Toon items op tag: Internet

Recent heeft het Forum Standaardisatie een advies uitgebracht om openbare wifi-netwerken voor gastgebruik altijd veilig aan te bieden. Het onafhankelijke adviesorgaan beveelt aan om de veiligheid van wifi te verbeteren door gebruik van de standaard WPA2-Enterprise. Het advies geldt voor alle publieke en semi-publieke instellingen in Nederland en heeft daarmee impact op duizenden wifi-netwerken.

Het Forum Standaardisatie is hét adviesorgaan voor de publieke sector wat betreft gebruik van open standaarden. Alle standaarden die het Forum adviseert zijn grondig getoetst, verlagen het risico van internetfraude en gegevensmisbruik en verlagen de kosten, aldus de organisatie op haar eigen website. Aanleiding voor het advies was een aanvraag van Stichting Privacy First en de wifi-roaming aanbieder Publicroam, ruim een jaar geleden. Zij verzochten het Forum om WPA2-Enterprise als standaard te verplichten voor toegang tot gastwifi. Het Forum Standaardisatie besloot daarop om nader onderzoek te doen, met het huidige advies als resultaat.

Stoppen met onveilige gastwifi 

Paul Korremans, voorzitter van Privacy First, is zeer verheugd met het advies. Hij zegt hierover: “Het heeft even geduurd maar nu ligt er een duidelijk advies. Het Forum Standaardisatie roept op tot het veilig aanbieden van gastwifi, bij voorkeur met gebruik van de standaard WPA2-Enterprise. Dit advies schept duidelijkheid voor alle partijen die betrokken zijn bij het inrichten en beheren van openbare wifi-netwerken bij de overheid. Bovendien heeft het een bredere werking: het Forum zegt in onze ogen dat we moeten stoppen met onveilige gastwifi.”

Nederland voorloper 

Forum Standaardisatie nam haar besluit afgelopen zomer na meerdere expertrondes en een publieke consultatie. Het advies werd begin september toegevoegd aan de bestaande verplichting rond WPA2-Enterprise. Nederland is één van de eerste landen die een dergelijke verplichting kent.

WPA2-Enterprise 

Experts beschouwen de standaard WPA2-Enterprise (en de opvolger WPA3-Enterprise) als de meest geschikte methode om veilige toegang tot wifi te realiseren. De standaard is verplicht voor wifi-toegang voor overheidsmedewerkers en wordt breed toegepast in andere sectoren zoals het bedrijfsleven en in het onderwijs. Doordat het een al lang bestaande open standaard is, is deze breed beschikbaar en eenvoudig te implementeren.

In augustus 2020 is Stichting The Privacy Collective een rechtszaak gestart tegen Oracle en Salesforce. Privacy First was één van de eerste organisaties die deze zaak steunen en roept haar achterban nu op hetzelfde te doen. Op die manier kan illegale datahandel aangepakt worden.

Lees hieronder meer, of steun deze zaak direct door HIER te klikken.

Wat is er precies aan de hand?

Te weinig Nederlanders weten van de handel in hun gegevens achter de schermen door Oracle en Salesforce, twee grote Amerikaanse techbedrijven. Deze twee bedrijven verzamelen en analyseren enorme hoeveelheden gegevens van burgers en maken daar persoonlijke profielen van.

Die profielen worden verhandeld via real time bidding systemen, afgekort RTB. Dit zijn online veilingen waarop dag en nacht persoonsgegevens verhandeld worden. Steeds wanneer u een website met advertentieruimte bezoekt, vindt op de achtergrond in een milliseconde een veiling plaats. Adverteerders die u een product of dienst willen verkopen bieden op uw profiel.

De profielen die voor adverteerders worden opgesteld zijn enorm uitgebreid. Onlangs berichtte de Ierse privacygroep ICCL hierover: zelfs privé-informatie over ziektes, depressies en politieke voorkeuren wordt in dit soort profielen opgenomen.

Wat kunnen we doen?

Simpel: dit soort profilering is in Nederland bij wet verboden. De Autoriteit Persoonsgegevens moet deze wet handhaven, maar hun tijd en budget is beperkt. Stichting The Privacy Collective heeft daarom een zaak aangespannen waarin ze bij de rechter schadevergoeding vordert. Het gaat om flinke bedragen: EUR 1.100 per Nederlander waarvan de gegevens door Oracle en Salesforce verwerkt zijn.

Privacy First steunt deze zaak omdat hiermee een vuist kan worden gemaakt tegen deze praktijken. Stichting The Privacy Collective heeft ook uw steun nodig: hoe meer mensen deze zaak steunen, des te groter de kans dat de zaak gewonnen wordt.

