Jents – Advocaat Jents Debruyne

Wat doen bij een ransomware – aanval?

Jents — Fri, 10 Oct 2025 14:12:58 +0000

Het is vrijdag voor de vakantie.
Plots blijkt dat u geen toegang meer hebt tot uw eigen bestanden en dat er losgeld wordt geëist.

Een gijzeling van je bestanden. Wat nu?

Snel handelen is cruciaal.

Stap 1: Deconnectie & Isolatie

Zodra je merkt dat er ransomware actief is, ontkoppel je alle geïnfecteerde toestellen van het netwerk. Trek de stekker eruit, schakel wifi uit, en verbreek verbindingen met cloudaccounts of gedeelde drives. Zo voorkomt u dat het virus zich verder verspreidt in uw systeem of naar partners.

Verwittig meteen de bevoegde personen binnen uw organisatie:

de IT-manager / CISO
de Data Protection Officer (DPO)
het management

Zij zullen het geldende beleid in de organisatie activeren en actief zoeken naar oplossingen.
Het niet melden van een incident is een grove fout en kan gevolgen hebben voor u als medewerker.
De boodschap is dus steeds: melden, melden, melden.

Stap 2: Herstel & Analyse van het incident

Het management en DPO zullen inschatten welk risico het incident heeft — zowel op vlak van confidentiële data als persoonsgegevens. Daarbij worden geïmpacteerde partijen nagegaan en contracten geanalyseerd. Heeft u een cybersecurityverzekering, breng deze dan onmiddellijk op de hoogte van het schadegeval.

Een gesegmenteerde fysieke back-up kan uw redding zijn. Ondanks het terugplaatsen van data blijft een inbreuk op gegevensbescherming of confidentialiteit mogelijk. Een grondige analyse dringt zich dan ook op. Vergeet niet dat u als leverancier ook meldingsplicht hebt.Sla deze stap niet over. Criminele bendes encrypteren niet alleen, maar plaatsen vaak ook gevoelige data op het darkweb om organisaties verder te chanteren.

Stap 3: Meldingen, aangiftes en officiële communicatie

Volgende meldingen zijn essentieel:

Melding bij de GBA / VTC (binnen 72 uur na ontdekking).
Melding aan geïmpacteerde klanten, partners of derden (volgens contractuele verplichtingen).
Een persbericht indien noodzakelijk.
Melding aan het Centrum voor Cybersecurity.
Andere formele meldingen afhankelijk van uw rol als organisatie.
Aangifte bij de politie.

Ons kantoor staat u graag bij met de nodige communicatie, afwegingen en contractuele afhandeling die het gevolg zijn van dergelijk incident.

Stap 4: Herstelproces & Evaluatie van beveiligingsmaatregelen

Wanneer de aanval onder controle is, begint het moeizame werk van herstel. Gebruik enkel back-ups die niet verbonden waren met het geïnfecteerde netwerk. Controleer grondig of de malware volledig verwijderd is vóór u opnieuw opstart.

Daarna volgt de evaluatie:

Zijn uw beveiligingsinstellingen up-to-date?
Moeten toegangsrechten worden herzien?
Is er nood aan extra bewustmaking of opleiding van medewerkers?

Cybercriminaliteit evolueert voortdurend. De enige duurzame reactie is een proactieve beveiligingscultuur: regelmatige updates, duidelijke procedures en goed getraind personeel.

Over bodycams, smartphones en het filmen van politie-agenten.

Jents — Thu, 14 Mar 2024 14:57:07 +0000

HLN contacteerde me voor een interview met enkele juridische vragen: heb je hier meer vragen over, contacteer me gerust.

Mag de politie zomaar je smartphone afnemen en de code vragen?

EIDAS II: naar een Europese e-ID door Gauthier Berth

Jents — Tue, 06 Feb 2024 12:01:30 +0000

EIDAS en EIDAS II-verordening

Inhoudstafel

EIDAS. 1
Inleiding. 1
Elektronische handtekening. 1
Wat betekent dit nu voor een onderneming in België?. 2
U wenst zelf een elektronische handtekening uit te brengen? Dat kan. 6
Elektronische zegel 6
Elektronische tijdstempel 7
Diensten voor elektronisch aangetekende bezorging. 7
Authenticatie van websites. 8
EIDAS II 9
NIEUW: Europese portemonnee voor digitale identiteit 9
NIEUW: Elektronische attestering van attributen, elektronische archiefdiensten en elektronische registers. 11
Elektronische attestering van attributen. 11
Elektronische archiefdiensten. 13
Elektronische registers. 13
Conclusie. 14
Wijzigingen aan EIDAS. 14
Overzicht wijzigingen. 14
Conclusie. 16

I. EIDAS

A. Inleiding

Vooreerst verwijs ik, Gauthier Berth, graag naar het blogartikel over de EIDAS-verordening geschreven door Mr. Jents Debruyne, waarop huidig blogartikel (lichtjes herhalend) voortbouwt.

