Mag je een zoekmachine voor miljoenen gehackte Nederlandse wachtwoorden online zetten?

Geplaatst op in Security, 23 reacties

De zoekmachine Gotcha.pw waarmee je de wachtwoorden van miljoenen Nederlandse e-mailadressen kunt doorzoeken is online, las ik bij RTL Nieuws. Met meteen daarop dat de zoekfunctie offline was, zo te lezen vanwege angst of het wel legaal is, om zo’n zoekdienst aan te bieden. Want meer dan 1,4 miljoen wachtwoorden van onder meer LinkedIn, Dropbox, Playstation en eBay publiceren, dat kan toch niet legaal zijn? Nou ja, zoals ik het bij Gotcha zie wel.

In maart blogde ik over de dienst HaveIBeenPwned.com van de Amerikaan Troy Hunt. Die biedt een zoekmachine die je na invoer van een mailadres meldt of er een wachtwoord bij bekend is (maar natuurlijk niet het wachtwoord zelf). Dat is niet strafbaar bij ons; het gebruik van een gelekt wachtwoord is wel strafbaar (computervredebreuk) net als het publiceren van iemands wachtwoord met als doel dat mensen vervolgens op dat account gaan inloggen.

Ga je wachtwoorden als zodanig bekend maken, dan wordt het spannender. Dat kan ik nog net billijken als je dit alleen aan de eigenaar zelf bekend maakt, al dan niet tegen betaling, maar dan moet er wel enige fatsoenlijke identiteitscontrole op zitten.

Bij Gotcha.pw zie ik nergens wachtwoorden gepubliceerd. De dienst is iets makkelijker in dat je een domeinnaam kunt (kon) invoeren en dan van alle bijbehorende mailadressen met bekend wachtwoord een melding krijgt. Dat zou in theorie de kans op misbruik kunnen vergemakkelijken, maar je krijgt per mailadres slechts de helft van de gebruikersnaam te zien en 2 letters van het wachtwoord. Daarmee heb je alsnog te weinig om daadwerkelijk op dat account in te loggen. Wat mij betreft is dit dus gewoon legaal.

Ook vanuit AVG-perspectief (een verplicht nummer zo net 2 maanden voor deze aardverschuiving) zie ik geen problemen. Ja, je verwerkt persoonsgegevens namelijk mailadressen en wachtwoorden van persoonsgebonden accounts. Nee daar heb je geen toestemming voor. Maar dat hoeft ook niet, want onder de AVG zijn er meer grondslagen. De hier relevante is die van het eigen gerechtvaardigd belang: het is in het algemeen belang (én dat van de slachtoffers) dat je gemakkelijk kunt nagaan of iemands wachtwoord gelekt is. Algemeen belang zodat beheerders in kunnen grijpen, en eigen belang zodat je je wachtwoord kunt wijzigen en goed op kunt letten.

Binnen dat belang moet je privacywaarborgen nemen, en dat is hier het geval met die halve naam en 2 letters wachtwoord. Daarmee zijn mensen niet van buitenaf te identificeren. Een organisatie zou dat met hun klanten of personeel wellicht wel kunnen (hoe veel a.engel*****@ictrecht.nl kennen we?) maar dat is binnen het belang een aanvaardbare situatie. Natuurlijk moet de werkelijke database zo stevig mogelijk dichtgetimmerd zijn en bij voorkeur niet via internet toegankelijk (dataminimalisatie en beveiliging). Maar bijzondere risico’s zie ik verder niet.

Arnoud

Geldt het vergeetrecht onder de AVG ook bij forumdiscussies?

Geplaatst op in Uitingsvrijheid, 30 reacties

Een lezer vroeg me:

Ik beheer een relatief groot discussieforum. Moet ik straks onder de AVG van iedereen die dat vraagt zijn berichten weghalen onder het vergeetrecht? Dan houd ik straks geen historie meer over!

Het klopt dat je als aanbieder van internetdiensten al snel te maken krijgt met de AVG. Heel vaak werk je immers met persoonsgegevens, informatie die tot personen te herleiden is. Namen of e-mailadressen, maar ook IP-adressen en cookies met unieke nummers zijn persoonsgegevens. Als die informatie achterhaald of irrelevant is, dan moet deze op verzoek weg.

