83e FD Column: Versplintering privacytoezicht vergt sterker Europa

Deze column staat in Het Financieele Dagblad van 13 november 2020 en is een bewerking van mijn opening statement tijdens de hoorzitting “Rondetafelgesprek inzage rapporteurschap AVG” in de Tweede Kamer op 19 november 2020.

Volg deze link voor mijn eerdere FD columns.

82e FD Column: Niemand kan integriteit verkiezingen VS garanderen

Deze column staat in Het Financieele Dagblad van 15 oktober 2020. Volg deze link voor mijn eerdere FD columns.

Illustratie: Hein de Kort voor Het Financieele Dagblad 

In het kort

  • Technologie stemproces in VS oud en onveilig.
  • Stemsystemen in kiesdistricten kunnen worden gehackt.
  • Dat maakt het onmogelijk om eerlijke uitslag te garanderen.

Meer dan ooit zijn de Amerikaanse presidentsverkiezingen verworden tot een tragikomisch schouwspel over een wereldmacht in verval, en een dans op de vulkaan vanuit cybersecurityperspectief. Het verkiezingsproces leunt namelijk op hopeloos verouderde computersystemen, kwetsbaar voor verkiezingsfraude of sabotage.

De spectaculaire digitale veldslag die onlangs in de publiciteit kwam tussen cybercriminelen, Amerikaanse inlichtingendiensten en Microsoft rondom het neerhalen van het cybercrimeplatform Trickbot, vormt helaas slechts een druppel op een gloeiende plaat. Via Trickbot stond kennelijk een collectie van twee miljoen computers (een botnet) klaar om Amerikaanse stemsystemen te ontregelen.

Zolang de stemtechnologie en procedures in cruciale Amerikaanse kiesdistricten zo lek als een mandje blijven, kan niemand met zekerheid stellen of de Amerikaanse verkiezingen van 3 november geldig of gemanipuleerd zijn. Dat wordt vooral een groot probleem als de twist tussen president Donald Trump en uitdager Joe Biden een nek-aan-nekrace blijkt te zijn.

Continue reading 82e FD Column: Niemand kan integriteit verkiezingen VS garanderen →

81e FD Column: Nederland gaat Verenigde Staten achterna als onveilige datahaven

Deze column was het weekendessay van Het Financieele Dagblad van 18 september 2020. Volg deze link voor mijn eerdere FD columns.

Illustratie: Hein de Kort voor het Financieele Dagblad 

In het kort

  • Nederland heeft na rapport CTIVD serieus probleem op juridisch, imago- en politiek vlak.
  • Eerste Kamer kan reparatiewet niet aanpassen.
  • Civiele massaschadeclaim tegen diensten is een mogelijkheid.

Na zeven jaar procederen en twee baanbrekende uitspraken van het Europese Hof van Justitie barstte onlangs de Trans-Atlantische databom. In een uitgelekt voorlopig besluit verbiedt de Ierse datatoezichthouder DPC techgigant Facebook om Europese data naar haar thuisbasis in de VS te sturen, omdat het EU-Hof op 16 juli oordeelde dat Amerikaanse wetgeving en inlichtingendiensten het grondrecht op privacy van Europeanen onvoldoende respecteren.

In dezelfde week constateerde de Nederlandse spionnenwaakhond CTIVD in een vernietigend rapport dat de AIVD en MIVD al twee jaar ‘onrechtmatig’ handelen. Zo zouden zij de privacywaarborgen in de Wiv2017, beter bekend als de ‘sleepwet’, doelbewust met ‘kunstgrepen’ omzeilen, om omvangrijke datasets te kunnen delen met andere diensten in andere landen.

Inderdaad, waar Facebook van de DPC twee maanden na de uitspraak van het EU-Hof moet stoppen met intercontinentale data-export binnen hetzelfde bedrijf, constateert de CTIVD dat Nederlandse diensten al ruim twee jaar doelbewust onrechtmatig data delen buiten de organisatie.

Serieus probleem

Nederland propageert wereldwijd een technisch betrouwbaar en juridisch veilige ‘digital mainport’ te zijn, maar heeft nu een serieus imago-, politiek en juridisch probleem. Onze sleepwet zit vol hiaten die het EU Hof in juli ten aanzien van Amerikaanse wetgeving aan flarden schoot.