B. Elektronische handtekening

Met Verordening (EU) Nr. 910/2014 (Hierna: EIDAS-verordening) is er sinds 1 juli 2016 een EU-kader in werking getreden betreffende – onder meer – de aanvaardbaarheid van elektronische handtekeningen binnen elke lidstaat. Deze verordening maakt een onderscheid tussen drie verschillende types elektronische handtekeningen:

de elektronische handtekening[1]: gegevens in elektronische vorm die gehecht zijn aan of logisch verbonden zijn met andere gegevens in elektronische vorm en die door de ondertekenaar worden gebruikt om te ondertekenen;
de geavanceerde elektronische handtekening[2]: een elektronische handtekening die voldoet aan de eisen in artikel 26, meer bepaald:[3]
1. zij is op unieke wijze aan de ondertekenaar verbonden;
2. zij maakt het mogelijk de ondertekenaar te identificeren;
3. zij komt tot stand met gegevens voor het aanmaken van elektronische handtekeningen die de ondertekenaar, met een hoog vertrouwensniveau, onder zijn uitsluitende controle kan gebruiken en
4. zij is op zodanige wijze aan de daarmee ondertekende gegevens verbonden, dat elke wijziging achteraf van de gegevens kan worden opgespoord;

de gekwalificeerde elektronische handtekening[4]: een geavanceerde elektronische handtekening die is aangemaakt met een gekwalificeerd middel voor het aanmaken van elektronische handtekeningen en die gebaseerd is op een gekwalificeerd certificaat voor elektronische handtekeningen.

Praktisch dient men vooral rekening te houden met de rechtsgevolgen (lees: juridische gevolgen) die de EIDAS-verordening verbindt aan elk van de types elektronische handtekeningen.

Hoewel uit het eerste lid[5] van artikel 25 EIDAS-verordening volgt dat het rechtsgevolg van een elektronische handtekening en de toelaatbaarheid ervan als bewijsmiddel in gerechtelijke procedures niet mag worden ontkend louter op grond van het feit dat de handtekening elektronisch is of niet aan de eisen voor gekwalificeerde elektronische handtekeningen voldoet, volgt uit het tweede lid[6] van datzelfde artikel uitdrukkelijk dat een gekwalificeerde elektronische handtekening hetzelfde rechtsgevolg heeft als een handgeschreven handtekening. Uit het derde lid[7] volgt dan weer dat een gekwalificeerde elektronische handtekening die op een in een lidstaat afgegeven gekwalificeerd certificaat is gebaseerd, in alle andere lidstaten als een gekwalificeerde elektronische handtekening dient te worden erkend.

1. Wat betekent dit nu voor een onderneming in België?

a) Theorie:

Daarvoor dienen eerst de concepten ‘vertrouwenslijsten’ en ‘(gekwalificeerde) vertrouwensdiensten’ te worden uitgelegd.

Luidens artikel 22 EIDAS-verordening dient elke lidstaat vertrouwenslijsten te stellen op met onder meer informatie over de gekwalificeerde verleners van vertrouwensdiensten waarvoor deze verantwoordelijk is, samen met informatie over de gekwalificeerde vertrouwensdiensten die door hen verleend worden, en deze houdt ook deze lijsten bij en maakt deze bekend.

Een vertrouwensdienst wordt gedefinieerd als elektronische dienst die gewoonlijk tegen betaling wordt verricht en het onderstaande inhoudt[8]:

het aanmaken, verifiëren en valideren van elektronische handtekeningen, elektronische zegels of elektronische tijdstempels, diensten voor elektronisch aangetekende bezorging en op deze diensten betrekking hebbende certificaten of
het aanmaken, verifiëren en valideren van certificaten voor authenticatie van websites, of
het bewaren van elektronische handtekeningen, zegels of certificaten die op deze diensten betrekking hebben.

Een gekwalificeerde vertrouwensdienst is een vertrouwensdienst die voldoet aan de toepasselijke eisen[9] zoals vastgelegd in de verordening.[10]

Een verlener van vertrouwensdiensten is een natuurlijke persoon of rechtspersoon die een of meer vertrouwensdiensten verleent als een gekwalificeerde of als een niet-gekwalificeerde verlener van vertrouwensdiensten.[11]

Een gekwalificeerde verlener van vertrouwensdiensten is een verlener van vertrouwensdiensten die één of meerdere gekwalificeerde vertrouwensdiensten verleent en van het toezichthoudende orgaan de status van gekwalificeerde heeft gekregen.[12]

In het kort: indien u een vertrouwensdienst (bv. het verifiëren van elektronische handtekening, zoals ‘itsme’) levert, bent u een verlener van vertrouwensdiensten. Indien u zich laat kwalificeren door de lidstaat waar u gevestigd bent, bent u een gekwalificeerde verlener van vertrouwensdiensten.

Waarom zou een verlener van vertrouwensdiensten zich laten kwalificeren en zich zo aan strenger[13] toezicht[14] blootstellen?

Omdat (in beginsel[15]) enkel een gekwalificeerde verlener gekwalificeerde vertrouwensdiensten (bv. het aanmaken of de verificatie van een gekwalificeerde elektronische handtekening) mag leveren.

Er zijn uiteraard strenge (Europese) eisen verbonden aan het kwalificatieproces voor zowel verlener[16] als diens aangeboden vertrouwensdienst[17]. Hier voorziet de Europese Commissie ook nog bijzondere regels voor de aanbieding van bepaalde[18] vertrouwensdiensten.

