Toon items op tag: Cybersecurity

Niet een pc, laptop of tablet maar een auto is de meest krachtige en waardevolle computer die veel mensen in hun bezit hebben. De geavanceerde software en elektronica waar moderne auto’s mee zijn uitgerust vergemakkelijken het rijden, wijzen via navigatie de weg en helpen bij het inparkeren. Vandaag de dag is een nieuw voertuig al gauw voorzien van honderd miljoen regels aan programmeertaal.

Het gebruik van computers in auto’s is niets nieuws. De eerste geautomatiseerde systemen in voertuigen verschenen al in 1969. De mogelijkheid om de technische staat van een voertuig af te lezen via ‘on-board diagnostics’ (OBD) werd in de jaren ’80 geïntroduceerd en in de jaren ’90 gestandaardiseerd.

Inmiddels zijn we decennia verder en lijken auto’s met name onderhuids nog maar weinig op hun voorgangers. Nieuwe exemplaren zijn vaak elektrisch en beschikken over allerlei rijhulpsystemen (Advanced Driver-Assistance Systems), waarvan er om veiligheidsredenen inmiddels een flink aantal door de EU verplicht is gesteld. Denk aan noodremsystemen, rijbaanassistentie en automatische snelheidsbeperking.

Autotechniek schrijdt logischerwijs voort, maar er is één ontwikkeling in het bijzonder die ten aanzien van autogebruik en mobiliteit zorgt voor radicale verandering: verbinding met het internet. Alle modellen die nu worden gefabriceerd, zijn voorzien van een simkaart en staan te boek als ‘connected’. Het aantal ‘connected cars’ groeit gestaag: in de meeste (Westerse) landen zullen ze binnen enkele jaren in de meerderheid zijn. Dat levert een schat aan nieuwe mogelijkheden op.

Als het aan fabrikanten en overheden ligt worden voertuigen een integraal onderdeel van het Internet of Things. Binnen dat internet der dingen, dat volop in ontwikkeling is, wisselt een oneindig aantal objecten, apparaten en systemen gegevens met elkaar uit. Connected cars staan in verbinding met elkaar (Vehicle-to-Vehicle, V2V), hier en daar al met infrastructuur zoals stoplichten (Vehicle-to-Infrastructure, V2I) en op den duur, zo is de bedoeling, al het andere waarmee een connectie wenselijk of noodzakelijk is (Vehicle-to-Everything, V2X). Dat kunnen ook de smartphones of smartwatches van voetgangers zijn (Vehicle-to-Pedestrians, V2P).

Dergelijke vormen van communicatie moeten van steden slim-opererende omgevingen maken (smart cities). Connected cars moeten daarnaast zorgen voor meer verkeersveiligheid, efficiëntere routes, minder files, zuiniger rijden en trivialer zaken zoals het makkelijker kunnen vinden van een parkeerplaats. Comfort, gebruiksgemak en efficiëntie voeren de boventoon, maar voor de automobilist is er ook een keerzijde.  

Grote hoeveelheden data die moderne auto’s genereren (tot wel 25Gb per uur) worden regelrecht of via een tussenpartij teruggestuurd naar de fabrikant, zij het soms met enige vertraging. Connected cars, ook wel smart cars genoemd, staan namelijk eerst en vooral in contact met wat vaak wordt aangeduid als de Original Equipment Manufacturers (‘OEMs’). Dat gebeurt met het oog op het monitoren van prestaties, (voorspelbaar) onderhoud, software-updates (steeds vaker over the air) en algehele productverbetering.

Het gaat echter niet alleen om technische data zoals oliepeil, motortemperatuur, brandstofverbruik, en kilometerstand, óók persoonsgegevens (personally identifiable information, PII) worden verzameld. In veel gevallen is dat niet zozeer uit noodzaak, als wel om commerciële redenen. Lang niet iedere automobilist is hiervan op de hoogte. De door autofabrikanten ontwikkelde telefoonapps om op de hoogte te blijven van de algehele status van een auto, blijken eveneens meer persoonlijke data te verzamelen dan nodig. Daarmee is de auto het zoveelste instrument geworden dat de privacy van honderden miljoenen mensen onder druk zet. De beeldspraak is inmiddels wat afgezaagd, maar de nieuwste auto’s kan je met recht smartphones op wielen noemen. 

Voorkeurinstellingen, rijgedrag, routes, GPS-locaties, bestemmingen, tijdstippen, camerabeelden van binnen en buiten de auto, allerlei gevoelige informatie uit je telefoon die is aangesloten op de boordcomputer evenals bijvoorbeeld gezondheids- en biometrische gegevens kunnen immers allemaal worden bijgehouden en verzameld.

Dergelijke informatie is waardevol en daarom gewild. In algemene zin geldt: hoe meer relevante voertuigdata, hoe groter winsten van fabrikanten in potentie kunnen uitvallen. Consultancybedrijf Capgemini schat dat de markt van voertuigdata in 2030 wereldwijd tot wel 800 miljard dollar waard kan zijn. Naar verwachting levert de vergaarde data over enkele jaren meer op dan regulier onderhoud. Het zijn echter niet alleen de automerken die op voertuigdata azen.

De fabrikanten worden omringd door een web van toeleveranciers en bedrijven gespecialiseerd in software, infotainment, telematics, telecommunicatie en dataverwerking en -analyse. Ook importeurs, dealers, secundaire marktpartijen zoals garagehouders (de aftermarket), verhuurbedrijven en bijvoorbeeld verzekeraars maken onderdeel uit van dit ecosysteem. Deze partijen werken samen, zijn van elkaar afhankelijk maar zijn met tegengestelde belangen soms ook met elkaar in concurrentie. Gemene deler is dat iedereen een graantje wil meepikken van de lucratieve (persoons)gegevens die voertuigen genereren.

Privacy First start onderzoek

Privacy First wil graag meer inzicht krijgen in de werking van en de machtsverhoudingen binnen dit ecosysteem, en meer aandacht vestigen op de grootschalige datavergaring door de auto-industrie en de privacy-aspecten die daarmee gepaard gaan. Daarom duiken wij de komende periode in dit complexe onderwerp.

Aan de hand van artikelen en interviews met experts willen we het thema vanuit verschillende invalshoeken verder uitdiepen. Zo komt er bij connected cars veel technologie om de hoek kijken, zitten er juridische haken en ogen aan situaties die eerder niet voorkwamen en zijn bepaalde diensten van derde partijen mee-geëvolueerd met de innovaties binnen de automotivesector.

Denk bijvoorbeeld aan verzekeraars die digitaal meekijken in de auto in ruil voor korting op de premie. Dergelijke rijverzekeringen zijn al jaren gemeengoed, ook in Nederland. Meest opvallende voorbeeld hier is de autoverzekering van de ANWB. Waar de ene tak van deze organisatie het principe van my car, my data propageert en autobezitters op het hart drukt zoveel mogelijk de regie te voeren over eigen voertuigdata, houdt de afdeling die zich bezighoudt met verzekeringen het rijgedrag van automobilisten met de Veilig Rijden autoverzekering nauwlettend in de gaten.