Dit geldt dan net zo goed voor online forums. Punt is wel dat een bericht dat mensen posten (net als een reactie op deze blog) an sich óók persoonsgegevens zijn, omdat de berichten van iemand zijn en daarmee over die iemand gaan. Dan zou die iemand dus ook bij een inmiddels compleet dode discussie of stokoud bericht kunnen eisen dat het wordt weggehaald.

Echter, specifiek bij forums loop je dan tegen een probleem aan dat daarmee de discussie toch een stuk verstoord wordt, of het archief niet meer volledig. Dat is een probleem, want bij zulke situaties komt dan de vrijheid van meningsuiting in het gedrang. Mensen moeten kunnen lezen wat in het verleden is gezegd, en de privacy mag daar niet als een 1984-bulldozer doorheen rauzen.

Dit probleem werd bij invoering van de AVG al onderkend, en er staat dan ook bij het vergeetrecht dat het niet van toepassing is wanneer de verwerking (de publicatie dus) noodzakelijk is voor de uitoefening van het grondrecht van de uitingsvrijheid (artikel 17 lid 3 AVG). Daarmee kan een forumbeheerder dus in principe het weghalen van berichten voorkomen. Een profiel of registratie van een gebruiker valt buiten dat grondrecht en moet dus wél worden weggehaald op verzoek.

In Nederland komt er naast de AVG de zogeheten Uitvoeringswet AVG, met daarin een aantal belangwekkende uitzonderingen bij “journalistieke doeleinden of academische, artistieke of literaire uitdrukkingsvormen”. Alle rechten die je normaal hebt, zoals inzage, correctie en verwijdering, gelden bij deze uitingsvormen niet. Daarmee kun je als forum dus ook andere verzoeken pareren, althans voor zover het gaat om persoonsgegevens die als journalistiek of literair te duiden zijn. Dat is wat mij betreft beperkt tot de postings of reacties zelf. Zaken als iemands profiel of interesses vallen daar buiten.

Arnoud

Hoe terecht is de kritiek op legal tech vanuit de juridische sector?

Geplaatst op in Informatiemaatschappij, 3 reacties

Legal tech proponenten doen er goed aan lering te trekken uit het Theranos debacle, las ik bij Above The Law. Dat bedrijf heeft een serieus probleem nu de Amerikaanse SEC haar beweerdelijk innovatieve technologie voor niet-invasief bloedonderzoek serieus betwist – nog lang niet klaar voor de markt. Maar lange tijd kwam men ermee weg, omdat niemand durfde die kritiek te leveren. En dit zou dan ook gelden voor veel legal tech aanbieders, die ook veel te veel beloven terwijl ze nog lang niet klaar zijn, waarna kritiek wordt weggewuifd als afkomstig van fossielen die niet willen veranderen.

Voor wie de techsector kent, komt deze omschrijving niet als verrassing. De term vaporware is hier letterlijk uitgevonden voor grote beloftes die in de toekomst wellicht waargemaakt worden, en niet alleen om de concurrent de pas af te snijden. Dus dat we dat fenomeen in de legal tech sector terugzien, is niet vreemd. Maar het valt mij inderdaad ook wel op dat het in deze sector allemaal net wat erger lijkt.

Wat vast niet meehelpt, is dat juristen getraind zijn om problemen te zoeken in nieuwe dingen. Dat is immers je werk, een klant komt met een vraag en aan jou de taak te voorzien waar het mis zal gaan en hoe hem in te dekken. Professional issue spotters, zoals ik het bij 3 Geeks and a Law blog genoemd zag worden. En omdat het hier dan ook nog eens gaat om een nieuw ding dat je éigen werk aangaat, dat werk waar je zo goed in bent én dat cruciaal is voor je klant, dan gaat het extra hard met de bezorgdheid.