Elke lidstaat moet elektronische identificatiemiddelen uitgegeven door andere lidstaten erkennen, mits aan de volgende voorwaarden is voldaan: [19]

het elektronisch identificatiemiddel is uitgegeven op grond van een stelsel voor elektronische identificatie dat is opgenomen in de lijst die de Commissie uit hoofde van artikel 9 heeft bekendgemaakt;
het betrouwbaarheidsniveau van het elektronisch identificatiemiddel is gelijk aan of hoger dan het betrouwbaarheidsniveau dat de bevoegde openbare instantie als voorwaarde stelt voor onlinetoegang tot die dienst in de eerste lidstaat, mits het betrouwbaarheidsniveau van dat elektronisch identificatiemiddel in overeenstemming is met het betrouwbaarheidsniveau substantieel of hoog;
de openbare instantie in kwestie gebruikt het betrouwbaarheidsniveau substantieel of hoog voor de toegang tot die onlinedienst.

Hierop geldt één uitzondering: een gekwalificeerde elektronische handtekening die op een in een lidstaat afgegeven gekwalificeerd certificaat is gebaseerd, wordt in alle andere lidstaten als een gekwalificeerde elektronische handtekening erkend.[20]

Wat is een betrouwbaarheidsniveau?

Hoewel artikel 3 EIDAS I geen definitie bevat voor het begrip, geeft overweging 16 ons wel een beter inzicht:

“Het betrouwbaarheidsniveau moet de mate van vertrouwen weergeven die in een elektronisch identificatiemiddel kan worden gesteld voor het vaststellen van de identiteit van een persoon, en moet zodoende zekerheid geven dat de persoon die beweert een bepaalde identiteit te hebben ook daadwerkelijk degene is aan wie deze identiteit is toegekend. Het betrouwbaarheidsniveau hangt af van de mate van vertrouwen die elektronische identificatiemiddelen bieden voor de opgegeven of beweerde identiteit van een persoon, rekening houdend met processen (bijvoorbeeld het bewijzen van de identiteit,verificatie, en authenticatie), beheersactiviteiten (bijvoorbeeld de entiteit die elektronische identificatiemiddelen uitgeeft en de procedure voor uitgifte van dergelijke middelen) en geïmplementeerde technische beheersmaatregelen. (…)”.

Art. 8.2 EIDAS-verordening onderscheidt drie types betrouwbaarheidsniveaus: laag; substantieel en hoog:

“a) Het betrouwbaarheidsniveau laag betreft een elektronisch identificatiemiddel in het kader van een stelsel voor elektronische identificatie, dat een beperkte mate van vertrouwen in iemands opgegeven of beweerde identiteit biedt, en wordt toegekend onder verwijzing naar technische specificaties, normen en procedures die daarmee verband houden, onder meer technische controles die tot doel hebben het risico van misbruik of wijziging van identiteit te verkleinen;

b) het betrouwbaarheidsniveau substantieel betreft een elektronisch identificatiemiddel in het kader van een stelsel voor elektronische identificatie, dat een substantiële mate van vertrouwen in iemands opgegeven of beweerde identiteit biedt, en wordt toegekend onder verwijzing naar technische specificaties, normen en procedures die daarmee verband houden, onder meer technische controles die tot doel hebben het risico van misbruik of wijziging van identiteit te verkleinen;
c) het betrouwbaarheidsniveau hoog betreft een elektronisch identificatiemiddel in het kader van een stelsel voor elektronische identificatie, dat een hogere mate van vertrouwen in iemands opgegeven of beweerde identiteit biedt dan een elektronisch identificatiemiddel met betrouwbaarheidsniveau substantieel, en wordt toegekend onder verwijzing naar technische specificaties, normen en procedures die daarmee verband houden, onder meer technische controles die tot doel hebben het risico van misbruik of wijziging van identiteit te voorkomen.”

b) Praktijk:

Als onderneming dient u ermee rekening te houden dat enkel gekwalificeerde elektronische handtekeningen gelijk moeten worden gesteld met een handgeschreven handtekening. Geavanceerde elektronische handtekeningen en elektronische handtekeningen bieden dus minder rechtszekerheid, mocht het ooit tot een juridische procedure komen.

U kan de vertrouwenslijst van de verschillende lidstaten hier raadplegen:

https://eidas.ec.europa.eu/efda/tl-browser/#/screen/home

Voor België luidt de vertrouwenslijst[21] als volgt (dd. 18-12-23):

Belgian Mobile ID SA/NV
- itsme Sign Validation
Certipost n.v./s.a.
- CN: Belgium Root CA
- CN: Certipost E-Trust Primary Qualified CA
Connect Solutions
- email
CONNECTIVE
- Connective Validation Service
DigiCert Europe Belgium B.V.
- itsme Sign Issuing CA
- QuoVadis BE PKI Certification Authority
- QuoVadis Belgium Issuing CA
Dioss Smart Solutions
- Tuvi
Docbyte NV
- Docbyte preservation service
- Docbyte e-Archiving – preservation service
GlobalSign NV/SA
- GlobalSign Atlas
- GlobalSign GCC
IPEX
- Registered Email Plus
Kingdom of Belgium – Federal Government
- Belgium Root CA6
- EC1 TSU 2021
- EC2 TSU 2021
Postalia Belgium
- EasyPost Connect
SA UNIFIEDPOST
- Registered
Universign
- Universign CA Hardware
Zetes S.A./N.V.
- Zetes TSP PKI certification authority
- ZetesConfidens – Signature Creation Service – Issuing CA
- ZETES TSP RSA Qualified
- ZetesConfidens EC Qualified
- ZetesConfidens RSA Qualified
Trust service providers without currently active trust services:
- Portima s.c.r.l. c.v.b.a.
- Society for Worldwide Interbank Financial Telecommunication SCRL

2. U wenst zelf een elektronische handtekening uit te brengen? Dat kan.

U dient de veiligheidseisen in acht te houden in overeenstemming met artikel 19 EIDAS-verordening, ongeacht of u de intentie heeft gekwalificeerde of niet-gekwalificeerde vertrouwensdiensten te verlenen.