Ondertussen zijn de traditionele rollen van fabrikant en autobezitters aan het verschuiven. Binnen de auto-industrie worden voertuigen namelijk allang niet meer gezien enkel als vervoersmiddel waarmee je van A naar B kan reizen. Het zijn (hele grote) gadgets geworden waarbij inmiddels net zozeer wordt gestunt met software als met pk’s. Juist omdat auto’s verbonden zijn met het internet, worden ze tegenwoordig bij uitstek geschikt geacht om allerlei abonnementen, diensten en technische features mee aan de man te brengen. Op hun beurt worden autobezitters steeds meer benaderd als afnemers van informatie en vermaak. De één zal het prettiger vinden dan de ander om ook ná de aanschaf van een auto in de rol van consument te worden geduwd.

In dit opzicht kun je je overigens afvragen of vraag leidt tot aanbod, of aanbod leidt tot vraag. Wie zat er in 1995 verlegen om een iPhone? Zouden er in 2007 al automobilisten zijn geweest die stonden te springen om een verwarmd stuur of de mogelijkheid je boodschappenlijstje tevoorschijn te toveren op het dashboard?    

Connected cars; een hot topic

Uit de vele links in dit artikel blijkt wel dat Privacy First geen onontgonnen terrein betreedt. Connected cars staan al geruime tijd volop in de belangstelling. In het afgelopen decennium hebben tal van wetenschappers, commerciële en minder commerciële onderzoekbureaus, accountantskantoren, ngo’s, autoriteiten persoonsgegevens, consumentenbonden en overheidsinstellingen in binnen- en buitenland artikelen en rapporten over het thema gepubliceerd. Er zijn campagnes gevoerd om de bewustwording omtrent de privacy-gevaren van connected cars te vergroten en vanzelfsprekend is over alle ontwikkelingen ook veel in de media verschenen. 

In Nederland zijn onder meer Trouw (Slimme auto’s nemen ons leven over met de data die ze verzamelen), De Groene Amsterdammer/Investico (De auto, een datavergaarbak), FD (Stortvloed aan data van automobilist naar fabrikant en derde partijen) en het online techplatform Tweakers (De auto als gegevensverzamelaar) in het onderwerp gedoken.

Het nieuwsitem Carmakers are collecting data and cashing in – and most drivers have no clue van CBS en de artikelen Connected Cars Are Just As Revolutionary As Electric Vehicles van Forbes en Who Is Collecting Data from Your Car? van The Markup zijn slechts enkele in het oog springende voorbeelden van mediaberichtgeving uit het buitenland, in dit geval de VS.

Privacy blijft kind van de rekening

Met de komst van de Algemene Verordening Gegevensbescherming (AVG) staan autorijdende consumenten wat sterker in hun schoenen. Het uit de AVG voortgekomen Europees Comité voor gegevensbescherming heeft specifiek in het kader van verbonden voertuigen gezorgd voor uitgebreide richtsnoeren ten aanzien van de verwerking van persoonsgegevens. Die richtsnoeren vallen uit in het voordeel van de automobilist.

Toch concludeert Privacy First op basis van een globale analyse van een grote hoeveelheid rapporten, media-artikelen, lezingen en discussies over connected cars, dat er in bepaalde opzichten de afgelopen – plusminus – tien jaar maar weinig lijkt te zijn veranderd. De privacyrisico’s waarvoor rond 2012 werd gewaarschuwd, zijn er nu nog steeds, terwijl het bewustzijn hieromtrent niet significant lijkt te zijn toegenomen. Bovendien is het nog altijd in hoge mate aan automobilisten zelf om ervoor te zorgen dat er zorgvuldig met hun data wordt omgesprongen.  

De ellenlange privacyverklaringen waarmee zij bij het kopen van een auto haast altijd met een gedachteloze handtekening akkoord gaan, zijn voor de meeste mensen even juridisch als onbegrijpelijk. Gezien de complexiteit van dergelijke verklaringen kan van consumenten ook niet redelijkerwijs worden verwacht dat ze die zullen begrijpen of ook maar lezen. Laat staan dat ze in staat zullen zijn om de verklaringen van verschillende merken met elkaar te vergelijken.  

Daarnaast blijft de vraag in welke mate fabrikanten hun klanten daadwerkelijk de mogelijkheid bieden om niet te worden gevolgd (opt out). En als je daar al voor kan kiezen, in hoeverre is dat dan van (negatieve) invloed op het functioneren van de auto? Tesla-rijders die geen locatiegegevens willen delen krijgen de waarschuwing dat dat kan resulteren in ernstige schade aan de auto. Dat heeft toch alle schijn van een mes-op-de-keel tactiek.  

Ja, er is voor automobilisten veel om rekening mee te houden. Wat gebeurt er bijvoorbeeld met je gegevens als er sprake is van meerdere gebruikers, zoals bij een deel- of huurauto? Je doet er goed aan die te wissen aan het eind van een rit. Eigenaren die hun voiture van de hand doen kunnen de boordcomputer maar beter resetten naar fabrieksinstellingen. Doe je dat niet, dan kan het zomaar zijn dat je maanden later nog steeds toegang hebt tot een auto die inmiddels in het bezit is van een ander.

Zo lek als een mandje

Nog niet aan de orde gekomen maar van groot belang is de cybersecurity. Er bestaat immers geen privacy zonder beveiliging. En ieder privacybeleid is slechts zo sterk als het beveiligingssysteem dat er achter zit. Ook op dit vlak valt door de jaren heen een zorgwekkende constante te ontwaren: steeds opnieuw komt aan het licht dat autofabrikanten (en soms aanverwante partijen) de beveiliging van hun auto’s niet op orde hebben.

Dit beeld werd vorige week nog eens spectaculair bevestigd toen Amerikaanse onderzoekers aantoonden dat de beveiliging van zowel ‘gewone’ als luxe auto’s (van Kia’s tot Ferrari’s) schromelijk tekortschiet. Niet alleen blijken de persoonlijke accounts van autobezitters in te zien, te bewerken en zelfs te vervangen, ook de algehele besturing van verschillende modellen kan op tal van manieren worden gehackt en dus overgenomen. Onder meer door de motor te starten of juist uit te zetten. Zowel de privacy als de fysieke veiligheid van bestuurders en passagiers is kortom in gevaar.  

Het is het meest recente voorbeeld in een lange lijst van goedaardige (white hat) autohacks. In 2010 – de begindagen van connected cars – toonden wetenschappers al aan wat er op dit vlak zoal mogelijk is. In 2015 deed een journalist van Wired verslag van hoe twee mannen gewapend met een laptop zijn Jeep overnamen terwijl hij alleen op de snelweg reed. Het werd de meest besproken (vooraf afgestemde) computerkraak van een auto tot nu toe.

Onderzoekers aan de TU Delft en twee mensen van de politie waarschuwen in een gezamenlijk artikel dat er tussen de veiligheid (safety) en de beveiliging (security) van auto’s een fundamentele kloof bestaat. ‘‘De investeringen die de auto-industrie doet op het vlak van veiligheid [zoals crashtests] staan in schril contrast met de investeringen in beveiliging van vertrouwelijkheid, integriteit en beschikbaarheid van de informatiestromen in de auto. Men voegt allerhande comfort toe, maar investeert onvoldoende in de beveiliging van dat comfort en evenmin in de beveiliging van de internetverbinding van de auto.’’

