Ex-werknemer Nederlandse vps-provider wist alle server- en klantgegevens

Geplaatst op in Ondernemingsvrijheid, 12 reacties

Auw. Een medewerker van hostingprovider Verelox uit Den Haag heeft alle servergegevens verwijderd, las ik bij Tweakers. Dat betekent dat ook alle klantgegevens zijn gewist, en mogelijk ook niet allemaal meer terug te halen zijn. Buitengewoon pijnlijk voor het bedrijf, want hierdoor moet Verelox druk aan de bak om alle servers weer te herstellen. Wat te doen?

Natuurlijk is deze medewerker persoonlijk aansprakelijk voor de schade. Een werknemer is normaal nooit aansprakelijk, maar dit is vrij evident de uitzondering voor opzettelijk of bewust roekeloos handelen. Zo lees ik dat hij backdoors had aangebracht om deze schade aan te kunnen richten. Dat doe je echt niet per ongeluk. In theorie is zelfs aangifte van het strafbare feit vernieling van gegevens (art. 350a Strafrecht, twee jaar cel) mogelijk.

Daarnaast zal dit moeten worden behandeld als een datalek: als persoonsgegevens worden gewist zonder dat er backups zijn (of als de backups óók worden gewist) dan is dat hetzelfde als bij ongeautoriseerde toegang. Zeker omdat het denkbaar is dat die admin een kopie van de data heeft meegenomen om te publiceren of te verkopen. Ook die schade kan worden verhaald.

Dit is wel een geval waarin het recht in theorie duidelijk is, maar in de praktijk niets oplevert. Want of er wat te halen valt, is natuurlijk vers twee. En de strafrechtelijke route levert je ook niet perse meer op. Je kunt je daar voegen voor een schadevergoeding, maar dat komt op hetzelfde neer als een eigen civiele schadeprocedure.

Het toont voor mij maar weer duidelijk aan hoe afhankelijk we zijn van digitale data en bijbehorende diensten, en hoe makkelijk we daarin machtsposities laten ontstaan. Onmisbare mensen moet je meteen ontslaan, vertelde een HR-manager me ooit. Dat geldt ook voor systeembeheerders. Alleen, hoe borg je je dataveiligheid tegen de persoon die de dataveiligheid moet borgen?

Arnoud

123inkt mag huismerkcartridges voor HP-printers blijven verkopen

Geplaatst op in Intellectuele rechten, 29 reacties

Het Nederlandse bedrijf 123inkt mag huismerkcartridges van HP blijven verkopen, las ik bij Tweakers. HP had geprobeerd de verkoop te blokkeren met een patent op een geheugenchip voor dergelijke cartridges, waarmee de printer niet-originele cartridges kan herkennen. Maar dat octrooi is door het Hof Den Haag grotendeels ongeldig verklaard, en 123inkt maakt geen inbreuk op wat er overbleef.

HP verzet zich al geruime tijd tegen de verkoop van huismerkcartridges met inkt voor haar printers. Een van de wapens in haar arsenaal is een octrooi op een inktcartridge die voorzien is van een geheugen met foutcorrectie-mechanisme. De foutcorrectiecode wordt na iedere keer printen aangepast (als ik het goed lees), en mede daardoor kunnen cartridges als echt van HP of niet worden gezien.

Als 123inkt eigen cartridges wil verkopen die door HP printers worden geaccepteerd, dan moest zij dus wel een dergelijke chip ook aanbrengen. En daardoor kon HP met haar octrooi in actie komen. Het arrest maakt daar echter korte metten mee; de belangrijkste claims uit het octrooi zijn ongeldig en op wat er overblijft, maakt 123inkt geen inbreuk.

De breedste claims op de cartridges sneuvelen omdat ze al bekend waren uit een ouder octrooi. Dat mag natuurlijk niet: een octrooi kan alleen geldig zijn als het iets nieuws en innovatiefs beschrijft. Een specifiek aspect bleef wel overeind, namelijk wat te doen als de cartridge geen update krijgt van de printer tijdens de communicatie. Dat was inventief, maar daar maakte 123inkt geen inbreuk op. Dat deel van de uitvinding werd namelijk in de printer uitgevoerd en niet in de cartridge.

