De verontwaardiging staat scheef¶

We maken ons druk over de overheid die op Amerikaanse cloud draait. Terecht, dat is een reële zorg. Maar in dezelfde week installeert dezelfde verontwaardigde burger een verenigingsapp of een scan-app die zijn paspoortfoto binnen een minuut op precies diezelfde cloud zet. Over dat tweede hoor ik bijna niemand. De ophef en het feitelijke risico lopen niet gelijk op.

Dat wringt, want de data die zo'n app aanraakt is van het zwaarste soort. Een pasfoto is biometrie. Een identiteitsbewijs is de sleutel tot je hele administratieve bestaan. Als het een schandaal is dat de staat gevoelige gegevens bij een Amerikaanse verwerker onderbrengt, dan is het minstens zo ernstig als een klein bedrijf jouw biometrie daar neerzet, met minder toezicht en zonder dat iemand ernaar kijkt. De verontwaardiging staat niet in verhouding tot wat particuliere apps met je biometrie en je identiteitsbewijs doen.

Dezelfde lat, of geen lat¶

Mijn stelregel is simpel. Leg beide langs dezelfde meetlat. Doe je dat niet, dan meet je selectief, en selectief meten levert een vertekend beeld op waar niemand iets aan heeft. Wat bij de overheid een schandaal heet, is bij een app in je broekzak vaak precies hetzelfde, alleen minder zichtbaar.

Consistent meten heeft een duidelijk criterium. Het gevoeligheidsniveau van de data bepaalt de norm. Wie de verwerker is, doet er voor die norm niet toe. Een pasfoto weegt even zwaar of hij nu door een ministerie of door een hobbyclub naar de cloud wordt gestuurd. De identiteit van de afzender verandert niets aan de gevoeligheid van wat er verstuurd wordt. Zo telt het even zwaar voor de staat als voor de bouwer van een scan-app. Dat is de enige manier om eerlijk te blijven, want anders past je oordeel zich stiekem aan aan hoe zichtbaar of hoe groot de partij is.

Waarom de app juist onder de radar blijft¶

Er zit een reden in waarom de app aan de aandacht ontsnapt, en die reden maakt het probleem erger. De overheid staat onder permanent toezicht. Er is een Autoriteit Persoonsgegevens, er zijn Kamervragen, er is pers die meekijkt. Een fout bij de staat wordt groot uitgemeten, en dat hoort ook zo.

Een kleine app heeft niets van dat alles. Geen journalist leest het netwerkverkeer van een verenigingsapp. Geen toezichthouder opent hem standaard. De gebruiker ziet alleen een scherm dat werkt. Onder dat scherm gaat de pasfoto naar een backend die bij een Amerikaanse aanbieder staat, en niemand merkt het. De onzichtbaarheid is precies wat het gevaarlijk maakt. Waar de burger geen uitweg heeft en waar niemand kijkt, stapelt het risico zich ongestoord op. Dat werk ik uit in De sterkste bevindingen liggen achter DigiD en vitale publieke diensten.

De verhouding is daarmee scheef op twee assen tegelijk. De overheid krijgt veel aandacht en heeft veel toezicht. De kleine app krijgt weinig aandacht en heeft weinig toezicht. Als je alleen op de aandacht afgaat, zou je denken dat het risico bij de overheid het grootst is. Kijk je naar wat er feitelijk met gevoelige data gebeurt en hoe weinig ogen daarop gericht zijn, dan schuift het beeld. De plek met de minste controle is vaak de plek waar de meeste risico's onopgemerkt blijven. Dat is een reden om juist daar te meten, want daar valt het meeste te vinden dat nog niemand heeft gezien.

Twee dingen die je uit elkaar moet houden¶

Het helpt om twee vragen apart te stellen, want ze worden voortdurend door elkaar gehaald. De eerste vraag is hoe gevoelig de data is. Dat bepaalt de lat. De tweede vraag is waar de data heen gaat en onder welke jurisdictie die valt. Dat bepaalt het extra risico van bijvoorbeeld toegang door een buitenlandse overheid.

