Gastpost: Kostbare privacy op internet

privacy-statement.jpgOmdat ik met vakantie ben deze week een aantal bijdragen van vaste bezoekers. Vandaag advocate Nine Bennink over haar privacyzorgen en onze laksheid met dit grondrecht.

Een tijdje terug haalde ik mijn internetbestelling op in een winkel van een bekende modeketen. Het meisje achter de kassa vroeg naar mijn paspoort. Ik overhandigde het, waarop zij het documentnummer noteerde op een papiertje. Het papiertje verdween in een rode map. Verontwaardigd vroeg ik haar wat zij met die gegevens ging doen. “Geen idee”, kreeg ik als antwoord. Thuis heb ik direct de winkelketen gemaild. Ik wil weten waar die gegevens worden opgeslagen en waarom. Terecht. Privacy vind ik een belangrijk goed. Toch betrap ik mijzelf op inconsequent gedrag. Op internet ben ik namelijk niet zo oplettend waar mijn gegevens blijven. Bovendien accepteer ik klakkeloos de privacyvoorwaarden van verschillende social media waarmee ik mijn gegevens eenvoudig en zonder tegensputteren aan de desbetreffende dienst weggeef. Aan de hoeveelheid gebruikers van social media te zien ben ik niet de enige. Want ach, wie geeft er daadwerkelijk nog iets om privacy op internet?

Als jurist is het voor mij teleurstellend dat het begrip ‘privacy’ niet wordt gedefinieerd in de wet. Ik ben dan ook aangewezen op de algemene uitleg van het begrip. Privacy schijnt tenminste uit twee onderdelen te bestaan, namelijk: het recht om alleen te zijn en de bescherming van onze gegevens. Ik voel mij vrijwel altijd onbespied en alleen op internet. Ik weet echter niet precies wat er over mij bekend is en waar mijn gegevens zich allemaal bevinden. Ik scherm mijn gegevens slecht af op internet. Niet omdat ik niets te verbergen heb, in tegendeel! Het is een soort struisvogelpolitiek die ik ook niet kan verklaren. Het online beschermen van privacy voelt voor mij minder noodzakelijk dan offline bescherming. Het slachtoffer worden van cybercriminaliteit overkomt toch alleen naïevelingen?

Veel mensen zijn zich niet bewust van alle gevolgen die het delen van gegevens met zich meebrengt. Veel anderen zullen zich verschuilen achter het feit dat zij niet weten hoe de techniek werkt om bijvoorbeeld gegevens te kunnen versleutelen. Is de overheid de aangewezen instantie om ons te informeren en te beschermen tegen het ‘boze’ internet? De overheid heeft naar mijn idee alleen geen macht om daadwerkelijk de privacy op internet de beschermen zolang de burgers niet zelf zeer actief gegevens versleutelen. Internet is een ongrijpbaar en enorm medium waar de overheid (nog) niet op kan anticiperen. De gebruiksvriendelijke techniek is er. Ik ben er dan ook van overtuigd dat vrijwel iedereen kan leren hoe hij zijn gegevens moet versleutelen. We hebben er alleen geen zin in. Het zorgen voor een beveiligde opslag van gegevens, het doorlezen van privacyvoorwaarden die meer dan dertig pagina’s beslaan is te inspannend. Zonder WhatsApp en Facebook hebben we geen sociaal leven. We delen, linken en gebruiken diensten zonder na te denken. Volgens mij willen we niet echt weten wat er met onze gegevens gebeurt.

Bedrijven zullen ons zo min mogelijk wijzen op onze online privacy. Onze laksheid is hun marketinginstrument. Ondernemingen zijn dol op onze zoekgeschiedenis, cookies en aangeklikte links. Met deze informatie kunnen zij mij overhalen om toch dat ene paar schoenen aan te schaffen dat weer als gesponsorde advertentie verschijnt. Zolang bedrijven het hier bij houden, vind ik het acceptabel. Wanneer ‘mijn’ vrienden op Facebook (niets is immers van mij op Facebook) mij die schoenen aanprijzen, gaat het voor mij te ver. Zolang wij als burgers te laks zijn en de overheid ons niet écht informeert, kan deze situatieschets werkelijkheid worden.