Het octrooirecht kent ook de zogeheten indirecte inbreuk. Je verkoopt dan middelen waarmee iemand anders inbreuk kan plegen. Dat verweet HP ook aan 123inkt: die cartridges zouden bezitters van de printer aanzetten tot inbreuk. Maar ook dat accepteert het Gerechtshof niet. Wie een HP printer koopt, krijgt impliciet een licentie onder alle relevante HP octrooien die daarin zitten, dus ook dit octrooi. Een gebruiker van die printer mág dus gewoon die uitvinding toepassen, ook met niet-HP-chips.

Een mooie overwinning dus voor 123inkt, met name dat laatste stuk. Het bevestigt dat je als bezitter van een printer gewoon het recht hebt daar andere onderdelen in te steken, en dat een octrooi je daarin niet mag blokkeren.

Arnoud

De Bits of Freedom web-in voor jouw freedom.nl

Geplaatst op in Informatiemaatschappij, 12 reacties

Bits of Freedom heeft haar jaarlijkse donatie-actie. Hou je van internetrecht en dan met name je burgerrechten, dan wil ik je vragen om je vandaag nog als donateur aan te melden! Iedereen die vandaag meer dan 50 euro doneert, en dat hier meldt, krijgt van mij een gratis exemplaar van editie 2017 van De Wet Op Internet.

Een jonglerende tech-CEO, de Internet-of-CyberTechnoHashtagpubquiz, de geschiedenis van digitaal activisme uit eerste hand, privacy in Hollywood en de toekomst van het internet of things. Dit en meer komt 9 juni aan bod tijdens de livestream over internetvrijheid. We beginnen om 8 uur ‘s ochtends en komen twaalf uur lang het bed niet uit, zeker niet voordat er 500 nieuwe donateurs zijn voor Bits of Freedom. Die krijgen daar meekijkvrije e-mailaccounts van @freedom.nl voor terug.

Een web-in?

Geïnspireerd door de Bed-in for Peace van Yoko Ono en John Lennon? houden we een marathonsessie vanuit een hotelkamer in het Volkshotel met de boodschap dat internetvrijheid niet vanzelfsprekend is.

Dit wordt gepresenteerd door de even getalenteerde, maar minder langharige Christel van de Craats en Roel Maalderink. Zij ontvangen verschillende gasten en belichten telkens een andere kant van internetvrijheid: van praktische tips om jezelf te beschermen tot het vinden van balans in digitale tijden. Omdat het kan.

Waarom freedom.nl?

Omdat die domeinnaam lit is, en alleen al daarom wil jij er ook mee mailen. [jouw naam]@freedom.nl klinkt toch fantastisch? In samenwerking met Soverin kunnen wij vaste donateurs vanaf 10 euro per maand meekijkvrije mail aanbieden. Daarmee e-mail je zonder dat je mailprovider je profileert, en laat je zien dat ook jij geeft om internetvrijheid.

Waarom doen we dit?

Internetvrijheid is niet vanzelfsprekend: veel bedrijven en overheden offeren privacy van burgers op voor controle, om met nieuwe technologieën ons tot in extremen te profileren en in een hokje te plaatsen. Steeds vaker tasten ze onze vrijheid steeds verder aan. Het is belangrijk dat er dan een tegenstem is die opkomt voor het belang van de burgerBekijk hier de dossiers waar wij ons voor inzetten. Die tegenstem zijn wij. Wij komen op voor jouw internetvrijheid.

Dus voor die ene dag in het jaar richten wij de aandacht op onszelf. Want Bits of Freedom is onafhankelijk, maar om onafhankelijk te blijven zijn we afhankelijk van donateurs. Kijk op 9 juni live mee en help ons om die 500 nieuwe donateurs te vinden!

Waarom is een tetherverbod een probleem voor netneutraliteit?