Ondanks het roemruchte referendum van 2018 over de ‘sleepwet’ heeft de Nederlandse politiek geen enkele verbetering gerealiseerd. En van de controversiële wet worden de waarborgen met voeten getreden. De Eerste Kamer, die zich momenteel buigt over een broodmager reparatiewetje als pleister op de sleepwetwond, kan de geloofwaardigheid, privacy en economische belangen van Nederland niet beschermen: de senaat kan wetgeving niet aanpassen, slechts aannemen of afstemmen. Nederland gaat de VS dus achterna als onveilige datahaven, totdat burgers zelf naar de rechter stappen om hun rechten te beschermen. Continue reading 81e FD Column: Nederland gaat Verenigde Staten achterna als onveilige datahaven →

80e FD Column: We slaapwandelen richting de surveillancestaat

Deze column was het weekendessay van Het Financieele Dagblad van 22 augustus 2020. Volg deze link voor mijn eerdere FD columns.

In het kort

  • De regering intensiveert systematisch het digitaal volgen van burgers
  • Hierdoor staat de vrije samenleving steeds meer op het spel
  • Dat vereist een rotsvaste rechtsstaat én waakzame burgers

De zomermaanden van 2020 staan niet alleen in het teken van warmterecords. Ook slaapwandelde Nederland de afgelopen weken verder richting een totale surveillancesamenleving.

Illustratie: Max Kisman voor Het Financieele Dagblad

In juni beloonde de Tweede Kamer sluwe vertragingstactieken van het kabinet. Het parlement accepteerde de reparatiewet voor de ‘sleepwet’ voor inlichtingen- en veiligheidsdiensten vrijwel onaangepast. De reparatiewet was toegezegd na het historisch verloren referendum in 2018. In juli bleek dat de Belastingdienst (in ieder geval sinds begin 2014) in het geheim miljoenen Nederlanders stelselmatig en zonder concrete aanleiding discrimineert op basis van nationaliteit. En in augustus, net toen iedereen op zomervakantie was, lanceerde het kabinet haar nieuwe corona-app, ondanks breed maatschappelijk verzet in de lente en kersverse kritiek op deze versie van privacywaakhond Autoriteit Persoonsgegevens.

Waar de overheid de waakzaamheid van burgers en toezichthouders door sluwheid, geheimhouding of zomertijd neutraliseert, staat de vrije samenleving op het spel. Gelukkig corrigeert de rechter in Nederland en Europa steeds vaker de uitvoerende en wetgevende macht, maar dat gebeurt alleen als burgers daarom vragen en vaak pas jaren later.

Maatschappelijke vrijheid staat of valt altijd al bij burgerlijke en juridische tegenmacht. Maar in jarenlange afwachting van een breed beschikbaar vaccin zal de roep om een Chinese surveillancestaat in de polder op te tuigen met corona-apps, immuniteitspaspoorten en spoedwetten stevig aanzwellen. In coronatijd zijn eeuwige waakzaamheid en een rotsvaste rechtstaat harder nodig dan ooit. Continue reading 80e FD Column: We slaapwandelen richting de surveillancestaat →

79e FD Column: Privacy voor Europese data buiten de EU komt niet van Europese politiek, maar van multinationals

Deze column staat in Het Financieele Dagblad van 23 juli 2020. Volg deze link voor mijn eerdere FD columns.

In de wereld van intercontinentaal dataverkeer heeft de Europese Commissie (EC) al decennia patent op juridische luchtkastelen, dansen op de vulkaan en gezichtsverlies. Het Europees Hof van Justitie (EU-Hof) heeft er schoon genoeg van. Vorige week vernietigde het EU-Hof voor de tweede keer een bilaterale deal (Schrems II) voor datatransport tussen Europa en de Verenigde Staten, het zogenaamde Privacy Shield. Eind 2015 had het EU-Hof de voorloper al verpulverd (Schrems I).

 

Illustratie: Hein de Kort voor Het Financieele Dagblad

 

Daarnaast formuleerde het EU-Hof strenge algemene criteria voor alle andere mechanismen, waaronder data-export naar alle andere landen buiten de EU. Bovendien verduidelijkte het Hof dat de datatransporterende organisaties zelf verantwoordelijk – en dus aansprakelijk – zijn wanneer een datatransport niet aan die strenge criteria voldoet.

