Je smartphone is het belangrijkste communicatiemiddel geworden. Daar belanden dan ook erg veel gevoelige gegevens op. Die moeten daar vooral ook blijven. Tussen privacy en de praktijk zit nogal een grote kloof, maar je kunt er wel een brug over bouwen.
Voor iedereen die op zijn privacy gesteld is, was het weer even diep zuchten. De messenger-app WhatsApp gaf altijd aan de privacy van gebruikers erg hoog in het vaandel te hebben staan en geen privacygevoelige gegevens door te geven aan derden. Bij een update van de app kwamen er echter nieuwe voorwaarden. Nu mogen gegevens wel naar Facebook doorgesluisd worden – tenzij je zelf even goed oplet en een optie uitvinkt om dat te voorkomen.
Je moet erg goed op blijven letten en gewijzigde voorwaarden bij diensten en apps goed doorlezen. Achteloos doorklikken en je akkoord geven is niet aan te raden omdat dan onder meer je naam, telefoonnummer en statusinformatie bij Facebook belanden. Gelukkig is er vaak (en dat was ook het geval bij WhatsApp) nog een manier om achteraf je goedkeuring in te trekken. Dat kan dan nog binnen een bepaalde termijn (bijvoorbeeld dertig dagen).
Het voorbeeld van WhatsApp laat zien hoe lastig het is om je eigen privégegevens op een smartphone afgeschermd te houden. Je kunt WhatsApp namelijk alleen gebruiken als je volledige toegang geeft tot je contactenlijst. Er is geen optie om bepaalde gegevens, zoals zakelijke contacten, uit te sluiten van een automatische upload richting WhatsApp-cloud.
Helaas helpen de besturingssystemen op smartphones dergelijke apps zelfs een handje. Android en iOS zijn niet in staat om jou de controle te geven over welke gegevens absoluut niet met apps mogen worden gedeeld. Of het nu om contacten, mails of agenda-items gaat, de smartphones stellen gewoon een grote bak aan data beschikbaar. Dat gaat van het openbare nummer van de helpdesk van je provider tot de gevoelige zakelijke contacten in terechtkomen.
Dat de ontwikkelaars van besturingssystemen er niet in geïnteresseerd zijn om dat te veranderen is niet zo verwonderlijk: zij willen die gegevens ook maar wat graag in handen krijgen. Een Android-smartphone zonder verbinding met de Google-cloud wordt dan een karige bedoeling. En ook bij Apple werken veel handige opties binnen iOS alleen maar als je smartphone permanent met de iCloud verbonden is. Welke data er vervolgens op Europese of Amerikaanse servers belanden, kun je als gebruiker niet herleiden. Zelfs niet als je de ellenlange gebruikersvoorwaarden en privacyverklaringen doorploegt. Dat gedrag van bedrijven gaat vaak ongemerkt aan gebruikers voorbij.
Gelukkig is de Europese wetgeving op het gebied van bescherming van persoonsgegevens strenger dan de Amerikaanse. Het verwerken van bijzondere persoonsgegevens is zelfs verboden, tenzij er sprake is van een (logisch onvermijdbare) uitzondering. Onder die bijzondere persoonsgegevens vallen je levensovertuiging, ras, politieke voorkeur, gezondheid en seksuele geaardheid.
Gemak of toch niet
Dat je je eigen gegevens ergens in een cloud parkeert moet je helemaal zelf weten. Daar ben je zelf verantwoordelijk voor, en met een paar gebruiksvriendelijke encryptietools kun je dat eenvoudig goed en veilig in de hand houden. Het wordt echter een andere kwestie zodra er gegevens van anderen bij komen kijken. En op een universeel communicatiemiddel als een smartphone staan vrijwel altijd gegevens van derden.
Bedrijven bieden werknemers steeds vaker de mogelijkheid een eigen apparaat zakelijk te gebruiken (BYOD – Bring Your Own Device). Veel werknemers willen niet elke dag met twee telefoons op pad en zien BYOD als een makkelijke manier om alle data die je nodig hebt altijd bij je te hebben in één apparaat. Werkgevers op hun beurt besparen op hardwarekosten. Werknemers zijn bekend met het apparaat en hoeven niet eerst te leren hoe ze ermee moeten werken, dus dat bespaart weer tijd. Werkgevers willen zich natuurlijk goed indekken tegen eventuele schade die wordt geleden als zakelijke data in verkeerde handen vallen. Denk aan imagoschade als gevolg van datalekken. Werkgevers moeten privacygevoelige gegevens ook goed beveiligen.
