Toon items op tag: Hacking

Op 1 en 2 juli as. wordt Nederland in Genève kritisch onder de loep genomen door het Mensenrechtencomité van de Verenigde Naties. Dit comité is het VN-orgaan dat toezicht houdt op de naleving van één van de oudste en belangrijkste mensenrechtenverdragen ter wereld: het Internationale Verdrag inzake Burgerrechten en Politieke Rechten (IVBPR of BUPO-verdrag). Periodiek wordt ieder land dat partij is bij dit verdrag door het VN Mensenrechtencomité beoordeeld. Begin volgende week zal de Nederlandse regering zich bij het Comité moeten verantwoorden over diverse actuele privacykwesties die mede door Privacy First zijn geagendeerd.

De laatste Nederlandse sessie bij het VN Mensenrechtencomité dateert uit juli 2009, toen minister van Justitie Ernst Hirsch Ballin zich in Genève moest verantwoorden voor de destijds geplande centrale opslag van ieders vingerafdrukken onder de nieuwe Paspoortwet. Dit kwam de Nederlandse regering destijds op de nodige kritiek van het Comité te staan. Nu, 10 jaar later, is Nederland opnieuw 'aan de beurt'. In dit verband had Privacy First reeds eind 2016 een kritische rapportage (pdf) over Nederland bij het Comité ingediend en dit onlangs met een nieuwe rapportage (pdf) aangevuld. Kort samengevat heeft Privacy First bij het Comité onder meer de volgende actuele kwesties aangekaart:

- beperkte ontvankelijkheid van belangenorganisaties bij collectieve rechtszaken

- grondwettelijk toetsingsverbod

- profiling

- Automatische Nummerplaat Herkenning (ANPR)

- grenscontrole-camerasysteem @MIGO-BORAS

- OV-chipkaart

- digitale zorgcommunicatie (EPD)

- mogelijke herinvoering van telecom-bewaarplicht

- nieuwe wet op de inlichtingen- en veiligheidsdiensten ('Sleepwet')

- PSD2

- Passenger Name Records (PNR)

- afschaffing raadgevend referendum

- verbod op oorlogspropaganda.

De Nederlandse sessie bij het Comité zal op maandagmiddag 1 juli en dinsdagochtend 2 juli as. live te volgen zijn via UN Web TV. Naast diverse privacykwesties hebben meerdere Nederlandse organisaties ook talloze andere mensenrechtenkwesties bij het Comité geagendeerd; klik HIER voor een overzicht, inclusief de door het Comité reeds eerder vastgestelde List of Issues (waaronder de nieuwe wet op de inlichtingen- en veiligheidsdiensten, mogelijke herinvoering van een telecom-bewaarplicht, camerasysteem @MIGO-BORAS en medische privacy bij zorgverzekeraars). De uiteindelijke conclusies ('Concluding Observations') van het Comité volgen waarschijnlijk over enkele weken. Privacy First ziet een kritisch oordeel met vertrouwen tegemoet.

Update 26 juli 2019: gistermiddag heeft het Comité haar oordeel (“Concluding Observations”) over de Nederlandse mensenrechtensituatie gepubliceerd, waaronder de volgende kritische adviezen met betrekking tot twee Nederlandse privacy-kwesties die mede door Privacy First bij het Comité waren aangekaart:

The Intelligence and Security Services Act

The Committee is concerned about the Intelligence and Security Act 2017, which provides intelligence and security services with broad surveillance and interception powers, including bulk data collection. It is particularly concerned that the Act does not seem to provide for a clear definition of bulk data collection for investigation related purpose; clear grounds for extending retention periods for information collected; and effective independent safeguards against bulk data hacking. It is also concerned by the limited practical possibilities for complaining, in the absence of a comprehensive notification regime to the Dutch Oversight Board for the Intelligence and Security Services (CTIVD) (art. 17).
The State party should review the Act with a view to bringing its definitions and the powers and limits on their exercise in line with the Covenant and strengthen the independence and effectiveness of CTIVD and Toetsingscommissie Inzet Bevoegdheden (TIB) that has been established by the Act.

The Market Healthcare Act

The Committee is concerned that the Act to amend the Market Regulation (Healthcare) Act allows health insurance company medical consultants access to individual records in the electronic patient registration without obtaining a prior, informed and specific consent of the insured and that such practice has been carried out by health insurance companies for many years (art. 17).
The State party should require insurance companies to refrain from consulting individual medical records without a consent of the insured and ensure that the Bill requires health insurance companies to obtain a prior and informed consent of the insured to consult their records in the electronic patient registration and provide for an opt-out option for patients that oppose access to their records.

Het Comité uit haar zorgen over de nieuwe Wet op de inlichtingen- en veiligheidsdiensten (Wiv of 'Sleepwet') en stelt dat deze wet dient te worden herzien. Het Comité is met name bezorgd over de nieuwe mogelijkheden voor grootschalige interceptie en hacking, de verlenging van bewaartermijnen en de gebrekkige mogelijkheden om klachten in te dienen. Tevens dienen de onafhankelijkheid en effectiviteit van de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD) en de nieuwe Toetsingscommissie Inzet Bevoegdheden (TIB) te worden versterkt.

Met betrekking tot het (formeel reeds ingetrokken, maar in praktijk gecontinueerde) Wetsvoorstel inzage medische dossiers door zorgverzekeraars oordeelt het Comité dat dergelijke inzage slechts toegestaan is na toestemming van de patiënt. Tevens dient de wetgeving te voorzien in een opt-out voor patiënten die dergelijke inzage niet wensen. De huidige praktijk van inzage van medische dossiers door verzekeraars dient dan ook per direct te worden beëindigd.