Voor zover bekend hebben criminelen of anderen met kwade intenties deze kwetsbaarheden in voertuigen tot dusverre nauwelijks geëxploiteerd. Dat is opvallend. Maar hoe meer er van digitale technologie gebruik wordt gemaakt, hoe meer er valt te hacken, en dat is niet per se een geruststellende gedachte. Inmiddels moeten auto’s die nu van de band rollen voldoen aan eisen op het gebied van cybersecurity om te worden goedgekeurd. Het zal de komende tijd interessant zijn om te zien of de beveiliging als gevolg hiervan daadwerkelijk wordt opgeschroefd.  

Mogelijk zet het fabrikanten er ook toe aan af te rekenen met een ander hardnekkig beveiligingsprobleem waar autobezitters de dupe van kunnen worden. ‘Keyless entry’, het systeem waarmee auto’s zonder het gebruik van sleutels op afstand kunnen worden ontgrendeld, blijkt in veel gevallen eveneens zo lek als een mandje. Voor enigszins gewiekste dieven is dit systeem bij veel auto’s een koud kunstje om te kraken, blijkt uit herhaaldelijk onderzoek van ADAC, de Duitse ANWB. En eenmaal open is een auto zo gestolen.

Van connected naar self-driving

We kunnen er niet omheen, dus tenslotte werpen we nog een korte blik op die andere radicale ontwikkeling binnen de auto-industrie. De connected cars van vandaag zijn immers niet het eindstation, maar de opmaat naar de zelfrijdende auto’s van morgen. Self-driving cars en connected cars worden vaak in één adem genoemd en zijn niet los van elkaar te zien. Althans, waar de huidige connected cars slechts ten dele zelfrijdend zijn, zullen de volledig zelfrijdende auto’s van de toekomst per definitie verbonden zijn met het internet. Zonder internet komen ze niet van hun plaats.

Er wordt onderscheid gemaakt tussen zes niveaus van zelfstandigheid van auto’s:

•  Niveau 0 – No automation: Besturing volledig in handen van automobilist.

•  Niveau 1 – Hands on/shared control: Systemen als cruise control, traction control aan boord.

•  Niveau 2 – Hands off (vanaf dit niveau is sprake van connected cars): eCall (april 2018), camera’s die helpen bij het inparkeren, navigatie, rijbaanassistentie en tal van andere vormen van infotainment. 

•  Niveau 3 – Eyes off: Auto rijdt in hoge mate zelfstandig, automobilist kan enige tijd controle uit handen geven.

•  Niveau 4 – Mind off: Auto kan zelfstandig van A naar B rijden, maar deze zelfstandigheid kent nog geografische beperkingen en de automobilist kan de besturing overnemen.

•  Niveau 5 – Steering wheel optional: De auto is volledig zelfstandig, een bestuurder is niet meer nodig.

De meeste (relatief) nieuwe auto’s beschikken over toepassingen die behoren bij niveau 2. Sommige merken hikken tegen niveau 3 aan, waaronder Nissan, Volvo en Tesla. Enkele Mercedes-Benz modellen zijn al uitgerust met niveau 3-systemen. Met niveau 4-auto’s worden al enige tijd testen op de openbare weg uitgevoerd. Toch verloopt de ontwikkeling van zelfrijdende auto’s al met al een stuk minder voorspoedig dan aanvankelijk voorspeld door onder meer Tesla-baas Elon Musk. Die had gedacht dat zijn auto’s in 2017 al volledig autonoom op de openbare weg zouden rondrijden. Dat dit jaren later nog steeds niet het geval is, heeft Tesla-rijders doen besluiten een schadeclaim in te dienen.

Er is één bedrijf – géén autofabrikant – dat op dit vlak flink aan de weg timmert. Het Amerikaanse Comma.ai wil de ontwikkeling van autonome auto’s versnellen. Met de aanschaf van Comma 3 (hardware) en het installeren van OpenPilot (open source software) zijn bezitters van meer dan 200 verschillende modellen van veel verschillende automerken in staat om de besturing van hun auto voor langere tijd uit handen te geven. De software wordt voortdurend verbeterd aan de hand van kunstmatige intelligentie, machine learning en de technische input van gebruikers.

Dit systeem werkt opmerkelijk goed, maar de RDW – de overheidsinstantie die in Nederland voertuigen goedkeurt en rijbewijzen en kentekens uitgeeft – staat gebruik van OpenPilot zonder goedkeuring vooraf niet toe. Overigens ontbreekt het vooralsnog bijna overal aan specifieke wetgeving omtrent zelfrijdende auto’s, wat hun introductie verder bemoeilijkt.

Hoe interessant ook, de capaciteit van auto’s om autonoom te opereren is voor Privacy First op zichzelf niet het meest relevant omdat de privacy van automobilisten er niet mee in het geding is. Aan auto’s zonder bestuurder kleven veeleer uiteenlopende ethische vraagstukken.

Wij houden het hoofdzakelijk bij de vraagstukken die worden opgeworpen door connected cars. Daarover zullen we publiceren op een speciale pagina van onze website, die zeer binnenkort volledig wordt vernieuwd. Houd privacyfirst.nl in de gaten!

"Bij uitkeringsinstantie UWV zijn illegaal zo’n 117.000 cv’s gedownload. Dat gebeurde tussen 16 en 30 april vanuit de website werk.nl, meldt minister Wouter Koolmees (Sociale Zaken en Werkgelegenheid). De gedetailleerde informatie is mogelijk in criminele handen gekomen.

De curricula vitae zijn met een account van één werkgever gedownload. Op 30 april werd dit ontdekt en is het account geblokkeerd. De werkgever heeft verklaard niets van de actie te weten. Zijn account is vermoedelijk misbruikt, aldus de minister.

Het Nationaal Cyber Security Centrum (NCSC) is op de hoogte gesteld, net als de Autoriteit Persoonsgegevens. Ook is aangifte bij de politie gedaan. De betrokkenen zijn door het UWV op de hoogte gesteld. Zij hebben het advies gekregen alert te zijn op mogelijke spam en phishingberichten.

Gedetailleerde informatie

Een cv kan van grote waarde zijn voor criminelen, omdat er veel gedetailleerde informatie in te vinden is. Hiermee kan iemand doelwit worden van internetcriminaliteit. Het UWV onderzoekt de mogelijke gevolgen en bekijkt of er verdere herstel- of beveiligingsmaatregelen nodig zijn. De systemen worden extra in de gaten gehouden.
(...)

Schandalig

Vincent Böhre van de Stichting Privacy First noemt het ‘schandalig’ dat er zoveel cv’s illegaal zijn gedownload. ,,Het gaat immers om zeer persoonlijke informatie’, zegt Böhre. ,,Dit is een massaal lek dat doet vermoeden dat het UWV zijn beveiliging niet op orde heeft. Als dat inderdaad het geval is, zou de Autoriteit Persoonsgegevens het UWV een boete kunnen geven.’'

Böhre zegt dat de persoonlijke gegevens op cv’s misbruikt kunnen worden voor het plegen van identiteitsfraude, zeker als daarbij pasfoto’s en burgerservicenummers staan."

Bron: https://www.ad.nl/binnenland/circa-117-000-gelekte-cv-s-van-uwv-mogelijk-in-handen-criminelen~aec97d70/, 3 mei 2019 (via ANP). Tevens gepubliceerd bij o.a. Parool , Dagblad van het Noorden, BN/DeStem, Reformatorisch Dagblad, AVROTROS Opgelicht en AG Connect.

