De sterkste bevindingen liggen waar geen keuze is¶

Als ik mijn eigen werk overzie, valt er een patroon op dat ik niet vooraf had bedacht. De sterkste bevindingen liggen stelselmatig bij geauthenticeerde, vitale publieke diensten. Achter je DigiD. In de infrastructuur onder de staatsinlog. Op de openbare weg. Dat is waar het gewicht van wat ik vind het grootst is.

Dat is opmerkelijk, want het is ook de plek waar het het minst zou moeten kunnen. Precies daar heeft de burger geen alternatief. En precies daar geeft hij geen toestemming. Twee dingen die er samen voor zorgen dat een schending daar zwaarder telt dan dezelfde schending bij een willekeurige webshop.

Geen alternatief, geen toestemming¶

Begin bij de toestemming. Achter een overheidslogin is toestemming zelden de juridische basis voor de dienst. Je logt in bij een publieke taak, en die taak rust op de wet, niet op je klik. Dat is precies waarom tracking daar zo misplaatst is. Voor het plaatsen en uitlezen van niet-functionele trackers vraagt de wet apart om toestemming, en die vraag komt er achter de inlog vaak niet. Er is dan geen grond voor de tracker, en toch vuurt hij soms. Dat is het type bevinding dat ik bedoel.

Dan het alternatief. Een commerciële app kun je mijden. Een merk kun je boycotten. Bevalt een dienst je niet, dan stap je over. Die uitweg disciplineert de aanbieder. Bij de overheid en de vitale infrastructuur ontbreekt die uitweg. Je moet er langs, of je wilt of niet. Er is geen tweede DigiD. Er is geen concurrerende openbare weg. De prikkel die een markt normaal geeft om het netjes te doen, ontbreekt precies daar waar de burger het meest kwetsbaar is.

En juist daar kijkt niemand¶

Hier komt de wrange kant. Precies daar wordt het minst gemeten. De aandacht van onderzoekers, pers en toezicht gaat naar de zichtbare gevallen. Naar de app die in het nieuws komt. Naar het bedrijf met een naam die klikt. De infrastructuur onder de staatsinlog is grijs, technisch en saai, en ze trekt geen koppen. Daardoor kijkt er structureel te weinig iemand.

Dit is een afgeleide observatie, geen harde telling van alle toezichtactiviteit. Ik baseer haar op waar mijn eigen sterkste bevindingen vandaan komen en op hoe weinig gezelschap ik daar aantref. De gevallen die het zwaarst wegen, blijken de gevallen te zijn waar vrijwel niemand anders meet. Dat is een patroon dat ik keer op keer tegenkom, en het verklaart waarom die bevindingen er nog liggen om gevonden te worden.

Waarom het gewicht daar groter is¶

Zet de twee assen naast elkaar. Aan de ene kant de ernst van de schending. Aan de andere kant de ontsnappingsmogelijkheid van wie geraakt wordt. Bij een commerciële dienst met een lichte schending kun je weglopen, en de schade blijft klein. Bij een vitale dienst met dezelfde schending kun je niet weglopen, en de schade raakt iedereen die de dienst moet gebruiken.

Dat maakt het gewicht van een schending daar groter, en de afwezigheid van toezicht schrijnender. Het is de combinatie die telt. Een lek achter DigiD raakt niet een zelfgekozen klantengroep. Het raakt iedereen die belasting doet, een uitkering aanvraagt, een vergunning regelt. Er is geen deelverzameling die zichzelf eruit had kunnen kiezen. De hele bevolking zit in het bereik, zonder dat iemand ja heeft gezegd.

De meetlat hoort daar het strengst¶

Hieruit volgt een simpele norm. Waar de uitweg ontbreekt, hoort de meetlat juist het strengst te zijn. De redenering loopt precies andersom dan de praktijk. In de praktijk meet men het hardst waar je kunt weglopen, want daar is de aandacht. De logica zegt dat je het hardst moet meten waar je niet kunt weglopen, want daar is de schade het grootst en de zelfcorrectie het kleinst.

Dezelfde meetlat voor overheid en app is daarbij het minimum. Sterker nog, de plekken zonder uitweg verdienen strengere toetsing dan de plekken met uitweg, om precies dezelfde reden dat je een gedwongen situatie zwaarder beschermt dan een vrijwillige. De burger die geen keuze heeft, heeft de bescherming het hardst nodig, en krijgt haar nu het minst.

Wat ik daaraan doe¶

Voor mijn eigen werk betekent dit een prioriteit. Ik richt mijn metingen op de plekken waar de burger niet weg kan. Achter de inlog, in de vitale infrastructuur, op de openbare weg. Dat is lastiger meten, want het zit achter authenticatie en het is technisch grijs. Het is ook waar de bevindingen het zwaarst wegen, en waar ze anders blijven liggen.

Ik hou daarbij het bewijsniveau streng, juist omdat de inzet hoog is. Een naam in de code van een overheidsdienst is nog geen bewijs van wat er met je data gebeurt. Ik meet het echte verkeer, ik leg de HAR erbij, en ik label wat gemeten is, wat afgeleid is en wat vermoed. Waar niemand anders kijkt, moet mijn eigen werk het strengst kloppen, want er is geen tweede meter die mij corrigeert.

Twee assen die je uit elkaar moet houden¶

Het helpt om twee dingen los te trekken die makkelijk op één hoop belanden. De eerste as is de ernst van wat er technisch gebeurt. Vuurt er een tracker, gaan er identifiers mee, verlaat er data het toestel. Dat is meetbaar en het staat los van wie de dienst aanbiedt. De tweede as is de macht van wie geraakt wordt om zich te onttrekken. Kan de burger weglopen, of moet hij erlangs.

De ernst van een bevinding is de combinatie van die twee, niet één ervan alleen. Een zware technische schending bij een dienst die je kunt mijden, weegt lichter dan een lichtere schending bij een dienst die je moet gebruiken. Door de assen uit elkaar te houden, voorkom ik twee fouten. De ene fout is een technisch klein geval opblazen omdat het bij de overheid speelt. De andere fout is een technisch groot geval wegwuiven omdat het bij een commerciële partij speelt die je kunt vermijden. Ik weeg beide assen, en ik benoem ze apart.

De reden dat deze bevindingen blijven bestaan, zit in hoe de diensten gebouwd worden. Een overheidsdienst is een samenstel van ingekochte onderdelen. Een analytics-component hier, een kaartdienst daar, een standaardbibliotheek voor een formulier. Elk onderdeel draagt zijn eigen datastromen mee, ingesteld door de leverancier, niet door de opdrachtgever. De bouwer die het samenvoegt, ziet vaak niet welke verzoeken elk onderdeel doet.

Zo ontstaat een tracker die niemand bewust heeft gewild en die toch vuurt. De beslisser dacht een kaart in te kopen. De leverancier leverde een kaart met een meetstroom eraan. De bouwer zette het onder de inlog zonder de stroom uit te zetten. Elke schakel deed iets redelijks, en het geheel lekt. Dit is afgeleid uit hoe samengestelde software werkt, en per geval te toetsen aan het verkeer dat de dienst echt uitstuurt. Het verklaart waarom het patroon zo taai is. Er is geen kwaadwil voor nodig om het te laten voortbestaan, alleen een keten waarin niemand het geheel meet. En zolang niemand aan de kant van het toezicht meet, blijft het staan.

Zie ook Dezelfde meetlat voor de overheid en de app in je broekzak, Achter de overheidslogin is helemaal geen toestemmingsvraag en Wie ben ik om iets te vinden? Ik draai het om.