Klik daarom HIER om deze zaak te steunen! 

Uw steun wordt gebruikt om aan de rechter te laten zien dat deze zaak brede steun geniet. We houden u op de hoogte van de volgende stappen!

Persbericht The Privacy Collective

Gegevens miljoenen Nederlanders onrechtmatig verzameld en verwerkt

The Privacy Collective daagt Oracle en Salesforce voor de rechter

The Privacy Collective - een stichting die optreedt tegen schending van privacyrechten - start vandaag een rechtszaak tegen Oracle en Salesforce. De stichting verwijt de technologieconcerns onder meer de gegevens van miljoenen Nederlandse internetgebruikers onrechtmatig te verzamelen en te verwerken. Er is gekozen voor een class action, waarbij voor een grote groep mensen schadevergoeding wordt geëist. Het is de eerste keer dat dit juridische middel in Nederland wordt ingezet bij een inbreuk op de Algemene Verordening Gegevensbescherming (AVG).

Advocaat Christiaan Alberdingk Thijm, die The Privacy Collective bijstaat: “Het gaat in deze zaak om één van de grootste gevallen van onrechtmatige verwerking van persoonsgegevens in de geschiedenis van het internet. Vrijwel alle Nederlanders die online informatie lezen of bekijken worden structureel geraakt door de praktijken van Oracle en Salesforce, die enkel een commercieel doel dienen.”

Online schaduwprofiel

Oracle en Salesforce verzamelen op ieder moment en op grote schaal gegevens van websitebezoekers. Door die te combineren met aanvullende informatie creëren zij van iedere individuele internetgebruiker een persoonlijk profiel. De miljoenen profielen worden onder andere gebruikt voor het aanbieden van gepersonaliseerde online advertenties en onrechtmatig gedeeld met talloze commerciële partijen, waaronder ad-tech bedrijven. De techgiganten verzamelen hun informatie onder meer met speciaal ontwikkelde cookies. Alberdingk Thijm: “De meeste mensen weten niet dat zij zo’n online ‘schaduwprofiel’ hebben. Zij weten niet hoe het er uitziet en hebben er zeker geen rechtmatige toestemming voor gegeven.” Voor het verzamelen en delen van de persoonsgegevens horen Oracle en Salesforce op basis van de AVG toestemming te vragen. “Deze partijen handelen in strijd met het recht op privacy van internetgebruikers. Het recht op bescherming van persoonsgegevens en het recht op bescherming van de persoonlijke levenssfeer worden erkend als fundamentele rechten”, aldus Alberdingk Thijm.

Class action

Sinds januari van dit jaar bestaat ook in Nederland de mogelijkheid in een class action schadevergoeding te vorderen. “Schade claimen in een class action is een belangrijk handhavingsinstrument in de AVG”, zegt Joris van Hoboken, hoogleraar Informatierecht en bestuurslid van The Privacy Collective. "Het geeft de wet tanden." De stichting verzoekt internetgebruikers zich via haar website te registreren om hun steun te betuigen. Op basis van het aantal gedupeerden kan de totale omvang van de schade uitkomen op meer dan 10 miljard euro. Verschillende organisaties steunen de actie van The Privacy Collective, waaronder Privacy First, Bits of Freedom, Qiy Foundation en Freedom Internet. De class action wordt volledig gefinancierd door Innsworth, een procesfinancier. Daardoor maken de individuen waar The Privacy Collective voor optreedt zelf geen kosten. Deze organisatie financiert in Engeland en Wales een vergelijkbare class action, die momenteel wordt voorbereid.

Bron: persbericht The Privacy Collective, 14 augustus 2020.

Meer informatie: https://theprivacycollective.nl.

"Bij uitkeringsinstantie UWV zijn illegaal zo’n 117.000 cv’s gedownload. Dat gebeurde tussen 16 en 30 april vanuit de website werk.nl, meldt minister Wouter Koolmees (Sociale Zaken en Werkgelegenheid). De gedetailleerde informatie is mogelijk in criminele handen gekomen.

De curricula vitae zijn met een account van één werkgever gedownload. Op 30 april werd dit ontdekt en is het account geblokkeerd. De werkgever heeft verklaard niets van de actie te weten. Zijn account is vermoedelijk misbruikt, aldus de minister.

Het Nationaal Cyber Security Centrum (NCSC) is op de hoogte gesteld, net als de Autoriteit Persoonsgegevens. Ook is aangifte bij de politie gedaan. De betrokkenen zijn door het UWV op de hoogte gesteld. Zij hebben het advies gekregen alert te zijn op mogelijke spam en phishingberichten.