Volgende week stemt de Eerste Kamer over een wet die de politie de bevoegdheid geeft om iedere computer of smartphone te kunnen hacken. In dit verband verzond Privacy First vandaag onderstaande oproep aan alle relevante Kamerleden:

Geachte Kamerleden,

Op dinsdag 26 juni as. stemt u over het controversiële wetsvoorstel Computercriminaliteit III, dat de politie de bevoegdheid geeft om vrijwel ieder apparaat te kunnen hacken. Zoals reeds door Privacy First aangegeven bij de parlementaire expert-meeting op 20 juni 2017 is bij dit wetsvoorstel echter nooit sprake geweest van een grondige en onafhankelijke Privacy Impact Assessment. Bij het wetsvoorstel zijn bovendien de vereiste maatschappelijke noodzaak en proportionaliteit tot op heden nooit hard aangetoond. In de optiek van Privacy First lijkt het wetsvoorstel vooral gedreven door technologisch determinisme: alles wat technisch kan, wordt wettelijk mogelijk gemaakt. Van enige wettelijke inperking in technologische zin is bewust geen sprake: de werking van het wetsvoorstel zal zich uitstrekken tot vrijwel alles wat met het internet in verbinding staat. In de toekomst dus vrijwel de gehele maatschappij, waaronder het Internet of Things. In politiekringen wil men zelfs rijdende auto's kunnen hacken en stilzetten, met alle gevaren van dien voor de verkeersveiligheid. De misdrijven waarbij dit wetsvoorstel kan worden ingezet, kunnen bovendien simpelweg door de Minister worden uitgebreid bij Algemene Maatregel van Bestuur. Dat is geen privacy by design, dat is function creep (doelverschuiving) by design. Dit staat op gespannen voet met het grondwettelijke vereiste in artikel 10 Grondwet dat iedere inbreuk op de persoonlijke levenssfeer gebaseerd dient te zijn op een wet in formele zin, met parlementaire goedkeuring vooraf. Privacy First verzoekt uw Kamer dan ook om dit wetsvoorstel te verwerpen, danwel tenminste paal en perk aan het huidige wetsvoorstel te stellen door de moties van de Kamerleden Bredenoord (over parlementaire controle) en Strik (over onafhankelijke toetsing) aan te nemen.

Hoogachtend,

Stichting Privacy First

Lees HIER de brief die Privacy First eerder over dit wetsvoorstel aan de Tweede Kamer verstuurde.

Update 26 juni 2018: vandaag heeft de Eerste Kamer het wetsvoorstel helaas aangenomen. VVD, PvdA, CDA, ChristenUnie, SGP, OSF en D66 stemden vóór. GroenLinks, SP, 50Plus, PvdD en PVV stemden tegen. De motie-Bredenoord (D66) werd unaniem aangenomen. De motie-Strik (GroenLinks) werd helaas verworpen. De wet zal waarschijnlijk op 1 januari 2019 in werking treden.

15 maart 2018: het Privacy First Sleepwet Debat

In het kader van het aanstaande referendum nodigt Stichting Privacy First u graag uit voor een kritisch publieksdebat over de privacy-aspecten rond de nieuwe Wet op de inlichtingen- en veiligheidsdiensten, de zogeheten ‘Sleepwet’. Dit debat zal plaatsvinden op donderdagavond 15 maart as. in het Parool Theater in Amsterdam (tegenover onze kantoorlocatie). Voor deze avond hebben wij drie sprekers uitgenodigd: Dick Schoof (Nationaal Coördinator Terrorismebestrijding en Veiligheid), Nine de Vries (Amnesty International Nederland) en Otto Volgenant (Boekx Advocaten). De moderator van de avond is Bart de Koning (onderzoeksjournalist op het gebied van privacy en veiligheid). Tijdens het debat is er veel ruimte voor discussie tussen de sprekers onderling en met het publiek, gevolgd door een borrel waar wij samen kunnen proosten op een succesvol referendum!

Iedereen is welkom, toegang is gratis. Aanmelden kan via Dit e-mailadres wordt beveiligd tegen spambots. JavaScript dient ingeschakeld te zijn om het te bekijken., maar is niet verplicht.

Datum: donderdag 15 maart 2018, 19.30-21.30u (inloop vanaf 19.00u), borrel na afloop.
Locatie: Parool Theater, Wibautstraat 131D te Amsterdam (naast The Student Hotel).
Een routebeschrijving vindt u hier.

Klik HIER voor de uitnodiging zoals Privacy First die vandaag aan haar netwerk verzond (pdf). Wilt u voortaan directe uitnodigingen voor onze evenementen ontvangen? Mail ons! Dan voegen wij u toe aan onze mailinglist.

Update 16 maart 2018: bekijk hieronder de volledige video van het publieksdebat!  

Morgenmiddag debatteert de Tweede Kamer met staatssecretaris Dijkhoff (Veiligheid en Justitie) over het wetsvoorstel Computercriminaliteit III. Onder dit wetsvoorstel krijgen Nederlandse opsporingsdiensten (waaronder de politie) de bevoegdheid om computersystemen van verdachten op afstand te hacken. Vandaag verstuurde Privacy First hierover onderstaande brief aan Tweede Kamerleden. Klik HIER voor de eerdere brief over dit wetsvoorstel die Privacy First reeds begin dit jaar aan de Tweede Kamer verzond.

Geachte Kamerleden,

Morgen debatteert u met staatssecretaris Dijkhoff over diens controversiële wetsvoorstel Computercriminaliteit III. Voorafgaand aan de kritische hoorzitting over dit wetsvoorstel op 11 februari 2016 ontving u van Privacy First een brief met ons commentaar op dit wetsvoorstel.[1] De inhoud van deze brief geldt immer onverkort. Naar aanleiding van de recente Nota[2] van de staatssecretaris bij het wetsvoorstel zenden wij u hierbij ons aanvullend commentaar.

Noodzaak en proportionaliteit immer onaangetoond

In zijn poging tot beargumentering van de vereiste noodzaak en proportionaliteit van het wetsvoorstel blijft de staatssecretaris opnieuw hangen in een vaag verhaal dat riekt naar technologisch determinisme. De staatssecretaris laat zich immers vooral leiden door technologische mogelijkheden i.p.v. de klassieke verworvenheden van onze vrije democratische rechtsstaat. In de huidige fase van de parlementaire behandeling zijn de noodzaak en proportionaliteit van het wetsvoorstel door de staatssecretaris immer slechts gesteld, maar nimmer aangetoond. Iedere kwantificering ontbreekt nog steeds of duidt op de introductie van volstrekt disproportionele bevoegdheden. Het wetsvoorstel dient daarom te worden verworpen wegens strijd met de internationaalrechtelijk vereiste noodzaak en proportionaliteit onder artikel 8 van het Europees Verdrag voor de Rechten van de Mens (EVRM).

Geen misbruik van kwetsbaarheden in software

Mocht uw Kamer onverhoopt besluiten tot goedkeuring van het wetsvoorstel, dan acht Privacy First het onbestaanbaar dat de Nederlandse overheid nieuwe of onbekende kwetsbaarheden in software zou willen gebruiken (en dus misbruiken) om heimelijk toegang tot gegevens te kunnen verkrijgen. Dergelijk beleid brengt de integriteit en veiligheid van de gehele Nederlandse informatiesamenleving actief in gevaar. Privacy First roept uw Kamer hierbij dan ook op om het actuele amendement terzake van D66, GroenLinks en SP[3] unaniem te ondersteunen en er actief op toe te zien dat de Nederlandse overheid geen gebruik zal maken van kwetsbaarheden in software t.b.v. hacking.

