All posts by axelarnbak

74e FD Column: Plannen om versleuteling te ondermijnen zijn onveilig en gevaarlijk

Deze column staat in Het Financieele Dagblad van 9 januari 2020. Volg deze link voor mijn eerdere FD columns.

Geschiedenis herhaalt zich, ook in de relatief recente historie van het internet. Sinds de jaren negentig lanceren overheden iedere drie tot vijf jaar een voorstel om de versleuteling van internetcommunicatie te ondermijnen. Steeds is het debat heftig en emotioneel. En iedere keer is de uitkomst toch dat robuuste versleuteling onmisbaar is voor de werking van het internet, en daarmee ook voor onze financiële markten, ziekenhuizen, snelwegen en al het andere dat ons lief is in de digitale wereld.

 

Illustratie: Hein de Kort voor Het Financieele Dagblad.

 

Weliswaar kunnen kwade krachten – van terroristen via drugskartels tot kindermisbruikers – hun communicatie dan ook versleutelen. Desondanks blijken gerichte en slimme opsporingsacties succesvol om criminele netwerken op te rollen, kunnen de onmisbare voordelen van betrouwbare communicatie blijven bestaan en kan onze informatiesamenleving zich doorontwikkelen.

Nieuwe pogingen

Minister van Justitie en Veiligheid Ferdinand Grapperhaus en zijn evenknieën in de Verenigde Staten, het Verenigd Koninkrijk en Australië, maakten zich recent weer eens schuldig aan nieuwe pogingen om technologiebedrijven te verplichten een ‘exclusieve achterdeur’ te bouwen in hun versleutelde producten, zodat alleen ‘de overheid’ kan meeluisteren. Al dertig jaar klimmen experts, het bedrijfsleven en het maatschappelijk middenveld dan weer zuchtend in de pen om de samenleving te herinneren aan ons vorige dansje in deze cryptowars, bijvoorbeeld rondom de versleuteling van de 5G-standaard en de iPhone.

Maar de Amerikaanse minister van justitie William Barr gooide onlangs een nieuwe steen in deze versleutelingsvijver. Barr wil preventief alle internetcommunicatie scannen op ‘schadelijke informatie’. De adjudant van Trump stelt, misschien zonder het zelf te realiseren, in feite volledige surveillance van alle internetcommunicatie voor, zoals dictatoriale regimes dat kennen. Zijn plan moet, los van de juridische onmogelijkheid in de Europese Unie, principieel te vuur en te zwaard worden bestreden. Continue reading 74e FD Column: Plannen om versleuteling te ondermijnen zijn onveilig en gevaarlijk →

73e FD Column: EU moet toezichthouders verplichten tot samenwerking

Deze column staat in Het Financieele Dagblad van 12 december 2019. Volg deze link voor mijn eerdere FD columns.

Tien jaar geleden al waarschuwde toenmalig Eurocommissaris voor Consumentenbescherming Meglena Kuneva in een vaak geciteerde speech dat ‘persoonsgegevens de nieuwe olie, oftewel valuta van de digitale wereld zijn’.

Al gaat de oliemetafoor niet helemaal op, de beschikkingsmacht over persoonsgegevens is inderdaad existentieel voor geopolitieke en economische macht: in 2019 zijn zeven van de acht grootste bedrijven ter wereld (naar marktwaarde) actief in de data-economie.

 

Illustratie: Hein de Kort voor Het Financieele Dagblad

 

Gek genoeg kwam het toezicht op die economie in 2019 pas echt op gang, tien jaar – een eeuwigheid in internettijd – na Kuneva’s bezorgde speech. In 2020 zullen toezichthouders over elkaar heen buitelen met de ene na de andere megaboete om die ook door verontrustte burgers gevoelde achterstand in te halen.

Juist in die haast met boete enschuld schuilt een monumentale uitdaging. Toezichthouders van allerlei pluimage uit allerlei landen bekijken de datawereld ieder door hun eigen bril, zoals het borgen van privacy, gezondefinanciële markten, een eerlijke behandeling van consumenten, of concurrentie op een specifieke markt.

Tegelijkertijd scheren activiteiten van ondernemingen dwars door al die conceptuele afbakeningen en landsgrenzen heen. Daarin schuilt een reëel risico voor zowel toezicht als onderneming: enerzijds worden ondernemingen door de verkeerde toezichthouder onrechtmatig bestraft en draait de rechter dat later terug, anderzijds zijn toezichthouders soms te mild in hun beoordeling waar andere waakhonden in hun toets van dezelfde activiteit veel harder zouden doorbijten.