We geven daadwerkelijk niets om onze online privacy. We zijn ook nog niet klaar voor een anoniem internet. Foto’s uploaden, delen, webwinkelen, klikken en zoeken op de manier zoals wij dat nu doen, is in ons dagelijks bestaan ingebakken. We accepteren dat we online net iets meer delen dat dat we dat in de kantine tijdens de lunchpauze zouden doen. Prima. Zolang we offline en online letten op de gevaren die er kunnen spelen, zie ik geen problemen. Toch koop ik mijn kleding bij die bewuste winkelketen nooit meer online. Ik winkel wel offline. Dat is tenminste lekker anoniem.

Mijn naam is Nine Bennink. Na mijn studie Recht en ICT bij de RUG ben ik sinds februari 2014 werkzaam als advocaat bij Damsté op de sectie handels- en ondernemingsrecht. Ik houd mij voornamelijk bezig met IE/IT recht. Na werktijd dans ik salsa en kook ik graag.

20 reacties

  1. De overheid heeft naar mijn idee alleen geen macht om daadwerkelijk de privacy op internet de (sic) beschermen zolang de burgers niet zelf zeer actief gegevens versleutelen.

    Kan je dat uitleggen? Ik vind dit een rare zin.

    Daarnaast is het helemaal niet zo dat een burger altijd zelf “zijn gegevens kan versleutelen” en het is al helemaal niet eenvoudig.

    Om te beginnen heeft een burger geen invloed op de wijze waarop gegevens centraal worden opgeslagen. En als gegevens centraal worden versleuteld heeft dit consequenties: de dienst zelf, een andere dienst of gebruiker kan er dan ook niet bij. Geen zoekacties, geen Facebook.

    Voor het versleutelen van het transport is medewerking van beide zijden benodigd. Dat kan een burger dus niet zelf regelen. Overigens is dit nauwelijks een aanvalsvector. Er is echt niemand die een HTTP verbinding gaat afluisteren (overigens wel man-in-the-middle attacken, maar de meerwaarde van SSL ligt dan ook voornamelijk in het authenticeren van de server).

    Voor het lokaal opslaan zullen de versleutelde gegevens vaak worden opgeslagen op hetzelfde (lekke) systeem waar de sleutels op liggen of het wachtwoord wordt ingetypt.

    Tot slot ligt het risico van “privacy” helemaal niet op het bemachtigen van onversleutelde gegevens. Het risico – of beter gezegd: hetgene waar mensen bang voor zijn – ligt meer in 1) diensten die stukjes data lekken en overkoepelende diensten die die data combineren. 2) mensen die dingen delen op social media en daar spijt van hebben

    1. Er is echt niemand die een HTTP verbinding gaat afluisteren

      De boodschap van Edward Snowden was juist dat dit massaal gebeurt.

      De overheid heeft naar mijn idee alleen geen macht om daadwerkelijk de privacy op internet de beschermen zolang de burgers niet zelf zeer actief gegevens versleutelen.
      De overheid is hiervoor juist de aangewezen partij. Het is de enige partij die bevoegdheden kan creëren om zo’n site aan te pakken (de servers inbeslagnemen als ze in Nederland staan, providers dwingen een blokkade in te stellen, een verbod in het leven roepen voor bedrijven die in Nederland actief zijn om op zo’n site te adverteren, een inreisverbod afkondigen voor de topstukken achter een site, mobiele telefoons verbieden als er een app store bijhoort waarin privacyinbreukmakende apps worden toegelaten, bedenk het maar).

      1. De boodschap van Edward Snowden was juist dat dit massaal gebeurt.

        De boodschap van snowden was veel meer dat er gegevens bij telecom en cloud providers werd gebruikt. Interceptie van http verkeer is wel mogelijk en ook potentieel best riskant voor de privacy van http gebruikers maar het is relatief veel gedoe om massaal signalen te onderscheppen terwijl je veel makkelijker al kant en klaar voor je opgeslagen gegevens kan inpikken.

        Het is zeker bij bijvoorbeeld wifi hotspots wel een optie voor criminelen om gegevens te ondersscheppen. Voor inlichtingendiensten is dat zinloos tenzij ze gericht iemand op het oog hebben en die volgen maar dan is het gericht en niet massaal.

    2. Er is echt niemand die een HTTP verbinding gaat afluisteren (overigens wel man-in-the-middle attacken, maar de meerwaarde van SSL ligt dan ook voornamelijk in het authenticeren van de server).

