Mocht er een debat komen over de wenselijkheid van encryptie dan is het belangrijk dat er cijfers zijn over het aantal gevallen waarbij versleuteling de opsporing en vervolging van criminelen in de weg stond, zo heeft Europol in het Internet Organised Crime Threat Assessment (IOCTA) 2015 (pdf) laten weten.

Het IOCTA is een jaarlijks terugkerend rapport waarin Europol nieuwe dreigingen en ontwikkelingen op het gebied van cybercrime bespreekt. Er is een apart aanhangsel in het rapport dat over de encryptiediscussie gaat. De afgelopen maanden hebben politici en opsporingsdiensten zoals de FBI regelmatig het gebruik van encryptie gehekeld. Dit zou namelijk de opsporing en vervolging van criminelen hinderen. Cijfers ontbreken echter en daarom gaat de Europese politieorganisatie lidstaten vragen of ze data willen delen, om zo de omvang van het probleem vast te stellen.

Verplicht afstaan encryptiesleutels

In het rapport worden verschillende scenario's besproken hoe er met encryptie kan worden omgegaan. Een optie die Europol voorstaat is het verplicht afstaan van encryptiesleutels. "Dit lijkt de enige praktische manier om met encryptie om te gaan waarbij de sleutels in het bezit van individuele gebruikers zijn. Net als het strafbaar is om een ademtest te weigeren om te zien of je teveel gedronken hebt, is het mogelijk om het niet beschikbaar stellen van een encryptiesleutel, zodat opsporingsdiensten de versleutelde inhoud kunnen onderzoeken, strafbaar te maken", aldus Europol.

Volgens de politiedienst heeft dit als voordeel dat een crimineel in beide gevallen kan worden veroordeeld, namelijk als hij zijn encryptiesleutel niet overhandigt, of als hij dat wel doet en de vervolgens ontsleutelde data bewijs bevat. Internationaal zijn er volgens Europol wel rechtbanken geweest die zijn gevraagd om te bepalen of verdachten in dit geval niet worden gedwongen om tegen zichzelf te getuigen. "Maar over het geheel genomen wordt het door de rechter als een gerechtvaardigd onderdeel van strafrechtelijke onderzoeken gezien", zo staat in het rapport.

De politiedienst stelt dat deze maatregel alleen effectief is als de data op de computer van de verdachte staan. In het geval van online communicatie waarbij de encryptiesleutels automatisch worden gegenereerd is het zo goed als onmogelijk om die te achterhalen. Daarnaast bieden steeds meer communicatie- en e-maildiensten end-to-end-encryptie aan. In dit geval zou er met de aanbieders moeten worden gekeken of ze end-to-end-encryptie niet meer willen aanbieden, zo laat Europol weten. Vanwege zorgen over privacy en massasurveillance zien veel providers dit echter niet zitten.

Data

Een belangrijk onderdeel in het debat over encryptie mist volgens Europol, namelijk de omvang van het probleem. "Mocht er een openbaar debat komen en beleidsmakers moeten kunnen worden vertrouwd met wat ze willen doorvoeren, en als beslissingen over het inleveren van veiligheid en privacy op bewijs gebaseerd zijn, is het belangrijk dat het probleem op zo'n manier in kaart wordt gebracht dat zo goed als alle burgers het vertrouwen", zo stelt Europol. De politiedienst gaat daarom lidstaten vragen om data over de omvang van het probleem te delen.