‘De geopolitieke en economische gevolgen van de uitspraak van het EU-Hof vorige week zijn reusachtig’

Wereldwijd, ook vorige week in het FD, spreken juridische experts de hoop uit dat de EC nu eindelijk burgers en bedrijven te hulp schiet door de Amerikaanse overheid ervan te overtuigen de privacy van Europeanen te respecteren. Die ijdele hoop miskent de decennialange onmacht van de Europese Unie (EU) om ook maar iets betekenisvols af te dwingen in Washington. De Amerikaanse overheid luistert wél naar het Amerikaanse bedrijfsleven. Zonder de door het EU-Hof gevraagde verbeteringen in Amerikaanse wetgeving riskeren zij, en hun Europese zakenpartners, megaboetes en massaschadeclaims vanwege schending van Europese privacywetgeving. Niet de EC, maar het multinationale bedrijfsleven is onze enige kans op respect van de Amerikaanse, Chinese, binnenkort de Britse en welke niet-Europese overheid dan ook voor Europese datagrondrechten. Continue reading 79e FD Column: Privacy voor Europese data buiten de EU komt niet van Europese politiek, maar van multinationals →

78e FD Column: Privacywet AVG zal in toekomst belofte van megaboetes en massaclaims inlossen

Deze column staat in Het Financieele Dagblad van 28 mei 2020. Volg deze link voor mijn eerdere FD columns.

Wat is twee jaar op een wetgevingsleven? Op de tweede verjaardag van de strenge privacywet AVG (Algemene Verordening Gegevensbescherming) keken toonaangevende media deze week wat somber in de achteruitkijkspiegel. De AVG zou haar belofte van privacybescherming niet waarmaken, vooral omdat megaboetes door onderbezette privacytoezichthouders uitblijven.

 

Illustratie: Hein de Kort voor Het Financieele Dagblad

 

Verrassend genoeg kijkt vrijwel niemand door de voorruit naar wat de AVG nog in petto heeft. Toezichthouders beloven dat de megaboetes zullen komen. Het toezicht europeaniseert. Bovendien staan wij aan de vooravond van een fascinerende aardverschuiving. Van onderbezette toezichthouders verplaatst het initiatief zich stilaan naar grote groepen burgers en gretige ondernemers, die via massaschadeclaims bij de rechter hun gram en geld zullen eisen voor schendingen van de AVG. Data-gedreven organisaties schieten zichzelf in de voet als zij na de sombere tussenrapporten van deze week op hun lauweren rusten. Het echte werk begint nu pas. Continue reading 78e FD Column: Privacywet AVG zal in toekomst belofte van megaboetes en massaclaims inlossen →

77e FD Column: Met dreiging massale privacyclaims kan overheid bij Corona app geen misstap maken

Deze column staat in Het Financieele Dagblad van 1 mei 2020. Volg deze link voor mijn eerdere FD columns.

In hun poging Nederland van het corona-slot te halen en de winkel te openen kregen beleidsmakers er recent een nieuwe kopzorg bij. ‘s Lands hoogste bestuursrechter, de Raad van State, verduidelijkte namelijk dat burgers na privacyschendende overheidsbesluiten schadevergoeding kunnen claimen op grond van de Europese privacywet AVG.

 

Illustratie: Hein de Kort voor het Financieele Dagblad

 

Als daadwerkelijke schade ontstaat door ondoordachte datafantasieën van de staat, bijvoorbeeld omdat miljoenen mensen vanwege een onjuiste immuniteitstest of corona-app ten onrechte inkomsten missen, dan bloedt de overheid niet alleen in de media maar ook in de portemonnee. Waarschijnlijk onbewust creëert de Raad van State hiermee een welkome extra prikkel voor de Nederlandse overheid voor doordacht, zorgvuldig en grondrechten respecterend beleid in dit unieke coronatijdperk waarin een nieuw maatschappelijk schisma zich aftekent.