Geplaatst op in Ondernemingsvrijheid, 7 reacties

De ACM gaat deze zomer de voorwaarden van alle telecombedrijven onderzoeken op zoek naar tetherverboden, las ik bij Tweakers. Een verbod om je mobiele-internetverbinding te delen met bijvoorbeeld je laptop is namelijk volgens de toezichthouder in strijd met de Europese netneutraliteitsregels. Het onderzoek riep wat vragen op in mijn inbox: het is toch logisch dat men tethering beperkt, want anders wordt het netwerk meteen overbelast. Hoe zit dat nu?

Internetprovider Tele2 biedt (net als diverse andere providers) een mobielinternetabonnement aan waarbij geen harde datalimiet geldt. Ze adverteren daarbij met “onbeperkt internet” (Unlimited) maar in de voorwaarden stond:

Gebruik van de Dienst dat niet als redelijk gebruik wordt aangemerkt is in ieder geval, maar niet uitsluitend: Gebruik in combinatie met aan ander apparaat dat niet door Tele2 als geschikt is bevonden. (…) Gebruik van een mobiele telefoon of “personal digital assistant”(pda) in combinatie met een laptop of computertablet, al dan niet via bluetooth (“tethering”).

Zoals mijn collega Matthijs van Bergen constateerde, dat is in strijd met de Europese netneutraliteitsverordening. Die bepaalt namelijk dat providers alle soorten internetverkeer gelijk moeten behandelen, en dat consumenten zelf mogen kiezen welk apparaat ze gebruiken. Internetverkeer vanaf een laptop mag dus niet anders worden behandeld dan internetverkeer vanaf een mobiele telefoon. internet is internet, of er nu een Raspberry Pi achter hangt die ping zegt of een zware streamingserver. Dus dan is het juridisch echt een probleem als je als provider wel zulk onderscheid wil maken.

Tele2 vond het maar een storm in een glas water, maar gaat de voorwaarden aanpassen: het tetheringverbod gaat eruit, maar misbruik zal blijven bestaan. De ACM gaat nu bij andere providers vergelijkbare aanpassingen verlangen.

Terecht toch dat ze die voorwaarden aanpassen. Want natuurlijk, zolang Tele2 opereert zoals ze hier zeggen dan is er weinig aan de hand. Maar dat kunnen ze natuurlijk gaan doen, en bovendien zullen er genoeg mensen zijn die de voorwaarden zien en denken, oh ik doe het maar niet want het mág niet. (Net zoals die bordjes “De directie stelt zich niet aansprakelijk” niet rechtsgeldig zijn maar wel mensen afschrikken om aansprakelijkheidsclaims te leggen.)

Uiteindelijk is het probleem vooral de keuze voor “onbeperkt” in de wetenschap dat dat niet kan tenzij je een beperking invoert die niet mag. Maar ik zie dat als een probleem voor de providers: zij willen mensen een dienst bieden die meer is dan technisch mogelijk, en dat is ergens gewoon niet eerlijk. Dan moet je duidelijker uitleggen wat onbeperkt bij jou dan inhoudt (een discussie die we vaker hebben gehad) of een andere term kiezen. Niet met dit soort indirecte trucs mensen binnenhalen en zeggen oh maar dát mag niet, wat je nu doet.

Tegelijk zie ik ook wel dat het handig is om in ieder geval met een mobieltje echt onbeperkt te kunnen internetten. Ik word ook gek van datalimieten op mijn telefoon.

Arnoud

Hoe strafbaar is het liken van strafbare berichten?

Geplaatst op in Regulering, 20 reacties

Een rechter in Zwitserland heeft een man veroordeeld vanwege het liken van lasterlijke berichten over een dierenrechtenactivist op Facebook, las ik bij de NOS. Met zijn likes zou hij de posts uitdrukkelijk hebben onderschreven, en daarmee zeg maar medeplichtig zijn aan het plegen van de laster. Dat vonden ze bij de NOS raar: liken is toch de basis van Facebook, dus hoezo kan dat nou strafbaar zijn?

