ACM maakt geen documenten openbaar over toezicht 'slimme' apparaten
De Autoriteit Consument & Markt (ACM) maakt geen documenten openbaar over het toezicht op informatie bij het aanbod van 'slimme' apparaten. Dat heeft de toezichthouder na een verzoek op basis van de Wet Open Overheid (Woo) besloten (pdf). Via het Woo-verzoek werd gevraagd om documenten en correspondentie met grote online aanbieders van ‘slimme’ apparaten en brancheverenigingen van aanbieders en fabrikanten.
Bijna drie jaar geleden riep de ACM brancheverenigingen van winkels en fabrikanten die IoT-apparaten aanbieden op om hun leden op de informatieplicht te wijzen. Fabrikanten en winkels moeten consumenten onder andere laten weten hoelang aangeboden IoT-apparaten beveiligingsupdates ontvangen. Klanten kunnen dit dan in hun aankoopbeslissing laten meewegen, aldus de toezichthouder.
De aanbieders, zoals grote webwinkels, lieten weten dat zij voor hun informatievoorziening afhankelijk zijn van de fabrikanten en dat die de gevraagde informatie niet altijd verstrekken. Iets wat zij wel moeten doen. "Fabrikanten die de apparaten leveren moeten deze informatie beschikbaar stellen voor aanbieders, die op hun beurt consumenten moeten informeren", benadrukte de ACM destijds.
Via een Woo-verzoek is het mogelijk om informatie over wat de overheid doet op te vragen. De ACM heeft besloten het verzoek van de vrager niet in te willigen. "Bij de uitvoering van die taken is de ACM in hoge mate afhankelijk van het kunnen beschikken over vertrouwelijke gegevens en inlichtingen van ondernemingen, waarop zij toezicht houdt. De betrokken ondernemingen verstrekken die gegevens en inlichtingen aan de ACM in het vertrouwen dat de ACM deze niet openbaar maakt", verklaart de toezichthouder.
Volgens de ACM is het niet te rechtvaardigen dat het zulke gegevens toch openbaar maakt. "Niet alleen de ondernemingen van wie de gegevens afkomstig zijn kunnen schade ondervinden door zulke openbaarmaking. Ook het toezicht van de ACM zelf kan daarmee ernstig worden geschaad." Door het toch openbaar maken van de documenten kan de vertrouwensrelatie tussen de toezichthouder en de onder toezicht gestelde ondernemingen onder druk komen te staan, zo laat de ACM verder weten.
Voor de ACM is door overheid een apart stelsel van geheimhouding en openbaarmaking gemaakt. De bepalingen van die wet hebben voorrang boven de bepalingen van de Woo. De toezichthouder stelt dan ook dat het de gevraagde documenten niet openbaar zal maken omdat dit in potentie het aan de ACM opgedragen toezicht kan schaden.
zovelen van ons daar naar terug.
EU2023
Rest maar één vraag: in wiens belang bestaan ze zelf dan eigenlijk.
De eventuele overtreding die ACM onderzoekt is ingebed in de bedrijfsprocessen en gegevensverwerkingen van de onderzochte onderneming. Als ACM hun onderzoeken zelfs maar een beetje competent uitvoert komen ze onvermijdelijk van alles tegen wat ze wel moeten doorlichten om tot een conclusie te komen maar wat niet zomaar op straat gegooid kan worden als iemand een Woo-verzoek doet. Bedrijven hebben namelijk concurrenten die informatie kunnen misbruiken. Daarom hebben bedrijven bedrijfsgeheimen en daarom bestaat bedrijfsspionage. De Woo moet niet makkelijk te misbruiken zijn voor bedrijven om vertrouwelijke informatie over concurrenten te pakken te krijgen.
Het is dus nogal wiedes dat ACM niet alles wat het tijdens een onderzoek doorspit en in interne documenten verwerkt naar buiten brengt, maar bedrijfsgeheimen vertrouwelijk behandelt.
Het belang hier kan dus simpelweg zijn dat het een shitload aan werk oplevert die capaciteit van de organisatie opslokt die ze liever voor hun eigenlijke taak inzetten.
Dat moet beter en ik dacht dat het Noorwegen was dat laat zien hoe dat kan. Tijdens hun normale werk scheiden overheidsdiensten daar al publiceerbare van niet publiceerbare gegevens. Als er een Woo-verzoek gedaan (of hun tegenhanger daarvan) wordt kan alles uit de eerste categorie direct vrijgegeven worden, zonder moeizaam spitwerk, het staat al klaar. Dat wil niet zeggen dat de tweede categorie nooit doorgespit moet worden, maar een verbetering is dit zeker in vergelijking met hoe bij ons gewerkt wordt.
