Wat het Supreme Court op 27 Juli Werkelijk Besliste

Op 27 juli 2026 splitste een uit vijf rechters bestaand panel van het Britse Supreme Court zich 3 tegen 2 in Kingdom of Bahrain v Shehabi and another, aangehaald als [2026] UKSC 25. Lord Lloyd-Jones, Lord Hamblen en Lady Simler vormden de meerderheid; Lord Leggatt en Lord Burrows waren het oneens. De zaak had het hoogste gerechtshof van het land bereikt nadat zowel de High Court als het Court of Appeal, in [2024] EWCA Civ 1158, Bahreins beroep op statenimmuniteit hadden afgewezen.

De meerderheid van het Supreme Court oordeelde dat een buitenlandse staat geen recht heeft op immuniteit van civiele procedures wanneer zijn agenten spyware installeren op een computer die zich in het Verenigd Koninkrijk bevindt en dit psychisch letsel veroorzaakt, zelfs wanneer de agenten van de staat het land nooit fysiek zijn binnengekomen. Dat opent de weg naar een volledig proces bij de High Court, waar Bahreins daadwerkelijke betrokkenheid en eventuele schadevergoeding op basis van de feiten zullen worden beslist.

De FinSpy-besmetting Achter de Zaak

Dr Saeed Shehabi en Moosa Mohammed zijn Bahreinse pro-democratie-activisten die al jaren in Londen wonen. Zij stellen dat, vanaf ongeveer september 2011, agenten die optraden namens het Koninkrijk Bahrein hun computers besmetten met de spyware FinSpy, een surveillancemiddel dat bestanden, communicatie en toetsaanslagen van een besmet apparaat kan verzamelen. Volgens de zaaksamenvatting van het Supreme Court zeggen de twee activisten dat zij de inbraak rond augustus 2014 ontdekten, via onthullingen in verband met WikiLeaks en de onderzoeksgroep Bahrain Watch, en dat het ontdekken dat zij jarenlang onder toezicht hadden gestaan hen blijvend psychisch letsel bezorgde.

Bahreins verweer gedurende het hele geschil was niet dat de hack niet had plaatsgevonden, maar dat het als soevereine staat helemaal niet voor een Brits gerecht kon worden aangeklaagd. Precies dat immuniteitsargument, niet de onderliggende feiten van de hack, is wat het Supreme Court nu heeft verworpen.

Waarom de Locatie de Hele Juridische Strijd Was

Artikel 5 van de State Immunity Act 1978 ontneemt een buitenlandse staat immuniteit voor procedures wegens persoonlijk letsel veroorzaakt door een handeling of nalatigheid in het Verenigd Koninkrijk. Het geschil dat vijf rechters van het Supreme Court bereikte, ging niet over de vraag of Shehabi en Mohammed letsel hadden geleden, maar of spyware die vanuit Bahrein werd bediend en gericht was op computers in Londen, eigenlijk geldt als een handeling in het VK.

De meerderheid redeneerde dat het juridisch relevante gedrag zich afspeelt waar de operatie tegen het doelwit wordt uitgevoerd, zodat een handeling territoriaal kan zijn zelfs wanneer degene die haar aanstuurt zelf nooit een grens overschrijdt; het vonnis zou naar verluidt een vergelijking hebben getrokken met een droneaanval of een aanval op afstand op NHS-systemen, gevallen waarin niemand serieus zou beweren dat de schade alleen ontstond waar de console van de operator toevallig stond. Lord Leggatt en Lord Burrows waren het precies op dit punt oneens en stelden dat een functionaris die spyware vanuit Bahrein bedient, in Bahrein handelt, en dat het Verenigd Koninkrijk slechts de plek is waar de gevolgen werden gevoeld, niet waar de handeling zelf plaatsvond.

Oorspronkelijke Stelling: De Spyware Was Nooit een Buitenlands Product

De meeste berichtgeving over deze uitspraak richtte zich op wat het betekent voor de reikwijdte van statenimmuniteit in cyberoperaties. Het detail dat de berekening voor het Britse beleid verandert, is waar FinFisher, ook op de markt gebracht als FinSpy, eigenlijk vandaan kwam. Volgens een rechtszaak die Privacy International aanspande tegen Britse exportautoriteiten en onderzoek gepubliceerd door Citizen Lab, werd de spyware ontwikkeld en verkocht door Gamma International, een in Andover, Verenigd Koninkrijk, geregistreerd bedrijf, dat naast een zusterbedrijf in München opereert.

Dat betekent dat dit niet simpelweg een precedent is over buitenlandse staten die vanuit het buitenland naar Groot-Brittannië reiken. Het is een precedent dat neerkomt op een in het VK gevestigde commerciële toeleveringsketen, die al jarenlang apart onder de loep lag over de vraag of haar exportvergunningen voor autoritaire kopers in overeenstemming waren met Brits recht. Een instrument dat op Britse bodem is gebouwd en op de markt gebracht en vervolgens is doorverkocht aan een buitenlandse regering, heeft nu een uitspraak opgeleverd die die regering blootstelt aan een Britse rechtszaak precies over hoe het instrument werd gebruikt, wat de inzet verhoogt voor elke in het VK gevestigde surveillanceleverancier die verkoopt aan markten met een zwak mensenrechtenrecord: het latere gedrag van de koper kan nu terugkomen via een Britse rechtbank, wat ook ongemakkelijke aandacht vestigt op waar het instrument werd gebouwd.

Wat er Nu Gebeurt, en Wat deze Uitspraak Niet Doet

Het Supreme Court oordeelde niet dat Bahrein de hack daadwerkelijk had opgedragen, en stelde geen schadebedrag vast. Wat het besliste is beperkter en, in de praktijk, ingrijpender: Bahrein kan statenimmuniteit niet gebruiken om de zaak buiten een Britse rechtszaal te houden. De vordering gaat nu terug naar de High Court voor een volledig proces over de inhoud, waar Shehabi en Mohammed Bahreins betrokkenheid en de omvang van hun psychisch letsel zullen moeten bewijzen.

Voor elke buitenlandse regering die een surveillanceoperatie uitvoert, of overweegt uit te voeren, tegen een persoon die fysiek in het VK aanwezig is, is immuniteit niet langer automatisch een schild zodra een Brits gerecht wordt gevraagd de zaak te behandelen. En voor elk in het VK gevestigd bedrijf dat instrumenten bouwt die dat soort operatie mogelijk maken, is deze uitspraak een herinnering dat de blootstelling niet eindigt bij de exportvergunning; ze kan jaren later weer opduiken als een binnenlandse rechtszaak over wat een buitenlandse klant deed met wat hij kocht.

Lees hierna: Een dagboek uit 1947 zet Europa's VPN-regel  |  Een Meta-uitspraak raakt elk Brits platform