Wat betreft het delict laster ligt het op zich relatief simpel. Wie een smadelijke bewering verspreidt wetende dat deze in strijd is met de waarheid, pleegt laster. Dat is Ouder Dan Het Internet, en op zich dus ook gewoon strafbaar om op internet te doen. Een Facebookbericht waarin je dus schadelijke onwaarheden verspreidt, is net zo goed lasterlijk als een krantenartikel.

Maar liken is natuurlijk niet hetzelfde als zelf een artikel schrijven. Alleen, dat is niet vereist om van smaad of laster te kunnen spreken. Je pleegt ook die misdrijven als je de betreffende beweringen verder verspreidt – althans als je dat doet op een positieve manier. Dan ga je achter de inhoud staan, en doe je in feite hetzelfde als de oorspronkelijke uiter van de bewering.

Het komt dus neer op de vraag wat een like nu precies betekent. Heel naïef kun je zeggen: er stáát “Dit vind ik leuk”, dus wat je doet is zeggen dat je die inhoud leuk vindt. Dat is een positieve uiting, en het bericht verschijnt ook nog eens op je tijdlijn. Dat is dus een manier van verspreiding waarbij jij achter de inhoud gaat staan, en dan kom je dus bij laster terecht.

In de praktijk heeft een like meer functies. Facebook kent niet echt een uitgebreid vocabulaire: ook als je een bericht juist stom vindt maar wel wilt delen (“gatver moet je dít nou zien, wat een schande”) dan moet je het liken. Vanuit dat perspectief zou het geen laster zijn om een bericht verder te verspreiden via dat mechanisme.

Uiteindelijk komt het er dus op neer wat je intenties waren, althans hoe dit overkomt bij de rest van de wereld. Dat is een vrij subjectieve inschatting, waardoor het voor een rechter dus geen eenvoudige kwestie zal worden. In een zaak uit 2007 werd een hyperlink naar opruiende teksten strafbaar geacht:

In het geval van de verdachte zijn die relevante omstandigheden dat zij een moslima is met een meer dan gewone belangstelling voor het jihadistisch-salafistisch gedachtegoed en dat zij actief is deze geloofsovertuiging uit te dragen via het internet door daar allerlei bestanden en stukken op te plaatsen. In ruim drie maanden tijd heeft de verdachte meer dan 65 artikelen geplaatst op het internet. […] Gelet op het voorgaande en met haar kennis van zaken aangaande de islam kan het plaatsen van de betreffende links door de verdachte, niet anders worden gezien dan als een strafbare handeling als bedoeld in artikel 132 van het Wetboek van Strafrecht, te weten – kort gezegd – het verspreiden van geschriften waarvan zij ernstige reden heeft te vermoeden dat die opruiend zijn.

Die lijn doortrekkend zou dus een like strafbaar zin als iemand ernstige reden had moeten hebben om te vermoeden dat sprake is van laster, en je enigszins in de materie zit waar het artikel over gaat. Je zou die strafbaarheid dan weer wel kunnen weerleggen door er expliciet afstand van te nemen.

Arnoud

Mag je onder de Privacyverordening geen biometrische identificatie meer uitvoeren?

Geplaatst op in Privacy, 10 reacties

Een lezer vroeg me:

Bij het nalezen van de Algemene Verordening Gegevensbescherming viel me op dat biometrische gegevens daar als zogeheten bijzondere persoonsgegevens aangemerkt worden. Het verwerken daarvan is verboden, tenzij in de AVG expliciet toegestaan wordt dat dit mag. Maar dat betekent effectief dat biometrische identificatie niet meer mag, want toestemming eisen is natuurlijk niet mogelijk en er is geen algemene belangenafweging. Klopt deze conclusie?

Het klopt dat de AVG (de Privacyverordening) in beginsel verbiedt dat iemand biometrische persoonsgegevens verwerkt. Daaronder vallen vingerafdrukken, gezichtsherkenning, irismetingen en dergelijke. Het doel doet er daarbij niet toe, je mag die gegevens gewoon niet verzamelen, opslaan of gebruiken want het zijn bijzondere persoonsgegevens. Ze onthullen immers gevoelige informatie over personen.

