Cloud computing en de bescherming van (persoons)gegevens

Gmail van Google is een voorbeeld van cloud computing op een relatief eenvoudig niveau. Binnen de cloud worden de noodzakelijke stappen gezet om berichten te versturen. En de berichten worden binnen de cloud opgeslagen. Interessanter wordt het wanneer bijna de volledige functie van de kantoor- of thuiscomputers wordt overgenomen door een cloud. De gebruiker van de dienst hoeft dan alleen nog maar effectief toegang te hebben tot dat systeem via een internetverbinding en een grafische interface. Het aanschaffen van meer computers, het upgraden van computers, het inrichten van volgestouwde werkplekken is dan overbodig geworden. Inherent hieraan is wel dat de informatie van de gebruiker zich extern in een cloud bevindt. Hoe veilig is die informatie in de cloud?

Mogelijkheden en risico’s

Cloud computing is kort gezegd een externe dienst die hardwaregebaseerde reken-, netwerk- en opslagcapaciteit biedt. Cloud computing is goedkoop, efficiënt en schaalbaar. Alle informatie wordt geplaatst en verwerkt in de cloud. Een probleem ontstaat wanneer die informatie niet goed wordt beschermd,  dat er “lekken” zijn of dat het systeem wordt gekraakt. Uit onderzoek blijkt dat ondernemingen en overheden zich vooral zorgen maken over de veiligheid van cloud computing. Zij vrezen dat vertrouwelijke informatie bekend wordt. Of dat de software die ontwikkeld en gebruikt wordt binnen de cloud in handen van derden komt. Maar die risico’s zijn er natuurlijk ook in het geval waarin gegevens gewoon lokaal worden verwerkt en opgeslagen. Verwacht mag worden dat de beveiliging van een gecentraliseerd, professioneel systeem zoals een cloud van een hoger niveau is dan een normaal bedrijfs- of thuissysteem. Daar tegenover staat wel dat het een aantrekkelijker doelwit is voor een aanval door hackers.

Contracten en privacywetgeving

Een complicerende factor in de juridische analyse van cloud computing is dat de cloud de landsgrenzen over gaat. Ook de voor cloud computing gebruikte techniek maakt het soms lastig om een juiste analyse te maken. De gegevens zijn niet meer fysiek te benaderen zoals in een bibliotheek. Het aanwijzen van een server waar bepaalde gegevens zich bevinden is niet of slecht mogelijk. De cloud is als het ware één groot organisme. Binnen dat soms wereldwijde organisme zijn de gegevens gefragmenteerd opgeslagen. Er is wel een algemeen juridisch kader te definiëren dat voor cloud computing diensten de lijnen uitzet. In dit artikel wordt stilgestaan bij de juridische mogelijkheden voor zowel de aanbieder als de gebruiker van de dienst. Enerzijds zijn dat de contractuele afspraken tussen partijen. Anderzijds wordt deze relatie door dwingende privacyregels van bovenaf gevormd.

De aanbieder trekt de stekker eruit

Contractueel is er veel mogelijk voor zowel de aanbieder als de gebruiker van een cloud computing dienst. Maar de aanbieder van de dienst zal weinig weggeven in een contract. Dat betekent dat verantwoordelijkheden kunnen worden vermeden en dat de gebruiker uiteindelijk de rekening betaalt als er iets mis gaat. Als er schade ontstaat omdat gegevens in de cloud zijn uitgelekt zou het recht op schadevergoeding kunnen worden beperkt of zelfs uitgesloten. Een belangrijk aandachtspunt in de contracten is verder het regelen van continuïteit. Het meest voor de hand liggende risico is een geval van onenigheid. Bijvoorbeeld over de kwaliteit van de dienst of de prijs daarvan. De aanbieder van de dienst heeft een sterk machtsmiddel in handen want niemand kan zonder zijn computersystemen. Een groot probleem voor de gebruiker van de dienst ontstaat dus wanneer de aanbieder de dienst eenzijdig afsluit. Ook valt er te denken aan betalingsachterstanden. Een bedrijf dat in zwaar weer zit niet te wachten op nog meer problemen. Inmiddels is er ook al mondjesmaat rechtspraak gekomen over deze situaties. In één geval werd het afsluiten van de gebruiker van de cloud dienst na een fors opgelopen rekening tijdelijk teruggedraaid. Daarvoor moest wel eerst worden aangetoond dat er geen mogelijkheid was terug te vallen op het oude computersysteem en moest er ook nog een garantie worden afgegeven voor betaling.