De noodzakelijke Europese wetgeving die toezichthouders dwingt tot samenwerken en delen van competentie en boetebevoegdheden, oftewel van macht en geld voor de staatskas, zal er ook in 2020 niet komen. Rechtsonzekerheid voor ondernemingen en verder wantrouwen van de burger in het beschermingsvermogen van hun overheid in de digitale wereld, zijn het kind van de rekening. Continue reading 73e FD Column: EU moet toezichthouders verplichten tot samenwerking →

72e FD Column: Toekomstvisie Autoriteit Persoonsgegevens is nog lege huls zonder slagkracht en gezag

Leave a comment

Deze column staat in Het Financieele Dagblad van 14 november 2019. Volg deze link voor mijn eerdere FD columns.

‘In de beperking toont zich pas de meester’. Misschien wel geïnspireerd door deze beroemde strofe van de Duitse schrijver, staatsman en homo universalis Johann Wolfgang von Goethe, publiceerde privacytoezichthouder Autoriteit Persoonsgegevens (AP) maandag voor het eerst een meerjarenbeleid voor toezicht op onze datasamenleving. Titel van deze strategie: ‘Focus AP 2020-2023’.

Illustratie: Hein de Kort voor Het Financieele Dagblad

 

Naarmate onze samenleving steeds sneller dataficeert, daagt de privacywet Algemene Verordening Gegevensbescherming (AVG) de structureel onderbezette waakhond AP uit om zo’n beetje alles en iedereen overal en altijd in de gaten te houden. Met haar lezenswaardige strategie en zelfopgelegde focus op ‘datahandel, digitale overheid en artificiële intelligentie & algoritmes’ beperkt de AP zich tot de kern en toont zij een glimp van meesterschap in wording.

Toch heeft de AP de grootste uitdaging nog voor de boeg. Al sinds 1 januari 2016 kan de AP hoge boetes opleggen voor privacyschendingen. Ook is de strenge privacywet AVG sinds 25 mei 2018 in werking. Maar waar andere datawaakhonden in Europa na decennia van doormodderen eindelijk voldoende budget krijgen en stevig doorbijten, houdt de overheid hier de hand ferm op de knip en moet de AP haar tanden nog laten zien. Bovendien weifelt en wankelt de AP inhoudelijk op cruciale thema’s en lijkt zij onwenselijk geobsedeerd door toestemming als de ‘gouden grondslag’ voor dataverwerkingen. Zonder slagkracht en gezag dreigt de lovenswaardige strategie van de AP alsnog te stranden in goede bedoelingen. Continue reading 72e FD Column: Toekomstvisie Autoriteit Persoonsgegevens is nog lege huls zonder slagkracht en gezag →

68th FD Column: Dutch courts pave the way for sweeping mass claims following privacy violations [translation]

Leave a comment

By popular demand, here is a quick and dirty translation of my column in the Dutch Financial Times of 25 July 2019. Follow this link for other columns (in Dutch).

What does a simple privacy breach actually cost? This straightforward question has been the subject of heated academic debate for decades. Recently, a Dutch district court gave the municipal authority of Deventer a short and effective answer: EUR 500,- plus legal costs.

The municipal authority of Deventer is probably able to pay up. However, governments and companies who process personal data of millions of people feel the heat. The stringent EU General Data Protection Regulation (GDPR), particularly in combination with the renewed Dutch Class Action (Final Settlement) Act and an international court procedure created in The Netherlands, create fertile ground in the Lower Countries for mass claims litigation lodged by international interest groups. Such collectives are now able to credibly claim EUR 500 per affected person for a simple privacy breach. Multiply that, or even EUR 50, with millions of end users, and the funk may soon hit the fan for large organisations that violate privacy laws on a large scale.

Enforcement actions by understaffed Data Protection Authorities (DPAs) have been few and far between in Europe for the past twenty years. However, funding is increasing for DPAs, as is their authority to issue fines that may even amount up to 4% of global annual turnover of a company. Especially the combination of such enforcement actions and mass claims litigation will become a game changer for privacy protections in Europe, and will force large companies and governments to handle our data in line with applicable laws, the GDPR in particular.

Visual: Max Kisman for Het Financieele Dagblad

Continue reading 68th FD Column: Dutch courts pave the way for sweeping mass claims following privacy violations [translation] →

71e FD Column: Parlementaire democratie grote verliezer door onmacht EU om online privacy te reguleren

Deze column staat in Het Financieele Dagblad van 17 oktober 2019. Volg deze link voor mijn eerdere FD columns.

