van [naam stichting] zoals hierboven omschreven. Verder hebben de toezichthouders een aantal andere apparaten bij de tipgever aangetroffen met de benamingen BACK UP, ESX1 en ESX2. Deze worden ook genoemd op het overzicht van hardware van [naam stichting] zoals aangeleverd door eiser aan de AP. De tipgever heeft verklaard dat hij de patchkast via een digitale veiling van het bedrijf [naam veilingbedrijf] heeft gekocht en dat hij deze op 27 juni 2018 heeft opgehaald bij de ophaallocatie. Wat hij die dag aantrof kwam overeen met de foto’s van dit kavel die op de website van [naam veilingbedrijf] had gestaan. De patchkast met daarin de ML350-server bevond zich in de serverruimte. Thuis heeft de tipgever de patchkast opengeschroefd en heeft hij de Western Digital harde schijf aangetroffen met daarop de persoonsgegevens zoals hierboven omschreven.

5.4.
De rechtbank is van oordeel dat uit het voorgaande genoegzaam blijkt dat de HP ML350-server onderdeel was van de door de tipgever gekochte kavel, welke behoorde tot de boedel van [naam stichting] . Verder is de rechtbank van oordeel dat de AP onder verwijzing naar de verklaring van de tipgever en de overige in het bestreden besluit genoemde omstandigheden zich eveneens terecht op het standpunt stelt dat buiten redelijke twijfel is komen vast te staan dat de Western Digital harde schijf in deze server gemonteerd zat en daarom ook tot de boedel behoorde. Hiertoe acht de rechtbank van belang dat deze conclusie niet enkel is gebaseerd op de verklaring van de tipgever, maar dat deze verklaring wordt ondersteund door verschillende andere omstandigheden. De rechtbank wijst in dit kader op het feit dat, ook de AP heeft vastgesteld dat de Western Digital harde schijf in de HP-server zat, dat dit is gebeurd op een moment relatief kort nadat de veiling heeft plaatsgevonden en dat er een groot aantal persoonsgegevens van [naam stichting] op de harde schijf staan.

5.5.
De rechtbank volgt eiser niet in zijn betoog dat de verklaring van de tipgever onvoldoende betrouwbaar zou zijn en dat door het niet prijsgeven van de identiteit van de tipgever, het verdedigingsbeginsel geschonden zou zijn. Allereerst merkt de rechtbank op dat de geheimhoudingskamer reeds heeft geoordeeld dat beperkte kennisneming van de verklaring van de tipgever gerechtvaardigd is. Dat eiser zich hierdoor niet adequaat heeft kunnen verdedigen volgt de rechtbank niet. De naam en het beroep van de tipgever zijn weliswaar gelakt, maar verder heeft eiser kennis kunnen nemen van de inhoud van de verklaring. Ook ziet de rechtbank geen aanleiding om aan de betrouwbaarheid van de tipgever te twijfelen. De AP is nagegaan wie de tipgever is en of er een link is met [naam stichting] of de curator, maar dat bleek niet het geval. Ook nadat de rechtbank de ongelakte versie van de verklaring van de anonieme tipgever heeft bekeken, zijn daar onvoldoende aanknopingspunten voor. Dat de tipgever mogelijk een commercieel belang zou hebben, zoals door eiser op zitting gesteld, verandert dit oordeel niet. Dit doet namelijk niet af aan het feit dat hij persoonsgegevens heeft aangetroffen op de door hem via de boedelveiling verkregen Western Digital harde schijf. Op zitting heeft eiser er verder op gewezen dat de tipgever in zijn verslag stelt dat de Western Digital harde schijf gemonteerd zou hebben gezeten in de HP ML350-server met de aanduiding “back-up”, terwijl de AP beschrijft dat de Western Digital harde schijf is aangetroffen in de HP ML350-server zonder dit label. Alhoewel eiser terecht stelt dat sprake is van enige discrepantie tussen de verklaring van de tipgever en die van de toezichthouders maakt dit niet dat sprake is van dusdanige twijfel aan de verklaring van de tipgever dat deze niet langer aan de overtreding ten grondslag mag worden gelegd. Immers beiden verklaren wél dat de harde schijf is aangetroffen in de apparatuur zoals gekocht bij de boedelveiling. Bovendien wordt de verklaring van de tipgever voor het overige op verschillende punten ondersteund door andere feiten en omstandigheden en niet in de laatste plaats door het groot aantal persoonsgegevens dat op de harde schijf is aangetroffen.

