Met Donald Trump als nieuwe Amerikaanse president veranderen de randvoorwaarden voor IT-security en privacy. In Europa moeten de regels voor digitale veiligheid opnieuw gedefinieerd worden.
In allerijl brachten klimaatwetenschappers in de VS hun gegevens na de verkiezingen in veiligheid. De Washington Post meldde dat alle gegevens over de afgelopen decennia worden gekopieerd en geback-upt. Een online database, verdeeld over veel servers, moet een veilige haven vormen. De wetenschappers waren bang dat Trump en zijn toekomstig kabinet hun werk willen saboteren. De nieuwe bewindvoerders ontkennen immers dat klimaatsverandering door de mens wordt veroorzaak.
In de overgangsperiode weigerde het Department of Energy zelfs om de namen van de betreffende medewerkers door te geven. Ze gingen er vanuit dat hun data in de toekomst niet meer beschikbaar en integer zou zijn. Op de website van het Witte Huis waren ze op de dag van de inauguratie inderdaad ook verdwenen. Maar dat is nog maar het begin.
Dataminimalisatie
Privacy houdt meer in dan alleen integriteit. Daaronder valt ook dataminimalisatie: het principe om alleen het meest noodzakelijke op te slaan. En ook ‘onward transfer’, wat staat voor het algeheel beperken van rechten voor verwerking, het gebruik en het doorgeven.
De door Trump aangekondigde Muslim Registry is voor Amerikaanse IT-bedrijven de ethische lakmoestest. Dat meldingsregister kan voor Amerikaanse moslims een grote bedreiging vormen aangezien de huidige president bij zijn campagne aankondigde moslims burgerrechten te willen ontnemen en ze massaal het land uit te zetten.
Het online magazine The Intercept vroeg negen IT-concerns of ze zouden meehelpen zo’n database op te zetten en of ze aan de plannen wilden meewerken. Twitter weigerde als enige meteen. Microsoft gaf aan de discussie “hypothetisch” te vinden en draaide daarmee een beetje om een eenduidige stelling heen. Facebook, Google, Apple, IBM en Uber wilden ook niets met zo’n gegevensverzameling te maken hebben.
Omdat de afwijzing van die bedrijven niet heel duidelijk was, bleef het alsnog onrustig. Midden december tekenden 60 werknemers van grotere bedrijven een gemeenschappelijke verklaring. Ze weigerden aan de opbouw van zo’n register mee te werken en namen nog liever ontslag dan data te misbruiken.
De New York Magazine kwam tot de conclusie dat de IT-industrie de meeste taken voor het totstand komen van zo’n register al heeft afgerond. Google en Facebook zouden immers aan de hand van Big Data-analyses technisch al in staat zijn gebruikers te ‘labelen’. Als iemand tijdens de Ramadan googelt naar de tijden van zonsopkomst en -ondergang, ben je waarschijnlijk moslim. Zoekt iemand naar de datum van Chanoeka, dan is de kans groot dat diegene Joods is. Iemand is vermoedelijk christen als in de agenda de data voor een Bijbelrooster zijn opgenomen. Hoe meer van dat soort aanwijzingen beschikbaar zijn, des te beter het resultaat van zo’n analyse.
De universiteit van Pennsylvania bouwt een databunker uit vrees dat hun decennialang verzamelde klimaatgegevens anders vroeg of laat niet meer beschikbaar en integer zullen zijn.
Versleutelen voor het vertrouwen
Een andere discussie tussen Trump en Silicon Valley gaat over encryptie. Apple en de FBI hebben de discussie over het ontsleutelen van een iPhone nog lang niet afgesloten. In dat debat gaat het in principe om discretie, de integriteit van persoonlijke communicatie en het transparant handelen van de overheid. In een nieuw geval zal het om het geheel gaan – niet alleen om een smartphone van een bepaalde fabrikant. Trump heeft zijn standpunt overigens allang duidelijk gemaakt: IT-bedrijven moeten voor justitie gewoon toegang bieden tot versleutelde gegevens.
