Juridische vraag: Mag NL bedrijf data bij Google opslaan?
Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet en maak kans op zijn boek
"De wet op internet".
Het werd weer eens tijd voor een bezemwageneditie van de Juridische vraag, zeker nu Arnouds nieuwe boek Security binnenkort uitkomt. Daarom behandelen we elke dag tot volgende week in het kort een vraag.
Vraag: Steeds vaker maken bedrijven gebruik van Amerikaanse diensten, waar ze ook persoonsgegevens en klantdata opslaan. Denk oa aan Amazon, Google en Microsoft. De Amerikaanse overheid kan op basis van de Patriot Act gegevens van klanten van Amerikaanse bedrijven opvragen, ook als deze gegevens fysiek niet op servers in de VS staan. Daarnaast worden deze klanten bij het opvragen van deze gegevens niet in alle gevallen op de hoogte gesteld van deze ontsluiting van informatie. Daarbij kunnen persoonsgegevens en klant data ontsloten worden, waardoor een conflict ontstaat met de vigerende wetgeving op het gebied van privacy. Mag je dan wel van zo'n dienst gebruik maken als Nederlands bedrijf?
Antwoord: Export van persoonsgegevens (zoals naam, adres, IP-adres) vanuit Nederland naar andere landen mag alleen als dat land een “passend beschermingsniveau” waarborgt. De VS heeft dat niet, volgens de Europese Unie. Een uitzondering geldt als het bedrijf zich wil aansluiten bij de Safe Harbor-regeling. Daarmee verklaart het bedrijf zich te houden aan de wettelijk eisen uit Europa. Dat zou in theorie genoeg moeten zijn voor het Europese bedrijf.
Die Patriot Act gooit echter roet in het eten. Met de Patriot Act in de hand kan de Amerikaanse overheid namelijk bij een Amerikaanse cloudaanbieder aankloppen en gegevens opeisen, ook wanneer dat volgens Europese regels niet zou mogen. En daarmee zou de Nederlandse dienstverlener in de problemen kunnen komen alhier. Maar of dit écht een probleem is of alleen maar bezorgde borrelpraat, is mij nog steeds niet duidelijk. Ik heb namelijk nergens kunnen vinden of dit ook écht gebeurt. De FBI zegt dat ze alleen werkt met subpoenas, gerechtelijke bevelen dus. En als dat de basis is, dan is opvragen ook bij ons verplicht.
Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. In 2008 verscheen zijn boek "De wet op internet".
Alles dat je uberhaupt op het internet zet of via het internet communiceert kan per definitie onderschept worden.... Alle data gaat altijd over meerdere schakelpunten, ieder op zich kan daarin de rol van onderschepper vervullen.....
Het blijft intrigerend hoe sommige mensen de illusie blijven koesteren dat het internet anoniem kan zijn. Is dat erg? Geen idee? Was het vroeger erg dat in de dorpskernen iedereen alles over iedereen wist om dat door te mumbelen aan de pastoor? Geen idee? De schaal is nu nogal wat groter, de principes blijven hetzelfde....
Dergelijke bevelen zijn er in Nederland ook. Dan meestal niet van justitie maar van de inlichtingendiensten. Dan staan er een paar mensen aan de deur van het hoofdkantoor van de ISP. Je mag controleren of hun ID klopt en of het bevel juist is. Zoja, mag je de relevante gegevens overnemen in je tapdoos en verder niets. Voor justitie moet je het bevel veilig opslaan. Bevelen van inlichtingendiensten mag je vaak niet eens aanraken.
Hoe je het ID van iemand van een inlichtingendienst kunt controleren, vertelt je niemand. Als zoiemand dus aan de deur staat, valt er niets te controleren. Het bevel is vaak ook zo dat alleen degene die de tapdoos bedient het bevel mag inzien. Jurdische medewerkers of advocaten willen ze er dan ook liever niet bijhebben. Dus controleren of de juiste wettelijke grond wordt gehanteerd, is ook lastig.
Peter
Zijn de regels voor het bedrijfsleven gelijk aan die voor de (lokale) overheid?
Kortom: zijn de regels sinds 2013 aangepast?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
