zondag, 24 november 2013 17:43

Toelichting van Vrijbit op het PRISM Afvang en Zoekprogramma betreffende massaal elektronisch toezicht op inwoners en bedrijven wereldwijd

Jarenlang leek het tegen dovemansoren gezegd als Burgerrechtenvereniging Vrijbit waarschuwde dat de Wet bescherming persoonsgegevens (Wbp) geen bescherming biedt tegen het gebruik van gegevens door politie en justitie en veiligheids-en inlichtingendiensten.  In alle publicaties en rechtszaken werd door Vrijbit  telkens weer naar voren gebracht dat men zich ervan bewust dient te zijn dat nagenoeg alle gegevens die bedrijven of instellingen over een persoon vastleggen ter beschikking staan voor justitieel gebruik en voor het werk van veiligheids-en inlichtingendiensten, zodra de overheid iemand als verdachte aanmerkt.

Bevoegdheden van politie-justitie & veiligheids- en inlichtingendiensten

Grondslag hiervoor vormen de ‘Wet Bevoegdheid Vorderen Gegevens’ van juli 2005, de ‘Wet op de inlichtingen- en veiligheidsdiensten 2002’, en bilaterale afspraken over samenwerking met inlichtingendiensten van andere landen:

  • De eerste wet bepaald dat voor het opsporen van strafbare feiten, bij vordering daartoe, iedere instelling of bedrijf verplicht is om alle gegevens aan te leveren die betrekking hebben op een als verdachte aangemerkt persoon en ook medewerking kan worden gevorderd aan het ontsleutelen van gegevens. Met als enige uitzondering de data betreffende godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven of lidmaatschap van een vakvereniging.
  • De tweede wet bepaald dat de AIVD en MIVD, nagenoeg ongelimiteerd, bevoegd zijn om persoonsgegevens van individuen en organisaties te verzamelen waarvan men het vermoeden heeft dat ze ‘een gevaar vormen voor het voortbestaan van de democratische rechtsorde, dan wel voor de veiligheid of voor andere gewichtige belangen van de staat’. Deze diensten hebben zowel toegang  tot gegevens waar overheidsdiensten over beschikken als tot dataopslag in de particuliere sector.
  • Via (bilaterale en multilaterale) verdragen en internationale afspraken (MoU’s) is geregeld hoe het delen en uitwisselen van gegevens is geregeld met politie- justitie- en inlichtingen diensten van  ‘bevriende mogendheden’.  
  • Op grond van de Patriot Act uit 2001, kreeg de FBI bovendien van de Amerikaanse overheid de bevoegdheid om wereldwijd, zonder tussenkomst van een rechter, alle persoonsgegevens op te eisen waarover een bedrijf of instelling beschikt, zodra dat bedrijf een vestiging of zelfs maar alleen een postbus in de VS heeft. Deze wetgeving die in het kader van ‘terrorisme bestrijding’ werd ingevoerd, overruled sindsdien in Europa alle nationale en Europese wetgeving.

De transparante mens -  kwetsbare samenleving

Pas recent beginnen mensen zich bewust te worden van de immense hoeveelheid gegevens die over hen worden opgeslagen. Over waar iedereen zich bevind en heeft bevonden, over iemands inkomsten en uitgaven, de leefsituatie, welke contacten men onderhoudt, en hoe frequent deze worden onderhouden, in welke informatie men is geïnteresseerd, enz.  En vooral ook van het feit dat dit niet allemaal losstaande gegevens betreft, maar dat ze verknoopt kunnen worden en grondstof kunnen vormen om er een uiterst nauwkeurig gedragspatroon, tot zelfs voorspellingen over iemands toekomstig gedrag, aan te kunnen ontlenen.