De Internet Association (IA), een belangenvereniging in de Amerikaanse internetbranche, schreef meteen na de verkiezingen een open brief aan Trump. Daarin werd hij uit voorzorg eraan herinnerd dat versleuteling relevant is voor de nationale en individuele veiligheid. Kritische infrastructuren kunnen op die manier worden beschermd tegen aanvallen. Daarnaast wordt het mogelijk burgers tegen onderdrukking van overheidswege te beschermen. Als de wet dwingt achterdeurtjes voor autoriteiten open te zetten, is dat contraproductief voor de veiligheid.
Bescherming tegen massasurveillance
Verder pleitte de IA voor meer hervorming inzake de bevoegdheden van de NSA. De oproep werd gedaan buitenlanders te beschermen tegen surveillance. Internationale afspraken waarbij juridische instanties makkelijker toegang krijgen tot data in de VS, zijn volgens de IA ook noodzakelijk. Zeer waarschijnlijk zal het IT-beveiligingsbeleid van Trump zich in de tegenovergestelde richting ontwikkelen. IT-bedrijven moeten juist achterdeurtjes inbouwen voor Amerikaanse autoriteiten. Dat is dan waarschijnlijk meteen de grote angst van de Internet Association. De NSA kan nu al vrijwel elke vorm van communicatie ontsleutelen. Sinds de onthullingen van Snowden kunnen alle platformen en diensten in opspraak raken.
Als autoriteiten uit andere landen gegevens uit de VS nodig hebben, moeten ze dat officieel aanvragen. In de VS kan het maanden en soms zelfs jaren duren voordat zo’n aanvraag verwerkt wordt. Als Trump zijn aankondiging waarmaakt en aan de ‘America First’-doctrine blijft vasthouden, worden dergelijke aanvragen straks willekeurig verwerkt. Omgekeerd zal de Amerikaanse justitie toegang willen tot de servers van Amerikaanse bedrijven, ongeacht waar die ter wereld staan.
Microsofts maatregelen
Microsoft probeert momenteel via de rechter te regelen dat de Amerikaanse justitie niet bij het hoofdkantoor in Redmond kan aankloppen. Het juridische pad in het land waar de server staat, moet worden gerespecteerd. Trump zou kunnen proberen om de huidige wetgeving nog meer in het voordeel van de Amerikaanse Justitie aan te passen.
Voor Microsoft staan rondom die kwestie grote Europese opdrachten op het spel. Niemand zal zijn gegevens immers aan een bedrijf toevertrouwen als die zomaar beschikbaar kunnen zijn voor Amerikaanse autoriteiten. In november 2015 sloot Microsoft al een deal met Deutsche Telekom om de data van alle Europese burgers op de servers van de Duitse provider te bewaren. Microsoft dwingt de Amerikanen daarmee de moeizame officiële juridische weg te bewandelen. Een alternatief zou zijn geweest om de gegevens zodanig te versleutelen dat Microsoft er technisch zelf ook niets mee zou kunnen.
Omdat de privacyregels in Duitsland strenger zijn dan elders in Europa, voldoet Microsoft met de overeenkomst aan fundamentele veiligheidseisen. Data van particulieren zijn overigens wel toegankelijk voor Amerikaanse autoriteiten. De bestanden in OneDrive worden bijvoorbeeld niet bewaard op de servers van Deutsche Telekom. Dat Trump weinig waarde hecht aan privacy, blijkt wel uit een uitspraak tijdens zijn campagne. Hij zei te hopen dat Rusland zo’n 30.000 e-mails van Hillary Clinton boven water kon toveren. Hij is blijkbaar niet bang voor een cyberoorlog.
Europese tegenmaatregelen
In Europa moet snel worden besloten hoe streng de beveiligingseisen moeten worden. In de digitale wereld staat privacy met de zeven principes uit het Safe Harbor-akkoord centraal: notify, choice, onward transfer, security, data integrity, access en enforcement. Trump bekritiseert ze allemaal.
Een belangrijke tegenhanger is de Europese Algemene verordening gegevensbescherming, die in 2018 in kracht zal treden. Hard- en softwarefabrikanten en dataverwerkers worden daarbij verplicht om doelen te realiseren aan de hand van technisch-organisatorische maatregelen. ‘Privacy by Default’ en ‘Privacy by Design’ zijn straks de fundamenten waarop de Europese privacy rust.
