Nieuws uit Brussel

Bedrijven wachten al sinds 2020 op een wettelijk kader om persoonsgegevens van Europese burgers naar de Verenigde Staten te sturen. Europese privacyregels zijn echter moeilijk verzoenbaar met Amerikaanse wetten. Dus leggen politici nu de laatste hand aan een akkoord dat naar alle waarschijnlijkheid wat later opnieuw vernietigd zal worden.

Lisa De Smet, hoofdadviseur gegevensbescherming bij Cranium, verwacht niet dat het aankomende Privacy Shield een controle van het Hof van Justitie van de EU doorstaat: “Ik verwacht dat het kader opnieuw wordt aangevochten omdat er in essentie weinig is gewijzigd.”...

...Het nieuwe kader belooft de voornaamste struikelblokken uit het vorige Privacy Shield aan te pakken. Zo zouden er strengere criteria komen over welke data precies de oversteek naar Amerikaans grondgebied mag maken en zal deze beter worden afgeschermd tegen inlichtingendiensten. Ook zal er een onafhankelijk controleorgaan worden opgericht voor EU-burgers die zich zorgen maken over hun privacy.

Al zijn de aanpassingen voor critici niets anders dan politiek gegoochel. Max Schrems haalde in een blog al fors uit naar het akkoord. Volgens hem vermomt het voorstel achterpoortjes om surveillance van Europese burgers mogelijk te maken met vage termen. Ook vindt hij het controleorgaan niet meer dan een schijnrechtbank.

“Aangezien het ontwerpbesluit is gebaseerd op het bekende uitvoeringsbesluit, zie ik niet in hoe dit een beroep bij het Hof van Justitie kan overleven”, zegt Max Schrems in een verklaring. “Het lijkt er op dat de Europese Commissie keer op keer dezelfde besluiten neemt, in flagrante strijd met onze grondrechten.”

Alles bij de bron; ITDaily

Minister Sigrid Kaag (Financiën) is tevreden over een verklaring die de Eurogroep in Brussel over de digitale euro heeft afgegeven. Daarin stellen de ministers van Financiën van de eurolanden (Eurogroep) onder andere dat een mogelijke invoering van een digitale euro een politieke keuze is.

...Zo staat in de verklaring dat de eventuele invoering van een digitale euro gesteund moet worden door de Europese bevolking en gebouwd moet zijn op een stevige democratische basis. Een digitale euro moet contant geld aanvullen, en niet vervangen. Ook moet een digitale euro veilig zijn, een hoog niveau van privacy waarborgen, gebruiksvriendelijk zijn en breed toegankelijk zijn voor het publiek, ook wat betreft de kosten, stellen de twintig eurolanden...

...De Europese Commissie heeft aangekondigd in de eerste helft van 2023 een wetsvoorstel te zullen presenteren voor de introductie van de digitale euro. Het is volgens Kaag nog helemaal niet zeker dat zo’n digitale munt er komt, en als hij er komt is dat een proces van vele jaren

Alles bij de bron; ExecutiveFinance

Elke burger heeft het recht om te weten wie over zijn data beschikt en waar zijn persoonsgegevens zijn terechtgekomen als deze worden doorgestuurd, stelt het Europees Hof van Justitie.

Het hof boog zich over een vraag van het hoogste gerechtshof van Oostenrijk over de algemene verordening gegevensbescherming, die de verwerking van persoonsgegevens door particuliere bedrijven en overheidsinstanties in de hele Europese Unie regelt.

In Oostenrijk loopt een zaak van een burger tegen Österreichische Post. Hij wilde weten naar wie het postbedrijf zijn persoonlijke gegevens had doorgestuurd en nam met het antwoord ‘marketingdoelen’ geen genoegen.

Tijdens de Oostenrijkse rechtszaak verklaarde Österreichische Post dat het de gegevens had doorgestuurd naar klanten, waaronder IT-bedrijven, aanbieders van mailinglijsten, liefdadigheidsorganisaties, niet-gouvernementele organisaties (ngo’s) en politieke partijen.

Dat is niet genoeg, zegt de Europese rechter. Als iemand vraagt naar welke bedrijven en instanties zijn persoonsgegevens zijn doorgestuurd, moet de werkelijke identiteit van de ontvangende partijen worden verstrekt. Met die informatie kan de burger immers zijn recht uitoefenen om vergeten te worden of om persoonlijke data aan te passen.

