By popular demand, here is a quick and dirty translation of my column in the Dutch Financial Times of 25 July 2019. Follow this link for other columns (in Dutch).
What does a simple privacy breach actually cost? This straightforward question has been the subject of heated academic debate for decades. Recently, a Dutch district court gave the municipal authority of Deventer a short and effective answer: EUR 500,- plus legal costs.
The municipal authority of Deventer is probably able to pay up. However, governments and companies who process personal data of millions of people feel the heat. The stringent EU General Data Protection Regulation (GDPR), particularly in combination with the renewed Dutch Class Action (Final Settlement) Act and an international court procedure created in The Netherlands, create fertile ground in the Lower Countries for mass claims litigation lodged by international interest groups. Such collectives are now able to credibly claim EUR 500 per affected person for a simple privacy breach. Multiply that, or even EUR 50, with millions of end users, and the funk may soon hit the fan for large organisations that violate privacy laws on a large scale.
Enforcement actions by understaffed Data Protection Authorities (DPAs) have been few and far between in Europe for the past twenty years. However, funding is increasing for DPAs, as is their authority to issue fines that may even amount up to 4% of global annual turnover of a company. Especially the combination of such enforcement actions and mass claims litigation will become a game changer for privacy protections in Europe, and will force large companies and governments to handle our data in line with applicable laws, the GDPR in particular.
Deze column staat in Het Financieele Dagblad van 17 oktober 2019. Volg deze link voor mijn eerdere FD columns.
Iedereen realiseert zich inmiddels dat tientallen bedrijven over je schouder meekijken bij iedere klik of swipe op het wereldwijde web. Geraffineerde volgtechnieken, zoals ‘cookies’, ‘browser fingerprints’ en ‘tracking pixels’, vormen het technische fundament een online advertentiemarkt van ruim $300 mrd, $500 mrd in 2023.
De gemiddelde consument denkt dat de veelbesproken, strenge en algemene Europese privacywet AVG beschermt tegen zulke online volgpraktijken. Maar eigenlijk reguleert vooral de onbekendere specialistische E-Privacy Richtlijn, aangenomen in 2002 en voor het laatst herzien in 2009, de bescherming van privacy en het communicatiegeheim bij bellen en internetten. De Europese Commissie poogde begin 2017 de tien jaar oude regels bij de tijd te krijgen, maar tot op heden heeft de EU geen noemenswaardige stap verder gezet.
Illustratie: Hein de Kort voor het Het Financieele Dagblad
De realiteit haalt Brussel intussen in. Niet alleen ontwikkelt de industrie eigen spelregels voor online volgen, die uiteraard net iets gunstiger uitpakken voor de industrie. De afgelopen maanden dienden activisten op hun beurt klachten in bij datatoezichthouders en rechters over die online volgpraktijken. Een paar weken terug vulde de hoogste Europese rechters cruciale normen over E-Privacy alvast in voor de pat gestelde politici. En een paar dagen terug introduceerde het Finse voorzitterschap van de Europese Raad opnieuw een E-Privacy voorstel, maar de verwachting is dat ook deze poging de eindstreep niet zal halen. Iedereen blijft achter met rechtsonzekerheid en per land verschillende normen en beschermingsniveaus. Daarnaast is de Europese parlementaire democratie de grote verliezer. Continue reading 71e FD Column: Parlementaire democratie grote verliezer door onmacht EU om online privacy te reguleren→
Deze column staat in Het Financieele Dagblad van 19 september 2019. Volg deze link voor mijn eerdere FD columns.
Heeft u tussen 2014 en 2018 in een Sheraton-, Westin- of Le Meridien-hotel geslapen? Dan bent u bestolen, zonder dat u, 339 miljoen (!) lotgenoten en hoteleigenaar Starwood Hotels dat wisten. Pas in november 2018 werd bekend dat criminelen al die jaren niet zozeer ongemerkt miljoenen hotelkamers hebben gekraakt, maar waardevolle creditcard, paspoort-, reis- en contactgegevens hebben gejat uit een pover beveiligd reserveringssysteem.