Dat was geen sarcasme overigens; juridische kwesties kennen écht grote risico’s en die onderkennen en vermijden is waar je als jurist de hele dag mee bezig bent. Natuurlijk zien mensen in andere sectoren dat anders (met als ultieme uitingsvorm het contract gemaild om 16:45 met “we willen vandaag tekenen dus alleen de dealbreakers graag”), maar dat terzijde. Het is gewoon moeilijk en risicovol werk dat alleen gedaan kan worden door slimme professionals. Zoals 3G&LB het zeggen:

The lawyer theory of value tends towards the transactional and discrete. Resources (lawyer time) allocated to sequential, individual legal tasks: this question, this contract, this motion. Systems thinking and relative reductions in demand for legal labor (prevention, Lean, #DoLessLaw) are ancillary concerns to be addressed when convenient or absolutely necessary (that is to say rarely). Given their lawyer-on-task orientation, ask most lawyers what they need to be more effective, and the first answer is more time in their own day. The second answer is more time from other skilled lawyers they already work with. (…)

Kort samengevat: wat juristerij nodig heeft, is slimme mensen die hard werken. “Stand back and let me lawyer”. Legal tech wordt vaak in eerste instantie gepresenteerd als een tool waarmee slimme mensen harder kunnen werken, en dat is natuurlijk aantrekkelijk. Maar al gauw blijkt dat dit neerkomt op ánders werken. En dat is dan weer bedreigend, en dat kan een ervaren jurist je in alle detail heel precies uitleggen. (Nogmaals, geen sarcasme, er staan gewoon grote belangen op het spel.)

De belangrijkste factor is dat het tijd kost om te veranderen, en die tijd is schaars. Daarnaast speelt een belangrijke rol dat je als jurist niet vooraf weet hoe de verandering uit gaat pakken, en dat weet je wel van de huidige situatie. Dat geeft weinig prikkel om te veranderen. Als dan ook nog eens blijkt dat zo’n legal tech oplossing niet staat als een huis (en geloof me, een beetje jurist loopt de Grote Boze Wolf er binnen de seconde uit), dan houdt het snel op natuurlijk.

Waarmee ik niet wil zeggen dat legal tech kansloos is, of juristen te pessimistisch. Ik zie een samenspel van krachten die elkaar afstoten, waardoor er maar heel moeilijk beweging te krijgen is de goede kant op. Ik vraag me af hoe dat zich gaat oplossen.

Arnoud

Failliet verklaard vanwege een halve bitcoin, kan dat?

Geplaatst op in Informatiemaatschappij, 4 reacties

Het bitcoinbedrijf Koinz Trading is failliet. Dat meldde Emerce onlangs. Het Nederlandse bedrijf verzorgde het minen van bitcoins voor klanten waarbij de klant de apparatuur kocht en Koinz het beheer uitvoerde, maar kwam al snel in de problemen omdat beloofde uitbetalingen niet werden gerealiseerd. Er zou sprake zijn geweest van een piramidespel, waarbij uitbetalingen werden gerealiseerd met inleg van nieuwe klanten in plaats van met echt gedolven bitcoins. Uiteindelijk sprak de rechtbank het faillissement uit, met als opmerkelijk feitje dat een van de schuldeisers geen Euro’s maar een halve bitcoin (0,591 BTC) eiste. Failliet verklaard vanwege een halve bitcoin, kan dat?

Iemand wordt failliet verklaard wanneer hij “in de toestand verkeert dat hij heeft opgehouden te betalen”, aldus artikel 1 Faillissementswet. In de praktijk wil dat zeggen dat er twee schuldeisers zijn die allebei hun vorderingen niet voldaan krijgen terwijl ze daar wel gewoon recht op hebben. De hoogte van die vorderingen doet er niet toe; je kunt dus in theorie vanwege twee open facturen van 100 euro failliet verklaard worden. Natuurlijk gebeurt dat niet snel, want wie heeft er geen tweehonderd euro over om dat af te wenden? (En wie dat niet heeft, is volgens mij de facto ook echt failliet.)

In principe gaat het om geldvorderingen, maar de schuldeiser die hier het faillissement aanvroeg was met een halve (0,591) bitcoin aangekomen als claim. De rechtbank kreeg dus de vraag, zijn bitcoins geld. Die vraag hebben we vaker gehad (nee, ruilmiddel, nee, diensten), en de tussenconclusie is volgens mij dat we nog steeds niet weten wat geld nu eigenlijk is. Iedere wet heeft zijn eigen rol voor geld, schuld en betaling en bitcoin moet dus in elk van die situaties apart in dat hokje gepropt worden.

