Mag je onderzoeken naar een datalek bij een politieke partij?

Geplaatst op in Privacy, 37 reacties

De gegevens van 92.901 leden en oud-leden van de Nederlandse politieke partij Forum voor Democratie zijn gelekt. Dat meldde Tweakers donderdag. De administratieserver had een fout waardoor je zonder controle lidmaatschapsgegevens kon opvragen (namen, e-mailadressen, telefoonnummers en rekeningnummers van leden en oud-leden). Auw. De journalisten van RTL Nieuws kregen 92.901 records te pakken. Wat de vraag opriep: mag dat eigenlijk wel, zo’n lijst downloaden, gaat dat niet te ver?

Het lek is ondertussen gedicht, en afgezien van een melding bij de AP en een dreiging met aangifte tegen iedereen die de gegevens misbruikt lijkt er niets meer van te komen. Maar het punt blijft: had je als journalist zo ver mogen gaan?

Hoofdregel is natuurlijk dat ook journalisten zich aan de wet moeten houden. Maar er is een uitzondering: als het absoluut noodzakelijk is voor het aan de kaak stellen van een ernstige misstand, dan mag je verder gaan. Inclusief dus inbreken in een computersysteem, wanneeer dat dus de enige manier is om vast te stellen dat daar inderdaad een lek zit.

De omvang van het lek vaststellen mag ook, want dat is dan deel van het nieuws. Maar dan krijg je het dilemma: is het nodig om 92.901 records te downloaden om te controleren of je werkelijk álle ledengegevens te pakken kunt krijgen? Kun je niet volstaan met enkele records te zoeken (op je eigen naam, of op de naam van bekende leden, zodat je geen nodeloze schade aanricht) om zo de omvang van het probleem vast te stellen?

In de al wat oudere Nieuwe Revu-zaak werd het hacken van de mailbox van de toenmalige Staatssecretaris van Defensie legaal geacht, maar het vervolgens snuffelen in de mails dan weer niet. Voor het nieuwsfeit “is die mailbox zwak beveiligd” was op zich aanleiding, maar “hij doet mogelijk staatszaken in de privémailbox” was te theoretisch. En Henk Krol kreeg in 2013 ook een boete voor het grasduinen in EPD dossiers na bewezen te hebben dat een arts een zwak wachtwoord had, zij het dat meewoog dat hij dat voor de televisiecamera deed.

Mijn eerste gevoel bij deze zaak is dat omdat het hier gaat om zeer gevoelige gegevens, je in je recht staat om vast te stellen hoe ernstig de zaak precies is. Dan is downloaden van de gehele dataset wel nodig, al is het maar om te kunnen reageren op de onvermijdelijke downplaying die menig organisatie zou doen bij een dergelijk nieuwsbericht. Natuurlijk moet je die dataset vervolgens ergens in een kluis stoppen en verder niet aankomen.

Weet er iemand een andere manier om dit lek te valideren op zo’n manier dat de scope vast komt te staan maar zónder dat je alle records downloadt?

Arnoud

Hoe erg is Office, pardon Microsoft 365 in strijd met de AVG?

Geplaatst op in Ondernemingsvrijheid, Privacy, 9 reacties

Microsoft 365 is volgens het Duitse Datenschutzkonferenz nog steeds in strijd met de Europese GDPR-privacyregelgevingen. Dat meldde Tweakers onlangs. Het gaat om een voorlopige conclusie van een tweejarig onderzoek naar de online services binnen de Office-tool (met nieuwe merknaam) van het bedrijf. Volgens de Dsk zijn er ‘geen substantiële verbeteringen’ doorgevoerd, Microsoft heeft een beter PR bureau want spreekt van “we halen, nee: overstijgen, GDPR-vereisten”. Nou gaat niemand voor z’n lol meer doen dan de AVG eist, dus wat is hier aan de hand?

Het probleem kwam in 2020 aan het licht:

DSK, de Duitse waakhond voor databescherming, heeft onderzocht hoe de Enterprise-editie van Windows 10 omgaat met gebruikersinformatie. Gebruikers kunnen instellen dat Windows helemaal geen gegevens verzendt naar Microsoft. Volgens het onderzoek van DSK blijkt dit niet helemaal vlekkeloos te verlopen. Zelfs wanneer een gebruiker daar geen toestemming voor geeft, verzendt Windows 10 alsnog gegevens naar Microsoft.
Sindsdien is Microsoft al twee jaar aan het onderhandelen en aanpassen om de goedkeuring van het Duitse samenwerkingsverband van privacytoezichthouders te verkrijgen (iedere deelstaat heeft zijn eigen AP). Het bleek niet alleen te gaan om dat stukje telemetrie, maar ook over zaken als de export van die gegevens naar buiten de EU (hoi Schrems II) en de omgang met subverwerkers. Microsoft kwam in september nog met een nieuwe privacyverklaring, waarin zwaarder ingezet werd op legitiem belang als grondslag voor van alles en nog wat.