Illustratie: Hein de Kort voor Het Financieele Dagblad
Zo’n reusachtige hack is op zichzelf al nieuws, maar echt uniek is de op 9 juli van dit jaar aangekondigde boete van €110 mln door Britse datatoezichthouder ICO – vooral omdat niet Starwoord, maar Marriott International Inc. moet bloeden. Die hotelgroep nam Starwood namelijk in 2016 over en moet volgens de ICO boeten omdat zij ‘faalde voldoende due diligence (boekenonderzoek) uit te voeren toen het Starwood kocht’ en daarna ‘meer had moeten doen om die systemen te beveiligen’. Continue reading 70e FD Column: Megaboete Marriott toont kommer, kwel en kansen bij data-gedreven fusies en overnames→
Deze column staat in Het Financieele Dagblad van 25 juli 2019. Volg deze link voor mijn eerdere FD columns.
Wat kost een basale privacyschending? Deze simpele vraag is al decennialang onderwerp van hevig academisch debat. Recent gaf een rechter ineens een kort en krachtig antwoord aan de gemeente Deventer: €500, plus proceskosten. Voor Deventer allicht betaalbaar, maar datagulzige overheden en bedrijven die persoonsgegevens van miljoenen burgers of consumenten verwerken, zijn gewaarschuwd. Zeker nu de strenge privacywet AVG en de vernieuwde Wet collectieve afwikkeling massaschade (WCAM) juist in Nederland een vruchtbare bodem creëren voor massaclaims door stichtingen, die nu €500 per getroffen persoon kunnen claimen voor een basale privacyschending. Handhaving van privacywetten door onderbezette datatoezichthouders is de afgelopen twintig jaar overal in Europa achtergebleven. Maar de combinatie van zulk toezicht met civiele massaclaims, lijkt de komende jaren meer kans te maken dataslurpers te dwingen zorgvuldiger met onze data om te gaan.
Illustratie: Max Kisman voor Het Financieele Dagblad
Deze column staat in Het Financieele Dagblad van 27 juni 2019. Volg deze link voor mijn eerdere FD columns.
Wij staan aan de vooravond van een samenleving waarin niet alleen onze smartphones, maar alle apparaten altijd razendsnel met elkaar zijn verbonden. ‘5G’, de nieuwe generatie mobiele communicatienetwerken, moet het fundament vormen voor een toekomstige informatiesamenleving waarin auto’s zelf rijden, fabriekslijnen zichzelf intuïtief optimaliseren en sociale media verworden tot virtuele videowerelden waarin onze avatars altijd en overal tegelijkertijd zijn.
Illustratie: Hein de Kort voor Het Financieele Dagblad
Die hyperverbonden toekomst is weer een stap dichterbij gekomen met de recente aankondiging van het kabinet om na de zomer 5G-vergunningen te gaan veilen. Midden in spionagebeschuldigingen en de handelsoorlog tussen China en de VS, woedt nu publiekelijk het debat of het Chinese telecombedrijf Huawei mag meedoen. Maar achter de schermen maken veiligheidsdiensten zich zorgen dat 5G te veilig wordt en zo het ouderwets afluisteren van telefoon- en internetverkeer moeilijker maakt. Hun voorstel: maak 5G-technologie dom, onveilig en onbetrouwbaar, zodat wij voor uw veiligheid ouderwets kunnen blijven afluisteren.
Dit schadelijke pleidooi gaat compleet voorbij aan de legio nieuwe mogelijkheden die de nieuwe verbondenheid biedt om de samenleving in de gaten te houden. Bovendien is cybercrime en spionage juist een hardnekkig maatschappelijk probleem geworden omdat dezelfde veiligheidsdiensten, helaas met succes, precies dezelfde paradox opwierpen rondom de GSM-standaard in de jaren 80 en vooral het Internet Protocol (‘IP’) in de jaren 90. Het is in ieders belang dat de politiek en het bedrijfsleven zich dit keer niet laten verleiden en de veiligheid van 5G juist vooropstellen. Continue reading 67e FD Column: Veiligheidsdiensten willen onveilige 5G-standaard. Voor onze veiligheid→
Deze column staat in Het Financieele Dagblad van 7 maart 2019. Volg deze link voor mijn eerdere FD columns.