Tijdens de sessie in Genève kwamen tevens de Nederlandse afschaffing van het referendum en het camerasysteem @MIGO-BORAS kritisch ter sprake. Privacy First betreurt het dat het Comité deze (evenals diverse andere actuele) onderwerpen in haar eindoordeel onbenoemd laat. Niettemin toont de rapportage van het Comité vandaag aan dat het thema privacy ook bij de Verenigde Naties steeds hoger en kritischer op de agenda staat. Privacy First juicht deze ontwikkeling toe en zal dit de komende jaren blijven aansporen. Tevens zal Privacy First erop toezien dat Nederland de diverse aanbevelingen van het Comité zal implementeren.

De volledige Nederlandse sessie bij het VN-Comité staat online bij UN Web TV (1 juli en 2 juli). Zie ook de uitgebreide VN-verslagen, deel 1 en deel 2 (pdf).

"Bij uitkeringsinstantie UWV zijn illegaal zo’n 117.000 cv’s gedownload. Dat gebeurde tussen 16 en 30 april vanuit de website werk.nl, meldt minister Wouter Koolmees (Sociale Zaken en Werkgelegenheid). De gedetailleerde informatie is mogelijk in criminele handen gekomen.

De curricula vitae zijn met een account van één werkgever gedownload. Op 30 april werd dit ontdekt en is het account geblokkeerd. De werkgever heeft verklaard niets van de actie te weten. Zijn account is vermoedelijk misbruikt, aldus de minister.

Het Nationaal Cyber Security Centrum (NCSC) is op de hoogte gesteld, net als de Autoriteit Persoonsgegevens. Ook is aangifte bij de politie gedaan. De betrokkenen zijn door het UWV op de hoogte gesteld. Zij hebben het advies gekregen alert te zijn op mogelijke spam en phishingberichten.

Gedetailleerde informatie

Een cv kan van grote waarde zijn voor criminelen, omdat er veel gedetailleerde informatie in te vinden is. Hiermee kan iemand doelwit worden van internetcriminaliteit. Het UWV onderzoekt de mogelijke gevolgen en bekijkt of er verdere herstel- of beveiligingsmaatregelen nodig zijn. De systemen worden extra in de gaten gehouden.
(...)

Schandalig

Vincent Böhre van de Stichting Privacy First noemt het ‘schandalig’ dat er zoveel cv’s illegaal zijn gedownload. ,,Het gaat immers om zeer persoonlijke informatie’, zegt Böhre. ,,Dit is een massaal lek dat doet vermoeden dat het UWV zijn beveiliging niet op orde heeft. Als dat inderdaad het geval is, zou de Autoriteit Persoonsgegevens het UWV een boete kunnen geven.’'

Böhre zegt dat de persoonlijke gegevens op cv’s misbruikt kunnen worden voor het plegen van identiteitsfraude, zeker als daarbij pasfoto’s en burgerservicenummers staan."

Bron: https://www.ad.nl/binnenland/circa-117-000-gelekte-cv-s-van-uwv-mogelijk-in-handen-criminelen~aec97d70/, 3 mei 2019 (via ANP). Tevens gepubliceerd bij o.a. Parool , Dagblad van het Noorden, BN/DeStem, Reformatorisch Dagblad, AVROTROS Opgelicht en AG Connect.

Volgende week stemt de Eerste Kamer over een wet die de politie de bevoegdheid geeft om iedere computer of smartphone te kunnen hacken. In dit verband verzond Privacy First vandaag onderstaande oproep aan alle relevante Kamerleden:

Geachte Kamerleden,

Op dinsdag 26 juni as. stemt u over het controversiële wetsvoorstel Computercriminaliteit III, dat de politie de bevoegdheid geeft om vrijwel ieder apparaat te kunnen hacken. Zoals reeds door Privacy First aangegeven bij de parlementaire expert-meeting op 20 juni 2017 is bij dit wetsvoorstel echter nooit sprake geweest van een grondige en onafhankelijke Privacy Impact Assessment. Bij het wetsvoorstel zijn bovendien de vereiste maatschappelijke noodzaak en proportionaliteit tot op heden nooit hard aangetoond. In de optiek van Privacy First lijkt het wetsvoorstel vooral gedreven door technologisch determinisme: alles wat technisch kan, wordt wettelijk mogelijk gemaakt. Van enige wettelijke inperking in technologische zin is bewust geen sprake: de werking van het wetsvoorstel zal zich uitstrekken tot vrijwel alles wat met het internet in verbinding staat. In de toekomst dus vrijwel de gehele maatschappij, waaronder het Internet of Things. In politiekringen wil men zelfs rijdende auto's kunnen hacken en stilzetten, met alle gevaren van dien voor de verkeersveiligheid. De misdrijven waarbij dit wetsvoorstel kan worden ingezet, kunnen bovendien simpelweg door de Minister worden uitgebreid bij Algemene Maatregel van Bestuur. Dat is geen privacy by design, dat is function creep (doelverschuiving) by design. Dit staat op gespannen voet met het grondwettelijke vereiste in artikel 10 Grondwet dat iedere inbreuk op de persoonlijke levenssfeer gebaseerd dient te zijn op een wet in formele zin, met parlementaire goedkeuring vooraf. Privacy First verzoekt uw Kamer dan ook om dit wetsvoorstel te verwerpen, danwel tenminste paal en perk aan het huidige wetsvoorstel te stellen door de moties van de Kamerleden Bredenoord (over parlementaire controle) en Strik (over onafhankelijke toetsing) aan te nemen.