Indien u echter de intentie heeft gekwalificeerde diensten aan te bieden, dient u ook de bijzondere bepalingen met betrekking tot gekwalificeerde vertrouwensdiensten in acht te houden. Dit betreft artikel 20 en verder EIDAS-verordening, maar ook artikel 7 tot 9, voor zover de dienst een elektronische identificatie inhoudt.

Aarzel niet ons te contacteren ter verdere begeleiding.

C. Elektronische zegel

EIDAS I maakt verder een onderscheid tussen drie verschillende types elektronische zegels:

de elektronische zegel[22]: gegevens in elektronische vorm die gehecht zijn aan of logisch verbonden zijn met andere gegevens in elektronische vorm en die worden gebruikt om de oorsprong en integriteit daarvan te waarborgen;
de geavanceerde elektronische zegel[23]: een elektronisch zegel dat voldoet aan de eisen in artikel 36, meer bepaald:[24]

zij is op unieke wijze aan de aanmaker van het zegel verbonden;
zij maakt het mogelijk de aanmaker van het zegel te identificeren;
zij komt tot stand met gebruikmaking van gegevens voor het aanmaken van elektronische zegels die de aanmaker van het zegel met een hoog vertrouwensniveau onder zijn controle kan gebruiken voor het aanmaken van elektronische zegels en
zij is op zodanige wijze aan de gegevens waarop zij betrekking heeft verbonden, dat elke wijziging achteraf van de gegevens kan worden opgespoord.

de gekwalificeerde elektronische zegel[25]: een geavanceerd elektronisch zegel dat aangemaakt is door een gekwalificeerd middel voor het aanmaken van elektronische zegels en dat gebaseerd is op een gekwalificeerd certificaat voor elektronische zegels.

Praktisch dient men opnieuw vooral rekening te houden met de rechtsgevolgen:

Het rechtsgevolg van een elektronisch zegel en de toelaatbaarheid ervan als bewijsmiddel in gerechtelijke procedures mogen niet worden ontkend louter op grond van het feit dat het zegel elektronisch is of niet aan de eisen voor gekwalificeerde elektronische zegels voldoet.
Voor een gekwalificeerd elektronisch zegel geldt het vermoeden van integriteit van de gegevens en van juistheid van de oorsprong van de gegevens waaraan het gekwalificeerd elektronisch zegel is verbonden.
Een gekwalificeerd elektronisch zegel dat op een in een lidstaat afgegeven gekwalificeerd certificaat is gebaseerd, wordt in alle andere lidstaten als een gekwalificeerd elektronisch zegel erkend.

D. Elektronische tijdstempel

EIDAS I maakt verder een onderscheid tussen twee verschillende types elektronische tijdstempels:

de elektronische tijdstempel[26]: gegevens in elektronische vorm die andere gegevens in elektronische vorm verbinden aan een bepaald tijdstip en die bewijzen dat die laatstgenoemde gegevens op dat tijdstip bestonden;
de gekwalificeerde elektronische tijdstempel[27]: een elektronische tijdstempel die voldoet aan de in artikel 42 vastgelegde eisen.

Praktisch dient men opnieuw vooral rekening te houden met de rechtsgevolgen:

Het rechtsgevolg van een elektronisch tijdstempel en de toelaatbaarheid ervan als bewijsmiddel in gerechtelijke procedures mogen niet worden ontkend louter op grond van het feit dat het stempel elektronisch is of niet aan de eisen voor gekwalificeerde elektronische tijdstempels voldoet.
Voor een gekwalificeerd elektronisch tijdstempel geldt het vermoeden van de juistheid van de aangegeven datum en het aangegeven tijdstip, en van de integriteit van de gegevens waaraan de datum en het tijdstip zijn gekoppeld.
Een gekwalificeerd elektronisch tijdstempel, afgegeven in een lidstaat, wordt in alle lidstaten als een gekwalificeerd elektronisch tijdstempel erkend.

E. Diensten voor elektronisch aangetekende bezorging

EIDAS I maakt verder een onderscheid tussen twee verschillende types diensten voor elektronisch aangetekende bezorging:

de dienst voor elektronisch aangetekende bezorging[28]: een dienst die het mogelijk maakt gegevens via elektronische middelen tussen derden te verzenden en die bewijs verschaft ten aanzien van het hanteren van de verzonden gegevens, met inbegrip van bewijs van het verzenden en ontvangen van de gegevens, en die de verzonden gegevens beschermt tegen het risico van verlies, diefstal, beschadiging of onbevoegde wijzigingen;
de gekwalificeerde dienst voor elektronisch aangetekende bezorging[29]: een dienst voor elektronisch aangetekende bezorging die voldoet aan de in artikel 44 vastgestelde eisen.