In maart 2017 legde ransomware-aanval WannaCry 34% van de Britse zorginstellingen een week lang plat. 19.000 afspraken moesten worden verzet, de eerstehulpafdelingen van tientallen ziekenhuizen moesten worden geëvacueerd. In hetzelfde jaar hackten onderzoekers een FiatChrysler Jeep via de internetverbinding van het entertainmentsysteem. Zij konden het dashboard, gaspedaal en zelfs het stuur van ruim 1,7 miljoen auto’s van afstand te besturen.
Illustratie: Hein de Kort voor het FD
Het online ziekenhuis, de connected car en de web-based pacemaker; het klinkt allemaal prachtig, totdat wij ons realiseren dat het internet der dingen levensgevaarlijk is.
Overal ter wereld hebben politici in hoog tempo wetten aangenomen om minimum beveiligingseisen, zorgplichten en meldplichten op te leggen aan fabrikanten van internetdingen en organisaties die kritieke maatschappelijke functies vervullen. Die wetten zijn de afgelopen maanden van kracht geworden. Maar de normen in die wetgeving zijn open en abstract gelaten. De techniek ontwikkelt zich razendsnel en politici wagen zich meestal niet aan de details van cybersecurity. Continue reading 64e FD Column: Industriestandaard zonder marktprikkels maakt internet der dingen niet veiliger→
Deze column staat in Het Financieele Dagblad van 21 februari 2019. Volg deze link voor mijn eerdere FD columns.
Kerberos, de angstaanjagende waakhond van Hades uit de Griekse mythologie, hield zo effectief toezicht dat de doden niet eens dúrfden te ontsnappen uit de Onderwereld. Met zijn drie hoofden kon Kerberos alle ontsnappingspogingen volgen en waar nodig doorbijten.
Illustratie: Hein de Kort voor het FD
De datasamenleving heeft al jaren een Kerberos nodig. Auto’s zijn tegenwoordig namelijk rijdende computers, terwijl de datastartups van vijftien jaar terug de machtigste bedrijven ter wereld, met activiteiten in het onderwijs, zorg, nieuwsvoorziening, retail en de financiële markten. Net als Kerberos, dienen effectieve waakhonden op privacy, marktmacht, verkeersveiligheid en financiële markten met meerdere hoofden toe te zien op de multidisciplinaire realiteit die de datasamenleving allang is.
Met de publicatie van het handhavingsbesluit van de Duitse Bundeskartellamt tegen Facebook van 7 februari jl. en de inwerkingtreding van betaalwet PSD2 deze week, lijken toezichthouders gehoor te willen geven aan de jarenlange roep om intensievere samenwerking. Tegelijk blijken diezelfde toezichthouders maar moeizaam samen op te trekken. Daadkracht, transparantie en deugdelijke motivering manifesteren zich als groeipijnen, juist nu de datasamenleving gebaat is bij effectief en verantwoord toezicht. Continue reading 63e FD Column: Broodnodige samenwerking toezichthouders op datasamenleving heeft last van groeipijnen→
Deze column staat in Het Financieele Dagblad van 7 februari 2019. Volg deze link voor mijn eerdere FD columns.
Hoe succesvoller wetenschap en technologie voortschrijden, hoe ondoorzichtiger en obscuurder zij worden’. Naarmate de tijd vordert, lijkt deze diepzinnige uitspraak van de Franse filosoof Bruno Latour, uit 1999, onze hypertechnologische wereld alsmaar beter te beschrijven. De kunstmatige intelligentie (AI) van zelflerende computersystemen destilleert opzienbarende inzichten uit gigantische bergen inputdata. Tegelijkertijd lukt het ontwikkelaars van AI-systemen en wetenschappers vaak niet om vooraf te voorspellen of achteraf te verklaren hoe zelflerende systemen zulke bovenmenselijke prestaties leveren. Sterker nog: steeds vaker hoor je dat uitlegbaarheid van de werking van AI-systemen aan gewone stervelingen een rem zou vormen op de voorspellende kracht van AI.