De DSK mist nog steeds het nodige. Zo maakt die nieuwe privacyverklaring nog steeds niet duidelijk welke gegevens precies worden verstuurd naar de VS en voor welk doel. Lees ‘m hier in al haar juridische glorie, maar concreter dan deze wordt het niet volgens mij (“Microsoft stellt die nötige Transparenz über Verarbeitungstätigkeiten durch umfangreiche Dokumentation her.”):

Klantgegevens, Gegevens van Professionele Diensten en Persoonsgegevens die Microsoft namens de Klant verwerkt, mogen niet worden overgedragen aan, of opgeslagen en verwerkt op een geografische locatie, uitgezonderd in overeenstemming met de Voorwaarden van de [Bijlage Bescherming van persoonsgegevens, BBP] en de waarborgen die hieronder in dit artikel worden beschreven. Rekening houdend met dergelijke waarborgen, machtigt de Klant Microsoft om Klantgegevens, Gegevens van Professionele Diensten en Persoonsgegevens over te dragen naar de Verenigde Staten of enig ander land waarin Microsoft of haar Subverwerkers actief zijn en om Klantgegevens en Persoonsgegevens op te slaan en te verwerken voor het leveren van de Producten, behalve zoals elders in de Voorwaarden van de BBP is beschreven.
Er gaan nog steeds gegevens naar de VS. Volgens Microsoft zou dat mogen vanwege de privacyschaamlap pardon Executive Order die het Privacy Shield zou moeten vervangen. Daar valt het nodige over te zeggen, maar ik volsta met opmerken dat Microsoft vervolgens verwijst naar SCC’s als reden om de gegevens in de VS op te mogen slaan. Ook zou het alleen gaan om geanonimiseerde gegevens waar de AVG niet voor geldt.

Alles bij elkaar: ik krijg niet het gevoel dat Microsoft écht iets veranderd heeft, maar vooral meer argumenten heeft aangedragen waarom alles eigenlijk wel in orde is. Dat riekt naar tijd winnen en hopen dat die executive order door de Europese Commissie wordt geaccepteerd.

Arnoud

 

Verdachte niet bestraft voor phishingpanel omdat politie werking niet onderzocht

Geplaatst op in Regulering, 2 reacties

Een verdachte die een phishingpanel op zijn telefoon had staan is hiervoor niet veroordeeld omdat de politie de werking ervan niet heeft getest. Dat meldde Security.nl maandag. Een phishingpanel is een tool om phishingwebsites mee op te zetten, maar je moet natuurlijk wel aantonen dat deze werkte. Opstekertje voor mij: het is een feit van algemene bekendheid dat een website ook serverhardware nodig heeft.

Op de site van onderzoeker Jarno Baselier staat een uitgebreide demonstratie van hoe een dergelijk panel werkt. Het doet sterk denken aan een gewone ecommercesite: je zet een controlepaneel op, vanuit daar programmeer je mailcampagnes die mensen naar je site moeten krijgen, en daar bouw je een landingpagina om ze een boek te verkopen. Alleen dan geen boek maar je ontfutselt ze hun wachtwoord. Vele voorbeelden van hoe dat eruit ziet bij Group-IB.

De getoonde tool heet GoPhish, dat zichzelf adverteert als “a powerful, open-source phishing framework that makes it easy to test your organization’s exposure to phishing.” Met onder meer een superhandige knop om bijvoorbeeld Facebook te ‘importeren’ zodat je jouw medewerkers kunt controleren op het invoeren van Facebookwachtwoorden wanneer jij een echt van Facebook lijkende mail stuurt. (Ik doe mijn best dit zakelijk op te schrijven).

Welke tool de verdachte uit deze zaak had, is mij niet duidelijk. De rechtbank Den Haag ook niet, want uit het proces-verbaal blijkt niet eens dat de panel is aangeklikt en uitgeprobeerd op werking, althans niet hoe dat zit:

Ik [, verbalisant] heb onderzoek gedaan in de uitgelezen data van het eerder omschreven toestel. Uit mijn onderzoek is gebleken dat er data in het toestel aanwezig is die gebruikt kan worden voor het plegen van cybercrime delicten.
Dat is natuurlijk te mager om te kunnen veroordelen op het hebben van een hulpmiddel om computervredebreuk mee te plegen. De verdachte blijkt wel een berg wachtwoorden voorhanden te hebben (goh, geen idee hoe) en dat is afzonderlijk grond voor een veroordeling.

