Hoe bescherm ik mijn gegevens tegen datagraaien?

Europa wil een eigen internetcloud voor het opslaan van data. Dat stelde een commissie van het Europees Parlement woensdag. Veel clouddiensten zijn Amerikaans en Amerikaanse inlichtingendiensten mogen grasduinen in de gegevens. Er komt echter steeds meer verzet tegen deze vorm van datagraaierij. Waar moet je je data eigenlijk onderbrengen?

De Amerikaanse overheid heeft het recht om data in Amerikaanse clouds te analyseren als men terroristische activiteiten vermoedt. Onthullingen over het omstreden Prism-programma van de NSA (National Security Agency) hebben aangetoond dat hiervan intensief gebruik wordt gemaakt.

In Nederland is een dezer dagen onrust ontstaan onder de leden van de Amsterdam Internet Exchange (AMS-IX) –  het belangrijkste internetknooppunt van Nederland – omdat men een filiaal wil openen in de Verenigde Staten. Internetproviders vrezen dat Amerikaanse spionagediensten dan heel eenvoudig in Nederlandse netwerken kunnen grasduinen. Komende week mogen de leden via internet stemmen over het voorstel.

Door het Instituut voor Informatierecht is al eens geconcludeerd dat er eigenlijk geen schuilplaats is voor de Amerikanen, ook als zou worden gekozen voor opslag buiten de Verenigde Staten en het uitsluiten van Amerikaanse aanbieders. Het instituut schrijf: ‘De in 2008 ingevoerde specifieke bepaling voor het opvragen van gegevens van niet-Amerikaanse personen buiten de VS springt het meest in het oog door de ruime mogelijkheden die het biedt en masse gegevens op te vragen. Ook in het kader van strafrechtelijk onderzoek bestaan bevoegdheden in de VS voor het opvragen van gegevens bij cloud providers.’

Maar het zijn niet alleen de Amerikanen die graag in databestanden kijken. Juridisch ICT expert Victor de Pous, bestuurslid van de stichting EuroCloud Nederland, zegt dat allerlei landen wetgeving kennen met extraterritoriale werking, oftewel uitbreiding van de rechtsmacht over de eigen landsgrenzen heen.

De Nederlandse politiek kijkt de ontwikkelingen met lede ogen aan. Ook de VVD vindt dataopslag van Nederlandse bedrijven in het buitenland niet veilig genoeg en wil dat Nederland gaat investeren in eigen clouds. En het Europees Parlement pleit voor een Europese cloud, waarin overheden, particulieren en bedrijven veilig online data kunnen opslaan.

Overigens moet die eurocloud ook weer niet al te letterlijk worden opgevat. Het gaat om een ecosysteem van regels, diensten en aanbieders, met keiharde garanties voor databescherming, privacy, vrijheid van meningsuiting, transparantie, decentrale opslag en energiezuinigheid. Het onderbrengen van data in een puur Nederlandse cloud is overigens geen ultieme oplossing, waarschuwt  het Instituut voor Informatierecht. De Amerikanen zijn dan nog steeds in staat om via de Nederlandse opsporingsdiensten aan de data te komen. Het IvIR raadt instellingen dan ook aan eerst een risicoanalyse te maken. Voor privacygevoelige gegevens zouden dan alsnog specifieke oplossingen kunnen worden ontwikkeld.

Jan Phillipp Albrecht (Europarlementariër Duitse Groenen) vindt dat in elk geval speciale aandacht moet worden geschonken aan het vooraf informeren van gebruikers over wat er met hun data in de cloud gebeurt (informed consent), vastleggen van mogelijkheden voor het definitief wissen van gegevens (right to be forgotten) en het gemak waarmee gebruikers kunnen wisselen tussen concurrerende cloud-aanbieders (data portability).

Dat laatste gebeurt nog te weinig. Het terughalen en verplaatsen van gegevens is inderdaad tijdrovend. Maar in principe hoeft alleen echt privacygevoelige informatie, zoals persoonsgegevens, te worden veiliggesteld. Dat kan trouwens op meerdere manieren. Gegevens kunnen door webaanbieders (samen met hostingpartijen) bijvoorbeeld decentraal en gefragmenteerd worden opgeslagen, waardoor de opvraging wordt bemoeilijkt. Versleuteling is een andere optie, maar voegt wel een mate van complexiteit toe voor dienstverlenende bedrijven.