5.6.
Eiser heeft eiser er nog op gewezen dat de harde schijf niet is aangetroffen bij de IP-scan die hij op 20 februari 2017 heeft laten uitvoeren door [naam bedrijf] . Dit veronderstelt dat de harde schijf toen niet aanwezig was. Ook dit leidt niet tot een ander oordeel. Uit het door eiser overgelegde rapport van 28 maart 2022 en de daarbij gevoegde bijlagen blijkt niet of en zo ja hoeveel harde schijven er zijn aangetroffen. Dit heeft eiser ook ter zitting niet kunnen verduidelijken. Verder heeft eiser op zitting gesteld dat de gegevens op de harde schijf niet bij de IP-scan zijn aangetroffen, maar ook dit blijkt niet uit het rapport van 28 maart 2022. In dit rapport worden de aangetroffen data namelijk niet nader gespecificeerd.

5.7.
In wat eiser verder heeft aangevoerd ziet de rechtbank geen reden om te twijfelen aan de onderzoeksbevindingen van de toezichthouders en de verklaring van de tipgever. Dat de harde schijf op een ongebruikelijke plek is gemonteerd maakt niet dat aan de verklaring van de tipgever moet worden getwijfeld. Immers tussen partijen is niet in geschil dat het technisch mogelijk was om de Western digital harde schijf intern te monteren en de daarop aangetroffen persoonsgegevens erop te plaatsen. De systeembeheerder van [naam stichting] heeft ook bevestigd dat soms harde schijven in de servers werden geplaatst. Dat het volgens de systeembeheerder van [naam stichting] niet gebruikelijk was om persoonsgegevens op een harde schijf te plaatsen, maakt niet dat niet van de verklaring van de tipgever kan worden uitgegaan.

5.8.
Eiser heeft in beroep ook een alternatief scenario geschetst en gesteld dat het mogelijk is dat de harde schijf op een eerder moment dan de veiling is ontvreemd waardoor deze niet meer tot de boedel behoorde en hij niet over de persoonsgegevens kon beschikken. Uit de analyse van de AP blijkt dat er voor het laatst op 13 april 2016 persoonsgegevens op de harde schijf zouden zijn opgeslagen. Dit was vóór het faillissement van [naam stichting] dat op 21 april 2016 is uitgesproken. Het is voorstelbaar dat iemand de harde schijf in de periode van 13 april 2016 en 21 april 2016 uit de systemen van [naam stichting] heeft verwijderd en later in de bij de tipgever aangetroffen HP ML350-server heeft teruggeplaatst. Ook is het voorstelbaar dat de bij de tipgever aangetroffen harde schijf al op een eerder moment is verwijderd uit de ICT-systemen van [naam stichting] en dat de persoonsgegevens op enig moment op de harde schijf zijn geplaatst door de tipgever of iemand die toegang had tot de ICT-systemen van [naam stichting] . In dit kader heeft eiser erop gewezen dat de AP geen forensische kopie heeft gemaakt voor aanvang van het onderzoek en de AP de gebruiksgeschiedenis heeft beschadigd, zodat het voor eiser onmogelijk is om aan te tonen dat de Western Digital harde schijf gemanipuleerd is. Verder kan de AP geen steekhoudende verklaring geven voor het feit dat de harde schijf op 13 juni 2018 vanaf 5.00 uur is benaderd. Een voor de hand liggende verklaring zou kunnen zijn dat de Western Digital harde schijf zich op dat moment niet meer in het pand bevond, maar dit heeft de AP niet onderzocht. Eiser stelt dat de benaderingen niet het gevolg kunnen zijn van het handelen van [naam veilingbedrijf] omdat de benaderingen vanaf 5:00 uur hebben plaatsgevonden en de medewerkers van [naam veilingbedrijf] toen nog niet in het pand aanwezig waren. Bovendien hebben de medewerkers van [naam veilingbedrijf] uitdrukkelijk verklaard dat zij de computerapparatuur niet hebben opgestart. Anders dan de AP stelt, is de netspanning ook nooit afgesloten geweest en was de server buiten gebruik.

Verder kan uit de omstandigheid dat de bestanden op de harde schijf tussen 16 oktober 2017 (kort voor het afsluiten van het internet) en 13 juni 2018 (het moment van inventarisatie door een medewerker van [naam veilingbedrijf] ) niet zouden zijn benaderd, niet worden geconcludeerd dat de harde schijf wel in het pand van [naam stichting] geweest moet zijn. Uit de tijdlijn is slechts af te leiden wanneer bepaalde bestanden voor het laatst zijn benaderd. Daaruit kan niet worden afgeleid dat de bestanden die na 13 juni 2018 voor het laatst zijn benaderd, daaraan voorafgaand niet ook zijn benaderd. Doordat er geen forensische kopie van de Western Digital harde schijf is gemaakt is dit voor de curator niet meer te achterhalen.