Voor een faillissementsaanvraag kan een bitcoin wel degelijk als vordering worden gezien, aldus de rechtbank:

Een bitcoin bestaat, zo begrijpt de rechtbank, uit een unieke, digitaal versleutelde reeks van cijfers en letters opgeslagen op de harde schijf van de computer van de rechthebbende. Bitcoins worden ‘geleverd’ door het verzenden van bitcoins van de ene wallet naar de andere wallet. Bitcoins zijn op zichzelf staande waarde-bestanden, die bij een betaling rechtstreeks door de betaler aan de begunstigde worden geleverd. Hieruit volgt dat een bitcoin een waarde vertegenwoordigt en overdraagbaar is. Naar het oordeel van de rechtbank vertoont het hiermee kenmerken van een vermogensrecht. Een vordering tot betaling in bitcoin is dus te beschouwen als een vordering die voor verificatie in aanmerking komt.

Een vermogensrecht is een niet-stoffelijk recht dat tot voordeel strekt, en stoffelijk voordeel op (kunnen) leveren. Ook dergelijke rechten kunnen als vordering worden gebruikt, en daarmee een hele of halve (oké, of 0,591) bitcoin ook. Daarmee kun je met deze vordering (plus nog eentje van een ander als steun, en die waren er diverse) een faillissement aanvragen.

Arnoud

‘Amerikaanse politie ontgrendelt iPhones met vingers overledenen’

Geplaatst op in Regulering, 13 reacties

Politiediensten in de VS zouden regelmatig iPhones met de Touch ID-beveiliging ontgrendelen, door de vinger van overledenen op de vingerafdrukscanner te houden. Dat meldde Tweakers vorige week. De reden erachter zou zijn dat men zo een stuk goedkoper die telefoon kan ontgrendelen, een forensisch specialist is duur en Apple werkt zelf niet mee zonder gerechtelijk bevel. Helaas werkte het niet in het recentste geval, omdat ook een pincode nodig was. Desondanks: handige jongens die agenten, maar is het legaal?

Een risico van biometrische gegevens voor identificatie of authenticatie is altijd dat die gegevens tegen de wil van de eigenaar kunnen worden verkregen. Juridisch gezien ligt het namelijk nogal anders of je iemands wachtwoord opeist of iemands vingerafdruk. Een wachtwoord is een stukje kennis, iets dat men weet. Kennis opeisen van een verdachte ligt moeilijk vanwege het verbod om tegen jezelf te getuigen. Maar medewerking eisen aan een fysieke handeling – ga deze kamer in, ga hier zitten, leg je vinger op dit stempelkussen en nu op dit papier – is lang aanvaard als een legitieme bevoegdheid.

Het doet hier vooral raar aan omdat deze persoon overleden is. Juridisch gezien is de status van een overleden persoon altijd wat ingewikkeld, maar in de praktijk worden dingen er vooral simpeler op. Een overleden persoon heeft bijvoorbeeld geen privacyrechten – de AVG en andere privacywetgeving geldt alleen voor levende mensen (“natuurlijke personen”) en dus niet voor overledenen.

Maar in het strafrecht ligt dat anders: als iemand overlijdt, dan stopt de strafvervolging (art. 69 Strafrecht). Daarmee komt in principe ook een einde aan de bevoegdheid om de voor die vervolging gebruikte bewijsmiddelen te doorzoeken. Maar niet helemaal: die gegevens kunnen immers ook voor andere onderzoeken nog relevant zijn, en daarom mogen ze langer (tot twee jaar na overlijden, art. 6 Wet justitiële en strafvorderlijke gegevens) bewaard worden.

Ik kan in het Nederlands recht niets vinden dat de bevoegdheid geeft om de vinger van een overledene op een telefoon te plaatsen om die daarmee te unlocken. Ik denk dat het mag, omdat niets het verbiedt en het niet raakt aan de privacy van de eigenaar – die is immers overleden en hééft dus geen privacy meer. Hoe cru dat ook klinkt. Dit is dus een uitzondering op de regel dat men telefoons niet zomaar mag doorzoeken.

Arnoud

Mag Slack een werkgever toegang geven tot chats van personeel?

Geplaatst op in Privacy, 9 reacties

De zakelijke chatdienst Slack laat werkgevers voortaan de privégesprekken van personeel inzien, las ik bij Nu.nl. De chatdienst, die populair is bij veel IT-werknemers en programmeurs, heeft haar exportfunctie voor chatberichten herzien. Het is nu makkelijker om je eigen chats te downloaden (dat moet immers van de AVG), maar wie een Plus- of Enterprise Grid-abonnement heeft, kan alle chats binnen dat abonnement downloaden, en ook privéberichten (direct messages). Waardoor je dus als werknemer binnen zo’n bedrijfsabonnement ineens jouw chats gedownload ziet.