Het gebruik van bijzondere persoonsgegevens mag alleen in speciale gevallen, zoals bij het dienen van iemands “vitaal belang” – urgente medische kwesties – of een zwaarwegend algemeen belang. Daarnaast kun je met “uitdrukkelijke toestemming” soms nog een grondslag verkrijgen, maar die toestemming moet vrijwillig en apart worden gegeven en kan op ieder moment worden ingetrokken. Daarmee is er eigenlijk geen grondslag om te kunnen werken met bijzondere persoonsgegevens voor beveiliging, toegangscontrole et cetera.

(Voor ‘gewone’ persoonsgegevens ligt dat anders; daar is er de grond van de “eigen dringende noodzaak” waarbij een belangenafweging eigenlijk genoeg is. Die grond bestaat nadrukkelijk niet in de AVG voor bijzondere persoonsgegevens.)

De reden dat er specifiek voor biometrische identificatie geen regeling is in de AVG, is een politieke: de Europese landen konden het niet eens worden over of en in hoeverre dit toegestaan zou moeten zijn. Daarom is dit onderwerp buiten scope gelaten. Landen mogen dit dus zelf regelen als zij het willen toestaan. En gelukkig lijkt Nederland dat te willen: in de Uitvoeringswet (althans het concept dat in internetconsultatie is gegaan) is een artikel 26 opgenomen:

Het verbod om biometrische gegevens te verwerken met het oog op de unieke identificatie van een persoon is niet van toepassing indien de verwerking geschiedt met het oog op de identificatie van de betrokkene en slechts voor zover dit voor dit doel noodzakelijk en proportioneel is voor behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of een derde.

Oftewel, je mag biometrische identificatie inzetten mits je maar een duidelijk belang daarvoor hebt én eigenlijk geen andere optie hebt ter identificatie dan biometrie. Je moet dit onderbouwen en die onderbouwing moet in je verwerkingsregister zitten.

Dit is met name van belang voor het kunnen identificeren van bezoekers en werknemers. Die hebben namelijk geen keus als ze door zo’n scan heen moeten. Werknemers kunnen juridisch geen toestemming geven aan hun werkgever. Ook bij bezoekers lijkt me dat een lastig te verdedigen punt: je bent er al, je wilt/moet naar binnen en dan moet je even toestemming geven voor een vingerafdruk of irisscan. Dat klopt niet.

(Diensten zoals Privium of de vingerafdrukscanner op je laptop zijn een ander verhaal. Daar kies je zelf voor en je kunt op ieder moment die keuze ongedaan maken.)

Arnoud

Nee, googelen is niet hetzelfde als zoeken op internet

Geplaatst op in Ondernemingsvrijheid, 41 reacties

Het merk “Google” mag gewoon blijven bestaan, las ik bij Ars Technica. In een rechtszaak tegen een domeinnaamhouder met 763 Google-gerelateerde domeinen werd het verweer gevoerd dat “Google” een generieke term was geworden voor “zoeken op internet”, zodat het geen geldig merk meer kan zijn. Maar de rechtbank in hoger beroep verwierp het verweer: ondanks dat die dienst verreweg de populairste is voor een dergelijke zoektocht, is het er geen onmisbaar synoniem voor.

Het is een bekend verschijnsel dat namen van producten of diensten verworden tot een soortnaam. Enigszins overdreven heet dat “genericide”, want een merk generiek verklaren is hetzelfde als moord (homicide); IE-juristen weten altijd mooie neutrale termen voor onwelgevallige gebeurtenissen in hun vakgebied te vinden.

Maar het is wel een probleem voor een merkhouder, want een soortnaam mag geen merk zijn. Dan kan immers niemand meer de producten of diensten in die soort omschrijven zonder merkinbreuk te plegen. Een merk is dan ook ongeldig als het een soortnaam is, en dat kan ook achteraf ineens het geval blijken te zijn terwijl het ooit begon als mooi creatieve naam. Dat spul op brood héét nu eenmaal hagelslag, bijvoorbeeld.