Immers, naast conventionele sociale scheidslijnen als inkomen, etniciteit en geslacht bepaalt straks immuniteit tegen het coronavirus de economische waarde en sociale kansen van burgers in het maatschappelijk verkeer. Van massaal testen van burgers, via temperatuurmetingen op de werkplek tot ‘immuniteitspaspoorten’, data en technologie helpen binnenkort bepalen wie volledige bewegingsvrijheid krijgt, wie voorzorg moet betrachten en wie zichzelf wekenlang moet opsluiten. Ontstaat zo een nieuwe klassenverdeling in de samenleving, met de Immunen als Übermensch? Continue reading 77e FD Column: Met dreiging massale privacyclaims kan overheid bij Corona app geen misstap maken →

76e FD Column: Virtual reality in games – adverteerdershemel, privacyhel en versneller symbiose mens en computer

Deze column staat in Het Financieele Dagblad van 10 maart 2020. Volg deze link voor mijn eerdere FD columns.

Noot vooraf: onderstaande column verscheen een paar weken voordat Nederland in een lockdown terechtkwam vanwege het Coronavirus. Miljarden mensen wereldwijd hebben inmiddels wekenlang thuis gezeten, en zullen nog maandenlang vanuit huis werken. The Washington Post publiceerde op 17 april 2020 een lezenswaardige longread die de link legt tussen virtual reality, het Coronavirus en de versnelde initiatieven in Silicon Valley om de ‘Metaverse’, het volgende internet gebaseerd op de visie van Neal Stephenson in zijn roman ‘Snow Crash’, te bouwen. 

Onlangs kondigde Elon Musk, de roemruchte ceo van Tesla en SpaceX, aan dat zijn onderneming Neuralink dit jaar zal experimenteren met haar eerste prototype hersenchip, te besturen met de iPhone. Deze samensmelting van mens en computer spreekt natuurlijk tot de verbeelding. Toch zullen u en ik niet zozeer via deze Neuralink, maar door virtual reality (VR) en augmented reality (AR) in onze computers opgaan.

 

Illustratie: Hein de Kort voor Het Financieele Dagblad

 

Zakenbank Goldman Sachs becijfert voor het jaar 2025 een wereldwijde marktomvang van $35 mrd voor VR en AR, tamelijk spectaculair gegroeid van $12,1 mrd in 2018. VR en AR worden in nichemarkten als zorg, onderwijs en wetenschappelijk onderzoek al jaren toegepast. Maar de gamingindustrie zal de aloude toekomstvisioenen over de interactie tussen mens en computer in virtuele werelden (VR) en de met digitale lagen verrijkte publieke ruimte (AR) daadwerkelijk naar de massa brengen.

Marketeers likkebaarden bij die gedachte. Frequenter en nauwkeuriger dan cookies op een computer of een vinger op een smartphonescherm, bieden VR-technologie en AR-technologie adverteerders per milliseconde een haarscherp beeld hoe lang een consument naar iets kijkt en welke emotie hij of zij dan beleeft. Deze adverteerdershemel behelst een regelrechte hel voor de privacy en cybersecurity van consumenten. Maar waar privacyperikelen zich maatschappelijk en juridisch uitkristalliseren, zal cybersecurity, of allicht het ontbreken van beveiliging van onze biodata, bepalen of VR en AR daadwerkelijk een volgend tussenstation vormen in de symbiose van mens en computer.

‘Met VR-data kunnen zorgverzekeraars depressie, verslaving of autisme vaststellen’

Continue reading 76e FD Column: Virtual reality in games – adverteerdershemel, privacyhel en versneller symbiose mens en computer →

75e FD Column: Reguleer AI niet als privacy via een algemene wet, maar met contextuele regels en specifiek toezicht

Deze column staat in Het Financieele Dagblad van 6 februari 2020. Volg deze link voor mijn eerdere FD columns.

Net als iedere nieuwe ceo of voetbaltrainer, grossiert de nieuwe Europese Commissie (EC) in grootse ambities. Na klimaatverandering volgt het realiseren van Europese waarden en soevereiniteit in de digitale wereld als het tweede grote voornemen van de nieuwe ploeg, vooral ten aanzien van kunstmatige intelligentie (AI).