Slack is een populaire chatdienst die erg handig blijkt voor snelle bedrijfscommunicatie, intern maar ook met klanten. Chats zijn opgedeeld in kanalen waar je bijvoorbeeld in teamverband aan deelneemt, zodat je alleen relevante conversaties volgt. Daarnaast kun je privéberichten sturen naar een specifieke andere gebruiker. Gebruikers kunnen van het eigen bedrijf zijn, of van een andere organisatie zoals een klant – maar je partner zou ook op Slack kunnen zitten zodat je met hem/haar een chat kunt voeren voor privédoeleinden.

Onder de AVG heb je recht op inzage en recht op dataportabiliteit – concreet kun je een kopie van je data eisen van internetdienstverleners waar je een contract mee hebt, of waar je apart toestemming gaf voor de dataverwerking. En wel in XML of vergelijkbaar standaardformaat. Dus op zich is het niet meer dan logisch dat Slack je de optie geeft je chats te downloaden, dat is gewoon de invulling van dat recht.

Het wringt natuurlijk waar de abonnementshouder niet het personeelslid is dat de chatdienst gebruikt. Want dat recht op inzage en dataportabiliteit is bedoeld voor het personeelslid om grip op zijn data te houden, niet voor de werkgever om eens rustig mee te lezen met wat mensen allemaal zeggen, zakelijk dan wel privé.

Tegelijkertijd hééft een werkgever soms het recht om inzage te krijgen in chats. Je hebt weliswaar privacy op het werk, maar die is niet onbeperkt. Als er een duidelijk bedrijfsbelang is om de chats te lezen, dan mag dat. Wel moet dit in een reglement zijn uitgewerkt en moet het in een concreet geval relevant en noodzakelijk zijn, maar het mag. (En in dat reglement zeggen dat de werkgever altijd alles mag zien, is niet rechtsgeldig.)

Het doet er dus uiteindelijk niet toe of de gesprekken via Slack gevoerd worden, via de mail of op een andere manier. Waar het om gaat is hoe privé het gesprek is en hoe groot het bedrijfsbelang is dat je daar tegenover stelt (en dat dus in je reglement is uitgewerkt).

Arnoud

Kan een stad het commercieel draaien van Bitcoin mining computers verbieden?

Geplaatst op in Security, 25 reacties

De Amerikaanse stad Plattsburgh (NY) is de eerste die het minen (delven) van cryptomunten zoals bitcoin heeft verboden, las ik bij The Verge. De komende achttien maanden is het niet toegestaan om met commercieel oogmerk een “farm” te opereren met daarin minstens drie apparaten die specifiek bezig zijn met het minen van deze munten. De reden achter deze tijdelijke ban is dat de stad kennelijk de goedkoopste elektriciteitstarieven in de VS heeft en daardoor heel aantrekkelijk wordt voor ondernemers die op zoek zijn naar snelle winsten met de cryptomunten. Maar kan dat zomaar?

De ordinance is zoals vaker in de VS best leesbaar en to the point. Het is neit meer toegestaan om een lokaal te bouwen of in gebruik te nemen voor het minen van cryptocurrencies voor commerciële doeleinden (zeg maar het minen met als oogmerk de snelle verkoop en winst pakken).

“Commercial cryptocurrency mining” is defined herein is the commercial process by which cryptocurrency transactions are verified and added to the public ledger, known as the block chain, and also the means through which new units of cryptocurrencies are released, through the use of server farms employing data processing equipment. For purposes of this definition, any equipment which requires a High Density Load Service, or any Server Farm, will presumably be a commercial cryptocurrency mining operation.

De reden is vrij simpel: allerlei cryptocurrency miners hebben de stad opgezocht vanwege haar aantrekkelijke lage stroomtarieven, die zo ingestoken zijn om bedrijvigheid (en daarmee werkgelegenheid) te stimuleren. Maar dat valt vies tegen bij miningbedrijven, dat is immers een kwestie van de kastjes aanzetten en niet meer aankomen. Eén bedrijf vrat op die manier 10% van alle elektriciteit in de stad. Mede daardoor liep ieders elektriciteitsrekening met maar liefst 100 dollar per maand op, reden voor het bestuur om in te grijpen.