Ook het besef over de risico’s begint voorzichtig door te dringen: Over welke gevolgen het kan hebben als data verkeerd worden geregistreerd en foute data niet verwijderd of gewijzigd kunnen worden. Over hoe iedereen de regie over zijn eigen leven kwijtraakt wanneer men geen mogelijkheid meer heeft om zicht te houden op welke gegevens er worden vastgelegd, wie daarover beschikt en waar de data voor gebruikt worden. Over hoe rechteloos de burger raakt wanneer niemand verantwoordelijk kan worden gesteld voor het onjuist opslaan, verwerken, doorgeven of koppelen van gegevens. Hoe machteloos men staat als uit dataopslag verkeerde conclusies worden getrokken, bijvoorbeeld omdat ze uit hun verband worden gerukt of in een andere tijd worden geïnterpreteerd. Welke verstrekkende gevolgen het kan hebben als data in verkeerde handen vallen. Zoals identiteitsfraude- en diefstal of chantage als het criminelen betreft. Of onterechte verdenking door verzekeringsdiensten, (sociale) recherche, jeugdzorg e.d. Hoe kwetsbaar het zowel individuele mensen als de samenleving in zijn geheel maakt wanneer via computersystemen essentiële facetten van de infrastructuur van de samenleving kunnen worden aangetast.

Een totalitair surveillancesysteem waarbij de overheid zich alle data kan toe-eigenen

Aangezien het internet nog geen 25 jaar oud is en de technische mogelijkheden voor data opslag en analyse zich in duizelingwekkende vaart ontwikkelen, is het niet zo vreemd dat veel mensen er nog geen notie van hebben dat alle klantgegevens die winkels, bouwmarkten, videotheken, bibliotheken, transportondernemingen, kaartverkoopbedrijven, hotels, vakantieparken, telecommunicatiebedrijven, enz. verzamelen tot in lengte van dagen bewaard blijven en met elkaar in verband kunnen worden gebracht. Laat staan dat men de reikwijdte overziet van een ‘totalitair surveillancesysteem ‘ waarbij de overheid zich alle data kan toe eigenen. En de impact van deze data gulzigheid die zoveel informatiemacht geeft dat een overheid iedere burger a priori als verdachte kan gaan aanmerken omdat er altijd wel iets uit de gegevensbrij te destilleren valt wat als verdacht kan worden beschouwd.

Checks and Balances

Een rechtsstaat is in theorie een staat waarvan de macht gereguleerd en beperkt wordt door het recht. Wetgeving verplicht burgers enerzijds om zich aan bepaalde regels te houden maar dient er ook toe om hen te beschermen tegen machtsmisbruik en willekeur van de overheid. Dat functioneert alleen als er voldoende ‘checks and balances’ ingebouwd worden, waarmee de totstandkoming van wetgeving democratisch geborgd wordt en de ten uitvoerlegging gebonden is aan controleerbare voorwaarden. Daartoe is het noodzakelijk dat er tussen de wetgever en de uitvoerende macht een rechterlijke macht staat die onafhankelijk kan toetsen of wetgeving correct tot stand is gekomen, of de Staat zich aan haar eigen voorschriften houdt, uitvoerenden zich niet schuldig maken aan machtsmisbruik of willekeur, en of bij conflicten tussen de burger en de overheid de belangen van de burger niet onnodig of buiten proportioneel worden geschaad.

NL is internationaal koploper in het tappen van telefoongesprekken zonder zich aan de wet te houden

In de praktijk blijkt er van bovenstaande mooie intenties vaak weinig terecht te komen. Zo is Nederland bijvoorbeeld al jaren koploper in het tappen van telefoongesprekken zonder dat de opsporingsdiensten zich houden aan de toepasselijke wet- en regelgeving met betrekking tot het Centraal Informatiepunt Onderzoek Telecommunicatie (CIOT), en de daarin opgenomen waarborgen tegen misbruik van de gegevensbestanden.  Ook het recht van de burger op een effectieve rechtsgang wordt steeds vaker belemmerd door mistige ontoegankelijke juridische procedures, inperkingen van mogelijkheden om in beroep te gaan, verhoging van griffiegelden, het verbod voor rechters om aan de Grondwet te mogen toetsen, enz. Maar ook omdat wetgeving niet toegesneden is op de huidige digitale informatiesamenleving, waardoor het vaak al onmogelijk is om vast te stellen wie er verantwoordelijk is voor de verwerking van persoonsgegevens zodra deze in het datacircuit terecht zijn gekomen.

