Europees Hof van Justitie mag blijven videovergaderen via Cisco Webex
Het Europees Hof van Justitie mag blijven videovergaderen via Cisco Webex. Het gebruik van de videoconferentiesoftware is niet in strijd met de AVG, zo heeft de Europese privacytoezichthouder EDPS bepaald (pdf). Twee jaar geleden gaf de EDPS tijdelijk toestemming voor het gebruik van modelcontracten voor het uitwisselen van persoonsgegevens tussen het Hof en Cisco.
Er werden vervolgens veertien voorwaarden gesteld om de toestemming te verlengen. De eerder gegeven toestemming werd vervolgens vorig jaar verlengd, maar het Hof moest voor 1 maart 2024 aantonen dat eerder vastgestelde problemen waren verholpen. Afgelopen mei kwam het Hof met een "compliance report" dat het aan de gestelde voorwaarden voldoet. Zo hebben het Hof en Cisco de bestaande overeenkomst aangepast zodat er geen persoonsgegevens buiten de EU worden verwerkt.
Het Hof heeft daarnaast verschillende technische en organisatorische maatregelen genomen om te voorkomen dat persoonlijke data buiten de EU wordt verwerkt. Zo hoeven gebruikers van het Hof en externe gebruikers zich niet eerst bij Cisco te registreren om van Webex gebruik te maken. Tevens werd de optie Global Distributed Meetings uitgeschakeld en verschillende optionele features geblokkeerd.
"EU-instanties moeten zich bij hun dagelijkse werkzaamheden inzetten om de fundamentele rechten van individuen te beschermen, en met name bij het gebruik van videoconferentietools de privacyregels. Dit is helemaal het geval wanneer bij deze tools het versturen van persoonlijke data buiten de EU kan plaatsvinden wat een vergroot risico kan zijn voor de rechten en vrijheden van individuen", zegt EDPS-voorzitter Wiewiórowski,
Hiermee heeft Cisco de perfecte backdoor/trojan in handen. Dat wil je toch niet, zeker niet bij een hof van justitie.
Een ander punt, dat bij al die AVG-problemen met Amerikaanse softwareleveranciers geldt, is dat kennelijk alles huppeldepup as a service is geworden. Software van Amerikaanse leveranciers hoeft geen probleem te zijn als die leverancier de software levert maar de verwerking en het beheer niet doet, als je als klant het op eigen systemen draait en zelf beheert, of dat uitbesteedt aan een partij binnen de EU bij wie het probleem om te beginnen al niet optreedt. Het lijkt wel of een mogelijkheid die 20 jaar geleden vanzelfsprekend was helemaal uit het bewustzijn is verdwenen. Ik beweer niet dat we terug moeten naar alles zo inrichten als 20 jaar geleden, maar het kan geen kwaad om te beseffen dat de problemen die er nu zijn niet alleen liggen aan conflicterende wetgeving maar ook aan de manier waarop onder de noemer "cloud" IT-leveranciers alles naar zich toe trekken. Er zijn dus aanpassingen denkbaar op heel andere gebieden dan wetgeving en verdragen die het probleem vermoedelijk beter zouden oplossen.
Een ander punt, dat bij al die AVG-problemen met Amerikaanse softwareleveranciers geldt, is dat kennelijk alles huppeldepup as a service is geworden. Software van Amerikaanse leveranciers hoeft geen probleem te zijn als die leverancier de software levert maar de verwerking en het beheer niet doet, als je als klant het op eigen systemen draait en zelf beheert, of dat uitbesteedt aan een partij binnen de EU bij wie het probleem om te beginnen al niet optreedt. Het lijkt wel of een mogelijkheid die 20 jaar geleden vanzelfsprekend was helemaal uit het bewustzijn is verdwenen. Ik beweer niet dat we terug moeten naar alles zo inrichten als 20 jaar geleden, maar het kan geen kwaad om te beseffen dat de problemen die er nu zijn niet alleen liggen aan conflicterende wetgeving maar ook aan de manier waarop onder de noemer "cloud" IT-leveranciers alles naar zich toe trekken. Er zijn dus aanpassingen denkbaar op heel andere gebieden dan wetgeving en verdragen die het probleem vermoedelijk beter zouden oplossen.
Daarnaast klopt het artikel zelf maar half, voor externen hoef je je niet standaard bij Webex (Cisco) te registeren, data kan inderdaad volledig in de EU verwerkt worden en een optie als volledige end2end encryptie op de volledige meeting inclusief video is al jaren aanwezig.
enigste nadeel van de laatste optie is dat gebruikers (extern dus ook) de desktop client moeten installeren en dus niet via een privacy lekkende browser kunnen deelnemen. Daarnaast kun je de oplossing ook prima op eigen infrastructuur draaien, maar aangezien bijna geen organisatie dat meer heeft, zal ook het hof dat vast niet kunnen.
Let wel: het was corona tijd dus ze moesten iets, zoals veel organisaties.
Oh ja, het hof hoeft niet te voldoen aan de AVG trouwens. De Europese Unie heeft haar eigen privacy verordening namelijk 2018/1725.
de vs heeft de grootste cyber offense tegen bondgenoten ter wereld...
Verder heb ik tot nu toe in die verordening niet kunnen vinden dat die 2016/679 (de AVG) buiten werking stelt voor het Europees Parlement en de Raad voor de Europese Unie, en de AVG stelt zichzelf voor zover ik zie ook niet buiten werking voor die twee EU-organisaties. Dan denk ik dat de AVG in beginsel van toepassing is en dat 2018/1725 details specifiek voor het Parlement en de Raad nader uitwerkt en mogelijk op bepaalde punten de AVG overruled, als de AVG toestaat dat unierecht dat doet. Ik zie niet hoe met een eigen verordening een algemene verordening in zijn geheel aan de kant kan worden geschoven. "Algemeen" betekent dat die algemeen geldt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