In Nederland lijkt me dit probleem niet snel te spelen, omdat elektriciteit niet iets is waar een individuele gemeente over gaat. Subsidie of andere voordeeltjes om bedrijven zich ergens te laten vestigen dat kan natuurlijk, maar vrijwel altijd is dat gekoppeld aan een beoordeling van het bedrijf in kwestie en ik kan me voorstellen dat een cryptominingbedrijf dan snel afvalt.

Omgekeerd heeft een miningbedrijf (bestaan die in Nederland überhaupt?) weinig te winnen met een specifieke vestigingsplaats. Ik kom niet verder dan een gemeente met lage huurprijzen voor een grote loods op een bedrijventerrein.

Arnoud

Hoe aansprakelijk is die Uber-auto voor die dodelijke aanrijding?

Geplaatst op in Innovatie, 60 reacties

Uber stopt in alle steden met zijn testen met zelfrijdende auto’s na een dodelijk ongeval, las ik bij Nu.nl. Een zelfrijdende auto van het bedrijf heeft in Arizona een vrouw aangereden, waarna zij overleed. Uit het voorlopige onderzoek bleek dat de aanrijding waarschijnlijk overmacht was vanwege beperkt zicht, maar het is natuurlijk mogelijk dat uiteindelijk blijkt dat de auto of haar bestuurder toch meer te verwijten valt. En meer algemeen, wat doen we met de aansprakelijkheid van zelfrijdende voertuigen?

Het ongeval van afgelopen maandag lijkt een lastig te voorkomen incident geweest te zijn. Een vrouw stak op een onverwacht moment plotseling over met een fiets waar een hoop tassen aan hingen. De auto remde niet (en bleek iets te hard te rijden). “Het is duidelijk dat het moeilijk was geweest om een aanrijding te voorkomen, afgaand op de manier waarop het slachtoffer uit de schaduw de weg op liep.” Aldus de voorlopige conclusie van de politie.

In die omstandigheden zou denk ik in Nederland voor een gewone auto met bestuurder denk ik toch wel aansprakelijkheid ontstaan. De lat ligt namelijk erg hoog, en je moet altijd rekening houden met onverwachte zaken zoals overstekende personen. Een strafrechtelijke vervolging lijkt me uitgesloten maar de schade zul je (via de verzekering) toch denk ik wel moeten betalen.

Hoe een autonome auto precies in dat plaatje past, is nog niet echt duidelijk. Onze wetgeving kent het concept niet van een auto die zelf rijdt, maar gaat er vanuit dat er altijd een mens het stuur vasthoudt en de pedalen bedient (behalve indien relevante ontheffingen zijn verleend bij gehandicapte bestuurders). Het zou dus geen argument zijn dat de auto zelf besloot te remmen of juist door te rijden.

Ik ben er nog niet uit wat voor wetswijziging nodig zou zijn om dit op te lossen. Het voelt raar dat we een autonome auto aansprakelijkheidstechnisch anders behandelen dan een mensenbestuurde auto. Maar ze hetzelfde behandelen voelt óók gek want de werking is wezenlijk anders.

Misschien moeten we gewoon de hele vraag van aansprakelijkheid loslaten. We eisen dat auto’s zorgvuldig geprogrammeerd zijn maar verklaren auto-ongelukken te allen tijde als overmacht, waarbij de schade wordt betaald uit een fonds waar iedereen verplicht aan meebetaalt. Dan ben je de hele discussie kwijt én is iedereen zeker van zorg en vergoeding bij schade.

Arnoud

Je hebt nog 64 dagen om de AVG te implementeren #64totavg

Geplaatst op in Privacy, 8 reacties

Vandaag zijn er nog precies 64 dagen te gaan tot 25 mei 2018, de datum waarop de Algemene Verordening Gegevensbescherming (AVG, ook wel General Data Protection Regulation oftewel GDPR) van kracht wordt. Deze nieuwe Europese privacywet is de opvolger van een Europese richtlijn uit 1995, die in Nederland omgezet werd in de Wet bescherming persoonsgegevens. Ook andere Europese landen hebben hun eigen privacywetgeving. Al deze wetgeving komt te vervallen; de AVG wordt vanaf 25 mei de énige privacywet, waar mensen zich direct op kunnen beroepen. En wat een verandering gaat dat met zich meebrengen.