Illustratie: Hein de Kort
Zwarte doos
Toch beginnen wetgevers en rechters het recht als werktuig te gebruiken om de ‘zwarte doos’ van technologie en wetenschap open te breken. De strenge Europese privacywet AVG en baanbrekende rechterlijke uitspraken verlangen transparantie van inputdata en uitlegbaarheid van besluiten die door machines worden genomen. Of het nu gaat om zelfrijdende auto’s, beleggingsbeslissingen of automatische gezichtsherkenning op straat, innovatie en recht liggen op ramkoers. In tegenstelling tot het veelgehoorde determinisme van ontwikkelaars en Latour – de technologie werkt nu eenmaal zo, dus vergeet het maar met je uitlegbaarheid – zal het recht uitlegbaarheid afdwingen. Althans, in Europa. Continue reading 62e FD Column: Recht en rechtspraak waarborg tegen oncontroleerbare kunstmatige intelligentie→
Deze column staat in Het Financieele Dagblad van 24 januari 2019. Volg deze link voor mijn eerdere FD columns.
De Oostenrijkse privacy-advocaat Max Schrems strikes again. De luis in de pels van de grote techfirma’s procedeerde na de Snowden-onthullingen al met succes tot aan het Europese Hof van Justitie over ontoereikende privacybescherming van Europeanen in databases van Amerikaanse bedrijven. En op 25 mei jl., de dag dat de nieuwe strenge privacywet AVG in Europa in werking trad, diende Schrems’ stichting None of Your Business bij toezichthouders in vier landen een reeks klachten in over de grote Amerikaanse techbedrijven. Naar aanleiding daarvan slingerde de Franse privacytoezichthouder CNIL afgelopen maandag Google voor €50 mln op de bon. Volgens CNIL ontvangen Franse Androidgebruikers onvoldoende informatie wat Google met hun data doet. Google beschikt volgens de CNIL dan ook niet over een geldige toestemming van die gebruikers om, bijvoorbeeld, advertenties te personaliseren.
Illustratie: Hein de Kort voor het FD.
De Franse waakhond is op oorlogspad. Het onderzoek is razendsnel uitgevoerd, het concept-besluit plofte vlak voor de feestdagen bij Google op de mat, 15 januari was er een hoorzitting en een week later maakte CNIL het korte, niet altijd even goed onderbouwde besluit wereldkundig. Google ‘bestudeert het besluit en beraadt zich op vervolgstappen’, zoals dat zo mooi heet. Niet zozeer omdat die € 50 mln pijn doet, maar omdat CNIL stelt dat Google via ruim twintig diensten – van Gmail, via Maps en Analytics tot YouTube – onrechtmatig geld verdient. CNIL raakt zo de kern van Google’s miljardenomzet. Na politiek debat sinds 2012 en jarenlange voorbereidingen, is de eerste grote AVG-boete nu een feit. Door de potentieel verstrekkende gevolgen voor online businessmodellen, vormt het besluit de eerste grote testcase voor de handhaving van de strenge Europese privacyregels. Continue reading 61e FD Column: Miljoenenboete voor Google is baanbrekende testcase voor handhaving Europese Privacywet→
Deze column staat in Het Financieele Dagblad van 10 januari 2019. Volg deze link voor mijn eerdere FD columns.
Eens in de vijf jaar staat het hoogtepunt van de westerse democratische samenleving op de agenda. Eind mei 2019 bepalen circa 375 miljoen stemgerechtigde EU-burgers de koers van de Europese Unie tot 2024. De kiezer krijgt nogal existentiële kwesties voorgeschoteld, zoals klimaatverandering, immigratie en de toekomst van de EU, nu de Britten het schip verlaten en wij zijn omgeven door wereldmachten met tamelijk autocratische leiders aan het roer.
Illustratie: Hein de Kort
Op één existentieel dossier biedt de Europese politiek de kiezer geen keuze. In razendsnel tempo verandert kunstmatige intelligentie (AI) onze samenleving. Een menswaardig bestaan is in toenemende mate afhankelijk van zelflerende algoritmes en de keuzes die computers maken. Denk aan de kans op een baan, op een woning, wie in een oorlogssituatie een raket op zich krijgt afgevuurd en wie aan de grens überhaupt de Unie mag binnenkomen. Waar de Verenigde Staten, China en Rusland al jaren een geslepen industriepolitiek voeren rondom AI, heeft de EU pas afgelopen jaar met wat vage persberichten, plannen en geld van zich laten horen. Te laat, te weinig en met name te flets. Maar beter laat dan nooit. Europese politici moeten daarom van AI een centraal verkiezingsthema maken en hun visie hierop presenteren. Continue reading 60e FD Column: Maak kunstmatige intelligentie centraal thema bij de Europese verkiezingen→
Deze column staat in Het Financieele Dagblad van 13 december 2018. Volg deze link voor mijn eerdere FD columns.