Toepasselijke privacywetgeving

De aanbieder van de cloud dienst moet voldoen aan ter plaatse geldende privacywetgeving. Binnen de EU is dat de Privacyrichtlijn. Daarin zijn strikte regels zijn neergelegd voor de manier waarop met persoonsgegevens moet worden omgegaan.  Van opslag tot vernietiging: in beginsel moet er altijd eerst toestemming worden gegeven. Het begrip “persoonsgegevens” moet breed worden opgevat. Het zijn alle gegevens die tot een identificeerbare natuurlijke persoon te herleiden zijn. Dat betekent dat bedrijfsgegevens daar in principe buiten vallen. Op dat vlak wordt de relatie tussen de aanbieder en de gebruiker van de dienst puur door contractueel geldende afspraken geregeld. Het is natuurlijk wel mogelijk dat er een mix plaatsvindt. Sommige bedrijfsgegevens bevatten namelijk ook persoonsgegevens zoals contactgegevens van klanten.

Het kiezen van de locatie van de cloud

De plaats waar de servers van de cloud staan is in beginsel bepalend voor de vraag welk recht van toepassing is. In dat kader is het goed om te weten dat het soms mogelijk is om te kiezen waar de servers van de cloud zich bevinden, in de EU, de Verenigde Staten of bijvoorbeeld wereldwijd. Daarmee kan de veelvoud aan mogelijk toepasselijke rechtsstelsels worden ingeperkt tot een overzichtelijk en bekend terrein.

Verenigde Staten, Patriot Act en Safe Harbor

Partijen die binnen de Verenigde Staten persoonsgegevens willen verwerken kunnen “meedoen” aan de Europese privacyregels onder het safe harbor principe. Dat betekent dat ze vrijwillig voldoen aan de belangrijkste criteria. De reden hiervoor is dat de bescherming van persoonsgegevens in de Verenigde Staten van een lager niveau wordt gevonden. De Europese Commissie heeft daarover haar zorgen uitgesproken. In dat verband moet ook de Patriot Act worden genoemd. Onder die Amerikaans wet kunnen in de Verenigde Staten door de overheid gemakkelijk gegevens worden opgevraagd. Gegevens zijn in de Verenigde Staten dan ook relatief veel makkelijk op te vragen.

Onderhandeling, onderhandeling

Cloud computing kent risico’s voor de gegevens in een cloud. Het is van belang die risico’s van tevoren goed te wegen en naast het beoogde doel te leggen. Zoals elke nieuwe technologie nieuwe risico’s oplevert staan daar ook voordelen tegenover. Het is van de situatie afhankelijk welk van de twee zwaarder weegt. Concreet moet de markt van aanbieders steeds goed worden verkend. Veel komt neer op onderhandeling over de contracten. Dat geldt voor beide kanten van de spelers op de cloud computing markt. Want bewegen de aanbieders van de dienst niet genoeg met de vraag mee dan zal een concurrent dat wellicht wel doen.

Jurian van Groenendaal is advocaat bij Boekx Advocaten Media & Intellectuele Eigendom te Amsterdam vangroenendaal@boekx.com (www.boekx.com).

NB. Dit artikel is eerder verschenen in o.a. het blad Marketing Rendement

Update: Interessante uitspraak over vernietiging van een exoneratie in het contract van KPN voor gegevens die verloren zijn gegaan in de cloud hier.