Hoogachtend,

Stichting Privacy First

Lees HIER de brief die Privacy First eerder over dit wetsvoorstel aan de Tweede Kamer verstuurde.

Update 26 juni 2018: vandaag heeft de Eerste Kamer het wetsvoorstel helaas aangenomen. VVD, PvdA, CDA, ChristenUnie, SGP, OSF en D66 stemden vóór. GroenLinks, SP, 50Plus, PvdD en PVV stemden tegen. De motie-Bredenoord (D66) werd unaniem aangenomen. De motie-Strik (GroenLinks) werd helaas verworpen. De wet zal waarschijnlijk op 1 januari 2019 in werking treden.

Morgen zal Nederland in Genève onder de loep worden genomen door het hoogste mensenrechtenorgaan ter wereld: de Mensenrechtenraad van de Verenigde Naties (VN). Sinds 2008 wordt de mensenrechtensituatie in elk land periodiek door de VN Mensenrechtenraad beoordeeld. Deze procedure vindt voor iedere VN-lidstaat elke vijf jaar plaats en heet "Universal Periodic Review" (UPR).

Schaduwrapportage Privacy First

Bij de vorige UPR-sessies in 2008 en 2012 kreeg Nederland relatief veel kritiek. Momenteel zijn de Nederlandse privacy-vooruitzichten slechter dan ooit. Reden voor Privacy First om een aantal zaken actief bij de VN aan te kaarten. Dit deed Privacy First in september 2016 (een week voor de VN-deadline) middels een zogeheten schaduwrapportage: een rapportage waarin een maatschappelijke organisatie haar zorgen over een bepaald thema kenbaar maakt. (Voor dergelijke rapportages gelden bij de Mensenrechtenraad overigens strikte eisen, waaronder een strikte woordenlimiet.) Zonder schaduwrapportages kunnen VN-diplomaten hun werk immers niet goed doen. Men zou dan namelijk afhankelijk blijven van eenzijdige, veelal rooskleurige staatsrapportages. Dus diende Privacy First een eigen rapportage over Nederland in met daarin onder meer de volgende aanbevelingen:

• Verbetering van Nederlandse mogelijkheden voor maatschappelijke organisaties om collectieve rechtszaken te kunnen voeren.

• Invoering van Grondwettelijke toetsing door de Nederlandse rechterlijke macht.

• Betere wetgeving rondom profiling en datamining.

• Géén invoering van automatische nummerplaatregistratie (ANPR) zoals momenteel beoogd.

• Opschorting van het ongereguleerde grenscontrolesysteem @MIGO-BORAS.

• Geen herinvoering van brede dataretentie (algemene telecom-bewaarplicht).

• Geen mass surveillance onder de nieuwe Wet op de inlichtingen- en veiligheidsdiensten (Wiv) en scherper rechterlijk toezicht op geheime diensten.

• Intrekking van de ‘politie-hackwet’ (wetsvoorstel Computercriminaliteit III).

• Een vrijwillig, regionaal i.p.v. landelijk EPD met 'privacy by design'.

• Invoering van een anonieme OV-chipkaart die écht anoniem is.

Onze hele rapportage treft u HIER aan (pdf). De rapportages van andere organisaties vindt u HIER.

Ambassades

Naast de Mensenrechtenraad verzond Privacy First haar rapportage begin dit jaar tevens aan alle buitenlandse ambassades in Den Haag. Naar aanleiding daarvan vonden de laatste maanden uitgebreide (vertrouwelijke) meetings plaats tussen Privacy First en de ambassades van Bulgarije, Argentinië, Australië, Griekenland, Duitsland, Chili en Tanzania, waarbij de rang van onze gesprekspartners varieerde van senior diplomaten tot ambassadeurs. Tevens ontving Privacy First positieve reacties op onze rapportage vanuit de ambassades van Zweden, Mexico en het Verenigd Koninkrijk. Bovendien werden enkele passages uit onze rapportage overgenomen in de VN-samenvatting over de algehele mensenrechtensituatie in Nederland; klik HIER ('Summary of stakeholders' information', par. 47-50).

Hopelijk zal e.e.a. morgen effectief blijken. Dit is echter niet te garanderen, aangezien het hier een interstatelijk, diplomatiek proces betreft en veel onderwerpen in onze rapportage (en recente gesprekken) evengoed gevoelige kwesties zijn in talloze andere VN-lidstaten.

VN Mensenrechtencomité

Een vergelijkbare rapportage werd door Privacy First in december 2016 ingediend bij het VN Mensenrechtencomité in Genève. Dit Comité houdt periodiek toezicht op de Nederlandse naleving van het VN Verdrag inzake Burgerrechten en Politieke Rechten (IVBPR). Mede naar aanleiding van deze rapportage heeft het Mensenrechtencomité vorige week o.a. de Wiv, camerasysteem @MIGO-BORAS en de bewaarplicht telecomgegevens (dataretentie) geagendeerd voor de komende Nederlandse sessie in 2018 (zie par. 11, 27).

Wij hopen dat onze input door zowel de VN Mensenrechtenraad als het VN Mensenrechtencomité benut zal worden en tot opbouwende kritiek en internationale uitwisseling van 'best practices' zal leiden. Privacy First zal u hier graag van op de hoogte houden.

De Nederlandse UPR-sessie vindt morgen plaats van 9.00-12.30u en zal live te volgen zijn op internet.