Bij vernieuwende diensten speelt dit probleem het sterkste. Neem de chatdienst van Microsoft van vroeger: die heette MSN Messenger, dus dan ging je MSN’en. Net zoals je nu gaat WhatsAppen. Dat lijkt generiek gebruik, net zoals Googelen voor het zoeken op internet. Ja, Bing bestaat en er zijn er vast nog meer maar de facto is gebruik van Google wat je doet als je wilt zoeken op internet. Net zoals er vast alternatieve kleine staafjes chocola zijn die op brood gesprenkeld kunnen worden maar geen hagelslag heten.

Verschil is wel: voor zulke diensten gebruik je nu eenmaal die dienst. Je kunt niet MSN’en met ICQ, en als je met iemand SMS-berichten uitwisselt dan ben je niet aan het appen. Verwarring over de afkomst van die dienst is er dan in principe niet. Dat maakt het wezenlijk anders dan wanneer de naam generiek wordt voor álle diensten.

Genericide zou eerder van het niveau zijn dat we alle beveiligde communicatie SSL zouden noemen, ongeacht de technologie er onder. Wat geen goed voorbeeld is want dat was nooit een merk. Maar wat is wel een goed voorbeeld, een ICT dienst die ooit specifiek van één bedrijf was (en als merk vastgelegd) maar die we nu als generieke naam voor de hele categorie gebruiken?

Arnoud

Kan Ancestry.com eigenaar worden van je DNA?

Geplaatst op in Informatiemaatschappij, 13 reacties

Pas op, las ik op vele plekken: de genealogiesite Ancestry.com claimt eigendom op je DNA. Ze hebben een dienst waarbij je DNA wordt getest om verwanten te vinden in hun database, maar de voorwaarden zeggen dat men jouw DNA eeuwig en gratis mag gebruiken ter identificatie van “you or a genetic relative.” Oftewel, die wordt hun eigendom en ze mogen er mee doen wat ze willen. Maar zoals eigenlijk altijd met berichten over dat diensten eigendom claimen op iets van hun gebruikers: nee, dit klopt niet.

De dienst AncestryDNA claimt de “World’s Largest Consumer DNA Database” met het DNA van meer dan 3 miljoen mensen, waarmee je “ethnic mix” kunt ontdekken, en “discover distant relatives, and find new details about your unique family history with a simple DNA test.” Allemaal leuk en aardig, maar uiteraard moest daar weer een jurist goed voor gaan zitten want stel er komen claims:

By submitting DNA to AncestryDNA, you grant AncestryDNA and the Ancestry Group Companies a royalty-free, worldwide, sublicensable, transferable license to host, transfer, process, analyze, distribute, and communicate your Genetic Information for the purposes of providing you products and services, conducting Ancestry’s research and product development, enhancing Ancestry’s user experience, and making and offering personalized products and services. In other words: we use your Genetic Information to provide products and services to you and improve our products and services for all our users. In addition, you understand that by providing any DNA to us, you acquire no rights in any research or commercial products that may be developed by AncestryDNA using your Genetic Information.

Mooi is dat. Dus ten eerste claimen zij het recht om alles te mogen doen met jouw DNA – niet alleen naar jou, maar naar al hun gebruikers. Oftewel dat gaat gewoon de database in. En ten tweede heb jij nergens recht op. Ja, je mag het rapport lezen maar daar houdt het wel mee op.

Maar is dat “claimt eigendom op je DNA”? Volstrekt niet. Allereerst niet omdat dat er niet staat. Sterker nog, het tegendeel staat een alinea hoger:

AncestryDNA does not claim any ownership rights in the DNA that is submitted for testing.

En ten tweede en belangrijker, omdat DNA niet iets is waar het concept eigendom überhaupt voor kan gelden. Ja, DNA bestaat wel (in tegenstelling tot data) maar wordt niet gezien als tastbaar fysiek object. Je hebt er dus geen eigendomsrechten op, en je kunt die dus ook niet overdragen. En zelfs als dat wel kon, dan ten derde zou zoiets een schriftelijke verklaring met handtekening vereisen.