Veiligheid en privacy van RFID technologie

Het rommelt rond de RFID chip. Er zijn tegenslagen geweest in praktische toepassing van de techniek zoals bijvoorbeeld bij de invoering van de OV chip kaart. En van meet af aan bestonden er zorgen over de veiligheid en de privacywaarborgen rond het gebruik van RFID techniek. Daar zou het aan schorten volgens de sceptici. Er zijn veiligheidsrisico’s in de vorm van uitlezen of herprogrammeren van RFID chips door hackers. Ook zijn de eerste virussen al gesignaleerd. Zeer onwenselijk is bovendien dat allerlei producten met een RFID chip persoonlijke informatie van de eigenaar verzamelen en doorsturen. Binnen de politiek is de problematiek rondom de RFID techniek ook actueel. De Europese Commissie houdt zich bezig met het vraagstuk veiligheid en privacy van RFID technologie. Daarvoor is een aanbeveling uitgebracht door de Europese Commissie. Wat staat daar in over de belangrijkste risico’s voor privacy en veiligheid? En zijn er ook andere regels van toepassing?   

RFID chips, tags en frequenties

Er worden veel voordelen gezien in RFID technologie. Het vergemakkelijkt processen die als tijdrovend of lastig kunnen worden gezien. Paspoortcontroles, de tram pakken en boodschappen doen. Het kan allemaal gemakkelijker worden gemaakt en bijvoorbeeld diefstal van producten kan beter worden tegengegaan. Om te begrijpen wat de bedreiging voor privacy en veiligheid van RFID technologie inhoudt moet de techniek eerst nader worden bekeken. RFID of radio frequency identification maakt het mogelijk dat informatie wordt opgeslagen op een goedkope, vaak in een alledaags object geïntegreerde chip. Deze RFID chips worden ook wel aangeduid als RFID tag. Een tag heeft een unieke identificatiecode. In potentie kan de drager van de tag daardoor ook worden geïdentificeerd. Een essentieel aspect van RFID technologie is dat de informatie op een tag op afstand kan worden gelezen en gewijzigd. Het is dus niet meer nodig dat een kaartje ergens in wordt gestopt of door een sleufje wordt gehaald. De meeste chips hebben geen batterij en doen het grootste gedeelte van de tijd niets. Zij werken pas als ze worden geactiveerd door een andere RFID lezer of schrijver. Die stuurt een beetje stroom mee via het radiosignaal. Dat opent mogelijkheden voor het uitlezen van simpele tags op grote afstand. De RFID chip kan op een afstand van centimeters tot in extreme gevallen enkele kilometers werken. Maar de bruikbare afstand valt nu nog wel mee. Het ligt wel voor de handMaar het ligt wel voor li dat het bereik in de toekomst verder uitgebreid wordt.

De gevreesde veiligheids- en privacyrisico’s

De mogelijkheid dat allerlei persoonlijke informatie door derden zou kunnen worden ingezien is sterk verontrustend als die mogelijkheid niet goed wordt gecontroleerd. Want hoe kan worden gegarandeerd dat de verzamelde informatie alleen maar in de juiste handen komt? En welke informatie wordt er eigenlijk verzameld? Het rondlopen met een RFID chip is in potentie vergelijkbaar met het meedragen van heel algemene maar ook zeer persoonlijke papieren informatie in een tas. En die tas die wordt bij winkels, stations en pinautomaten opengemaakt en doorgelezen door een controleur. Zonder dat u zich daar bewust van bent. Gegevens over iemands locatie en wat een persoon heeft gedaan op die locatie, of er bijvoorbeeld geld werd uitgegeven. Financiële en medische informatie. Politieke en seksuele voorkeur, genetische kenmerken of ras. Het kan zo gek niet worden bedacht. In potentie kan al die informatie deel gaan uitmaken van een of ander RFID systeem. Iedere commerciële partij zou een product met RFID technologie kunnen ontwikkelen. Is het wel wenselijk dat al die partijen een database kunnen aanleggen met zulke persoonsgebonden informatie? Met veruit het meeste hebben zij niets te maken. Dat is privé en dat moet zo blijven. Naast dit soort datamining van commerciële partijen zijn er kwaadaardige derden die zich zonder toestemming toegang zouden kunnen verschaffen tot deze informatie. En omgekeerd, zij kunnen de RFID tag vervalsen en zo misschien op plekken komen waar zij niets hebben te zoeken. In het kader van terrorisme een beklemmende gedachte. Er zijn al een aantal voorbelden bekend van RFID systemen die zijn gekraakt, of stiekem kunnen worden uitgelezen.