Update 10 mei 2017: de Nederlandse regeringsdelegatie (geleid door minister Plasterk) ontving tijdens de UPR-sessie in Genève vandaag kritische aanbevelingen over mensenrechten en privacy in relatie tot contraterrorisme door Canada, Duitsland, Hongarije, Mexico en Rusland. Klik HIER voor de video van de hele UPR-sessie. Publicatie van alle aanbevelingen door de VN Mensenrechtenraad volgt op 12 mei as.

Update 12 mei 2017: vandaag om 18u zijn alle aanbevelingen aan Nederland door de VN Mensenrechtenraad gepubliceerd, klik HIER (pdf). Nuttige adviezen aan Nederland inzake het recht op privacy zijn afkomstig van Duitsland, Canada, Spanje, Hongarije, Mexico en Rusland, zie par. 5.29, 5.30, 5.113, 5.121, 5.128 & 5.129. Hieronder de betreffende aanbevelingen. Nader commentaar door Privacy First volgt.

Extend the National Action Plan on Human Rights to cover all relevant human rights issues, including counter-terrorism, government surveillance, migration and human rights education (Germany);  

Extend the National Action Plan on Human Rights, published in 2013 to cover all relevant human rights issues, including respect for human rights while countering terrorism, and ensure independent monitoring and evaluation of the Action Plan (Hungary);

Review any adopted or proposed counter-terrorism legislation, policies, or programs to provide adequate safeguards against human rights violations and minimize any possible stigmatizing effect such measures might have on certain segments of the population (Canada);

Take necessary measures to ensure that the collection and maintenance of data for criminal [investigation] purposes does not entail massive surveillance of innocent persons (Spain);

Adopt and implement specific legislation on collection, use and accumulation of meta-data and individual profiles, including in security and anti-terrorist activities, guaranteeing the right to privacy, transparency, accountability, and the right to decide on the use, correction and deletion of personal data (Mexico);

Ensure the protection of private life and prevent cases of unwarranted access of special agencies in personal information of citizens in the Internet that have no connection with any illegal actions (Russian Federation). [sic]

Update 26 mei 2017: inmiddels is een vollediger VN-verslag van de UPR-sessie (inclusief weergave van de 'interactive dialogue' tussen VN-lidstaten en Nederland) gepubliceerd; klik HIER (pdf). In september wordt bekend welke aanbevelingen de Nederlandse regering zal accepteren en implementeren.

Update 22 september 2017: de Nederlandse regering heeft inmiddels bekendgemaakt (pdf) dat het van bovenstaande aanbevelingen slechts de Spaanse uitdrukkelijk accepteert:

Take necessary measures to ensure that the collection and maintenance of data for criminal purposes does not entail massive surveillance of innocent persons.

Privacy First beschouwt dit als een bindende internationale toezegging en zal de Nederlandse regering daar aan houden, bijvoorbeeld bij actuele wetsvoorstellen die hiermee in strijd zijn.

De overige VN-aanbevelingen (door Duitsland, Canada, Mexico, Hongarije en Rusland) neemt Nederland vooralsnog slechts voor kennisgeving aan (deze zijn "noted", in diplomatenjargon). Nederland doet daarbij slechts de volgende toezegging:

"The current Action Plan will not be amended, but the recommendations [made by Germany and Hungary] will be considered during the development of a new one."

Dit biedt enig perspectief. Te zijner tijd zal Privacy First hierover met de verantwoordelijke ministeries in overleg treden.

Morgenmiddag debatteert de Tweede Kamer met staatssecretaris Dijkhoff (Veiligheid en Justitie) over het wetsvoorstel Computercriminaliteit III. Onder dit wetsvoorstel krijgen Nederlandse opsporingsdiensten (waaronder de politie) de bevoegdheid om computersystemen van verdachten op afstand te hacken. Vandaag verstuurde Privacy First hierover onderstaande brief aan Tweede Kamerleden. Klik HIER voor de eerdere brief over dit wetsvoorstel die Privacy First reeds begin dit jaar aan de Tweede Kamer verzond.

Geachte Kamerleden,

Morgen debatteert u met staatssecretaris Dijkhoff over diens controversiële wetsvoorstel Computercriminaliteit III. Voorafgaand aan de kritische hoorzitting over dit wetsvoorstel op 11 februari 2016 ontving u van Privacy First een brief met ons commentaar op dit wetsvoorstel.[1] De inhoud van deze brief geldt immer onverkort. Naar aanleiding van de recente Nota[2] van de staatssecretaris bij het wetsvoorstel zenden wij u hierbij ons aanvullend commentaar.

Noodzaak en proportionaliteit immer onaangetoond

In zijn poging tot beargumentering van de vereiste noodzaak en proportionaliteit van het wetsvoorstel blijft de staatssecretaris opnieuw hangen in een vaag verhaal dat riekt naar technologisch determinisme. De staatssecretaris laat zich immers vooral leiden door technologische mogelijkheden i.p.v. de klassieke verworvenheden van onze vrije democratische rechtsstaat. In de huidige fase van de parlementaire behandeling zijn de noodzaak en proportionaliteit van het wetsvoorstel door de staatssecretaris immer slechts gesteld, maar nimmer aangetoond. Iedere kwantificering ontbreekt nog steeds of duidt op de introductie van volstrekt disproportionele bevoegdheden. Het wetsvoorstel dient daarom te worden verworpen wegens strijd met de internationaalrechtelijk vereiste noodzaak en proportionaliteit onder artikel 8 van het Europees Verdrag voor de Rechten van de Mens (EVRM).