Alleen als het verzoek om deze informatie ongegrond of buitensporig is, of het onmogelijk is de ontvanger te identificeren, kan worden volstaan met aanduidingen als ‘voor marketingdoeleinden.’

Bron; ReformatorischDagblad

De Ierse datawaakhond DPC heeft Meta twee boetes opgelegd van in totaal 390 miljoen euro, vanwege privacyschendingen bij Facebook en Instagram.

De waakhond begon een onderzoek nadat op 25 mei 2018 twee klachten over Meta waren ingediend, waaronder een klacht van een Oostenrijkse privacy-activist. Op die dag traden ook de Europese privacyregels (GDPR) in werking.

De klagers vonden dat gebruikers gedwongen werden de nieuwe voorwaarden van Instagram en Facebook te accepteren, omdat ze anders de platforms niet meer konden gebruiken. In die voorwaarden stond dat gebruikers toestemming gaven om hun persoonlijke data te gebruiken.

De toezichthouder gaf de klagers op het punt van gedwongen toestemming geven geen gelijk, maar vond wel dat Facebook en Instagram niet transparant genoeg waren over hoe en waarvoor ze de persoonlijke gegevens gebruiken. Dat is in strijd met de Europese privacyregels.

Alles bij de bron; NOS

De plannen van de Europese Commissie om alle chatberichten en ander verkeer van Europese burgers te inspecteren is zeer zorgwekkend, zo stelt Andy Yen, ceo van Proton, het bedrijf achter versleutelde e-maildienst Proton Mail en vpn-dienst Proton VPN, in een interview met Wired.

Yen maakt zich naar eigen zeggen grote zorgen over de scanplannen van Brussel. De aanpak van encryptie werd in het verleden gekoppeld aan de aanpak van terrorisme. "Nu hebben ze het gekoppeld aan kindermisbruik, wat een zeer toxisch onderwerp is", aldus de Proton-ceo, die toevoegt dat dit een rationeel debat in de weg staat...

...voor mij is het verplicht ondermijnen, verzwakken of breken van encryptie niet de juiste balans." De Proton-ceo merkt op dat mensen van privacy en versleuteling misbruik kunnen maken. "Dat is onvermijdbaar."

Yen wijst naar verschillende landen waar encryptie en privacy verboden zijn. "Mensen in die landen voelen zich niet veiliger. In een democratische samenleving moeten we privacy accepteren en verdedigen, zelfs als er negatieve externe effecten zijn, omdat het alternatief, geen privacy, erger is." 

Alles bij de bron; Security

De Europese PNR-richtlijn (Passenger Name Record) verplicht luchtvaartmaatschappijen om passagiersgegevens aan de overheid te verstrekken. Vrijwel alle EU-lidstaten hebben de PNR-richtlijn tot nationale wetgeving verwerkt. In Nederland zorgt de wet ervoor dat gegevens van vliegtuigpassagiers met vertrek of aankomst in Nederland vijf jaar lang worden bewaard in een database van de eenheid Passagiersinformatie Nederland (Pi-NL). Het gaat dan om reserverings- en check-in-gegevens, zoals naam- en adresgegevens, telefoonnummers, e-mailadressen, geboortedata, reisdata, ID-documentnummers, bestemmingen, medepassagiers en betaalgegevens.

Het Hof van Justitie van de Europese Unie oordeelde afgelopen juni dat de geldigheid van de richtlijn niet in het geding is, maar dat er wel moet worden voldaan de fundamentele mensenrechten. 

Volgens de privacytoezichthouders is het waarschijnlijk dat de manier waarop de meeste, en mogelijk alle, EU-lidstaten PNR-gegevens verwerken niet volledig aan de PNR-richtlijn voldoet zoals geïnterpreteerd door het Hof van Justitie van de Europese Unie. De PNR-systemen die binnen de EU worden gebruikt vormen daarmee mogelijk elke dag een disproportionele inbreuk op de fundamentele rechten van burgers, zo stelt de EDPB.

De privacytoezichthouders roepen EU-lidstaten dan ook op om ervoor te zorgen dat de nationale implementatie van de PNR-richtlijn voldoet aan de wijze waarop die door het Hof is geïnterpreteerd. Lokale privacytoezichthouders kunnen een onderzoek instellen of dit op nationaal niveau ook het geval is.