Gedetailleerde informatie

Een cv kan van grote waarde zijn voor criminelen, omdat er veel gedetailleerde informatie in te vinden is. Hiermee kan iemand doelwit worden van internetcriminaliteit. Het UWV onderzoekt de mogelijke gevolgen en bekijkt of er verdere herstel- of beveiligingsmaatregelen nodig zijn. De systemen worden extra in de gaten gehouden.
(...)

Schandalig

Vincent Böhre van de Stichting Privacy First noemt het ‘schandalig’ dat er zoveel cv’s illegaal zijn gedownload. ,,Het gaat immers om zeer persoonlijke informatie’, zegt Böhre. ,,Dit is een massaal lek dat doet vermoeden dat het UWV zijn beveiliging niet op orde heeft. Als dat inderdaad het geval is, zou de Autoriteit Persoonsgegevens het UWV een boete kunnen geven.’'

Böhre zegt dat de persoonlijke gegevens op cv’s misbruikt kunnen worden voor het plegen van identiteitsfraude, zeker als daarbij pasfoto’s en burgerservicenummers staan."

Bron: https://www.ad.nl/binnenland/circa-117-000-gelekte-cv-s-van-uwv-mogelijk-in-handen-criminelen~aec97d70/, 3 mei 2019 (via ANP). Tevens gepubliceerd bij o.a. Parool , Dagblad van het Noorden, BN/DeStem, Reformatorisch Dagblad, AVROTROS Opgelicht en AG Connect.

Volgende week stemt de Eerste Kamer over een wet die de politie de bevoegdheid geeft om iedere computer of smartphone te kunnen hacken. In dit verband verzond Privacy First vandaag onderstaande oproep aan alle relevante Kamerleden:

Geachte Kamerleden,

Op dinsdag 26 juni as. stemt u over het controversiële wetsvoorstel Computercriminaliteit III, dat de politie de bevoegdheid geeft om vrijwel ieder apparaat te kunnen hacken. Zoals reeds door Privacy First aangegeven bij de parlementaire expert-meeting op 20 juni 2017 is bij dit wetsvoorstel echter nooit sprake geweest van een grondige en onafhankelijke Privacy Impact Assessment. Bij het wetsvoorstel zijn bovendien de vereiste maatschappelijke noodzaak en proportionaliteit tot op heden nooit hard aangetoond. In de optiek van Privacy First lijkt het wetsvoorstel vooral gedreven door technologisch determinisme: alles wat technisch kan, wordt wettelijk mogelijk gemaakt. Van enige wettelijke inperking in technologische zin is bewust geen sprake: de werking van het wetsvoorstel zal zich uitstrekken tot vrijwel alles wat met het internet in verbinding staat. In de toekomst dus vrijwel de gehele maatschappij, waaronder het Internet of Things. In politiekringen wil men zelfs rijdende auto's kunnen hacken en stilzetten, met alle gevaren van dien voor de verkeersveiligheid. De misdrijven waarbij dit wetsvoorstel kan worden ingezet, kunnen bovendien simpelweg door de Minister worden uitgebreid bij Algemene Maatregel van Bestuur. Dat is geen privacy by design, dat is function creep (doelverschuiving) by design. Dit staat op gespannen voet met het grondwettelijke vereiste in artikel 10 Grondwet dat iedere inbreuk op de persoonlijke levenssfeer gebaseerd dient te zijn op een wet in formele zin, met parlementaire goedkeuring vooraf. Privacy First verzoekt uw Kamer dan ook om dit wetsvoorstel te verwerpen, danwel tenminste paal en perk aan het huidige wetsvoorstel te stellen door de moties van de Kamerleden Bredenoord (over parlementaire controle) en Strik (over onafhankelijke toetsing) aan te nemen.

Hoogachtend,

Stichting Privacy First

Lees HIER de brief die Privacy First eerder over dit wetsvoorstel aan de Tweede Kamer verstuurde.

Update 26 juni 2018: vandaag heeft de Eerste Kamer het wetsvoorstel helaas aangenomen. VVD, PvdA, CDA, ChristenUnie, SGP, OSF en D66 stemden vóór. GroenLinks, SP, 50Plus, PvdD en PVV stemden tegen. De motie-Bredenoord (D66) werd unaniem aangenomen. De motie-Strik (GroenLinks) werd helaas verworpen. De wet zal waarschijnlijk op 1 januari 2019 in werking treden.