Geen misbruik van kwetsbaarheden in software

Mocht uw Kamer onverhoopt besluiten tot goedkeuring van het wetsvoorstel, dan acht Privacy First het onbestaanbaar dat de Nederlandse overheid nieuwe of onbekende kwetsbaarheden in software zou willen gebruiken (en dus misbruiken) om heimelijk toegang tot gegevens te kunnen verkrijgen. Dergelijk beleid brengt de integriteit en veiligheid van de gehele Nederlandse informatiesamenleving actief in gevaar. Privacy First roept uw Kamer hierbij dan ook op om het actuele amendement terzake van D66, GroenLinks en SP[3] unaniem te ondersteunen en er actief op toe te zien dat de Nederlandse overheid geen gebruik zal maken van kwetsbaarheden in software t.b.v. hacking.

Function creep

De bevoegdheden in het wetsvoorstel lijken nu weliswaar primair beperkt tot apparatuur van verdachten van ernstige misdrijven (en dus in principe geen apparatuur van onschuldige burgers met wie verdachten in contact staan). De geschiedenis leert echter dat dit type bevoegdheden in de loop der tijd altijd wordt uitgebreid. Door sluipende doelverschuiving (function creep) zal het dan ook slechts een kwestie van tijd zijn voordat de hack-bevoegdheden in het huidige wetsvoorstel voor de opsporing en vervolging van allerhande strafbare feiten zullen worden ingezet. Het huidige wetsvoorstel biedt hier reeds alle ruimte toe, aangezien de lijst misdrijven waarvoor de nieuwe bevoegdheden zal gelden eenvoudig zal kunnen worden uitgebreid bij Algemene Maatregel van Bestuur i.p.v. bij formele wetswijziging. In die zin is dit wetsvoorstel een typisch voorbeeld van function creep by legal design. De beste manier om deze function creep te voorkomen is door het huidige wetsvoorstel te verwerpen of het amendement terzake van D66[4] unaniem te steunen en wettelijke maatregelen te treffen om iedere vorm van buitenparlementaire function creep in te dammen.

Auto’s hacken en stopzetten

Begin dit jaar veroorzaakte dit wetsvoorstel grote maatschappelijke onrust[5] omdat het alle ruimte laat voor het hacken en stilzetten van auto’s op afstand. In politiekringen wordt deze mogelijkheid actief beoogd, zo weet Privacy First uit betrouwbare bron. De risico’s hiervan voor de verkeersveiligheid (ook van onschuldige inzittenden en omstanders) zijn enorm. Hetzelfde geldt voor het al dan niet opzettelijk hacken van computers in ziekenhuizen, industrie, vitale infrastructuur, pacemakers, medische wearables, etc. Het wetsvoorstel legt in dit opzicht geen enkele beperking op en de staatssecretaris laat deze heikele kwesties vrijwel onbesproken. Het is dan ook aan uw Kamer om alsnog orde op zaken te stellen door dergelijke inzet van hack-bevoegdheden eenvoudigweg te verbieden.

Framing van verdachten

Privacy First is zeer verontrust door de volgende bekentenis van de staatssecretaris:

“In theorie is het mogelijk dat een opsporingsambtenaar gegevens op een apparaat zet die de verdachte niet zelf op het apparaat heeft gezet. Op dit punt wijkt de situatie in de digitale wereld niet af van het analoge domein. Tijdens een huiszoeking kunnen verdovende middelen in een kast worden gelegd en tijdens de doorzoeking van een voertuig kunnen wapens in de kofferbak worden gelegd.”[6]

Hierbij verzoekt Privacy First uw Kamer om ervoor te zorgen dat burgers de best mogelijke wettelijke, organisatorische en technische bescherming tegen dergelijke framing-praktijken zullen krijgen, voorzover dit niet reeds het geval is onder bestaande strafbepalingen, beleid en techniek.

Grondige toetsing door rechter-commissaris

Privacy First verzoekt uw Kamer om er bij de staatssecretaris op aan te dringen dat de voorafgaande machtiging voor de inzet van bevoegdheden door de rechter-commissaris altijd met de grootst mogelijke zorgvuldigheid en grondigheid zal kunnen geschieden. In geen geval mag sprake blijken van oppervlakkige rubber-stamping wegens operationele druk of gebrek aan tijd en kennis bij de rechterlijke macht. De staatssecretaris dient er daartoe zorg voor te dragen dat de rechterlijke macht deze taken altijd naar beste vermogen zal kunnen uitvoeren.

Mogelijke rechtszaak Privacy First

Mocht het huidige wetsvoorstel ongewijzigd worden aangenomen, dan behoudt Privacy First zich het recht voor om dit wetsvoorstel, zodra van kracht, door de rechter te laten toetsen en onrechtmatig te laten verklaren.

Voor nadere informatie of vragen met betrekking tot bovenstaande is Privacy First te allen tijde bereikbaar op telefoonnummer 020-8100279 of per email: Dit e-mailadres wordt beveiligd tegen spambots. JavaScript dient ingeschakeld te zijn om het te bekijken..

Hoogachtend,

Stichting Privacy First

[1] Zie https://www.privacyfirst.nl/aandachtsvelden/online-privacy/item/1025-politie-wil-alle-computers-kunnen-hacken.html.

[2] Nota naar aanleiding van het verslag, Kamerstukken II, 2016-2017, 34372, nr. 6.

[3] Kamerstukken II, 2016-2017, 34372, nr. 11.

[4] Kamerstukken II, 2016-2017, 34372, nr. 9.

[5] Zie bijvoorbeeld 'Vrees voor hacken auto op snelweg', Telegraaf 11 februari 2016, p. 10.

[6] Nota naar aanleiding van het verslag, Kamerstukken II, 2016-2017, 34372, nr. 6, p. 52.

