Wat een overheid kan opeisen
Alles wat een bedrijf kan lezen, kan een rechter of overheid het laten afgeven, soms zonder dat je het ooit te weten komt.
Grote techbedrijven krijgen elk jaar grote aantallen overheidsverzoeken om gebruikersgegevens, waarvan vele uit strafrechtelijke onderzoeken. De regel is eenvoudig: als een bedrijf je gegevens kan lezen, kan het worden gedwongen ze af te geven.
Berichten die niet versleuteld waren
In 2022 gaf Meta op grond van een bevel de Facebook-berichten tussen een moeder en haar tienerdochter aan de politie van Nebraska. De berichten werden later gebruikt in een vervolging die verband hield met een abortus. Meta zei dat in de bevelen geen sprake was van abortus en dat er een zwijgplicht aan vastzat, waardoor het er niet over mocht praten (NPR, Meta). Messenger-chats waren toen niet standaard end-to-end versleuteld. Persoonlijke Messenger-chats zijn dat nu wel: Meta begon ze in december 2023 om te zetten (Meta).
Metadata is vaak genoeg
Zelfs als de inhoud van berichten versleuteld is, is metadata (met wie je praat, wanneer en vanwaar) dat vaak niet. Volgens een intern FBI-document uit 2021 kan WhatsApp de politie elke 15 minuten laten weten wie een verdachte berichten stuurt, en wanneer, als antwoord op een zogeheten pen register-bevel. De inhoud van de berichten zit daar niet bij.
Ook privacybedrijven moeten meewerken
Bedrijven die op privacy gericht zijn, moeten nog steeds de wet volgen van het land waar ze gevestigd zijn. Proton heeft bijvoorbeeld na Zwitserse gerechtelijke bevelen een IP-adres en een herstel-e-mailadres aan de politie gegeven (details). Het verschil is dat Proton de inhoud van je opgeslagen e-mails niet kan afgeven, omdat die versleuteld is met sleutels die het niet heeft. (Onderwerpregels en adressen zijn niet op dezelfde manier beschermd.)
Waar een bedrijf gevestigd is, doet ertoe
Amerikaanse bedrijven kunnen op grond van wetten zoals de CLOUD Act worden gedwongen gegevens af te geven waarover ze beschikken, zelfs als die in een ander land zijn opgeslagen. Andere landen bieden sterkere of zwakkere bescherming, en wetten veranderen.
Wat je kunt doen
- Kies bij voorkeur voor end-to-end-versleuteling voor berichten, bestanden en back-ups, zodat er niets leesbaars is om af te geven.
- Beperk metadata. Koppel geen persoonlijk herstel-e-mailadres of telefoonnummer aan accounts die anoniem moeten blijven.
- Bekijk transparantierapporten. Bedrijven die publiceren hoeveel verzoeken ze krijgen, en hoe vaak ze zich verzetten, verdienen punten in onze categorie transparantie.