      HTTP verkeer afluisteren is juist een van de beste methodes om te spioneren. Via deze HTTP packets worden de meest privé zaken gedeeld (chatberichten, privéberichten, social media, zoekopdrachten). Ook logingegevens en cookies zijn te onderscheppen. Het is leuk van SSL dat de server is te authenticeren maar veel belangrijker is juist dat met SSL het dataverkeer wordt versleuteld. Sterker nog, ik vind het jammer dat HTTPS beide zaken combineert. Als deze twee zaken los van elkaar zouden werken dan zou alle http verkeer standaard encrypted kunnen zijn. Een self signed certificaat is gratis en encrypt net zo goed als een betaald certificaat. Echter, omdat het niet is uitgegeven door een vertrouwde partij en daarmee dus niet authenticeert, geven browsers veiligheidswaarschuwingen. Het authenticatie onderdeel, waar beveiligers zo prat op gaan, is net zo sterk als de zwakste schakel, en met meer dan 500 partijen (en hieronder ook subpartijen!), zit daar altijd wel een zwakke schakel tussen. Dat is op de harde manier duidelijk geworden bij de hele Diginotar affaire.

      1. Versleuteling is nutteloos zonder authenticatie. Als je geen betrouwbare manier hebt om te bepalen of de gebruikte beveiligingssleutel echt van de juiste partij is, dan kan het heel goed zijn dat je versleuteld zit te communiceren met een “man in the middle”, die het verkeer kan ontsleutelen en afluisteren.

        Je hebt dus hoe dan ook een soort “Public Key Infrastructure” nodig, om te controleren of je de juiste beveiligingssleutel krijgt. Er is wel wat aan te merken op het Certificate Authority systeem van SSL (en dus HTTPS) (zie Diginotar-schandaal), maar de alternatieven hebben ook nadelen. Heb je liever één enkele wereldwijde authoriteit, of het Web of Trust van PGP, of het “handmatig controleren” van SSH (alsof iemand dat ooit doet)? Of liever het wie-het-eerst-komt-krijgt-het systeem van Namecoin?

    1. En dan alleen in steden waar geen camera’s hangen? En niet in winkels waar je bij de kassa wordt gefilmd? Met OV kan ook niet, want in de bus hangt een camera. Met de auto kun je ook niet over de snelweg, want daar wordt je kenteken geregistreerd. En natuurlijk blijft de GSM thuis, want tsja, via die masten wordt je getracked. Salaris wordt contant uitbetaald, want via een bankrekening ben je natuurlijk ook te volgen, en bij het pinnen krijg je ook al zo’n camera in je gezicht. Nee, offline winkelen is lekker handig als je op je privacy gesteld bent. Dan maar online via Tor en met bitcoins betalen, dan is je privacy veel beter te beschermen.

      1. TOR en (gemixte!) bitcoins inderdaad. Maar dan moet je je spullen natuurlijk niet thuis laten bezorgen: je moet ze afhalen als anoniem verpakt pakketje bij een pakhuis bij je in de buurt (dichtbij genoeg om lopend of op de fiets te bereiken). Waar dan geen camera’s moeten hangen natuurlijk.

        Ik ben bang dat er weinig webshops zijn die deze mogelijkheid aanbieden; de services die aan anonieme bezorging doen zijn meestal gespecialiseerd in dingen die echt illegaal zijn.

  2. Zonder WhatsApp en Facebook hebben we geen sociaal leven. We delen, linken en gebruiken diensten zonder na te denken. Volgens mij willen we niet echt weten wat er met onze gegevens gebeurt. Praat voor jezelf… “We” zitten niet op facebook, hebben geen WhatsApp en gebruiken geen diensten zonder na te denken. Dat 98% van de mensen dat wel doet moeten ze zelf weten

  3. Lekker cynische reacties weer 😀

    Het is inderdaad zo dat de overheid weinig kan doen om de privacy te garanderen op dit moment. Burgers hebben namelijk zelf toestemming gegeven voor van alles en nog wat, en voor veel dingen geldt: “Als het (on)duidelijk is uitgelegd en je ging akkoord, dan is het uit onze handen. Sorry.”

    Dingen als Facebook en Google zullen hun acties wel kunnen blijven doen, jammer genoeg. DuckDuckGo is leuk, maar Google geeft jammer genoeg nog steeds de betere zoekresultaten. En Facebook is jammer genoeg nog te makkelijk om niet te gebruiken (heb het zelf gelukkig niet).

    De gebruiksvriendelijke tools om je anonimiteit te waarborgen zijn nog vrij zeldzaam, wat hun gebruik natuurlijk weer niet helpt. Het ind.ie initiatief is daarentegen daarom wel weer hoopgevend. Ooit komt het goed met gebruiksvriendelijke tools die voor de gebruiker zijn, ipv. voor de bedrijven.