Niemand benijdt minister Ollongren van Binnenlandse Zaken (D66) om haar hoofdpijndossier, de Wet op de inlichtingen- en veiligheidsdiensten 2017 (Wiv). De Wiv is controversieel vanaf het eerste parlementaire debat in 2016. D66 stemde tegen de Wiv in de Eerste Kamer in 2017, maar kreeg het misbaksel alsnog bij de formatie in de maag gesplitst. Ollongren en haar partij kregen de ondankbare opdracht van de coalitiepartners de Wiv met een paar halfbakken ‘waarborgen’ door het laatste raadgevende referendum in de parlementaire geschiedenis te loodsen. Ondanks de historische tegenstem in maart jl., moest Ollongren onder grote politieke druk de wet, met nog een paar waarborgen meer, alsnog doordrukken.
Illustratie: Hein de Kort voor het FD.
Vorige week evalueerde de toezichthouder op de inlichtingendiensten, de CTIVD, dat al die waarborgen in de praktijk niets voorstellen. Hoe blijft de minister nog geloofwaardig als zij binnenkort de Kamer zal moeten overtuigen dat alles, ooit, echt, goed komt met de Wiv? Met nog meer waarborgen? Voor de ogen van de kiezers voltrekt zich een tragikomisch politiek schouwspel waarin onze privacy structureel wordt geschonden door een wet die wij zelf afserveerden. Continue reading 58e FD Column: Evaluatie inlichtingenwet spionnenwaakhond is even zorgwekkend als voorspelbaar→
Deze column staat in Het Financieele Dagblad van 29 november 2018. Volg deze link voor mijn eerdere FD columns.
Internetreuzen als Amazon, Google en Microsoft zetten al jarenlang in op kunstmatige intelligentie (AI). Toch gaat er veel mis als zelflerende algoritmes losgaan op de werknemers, foto’s of klanten. Vorige maand onthulde Reuters dat Amazon na vier jaar een hr-tool om door cv’s van sollicitanten te scannen weer in de ban doet, omdat die consequent vrouwen discrimineert. Google toonde Afro-Amerikanen als je zocht op ‘gorilla’ en chatbot TayTweets van Microsoft ontwikkelde zichzelf binnen een dag tot een racist en complotdenker (en Trumpfan). Blijkbaar kunnen zelfs de bestbetaalde geniën bij internetreuzen hun algoritmes niet opvoeden.
Illustratie: Hein de Kort voor Het Financieele Dagblad
Organisaties en beleidsmakers moeten lering trekken uit deze incidenten. Maak maatschappelijke waarden en heldere doeleinden onderdeel van trainingsdata en analysetools om AI succesvol en acceptabel te maken.
Kinderziekten horen bij technologische disruptie. Socioloog Manuel Castells sloeg in 1995 de spijker op zijn kop in zijn standaardwerk The Rise of the Network Society. Hij schreef dat elke technologische omwenteling gepaard gaat met ‘perverse effecten’. In de jaren ’80 en ’90 hebben geeks, bedrijven en overheden cruciale ontwerpkeuzes gemaakt die nog steeds het DNA van het internet bepalen: connectiviteit was prioriteit, iedereen moest kunnen aanhaken. Privacy en cybersecurity daarentegen werden uit de kernprotocollen van het internet gehouden. Bijkomend voordeel was dat de Amerikaanse overheid makkelijk kon meeluisteren. Maar nu zit de wereld opgescheept met de perverse effecten van 30 jaar oude ontwerpkeuzes: privacy staat onder druk, cybercrime tiert welig en iedereen bespioneert iedereen.