Praktisch dient men opnieuw vooral rekening te houden met de rechtsgevolgen:

Het rechtsgevolg en toelaatbaarheid als bewijsmiddel in gerechtelijke procedures van gegevens die via een dienst voor elektronisch aangetekende bezorging verstuurd en ontvangen worden, mogen niet worden ontkend louter op grond van het feit dat de dienst elektronisch is of niet aan de eisen voor de gekwalificeerde dienst voor elektronisch aangetekende bezorging voldoet.
Voor gegevens die via een gekwalificeerde dienst voor elektronisch aangetekende bezorging worden verstuurd en ontvangen, geldt het vermoeden van integriteit van de gegevens, van de verzending van die gegevens door de geïdentificeerde afzender, van de ontvangst daarvan door de geïdentificeerde geadresseerde, en van de nauwkeurigheid van de datum en het tijdstip van verzending en van ontvangst, zoals aangegeven door de gekwalificeerde dienst voor elektronisch aangetekende bezorging.

F. Authenticatie van websites

EIDAS I maakt verder een onderscheid tussen twee verschillende types certificaten voor websiteauthenticatie:

het certificaat voor websiteauthenticatie[30]: attestering die het mogelijk maakt de authenticiteit van een website vast te stellen en die de website verbindt aan de natuurlijke of rechtspersoon aan wie het certificaat is afgegeven;
het gekwalificeerd certificaat voor websiteauthenticatie[31]: een certificaat voor websiteauthenticatie dat is afgegeven door een gekwalificeerde verlener van vertrouwensdiensten en voldoet aan de eisen van bijlage IV.

Praktisch dient men opnieuw vooral rekening te houden met de rechtsgevolgen[32]:

Het rechtsgevolg van een elektronisch document en de toelaatbaarheid ervan als bewijsmiddel in gerechtelijke procedures mogen niet worden ontkend louter op grond van het feit dat het document elektronisch is.

II. EIDAS II

A. NIEUW: Europese portemonnee voor digitale identiteit

In 2024 zal de nieuwste telg in de EIDAS-familie in werking treden, die voor een reeks vernieuwingen zorgt.

De onderstaande informatie is gebaseerd op het huidig voorstel voor de wijziging van de EIDAS-verordening.

Allereerst verplicht het voorstel de lidstaten een Europese portemonnee voor digitale identiteit uit te geven in het kader van een aangemeld stelsel voor elektronische identificatie, op basis van gemeenschappelijke technische normen en na een verplichte certificering. Ter facilitering hiervan zou er een EU-toolbox uitgebracht worden.[33]

In het voorstel wordt deze ‘Europese portemonnee’ als volgt gedefinieerd[34]: “een elektronisch identificatiemiddel dat gebruikers in staat stelt identiteitsgegevens, waaronder persoonsidentificatiegegevens, en elektronische attesteringen van attributen met betrekking tot hun identiteit op te slaan en op te vragen, op verzoek aan vertrouwende partijen te verstrekken, en voor online en, indien passend, offline authenticatie voor een dienst overeenkomstig artikel 6 bis te gebruiken, en dat ondertekening middels gekwalificeerde elektronische handtekeningen en verzegeling middels gekwalificeerde elektronische zegels mogelijk maakt”.

Hiermee tracht de EU-wetgever “(…) burgers en andere ingezetenen, zoals gedefinieerd in het nationale recht, een geharmoniseerde Europese digitale identiteit te bieden op basis van het concept van een Europese portemonnee voor digitale identiteit.”

Dit elektronisch identificatiemiddel zou op grond van nationale regelingen met betrouwbaarheidsniveau “hoog” worden ingevoerd, en zal op zichzelf fungeren als eID-middel, op basis van persoonsidentificatiegegevens en de portemonnee die de lidstaten verstrekken.[35]

In het kader van transparantie moedigt de Commissie de lidstaten aan om de broncode van de softwarecomponenten van Europese portemonnees voor digitale identiteit vrij te geven en daar waar mogelijk gebruik te maken van een openbronlicentie.[36]

Bij gebruik van de portemonnee kunnen voor authenticatie kosten in rekening worden gebracht door de diensten die van het gebruik afhankelijk zijn, bijvoorbeeld voor de afgifte van elektronische attesteringen van attributen aan de portemonnee. [37] Dit echter niet ten aanzien van natuurlijke personen, immers, luidens toekomstige overweging 9 EIDAS II-verordening is het uitgeven, gebruiken voor authenticatie en intrekken van Europese portemonnees voor digitale identiteit voor hen gratis. Met natuurlijke personen bedoelt men: u en ik; dit in tegenstelling tot rechtspersonen, waarmee afzonderlijke juridische entiteiten zoals vennootschappen bedoeld worden.

Verder is ook nieuw dat aanbieders van portemonnees en verstrekkers van aangemelde elektronische identificatiemiddelen die in een commerciële of professionele hoedanigheid optreden, zakelijke gebruikers van poortwachters zijn in de zin van de definitie hiervan in Verordening (EU) 2022/1925 (hierna: Digital Markets Act).[38]

Wie of wat zijn poortwachters?

Een onderneming kan worden aangewezen (door de Commissie) als poortwachter, indien deze kernplatformdiensten[39] aanbiedt (bijvoorbeeld: een onlinezoekmachine) en aan de voorwaarden in artikel 3 Digital Markets Act voldoet.[40]

Sedert 6 september 2023 bestaat er een lijst van uitdrukkelijk door de Commissie[41] benoemde[42] poortwachters, dit betreft: Alphabet (moederbedrijf Google), Amazon, Apple, ByteDance (moederbedrijf TikTok), Meta (moederbedrijf Facebook) en Microsoft.