    1. De overheid kan ook regels stellen aan bedrijven als Google en Facebook, net zoals ze dat doen aan bedrijven die een monopolie positie hebben/krijgen: Gewoon vaststellen dat als een bedrijf een bepaalde grootte bereikt met het verzamelen van gegevens, dat er dan speciale, zeer strenge, regels gelden voor privacy, inzichtelijkheid van verzamelde gegevens, het kunnen verwijderen van gegevens, etc..

  4. De overheid en ISP’s kunnen meerdere dingen doen ter verbetering van onze privacy online.

    Zoals in Duitsland het geval is zouden ISP’s dynamische IPs kunnen toewijzen bij een modemreset.

    De overheid kan een email adres geven waar digitale communicatie over kan gaan. Niet dat dat over gmail of hotmail servers hoeft. Koppel het aan DigiD dan hebben alleen Iraanse hackers en de NSA hier toegang tot.

    Verder kan de overheid een ruime selectie aan proxy-servers en Tor nodes opzetten. Monitor dit voor illegale activiteit: je kan het niet gebruiken om je achter te verbergen, wel om je privacy te waarborgen tegenover buitenlandse bedrijven.

    Waar de techniek reeds ruim klaar voor is zijn self-hosted sociale netwerken. Social media wordt dan meer een protocol, zoals met e-mail. en we houden zelf de controle hierover.

    180 graden de andere kant op vindt ik ook ok, laten we dan zichtbaar worden wat zich achter de schermen afspeeld: Niemand op internet is meer anoniem. Je hebt een rijbewijs te halen voor deze digitale snelweg en die staat op jouw naam. Elke website is gekoppeld aan een rechtspersoon, hetzij met een certificaat, hetzij met een officieel register. Dan komt er diezelfde nacht een enorme influx op de darknets en hersteld zich de natuurlijke pikorde.

    1. Zoals in Duitsland het geval is zouden ISP’s dynamische IPs kunnen toewijzen bij een modemreset.

      Dat gebeurt voor Duitse DSL-verbindingen niet bij een modemreset, maar gewoon elke dag, zonder tussenkomst van de klant. Ik durf overigens te betwijfelen of dat iets te maken heeft met privacy.

      1. Het gebeurd in ieder geval bij een modemreset, mogelijk ook elke dag.

        Het heeft te maken met privacy omdat tracken op internet in de basis gebeurd mbv van IP. Geen cookiewet of NoScript kan voorkomen dat je een serverlog kunt bijhouden. Toegang tot dit log is er vaak voor derde partijen, en soms voor iedereen. Dit betekend dat je meerdere logbestanden kunt joinen op IP.

        Als je dan als Nederlandse klant bij een ISP tot wel 24 maanden hetzelfde IP hebt, dan genereer je dus deze data constant. In Nederland is een IP daarmee verworden tot een persoonsgegeven, ook vaak te herleiden tot een persoon. In Duitsland is het slechts een tijdelijke marker en wordt er minder privacygevoelige datasets mee gemaakt. Gekoppeld met een historisch ingegeven wantrouwen jegens data retentie is de situatie daar beter qua online privacy.

        P.S.: De maker van een populaire Blogger plug-in, geinstalleerd op honder duizenden sites, linkt naar resources op een server in zijn beheer. Deze server genereerd een serverlog, draait Google Analytics, Quantcast en nog een reeds aan marketing trackers. De plug-in is gratis overigens, dankzij de data over miljoenen webgebruikers die dagelijks langskomen op zo’n domein. Op dit moment hebben zij dus jouw IP als unieke identifier, je zoekopdrachten, je referals, de bezochte pagina’s en meer. Das interessant voor analyse en dodelijk voor privacy.

        1. In Duitsland is het slechts een tijdelijke marker en wordt er minder privacygevoelige datasets mee gemaakt.

          Dit heb ik vaker gehoord. En ik kan me goed voorstellen dat de provider zulke gegevens niet lang bewaart, aangezien dit niet verplicht is in Duitsland. Maar hoe lang precies, en hoe zien hun datasets eruit? Mocht je hier een bron voor hebben, hoor ik het graag.