Iedereen realiseert zich inmiddels dat tientallen bedrijven over je schouder meekijken bij iedere klik of swipe op het wereldwijde web. Geraffineerde volgtechnieken, zoals ‘cookies’, ‘browser fingerprints’ en ‘tracking pixels’, vormen het technische fundament een online advertentiemarkt van ruim $300 mrd, $500 mrd in 2023.

De gemiddelde consument denkt dat de veelbesproken, strenge en algemene Europese privacywet AVG beschermt tegen zulke online volgpraktijken. Maar eigenlijk reguleert vooral de onbekendere specialistische E-Privacy Richtlijn, aangenomen in 2002 en voor het laatst herzien in 2009, de bescherming van privacy en het communicatiegeheim bij bellen en internetten. De Europese Commissie poogde begin 2017 de tien jaar oude regels bij de tijd te krijgen, maar tot op heden heeft de EU geen noemenswaardige stap verder gezet.

Illustratie: Hein de Kort voor het Het Financieele Dagblad

 

De realiteit haalt Brussel intussen in. Niet alleen ontwikkelt de industrie eigen spelregels voor online volgen, die uiteraard net iets gunstiger uitpakken voor de industrie. De afgelopen maanden dienden activisten op hun beurt klachten in bij datatoezichthouders en rechters over die online volgpraktijken. Een paar weken terug vulde de hoogste Europese rechters cruciale normen over E-Privacy alvast in voor de pat gestelde politici. En een paar dagen terug introduceerde het Finse voorzitterschap van de Europese Raad opnieuw een E-Privacy voorstel, maar de verwachting is dat ook deze poging de eindstreep niet zal halen. Iedereen blijft achter met rechtsonzekerheid en per land verschillende normen en beschermingsniveaus. Daarnaast is de Europese parlementaire democratie de grote verliezer. Continue reading 71e FD Column: Parlementaire democratie grote verliezer door onmacht EU om online privacy te reguleren →

70e FD Column: Megaboete Marriott toont kommer, kwel en kansen bij data-gedreven fusies en overnames

Deze column staat in Het Financieele Dagblad van 19 september 2019. Volg deze link voor mijn eerdere FD columns.

Heeft u tussen 2014 en 2018 in een Sheraton-, Westin- of Le Meridien-hotel geslapen? Dan bent u bestolen, zonder dat u, 339 miljoen (!) lotgenoten en hoteleigenaar Starwood Hotels dat wisten. Pas in november 2018 werd bekend dat criminelen al die jaren niet zozeer ongemerkt miljoenen hotelkamers hebben gekraakt, maar waardevolle creditcard, paspoort-, reis- en contactgegevens hebben gejat uit een pover beveiligd reserveringssysteem.

Illustratie: Hein de Kort voor Het Financieele Dagblad

 

Zo’n reusachtige hack is op zichzelf al nieuws, maar echt uniek is de op 9 juli van dit jaar aangekondigde boete van €110 mln door Britse datatoezichthouder ICO – vooral omdat niet Starwoord, maar Marriott International Inc. moet bloeden. Die hotelgroep nam Starwood namelijk in 2016 over en moet volgens de ICO boeten omdat zij ‘faalde voldoende due diligence (boekenonderzoek) uit te voeren toen het Starwood kocht’ en daarna ‘meer had moeten doen om die systemen te beveiligen’. Continue reading 70e FD Column: Megaboete Marriott toont kommer, kwel en kansen bij data-gedreven fusies en overnames →

69e FD Column: Zorg over effect digitaal speelgoed op ontwikkeling kinderen is terecht

Deze column staat in Het Financieele Dagblad van 22 augustus 2019. Volg deze link voor mijn eerdere FD columns.

Kinderen hebben de toekomst. Maar kunnen kinderen in onze hyperverbonden toekomst nog wel kind zijn? Datatoezichthouders maken zich grote zorgen om de staat van privacy en cybersecurity in kinderspeelgoed. De eerste hoge boetes op grond van privacywet AVG zijn aanstaande.

 

Illustratie: Hein de Kort voor Het Financieele Dagblad

 

Minder bekend, maar even zorgwekkend zijn incidenten over digitale manipulatie en problemen in de ontwikkeling van kinderen door blootstelling aan bizarre content. De Europese Commissie bezint zich momenteel op nieuwe wetgeving. Hoog tijd dat kinderen ook in de informatiesamenleving nog even kind mogen blijven en nog even niet bedolven worden onder digitale spionage en manipulatie. Continue reading 69e FD Column: Zorg over effect digitaal speelgoed op ontwikkeling kinderen is terecht →

68e FD Column: Met toekenning hoge schadevergoeding geeft rechter startschot voor massaclaims privacy

Deze column staat in Het Financieele Dagblad van 25 juli 2019. Volg deze link voor mijn eerdere FD columns.