De verordening verplicht poortwachters om kosteloos te zorgen voor effectieve interoperabiliteit met en, ten behoeve van interoperabiliteit, toegang tot dezelfde besturingssystemen, hardware en software als die welke beschikbaar zijn of worden gebruikt bij het aanbieden van hun eigen complementaire en ondersteunende diensten en hardware. Dit moet verstrekkers van Europese portemonnees voor digitale identiteit en van aangemelde elektronische identificatiemiddelen in staat stellen via interfaces of soortgelijke oplossingen even doeltreffend aan te sluiten op de betrokken functionaliteiten als op de diensten of hardware van de poortwachters zelf. [43] [44]

Het is de poortwachters verboden om zakelijke gebruikers te verplichten een identificatiedienst van de poortwachter te gebruiken, aan te bieden of daarmee te interageren in het kader van diensten die worden aangeboden door zakelijke gebruikers die gebruikmaken van de kernplatformdiensten van die poortwachter.[45]

Hierin lezen wij voornamelijk dat gratis Application Programming Interfaces (of API’s) beschikbaar dienen te worden gesteld aan bovenvermelde verstrekkers voor elk van de (relevante) producten van deze multinationals.

Nog een nieuwigheid is het matchen van bestanden (of ‘matching of records’). Toekomstig artikel 3.55 EIDAS II-verordening definieert dit begrip als volgt: “een proces waarbij persoonsidentificatiegegevens, persoonsidentificatiemiddelen, gekwalificeerde elektronische attestering van attributen of attesteringen van attributen uitgegeven door of namens een publiekrechtelijk orgaan dat verantwoordelijk is voor een authentieke bron, met een bestaande account van dezelfde persoon worden gematcht of gekoppeld”. Luidens toekomstig artikel 11 bis zullen lidstaten voortaan, wanneer zij als vertrouwende partijen optreden, matching van bestanden dienen te waarborgen, bij gebruik van voor authenticatie aangemelde elektronische identificatiemiddelen of Europese portemonnees voor digitale identiteit.

De Commissie geeft in één van haar overwegingen mee dat het gebruik van unieke en permanente identificatiecodes van essentieel belang is om matching van bestanden mogelijk te maken.[46]

B. NIEUW: Elektronische attestering van attributen, elektronische archiefdiensten en elektronische registers

Verder voert de EIDAS II-verordening bijzondere regels in betreffende de eisen en rechtsgevolgen van de ‘elektronische attestering van attributen’[47], de ‘elektronische archiefdiensten’[48] en de ‘elektronische registers’[49].[50]

1. Elektronische attestering van attributen

Een attribuut is een “aanduiding van de eigenschap, kwaliteit, rechten of toestemming van een natuurlijke persoon of rechtspersoon of van een voorwerp”[51]

Met geattesteerde attributen worden onder meer rijbewijzen, diploma’s, vergunningen en geboorteakten bedoeld.[52]

Met de elektronische attestering van attributen bedoelt men “een attestering in elektronisch formaat aan de hand waarvan attributen kunnen worden geauthenticeerd”.[53]

Deze elektronisch attestering is gekwalificeerd indien die is afgegeven door een gekwalificeerde verlener van vertrouwensdiensten en indien voldaan is aan de eisen[54].[55]

Deze kan ook worden uitgegeven door of namens een openbare instantie die verantwoordelijk is voor een authentieke bron, mits aan de eisen[56] is voldaan. Toekomstige bijlage VI somt een lijst[57] op van attributen die lidstaten minimaal moeten voorzien ter elektronische verificatie, indien die attributen gebruikmaken van authentieke bronnen binnen de publieke sector van de desbetreffende lidstaat.

Wat is een authentieke bron?

Een authentieke bron is “een register of systeem, onder de verantwoordelijkheid van een openbare instantie of particuliere entiteit, dat attributen omtrent een natuurlijke persoon of rechtspersoon bevat en verstrekt, en als een primaire bron van die informatie wordt beschouwd of krachtens Unierecht of nationaal recht, met inbegrip van de bestuursrechtelijke praktijken, als authentiek wordt erkend”.[58]

De lijst van Belgische authentieke bronnen is hier raadpleegbaar.

Rechtsgevolgen[59]:”

Het rechtsgevolg van een elektronische attestering van attributen en de toelaatbaarheid ervan als bewijsmiddel in gerechtelijke procedures worden niet ontzegd louter op grond van het feit dat het elektronisch is of niet aan de eisen voor gekwalificeerde elektronische attesteringen van attributen voldoet.
Een gekwalificeerde elektronische attestering van attributen en attesteringen van attributen uitgegeven door of namens een openbare instantie die verantwoordelijk is voor een authentieke bron, hebben dezelfde rechtsgevolgen als rechtmatig afgegeven attesteringen op papier.
Een gekwalificeerde elektronische attestering van attributen, afgegeven in een lidstaat, wordt in alle lidstaten als een gekwalificeerde elektronische attestering van attributen erkend.
Een attestering van attributen uitgegeven door of namens een openbare instantie die verantwoordelijk is voor een authentieke bron, wordt in alle lidstaten erkend als een attestering van attributen uitgegeven door of namens een openbare instantie die verantwoordelijk is voor een authentieke bron.”