Morgenmiddag debatteert de Tweede Kamer met staatssecretaris Dijkhoff (Veiligheid en Justitie) over het wetsvoorstel Computercriminaliteit III. Onder dit wetsvoorstel krijgen Nederlandse opsporingsdiensten (waaronder de politie) de bevoegdheid om computersystemen van verdachten op afstand te hacken. Vandaag verstuurde Privacy First hierover onderstaande brief aan Tweede Kamerleden. Klik HIER voor de eerdere brief over dit wetsvoorstel die Privacy First reeds begin dit jaar aan de Tweede Kamer verzond.

Geachte Kamerleden,

Morgen debatteert u met staatssecretaris Dijkhoff over diens controversiële wetsvoorstel Computercriminaliteit III. Voorafgaand aan de kritische hoorzitting over dit wetsvoorstel op 11 februari 2016 ontving u van Privacy First een brief met ons commentaar op dit wetsvoorstel.[1] De inhoud van deze brief geldt immer onverkort. Naar aanleiding van de recente Nota[2] van de staatssecretaris bij het wetsvoorstel zenden wij u hierbij ons aanvullend commentaar.

Noodzaak en proportionaliteit immer onaangetoond

In zijn poging tot beargumentering van de vereiste noodzaak en proportionaliteit van het wetsvoorstel blijft de staatssecretaris opnieuw hangen in een vaag verhaal dat riekt naar technologisch determinisme. De staatssecretaris laat zich immers vooral leiden door technologische mogelijkheden i.p.v. de klassieke verworvenheden van onze vrije democratische rechtsstaat. In de huidige fase van de parlementaire behandeling zijn de noodzaak en proportionaliteit van het wetsvoorstel door de staatssecretaris immer slechts gesteld, maar nimmer aangetoond. Iedere kwantificering ontbreekt nog steeds of duidt op de introductie van volstrekt disproportionele bevoegdheden. Het wetsvoorstel dient daarom te worden verworpen wegens strijd met de internationaalrechtelijk vereiste noodzaak en proportionaliteit onder artikel 8 van het Europees Verdrag voor de Rechten van de Mens (EVRM).

Geen misbruik van kwetsbaarheden in software

Mocht uw Kamer onverhoopt besluiten tot goedkeuring van het wetsvoorstel, dan acht Privacy First het onbestaanbaar dat de Nederlandse overheid nieuwe of onbekende kwetsbaarheden in software zou willen gebruiken (en dus misbruiken) om heimelijk toegang tot gegevens te kunnen verkrijgen. Dergelijk beleid brengt de integriteit en veiligheid van de gehele Nederlandse informatiesamenleving actief in gevaar. Privacy First roept uw Kamer hierbij dan ook op om het actuele amendement terzake van D66, GroenLinks en SP[3] unaniem te ondersteunen en er actief op toe te zien dat de Nederlandse overheid geen gebruik zal maken van kwetsbaarheden in software t.b.v. hacking.

Function creep

De bevoegdheden in het wetsvoorstel lijken nu weliswaar primair beperkt tot apparatuur van verdachten van ernstige misdrijven (en dus in principe geen apparatuur van onschuldige burgers met wie verdachten in contact staan). De geschiedenis leert echter dat dit type bevoegdheden in de loop der tijd altijd wordt uitgebreid. Door sluipende doelverschuiving (function creep) zal het dan ook slechts een kwestie van tijd zijn voordat de hack-bevoegdheden in het huidige wetsvoorstel voor de opsporing en vervolging van allerhande strafbare feiten zullen worden ingezet. Het huidige wetsvoorstel biedt hier reeds alle ruimte toe, aangezien de lijst misdrijven waarvoor de nieuwe bevoegdheden zal gelden eenvoudig zal kunnen worden uitgebreid bij Algemene Maatregel van Bestuur i.p.v. bij formele wetswijziging. In die zin is dit wetsvoorstel een typisch voorbeeld van function creep by legal design. De beste manier om deze function creep te voorkomen is door het huidige wetsvoorstel te verwerpen of het amendement terzake van D66[4] unaniem te steunen en wettelijke maatregelen te treffen om iedere vorm van buitenparlementaire function creep in te dammen.