Update 14 december 2016: tijdens het Kamerdebat gisteren (dat tot laat in de avond duurde) passeerden veel van bovenstaande issues op kritische wijze de revue. Klik HIER om het hele debat te bekijken, klik HIER voor het woordelijk verslag en HIER voor de actuele lijst met voorgestelde amendementen. De stemming over het wetsvoorstel staat vooralsnog gepland op dinsdagmiddag 20 december as.

Update 20 december 2016: vandaag heeft de Tweede Kamer het wetsvoorstel helaas in vrijwel ongewijzigde vorm aangenomen. VVD, CDA, PvdA, SGP en ChristenUnie stemden voor. D66, GroenLinks, SP, PvdD en PVV stemden tegen. Klik HIER voor het stemmingsverslag. De amendementen om geen gebruik te maken van kwetsbaarheden in software (nr. 13), om function creep in te dammen (nr. 21), om bepaalde apparatuur uit te sluiten van de werking van het wetsvoorstel (nr. 20) en een motie inzake hack-software (nr. 22) werden helaas allemaal verworpen. Opvallend daarbij was dat PvdA-Kamerlid Oosenbrug enkele keren zelfstandig (en volkomen terecht) vóór privacyvriendelijke wets- en beleidswijzigingen stemde, tégen het standpunt van haar eigen PvdA-fractie in. In de optiek van Privacy First verdient het goede voorbeeld van dit Kamerlid brede navolging. Overigens diende de PvdA-fractie wel een 'compromis-motie' in die in grote meerderheid werd aangenomen:

"De Kamer,
gehoord de beraadslaging,
constaterende dat op grond van het voorliggend wetsvoorstel opsporingsinstanties gebruik mogen maken van kwetsbaarheden in geautomatiseerde werken;
van mening dat de overheid de veiligheid en integriteit van geautomatiseerde werken moet stimuleren, zoals door het bevorderen van responsible disclosure en door het stimuleren van derden om op uitnodiging van soft- of hardwarefabrikanten te zoeken naar kwetsbaarheden;
verzoekt de regering, te bewerkstelligen dat opsporingsinstanties onbekende kwetsbaarheden of software die daarvan gebruikmaakt alleen in het uiterste geval zullen inzetten,
en gaat over tot de orde van de dag."

Het is nu aan de Eerste Kamer om het wetsvoorstel binnenkort alsnog te verwerpen of de Tweede Kamer op bovenstaande punten te corrigeren.

Vandaag heeft het Nederlandse kabinet zijn langverwachte voorstel voor een nieuwe Wet op de inlichtingen- en veiligheidsdiensten (Wiv) bij de Tweede Kamer ingediend. Dit wetsvoorstel vormt een acute bedreiging voor de privacy van iedere Nederlander.

De voornaamste dreiging voor het recht op privacy in het wetsvoorstel bestaat uit de invoering van een massale internettap (sleepnet-bevoegdheid). De door het kabinet veronderstelde noodzaak hiervan is tot op heden echter niet aangetoond. Reeds hierom acht Privacy First het wetsvoorstel onrechtmatig. 

Daarnaast voorziet het wetsvoorstel onder meer in brede hack-bevoegdheden en bijbehorende decryptieverplichtingen (dit laatste zelfs op straffe van hechtenis), directe toegang tot databanken van overheid en bedrijfsleven, internationale uitwisseling van ongeëvalueerde bulk-data en eindeloze koppeling, datamining en profiling in massale hoeveelheden gegevens van voornamelijk onschuldige burgers. Deze excessieve uitbreiding van bevoegdheden gaat bovendien niet gepaard met bijbehorende waarborgen, zoals privacy by design. Ondanks het (eerder door Privacy First geadviseerde) versterkte toezicht op de diensten kan Privacy First dan ook niet anders concluderen dan dat het huidige wetsvoorstel in de kern ronduit totalitair is. In een wereld die in toenemende mate gekenmerkt zal worden door Big Data en het Internet of Things zal dit wetsvoorstel zich dan ook met name goed lenen voor toekomstig machtsmisbruik.

Privacy First herhaalt hierbij haar eerdere waarschuwing dat dit wetsvoorstel alsnog grondig ingeperkt danwel verworpen dient te worden. Bij gebreke hiervan behoudt Privacy First zich het recht voor om het wetsvoorstel, zodra van kracht, door de rechter te laten toetsen en onrechtmatig te laten verklaren.

Beluister tevens de reactie van Privacy First vanochtend bij BNR Nieuwsradio. Nader commentaar van Privacy First op het wetsvoorstel volgt binnenkort bij de parlementaire behandeling.

"Boordcomputers gemakkelijk te kraken. Tweede Kamer bespreekt wetsvoorstel.

Auto's dreigen speelbal te worden van cybercriminelen en de politie. Dat komt omdat de computersystemen aan boord kinderlijk eenvoudig te kraken zijn. De ANWB en verschillende privacyorganisaties maken zich daar grote zorgen over.

De auto- en privacyorganisaties vrezen dat agenten auto's op de snelweg van afstand kunnen stopzetten, met alle gevaren voor de overige weggebruikers van dien.

Vandaag wordt in de Tweede Kamer gesproken over het wetsvoorstel Computercriminaliteit, waarin is opgenomen dat de politie de mogelijkheid krijgt om vrijwel alle computers die op internet aangesloten zijn, te kunnen hacken. De ANWB vreest dat de politie door het hacken van boordcomputers auto's op afstand staande kan houden.