Uit punt 2 hierboven volgt dus dat beide types elektronische attesteringen van attributen (die voldoen aan de respectievelijke eisen) dezelfde rechtsgevolgen hebben als rechtmatig afgegeven attesteringen op papier. Een papieren exemplaar van uw identiteitskaart heeft dus net zoveel bewijswaarde als de elektronische variant, uitgegeven door de FOD Binnenlandse Zaken (die de authentieke bron beheert, zie hierboven).

In diezelfde zin en ter gelijkstelling van beide types elektronische attesteringen – voor zover uitgegeven door de bevoegde overheid – stelt de Commissie in haar voorstel verder dat elektronische attestering van attributen met dezelfde rechtsgevolgen als bij de gekwalificeerde elektronische attestering van attributen rechtstreeks aan de portemonnee kan worden afgegeven door de overheidsinstantie die verantwoordelijk is voor de authentieke bron of door een aangewezen openbaar orgaan namens een overheidsinstantie die verantwoordelijk is voor een authentieke bron, mits aan de nodige vereisten is voldaan.[60]

2. Elektronische archiefdiensten

Artikel 3 definieert[61] ‘elektronische archivering’ als “een dienst die de ontvangst, opslag, opvraging en verwijdering van elektronische gegevens verzorgt om de duurzaamheid en leesbaarheid ervan te garanderen alsook de integriteit, de vertrouwelijkheid en het bewijs van de oorsprong ervan gedurende de volledige bewaartermijn te vrijwaren”.

Opnieuw verwijst de toekomstige verordening naar een gekwalificeerde versie; zij definieert een gekwalificeerde elektronische archiveringsdienst als volgt: “een elektronische archiveringsdienst die voldoet aan de eisen die zijn vastgelegd in artikel 45 octies bis”.

Als voorbeeld kan hier verwezen worden naar het E-depot van Digital Archief Vlaanderen.

Rechtsgevolgen[62]:”

Het rechtsgevolg en de toelaatbaarheid als bewijsmiddel in gerechtelijke procedures van elektronische gegevens die zijn opgeslagen via een elektronische archiverings- dienst, worden niet ontzegd louter op grond van het feit dat de gegevens elektronisch zijn of niet opgeslagen zijn via een gekwalificeerde elektronische archiveringsdienst.
Voor via een gekwalificeerde elektronische archiveringsdienst opgeslagen elektronische gegevens geldt het vermoeden van integriteit van de gegevens en van juistheid van de oorsprong van de gegevens voor de duur van de termijn van bewaring door de verlener van gekwalificeerde vertrouwensdiensten.
Een gekwalificeerde elektronische archiveringsdienst in een lidstaat wordt in alle andere lidstaten als een gekwalificeerde elektronische archiveringsdienst erkend.”

3. Elektronische registers

Artikel 3 definieert[63] ‘elektronisch register’ als “een opeenvolging van elektronische gegevensbestanden die de integriteit en de nauwkeurigheid van de chronologische volgorde daarvan waarborgt”.

Opnieuw verwijst de toekomstige verordening naar een gekwalificeerde versie; zij definieert een gekwalificeerd elektronisch register als volgt: “een elektronisch register dat voldoet aan de eisen die zijn vastgelegd in artikel 45 decies”.

Als voorbeeld kan hier verwezen worden naar de authentieke bronnen, hierboven opgelijst.

Rechtsgevolgen[64]:”

Het rechtsgevolg van een elektronisch register en de toelaatbaarheid ervan als bewijsmiddel in gerechtelijke procedures worden niet ontzegd louter op grond van het feit dat het elektronisch is of niet aan de eisen voor gekwalificeerde elektronische register voldoet.
Voor gegevensbestanden in een gekwalificeerd elektronisch register geldt het vermoeden van het unieke karakter en de juistheid van de chronologische volgorde en van de integriteit ervan.
Een gekwalificeerd elektronisch register in een lidstaat wordt in alle lidstaten als een gekwalificeerd elektronisch register erkend

4. Conclusie

Enkel gekwalificeerde elektronische attestering van attributen en attesteringen van attributen uitgegeven door of namens een openbare instantie die verantwoordelijk is voor een authentieke bron hebben dezelfde rechtsgevolgen als rechtmatig afgegeven attesteringen op papier. Elektronische archiefdiensten en elektronische registers brengen niet dezelfde rechtsgevolgen met zich mee en zijn daarom minderwaardig aan het bovengenoemde.