Function creep

De bevoegdheden in het wetsvoorstel lijken nu weliswaar primair beperkt tot apparatuur van verdachten van ernstige misdrijven (en dus in principe geen apparatuur van onschuldige burgers met wie verdachten in contact staan). De geschiedenis leert echter dat dit type bevoegdheden in de loop der tijd altijd wordt uitgebreid. Door sluipende doelverschuiving (function creep) zal het dan ook slechts een kwestie van tijd zijn voordat de hack-bevoegdheden in het huidige wetsvoorstel voor de opsporing en vervolging van allerhande strafbare feiten zullen worden ingezet. Het huidige wetsvoorstel biedt hier reeds alle ruimte toe, aangezien de lijst misdrijven waarvoor de nieuwe bevoegdheden zal gelden eenvoudig zal kunnen worden uitgebreid bij Algemene Maatregel van Bestuur i.p.v. bij formele wetswijziging. In die zin is dit wetsvoorstel een typisch voorbeeld van function creep by legal design. De beste manier om deze function creep te voorkomen is door het huidige wetsvoorstel te verwerpen of het amendement terzake van D66[4] unaniem te steunen en wettelijke maatregelen te treffen om iedere vorm van buitenparlementaire function creep in te dammen.

Auto’s hacken en stopzetten

Begin dit jaar veroorzaakte dit wetsvoorstel grote maatschappelijke onrust[5] omdat het alle ruimte laat voor het hacken en stilzetten van auto’s op afstand. In politiekringen wordt deze mogelijkheid actief beoogd, zo weet Privacy First uit betrouwbare bron. De risico’s hiervan voor de verkeersveiligheid (ook van onschuldige inzittenden en omstanders) zijn enorm. Hetzelfde geldt voor het al dan niet opzettelijk hacken van computers in ziekenhuizen, industrie, vitale infrastructuur, pacemakers, medische wearables, etc. Het wetsvoorstel legt in dit opzicht geen enkele beperking op en de staatssecretaris laat deze heikele kwesties vrijwel onbesproken. Het is dan ook aan uw Kamer om alsnog orde op zaken te stellen door dergelijke inzet van hack-bevoegdheden eenvoudigweg te verbieden.

Framing van verdachten

Privacy First is zeer verontrust door de volgende bekentenis van de staatssecretaris:

“In theorie is het mogelijk dat een opsporingsambtenaar gegevens op een apparaat zet die de verdachte niet zelf op het apparaat heeft gezet. Op dit punt wijkt de situatie in de digitale wereld niet af van het analoge domein. Tijdens een huiszoeking kunnen verdovende middelen in een kast worden gelegd en tijdens de doorzoeking van een voertuig kunnen wapens in de kofferbak worden gelegd.”[6]

Hierbij verzoekt Privacy First uw Kamer om ervoor te zorgen dat burgers de best mogelijke wettelijke, organisatorische en technische bescherming tegen dergelijke framing-praktijken zullen krijgen, voorzover dit niet reeds het geval is onder bestaande strafbepalingen, beleid en techniek.

Grondige toetsing door rechter-commissaris

Privacy First verzoekt uw Kamer om er bij de staatssecretaris op aan te dringen dat de voorafgaande machtiging voor de inzet van bevoegdheden door de rechter-commissaris altijd met de grootst mogelijke zorgvuldigheid en grondigheid zal kunnen geschieden. In geen geval mag sprake blijken van oppervlakkige rubber-stamping wegens operationele druk of gebrek aan tijd en kennis bij de rechterlijke macht. De staatssecretaris dient er daartoe zorg voor te dragen dat de rechterlijke macht deze taken altijd naar beste vermogen zal kunnen uitvoeren.

Mogelijke rechtszaak Privacy First

Mocht het huidige wetsvoorstel ongewijzigd worden aangenomen, dan behoudt Privacy First zich het recht voor om dit wetsvoorstel, zodra van kracht, door de rechter te laten toetsen en onrechtmatig te laten verklaren.

Voor nadere informatie of vragen met betrekking tot bovenstaande is Privacy First te allen tijde bereikbaar op telefoonnummer 020-8100279 of per email: Dit e-mailadres wordt beveiligd tegen spambots. JavaScript dient ingeschakeld te zijn om het te bekijken..

Hoogachtend,

Stichting Privacy First

[1] Zie https://www.privacyfirst.nl/aandachtsvelden/online-privacy/item/1025-politie-wil-alle-computers-kunnen-hacken.html.

[2] Nota naar aanleiding van het verslag, Kamerstukken II, 2016-2017, 34372, nr. 6.

[3] Kamerstukken II, 2016-2017, 34372, nr. 11.

[4] Kamerstukken II, 2016-2017, 34372, nr. 9.

[5] Zie bijvoorbeeld 'Vrees voor hacken auto op snelweg', Telegraaf 11 februari 2016, p. 10.

[6] Nota naar aanleiding van het verslag, Kamerstukken II, 2016-2017, 34372, nr. 6, p. 52.

Update 14 december 2016: tijdens het Kamerdebat gisteren (dat tot laat in de avond duurde) passeerden veel van bovenstaande issues op kritische wijze de revue. Klik HIER om het hele debat te bekijken, klik HIER voor het woordelijk verslag en HIER voor de actuele lijst met voorgestelde amendementen. De stemming over het wetsvoorstel staat vooralsnog gepland op dinsdagmiddag 20 december as.

Update 20 december 2016: vandaag heeft de Tweede Kamer het wetsvoorstel helaas in vrijwel ongewijzigde vorm aangenomen. VVD, CDA, PvdA, SGP en ChristenUnie stemden voor. D66, GroenLinks, SP, PvdD en PVV stemden tegen. Klik HIER voor het stemmingsverslag. De amendementen om geen gebruik te maken van kwetsbaarheden in software (nr. 13), om function creep in te dammen (nr. 21), om bepaalde apparatuur uit te sluiten van de werking van het wetsvoorstel (nr. 20) en een motie inzake hack-software (nr. 22) werden helaas allemaal verworpen. Opvallend daarbij was dat PvdA-Kamerlid Oosenbrug enkele keren zelfstandig (en volkomen terecht) vóór privacyvriendelijke wets- en beleidswijzigingen stemde, tégen het standpunt van haar eigen PvdA-fractie in. In de optiek van Privacy First verdient het goede voorbeeld van dit Kamerlid brede navolging. Overigens diende de PvdA-fractie wel een 'compromis-motie' in die in grote meerderheid werd aangenomen:

"De Kamer,
gehoord de beraadslaging,
constaterende dat op grond van het voorliggend wetsvoorstel opsporingsinstanties gebruik mogen maken van kwetsbaarheden in geautomatiseerde werken;
van mening dat de overheid de veiligheid en integriteit van geautomatiseerde werken moet stimuleren, zoals door het bevorderen van responsible disclosure en door het stimuleren van derden om op uitnodiging van soft- of hardwarefabrikanten te zoeken naar kwetsbaarheden;
verzoekt de regering, te bewerkstelligen dat opsporingsinstanties onbekende kwetsbaarheden of software die daarvan gebruikmaakt alleen in het uiterste geval zullen inzetten,
en gaat over tot de orde van de dag."