Opstekertje voor mij dus nog dat de rechtbank scherp inspeelt op het te verwachten verweer dat die wachtwoorden alleen geschikt zijn om op een website in te breken, en dat een website volgens het Gerechtshof Den Haag geen server is:

Door de verdediging is betoogd dat met de inloggegevens enkel toegang kon worden verschaft tot accounts en niet tot de betreffende servers. De rechtbank gaat voorbij aan dit verweer, nu het een feit van algemene bekendheid betreft dat het inloggen op een account via een (deel van) een server verloopt, wat een geautomatiseerd werk is als bedoeld in artikel 139d Sr.
Ik heb een hele kleine twijfel of dit naar de letter van de kunst wel klopt, gezien “feit van algemene bekendheid” een argument is wanneer je iets feitelijks moet bewijzen. Maar het argument van de verdediging is dat niet ten laste is gelegd dat meneer op een server had willen inloggen. Vergeten te verwijten is wat anders dan vergeten te onderbouwen.

Maar ik denk dat het hier goed gaat, omdat het delict hier is “het hebben van wachtwoorden waarmee je computervredebreuk kunt plegen”. Voor dat laatste is dus nodig dat bewezen wordt dat je op een geautomatiseerd werk kunt inloggen, en dan is het wel logisch om te zeggen “het is algemeen bekend dat Netflix servers heeft”.

Arnoud

Kantoor van Twitter in Brussel gesloten, is dat een juridisch probleem?

Geplaatst op in Informatiemaatschappij, 5 reacties
mohamedhassan / Pixabay

Het kleine maar vitale kantoor van Twitter in Brussel is gesloten, meldt de Financial Times donderdag. De laatste medewerkers zijn weg – onduidelijk is of ze zijn ontslagen dan wel ontslag hebben genomen. Het gaat op zich om een handvol mensen, en alle kernactiviteit van Twitter speelt zich in Californië af. Maar toch is dit een stap waar veel mensen uit Europa van schrikken. Wat zit hier achter?

Twitter heeft nog steeds een vestiging in Ierland, waar wel 50% van de medewerkers zou zijn ontslagen. (Voorbehoud omdat onduidelijk is of dit soort massa-ontslag wel mogelijk is onder Europees/Iers arbeidsrecht.) Het vertrek van de Brusselse medewerkers is vooral pijnlijk omdat zij het voortouw hadden bij de compliance rondom de nieuwste regels – de Digital Services Act en de Digital Markets Act, waarmee Europa de Amerikaanse techbedrijven aan de ketting wil krijgen.

Zowel de DSA als de DMA zijn beesten van teksten, dus het zal een pittige worden om hieraan te voldoen zonder lokale experts die dicht bij de wetgever en handhaver (Europese Commissie) zitten. Nog los van de al bestaande wetgeving, zoals de afspraken over het binnen 24 uur verwijderen van haatberichten. De FT meldt hierover dat Twitter dit 5% minder zou hebben gedaan de afgelopen periode.

Specifiek voor de AVG gaat het goed, daar is Twitter in Ierland de aan te spreken partij. Althans formeel – in de praktijk zal alles vanuit Californië uitgevoerd worden. En het ligt voor de hand dat wie straks Twitter wil aanspreken vanwege onnavolgbare moderatie-ingrepen (een DSA overtreding), ook naar Ierland zal moeten. De vraag is dan vooral of daar genoeg menskracht aanwezig is om de regels na te leven, vandaar de zorg van de Europese Commissie.

Arnoud

Politie ontdekt iSpoof-server in Almere en haalt oplichtingsdienst uit de lucht

Geplaatst op in Regulering, 14 reacties
StockSnap / Pixabay

Het Cybercrimeteam Midden-Nederland heeft in samenwerking met de Londense Metropolitan Police Service iSpoof-servers uit de lucht gehaald. Dat meldde Tweakers donderdag. Met deze servers werden duizenden neptelefoontjes per maand gefaciliteerd, wat vaak gebruikt wordt voor oplichting zoals door alarmerende “wij zijn van de bank en u wordt gehackt” telefoontjes. Wat de vraag oproept, waarom kán dat eigenlijk nog steeds?

Helaas komt het steeds vaker voor dat oplichters (“phishers”, in het jargon) gebruik maken van gespoofte telefoonnummers. Dat is logisch, want als een slachtoffer het werkelijke nummer van een bank als beller ziet, zal hij eerder het verhaal geloven natuurlijk. En technisch is dit simpel: telecomproviders hanteren in de praktijk geen enkele beperking , zoals dat het ingestelde nummer ergens aan jouw bedrijf gekoppeld moet zijn in de administratie van de telecomprovider. Ik weet niet waarom dat niet gebeurt.