Zodra je een eigen apparaat zakelijk gaat gebruiken, ga je vrijwel altijd akkoord met het op afstand mogen wissen van je apparaat, of de mogelijkheid dat hij wordt ingenomen als dat om juridische redenen nodig is. Daar moet je dus wel rekening mee houden. Het wissen is een eenvoudige manier om te voorkomen dat gevoelige data in verkeerde handen vallen. De kans dat die acties daadwerkelijk worden uitgevoerd, zal niet erg groot zijn, maar het kan wel.
Bijvoorbeeld wanneer een bedrijf een veiligheidslek ontdekt en alle smartphones van medewerkers preventief wil wissen. Maak dus regelmatig een back-up van je eigen gegevens (bijvoorbeeld je privéfoto’s), maar dat is iets wat je sowieso standaard geregeld moet hebben.
Privacy Shield
Kleine bedrijven, freelancers en zelfs privépersonen hebben niet de mogelijkheden of de middelen die grote bedrijven hebben om smartphones zo te configureren dat ze veilig kunnen omgaan met privacygevoelige gegevens in de cloud. Het opslaan van bestanden gebeurt op de standaard ingestelde manier via de clouddiensten van Google, Microsoft en Apple. Dat is vanuit het oogpunt van bescherming van persoonsgegevens geen goede zaak. Die diensten richten zich op de eisen van normale consumenten. De enige afspraken zijn de gebruikersvoorwaarden of algemene voorwaarden. Die zijn beperkt tot het minimale qua privacy. Elke vorm van aansprakelijkheid is zorgvuldig afgedekt.
Je hoort vaak dat het voor Europese inwoners of bedrijven in het algemeen geen slimme zet is om persoonsgegevens bij grote Amerikaanse clouddiensten te parkeren. Dat klopt niet helemaal, maar het is wel verstandig op een aantal dingen te letten. Er zijn namelijk regels opgesteld volgens EU-standaarden.
Zelfcertificering
Tot 2015 werden die regels nageleefd via het Safe-Harbor-akkoord tussen de EU en de Verenigde Staten. Nadat het Europese Hof dat akkoord van tafel veegde omdat het niet voldoende bescherming voor persoonsgegevens bood, is er sinds juli 2016 een nieuw akkoord: het EU-US Privacy Shield. Amerikaanse aanbieders kunnen laten zien dat ze voldoen aan de gestelde privacy-eisen door zich te laten certificeren via het Amerikaanse ministerie van Economische Zaken.
De beslissing om die certificering te vertrouwen ligt in de handen van degene die de dienst gebruikt, oftewel jijzelf. Je moet er niet klakkeloos van uitgaan dat wat een bedrijf zegt klopt, maar controleren of een certificering ook echt bestaat en nog steeds geldig is. Die certificering moet elk jaar vernieuwd worden. Bovendien moet het soort verzonden persoonsgerelateerde gegevens afgedekt worden door de certificering. Details over het gebruik van Privacy Shield lees je in de FAQ van de Europese Commissie. Een belangrijk punt blijft echter dat het Privacy Shield geen garantie biedt dat Amerikaanse bedrijven geen toegang hebben tot de gegevens.
Microsoft heeft zich vrijwel direct nadat het nieuwe akkoord was goedgekeurd laten certificeren en werkt sinds 12 augustus onder het Privacy Shield. Google heeft eind september zijn certificering gekregen via het Amerikaanse ministerie. Andere Amerikaanse bedrijven als Apple en Facebook hebben nog geen stappen in die richting gezet. Zij maken nog gebruik van de eenjarige overgangsfase.
Beroepsgeheimen
In de praktijk zijn slechts weinig mensen zich bewust van de regels binnen het EU-US Privacy Shield. De meeste mensen begeven zich in een juridisch grijs gebied door persoonsgegevens van derden via Amerikaanse clouddiensten te synchroniseren en hun smartphones ook zakelijk te gebruiken.
Zodra je een cloud gebruikt, moet je één belangrijke regel onthouden: hoe gevoeliger de data op je smartphone zijn, des te meer je je moet afvragen hoe en of je de gegevens wel aan een bepaalde cloudaanbieder toevertrouwt. Als het gaat om meer dan alleen contactinformatie, is het verstandig om de gegevens in ieder geval end-to-end versleuteld op een server van derden neer te zetten. Er zijn clouddiensten die dat standaard al doen (sync.com, tresorit, spideroak). Je kunt ook tools als Boxcryptor of SafeCrypt (voorheen SkyCrypt) gebruiken.
Dat is vooral van belang bij beroepen waar een beroepsgeheim speelt, zoals bij medici en juristen. Die moeten aan aparte strengere regels voldoen. Als die de aan hen toevertrouwde persoonlijke gegevens niet voldoende beveiligen, levert dat onder meer een fikse boete op. In de zorg worden medische gegevens steeds vaker in de cloud gezet omdat het dan voor zorgaanbieders makkelijker is om gegevens te delen. Het risico op datalekken neemt daardoor wel toe. Eerder dit jaar heeft de Autoriteit Persoonsgegevens in een open brief aan zorginstellingen specifiek om aandacht gevraagd voor de bescherming van patiëntgegevens. De Autoriteit Persoonsgegevens heeft de beveiliging van medische gegevens niet voor niets één van haar speerpunten voor dit jaar gemaakt.