Die twee assen mag je niet in één oordeel platslaan. Een pasfoto op een EU-server blijft een pasfoto en vraagt zorg. Een pasfoto op een Amerikaanse server vraagt diezelfde zorg plus de vraag wie er in dat land bij kan. Ik houd die assen bewust los, omdat je anders of de gevoeligheid of de jurisdictie laat wegvallen tegen de andere. Dat werk ik uit in Waar het pakket landt en wie het kan vorderen zijn twee assen. En hosting binnen de EU is op zichzelf geen vrijwaring, want de zeggenschap over een dienst kan alsnog buiten de EU liggen. Dat staat in In Europa gehost is geen vrijwaring.

Waarom biometrie een zwaardere categorie is¶

Er is een reden dat ik de pasfoto en het identiteitsbewijs telkens als voorbeeld neem, en die reden verdient het om uitgesproken te worden. Biometrie is onomkeerbaar. Een wachtwoord dat lekt, kun je vervangen. Een bankpas kun je laten blokkeren. Je gezicht kun je niet resetten. Als een biometrisch kenmerk eenmaal bij een verwerker staat en van daaruit verder verspreidt, is er geen handeling die dat terugdraait. Het staat er, en het blijft van jou herkenbaar, voor de rest van je leven.

De AVG plaatst biometrische gegevens die dienen voor unieke identificatie daarom in een bijzondere categorie, met een streng regime en een verbod als uitgangspunt dat alleen onder specifieke voorwaarden wijkt. Dat is geen willekeurige juridische keuze. Het volgt uit precies die onomkeerbaarheid. Wie zulke gegevens verwerkt, draagt een zwaardere bewijslast dat het mag, dat het nodig is, en dat het veilig gebeurt.

Leg dat naast een scan-app die je paspoortfoto naar de cloud stuurt. De app raakt de zwaarste categorie persoonsgegevens die de wet kent, en doet dat vaak zonder dat de gebruiker doorheeft dat de foto het toestel verlaat. Dat de app klein is, verlaagt de categorie van de data niet. De onomkeerbaarheid van je gezicht hangt niet af van de omvang van de partij die het verstuurt. Juist omdat de app onzichtbaar opereert, is de kans klein dat iemand ingrijpt voordat de foto zich al heeft verspreid.

Wat dit voor mijn werk betekent¶

Voor mij is dit de reden dat ik overheidssystemen en particuliere apps met hetzelfde gereedschap onderzoek. Dezelfde netwerkopname, dezelfde vraag naar wat er verstuurd wordt en naar welke partij, dezelfde weging op gevoeligheid. Ik geef de app geen korting omdat hij klein is, en ik geef de overheid geen extra draai omdat die groot en zichtbaar is. De meetlat ligt vast voordat ik weet wie ik meet. Dat is een bewuste volgorde. Als ik eerst kijk wie de verwerker is en daarna pas oordeel, sluipt de identiteit van de partij mijn weging in, en dan meet ik precies zo selectief als ik anderen verwijt.

Dat brengt een ongemak met zich mee, want het betekent dat ik soms een kleine club of een goedbedoelde app langs dezelfde harde lat leg als een ministerie. Dat voelt onrechtvaardig voor de maker, die niet wist wat zijn SDK deed. Toch is het de enige eerlijke keuze, want de gebruiker van wie de pasfoto wegloopt heeft niets aan de goede bedoelingen van de bouwer. Of ik het recht heb om daar een oordeel over te vellen, is een vraag die ik apart onder ogen zie in Wie ben ik om iets te vinden? Ik draai het om.

Zie ook Wie ben ik om iets te vinden? Ik draai het om, De sterkste bevindingen liggen achter DigiD en vitale publieke diensten en Waar het pakket landt en wie het kan vorderen zijn twee assen.