Het kabinet had in 2021 aangekondigd dat ze zouden komen met een voorstel om de Telecommunicatiewet zo aan te passen dat telecomproviders worden verplicht om telefoonspoofing aan te pakken. Dat heeft geleid tot een internetconsultatie deze zomer. De kern is dat artikel 11.10 Telecommunicatiewet gaat verbieden dat je “onjuiste” nummers meestuurt, en dat de ACM nadere regels mag maken over specifieke controleverplichtingen. Denk aan een zwarte lijst met bv. nummers van banken (die jij dus niet mag laten gebruiken in uitgaande gesprekken) of een plicht om die nummers te bellen voordat de gebruiker ze mag activeren.

Dit lijkt mij een goed idee, toch was ik verrast te lezen dat onder meer Microsoft bezwaar had gemaakt. De kern is dat er soms toch ook legitieme toepassingen zijn van CLI spoofing, zoals het tonen van het algemene nummer van een bedrijf terwijl er wordt gebeld vanaf de mobiel van een medewerker. Maar zoals ik het wetsvoorstel lees, wordt dat ook niet categorisch verboden. Het mag namelijk gewoon als het nummer wél bij de organisatie hoort. Dat kun je al oplossen met een lijstje van de mobieltjes van de medewerkers.

MS wijst wel op een andere ontwikkeling, het STIR/SHAKEN protocol, waarmee op dieper technisch niveau spoofing moet kunnen worden tegengegaan. De kern is hier dat de provider een lijst nummers heeft waarvan hij weet dat ze bij de klant horen, en dan het gesprek alleen doorlaat als het uitgaande nummer op die lijst staat. Maar hoe dat precies anders is dan wat het ministerie voorstelt, begrijp ik niet helemaal.

Arnoud

 

Europees Hof van Justitie: antiwitwasregister UBO is buitenproportioneel

Geplaatst op in Informatiemaatschappij, 16 reacties
roma1880 / Pixabay

Het Europese Hof van Justitie heeft geoordeeld dat het UBO-register ‘in de huidige vorm de grondrechten en privacy van burgers ernstig aantast’. Dat meldde Tweakers vorige week. Het gaat daarbij vooral om de bepaling dat bepaalde gegevens door iedereen mogen worden ingezien. De uitspraak is vooral opmerkelijk omdat ze haaks staat op een oordeel van het Nederlandse Gerechtshof, dat geen bijzondere risico’s zag voor ondernemers.

Het Ultimate Beneficiary Owner- oftewel uiteindelijkbelanghebbendenregister is ingesteld ter bestrijding van financiële fraude (ik zeg dit zo neutraal mogelijk). De kern is dat men wil voorkomen dat financieel handige jongens zich verstoppen achter bv’tjes die stichtingen aansturen die bestuurder zijn van een vereniging die dan weer een bv in eigendom hebben. Daarom moet iedereen die iets bestuurt, in dat register, zodat partijen die daar belang bij hebben, kunnen nagaan wie de vent achter de tent is.

Dit is geen specifiek Nederlands idee maar komt uit een Europese Richtlijn die een dergelijk register voorschreef, zij het met een aantal opties om de privacy in meer of mindere mate te beschermen. Dat leidde in Luxemburg tot een rechtszaak, waarbij de rechter besloot het Hof van Justitie te raadplegen. Die ziet toch de nodige problemen op het gebied van privacy, met name als het gaat om een openbaar in te zien internetregister:

42 Daarbij komt dat het inherent is aan een dergelijke terbeschikkingstelling van die informatie aan de leden van de bevolking dat deze dan toegankelijk is voor een potentieel onbeperkt aantal personen, zodat een dergelijke verwerking van persoonsgegevens, ook personen die om redenen die geen verband houden met de door die maatregel nagestreefde doelstelling, informatie wensen te verkrijgen over de situatie, in het bijzonder op materieel en financieel gebied, van een uiteindelijk begunstigde, in staat stelt om zich vrijelijk toegang tot die informatie te verschaffen (…). Dit is des te gemakkelijker wanneer, zoals in Luxemburg, de betrokken gegevens op internet kunnen worden geraadpleegd.
In Nederland hadden we dat ook. Wie dat wilde, kon zonder nader toezicht bij de KvK grasduinen naar gegevens van deze personen. (Het UBO-register is voorlopig niet meer toegankelijk voor het publiek naar aanleiding van deze uitspraak.)

Ook heeft het Hof grote moeite met dat de Richtlijn enerzijds de maatschappij wil beschermen tegen financiële fraude (iets waar overheidsinstanties mee bezig zouden moeten zijn) en anderzijds de informatie aan het gehele publiek laat geven (in plaats van alleen, zeg, de AFM of het Openbaar Ministerie). En om nog een aantal andere redenen kan dat artikel uit de Richtlijn dus niet blijven bestaan, waardoor ook nationale wetten die daar van afgeleid zijn, komen te vervallen.