Gescheiden graag
Om op safe te spelen, is het verstandig om gegevens zo veel mogelijk van elkaar te scheiden. Je hoeft niet meteen geen Amerikaanse cloudaanbieders meer te gebruiken als je als freelancer wat zakelijke contacten op je smartphone neerzet, maar als je zakelijke e-mail met je privé-smartphone afhandelt, is het verstandig om een Europese aanbieder te gaan gebruiken.
Maar wat vooral belangrijk is: privégegevens en zakelijke gegevens zijn op je smartphone gewoon van elkaar te scheiden. In c’t 12/2016 vertellen we je hoe je dat doet. Dat is niet eens zo moeilijk. Hier zetten we de verschillende mogelijkheden kort op een rij.
Alleen webdiensten
+ bedrijf behoudt beheer over data
+ ook voor apps en server-apps te gebruiken
+ infrastructuur vaak al aanwezig of makkelijk te realiseren
– traag en onhandig
– geen offline toegang
– ook geen selectieve toegang op contacten via apps
Kritieke gegevens belanden niet op je smartphone. Je hebt alleen via je browser toegang tot de webinterface. Dat kan met elk mobiel apparaat of pc, maar je hebt er een gehoste dienst of een eigen serverinfrastructuur voor nodig.
App-machtigingen beperken
+ ook nuttig zonder dat je bedrijfsdata wilt beschermen
+ gratis
– geen extra bescherming
– totaal afschermen onzinnig
– niet voor elke werknemer nodig
– geen vervanging voor MDM-systeem
De op het oog meest logische oplossing: Alle kritische apps de toegang tot je contactenlijst en agenda ontnemen via machtigingen. Dat gaat bij iOS erg goed en bij Android inmiddels ook vrij aardig. Dit lost de problemen echter niet écht op, zodat je alsnog wat extra maatregelen moet treffen.
Meerdere gebruikers
+ gratis en makkelijk in te richten
+ bedrijfsaccount voor app-aankopen mogelijk
+ apps bruikbaar binnen afgeschermd gebied
– geen meldingen uit ander deel
– installeren apps lastig zonder Google-account
– geen vervanging voor MDM-systeem
Af te schermen gegevens samen met veilige apps onder een aparte gebruiker installeren en alle twijfelachtige of privé-apps bij het normale account laten staan. Kan alleen bij Android-tablets en een aantal Android-smartphones. IOS heeft tot nu toe nog geen gebruikersbeheer.
Exchange-container-app
+ weinig werk
+ op elk apparaat mogelijk
+ infrastructuur vaak al aanwezig
+ bedrijf kan op afstand wissen
– alleen mails, contacten, agenda, notities en taken, geen apps
– bijlagen alleen in onbeschermd deel te bewerken
– mailserver voor consumenten betaald (vanaf 1 euro p/m)
Apps als TouchDown synchroniseren met Exchange, maar sluizen agendadata, contacten en dergelijke niet naar het systeem door. Ze bieden alleen toegang binnen de app. De meeste apps kosten zo’n 10 euro, een aantal zelfs meer dan 20 euro.
Lokaal afgeschermd deel
+ alle apps met aparte instellingen te gebruiken
+ beschermde en privé-gedeelte tegelijk actief
+ gratis
– alleen op smartphones van Samsung
– geen vervanging voor MDM-systeem
Samsung MyKnox richt een veilig deel in voor een ander account en met afgescheiden apps. Dat werkt alleen op smartphones van Samsung. Alle apps zijn te gebruiken, waarbij je alleen niet-kritieke via MyKnox moet vrijgeven. Bedrijven hebben geen controle over de container en de bestanden daarin.
Beheer op afstand
+ apps en data gescheiden van privégedeelte
+ bedrijf houdt controle over data
– niet haalbaar voor consumenten
– kost veel tijd en geld
De professionele oplossing: op elke smartphone een instelbare op afstand te beheren workspace met afgescheiden gegevens en apps. Voorheen had je daar een eigen MDM-server voor nodig. Inmiddels zijn er ook gehoste oplossingen vanaf een paar euro per maand per apparaat. Vereist een flinke dosis IT-kennis.
In c’t 12/2016 gaan we dieper in op het scheiden van je gegevens met praktische tips voor Android en iOS.
(Holger Bleich, Jörg Wirtgen / Alieke van Sommeren)