Auto’s hacken en stopzetten

Begin dit jaar veroorzaakte dit wetsvoorstel grote maatschappelijke onrust[5] omdat het alle ruimte laat voor het hacken en stilzetten van auto’s op afstand. In politiekringen wordt deze mogelijkheid actief beoogd, zo weet Privacy First uit betrouwbare bron. De risico’s hiervan voor de verkeersveiligheid (ook van onschuldige inzittenden en omstanders) zijn enorm. Hetzelfde geldt voor het al dan niet opzettelijk hacken van computers in ziekenhuizen, industrie, vitale infrastructuur, pacemakers, medische wearables, etc. Het wetsvoorstel legt in dit opzicht geen enkele beperking op en de staatssecretaris laat deze heikele kwesties vrijwel onbesproken. Het is dan ook aan uw Kamer om alsnog orde op zaken te stellen door dergelijke inzet van hack-bevoegdheden eenvoudigweg te verbieden.

Framing van verdachten

Privacy First is zeer verontrust door de volgende bekentenis van de staatssecretaris:

“In theorie is het mogelijk dat een opsporingsambtenaar gegevens op een apparaat zet die de verdachte niet zelf op het apparaat heeft gezet. Op dit punt wijkt de situatie in de digitale wereld niet af van het analoge domein. Tijdens een huiszoeking kunnen verdovende middelen in een kast worden gelegd en tijdens de doorzoeking van een voertuig kunnen wapens in de kofferbak worden gelegd.”[6]

Hierbij verzoekt Privacy First uw Kamer om ervoor te zorgen dat burgers de best mogelijke wettelijke, organisatorische en technische bescherming tegen dergelijke framing-praktijken zullen krijgen, voorzover dit niet reeds het geval is onder bestaande strafbepalingen, beleid en techniek.

Grondige toetsing door rechter-commissaris

Privacy First verzoekt uw Kamer om er bij de staatssecretaris op aan te dringen dat de voorafgaande machtiging voor de inzet van bevoegdheden door de rechter-commissaris altijd met de grootst mogelijke zorgvuldigheid en grondigheid zal kunnen geschieden. In geen geval mag sprake blijken van oppervlakkige rubber-stamping wegens operationele druk of gebrek aan tijd en kennis bij de rechterlijke macht. De staatssecretaris dient er daartoe zorg voor te dragen dat de rechterlijke macht deze taken altijd naar beste vermogen zal kunnen uitvoeren.

Mogelijke rechtszaak Privacy First

Mocht het huidige wetsvoorstel ongewijzigd worden aangenomen, dan behoudt Privacy First zich het recht voor om dit wetsvoorstel, zodra van kracht, door de rechter te laten toetsen en onrechtmatig te laten verklaren.

Voor nadere informatie of vragen met betrekking tot bovenstaande is Privacy First te allen tijde bereikbaar op telefoonnummer 020-8100279 of per email: Dit e-mailadres wordt beveiligd tegen spambots. JavaScript dient ingeschakeld te zijn om het te bekijken..

Hoogachtend,

Stichting Privacy First

[1] Zie https://www.privacyfirst.nl/aandachtsvelden/online-privacy/item/1025-politie-wil-alle-computers-kunnen-hacken.html.

[2] Nota naar aanleiding van het verslag, Kamerstukken II, 2016-2017, 34372, nr. 6.

[3] Kamerstukken II, 2016-2017, 34372, nr. 11.

[4] Kamerstukken II, 2016-2017, 34372, nr. 9.

[5] Zie bijvoorbeeld 'Vrees voor hacken auto op snelweg', Telegraaf 11 februari 2016, p. 10.

[6] Nota naar aanleiding van het verslag, Kamerstukken II, 2016-2017, 34372, nr. 6, p. 52.

Update 14 december 2016: tijdens het Kamerdebat gisteren (dat tot laat in de avond duurde) passeerden veel van bovenstaande issues op kritische wijze de revue. Klik HIER om het hele debat te bekijken, klik HIER voor het woordelijk verslag en HIER voor de actuele lijst met voorgestelde amendementen. De stemming over het wetsvoorstel staat vooralsnog gepland op dinsdagmiddag 20 december as.

Update 20 december 2016: vandaag heeft de Tweede Kamer het wetsvoorstel helaas in vrijwel ongewijzigde vorm aangenomen. VVD, CDA, PvdA, SGP en ChristenUnie stemden voor. D66, GroenLinks, SP, PvdD en PVV stemden tegen. Klik HIER voor het stemmingsverslag. De amendementen om geen gebruik te maken van kwetsbaarheden in software (nr. 13), om function creep in te dammen (nr. 21), om bepaalde apparatuur uit te sluiten van de werking van het wetsvoorstel (nr. 20) en een motie inzake hack-software (nr. 22) werden helaas allemaal verworpen. Opvallend daarbij was dat PvdA-Kamerlid Oosenbrug enkele keren zelfstandig (en volkomen terecht) vóór privacyvriendelijke wets- en beleidswijzigingen stemde, tégen het standpunt van haar eigen PvdA-fractie in. In de optiek van Privacy First verdient het goede voorbeeld van dit Kamerlid brede navolging. Overigens diende de PvdA-fractie wel een 'compromis-motie' in die in grote meerderheid werd aangenomen:

"De Kamer,
gehoord de beraadslaging,
constaterende dat op grond van het voorliggend wetsvoorstel opsporingsinstanties gebruik mogen maken van kwetsbaarheden in geautomatiseerde werken;
van mening dat de overheid de veiligheid en integriteit van geautomatiseerde werken moet stimuleren, zoals door het bevorderen van responsible disclosure en door het stimuleren van derden om op uitnodiging van soft- of hardwarefabrikanten te zoeken naar kwetsbaarheden;
verzoekt de regering, te bewerkstelligen dat opsporingsinstanties onbekende kwetsbaarheden of software die daarvan gebruikmaakt alleen in het uiterste geval zullen inzetten,
en gaat over tot de orde van de dag."

Het is nu aan de Eerste Kamer om het wetsvoorstel binnenkort alsnog te verwerpen of de Tweede Kamer op bovenstaande punten te corrigeren.

Vandaag heeft het Nederlandse kabinet zijn langverwachte voorstel voor een nieuwe Wet op de inlichtingen- en veiligheidsdiensten (Wiv) bij de Tweede Kamer ingediend. Dit wetsvoorstel vormt een acute bedreiging voor de privacy van iedere Nederlander.

De voornaamste dreiging voor het recht op privacy in het wetsvoorstel bestaat uit de invoering van een massale internettap (sleepnet-bevoegdheid). De door het kabinet veronderstelde noodzaak hiervan is tot op heden echter niet aangetoond. Reeds hierom acht Privacy First het wetsvoorstel onrechtmatig. 

Daarnaast voorziet het wetsvoorstel onder meer in brede hack-bevoegdheden en bijbehorende decryptieverplichtingen (dit laatste zelfs op straffe van hechtenis), directe toegang tot databanken van overheid en bedrijfsleven, internationale uitwisseling van ongeëvalueerde bulk-data en eindeloze koppeling, datamining en profiling in massale hoeveelheden gegevens van voornamelijk onschuldige burgers. Deze excessieve uitbreiding van bevoegdheden gaat bovendien niet gepaard met bijbehorende waarborgen, zoals privacy by design. Ondanks het (eerder door Privacy First geadviseerde) versterkte toezicht op de diensten kan Privacy First dan ook niet anders concluderen dan dat het huidige wetsvoorstel in de kern ronduit totalitair is. In een wereld die in toenemende mate gekenmerkt zal worden door Big Data en het Internet of Things zal dit wetsvoorstel zich dan ook met name goed lenen voor toekomstig machtsmisbruik.

Privacy First herhaalt hierbij haar eerdere waarschuwing dat dit wetsvoorstel alsnog grondig ingeperkt danwel verworpen dient te worden. Bij gebreke hiervan behoudt Privacy First zich het recht voor om het wetsvoorstel, zodra van kracht, door de rechter te laten toetsen en onrechtmatig te laten verklaren.

Beluister tevens de reactie van Privacy First vanochtend bij BNR Nieuwsradio. Nader commentaar van Privacy First op het wetsvoorstel volgt binnenkort bij de parlementaire behandeling.

"Boordcomputers gemakkelijk te kraken. Tweede Kamer bespreekt wetsvoorstel.

Auto's dreigen speelbal te worden van cybercriminelen en de politie. Dat komt omdat de computersystemen aan boord kinderlijk eenvoudig te kraken zijn. De ANWB en verschillende privacyorganisaties maken zich daar grote zorgen over.

De auto- en privacyorganisaties vrezen dat agenten auto's op de snelweg van afstand kunnen stopzetten, met alle gevaren voor de overige weggebruikers van dien.

Vandaag wordt in de Tweede Kamer gesproken over het wetsvoorstel Computercriminaliteit, waarin is opgenomen dat de politie de mogelijkheid krijgt om vrijwel alle computers die op internet aangesloten zijn, te kunnen hacken. De ANWB vreest dat de politie door het hacken van boordcomputers auto's op afstand staande kan houden.

„Dat kan bijvoorbeeld als alternatief voor het creëren van een filefuik gebeuren", zegt directeur Frits van Bruggen van de ANWB. „De ANWB vindt dit zowel vanuit het oogpunt van verkeersveiligheid als privacybescherming zeer zorgelijk. Daarnaast werkt brede toegankelijkheid van genoemde systemen voertuigcriminaliteit in de hand."