„Dat kan bijvoorbeeld als alternatief voor het creëren van een filefuik gebeuren", zegt directeur Frits van Bruggen van de ANWB. „De ANWB vindt dit zowel vanuit het oogpunt van verkeersveiligheid als privacybescherming zeer zorgelijk. Daarnaast werkt brede toegankelijkheid van genoemde systemen voertuigcriminaliteit in de hand."

Het ministerie van Veiligheid en Justitie erkent dat navigatiesystemen en boordcomputers gehackt kunnen worden. (...) Hoewel het hacken van auto's voor velen als sciencefiction klinkt, is het dichterbij dan ooit, juist omdat er steeds meer geavanceerde apparatuur in auto's wordt geplaatst. „Technisch is het absoluut mogelijk om een auto tot stilstand te brengen via een hack", zegt privacyonderzoeker Jaap-Henk Hoepman van de Radboud Universiteit. „In Amerika is dat recentelijk al gebeurd."

Volgens deskundigen als Wim van Campen is hacken van auto's bijzonder gemakkelijk, omdat de meeste autofabrikanten geen of nauwelijks aandacht hebben voor de beveiliging van de systemen aan boord. (...)

Privacyorganisaties Bits of Freedom en Privacy First zijn eveneens fel gekant tegen het wetsvoorstel. Volgens de belangenclubs zijn de maatschappelijke noodzaak en proportionaliteit ver te zoeken. „De hackbevoegdheid in het wetsvoorstel beperkt zich immers niet tot apparaten van verdachten, maar ook tot daarmee in verbinding staande apparatuur van onschuldige, nietsvermoedende burgers. De minister sluit in de memorie van toelichting zelfs niet uit dat pacemakers worden gehackt.""

Bron: Telegraaf 11 februari 2016, sectie Binnenland, p. 10. Tevens online beschikbaar, klik HIER.

"Dat klinkt als een sympathieke maatregel, maar niet iedereen is even enthousiast. "Het is een beetje hypocriet."

Vorige week was Reuters kritisch over het optreden van Microsoft in 2011. Twee oud-medewerkers vertelden het persbureau dat ze wisten dat de Chinese overheid onder andere Tibetaanse minderheden aanviel, maar nalieten de desbetreffende mensen in te lichten.

Mede hierdoor maakte Microsoft vandaag bekend gebruikers van haar diensten een melding te zullen sturen als ze worden gehackt door bedrijven of overheden.

Kritisch
Dat klinkt misschien als goed nieuws, maar Vincent Böhre van stichting Privacy First is kritisch. "Vanaf morgen geldt voor Nederlandse bedrijven een meldplicht datalekken. Die houdt in dat een inbraak waarbij persoonsgegevens gestolen of misbruikt worden, gemeld moet worden aan het College bescherming persoonsgegevens (CBP) en bij de klanten om wie het gaat." Bedrijven moeten het dus sowieso al melden als je bent gehackt.

Toegang tot gegevens
Ook over het melden van door overheden uitgevoerde hacks is Böhre sceptisch. "Het is een beetje hypocriet. We vragen ons af of het ook voor onze eigen overheid en andere Westerse overheden zal gelden." Nu heeft bijvoorbeeld de NSA nog gewoon toegang tot gegevens van Microsoft.

Grote ICT-bedrijven als Facebook en Twitter gingen Microsoft voor. Böhre: "Die doen dit inderdaad al jaren, dus vernieuwend is het niet.""

Bron: http://www.bnr.nl/incoming/171660-1512/microsoft-gaat-het-je-vertellen-als-je-wordt-gehackt, 31 december 2015.

"Privacywaakhonden en ict'ers verontrust

Een nieuwe conceptwet geeft de politie verregaande bevoegdheden om in computers te kunnen inbreken. Privacywaakhonden en ict-experts vinden die wet veel te ver gaan. ,,De aanslagen in Parijs worden gebruikt om een politiestaat in te voeren."

Vlak voor het weekend begon, gooide de ministerraad er afgelopen vrijdagmiddag nog snel een belangrijk persbericht uit. Ministers Ard van der Steur (Veiligheid en Justitie) en Ronald Plasterk (Binnenlandse Zaken) dienen vier wetsvoorstellen uit het actieprogramma Integrale aanpak Jihadisme in bij de Tweede Kamer. De maatregelen om het Jihadisme te bestrijden, zijn van groot belang, onderstreept de regering.

Onderdeel van die maatregelen is een uitbreiding van de bevoegdheden om onderzoek te doen in computers van criminelen en terroristen. De naam van het wetsvoorstel staat niet vermeld in het persbericht, maar desgevraagd bevestigt het ministerie van Veiligheid en Justitie dat het gaat om de wet Computercriminaliteit III, die al sinds 2013 in de maak is. De omstreden wet kan met steun van VVD en PvdA rekenen op een meerderheid in de Tweede Kamer. Maar die partijen zullen andere partijen nodig hebben om de wet door de Eerste Kamer te loodsen.

Webcams

De conceptwet geeft de politie ongekend veel bevoegdheden. Ze mag stiekem inbreken in computers, data kopiëren, toevoegen en wissen. De politie mag meekijken met webcams, afluisteren via de microfoon van een computer en live meekijken wat iemand typt. Er mag zelfs worden ingebroken bij onschuldige derden om bij een verdachte uit te komen. Privacyorganisatie Bits of Freedom spreekt van de meest verregaande wet ter wereld op dit gebied.

De conceptwet heeft dan ook tientallen bezorgde reacties opgeleverd van hoogleraren, ict'ers en privacywatchers. En ook nu klinkt kritiek. ,,Een overheid die mag inbreken in systemen en computers om zo aan informatie te komen, begeeft zich op glad ijs," meent voorzitter Lotte de Bruijn van branchevereniging Nederland ICT. ,,Stel dat de politie het recht zou hebben om zich zonder toestemming toegang te verschaffen tot woningen, zouden we dat accepteren? Ook al zouden ze daarmee verdachte buren kunnen afluisteren? Ik denk het niet."