Het is opmerkelijk, omdat in november 2021 het Hof Den Haag nog oordeelde dat er eigenlijk niets aan de hand was. Stichting Privacy First had een procedure gestart om de invoering van de wet tegen te houden:

In [de eisen van Privacy First] zijn drie categorieën te ontwaren: i) de dreiging van inbraken en ontvoeringen (het Quote 500-effect), ii) problemen als pestgedrag waarmee kinderen van familiebedrijven als (toekomstige) UBO’s te maken kunnen krijgen en iii) het verlies van een normaal/ongestoord leven doordat bijvoorbeeld anderen de UBO om geld gaan vragen.
Maar omdat je als UBO kunt vragen om afscherming, en je adresgegevens sowieso niet in het openbare register komen, is er dus niets aan de hand. Dat afschermen gebeurt overigens alleen als er concrete signalen zijn dat de georganiseerde misdaad achter je aanzit. Het Hof zag dus geen reële kans op ernstige schade, en kwam daarom tot de conclusie dat de wet prima ingevoerd kon worden.

Het is nog niet duidelijk hoe we nu verder moeten, maar dat zal op Europees niveau uitgezocht moeten worden gezien het Hof hiermee de kern uit de Europese regels haalt.

Arnoud

 

NVB: digitale euro heeft weinig meerwaarde voor burgers en bedrijven

Geplaatst op in Innovatie, Ondernemingsvrijheid, 19 reacties
angelolucas / Pixabay

De digitale euro heeft in de huidige opzet weinig meerwaarde voor burgers en bedrijven, maar kan een grote impact op de kwaliteit en stabiliteit van het geldstelsel en betalingsverkeer hebben. Dat las ik bij Security.nl. De Nederlandse Vereniging van Banken (NVB), die achter de uitspraak zit, pleit dan ook voor een maatschappelijk debat alvorens we deze nieuwe munt gaan invoeren. Want wat is een digitale euro eigenlijk en waarom zouden we dit willen?

De kern achter een digitale euro is “contant geld maar dan digitaal”. Dat is niet hetzelfde als elektronisch betalen met je bankrekening (iDeal, creditcard, Paypal) want dan betaal je niet met geld maar wordt je tegoed bij die bank verrekend met een opdracht richting een begunstigde. En er is nog een verschil: bij contant geld zie je niet wie aan wie betaalt, dus bij een digitale euro zou dat ook niet moeten.

Oh dat is bitcoin met Europese merknaam, denkt u nu misschien. Nee:

Een digitale euro is centralebankgeld. Dit betekent dat hij door een centrale bank zou worden gegarandeerd en op maat van de burgers zou worden ontworpen: risicovrij, met respect voor de privacy en aandacht voor gegevensbescherming. Centrale banken hebben als taak de waarde van het geld te handhaven, onafhankelijk van de fysieke of digitale vorm ervan. …

Bij crypto’s bestaat er niet iets als een entiteit die aansprakelijk is, wat betekent dat vorderingen niet afdwingbaar zijn.

Een digitale euro heeft met cryptomunten gemeen dat er geen centrale registratie is van eigenaren en hoe veel geld ze hebben. (Dus bij diefstal is het inderdaad weg, terugboeken door de bank is niet mogelijk.) Maar de waarde wordt gegarandeerd door de Europese of nationale centrale bank, waar bij cryptomunten de munt waard is wat de kopers vinden dat deze waard is. (hoi FTX)

Dit lost nog steeds niet de vraag op waarom we een digitale euro zouden willen. RTL Nieuws deed een poging:

Digitaal centralebankgeld is een soort middenweg daartussen. In plaats van een afspraak met de bank dat jij geld tegoed hebt, heb je een directe afspraak met de centrale bank. In theorie hoeft niemand zich dan ooit zorgen te maken over of een bank wel of niet omvalt en wat dat voor gevolgen heeft om de hele economie.
Tussen de regels door lees ik ook een paniekreactie op de inmiddels geflopte Facebookmunt Libra (weet u nog), waarmee het augmentedrealitybedrijf (waar zelfs vluchtende Twitteraars niet heen willen) de wereld wilde veroveren. Zij had een soort decentrale opzet gekozen, en hét voordeel van een centrale bank is dan natuurlijk een centrale, niet aan te tasten waardegarantie.