Een van de grootste mythes rond de AVG is dat deze nieuwe wet vooral voor juristen van belang is. Dat is niet zo. De AVG is zó breed van toepassing en stelt zó veel regels dat het iedereen aangaat. Van groot bedrijf tot kleine vereniging en van eenmansdokterspraktijk tot goed doel met duizenden donateurs. Voldoen aan de AVG is geen kwestie van nieuwe juridische documenten en een mooie toestemmingsverklaring laten tekenen door je klanten.

Vaak wordt gezegd dat de AVG van alles en nog wat gaat verbieden. Niets is minder waar. De regels worden veel strenger, maar zijn vooral gericht op verantwoording afleggen. Toestemming vragen kan prima, maar kunt u bewijzen welke toestemming is gegeven, zijn mensen adequaat voorgelicht en kennen zij hun rechten? Gegevens tien jaar bewaren: oké, maar onderbouw eens waarom dat nodig is en niet een jaartje minder? Ik noem de AVG daarom vooral een compliance-wet. Er moet veel geregeld en gedocumenteerd worden. Ook dingen die we altijd gewoon losjes deden of nooit over nadachten.

Meer lezen over wat je concreet moet doen, doe je in het Praktijkboek AVG Compliance dat begin april verschijnt.

De AVG komt steeds dichterbij, en daarmee zie ik ook het aantal vragen over deze wet toenemen. Veel praktische vragen (van het soort mag X nog) maar ook meer en meer fundamentele vragen over bedrijfsprocessen of marketingtechnieken. Dat gaat echt nog een grote klus worden de komende jaren, het voelt soms echt als een nieuw evenwicht zoeken in hoe internet kan werken en hoe bedrijven daarin hun plek kunnen vinden en behouden.

Ik durf de stelling wel aan dat je tegenwoordig als juridisch kantoor beter een Privacy/ICT kantoor kunt zijn dan een IE/ICT kantoor. IE/ICT is wel zo’n beetje klaar als onderwerp.

Arnoud

Mag ik onder de Sleepwet onthullen hoe ik door de AIVD gehackt werd?

Geplaatst op in Regulering, 21 reacties

Een lezer vroeg me:

Ietwat hypothetisch, maar stel de AIVD, politie of een ander overheidsorgaan hackt mij (hallo aluhoedje!) en ik ontdek dat, verzamel de technische details (manier hoe ze zijn binnen gekomen) en deel dit op een blog. Dan valt te argumenteren dat ik de werkwijze van de overheid onthul en daarmee zelfs staatsgeheime informatie publiceer. Ben ik dan strafbaar?

Nee, je bent niet strafbaar als je publiceert hoe je door een overheidsorgaan bent gehackt, zelfs niet als die daarbij een staatsgeheime methode gebruiken.

Voor zover jij als burger weet, is een computerhack gewoon het misdrijf computervredebreuk gepleegd door een jou onbekende partij. Dat de overheid zo’n partij kan zijn, is theoretisch mogelijk maar natuurlijk praktisch gezien niet door jou te verifiëren. Achteraf kan het misschien boven water komen, maar dat betekent alleen dat de pleger van dat misdrijf vrijuit gaat omdat het hem wettelijk toegestaan is dat feit te plegen.

Bij de politie werkt het ongeveer net zo. Daar is dan een bevel van de rechter-commissaris gegeven, wat het legaal maakt om dit te doen. En in zo’n geval kan de politie er ook voor zorgen dat jij niet in kan grijpen, denk aan de situatie dat men je computer wil uitlezen: dan komt er een technisch rechercheur die de computer doorzoekt en een agent met spierballen om te zorgen dat jij niet in de weg gaat staan.

De Wiv waar vandaag het raadgevend referendum over is, maakt dat verder niet anders. Deze wet geeft bevoegdheden waaronder de mogelijkheid in te breken in een computersysteem, maar ook hier geldt: vanuit jouw perspectief is het gewoon een hack, en als jij wilt publiceren over een hack die jou overkwam dan is dat jouw goed recht. Pas als je wéét dat je een staatsgeheim zou onthullen, kan dat anders komen te liggen. Maar grofweg moet de AIVD dan langs zijn geweest en je dat hebben gezegd. Ik zie dat niet gebeuren.

Arnoud