Het is nu aan de Eerste Kamer om het wetsvoorstel binnenkort alsnog te verwerpen of de Tweede Kamer op bovenstaande punten te corrigeren.

BNR: "De namen van personen in de Panama Papers mogen niet openbaar gemaakt worden. Dat zegt privacy-organisatie Privacy First. Het zou teveel schade aanrichten.

Over een paar weken zet het consortium van onderzoeksjournalisten ICIJ de gegevens online. Daarmee worden honderden belastingontwijkende Nederlanders mogelijk onterecht aan de schandpaal genageld, vreest Privacy First.

Volgens Bas Filippini, voorzitter van Privacy First, heeft een groot deel van de mensen niks illegaals gedaan, maar gaan zij wel veel schade ondervinden als ze zo neergezet worden. Ze worden volgens hem gecriminaliseerd. Schuldig bevonden voordat überhaupt onderzoek gedaan is. "Dat doen we niet eens bij echte criminelen. Terwijl het hier gaat om een industrie die legaal is. "

In de ogen van Filippini is het aan de overheid en justitie om te onderzoeken of de mensen die op de lijst staan te checken, niet aan onderzoeksjournalisten. "Dat mensen deze constructies gebruiken voor witwassen en andere illegale zaken is duidelijk. Maar nu wordt suggestie gemaakt dat mensen die voorkomen in de Panama Papers gebruik maken van een constructie die niet legaal is.""

Bron: http://www.bnr.nl/nieuws/194822-1604/privacy-first-maak-namen-panama-papers-niet-openbaar, 7 april 2016. Audio: klik HIER of beluister hieronder het volledige interview met Privacy First voorzitter Bas Filippini:

"Boordcomputers gemakkelijk te kraken. Tweede Kamer bespreekt wetsvoorstel.

Auto's dreigen speelbal te worden van cybercriminelen en de politie. Dat komt omdat de computersystemen aan boord kinderlijk eenvoudig te kraken zijn. De ANWB en verschillende privacyorganisaties maken zich daar grote zorgen over.

De auto- en privacyorganisaties vrezen dat agenten auto's op de snelweg van afstand kunnen stopzetten, met alle gevaren voor de overige weggebruikers van dien.

Vandaag wordt in de Tweede Kamer gesproken over het wetsvoorstel Computercriminaliteit, waarin is opgenomen dat de politie de mogelijkheid krijgt om vrijwel alle computers die op internet aangesloten zijn, te kunnen hacken. De ANWB vreest dat de politie door het hacken van boordcomputers auto's op afstand staande kan houden.

„Dat kan bijvoorbeeld als alternatief voor het creëren van een filefuik gebeuren", zegt directeur Frits van Bruggen van de ANWB. „De ANWB vindt dit zowel vanuit het oogpunt van verkeersveiligheid als privacybescherming zeer zorgelijk. Daarnaast werkt brede toegankelijkheid van genoemde systemen voertuigcriminaliteit in de hand."

Het ministerie van Veiligheid en Justitie erkent dat navigatiesystemen en boordcomputers gehackt kunnen worden. (...) Hoewel het hacken van auto's voor velen als sciencefiction klinkt, is het dichterbij dan ooit, juist omdat er steeds meer geavanceerde apparatuur in auto's wordt geplaatst. „Technisch is het absoluut mogelijk om een auto tot stilstand te brengen via een hack", zegt privacyonderzoeker Jaap-Henk Hoepman van de Radboud Universiteit. „In Amerika is dat recentelijk al gebeurd."

Volgens deskundigen als Wim van Campen is hacken van auto's bijzonder gemakkelijk, omdat de meeste autofabrikanten geen of nauwelijks aandacht hebben voor de beveiliging van de systemen aan boord. (...)

Privacyorganisaties Bits of Freedom en Privacy First zijn eveneens fel gekant tegen het wetsvoorstel. Volgens de belangenclubs zijn de maatschappelijke noodzaak en proportionaliteit ver te zoeken. „De hackbevoegdheid in het wetsvoorstel beperkt zich immers niet tot apparaten van verdachten, maar ook tot daarmee in verbinding staande apparatuur van onschuldige, nietsvermoedende burgers. De minister sluit in de memorie van toelichting zelfs niet uit dat pacemakers worden gehackt.""

Bron: Telegraaf 11 februari 2016, sectie Binnenland, p. 10. Tevens online beschikbaar, klik HIER.

Vandaag vindt in de Tweede Kamer een belangrijke hoorzitting plaats over het wetsvoorstel Computercriminaliteit III. In dit kader leverde Privacy First gisteren kritische inbreng aan relevante Kamerleden. Enkele passages uit onze brief verschenen vanochtend in De Telegraaf, klik HIER. Hieronder de volledige tekst van onze brief (klik HIER voor de originele versie in pdf):

Geachte leden van de Tweede Kamer,

Morgen vindt een hoorzitting plaats over het wetsvoorstel Computercriminaliteit III. Door dit wetsvoorstel dreigt de overheid zelf de grootste cybercrimineel te worden. Privacy First zet hieronder kort uiteen waarom.

Pacemakers hacken

Onder het wetsvoorstel krijgt de politie de bevoegdheid om vrijwel alle computers die op internet aangesloten zijn te kunnen hacken, inclusief smartphones, televisies, fototoestellen, autonavigatie, boordcomputers, medische systemen, etc. etc. De politie wil zelfs pacemakers kunnen hacken, zo blijkt uit p. 86 van de Memorie van Toelichting bij het wetsvoorstel. Geen enkel apparaat wordt uitgesloten. Enige voorwaarde lijkt slechts te zijn dat het betreffende apparaat in verbinding staat met het internet. Met het 'Internet of Things' in zicht (waarbij vrijwel de hele maatschappij op internet aangesloten kan worden, tot en met sportschoenen en koelkasten aan toe) is deze bevoegdheid ronduit totalitair. Het zal dan ook slechts een kwestie van tijd zijn voordat de hackbevoegdheden in dit wetsvoorstel voor allerlei onvoorziene doelen worden gebruikt en misbruikt. Het huidige wetsvoorstel beperkt dit totaal niet en laat er juist alle ruimte toe. Reeds op basis hiervan dient het wetsvoorstel verworpen te worden.

Disaster by legal design

In politiekringen wordt de doelverschuiving (function creep) die in dit wetsvoorstel ingebakken zit juist beoogd, zo weet Privacy First uit betrouwbare bron. Bijvoorbeeld om auto’s op afstand te kunnen hacken en stilzetten (politiefuik op afstand). Technisch is dit prima mogelijk te maken en het wetsvoorstel verbiedt dit ook niet. De risico’s hiervan voor de verkeersveiligheid (met name ook van onschuldige inzittenden en omstanders) zijn echter enorm. Hetzelfde geldt voor computers in ziekenhuizen, industrie, vitale infrastructuur, etc. Waarom legt het wetsvoorstel in dit opzicht geen enkele beperking op?