Het ministerie van Veiligheid en Justitie erkent dat navigatiesystemen en boordcomputers gehackt kunnen worden. (...) Hoewel het hacken van auto's voor velen als sciencefiction klinkt, is het dichterbij dan ooit, juist omdat er steeds meer geavanceerde apparatuur in auto's wordt geplaatst. „Technisch is het absoluut mogelijk om een auto tot stilstand te brengen via een hack", zegt privacyonderzoeker Jaap-Henk Hoepman van de Radboud Universiteit. „In Amerika is dat recentelijk al gebeurd."

Volgens deskundigen als Wim van Campen is hacken van auto's bijzonder gemakkelijk, omdat de meeste autofabrikanten geen of nauwelijks aandacht hebben voor de beveiliging van de systemen aan boord. (...)

Privacyorganisaties Bits of Freedom en Privacy First zijn eveneens fel gekant tegen het wetsvoorstel. Volgens de belangenclubs zijn de maatschappelijke noodzaak en proportionaliteit ver te zoeken. „De hackbevoegdheid in het wetsvoorstel beperkt zich immers niet tot apparaten van verdachten, maar ook tot daarmee in verbinding staande apparatuur van onschuldige, nietsvermoedende burgers. De minister sluit in de memorie van toelichting zelfs niet uit dat pacemakers worden gehackt.""

Bron: Telegraaf 11 februari 2016, sectie Binnenland, p. 10. Tevens online beschikbaar, klik HIER.

Vandaag vindt in de Tweede Kamer een belangrijke hoorzitting plaats over het wetsvoorstel Computercriminaliteit III. In dit kader leverde Privacy First gisteren kritische inbreng aan relevante Kamerleden. Enkele passages uit onze brief verschenen vanochtend in De Telegraaf, klik HIER. Hieronder de volledige tekst van onze brief (klik HIER voor de originele versie in pdf):

Geachte leden van de Tweede Kamer,

Morgen vindt een hoorzitting plaats over het wetsvoorstel Computercriminaliteit III. Door dit wetsvoorstel dreigt de overheid zelf de grootste cybercrimineel te worden. Privacy First zet hieronder kort uiteen waarom.

Pacemakers hacken

Onder het wetsvoorstel krijgt de politie de bevoegdheid om vrijwel alle computers die op internet aangesloten zijn te kunnen hacken, inclusief smartphones, televisies, fototoestellen, autonavigatie, boordcomputers, medische systemen, etc. etc. De politie wil zelfs pacemakers kunnen hacken, zo blijkt uit p. 86 van de Memorie van Toelichting bij het wetsvoorstel. Geen enkel apparaat wordt uitgesloten. Enige voorwaarde lijkt slechts te zijn dat het betreffende apparaat in verbinding staat met het internet. Met het 'Internet of Things' in zicht (waarbij vrijwel de hele maatschappij op internet aangesloten kan worden, tot en met sportschoenen en koelkasten aan toe) is deze bevoegdheid ronduit totalitair. Het zal dan ook slechts een kwestie van tijd zijn voordat de hackbevoegdheden in dit wetsvoorstel voor allerlei onvoorziene doelen worden gebruikt en misbruikt. Het huidige wetsvoorstel beperkt dit totaal niet en laat er juist alle ruimte toe. Reeds op basis hiervan dient het wetsvoorstel verworpen te worden.

Disaster by legal design

In politiekringen wordt de doelverschuiving (function creep) die in dit wetsvoorstel ingebakken zit juist beoogd, zo weet Privacy First uit betrouwbare bron. Bijvoorbeeld om auto’s op afstand te kunnen hacken en stilzetten (politiefuik op afstand). Technisch is dit prima mogelijk te maken en het wetsvoorstel verbiedt dit ook niet. De risico’s hiervan voor de verkeersveiligheid (met name ook van onschuldige inzittenden en omstanders) zijn echter enorm. Hetzelfde geldt voor computers in ziekenhuizen, industrie, vitale infrastructuur, etc. Waarom legt het wetsvoorstel in dit opzicht geen enkele beperking op?

Noodzaak ontbreekt

De internationaalrechtelijk vereiste “maatschappelijke noodzaak” en proportionaliteit van dit wetsvoorstel zijn ver te zoeken, zo heeft zelfs het doorgaans coulante College Bescherming Persoonsgegevens (nu Autoriteit Persoonsgegevens) begin 2014 terecht gesteld. Vervolgens lag dit controversiële wetsvoorstel enkele jaren stil, maar lijkt nu alsnog opeens door de Tweede Kamer heen te worden gejaagd. Vanwaar opeens deze haast?