Aan de bepaling voor of tegen bepaalde technische oplossingen zul je kunnen aflezen hoe serieus de Europeanen privacy echt nemen. Met end-to-end-encryptie wordt effectief voorkomen dat dienstverleners communicatie bijvoorbeeld kunnen volgen of aan buitenlandse diensten kunnen doorgeven.
Een ander probleem zijn systemen waarbij je je moet aanmelden. Bijvoorbeeld om met anderen verbinding te maken voor het afhandelen van bestellingen of om overheidsdiensten te kunnen gebruiken. Gebruikers worden daarbij vaak gedwongen onnodig veel van zichzelf prijs te geven. Dergelijke systemen zijn nog lang niet voorbereid op dataminimalisatie of onward transfer. Privacy-instanties zouden voor bepaalde gevallen het gebruik van zogenaamde attribute-based credentials (ABC) onvoorwaardelijk moeten opeisen. Daarmee moeten koppelingen tussen namen en bijvoeglijke naamwoorden, bijvoorbeeld ‘huidskleur’, ‘leeftijd’ en ‘religie’ worden voorkomen. Met het ontwerp van dergelijke systemen moet datamining onmogelijk worden.
Nederlandse uitvinding
John Borking en Ann Cavoukian stelden in 1995 in Kopenhagen voor het eerst een concept op voor ‘Privacy Enhancing Technologies’ (PETs). Cavoukian bedacht enkele jaren later de term ‘Privacy by Design’.
Het concept achter ‘Identity Protectors’ is halverwege de jaren 90 al ontwikkeld door de Nederlander John Borking. Hij werd geïnspireerd door de Jodenvervolging in de Tweede Wereldoorlog. Door de destijds moderne ponskaartentechniek van IBM konden de Duitsers Joden in Nederland makkelijk opsporen en arresteren.
De Europese toezichthouder zou van bedrijven kunnen verlangen ‘sticky policies’ te implementeren. Die techniek bedt privacyregels zodanig in dat ze onafhankelijk zijn van de opslag- en verwerkingslocatie van de data. Daarmee zouden datastreams en securitypreferenties voor meerdere aanbieders geregeld kunnen worden. Softwareproducent SAP heeft dergelijke systemen al getest. De grootte van de installatie is uiteindelijk een kwestie van de opslaglocatie en de rekencapaciteit. Hewlett-Packard heeft al concepten ontwikkeld voor het gebruik van ‘sticky policies’ in de cloud en voor mobiele apparaten. Daarmee kan het niveau van de beveiliging in veel opzichten enorm toenemen.
Obama’s nalatenschap
Barack Obama heeft een heikel nalatenschap achtergelaten. Vaak moest hij decreten uitvaardigen om het Congres, waarin voornamelijk Republikeinen zitten, te omzeilen. Trump kan decreten daardoor snel herroepen en de oude toestand herstellen.
Maar ook onder Obama floreerde de massasurveillance. De Foreign Intelligence Surveillance Act (FISA) is de wet waarin is geregeld dat buitenlandse diensten in de gaten kunnen worden gehouden. Daarmee werden maatregelen met betrekking tot surveillance regelmatig mogelijk. Dat betrof wereldwijd veel gebruikers. Whistleblowers werden in de VS hard aangepakt en hun positie verbeterde geenszins.
Van Trump zijn weinig hervormingen te verwachten. Het is niet duidelijk hoe zijn persoonlijke ontmoeting met de grootheden uit Silicon Valley precies verliep. De wereld zag alleen foto’s van Larry Page, Tim Cook, Elon Musk en Sheryl Sandberg met overwegend strakke gezichtsuitdrukkingen.
Over enkele maanden wordt het ‘EU-US-Privacy-Shield’ behandeld, de opvolger van Safe Harbor die door het Europese Gerechtshof niet goedgekeurd werd. Het is de vraag of dat nu anders zal zijn. Het is nog niet duidelijk of de nieuwe Amerikaanse bewindvoerders zich aan de huidige toezeggingen zullen houden.
(Christiane Schulzki-Haddouti / Marcel van der Meer)