Het (naïeve) geloof dat computerdata exacte en dus betrouwbare informatie geven versterkt ook de trend dat de overheid zich steeds minder gelegen laat liggen aan belangrijke rechtsprincipes. Zoals het principe dat iedereen verondersteld wordt onschuldig te zijn, tenzij er wettelijk en overtuigend bewijs voor het tegendeel is, en dat mensen het recht hebben om niet aan hun eigen veroordeling te hoeven meewerken. Administratieve verdenkingen leiden steeds makkelijker zonder rechterlijke tussenkomst tot ten uitvoerlegging van strafoplegging of sanctiemaatregelen.

En daar komt dan nog bij dat het voor de burger moeilijk is om op te treden tegen onrechtmatig optreden van de overheid, als deze diensten de controle op hun functioneren zelf in handen hebben (politie-justitie) of alle informatie over hun handelen als geheim kunnen afschermen zoals de AIVD en MIVD.  

Totalitair regiem in opbouw

Waarmee maar duidelijk gemaakt wil worden dat het machtsevenwicht tussen wat de Staat van de burgers eist en verwacht en wat burgers van hun overheid mogen verwachten, met de komst de digitalisering van de samenleving dramatisch is doorgeslagen naar een oppermachtige overheid. Met mogelijkheden om het gedrag van alle burgers zodanig te kunnen controleren en monitoren dat iedere machthebber van alle totalitaire regiems die de mensheid tot nu toe heeft gekend daar niet eens van had durven dromen.

Snowden luidt de grote klok

En toen kwam op 6 juni 2013 ene Edward Snowden naar buiten met zijn onthullingen over PRISM. De afluister- en zoekprogramma’s van de National Securicy Agency (NSA) uit de VS. Met al snel daarna ook informatie over het aftappen van internetverkeer uit de telecommunicatiekabels door de Britse GCHQ. Met informatie over vergelijkbare spionage praktijken van andere landen en over de onderlinge samenwerking tussen de internationale inlichtingendiensten.

Kortom over de manier waarop de Amerikanen als spin in het web van de totale persoongerelateerde bewaking van het wereldwijd gebruik van telecommunicatie alles in het werk stellen om zoveel mogelijk gegevens te verzamelen van de digitale sporen die mensen achterlaten op het internet. Om dit als grondstof te gebruiken voor zoekprogramma’s die uit deze gigantische informatiebrij navlooien op aanwijzingen die als mogelijke bedreiging voor de huidige machthebbers kan worden geduid.

Het belang van de onthullingen is niet zozeer dát dit allemaal gebeurd, maar dat er nu hard bewijs geleverd is voor deze praktijken. En vooral ook dat het blootlegt op welke manier communicatiedata worden onderschept.

Dat de overheden in het zogenaamde vrije Westen, zoveel grip willen hebben op hun eigen bevolking dat ze tot in detail wensen mee te kijken- en luisteren met alle telecommunicatie kwam niet als verrassing voor hen die bekend waren met het bestaan van het Echelon programma uit de jaren negentig. Dat programma wat eveneens beoogde alle telecommunicatie te onderscheppen maar zich toentertijd beperkte tot informatie die via satellieten werd verzonden. Dat programma waar een belanghebbend rapport over verscheen op 5 september 2001 wat een week later al in de prullenbak lag omdat na 9/11 iedere vorm van scepsis over controlemaatregelen van de overheid onbespreekbaar was, en min of meer als zelfstandige vorm van heulen met het terrorisme werd beschouwd.