          [edit: Deelantwoord 1: Duitse providers mogen IP-adressen zeven dagen bewaren. http://www.golem.de/news/vorratsdatenspeicherung-die-telekom-darf-ip-adressen-eine-woche-speichern-1309-101750.html ]

          1. In Duitsland wordt er om een heel eenvoudige, commerciele, reden een keer per 24 uur automatisch de verbinding gekapt en weer opgebouwd. Daardoor krijg je dan ook automatisch een nieuwe IP. De NAW gegevens behorende bij de IP worden in de regel 7 dagen opgslagen. Wil iemand weten welke NAW bij een IP hoort, moet hij hiervoor een verzoek bij de rechtbank indienen,. In afwachting van het besluit hierover wordt er een voorlopige voorziening gegeven die bepaald, dat de provider de gegevens pas mag verwijderen als de uitspraak gedaan is en eventueel gevolg aan het verzoek is gegeven.

            Her nadeel hierbij als klant is, dat je bij een fout in de IP registratie en/of verwerking achteraf nooit meer kunt aantonen dat het inderdaad op dat moment jouw IP was.

            De reden achter het verbreken van de verbinding is heel eenvoudig: heb je een vast IP kan je zonder problemen een eigen server plaatsen die dan direkt bereikbaar is. Wissel je de IP minstens eenmaal per dag kan je een vaste IP dus voor veel geld aan je klant verkopen – het zij dan, dat de klant een DNS-Server gebruikt en de router die na elke nieuwe start automatisch even verteld dat hij nog bestaat.

            Heb zo’n ding af en toe ook in gebruik als ik veel onderweg ben en geen zin heb zovel te slepen. Cloud komt voor mij uit veiligheidsoverwegingen niet ter sprake.

            1. Ik heb 1 probleempje hiermee: DHCP is zo ingericht dat het altijd zal proberen om het oude ip adres te hergebruiken. De Nederlandse kabel providers gebruiken ook dynamische adressen en als je je modem uit zet, is dat adres weg en vrij. Zet je hem weer aan, krijg je toch hetzelfde adres.

              Hetzelfde gebeurt thuis op je eigen netwerk. Als je je laptop thuis gebruikt, dan dichtklapt en meeneemt naar je werk, daar verder werkt en aan het eind van de dag weer thuis komt, krijg je toch thuis weer hetzelfde IP adres als dat je in de ochtend had.

              Bij UPC is de leasetijd trouwens 3 dagen. Niet een of twee jaar dus. Elke 3 dagen kun je dus een nieuw adres krijgen, maar dat wil dus niet zeggen dat dit ook gebeurt.

              Tenzij je dhcp scope vol zit, is het helemaal niet zo makkelijk om een nieuw, ander ip adres te krijgen. Tenzij Duitse providers allemaal de dhcp daemon software hacken en dus niet-standards compliant maken, durf ik redelijk stellig te betwijfelen of je in Duitsland inderdaad een nieuw ip adres krijgt.

              Ik geloof best dat ze standaard 1x per dag de verbinding resetten, maar dat wil dus niet zeggen dat je ook daadwerkelijk een ander adres krijgt. Daarnaast is het een beetje onzin om te stellen dynamische adressen gebruikt worden om te voorkomen dat mensen servers plaatsen: diensten als DynDNS zijn al bijna net zo oud als het internet oud is.

  5. De overheid heeft naar mijn idee alleen geen macht om daadwerkelijk de privacy op internet de beschermen zolang de burgers niet zelf zeer actief gegevens versleutelen

    De overheid moet zorgen voor een betere wettelijke basis voor privacy. Bijvoorbeel met een tracking verbod voor 3rd party websites zodat burgers schadevergoedingen kunnen eisen van privacyschendende websites.
    En dat kan zelfs ook best van grote buitenlandse bedrijven die zich buiten onze grenzen verschuilen. Desnoods laat je beslag leggen op hun nederlandse of europese websites.

  6. Van een jurist verwacht ik wat meer begripszuiverheid dan uit dit stuk blijkt. Privacy is beter te verwoorden als het recht om met rust te worden gelaten. Niet lastig gevallen worden is wat anders dan alleen zijn. Laksheid is geen marketinginstrument maar een onderdeel van het verdienmodel, het bespaart kosten. En let een beetje op met algemeenheden als “veel mensen”, “veel anderen” en “we” … Overigens wel een leuk filosofisch stukje

Geef een reactie

Handige HTML: <a href=""> voor hyperlinks, <blockquote> om te citeren, <UL>/<OL> voor lijsten, en <em> en <strong> voor italics en vet.