Een groot discussiepunt blijft nog wel hoe anoniem een digitale euro moet worden. De zorg over witwassen zit diep in de financiële sector, zoals ik terugzie in het paper van de NVB:

Het kabinet zet in op anonimiteit voor kleine transacties zonder inbreuk op wettelijke verplichtingen, in lijn met de motie-Alkaya/Heinen. Mocht de digitale euro vooral eigenschappen hebben van contant geld, dan lijkt een zekere anonimiteit bij kleine bedragen – en vooral bij peer-to-peerbetalingen – voor de hand te liggen. Deze anonimiteit mag evenwel onder geen beding de inspanningen van de bankensector op het vlak van [witwas/terrorisme-bestrijding] in de weg staan. Bij introductie van dergelijke anonimiteit dient de sector te worden gevrijwaard van eventuele aansprakelijkheden.
Ik snap ergens nog het idee van een digitale anonieme munt die waardevast is (gegarandeerd door een centrale bank), commercieel gezien heeft dat een duidelijke usp ten opzichte van de decentrale cryptovaluta van nu. Maar zodra je het koppelt aan een rekening met alle identificatie-eisen en transactielogging die daarbij horen, dan zie ik het verschil niet meer met mijn gewone digitale rekening?

Arnoud

 

Nederlandse overheid overweegt te stoppen met pagina’s op Facebook

Geplaatst op in Privacy, Uitingsvrijheid, 12 reacties

De Nederlandse overheid overweegt zijn pagina’s op Facebook te sluiten, las ik bij Tweakers. In een Kamerbrief meldt staatssecretaris Alexandra van Huffelen dit als conclusie van een dpia van de datapraktijken van moederbedrijf Meta, die zeven grote risico’s liet zien op het gebied van transparantie en controleverlies. Een goede zaak dat dit eindelijk op de politieke agenda staat, voor mij is vooral de vraag waarom het zo lang moest duren.

De Kamerbrief legt uit dat recent in Duitsland overheden wederom zijn gevraagd hun Facebookpagina’s te sluiten, omdat zij juridisch mede verantwoordelijk zijn voor wat er op die pagina’s gebeurt met data van bezoekers. Naar aanleiding daarvan heeft zij onderzoek laten uitvoeren, een data protection impact assessment: 

In de DPIA worden 7 hoge risico’s en 1 laag risico gevonden voor de gegevensverwerking. Volgens het onderzoek informeert Facebook niet duidelijk wat ze met de gegevens van burgers op overheidspagina’s doet, en hoe ze bepaalt welke berichten bezoekers in hun nieuwsoverzicht zien. Het onderzoek concludeert ook dat Facebook volgcookies op een misleidende (“Facebook makes deceptive use of tracking cookies”) manier gebruikt. Gegevens over het gedrag van de paginabezoekers worden verzameld, zonder dat voldoende inzage wordt gegeven in de logica van het gebruik van die gegevens om gepersonaliseerde berichten, aanbevolen andere content en advertenties te tonen. Ook zijn er zorgen over de doorgifte van persoonsgegevens aan derde landen en derde partijen.
De vaste lezer van deze blog zal weinig niets halen uit bovenstaande alinea, behalve misschien dat dit óók bij specifieke Facebookpagina’s van overheidsinstanties gebeurt. En tot voor vrij kort geleden kon je als instantie nog doen alsof dit niet jouw probleem was, maar in 2018 bepaalde het Hof van Justitie dat je als beheerder van een Facebookpagina mede-verwerkingsverantwoordelijke bent voor alles dat onder water gebeurt bij bezoek aan die pagina. Dat volgt uit de systematiek van de AVG.

Uit mijn blog van toen:

De belangrijkste implicatie van het arrest is dat je als persoon kunt eisen dat gegevens van jou worden verwijderd bij zo’n fanpagina, en dat de beheerder zich niet mag verschuilen achter Facebook. Je moet dus echt zelf aan de bak en ook zelf aangeven welke gegevens je verzamelt en wat je daarmee doet.

Maar pijnlijke bijkomstigheid is dat je dus óók (mede-) aansprakelijk bent voor datalekken, slechte beveiliging en andere fouten die je zakenpartner Facebook vergaart. Oké, dat mag je wettelijk gezien op haar verhalen maar dat is natuurlijk niet helemaal realistisch.

De overheid is nu in gesprek met Facebook met als doel álle pijnpunten weg te doen nemen. Leuk, maar persoonlijk zie ik dat niet snel gebeuren. De daarop volgende stap zou dan moeten zijn dat de overheid weggaat van Facebook. Daarop kwam op vele plekken de reactie, waarom zit de overheid op Facebook als zij zelf al websites te over heeft?

De reden daarvoor is vrij simpel: de overheid wil zo veel mogelijk mensen bereiken, en er is nu eenmaal een significante groep mensen die niet op Rijksoverheid.nl kijkt voor nieuws vanuit de overheid, maar alleen dergelijke informatie via de social media tot zich neemt. Die groep bereik je dus alleen met een Facebookpagina zeg maar, en daarom is die pagina er. Vanuit dat perspectief is het dus niet zo simpel als je zou denken om die informatievoorziening ook weer te stoppen.