Alles bij de bron; Security

Als het aan de Europa ligt, gaan internet-giganten grootschaals scannen op seksueel misbruik van kinderen. Dat maakt internet niet veiliger, waarschuwen Rejo Zenger, Beleidsadviseur digitale mensenrechtenorganisatie Bits of Freedom, en Arda Gerkens, Bestuurder Expertisebureau Online Kindermisbruik (EOKM)...

...Dit Europese plan moet internetbedrijven, zoals WhatsApp en Microsoft dwingen om ongericht alle berichten, apps, emails en reacties, te scannen op mogelijk kindermisbruik. Voorstanders zeggen dat dit grootschalige scannen nodig is om online seksueel kindermisbruik te bestrijden, maar ze hebben weinig oog voor de neveneffecten.

Want de Europese Commissie ondermijnt met dit plan de vertrouwelijkheid van communicatie op het internet voor iedereen – inclusief internetgebruikers die ze nu juist wil beschermen. De kunstmatige intelligentie die voor het detecteren wordt ingezet, is namelijk notoir slecht in het herkennen van context.

Er is niets mis met de foto die vader maakt van zijn badderende zoontje en die hij aan zijn vrouw stuurt. Maar als diezelfde foto in een andere context wordt gebruikt, kan dat wel problematisch zijn. Om dat goed te kunnen beoordelen moet de hele conversatie rondom de foto meegenomen worden. Dat is werk voor de politie, maar met deze wetgeving wordt dat overgelaten aan internetbedrijven.

Als klap op de vuurpijl suggereert de Europese Commissie dat deze zoektochten ook in beveiligde omgevingen gedaan moeten worden, zoals WhatsApp-berichten. Daarmee verzwakken ze de veiligheid van het internet. Juist van die verzwakking maken kwaadwillenden gebruik, op zoek naar materiaal waarmee ze jongeren kunnen compromitteren...

...gerichtheid is ver te zoeken in het Europese voorstel. Dat voorstel is te vergelijken met een voorstel om in alle kinderkamers camera’s op te hangen om te zien of er soms kinderen mishandeld worden. Niemand zou dat proportioneel vinden, want in onze rechtsstaat handelen we op grond van concrete verdenkingen. Daarnaast heeft de Europese Commissie weinig oog voor preventie.

Tijdens het Tweede Kamer-debat over misbruik zal online misbruik zeker onderwerp van gesprek zijn. Wij zijn bezorgd over de veiligheid van jongeren als de kans op het lekken van hun privéwereld groter wordt. Nederland weet door de toeslagenaffaire wat kunstmatige intelligentie kan aanrichten. We pleiten daarom voor een aanpak die gericht en proportioneel is en oog heeft voor de wereld van de jongere zelf.

Alles bij de bron; Trouw 

De Europese Commissie heeft een volgende stap gezet in het vervangen van het geklapte Privacy Shield. Met Privacy Shield werd de doorgifte van data van persoonsgegevens vanuit de Europese Unie naar de VS geregeld, maar in juli 2020 zette een rechter een streep door het akkoord.

Officieel is het sinds dat moment niet meer toegestaan om zomaar data door te geven naar de VS. Alleen met een doorgiftecontract en extra aanvullende maatregelen waarmee gegarandeerd wordt dat persoonsgegevens veilig zijn, mogen nu data naar de VS doorgegeven worden. 

De Europese Commissie kan veilige datadoorgifte echter ook mogelijk maken zonder regelingen als Privacy Shield. Op basis van artikel 45 van de AVG kan de Europese Commissie namelijk bepalen of een land buiten de EU een adequaat niveau van databescherming biedt. Met andere woorden: de databescherming daar moet in de buurt komen van onze AVG.

Dergelijke adequaatheidsbesluiten zijn al genomen voor bijvoorbeeld het Verenigd Koninkrijk, Zwitserland, Canada, Argentinië en Israël. 

Nu heeft de Europese Commissie ook een concept adequaatheidsbesluit gepubliceerd voor de VS. De Amerikaanse president Biden tekende op 7 oktober namelijk een presidentieel bevel, waarmee onder meer extra regels worden ingesteld om te voorkomen dat de Amerikaanse autoriteiten en inlichtingendiensten zomaar toegang kunnen krijgen tot data. 

