Digitale kluis is doos van Pandora
In een onlangs aan minister Van Boxtel van Grote Steden- en Integratiebeleid gepresenteerd advies, stelt een commissie onderleiding van prof. Snellen voor om iedere Nederlander een zogenaamde digitale kluis te geven waarin al zijn persoonsgegevens centraal worden opgeslagen (Volkskrant 29, 30 maart 2001). Dit zou dan niet alleen moeten gaan om alle van overheidswege geadministreerde gegevens (zoals uit de Gemeentelijke Basis Administratie, uitkeringsinstanties, het kadaster e.d.), maar ook door de burger zelf toegevoegde medische dossiers, financiële informatie, of curriculum vitae.
Vooropgesteld moet worden dat het moderniseren en optimaliseren van de gemeentelijke basisadministratie persoonsgegevens op zich een goede zaak is. Daar waar er een duidelijke noodzaak is om informatie te administreren en beschikbaar te stellen, moet dit zo doeltreffend mogelijk gebeuren. Wel zal er ten allen tijde strikt op moeten worden toegezien dat alleen bevoegde instanties toegang hebben tot de (voor hun geëigende) gegevens. De privacy is dan voldoende gewaarborgd, in relatie tot het gemeenschappelijke belang.
Als het echter gaat om het invoeren van een digitale kluis als een centrale database waarin een groot scala aan persoonlijke gegevens panklaar gekoppeld worden opgeslagen, dan slaat de balans tussen noodzaak en privacyerosie door.
Er wordt gesuggereerd dat voor het invoeren van de kilometerheffing, het beveiligen van on-line winkelen of het aanvragen van hypotheken het centraal, gekoppeld, opslaan van deze extra gegevens noodzakelijk zou zijn. Dit is echter maar zeer de vraag. Voor het implementeren van de kilometerheffing is een eenvoudig en handhaafbaar systeem te ontwerpen waarbij de privacy van de burger in het geheel niet in het geding komt, omdat er geen informatie centraal wordt opgeslagen, en ook niet gebruik gemaakt wordt van centraal opgeslagen informatie (behalve wellicht die van de RDW). Voor het beveiligen van on-line winkelen is niet een uitgebreid betrouwbaar dossier van de klant maar juist van de winkel noodzakelijk. Voor het aanvragen van een hypotheek en het kopen van een huis tenslotte zal ook in de toekomst de tussenkomst van een notaris wel noodzakelijk blijven, en is dus het voordeel van een digitale kluis marginaal.
Een tweede argument voor de digitale kluis is dat deze de burger de regie over zijn persoonlijke gegevens terug zou geven. Ook dit is discutabel. Ten eerste wordt duidelijk gesteld dat de burger zelf geen informatie kan wijzigen. Dat is ook logisch, want anders zou deze informatie waardeloos worden. Ten tweede geldt voor gegevens uit de basisadministratie gewoon dat overheidsinstanties daar altijd direct, zonder tussenkomst van de burger, bij kunnen. Blijft over de informatie die de burger zelf aan de kluis toevoegt. Maar daar had zij natuurlijk al lang de regie over.
Leidt de invoering van een digitale kluis tot verdere erosie van de privacy? Iedere centrale opslag van gegevens bedreigt potentieel de privacy van de burger. Ten eerste leidt het centraal opslaan van gegevens vanzelf tot het oprekken van de oorspronkelijke regels rondom het gebruik hiervan. Ten tweede dient misbruik, door de overheid of derden, moeilijk --- liefst onmogelijk --- te zijn. Het beschermen van zo'n gigantische centrale database die ook nog eens voor vele miljoenen burgers toegankelijk is, is een geavanceerd technologisch probleem. Het feit dat dit systeem juist bedoeld is om, weliswaar gecontroleerd, vertrouwlijke informatie met anderen uit te wisselen vergroot dit probleem nog eens behoorlijk. De suggestie om middels biometrie de toegang tot de kluis te beveiligen is om twee redenen weinig plausibel. Ten eerste zullen de kosten te hoog zijn. Ten tweede wordt de voordeur gebarricadeerd terwijl de burger zelf de toegang via allerlei achterdeuren slechts middels codes kan beveiligen. Het zal duidelijk zijn dat de beveiliging van de digitale kluizen van zeer hoog nivo zal moeten zijn, omdat het gezien de inhoud een aantrekkelijk doelwit van hackers, vandalen en criminelen zal zijn.
Is er een alternatief? Een groot deel van de bezwaren zou weggenomen kunnen worden door na te denken over een decentraal, bij en door de burger zelf bewaard digitaal archief. Er is daarbij geen sprake van één systeem dat alle persoonlijke informatie van alle Nederlanders bevat. Bovendien geeft de burger daarbij niemand direct toegang tot zijn gegevens. Hij stuurt de relevante gegevens op naar het bedrijf of instelling dat die nodig heeft. Gewoon, per email.
Invoering van de digitale kluis is daarom ten sterkste af te raden. De ramp is immers niet te overzien als over vijf jaar een groot landelijk dagblad opent met de kop "Digitale kluis blijkt zo lek als een mandje". En gezien de niet aflatende stroom berichten over beveiligingsproblemen bij gerenommeerde bedrijven en instellingen is de vraag niet of dit gebeurd, maar wanneer.
Jaap-Henk Hoepman is Universitair Docent informatiebeveiliging en cryptografie aan de Universiteit Twente.
Last Version - e1e3326.
(Note: changeover from CVS to dotless svn version numbers on Jan 19, 2008, and changeover to GIT versioning on May 30, 2013.)
Maintained by Jaap-Henk Hoepman
Email: jhh@cs.ru.nl