Arnoud

Geldt een OSS licentie ook voor de data in de repository?

Geplaatst op in Intellectuele rechten, Uitingsvrijheid, 5 reacties

Een lezer tipte me over een interessante discussie bij het ChirpStack project. Een project waar men gebruik van maakte, The Things Network’s Device Repository, bleek niet meer importeerbaar, waarbij men zich beriep op databankrechten voor die data en tevens aangaf dat de opensourcelicentie op hun software niet zou gelden voor deze data. Toevallig was de licentie ook net een uur eerder weggehaald, wat erg raar aandoet. Wat is hier aan de hand?

Die repository is deel van The Things Network, “a global collaborative Internet of Things ecosystem that creates networks, devices and solutions using LoRaWAN®.” Dat laatste is dan weer een netwerkarchitectuur, maar daar hoeft het verder niet over te gaan. De kern is dat TTN een device repository heeft, een databank met belangrijke technische informatie over apparaten die op dit IoT-ecosysteem aan te sluiten zijn. En omdat er fors wat inspanning is gaan zitten in die repository, en The Things Industries (dat daarachter zit) een Nederlands bedrijf is dat het financiële risico draagt voor al die inspanningen, kan zij daar een databankrecht op claimen.

ChirpStack biedt net als TTN een open-source LoRaWAN Network Server aan. Inlezen van die repository is dan erg handig, maar dat maakte TTN recent onmogelijk onder verwijzing naar twee argumenten. Allereerst zou haar databankrecht worden geschonden, en ten tweede ging het importeren uit van een technische structuur die binnenkort zou veranderen, dus het zou alleen maar onhandig zijn voor de toekomst om dit te laten staan.

De beheerder van ChirpStack snapte van dat eerste niets: hij haalde de informatie uit het project op Github dat TTN zelf actief heeft. Daar stond (tot voor kort) een Apache licentie boven, een simpele OSS licentie die alles toestaat zonder copyleft-eisen of andere ingewikkelde dingen. En dan kun je wel een databankrecht hebben, maar licentie is licentie. De reactie van TTN:

There is and was no open data license on the concerning repository. We spend a lot of time and resources on the content of that database. In this instance, GitHub is a great channel to receive contributions from the device maker community and to contribute ourselves, verify, review and validate. But a GitHub repository doesn’t provide a license to reuse and extract it in its entirety. Sure, if you want to copy paste a payload codec that you are missing from the Device Repository, that is fine.
Oftewel: die licentie geldt alleen voor de software, niet voor de data. Dat vind ik raar in het algemeen. Het gebruik is dat je op sites als Github één licentie kiest, die dan voor alles geldt. (Of in ieder geval in de directory en daaronder van de plek waar je die neerzet.) Uitzonderingen kunnen, maar die documenteer je dan in de LICENSE file. Dat is hier niet gebeurd. Vroeger was er wel kritiek dat OSS licenties te specifiek op software geschreven waren, maar bij de Apache 2.0 licentie kun je dat moeilijk volhouden. De definitie van ‘werk’ is keurig generiek:
“Work” shall mean the work of authorship, whether in Source or Object form, made available under the License, as indicated by a copyright notice that is included in or attached to the work (an example is provided in the Appendix below).
Hiermee is het dus volkomen logisch dat ook databestanden als ‘work’ kunnen worden aangemerkt, zodat de rechten en plichten uit de Apache licentie gewoon gelden voor afnemers van die databestanden. Althans, als de licentie daarop van toepassing is. Want tegenover wat ik hierboven schetst, staat dat men in de README (die iedereen ook geacht wordt te lezen) een beperkte verklaring had staan:
The API is distributed under Apache License, Version 2.0. See LICENSE for more information.
De bedoeling van deze software was namelijk dat je voor een gegeven stuk hardware de informatie opvraagt, met die aangeboden API. Wat ChirpStack deed, was dus niet helemaal hun bedoeling: zij maakten een kopie van alle data zodat je niet steeds via de API deze op hoefde te vragen. Die API is er alleen nooit van gekomen, het werd ‘gewoon’ software met alle data in die repository beschikbaar. Dat maakt de term “The API” onduidelijk, als die API er niet is wat bedoelde men dan wel?

Ik denk dat je dan toch uitkomt bij “alles op deze site”, omdat dat nu eenmaal de meest voor de hand liggende interpretatie is gezien het gebruik in de softwarewereld. Bijgevolg kan TTN dus het gebruik van de data niet verbieden mits dat binnen de regels van de Apache licentie gebeurt. Daar staat dan weer tegenover dat de Apache licentie heel expliciet alleen over “copyright” en “patent” toestemming spreekt, en dus niets over databankrechten. In die lezing heb je dus nog steeds niets.