Iedere burger vogelvrij

Door dit wetsvoorstel lijkt ieders computer, tablet, smartphone etc. (zelfs in het buitenland!) vogelvrij te worden verklaard. De hackbevoegdheid in het wetsvoorstel beperkt zich immers niet tot de apparatuur van verdachten, maar ook tot daarmee in verbinding staande apparatuur van onschuldige, nietsvermoedende burgers. Iedere burger als potentieel target van de overheid. Hadden we de laatste jaren nu juist niet geleerd dat dit geen heilzame weg is voor een democratische rechtsstaat?

Kruispunt

Nederland staat momenteel op een kruispunt. Welk voorbeeld willen we voor de rest van de wereld zijn? Ons land heeft alle randvoorwaarden om van Nederland een veilig Privacy Gidsland te kunnen maken. Het huidige wetsvoorstel vormt echter een typische bouwsteen voor een politiestaat, niet voor een democratische, op vrijheid en vertrouwen gebaseerde rechtsstaat. Bij de internetconsultatie van een eerdere versie van dit wetsvoorstel in 2013 heeft Privacy First dit ook al gesteld. Afgezien van de latere schrapping van het decryptiebevel uit het wetsvoorstel is het treurig om te moeten constateren dat er sindsdien weinig veranderd is. Privacy First pleit voor privacy by design, niet alleen middels techniek, maar ook middels privacyvriendelijke wetgeving en beleid. Door dit wetsvoorstel raakt de overheid echter gebaat bij suboptimale, door de overheid te kraken ICT-beveiliging. Daarmee zet de overheid koers richting een maatschappij waarin ieders privacy illusoir wordt.

Privacy Impact Assessment ontbreekt

Nog steeds is er bij dit wetsvoorstel geen sprake van een grondige en onafhankelijke Privacy Impact Assessment (PIA). De bijbehorende “PIA” is niet meer dan een oppervlakkig afvinklijstje en is de term PIA niet waard. Ook de privacyparagraaf in de Memorie van Toelichting is flinterdun en slechts bedoeld om het wetsvoorstel te legitimeren. Gezien de veiligheidsrisico’s van dit wetsvoorstel ligt bovendien een Security Impact Assessment voor de hand. Bij deze stand van zaken kan Privacy First dit wetsvoorstel dan ook überhaupt niet serieus nemen.

Tweede Kamer aan zet

Mocht het huidige wetsvoorstel ongewijzigd beide Kamers passeren, dan zal Privacy First niet aarzelen om het door de rechter onrechtmatig te laten verklaren. Het is nu aan de Tweede Kamer om het niet zover te laten komen.

"Dat klinkt als een sympathieke maatregel, maar niet iedereen is even enthousiast. "Het is een beetje hypocriet."

Vorige week was Reuters kritisch over het optreden van Microsoft in 2011. Twee oud-medewerkers vertelden het persbureau dat ze wisten dat de Chinese overheid onder andere Tibetaanse minderheden aanviel, maar nalieten de desbetreffende mensen in te lichten.

Mede hierdoor maakte Microsoft vandaag bekend gebruikers van haar diensten een melding te zullen sturen als ze worden gehackt door bedrijven of overheden.

Kritisch
Dat klinkt misschien als goed nieuws, maar Vincent Böhre van stichting Privacy First is kritisch. "Vanaf morgen geldt voor Nederlandse bedrijven een meldplicht datalekken. Die houdt in dat een inbraak waarbij persoonsgegevens gestolen of misbruikt worden, gemeld moet worden aan het College bescherming persoonsgegevens (CBP) en bij de klanten om wie het gaat." Bedrijven moeten het dus sowieso al melden als je bent gehackt.

Toegang tot gegevens
Ook over het melden van door overheden uitgevoerde hacks is Böhre sceptisch. "Het is een beetje hypocriet. We vragen ons af of het ook voor onze eigen overheid en andere Westerse overheden zal gelden." Nu heeft bijvoorbeeld de NSA nog gewoon toegang tot gegevens van Microsoft.

Grote ICT-bedrijven als Facebook en Twitter gingen Microsoft voor. Böhre: "Die doen dit inderdaad al jaren, dus vernieuwend is het niet.""

Bron: http://www.bnr.nl/incoming/171660-1512/microsoft-gaat-het-je-vertellen-als-je-wordt-gehackt, 31 december 2015.