Anderen vinden het bezwaarlijk dat de overheid baat heeft bij softwarelekken, om zo andermans computer binnen te komen. ,,Als de overheid te weten komt dat in veelgebruikte software een lek zit, kan ze dat geheim houden zodat de politie dat lek eerst mag misbruiken. Daarmee maakt de minister de hele maatschappij onveiliger, in plaats van veiliger," zegt Rejo Zenger van Bits of Freedom.

Ongepast

Zenger vindt het niet chic dat de wet nu in het kader van terrorismebestrijding aan de Kamer wordt gepresenteerd. ,,Het is absoluut ongepast dat de minister van Veiligheid en Justitie de aanslagen in Parijs gebruikt voor het doordrukken van zijn wetsvoorstel. De minister wil al lang de bevoegdheden van de politie uitbreiden. Dat verdient een grondig debat in het parlement, zonder dat dit heel erg wordt gestuurd door de gebeurtenissen in Parijs." Voorzitter Bas Filippini van Privacy First noemt de maatregelen zelfs het doodknuppelen van de rechtsstaat. ,,Na de aanslagen in Parijs wordt jacht gemaakt op snotneuzen van tussen de 20 en 30 jaar. In plaats van dat politie- en inlichtingendiensten zich schamen dat ze die mannen niet beter in beeld hadden, stelt Nederland voor om 16 miljoen burgers onder de knoet te houden. Een politiestaat, daar moeten we niet naartoe willen.""

Bron: Algemeen Dagblad 30 november 2015, p. 5. Tevens gepubliceerd in AD/Rotterdams Dagblad, AD/Haagsche Courant, AD/Utrechts Nieuwsblad, AD/Amersfoortse Courant, AD/De Dordtenaar, AD/Groene Hart, AD/Rivierenland, BN/De Stem, Dagblad Tubantia/Twentsche Courant, De Stentor/Gelders Dagblad, De Gelderlander, Eindhovens Dagblad, Provinciale Zeeuwse Courant en o.a. online op http://www.ad.nl/ad/nl/1012/Nederland/article/detail/4198274/2015/11/30/Nieuwe-wet-opent-alle-computers-voor-politie.dhtml.

Lees HIER de eerdere kritiek van Privacy First op dit draconische wetsvoorstel.

Eerder dit jaar kwam minister Opstelten met het onzalige plan om de politie de bevoegdheid te geven uw computer (in binnen- én buitenland!) te kunnen hacken en tevens van u te kunnen eisen dat u uw versleutelde bestanden in het bijzijn van oom agent ontsleutelt en braaf aan de Staat overdraagt. In het kader van een internetconsultatie liet Privacy First aan de minister weten dat wij een aantal principiële bezwaren tegen zijn plannen hebben:

Excellentie,

Hierbij adviseert Stichting Privacy First u om het concept-wetsvoorstel 'versterking bestrijding computercriminaliteit' in te trekken, en wel om een elftal principiële redenen: 

1. Dit concept-wetsvoorstel vormt in onze optiek een typische bouwsteen voor een politiestaat, niet voor een democratische, op vrijheid en vertrouwen gebaseerde rechtsstaat.
2. Nederland heeft de algemene mensenrechtelijke plicht om het recht op privacy voortdurend te bevorderen i.p.v. te beperken. Door dit wetsvoorstel schendt Nederland deze algemene plicht.
3. Dit wetsvoorstel is niet strikt noodzakelijk (i.t.t. mogelijk “nuttig” of “handig”) in een democratische samenleving. Het wetsvoorstel vormt daarmee een schending van art. 8 EVRM.
4. Door dit wetsvoorstel wordt tevens het verbod van zelfincriminatie (nemo tenetur) met voeten getreden.
5. Function creep (doelverschuiving) is een universeel verschijnsel. Dat zal ook gelden voor dit wetsvoorstel. Het wetsvoorstel legt daarmee de basis voor toekomstig machtsmisbruik.
6. Dit wetsvoorstel zet de vertrouwensrelatie tussen de Nederlandse overheid en de Nederlandse bevolking op scherp. Dit zal leiden tot een maatschappelijk chilling effect.
7. Door dit wetsvoorstel komen klassieke verworvenheden zoals de persvrijheid en journalistieke bronbescherming, klokkenluiders, de vrijheid van meningsuiting, vrije informatievergaring, vertrouwelijke communicatie en het recht op een eerlijk proces ernstig onder druk te staan. Dit is funest voor de dynamiek in een vrije democratische rechtsstaat.
8. Dit wetsvoorstel en bijbehorende technologie zullen worden geïmporteerd en misbruikt door minder democratische regimes in het buitenland. Het wetsvoorstel vormt daarmee een internationaal precedent voor een wereldwijde Rule of the Jungle i.p.v. de Rule of Law.
9. Het wetsvoorstel ontbeert vooralsnog een grondige en onafhankelijke Privacy Impact Assessment.
10. Dit wetsvoorstel creëert een impuls voor suboptimale (door de overheid te kraken, want anders illegale?) i.p.v. optimale (‘onkraakbare’) ICT-beveiliging.
11. De aanpak van cybercrime vergt multilaterale samenwerking en coördinatie i.p.v. unilateraal 'paniekvoetbal' zoals dit wetsvoorstel.

Hoogachtend,

Stichting Privacy First