Gezonde verstand
Net als destijds met het internet, willen (vooral Amerikaanse) leveranciers ons weer doen geloven dat AI ‘een revolutie zal ontketenen in de wereld van x’, waarbij variabele x elke waarde aanneemt die bij een meeting, congres of pitch centraal staat. ‘Geen restricties op onze innovatie, u hoeft alleen bij het kruisje te tekenen.’ Tijdens diezelfde bijeenkomsten werd je jarenlang weggehoond als je wees op de perverse effecten van AI en regelgeving, gedragscodes of zelfs gezond verstand om de boel bij elkaar te houden.
Gelukkig lijkt het gezonde verstand langzaam terug te keren in het AI-debat. Niet alleen zorgen de incidenten voor groeiende scepsis bij afnemers. Ook de nieuwe Europese privacywet AVG vereist bij ‘geautomatiseerde besluitvorming’ altijd eerlijkheid, transparantie en uitlegbaarheid van de beslismodellen, en vaak voorafgaande expliciete toestemming van degene wiens data wordt geanalyseerd. Zonder verdere uitleg stellen dat een zelflerende hr-tool, zoekmachine of chatbot op hol is geslagen, volstaat niet langer en kan leiden tot serieuze AVG-boetes en reputatieschade.
Met de ontwerpkeuzes van vandaag leggen wij de fundamenten voor de gezonde inzet van AI in de komende decennia.
Maar hoe anticipeer je op perverse effecten bij een technologie die volop in ontwikkeling is? In zijn boek The Social Control of Technology van 1980 beschreef de Britse wetenschapper David Collingridge dit dilemma: ‘als ingrijpen op innovatie eenvoudig is, is de noodzaak nog niet duidelijk; als iedereen de noodzaak begrijpt, is ingrijpen duur, complex en langdurig.’ Hij nam onder meer benzine als voorbeeld. Bij de introductie van de auto was de milieuschade van loodhoudende benzine beperkt. Toen de auto eenmaal mainstream was, heeft het pijn en moeite gekost over te schakelen op loodvrije benzine. Het Collingridge dilemma overwin je door te investeren in kennisontwikkeling, afhankelijkheid van lobby-invloed uit te sluiten en transparant te zijn over voor- en nadelen van technologische omwentelingen.
Organisaties doen er dus verstandig aan te investeren in kennisontwikkeling, einddoelen helder te definiëren en de trainingsdata te checken op (juridische) bruikbaarheid, kwaliteit en vooringenomenheid. Zo kun je ook beter voldoen aan de AVG-vereisten. In mijn praktijk zie ik verstandige (vaak: kleine) AI-projecten razend succesvol worden en bij De Brauw helpt AI advocaten adviseren bij fusies- en overnames en in interne onderzoeken. Maar gooi je data over de schutting en hoop je op de magische saus van AI, dan stapelen incidenten zich vaak op tot teleurstellingen. Amazon, Google en Microsoft maakten de fout alleen te vertrouwen op hun briljante geeks, en sociale wetenschap, recht en diversiteit geen plek te geven aan de ontwerptafel. In hun projecten gold de nu bekende vuistregel: is de inputdata rommel, dan is de uitkomst ook rommel.
Tempo
Beleidsmakers in Nederland en Europa dienen vooral passende maatschappelijke kaders te scheppen voor AI. Waar de VS en China AI reguleren als handelspolitiek en machtsinstrument, kent Europa een sterke grondrechtentraditie. Niet geld of de Staat, maar de mens staat in principe centraal. Vermoeiend allicht, maar het zorgt voor een relatief harmonieuze, gezonde en vrije samenleving. Het verplicht namelijk perverse effecten als discriminatie en privacyschendingen vroegtijdig te voorkomen.
Tempo is een veel groter probleem in Europa en Nederland. Door een gebrek aan visie komt de noodzakelijke investering in kennis nu pas op gang en leunt het continent te veel op lobbyisten en technologie uit de VS – met cloud computing ging het tien jaar terug precies zo. De EU heeft pas net een ‘expertgroep’ (vol lobbyisten) verzameld die gaat meedenken over Europees AI-beleid. Daarmee loopt de EU minstens vier jaar achter: Amazon begon al in 2014 met het recruitmentproject. Hoog tijd voor de vijfde versnelling. Met de ontwerpkeuzes van vandaag leggen wij de fundamenten voor de gezonde inzet van AI in de komende decennia.
