Veiligheid en privacy van RFID technologie

Het rommelt rond de RFID chip. Er zijn tegenslagen geweest in praktische toepassing van de techniek zoals bijvoorbeeld bij de invoering van de OV chip kaart. En van meet af aan bestonden er zorgen over de veiligheid en de privacywaarborgen rond het gebruik van RFID techniek. Daar zou het aan schorten volgens de sceptici. Er zijn veiligheidsrisico’s in de vorm van uitlezen of herprogrammeren van RFID chips door hackers. Ook zijn de eerste virussen al gesignaleerd. Zeer onwenselijk is bovendien dat allerlei producten met een RFID chip persoonlijke informatie van de eigenaar verzamelen en doorsturen. Binnen de politiek is de problematiek rondom de RFID techniek ook actueel. De Europese Commissie houdt zich bezig met het vraagstuk veiligheid en privacy van RFID technologie. Daarvoor is een aanbeveling uitgebracht door de Europese Commissie. Wat staat daar in over de belangrijkste risico’s voor privacy en veiligheid? En zijn er ook andere regels van toepassing?   

RFID chips, tags en frequenties

Er worden veel voordelen gezien in RFID technologie. Het vergemakkelijkt processen die als tijdrovend of lastig kunnen worden gezien. Paspoortcontroles, de tram pakken en boodschappen doen. Het kan allemaal gemakkelijker worden gemaakt en bijvoorbeeld diefstal van producten kan beter worden tegengegaan. Om te begrijpen wat de bedreiging voor privacy en veiligheid van RFID technologie inhoudt moet de techniek eerst nader worden bekeken. RFID of radio frequency identification maakt het mogelijk dat informatie wordt opgeslagen op een goedkope, vaak in een alledaags object geïntegreerde chip. Deze RFID chips worden ook wel aangeduid als RFID tag. Een tag heeft een unieke identificatiecode. In potentie kan de drager van de tag daardoor ook worden geïdentificeerd. Een essentieel aspect van RFID technologie is dat de informatie op een tag op afstand kan worden gelezen en gewijzigd. Het is dus niet meer nodig dat een kaartje ergens in wordt gestopt of door een sleufje wordt gehaald. De meeste chips hebben geen batterij en doen het grootste gedeelte van de tijd niets. Zij werken pas als ze worden geactiveerd door een andere RFID lezer of schrijver. Die stuurt een beetje stroom mee via het radiosignaal. Dat opent mogelijkheden voor het uitlezen van simpele tags op grote afstand. De RFID chip kan op een afstand van centimeters tot in extreme gevallen enkele kilometers werken. Maar de bruikbare afstand valt nu nog wel mee. Het ligt wel voor de handMaar het ligt wel voor li dat het bereik in de toekomst verder uitgebreid wordt.

De gevreesde veiligheids- en privacyrisico’s

De mogelijkheid dat allerlei persoonlijke informatie door derden zou kunnen worden ingezien is sterk verontrustend als die mogelijkheid niet goed wordt gecontroleerd. Want hoe kan worden gegarandeerd dat de verzamelde informatie alleen maar in de juiste handen komt? En welke informatie wordt er eigenlijk verzameld? Het rondlopen met een RFID chip is in potentie vergelijkbaar met het meedragen van heel algemene maar ook zeer persoonlijke papieren informatie in een tas. En die tas die wordt bij winkels, stations en pinautomaten opengemaakt en doorgelezen door een controleur. Zonder dat u zich daar bewust van bent. Gegevens over iemands locatie en wat een persoon heeft gedaan op die locatie, of er bijvoorbeeld geld werd uitgegeven. Financiële en medische informatie. Politieke en seksuele voorkeur, genetische kenmerken of ras. Het kan zo gek niet worden bedacht. In potentie kan al die informatie deel gaan uitmaken van een of ander RFID systeem. Iedere commerciële partij zou een product met RFID technologie kunnen ontwikkelen. Is het wel wenselijk dat al die partijen een database kunnen aanleggen met zulke persoonsgebonden informatie? Met veruit het meeste hebben zij niets te maken. Dat is privé en dat moet zo blijven. Naast dit soort datamining van commerciële partijen zijn er kwaadaardige derden die zich zonder toestemming toegang zouden kunnen verschaffen tot deze informatie. En omgekeerd, zij kunnen de RFID tag vervalsen en zo misschien op plekken komen waar zij niets hebben te zoeken. In het kader van terrorisme een beklemmende gedachte. Er zijn al een aantal voorbelden bekend van RFID systemen die zijn gekraakt, of stiekem kunnen worden uitgelezen.