De aanslagen in New York hebben zo jarenlang gefungeerd als stroomversnelling om zonder veel weerstand allerlei plannen die er lagen voor strengere controle op het doen en laten van de bevolking door te voeren. De Uniting and Strengthening America by Providing Appropriate Tools Required to Intercept and Obstruct Terrorism Act (USA Patriot Act) uit  2001 en pal na de aanslagen de goedkeuring van het Nederlandse parlement aan de herinvoering van het persoonsbewijs en identificatieplicht, waren slecht voorproefjes van wat er te gebeuren stond.

Met de groei van de datastromen en komst van de glasvezelkabels voor de doorgifte van data, ontwikkelde de Amerikaanse inlichtingendiensten en die van hun bondgenoten nieuwe methoden om zoveel mogelijk data te kunnen verzamelen. En werd de door het einde van de koude oorlog overbodig geworden capaciteit van de defensie industrie omgetoverd in een bloeiende defensie -surveillance industrie die programma’s en apparaten ging ontwikkelen en exploiteren om de eigen bevolking in de gaten en onder de duim te houden.

Om optimaal gebruik te kunnen maken van de excessief toenemende elektronische datauitwisseling verschafte overheden zichzelf steeds verdergaande bevoegdheden om

toegang te krijgen tot deze data. En door deze bevoegdheden onder te brengen bij de inlichtingen-veiligheids- en anti-terrorismediensten bleef voor de burgers verborgen wat er precies werd verzameld, over wie, waarom en wat er met die data gebeurd. De NSA probeerde zich allereerst toegang te verschaffen via de servers waar de gegevens worden opgeslagen. Waarbij bedrijven die hieraan mee dienden te werken geheimhouding werd opgelegd. Zoals bij de mailservicedienst Lavabit van dhr. Ladar Levison, die weigerde om de FBI de SSLcode ter beschikking te stellen waarmee zijn klanten via versleuteling privé mails met elkaar konden uitwisselen die enkel te openen was voor de verzender en ontvanger die men daar onderling de toegangscode voor gaf. Een voorbeeld wat bekend is geworden vanwege de eigenaar die zijn bedrijf stopzette toen hij de druk van de FBI niet langer kon weerstaan, en nu voldoende geld via crowdfunding heeft opgehaald om een rechtszaak tegen de overheid te voeren dankzij het feit dat de inmiddels wereldberoemde meneer Snowden een van zijn klanten was.

Als tweede manier werd ook telecommunicatieverkeer rechtstreeks uit het glasvezelnetwerk afgetapt - liefst lekker handig op de plekken waar de intercontinentale glasvezelkabels aan land komen en in samenwerking met de inlichtingendiensten ter plekke. Dit systeem Xkeyscore kan niet alleen net als PRISM metagegevens opvissen om op te slaan en later te analyseren, maar kan ook e-mails analyseren en ál iemands internetverkeer vastleggen.

Ook een manier was om bedrijven te verplichtten om dagelijks hun bedrijfsgegevens aan te leveren, zoals daags voor Snowden van zich liet spreken, bekend werd dat het telefoon en internetbedrijf Verizon dagelijks verplicht werd om aan de NSA de telefoongegevens aan te leveren.

Later bleek dat de NSA ook directe toegang heeft tot de computers van de grote Amerikaanse bedrijven als Microsoft ( inclusief Skype),Yahoo, Google ( inclusief YOU Tube), Facebook, Apple, Pal Talk en internetaanbieder AOL. Computersystemen waar vanuit al het telecommunicatieverkeer tussen het bedrijf en zijn klanten en van klanten onderling kan worden bespioneerd. En via deze computers ook toegang bleek te zijn gelegd naar de interne netwerkverbindingen waarmee binnen de bedrijven interne bedrijfsgegevens worden uitgewisseld.