Noodzaak ontbreekt

De internationaalrechtelijk vereiste “maatschappelijke noodzaak” en proportionaliteit van dit wetsvoorstel zijn ver te zoeken, zo heeft zelfs het doorgaans coulante College Bescherming Persoonsgegevens (nu Autoriteit Persoonsgegevens) begin 2014 terecht gesteld. Vervolgens lag dit controversiële wetsvoorstel enkele jaren stil, maar lijkt nu alsnog opeens door de Tweede Kamer heen te worden gejaagd. Vanwaar opeens deze haast?

Iedere burger vogelvrij

Door dit wetsvoorstel lijkt ieders computer, tablet, smartphone etc. (zelfs in het buitenland!) vogelvrij te worden verklaard. De hackbevoegdheid in het wetsvoorstel beperkt zich immers niet tot de apparatuur van verdachten, maar ook tot daarmee in verbinding staande apparatuur van onschuldige, nietsvermoedende burgers. Iedere burger als potentieel target van de overheid. Hadden we de laatste jaren nu juist niet geleerd dat dit geen heilzame weg is voor een democratische rechtsstaat?

Kruispunt

Nederland staat momenteel op een kruispunt. Welk voorbeeld willen we voor de rest van de wereld zijn? Ons land heeft alle randvoorwaarden om van Nederland een veilig Privacy Gidsland te kunnen maken. Het huidige wetsvoorstel vormt echter een typische bouwsteen voor een politiestaat, niet voor een democratische, op vrijheid en vertrouwen gebaseerde rechtsstaat. Bij de internetconsultatie van een eerdere versie van dit wetsvoorstel in 2013 heeft Privacy First dit ook al gesteld. Afgezien van de latere schrapping van het decryptiebevel uit het wetsvoorstel is het treurig om te moeten constateren dat er sindsdien weinig veranderd is. Privacy First pleit voor privacy by design, niet alleen middels techniek, maar ook middels privacyvriendelijke wetgeving en beleid. Door dit wetsvoorstel raakt de overheid echter gebaat bij suboptimale, door de overheid te kraken ICT-beveiliging. Daarmee zet de overheid koers richting een maatschappij waarin ieders privacy illusoir wordt.

Privacy Impact Assessment ontbreekt

Nog steeds is er bij dit wetsvoorstel geen sprake van een grondige en onafhankelijke Privacy Impact Assessment (PIA). De bijbehorende “PIA” is niet meer dan een oppervlakkig afvinklijstje en is de term PIA niet waard. Ook de privacyparagraaf in de Memorie van Toelichting is flinterdun en slechts bedoeld om het wetsvoorstel te legitimeren. Gezien de veiligheidsrisico’s van dit wetsvoorstel ligt bovendien een Security Impact Assessment voor de hand. Bij deze stand van zaken kan Privacy First dit wetsvoorstel dan ook überhaupt niet serieus nemen.

Tweede Kamer aan zet

Mocht het huidige wetsvoorstel ongewijzigd beide Kamers passeren, dan zal Privacy First niet aarzelen om het door de rechter onrechtmatig te laten verklaren. Het is nu aan de Tweede Kamer om het niet zover te laten komen.

"Privacywaakhonden en ict'ers verontrust

Een nieuwe conceptwet geeft de politie verregaande bevoegdheden om in computers te kunnen inbreken. Privacywaakhonden en ict-experts vinden die wet veel te ver gaan. ,,De aanslagen in Parijs worden gebruikt om een politiestaat in te voeren."

Vlak voor het weekend begon, gooide de ministerraad er afgelopen vrijdagmiddag nog snel een belangrijk persbericht uit. Ministers Ard van der Steur (Veiligheid en Justitie) en Ronald Plasterk (Binnenlandse Zaken) dienen vier wetsvoorstellen uit het actieprogramma Integrale aanpak Jihadisme in bij de Tweede Kamer. De maatregelen om het Jihadisme te bestrijden, zijn van groot belang, onderstreept de regering.

Onderdeel van die maatregelen is een uitbreiding van de bevoegdheden om onderzoek te doen in computers van criminelen en terroristen. De naam van het wetsvoorstel staat niet vermeld in het persbericht, maar desgevraagd bevestigt het ministerie van Veiligheid en Justitie dat het gaat om de wet Computercriminaliteit III, die al sinds 2013 in de maak is. De omstreden wet kan met steun van VVD en PvdA rekenen op een meerderheid in de Tweede Kamer. Maar die partijen zullen andere partijen nodig hebben om de wet door de Eerste Kamer te loodsen.

Webcams

De conceptwet geeft de politie ongekend veel bevoegdheden. Ze mag stiekem inbreken in computers, data kopiëren, toevoegen en wissen. De politie mag meekijken met webcams, afluisteren via de microfoon van een computer en live meekijken wat iemand typt. Er mag zelfs worden ingebroken bij onschuldige derden om bij een verdachte uit te komen. Privacyorganisatie Bits of Freedom spreekt van de meest verregaande wet ter wereld op dit gebied.

De conceptwet heeft dan ook tientallen bezorgde reacties opgeleverd van hoogleraren, ict'ers en privacywatchers. En ook nu klinkt kritiek. ,,Een overheid die mag inbreken in systemen en computers om zo aan informatie te komen, begeeft zich op glad ijs," meent voorzitter Lotte de Bruijn van branchevereniging Nederland ICT. ,,Stel dat de politie het recht zou hebben om zich zonder toestemming toegang te verschaffen tot woningen, zouden we dat accepteren? Ook al zouden ze daarmee verdachte buren kunnen afluisteren? Ik denk het niet."

Anderen vinden het bezwaarlijk dat de overheid baat heeft bij softwarelekken, om zo andermans computer binnen te komen. ,,Als de overheid te weten komt dat in veelgebruikte software een lek zit, kan ze dat geheim houden zodat de politie dat lek eerst mag misbruiken. Daarmee maakt de minister de hele maatschappij onveiliger, in plaats van veiliger," zegt Rejo Zenger van Bits of Freedom.

Ongepast

Zenger vindt het niet chic dat de wet nu in het kader van terrorismebestrijding aan de Kamer wordt gepresenteerd. ,,Het is absoluut ongepast dat de minister van Veiligheid en Justitie de aanslagen in Parijs gebruikt voor het doordrukken van zijn wetsvoorstel. De minister wil al lang de bevoegdheden van de politie uitbreiden. Dat verdient een grondig debat in het parlement, zonder dat dit heel erg wordt gestuurd door de gebeurtenissen in Parijs." Voorzitter Bas Filippini van Privacy First noemt de maatregelen zelfs het doodknuppelen van de rechtsstaat. ,,Na de aanslagen in Parijs wordt jacht gemaakt op snotneuzen van tussen de 20 en 30 jaar. In plaats van dat politie- en inlichtingendiensten zich schamen dat ze die mannen niet beter in beeld hadden, stelt Nederland voor om 16 miljoen burgers onder de knoet te houden. Een politiestaat, daar moeten we niet naartoe willen.""

Bron: Algemeen Dagblad 30 november 2015, p. 5. Tevens gepubliceerd in AD/Rotterdams Dagblad, AD/Haagsche Courant, AD/Utrechts Nieuwsblad, AD/Amersfoortse Courant, AD/De Dordtenaar, AD/Groene Hart, AD/Rivierenland, BN/De Stem, Dagblad Tubantia/Twentsche Courant, De Stentor/Gelders Dagblad, De Gelderlander, Eindhovens Dagblad, Provinciale Zeeuwse Courant en o.a. online op http://www.ad.nl/ad/nl/1012/Nederland/article/detail/4198274/2015/11/30/Nieuwe-wet-opent-alle-computers-voor-politie.dhtml.