Wat kost een basale privacyschending? Deze simpele vraag is al decennialang onderwerp van hevig academisch debat. Recent gaf een rechter ineens een kort en krachtig antwoord aan de gemeente Deventer: €500, plus proceskosten. Voor Deventer allicht betaalbaar, maar datagulzige overheden en bedrijven die persoonsgegevens van miljoenen burgers of consumenten verwerken, zijn gewaarschuwd. Zeker nu de strenge privacywet AVG en de vernieuwde Wet collectieve afwikkeling massaschade (WCAM) juist in Nederland een vruchtbare bodem creëren voor massaclaims door stichtingen, die nu €500 per getroffen persoon kunnen claimen voor een basale privacyschending. Handhaving van privacywetten door onderbezette datatoezichthouders is de afgelopen twintig jaar overal in Europa achtergebleven. Maar de combinatie van zulk toezicht met civiele massaclaims, lijkt de komende jaren meer kans te maken dataslurpers te dwingen zorgvuldiger met onze data om te gaan.

Illustratie: Max Kisman voor Het Financieele Dagblad

Continue reading 68e FD Column: Met toekenning hoge schadevergoeding geeft rechter startschot voor massaclaims privacy →

67e FD Column: Veiligheidsdiensten willen onveilige 5G-standaard. Voor onze veiligheid

Deze column staat in Het Financieele Dagblad van 27 juni 2019. Volg deze link voor mijn eerdere FD columns.

Wij staan aan de vooravond van een samenleving waarin niet alleen onze smartphones, maar alle apparaten altijd razendsnel met elkaar zijn verbonden. ‘5G’, de nieuwe generatie mobiele communicatienetwerken, moet het fundament vormen voor een toekomstige informatiesamenleving waarin auto’s zelf rijden, fabriekslijnen zichzelf intuïtief optimaliseren en sociale media verworden tot virtuele videowerelden waarin onze avatars altijd en overal tegelijkertijd zijn.

Illustratie: Hein de Kort voor Het Financieele Dagblad

 

Die hyperverbonden toekomst is weer een stap dichterbij gekomen met de recente aankondiging van het kabinet om na de zomer 5G-vergunningen te gaan veilen. Midden in spionagebeschuldigingen en de handelsoorlog tussen China en de VS, woedt nu publiekelijk het debat of het Chinese telecombedrijf Huawei mag meedoen. Maar achter de schermen maken veiligheidsdiensten zich zorgen dat 5G te veilig wordt en zo het ouderwets afluisteren van telefoon- en internetverkeer moeilijker maakt. Hun voorstel: maak 5G-technologie dom, onveilig en onbetrouwbaar, zodat wij voor uw veiligheid ouderwets kunnen blijven afluisteren.

Dit schadelijke pleidooi gaat compleet voorbij aan de legio nieuwe mogelijkheden die de nieuwe verbondenheid biedt om de samenleving in de gaten te houden. Bovendien is cybercrime en spionage juist een hardnekkig maatschappelijk probleem geworden omdat dezelfde veiligheidsdiensten, helaas met succes, precies dezelfde paradox opwierpen rondom de GSM-standaard in de jaren 80 en vooral het Internet Protocol (‘IP’) in de jaren 90. Het is in ieders belang dat de politiek en het bedrijfsleven zich dit keer niet laten verleiden en de veiligheid van 5G juist vooropstellen. Continue reading 67e FD Column: Veiligheidsdiensten willen onveilige 5G-standaard. Voor onze veiligheid →

66e FD Column: Internet der Dieren wil biodiversiteit redden, maar kan ramp zijn voor onze vrijheid

Deze column staat in Het Financieele Dagblad van 2 mei 2019. Volg deze link voor mijn eerdere FD columns.

Het Internet der Dieren is in aanbouw. Wat twintig jaar geleden begon als een studie naar de vlekborstmiervogel vanuit een mast in de Panamese jungle, moet zich de komende jaren ontwikkelen tot een netwerk van tienduizend gechipte diersoorten die vanuit de ruimte worden gevolgd. Al die data komen samen bij een metershoge antenne, die twee Russische astronauten in augustus vastklikten op internationaal ruimtestation ISS. Het Duits-Russische onderzoeksprogramma Icarus (International Cooperation for Animal Research Using Space) heeft de astronomische ambitie om het dierenrijk te dataficeren en belooft zo de biodiversiteit op aarde te redden, natuurrampen te voorspellen en epidemieën beter te bestrijden.