Het juridische kader

De Europese Commissie stelt dat RFID technologie een “integraal deel zal worden van het dagelijkse leven”. In dat kader is het van groot belang dat er waarborgen bestaan tegen ongeremde datamining. Ook zullen waarborgen voor de veiligheid van de techniek verplicht moeten worden om problemen te voorkomen. Het meest recente en voor zover mij bekend het enige specifiek op RFID afgestemde stuk van de Europese Commissie, is een aanbeveling. Dat is een juridisch document dat niet bindend is. Maar er zijn ook oudere richtlijnen waarin wel bindende regels zijn neergelegd over de veiligheid van “de informatiemaatschappij” en “communicatienetwerken” in meer algemene termen. Een lijst van specifieke gegevens zoals biometrische kenmerken, politieke of seksuele voorkeuren, genetische informatie, gezondheid en ras zijn onderworpen is bijvoorbeeld onderworpen aan deze bindende regelgeving. Ook in nationale wetgeving zijn deze regels verankerd. Binnen Nederland met name de Wet Bescherming Persoonsgegevens. In beginsel zijn alle tot een persoon herleidbare gegevens te kwalificeren als persoonsgegevens. Om die persoonsgegevens te verwerken moet expliciet toestemming worden verkregen. Ook kondigt de Europese Commissie aan om actief met het specifieke onderwerp RFID chips bezig te zullen blijven en het toezicht scherp te houden. In dat kader is ook het ENISA agentschap actief. Dat is het European Network and Information Security Agency. Dat agentschap heeft een opinion afgegeven in juli 2010.

Aanbevelingen van de Europese Commissie en ENISA

De Europese Commissie en het ENISA zijn dus specifiek met het onderwerp RFID aan de slag gegaan. Daaruit zijn onder meer de volgende resultaten gekomen. Ten eerste zouden nationale regeringen zich moeten buigen over de privacy impact van RFID toepassingen. Met name verdient aandacht of de RFID toepassing in staat is om iemand te volgen. Per toepassing zou vervolgens een rapport opgemaakt moeten worden, de zogenaamde Privacy Impact Assessment (PIA). Het idee is om de risico’s van RFID toepassingen op voorhand goed in kaart te brengen. Ten tweede gaat het om het implementeren van afdoende beveiliging. Dit brengt met zich mee dat beveiliging “ingebakken” moet zijn in de RFID chip. Dus werkelijk geïntegreerd in de techniek en niet later toegevoegd. Dat maakt veel uit voor de veiligheid van het uiteindelijke product. Ten derde is interessant dat wordt voorgesteld dat partijen die gebruik willen maken van RFID techniek informatie moeten verschaffen aan het publiek. Zo zouden zij hun identiteit, het doel van de toepassing, het soort data en de beveiliging daarvan vooraf bekend moeten maken. Ook zou er een algemeen “Europees teken” moeten komen dat duidelijk maakt dat er ergens een RFID lezer actief is. Een waarschuwingsbord dus. Last but not least moet door retailers duidelijk worden gemaakt of er een RFID tag op of in een product is geplaatst. En moeten zij die tag verwijderen nadat het product is verkocht. In dat kader zijn er goede mogelijkheden zoals RFID tags die zichzelf vernietigen.

Slot

RFID technologie brengt interessante mogelijkheden en economische voordelen met zich mee. Risico’s op excessen lijken er nu niet echt te zijn. De bestaande privacywetgeving is behoorlijk sterk. Persoonlijke, laat staan gevoelige informatie kan niet zomaar worden verzameld. Extra waarborgen zoals onderzoek, informatievoorziening en het uitschakelen van tags verhogen de veiligheid. De vraag is waarschijnlijk vooral of de techniek bestand is tegen de aanval van kwaadwillenden zoals hackers en virusmakers. Vooralsnog is daar weinig concreets over gezegd door de wetgever in Nederland en Europa.

Jurian van Groenendaal is advocaat bij Boekx Advocaten Media & Intellectuele Eigendom te Amsterdam vangroenendaal@boekx.com (www.boekx.com).

NB. Dit artikel is eerder verschenen in het blad PC Rendement