Het adequaatheidsbesluit wordt echter niet voor de gehele VS genomen, maar specifiek voor het Data Privacy Framework, waar in maart 2022 al een principeakkoord over werd gesloten. Amerikaanse bedrijven kunnen zich bij dat framework aansluiten als zij voldoen aan een gedetailleerde set aan privacyverplichtingen.

Het conceptbesluit wordt nu naar de European Data Protection Board gestuurd, die daar zijn mening over moet geven. Daarna moet het conceptbesluit voorgelegd worden aan vertegenwoordigers van de EU-lidstaten en moet het Europees Parlement nog akkoord gaan.

Max Schrems, een Oostenrijkse privacyactivist die al jaren een strijd voert tegen de Privacy Shield, is kritisch. Schrems vermoedt dat ook de nieuwe Privacy Shield een aanklacht bij het Hof van Justitie niet zal 'overleven'.

Alles bij de bron; AGConnect

Ondanks kritiek van browserleveranciers, burgerrechtenbewegingen en experts heeft de Raad van de Europese Unie vorige week ingestemd met een omstreden certificaatplan dat de veiligheid van het web in gevaar kan brengen, aldus de Amerikaanse burgerrechtenbeweging EFF.

Het gaat om de eIDAS 2.0-verordening, wat staat voor ‘Electronic Identities And Trust Services’.

De nieuwe versie waar de Raad vorige week akkoord over bereikte bevat bepalingen voor de Europese digitale identiteit. Een onderdeel van het voorstel, aangeduid als artikel 45.2, verplicht browserleveranciers om Qualified Website Authentication Certificates (QWACs) te accepteren die door Qualified Trusted Service Providers worden uitgegeven.

Qualified Trusted Service Providers is een andere naam voor certificaatautoriteiten, de partijen die tls-certificaten uitgeven gebruikt voor identificatie en versleutelde verbindingen tussen websites en bezoekers. Op dit moment accepteren browsers alleen certificaatautoriteiten die aan verschillende standaarden voldoen.

De Europese Commissie wil browserleveranciers kunnen dwingen om Qualified Trusted Service Providers te vertrouwen en aan hun browser toe te voegen, ongeacht of ze aan de eisen voldoen die voor andere certificaatautoriteiten gelden. Daarnaast hebben browserleveranciers geen mogelijkheid om Qualified Trusted Service Providers die zich misdragen uit de browser te verwijderen.

Volgens experts kan dit grote gevolgen voor de veiligheid van het web hebben en de EU werd dan ook opgeroepen om het certificaatplan te wijzigen. Ondanks steun van verschillende commissies voor het aanpassen van de tekst ging de Europese Raad toch akkoord met het omstreden certificaatplan.

Eerder dit jaar kwam ook Mozilla nog met een campagne tegen het certificaatplan. De Europese Raad en het Europees Parlement zullen nu over de nieuwe eIDAS-verordening gaan onderhandelen.

Alles bij de bron; Security

Google moet op verzoek zoekresultaten uit de zoekmachine verwijderen als de verzoeker kan aantonen dat die naar 'overduidelijk onjuiste' informatie wijzen. Dat heeft het Hof van Justitie van de Europese Unie vandaag geoordeeld. 

Twee bestuurders van een groep investeringsmaatschappijen hadden Google verzocht om de links die na een zoekopdracht op hun namen worden getoond en leiden naar bepaalde artikelen waarin het investeringsmodel van deze ondernemingsgroep kritisch wordt voorgesteld, uit de zoekresultaten te verwijderen. De twee bestuurders stellen dat deze artikelen onjuiste beweringen bevatten. Ook verzochten ze Google om de thumbnails die bij de zoekresultaten op hun naam werden getoond te verwijderen.

Het Hof stelt dat de twee bestuurders onder de AVG een beroep kunnen doen op het recht om vergeten te worden. Voorwaarde is wel dat mensen die zoekresultaten verwijderd willen hebben kunnen aantonen dat de gelinkte informatie 'overduidelijke onjuist' is. Daarbij is het niet nodig dat er eerst een rechterlijke beslissing tegen de betreffende website heeft plaatsgevonden. (pdf).

Wat betreft het verwijderen van de thumbnails merkt het Hof op dat Google moet nagaan of het weergeven van deze foto's nodig is voor de uitoefening van het recht op vrije informatie van internetgebruikers die deze foto’s mogelijk zouden willen bekijken.

Alles bij de bron; Security