De eventuele overtreding die ACM onderzoekt is ingebed in de bedrijfsprocessen en gegevensverwerkingen van de onderzochte onderneming. Als ACM hun onderzoeken zelfs maar een beetje competent uitvoert komen ze onvermijdelijk van alles tegen wat ze wel moeten doorlichten om tot een conclusie te komen maar wat niet zomaar op straat gegooid kan worden als iemand een Woo-verzoek doet. Bedrijven hebben namelijk concurrenten die informatie kunnen misbruiken. Daarom hebben bedrijven bedrijfsgeheimen en daarom bestaat bedrijfsspionage. De Woo moet niet makkelijk te misbruiken zijn voor bedrijven om vertrouwelijke informatie over concurrenten te pakken te krijgen.
Het is dus nogal wiedes dat ACM niet alles wat het tijdens een onderzoek doorspit en in interne documenten verwerkt naar buiten brengt, maar bedrijfsgeheimen vertrouwelijk behandelt. (...)
(...) dat het simpelweg een gigantische klus is om de scheiding tussen te openbaren en niet te openbare gegevens aan te brengen. (...) Het belang hier kan dus simpelweg zijn dat het een shitload aan werk oplevert die capaciteit van de organisatie opslokt die ze liever voor hun eigenlijke taak inzetten.
Je kunt alles wel als een bedrijfsgeheim gaan beschouwen. Ook hoeveel werknemers het bedrijf heeft, wat de omzet en de winst is, welke ingrediënten er in een blikje soep zitten - met al die gegevens kunnen concurrenten hun voordeel doen.
Het concept "bedrijfsgeheim" is veel te ver opgerekt en wordt nu gebruikt als middel om het publiek in onwetendheid te houden over de werkelijke attitude en loyaliteit van organisaties zoals ACM. Het is bekend dat talloze toezichthouders in de praktijk in belangrijke mate "toedekkers" zijn geworden. Bijvoorbeeld op het gebied van giftige stoffen in het milieu of misdragingen van leden van de eigen beroepsorganisatie, etc. Het risico van coöptatie van de toezichthouder door diegenen op wie toezicht zou moeten worden gehouden, is van alle tijden. In het keizerlijke China rouleerden districtsmagistraten zodat ze niet te veel zouden vergroeien met het district dat ze in opdracht van de keizer administreerden.
In dit geval gaat het om informatie over de geplande levensduur en beveiligingsupdates van producten. "Fabrikanten en winkels moeten consumenten onder andere laten weten hoelang aangeboden IoT-apparaten beveiligingsupdates ontvangen. Klanten kunnen dit dan in hun aankoopbeslissing laten meewegen, aldus de toezichthouder [ACM]."
Precies. Dus waarom handelt de ACM daar dan niet consequent naar? Er is geen enkele aanleiding om zulke informatie tot "bedrijfsgeheim" te verklaren. Als een fabrikant "gist-extract" in zijn soep doet om de smaakbeleving op te vijzelen, dan moet dat ook gewoon op het etiket staan. Dat is geen bedrijfsgeheim.
Fabrikanten en winkels die daar geheimzinnig over doen, moeten gewoon met de billen bloot voor het grote publiek. Als ze dat onprettig vinden vanwege vermeend concurrentienadeel, dan moeten ze zelf vrijwillig adequate informatie verschaffen, zowel aan het publiek (de kopers) als meer in detail ter onderbouwing aan ACM.
Een alternatief is om de verkoop van producten waarbij dergelijke informatie niet wordt verschaft of niet controleerbaar is, simpelweg te verbieden. Da's óók nadelig voor de "concurrentiepositie", want als je product verboden wordt, kun je helemaal niet meer concurreren op de legale markt. Een blikje soep waar op het etiket vermeld staat: "Ingrediënten: bedrijfsgeheim" wordt in Nederland uit de handel gehaald. Hetzelfde kun je doen met een IoT-product waarop staat: "Levensduur en beveiligingsupdates: bedrijfsgeheim".
Op die manier voorkom je dat de ACM de door jou genoemde "shitload" aan werk erbij krijgt. Het werk om adequate informatie te verschaffen, moet bij de producenten van die IoT-producten worden gelegd, als voorwaarde om hun producten in Nederland te mogen verkopen.
Overigens denk ik dat mensen die het nodig vinden om hun IoT-verwarming op afstand automatisch aan en uit te kunnen laten schakelen, of die van hun IoT-koelkast waarschuwingsberichten willen krijgen als de yoghurt bijna op is, een ander probleem hebben. Mijn beveiligingsupdate gebeurt meestal als ik de deur van de koelkast open en een blik naar binnen werp. Meestal houd ik veiligheidshalve een revolver en een brandspuit bij de hand. Dat werkt prima.
M.J.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