Illustratie: Hein de Kort voor het Financieele Dagblad

 

Tegelijkertijd kan het project ook rampzalige gevolgen hebben voor onze vrijheid. Icarus heeft namelijk de bijzondere interesse gewekt van ‘big tech’. Jeff Bezos, ceo van Amazon, nodigde de initiatiefnemers onlangs uit om te verkennen wat Amazon voor Icarus kan betekenen – en vice versa uiteraard. Of grote techfirma’s Icarus incorporeren om de mens massaal te volgen, ligt nu in de handen van een paar geniale biologen met beperkte financiële middelen. Op de horizon ligt de in Silicon Valley breed gedragen toekomstvisie, waarin mens en computer samensmelten en ons economische en maatschappelijke leven net zo overzichtelijk en voorspelbaar moet worden als een computerspel. In die maakbare wereld is geen plaats voor de vrije wil en ander menselijk gedoe – denk aan privacy, debat en een vergeten smartphone. Zoals zo vaak spelen veelal door geld gedreven keuzes van een paar wetenschappers een cruciale rol in de koers van onze hypertechnologische samenleving van morgen. Continue reading 66e FD Column: Internet der Dieren wil biodiversiteit redden, maar kan ramp zijn voor onze vrijheid →

65e FD Column: Ook op de werkplek staat privacy onder druk

Deze column staat in Het Financieele Dagblad van 21 maart 2019. Volg deze link voor mijn eerdere FD columns.

Na tests op vluchtelingen, gevangenen en soldaten, is het massaal de beurt aan de beroepsbevolking om door de baas aan geavanceerde surveillancetechnologie te worden onderworpen. Meestal zijn de motieven legitiem, soms zijn de methodes dat ook. Vaak genoeg is werknemersspionage niet alleen juridisch problematisch, maar lost het ook niks op. Net als in andere domeinen, zoals criminaliteitsbestrijding en online adverteren, biedt het opslaan van meer data en meer surveillance slechts een schijnoplossing voor dieper liggende kwesties.

Illustratie: Hein de Kort voor het FD

 

Sinds jaar en dag wordt technologie ingezet om werknemers te beheersen. In zijn meesterwerk Modern Times (1936) worden Charlie Chaplin en collega’s door de baas in de smiezen gehouden en vermanend toegesproken via een videoverbinding, overigens de inspiratie voor de beroemde telescreens en slogan ‘Big Brother is watching you’ in de beruchte roman ‘1984’ van George Orwell. Toegangspoortjes, camera’s en opzichters bespieden ons nog tenminste in ons gezicht. Maar naarmate technologie kleiner en krachtiger wordt, wordt haar inzet onopvallender en indringender. Iedere werknemer voelt soms wel dat de baas meekijkt, maar vrijwel niemand weet precies welke geraffineerde data-analyses en andere spionagetechnieken werkgevers kunnen loslaten op hun beroepsbevolking. Continue reading 65e FD Column: Ook op de werkplek staat privacy onder druk →

64e FD Column: Industriestandaard zonder marktprikkels maakt internet der dingen niet veiliger

Deze column staat in Het Financieele Dagblad van 7 maart 2019. Volg deze link voor mijn eerdere FD columns.

In maart 2017 legde ransomware-aanval WannaCry 34% van de Britse zorginstellingen een week lang plat. 19.000 afspraken moesten worden verzet, de eerstehulpafdelingen van tientallen ziekenhuizen moesten worden geëvacueerd. In hetzelfde jaar hackten onderzoekers een FiatChrysler Jeep via de internetverbinding van het entertainmentsysteem. Zij konden het dashboard, gaspedaal en zelfs het stuur van ruim 1,7 miljoen auto’s van afstand te besturen.

Illustratie: Hein de Kort voor het FD

Het online ziekenhuis, de connected car en de web-based pacemaker; het klinkt allemaal prachtig, totdat wij ons realiseren dat het internet der dingen levensgevaarlijk is.

Overal ter wereld hebben politici in hoog tempo wetten aangenomen om minimum beveiligingseisen, zorgplichten en meldplichten op te leggen aan fabrikanten van internetdingen en organisaties die kritieke maatschappelijke functies vervullen. Die wetten zijn de afgelopen maanden van kracht geworden. Maar de normen in die wetgeving zijn open en abstract gelaten. De techniek ontwikkelt zich razendsnel en politici wagen zich meestal niet aan de details van cybersecurity. Continue reading 64e FD Column: Industriestandaard zonder marktprikkels maakt internet der dingen niet veiliger →