(Je kunt natuurlijk zeggen dat dit spitsvondige juristerij is, want een eeuwigdurende onbeperkte licentie met sublicentierechten is effectief hetzelfde als de eigendom. Maar ik vind de fout net zo basaal als mensen die spreken van een BSN nummer of de programmeertaal HTML.)

In Europa is dit nog een best lastige dienst om goed op te zetten. Genetische informatie wordt onder de Privacyverordening gezien als een bijzonder persoonsgegeven (art. 9.1 AVG). Die mag dus niet worden verwerkt zonder een specifieke grond, en voor diensten als deze zie ik eigenlijk alleen de uitdrukkelijke toestemming (art. 9.2(a) AVG) als mogelijke grond.

Natuurlijk geef je toestemming voor verwerking van je DNA als je dat uploadt (pardon, instuurt) naar deze dienst. Maar dat DNA wordt vervolgens gematcht tegen hun hele database, waarna je kennelijk informatie over potentiële verwanten krijgt. En dát mag niet zomaar. De in de voorwaarden geëiste toestemming is daar te generiek voor – en bovendien mág dergelijke toestemming niet in voorwaarden opgeëist worden, dat moet apart.

Arnoud

Mag een bedrijf met DPI ons netwerkverkeer inspecteren?

Geplaatst op in Ondernemingsvrijheid, 28 reacties

Een lezer vroeg me:

Vraag: Ons bedrijf beheert voor klanten grote hoeveelheden gevoelige data, waaronder persoonsgegevens. Nu is recent een nieuwe firewall geïnstalleerd met DPI, die ook ssl-verkeer kan decrypten en inspecteren. Dit zou zijn om datalekken te voorkomen. Maar nu wordt al mijn beveiligde internetverkeer bekeken! Mag dat zomaar?

Vanwege de Wet meldplicht datalekken van januari vorig jaar, en de aankomende Algemene Verordening Gegevensbescherming in mei 2018 zie je steeds meer bedrijven hard aan de weg timmeren ten aanzien van datalekken en informatiebeveiliging.

Inspectie van in- en vooral uitgaand netwerkverkeer is daarbij een relevant aandachtspunt. Immers, een hoop datalekken of security breaches gebeuren per ongeluk: een bestand naar de verkeerde persoon gemaild, een stukje malware dat iets naar buiten wil smokkelen of een gevolg van social engineering. (Om niet te spreken van mensen die willens en wetens data stelen.)

Diverse moderne firewalls zijn in staat om uitgaand SSL-verkeer open te breken. Logisch vanuit een security-gedachte: het is wel erg eenvoudig om de beveiliging te omzeilen anders. Je moet eigenlijk wel even kijken in die beveiligde verbindingen.

Maar het raakt ook allerlei legitiem verkeer van de werknemer in kwestie, zoals privemailtjes (een SSL-verbinding met Gmail of een privé Outlook adres), bankzaken of communicatie met een verzekeraar. En dan wordt het juridisch ingewikkeld, want je moet óók rekening houden met de privacy van je werknemer.

Hier moet de werkgever dus een balans in vinden. Een belangrijke voor mij is daarbij hoe geautomatiseerd dit proces gaat. Wordt er door een automatisch proces gecheckt op een serie keywords of fingerprints van de te beschermen data, dan is dat privacytechnisch héél wat minder ernstig dan een steekproefsgewijze controle door een persoon.

Ook zou belangrijk zijn dat de data niet wordt gelogd (tenzij de automatische scan natuurlijk aangeeft dat er iets mis is) en dat inspectie bij afgaande alarmbellen onder strikte geheimhouding gebeurt. Dergelijke waarborgen moeten in een reglement zijn uitgeschreven, zodat je als werknemer weet waar je aan toe bent. Maar als het zorgvuldig wordt uitgewerkt en ingevoerd, dan denk ik dat het wel kan.

Arnoud