5.9.
De rechtbank is van oordeel dat eiser dit alternatieve scenario niet aannemelijk heeft gemaakt. Dat de harde schijf voor het faillissement uit de systemen van [naam stichting] zou zijn verwijderd dan wel dat de persoonsgegevens op enig moment zouden zijn geplaatst op de harde schijf nadat deze eerder waren ontvreemd van de systemen van [naam stichting] , is enkel gebaseerd op aannames. Anders dan eiser stelt, bieden de gegevens op de harde schijf hier geen onderbouwing voor. Uit het verslag van ambtshandelingen van 5 maart 2020 blijkt dat voor het laatst op 13 april 2016 e-mails zijn opgeslagen op de harde schijf en op 22 mei 2016 bestanden zijn geplaatst. Het faillissement van [naam stichting] is op 21 april 2016 uitgesproken. Dit duidt erop dat de harde schijf kort voor het faillissement nog in gebruik was bij [naam stichting] . Verder blijkt uit de door eiser verstrekte tijdlijn dat er op 16 oktober 2017 (kort voor het afsluiten van het internet) bestanden zijn benaderd en vervolgens weer op 3 juni 2018 (de dag van de veiling) zijn benaderd. Ook dit wekt de suggestie dat de harde schijf is blijven behoren tot de boedel van [naam stichting] . Dat er bij de start van het onderzoek een forensische kopie had moeten worden gemaakt, hetgeen ook door de AP op zitting is erkend, maakt niet dat aan deze gegevens geen waarde mag worden toegekend. Alhoewel hierdoor niet uit te sluiten is dat sommige gegevens zijn overschreven, laat dit onverlet dat het grootste gedeelte van de persoonsgegevens op de Western Digital harde schijf niet is benaderd door de AP en dus ongewijzigd is gebleven. Ook de stelling dat hierdoor niet is uitgesloten dat de gegevens in de tussenliggende periodes zijn benaderd, maakt dit niet anders. Met deze enkele stelling heeft eiser immers niet aannemelijk gemaakt dat dit ook is gebeurd. Anders dan eiser stelt is het niet aan de AP om hier nader onderzoek naar te doen, maar aan eiser om het door hem geschetste alternatieve scenario aannemelijk te maken. De rechtbank is het met eiser eens dat het moment van benaderen van de Western Digital harde schijf op 13 juni 2018 niet zonder meer verklaard kan worden door het feit dat de medewerkers van [naam veilingbedrijf] die dag de boedel hebben geïnventariseerd. Hiermee heeft eiser echter niet aannemelijk gemaakt dat de Western Digital harde schijf zich op dat moment niet meer in de inventaris van de te veilen boedel van [naam stichting] bevond.

5.10.
Hetzelfde geldt voor zover eiser er op heeft gewezen dat uit het onderzoeksrapport volgt dat de gegevens op de bij tipgever aangetroffen SAN-server tijdens het faillissement zijn benaderd. Dat is onmogelijk omdat de betreffende SAN-server door [naam stichting] reeds voorafgaand aan het faillissement buiten gebruik gesteld en ook niet meer was aangesloten op netspanning. Om die reden is de server ook niet ter veiling aangeboden. Dat na het faillissement toch nog gegevens op deze server zijn benaderd valt dan ook niet te verklaren. Eiser stelt dat de bij de tipgever aangetroffen SAN-server mogelijk een andere is dan die zich in de boedel van [naam stichting] bevond. Als dit zo is, kleurt dit volgens eiser de betrouwbaarheid van tipgever.

5.11.
De rechtbank overweegt dat, hoewel partijen op zichzelf niet betwisten dat het technisch gezien nog steeds mogelijk was om bestanden op de SAN-server nog beperkt te benaderen, het niet voor de hand ligt dat dit na het faillissement nog is gebeurd. Wat daar ook van zij, het enkele feit dat bepaalde feiten niet goed verklaarbaar zijn (het benaderen van gegevens op de SAN-server en het benaderen van de Western Digital harde schijf op 13 juni 2018) betekent nog niet dat de feitelijke bevindingen die de AP aan zijn conclusie ten grondslag heeft gelegd niet langer buiten redelijke twijfel staan of dat de verklaringen van tipgever niet betrouwbaar zijn. Zoals gezegd is het aan eiser om alternatieve scenario’s aannemelijk te maken als hij de feitelijke bevindingen van de AP niet deugdelijk betwist of kan betwisten. Daarin is eiser niet geslaagd.

5.12.
Samengevat is de rechtbank van oordeel dat eiser beschikte dan wel redelijkerwijs kon beschikken over de persoonsgegevens op de Western Digital harde schijf.

Bron: https://uitspraken.rechtspraak.nl/details?id=ECLI:NL:RBGEL:2025:6547