Daartegen heb ik dan alleen nog het argument dat in die situatie de genoemde licentie vrijwel geen betekenis heeft, want er is verder niets van waarde onder die licentie te krijgen en dat is raar. Als je daarbij optelt dat die licentie door Amerikaanse juristen is geschreven (waar databankrecht niet bestaat) en dus best om die reden genegeerd kan zijn, dan kom ik bij de conclusie dat deze overname gewoon mag.

Arnoud

Mag je je adresboeken openstellen voor diensten als Meta of WhatsApp?

Geplaatst op in Ondernemingsvrijheid, Privacy, 11 reacties

Vorige week werd in mijn column voor Security.nl een terechte vraag opgeworpen:

Hoe zit het eigenlijk überhaupt met gebruik van whatsapp (en soortgelijke apps) op zakelijke mobiele toestellen? De toestellen bevatten persoonsgegevens van collega’s in je adresboek en veel van die apps hebben de “gewoonte” om je hele adresboek leeg te lepelen en naar de maker van de app te sturen. Naar mijn mening is dat een datalek wat bij het AP gemeld moet worden, klopt dat?
Dit is natuurlijk waar, en niet alleen voor zakelijke toestellen maar ook bij privégebruik van de dienst WhatsApp. En de feature “upload je adresboek en ontdek wie van je contacten ook bij ons zit” is natuurlijk bij vele sociale netwerken bekend, het is een handige en snelle manier om mensen te leren kennen – en om je potentiële klantenbestand te verruimen.

Het is natuurlijk ook problematisch onder de AVG, maar ook onder de oude Wbp overigens. De kern is dat jij geen toestemming kunt geven voor de verstrekking van die gegevens, alle mooie woorden in de terms of service ten spijt. Een dienstverlener mag er dus ook niet vanuit gaan dat jij toestemming hebt gehaald bij alle mensen in je adresboek. Dat is dus een probleem.

Er is ook geen echte noodzaak om die gegevens te verstrekken voor het gebruik van die dienst. Je kunt zelf prima mensen toevoegen of buiten het systeem om ze benaderen en hun contactgegevens bij de dienst verkrijgen (of de jouwe geven). Dan is er voor juristen nog één optie, en dat is het legitiem belang: het is op zich handig om in een keer al je vrienden (contacten) gevonden te hebben. Dat biedt de basis voor een beroep op het gerechtvaardigd belang (artikel 6 lid 1 sub f AVG), maar je moet dan vervolgens een privacy-afweging maken: hoe erg is het voor die mensen om zo in het systeem te komen, en wat kan ik doen om dat nadeel te verminderen tot vrij dicht bij nul?

Voor mensen die ook de dienst gebruiken is dat vrij makkelijk, zij zitten er al en willen dus kennelijk benaderd worden. Maar de mensen die niet op (in dit geval) WhatsApp willen, die willen waarschijnlijk ook niet bij WhatsApp bekend staan als een mogelijk contact. (Ik herinner me menig dienst die je dan ging mailen “Je vrienden missen je op XYZ.example, word je ook lid”, nee dacht het niet.) Alleen weet jij op voorhand niet welke mensen er al op die dienst zitten, dat is immers het hele punt van je adresboek delen.

Gelukkig is er een oplossing, en nog goedgekeurd door onze eigen Autoriteit Persoonsgegevens ook. De app leest je adresboek uit en stuurt een hash van alle contactgegevens naar de dienst. Die kan dat vergelijken met het gebruikersbestand. Wie gebruiker is, geeft een match op de hash. En wie geen gebruiker is, blijft zo anoniem want de hash is dan niet te herleiden tot zijn telefoonnummer (of mailadres, bij andere diensten). Met die constructie is het dus legaal om je adresboek te uploaden. Het enige is: je moet wel vooraf weten dat dit zo werkt, en daar zijn de meeste diensten nogal kortaf over.

In theorie kun je, zeker bij telefoonnummers, een set rainbow tables uitrekenen waarmee de hashes terug te herleiden zijn. Er zijn in Nederland bijvoorbeeld maar zestig miljoen 06-nummers* en dat is een triviale set om alle hashes van uit te rekenen. Maar een bedrijf dat zegt “bij ons kun je veilig je adresboek uploaden want wij matchen alleen gehashed” en dat vervolgens toch de nummers gaat gebruiken, is natuurlijk keihard in overtreding.

Arnoud * Ik weet dat er acht cijfers na 06 komen, dus in theorie 100 miljoen nummers, maar diverse ranges zoals 06-0 en 06-9 en ik meen ook de range 06-11 worden niet uitgegeven. Zie deze bron voor alle beschikbare nummers.