 

Illustratie: Hein de Kort voor Het Financieele Dagblad

 

Ook al presenteert de Commissie haar concrete AI-plannen tot 2024 pas medio februari, geheel volgens traditie lekten de beleidsplannen recent toch uit. Net Prinsjesdag. De EC promoot ‘menswaardige’ AI, maar wil daartoe geen ‘specifieke resultaatverplichtingen en nieuwe rechten voor burgers’ in het leven roepen. De Commissie zet in op een nieuwe alomvattende AI-wet, naar model van de Europese privacywet AVG.

Menswaardigheid

De AVG is een significant geopolitiek succes, omdat de Europese wet nu wereldwijd wordt gekopieerd – van Brazilië tot India en Japan. Weliswaar vormt de AVG daarom een aantrekkelijk politiek frame voor de Commissie om haar AI-beleid in te gieten, maar geen adequate juridische mal. Door de AVG als blauwdruk te nemen, kan de politiek – net als bij de AVG – mooie sier maken met een ‘nieuwe AI-wet’ en – net als bij privacy – vermoeden dat het daarmee wel geregeld is, terwijl de bescherming van onze menswaardigheid in de praktijk vaak uitblijft. Europa heeft geen algemene AI-wet nodig, maar context-specifieke regels en effectief toezicht om de inbedding van AI in ons dagelijks leven menswaardig te maken. Continue reading 75e FD Column: Reguleer AI niet als privacy via een algemene wet, maar met contextuele regels en specifiek toezicht →

74e FD Column: Plannen om versleuteling te ondermijnen zijn onveilig en gevaarlijk

Deze column staat in Het Financieele Dagblad van 9 januari 2020. Volg deze link voor mijn eerdere FD columns.

Geschiedenis herhaalt zich, ook in de relatief recente historie van het internet. Sinds de jaren negentig lanceren overheden iedere drie tot vijf jaar een voorstel om de versleuteling van internetcommunicatie te ondermijnen. Steeds is het debat heftig en emotioneel. En iedere keer is de uitkomst toch dat robuuste versleuteling onmisbaar is voor de werking van het internet, en daarmee ook voor onze financiële markten, ziekenhuizen, snelwegen en al het andere dat ons lief is in de digitale wereld.

 

Illustratie: Hein de Kort voor Het Financieele Dagblad.

 

Weliswaar kunnen kwade krachten – van terroristen via drugskartels tot kindermisbruikers – hun communicatie dan ook versleutelen. Desondanks blijken gerichte en slimme opsporingsacties succesvol om criminele netwerken op te rollen, kunnen de onmisbare voordelen van betrouwbare communicatie blijven bestaan en kan onze informatiesamenleving zich doorontwikkelen.

Nieuwe pogingen

Minister van Justitie en Veiligheid Ferdinand Grapperhaus en zijn evenknieën in de Verenigde Staten, het Verenigd Koninkrijk en Australië, maakten zich recent weer eens schuldig aan nieuwe pogingen om technologiebedrijven te verplichten een ‘exclusieve achterdeur’ te bouwen in hun versleutelde producten, zodat alleen ‘de overheid’ kan meeluisteren. Al dertig jaar klimmen experts, het bedrijfsleven en het maatschappelijk middenveld dan weer zuchtend in de pen om de samenleving te herinneren aan ons vorige dansje in deze cryptowars, bijvoorbeeld rondom de versleuteling van de 5G-standaard en de iPhone.

Maar de Amerikaanse minister van justitie William Barr gooide onlangs een nieuwe steen in deze versleutelingsvijver. Barr wil preventief alle internetcommunicatie scannen op ‘schadelijke informatie’. De adjudant van Trump stelt, misschien zonder het zelf te realiseren, in feite volledige surveillance van alle internetcommunicatie voor, zoals dictatoriale regimes dat kennen. Zijn plan moet, los van de juridische onmogelijkheid in de Europese Unie, principieel te vuur en te zwaard worden bestreden. Continue reading 74e FD Column: Plannen om versleuteling te ondermijnen zijn onveilig en gevaarlijk →

73e FD Column: EU moet toezichthouders verplichten tot samenwerking

Deze column staat in Het Financieele Dagblad van 12 december 2019. Volg deze link voor mijn eerdere FD columns.

Tien jaar geleden al waarschuwde toenmalig Eurocommissaris voor Consumentenbescherming Meglena Kuneva in een vaak geciteerde speech dat ‘persoonsgegevens de nieuwe olie, oftewel valuta van de digitale wereld zijn’.