Lees HIER de eerdere kritiek van Privacy First op dit draconische wetsvoorstel.

Eind deze zomer organiseren onze collega's van Bits of Freedom opnieuw de jaarlijkse Big Brother Awards. Hieronder onze nominaties voor de grootste Nederlandse privacyschendingen van het afgelopen jaar:

1. ANPR-plannen van minister Opstelten
   Als het aan minister Opstelten ligt worden de reisbewegingen van iedere automobilist in Nederland voortaan middels automatische nummerplaatherkenning (ANPR) 4 weken opgeslagen in een politiedatabank voor opsporing en vervolging van strafbare feiten. In de ogen van Opstelten is iedere automobilist dus een potentiële crimineel. Privacy First acht dit voorstel volstrekt disproportioneel en daarom in strijd met het recht op privacy zoals dat voor iedere burger geldt onder art. 8 EVRM. Mocht het plan van Opstelten door het Nederlandse parlement tot wet verheven worden, dan zal Privacy First de Nederlandse Staat direct voor de rechter dagen wegens onrechtmatige wetgeving in strijd met het recht op privacy; zie http://www.privacyfirst.nl/aandachtsvelden/cameratoezicht/item/615-iedere-automobilist-wordt-potentiele-verdachte.html.
2. Hackvoorstel van minister Opstelten
   Een tweede onzalig plan van minister Opstelten is om de politie de bevoegdheid te geven om computers van burgers te kunnen hacken en burgers te kunnen verplichten om versleutelde bestanden voor de politie te ontsleutelen. Ook dit plan acht Privacy First volstrekt in strijd met het recht op privacy, want niet noodzakelijk en disproportioneel. Daarnaast is het voorstel in strijd met het verbod van zelfincriminatie (nemo tenetur). Het voorstel legt de basis voor toekomstig machtsmisbruik en vormt in de optiek van Privacy First een typische bouwsteen voor een politiestaat i.p.v. een democratische rechtsstaat. Zie voor onze voornaamste bezwaren http://www.privacyfirst.nl/aandachtsvelden/wetgeving/item/659-bezwaren-van-privacy-first-tegen-de-hack-plannen-van-opstelten.html.
3. Kentekenparkeren
   In steeds meer steden (waaronder Amsterdam) geldt sinds kort verplicht kentekenparkeren. Privacy First maakt zich sterk voor het klassieke recht van burgers om vrij en anoniem te kunnen reizen in eigen land. Daaronder valt ook het recht om anoniem te kunnen parkeren. Door kentekenparkeren wordt dit recht met voeten getreden. Bovendien leidt het tot function creep (doelverschuiving) in strijd met het recht op privacy, waaronder het reeds gebleken misbruik van de parkeergegevens van leaserijders door de Belastingdienst; zie http://www.nrc.nl/nieuws/2013/07/29/privacywaakhond-het-servicehuis-parkeren-overtreedt-de-wet/.
4. Trajectcontroles
   Door snelheidsmetingen middels trajectcontroles worden de reisbewegingen van automobilisten op snelwegen continu geregistreerd. Dit vormt een massale inbreuk op het recht op privacy. Voor een dergelijke inbreuk is een specifieke, met waarborgen tegen misbruik omgeven wettelijke grondslag verplicht. Voor trajectcontroles bestaat een dergelijke wettelijke grondslag echter niet. Daarmee vormen trajectcontroles een collectieve schending van het recht op privacy. Bovendien bestaat ook hier het gevaar van function creep (doelverschuiving); dit blijkt reeds uit de huidige plannen van minister Opstelten om alle trajectcontrolecamera’s boven snelwegen binnenkort ook te gaan inzetten voor automatische nummerplaatherkenning (ANPR) ter opsporing en vervolging van een breed scala aan strafbare feiten, de inning van openstaande boetes, belastingschulden etc.
   
5. Drones
   Naast vaste camera’s in woonwijken, winkels, stations, boven snelwegen etc. worden burgers in toenemende mate – en vrijwel ongemerkt – bespied door vliegende camera’s: zogeheten drones. Dit gebeurt zowel door de overheid (met name de politie) als door private partijen, vooralsnog echter zonder afdoende wettelijke regulering. De privacyrisico’s en kansen op ongelukken zijn hierdoor enorm. Privacy First pleit dan ook voor een moratorium (opschorting) op het gebruik van drones totdat er sprake is van degelijke nationale regelgeving. Tevens zouden drones door de overheid slechts in uitzonderlijke gevallen mogen worden ingezet, bijvoorbeeld bij rampenbestrijding of ter opsporing van verdachten van zeer ernstige misdrijven, en slechts indien er geen ander toereikend middel bestaat. Voor private partijen dient een vergunningenstelsel te worden ingevoerd met strikt toezicht en handhaving terzake. Tevens dient iedere drone te worden voorzien van een publiekelijk kenbare transponder.
   
6. Taser-wapens politie
   In september 2012 werd bekend dat minister Opstelten het hele Nederlandse politiekorps met Taser-wapens (stroomstootwapens) wil gaan uitrusten. In de optiek van Privacy First kan het gebruik van Taser-wapens gemakkelijk leiden tot schending van het internationale verbod op foltering (marteling van overheidswege) en het daaraan verwante recht op lichamelijke integriteit (dit laatste recht is onderdeel van het recht op privacy). Taser-wapens verlagen immers de geweldsdrempel en laten nauwelijks uiterlijke sporen achter. Tegelijkertijd kunnen Taser-wapens ernstige fysieke en mentale schade veroorzaken. In combinatie met het huidige gebrek aan wapentraining bij de Nederlandse politie levert dit ernstige risico’s op voor de Nederlandse bevolking. In mei 2013 diende de Nederlandse regering zich over de plannen van Opstelten te verantwoorden bij het VN-Comité tegen Foltering in Genève; zie http://www.privacyfirst.nl/aandachtsvelden/wetgeving/item/650-nederlandse-taser-wapens-op-vn-agenda.html. Desondanks lijken de intenties van Opstelten vooralsnog ongewijzigd…
7. EPD
   In april 2011 werd de invoering van een landelijk Elektronisch Patiëntendossier (EPD) wegens privacybezwaren en veiligheidsrisico’s unaniem verworpen door de Eerste Kamer. Sindsdien wordt via private weg echter alsnog toegewerkt naar nationale invoering van vrijwel precies ditzelfde EPD, met regionale uitwisseling van medische gegevens via een Landelijk Schakelpunt (LSP). Dit leidt per definitie tot function creep by design i.p.v. privacy by design. De digitale 'regionale schotten' in en rond het LSP zullen immers eenvoudig kunnen worden omzeild of verwijderd. Het hele systeem kan daardoor op elk toekomstig moment weer zijn oude, centrale vorm aannemen met alle privacy- en veiligheidsrisico's van dien. Daarnaast is in de huidige opzet sprake van generieke i.p.v. specifieke toestemming van patiënten om hun medische gegevens te delen met zorgverleners (en toekomstige derde partijen). Dit vormt een acute bedreiging voor zowel de medische privacy als het medisch beroepsgeheim.