Het juridische kader

De Europese Commissie stelt dat RFID technologie een “integraal deel zal worden van het dagelijkse leven”. In dat kader is het van groot belang dat er waarborgen bestaan tegen ongeremde datamining. Ook zullen waarborgen voor de veiligheid van de techniek verplicht moeten worden om problemen te voorkomen. Het meest recente en voor zover mij bekend het enige specifiek op RFID afgestemde stuk van de Europese Commissie, is een aanbeveling. Dat is een juridisch document dat niet bindend is. Maar er zijn ook oudere richtlijnen waarin wel bindende regels zijn neergelegd over de veiligheid van “de informatiemaatschappij” en “communicatienetwerken” in meer algemene termen. Een lijst van specifieke gegevens zoals biometrische kenmerken, politieke of seksuele voorkeuren, genetische informatie, gezondheid en ras zijn onderworpen is bijvoorbeeld onderworpen aan deze bindende regelgeving. Ook in nationale wetgeving zijn deze regels verankerd. Binnen Nederland met name de Wet Bescherming Persoonsgegevens. In beginsel zijn alle tot een persoon herleidbare gegevens te kwalificeren als persoonsgegevens. Om die persoonsgegevens te verwerken moet expliciet toestemming worden verkregen. Ook kondigt de Europese Commissie aan om actief met het specifieke onderwerp RFID chips bezig te zullen blijven en het toezicht scherp te houden. In dat kader is ook het ENISA agentschap actief. Dat is het European Network and Information Security Agency. Dat agentschap heeft een opinion afgegeven in juli 2010.

Aanbevelingen van de Europese Commissie en ENISA

De Europese Commissie en het ENISA zijn dus specifiek met het onderwerp RFID aan de slag gegaan. Daaruit zijn onder meer de volgende resultaten gekomen. Ten eerste zouden nationale regeringen zich moeten buigen over de privacy impact van RFID toepassingen. Met name verdient aandacht of de RFID toepassing in staat is om iemand te volgen. Per toepassing zou vervolgens een rapport opgemaakt moeten worden, de zogenaamde Privacy Impact Assessment (PIA). Het idee is om de risico’s van RFID toepassingen op voorhand goed in kaart te brengen. Ten tweede gaat het om het implementeren van afdoende beveiliging. Dit brengt met zich mee dat beveiliging “ingebakken” moet zijn in de RFID chip. Dus werkelijk geïntegreerd in de techniek en niet later toegevoegd. Dat maakt veel uit voor de veiligheid van het uiteindelijke product. Ten derde is interessant dat wordt voorgesteld dat partijen die gebruik willen maken van RFID techniek informatie moeten verschaffen aan het publiek. Zo zouden zij hun identiteit, het doel van de toepassing, het soort data en de beveiliging daarvan vooraf bekend moeten maken. Ook zou er een algemeen “Europees teken” moeten komen dat duidelijk maakt dat er ergens een RFID lezer actief is. Een waarschuwingsbord dus. Last but not least moet door retailers duidelijk worden gemaakt of er een RFID tag op of in een product is geplaatst. En moeten zij die tag verwijderen nadat het product is verkocht. In dat kader zijn er goede mogelijkheden zoals RFID tags die zichzelf vernietigen.

Slot

RFID technologie brengt interessante mogelijkheden en economische voordelen met zich mee. Risico’s op excessen lijken er nu niet echt te zijn. De bestaande privacywetgeving is behoorlijk sterk. Persoonlijke, laat staan gevoelige informatie kan niet zomaar worden verzameld. Extra waarborgen zoals onderzoek, informatievoorziening en het uitschakelen van tags verhogen de veiligheid. De vraag is waarschijnlijk vooral of de techniek bestand is tegen de aanval van kwaadwillenden zoals hackers en virusmakers. Vooralsnog is daar weinig concreets over gezegd door de wetgever in Nederland en Europa.

Jurian van Groenendaal is advocaat bij Boekx Advocaten Media & Intellectuele Eigendom te Amsterdam vangroenendaal@boekx.com (www.boekx.com).

NB. Dit artikel is eerder verschenen in het blad PC Rendement