Al gaat de oliemetafoor niet helemaal op, de beschikkingsmacht over persoonsgegevens is inderdaad existentieel voor geopolitieke en economische macht: in 2019 zijn zeven van de acht grootste bedrijven ter wereld (naar marktwaarde) actief in de data-economie.

 

Illustratie: Hein de Kort voor Het Financieele Dagblad

 

Gek genoeg kwam het toezicht op die economie in 2019 pas echt op gang, tien jaar – een eeuwigheid in internettijd – na Kuneva’s bezorgde speech. In 2020 zullen toezichthouders over elkaar heen buitelen met de ene na de andere megaboete om die ook door verontrustte burgers gevoelde achterstand in te halen.

Juist in die haast met boete enschuld schuilt een monumentale uitdaging. Toezichthouders van allerlei pluimage uit allerlei landen bekijken de datawereld ieder door hun eigen bril, zoals het borgen van privacy, gezondefinanciële markten, een eerlijke behandeling van consumenten, of concurrentie op een specifieke markt.

Tegelijkertijd scheren activiteiten van ondernemingen dwars door al die conceptuele afbakeningen en landsgrenzen heen. Daarin schuilt een reëel risico voor zowel toezicht als onderneming: enerzijds worden ondernemingen door de verkeerde toezichthouder onrechtmatig bestraft en draait de rechter dat later terug, anderzijds zijn toezichthouders soms te mild in hun beoordeling waar andere waakhonden in hun toets van dezelfde activiteit veel harder zouden doorbijten.

De noodzakelijke Europese wetgeving die toezichthouders dwingt tot samenwerken en delen van competentie en boetebevoegdheden, oftewel van macht en geld voor de staatskas, zal er ook in 2020 niet komen. Rechtsonzekerheid voor ondernemingen en verder wantrouwen van de burger in het beschermingsvermogen van hun overheid in de digitale wereld, zijn het kind van de rekening. Continue reading 73e FD Column: EU moet toezichthouders verplichten tot samenwerking →

72e FD Column: Toekomstvisie Autoriteit Persoonsgegevens is nog lege huls zonder slagkracht en gezag

Leave a comment

Deze column staat in Het Financieele Dagblad van 14 november 2019. Volg deze link voor mijn eerdere FD columns.

‘In de beperking toont zich pas de meester’. Misschien wel geïnspireerd door deze beroemde strofe van de Duitse schrijver, staatsman en homo universalis Johann Wolfgang von Goethe, publiceerde privacytoezichthouder Autoriteit Persoonsgegevens (AP) maandag voor het eerst een meerjarenbeleid voor toezicht op onze datasamenleving. Titel van deze strategie: ‘Focus AP 2020-2023’.

Illustratie: Hein de Kort voor Het Financieele Dagblad

 

Naarmate onze samenleving steeds sneller dataficeert, daagt de privacywet Algemene Verordening Gegevensbescherming (AVG) de structureel onderbezette waakhond AP uit om zo’n beetje alles en iedereen overal en altijd in de gaten te houden. Met haar lezenswaardige strategie en zelfopgelegde focus op ‘datahandel, digitale overheid en artificiële intelligentie & algoritmes’ beperkt de AP zich tot de kern en toont zij een glimp van meesterschap in wording.

Toch heeft de AP de grootste uitdaging nog voor de boeg. Al sinds 1 januari 2016 kan de AP hoge boetes opleggen voor privacyschendingen. Ook is de strenge privacywet AVG sinds 25 mei 2018 in werking. Maar waar andere datawaakhonden in Europa na decennia van doormodderen eindelijk voldoende budget krijgen en stevig doorbijten, houdt de overheid hier de hand ferm op de knip en moet de AP haar tanden nog laten zien. Bovendien weifelt en wankelt de AP inhoudelijk op cruciale thema’s en lijkt zij onwenselijk geobsedeerd door toestemming als de ‘gouden grondslag’ voor dataverwerkingen. Zonder slagkracht en gezag dreigt de lovenswaardige strategie van de AP alsnog te stranden in goede bedoelingen. Continue reading 72e FD Column: Toekomstvisie Autoriteit Persoonsgegevens is nog lege huls zonder slagkracht en gezag →

Law and policy at the digital frontier