Snowden onthulde eveneens het bestaan van het Bullrun-programma. Een programma wat inhoudt dat de NSA technische installatie- en telecommunicatie bedrijven expres zwaktes en achterdeurtjes laat inbouwen in versleutelingsproducten. En waarbij beveiligingsstandaarden, die de grondslag vormen voor het verstrekken van veiligheidscertificeringen, gecorrumpeerd worden.

Impact voor Nederland

Wat de NSA allemaal verzameld en hoe vaak is niet bekend omdat de dienst bedrijven verplicht om mee te werken op grond van geheime wetten. Maar men dient er rekening mee te houden dat in principe alles wat aan elektronische datauitwisseling plaats vindt voor de NSA toegankelijk is.

Hoe men de gegevens gebruikt is officieel ook niet bekend. Al is wel duidelijk dat de NSA, die volgens Amerikaanse maatstaven enkel van buitenlanders in het geheim persoonsgegevens mag verzamelen, wel degelijk ook de eigen bevolking in de VS bespioneert.

Dat Nederland gebruik maakt van de gegevens die volgens Nederlandse en EU wetgeving illegaal via PRISM zijn verzameld, werd afgelopen zomer door minister Plasterk ontkent. Inmiddels heeft hij in de Tweede Kamer die bewering afgezwakt met de uitleg dat hij daar geen informatie over mag verstrekken. Met als toevoeging dat Nederland op grond van internationale afspraken in principe natuurlijk wel gerechtigd is om gebruik te maken van gegevens die in Amerika zijn verzameld en dat het een ‘goede gewoonte’ is om andere naties niet te bevragen over de manier waarop die aan de gegevens zijn gekomen. Een gewoonte die nog vers in het geheugen ligt door de omgekeerde praktijk waarbij de VS ook geen verantwoording meende te hoeven afleggen over door marteling verkregen informatie zolang die info uit het buitenland kwam.

Omdat Nederland zulke innige samenwerking onderhoudt met de VS dat het lid is van categorie de ‘Nine Eyes’ van het PRISM-spionagenetwerk, hoeven we ons geen illusies te maken over de manier waarop informatie zodanig over en weer wordt uitgewisseld.

Omdat de minister weigert daarover informatie te verstrekken aan het parlement en men geen fiducie heeft in het onderzoek wat de toezichthouder instelt naar het functioneren van de AIVD, heeft een groep, bestaande uit enige organisaties en particulieren, de minister voor het gerecht gedaagd om te bewerkstelligen dat de Staat gedwongen wordt om te stoppen met het gebruik en witwassen van illegale dataopslag.

Het EU Parlement is ondertussen ook druk doende om te onderzoeken hoe de massale dataspionage vanuit de VS in de EU kan worden tegengegaan. De regeringsleiders willen ook tegenmaatregelen nemen nu ze zijn gaan beseffen dat ook hun privé telefoongesprekken en alles wat ze via internet communiceren door de NSA kan worden gescreend en dat de NSA praktijken ook behelzen dat door bedrijfsspionage de handelsbelangen van de EU benadeeld worden. Maar erg hard lopen ze niet aangezien ze tegelijkertijd wel verantwoordelijk zijn voor gelijksoortige praktijken van hun eigen inlichtingendiensten.

De hamvraag blijft echter of de overheid en bedrijven bereid zijn om architecturen van datasystemen zo te ontwerpen dat dit soort massale sleepnet spionage niet meer kán gebeuren. En ervoor kiezen om gebruik te gaan maken van systemen waarin informatie moet worden versleuteld en waar bij data-uitwisseling alleen de verzender en ontvanger over de sleutels beschikken om gegevens te kunnen ontcijferen. Waarbij derden, dus ook de cloudbeheerders, geen toegang hebben tot de data. En justitie, alleen bij een concrete verdenking, de sleutels moeten kunnen opvragen bij de eindgebruikers.

Zie elders op deze website voor bronvermelding het chronoverslag over het PRISMschandaal en de verklaring van afkortingen en begrippen.