C. Wijzigingen aan EIDAS

1. Overzicht wijzigingen

De eisen die gesteld worden aan niet-gekwalificeerde verleners van vertrouwensdiensten zijn nu verduidelijkt in toekomstig artikel 19bis EIDAS II-verordening.
De eisen die gesteld worden aan gekwalificeerde verleners van vertrouwensdiensten zijn ook verduidelijkt in een wijziging van huidige artikelen 20 en 24 EIDAS.
De eisen die gesteld worden aan toezichthoudende organen[65] en (de aanvang van[66]) (niet[67]-)gekwalificeerde[68] verleners van vertrouwensdiensten vinden nu ook aanknoping met de NIS2-richtlijn[69] en de daarin vastgestelde eisen qua cyberveiligheid.
De eisen die gesteld worden aan gekwalificeerde[70] verleners van vertrouwensdiensten vinden nu ook aanknoping met de Algemene Verordening Gegevensbescherming[71] (GDPR) en de daarin vastgestelde eisen qua gegevensbescherming.
De eisen die gesteld worden aan lidstaten[72], toezichthoudende organen[73], (de aanvang van[74]) (niet[75]-)gekwalificeerde[76] verleners van vertrouwensdiensten, geavanceerde elektronische handtekeningen[77], gekwalificeerde certificaten voor elektronische handtekeningen[78], validering van gekwalificeerde elektronische handtekeningen[79], van geavanceerde elektronische handtekeningen op basis van gekwalificeerde certificaten[80] en van geavanceerde elektronische zegels op basis van gekwalificeerde certificaten[81], gekwalificeerde valideringsdiensten voor gekwalificeerde elektronische handtekeningen[82] en gekwalificeerde bewaringsdiensten voor gekwalificeerde elektronische handtekeningen[83], geavanceerde elektronische zegels[84] en gekwalificeerde certificaten voor elektronische zegels[85], gekwalificeerde elektronische tijdstempels[86], gekwalificeerde diensten voor elektronisch aangetekende bezorging[87] en gekwalificeerde certificaten voor websiteauthenticatie[88] zullen nader worden bepaald: “Binnen twaalf maanden na de inwerkingtreding van deze verordening stelt de Commissie door middel van uitvoeringshandelingen technische specificaties en referentienummers voor normen inzake (…) vast.”
De eisen die gesteld worden aan gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen worden uitgebreid: “Het genereren en beheren van de gegevens voor het aanmaken van elektronische handtekeningen namens de ondertekenaar of het dupliceren van dergelijke gegevens voor back-updoeleinden kan alleen worden uitgevoerd door een gekwalificeerde verlener van vertrouwensdiensten die een gekwalificeerde vertrouwensdienst voor het beheer van een gekwalificeerd middel voor het aanmaken van elektronische handtekeningen op afstand verleent.”[89]
Aan de nieuwe categorie[90] die voortvloeit uit toekomstig artikel 29.1bis EIDAS II-verordening (zie vorig gedachtestreepje) worden ook bijzondere eisen[91]
Een nieuwe categorie “gekwalificeerde dienst voor het beheer van gekwalificeerde middelen voor het aanmaken van elektronische zegels op afstand” wordt eveneens toegevoegd, waaraan ook (identieke) bijzondere eisen[92] worden gesteld.
De eisen die gesteld worden aan de certificering van gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen worden verstrengd. Voortaan zijn deze certificaten in de tijd beperkt[93], en houden ze slechts gelding voor zover de kwetsbaarheidsbeoordelingen regelmatig[94] zijn en gevonden kwetsbaarheden ook wel degelijk worden verholpen[95].[96]

De eisen die gesteld worden aan de validering van geavanceerde elektronische handtekeningen op basis van gekwalificeerde certificaten zijn vanaf nu vastgelegd in toekomstig artikel 32bis EIDAS II-verordening.

De gekwalificeerde diensten voor elektronisch aangetekende bezorging krijgen voortaan een sterkere doorwerking in de andere lidstaten: “Een gekwalificeerde dienst voor elektronisch aangetekende bezorging in een lidstaat wordt in alle lidstaten als een gekwalificeerde dienst voor elektronisch aangetekende bezorging erkend.“[97]
Het interoperabiliteitskader tussen verleners van gekwalificeerde diensten voor elektronisch aangetekende bezorging wordt voortaan (deels) wettelijk geregeld.[98]
De eisen die gesteld worden aan gekwalificeerde certificaten voor websiteauthenticatie worden verstrengd ten aanzien van aanbieders van webbrowsers (die geen KMO zijn).[99]

2. Conclusie

Er zijn heel wat vernieuwingen en uitbreidingen. Belangrijk is dat er nu duidelijk aanknopingen zijn gemaakt met de AVG (of GDPR) en met de NIS2-richtlijn, wat de rechtszekerheid alleen maar ten goede doet.

De Commissie is echter klaarblijkelijk zinnens om binnen de twaalf maanden na de inwerkingtreding van de nieuwe verordening uitvoeringshandelingen vast te stellen waar haar voorheen (in EIDAS I) de mogelijkheid uitdrukkelijk werd voorzien, en ook in een aantal nieuwe gevallen. Het wordt dus na de inwerkingtreding van EIDAS II-verordening opnieuw afwachten wat de Commissie zal beslissen, en wanneer…

[1] Art. 3.10 EIDAS-verordening.

[2] Art. 3.11 EIDAS-verordening.

[3] Art. 26 EIDAS-verordening.

[4] Art. 3.12 EIDAS-verordening.

[5] Art. 25.1 EIDAS-verordening.

[6] Art. 25.2 EIDAS-verordening.

[7] Art. 25.3 EIDAS-verordening.

[8] Art. 3.16 EIDAS-verordening.

[9] Art. 24 EIDAS-verordening.

[10] Art. 3.17 EIDAS-verordening

[11] Art. 3.19 EIDAS-verordening.

[12] Art. 3.20 EIDAS-verordening.

[13] Art. 13, 20 en 24 EIDAS-verordening.

[14] Art. 19 EIDAS-verordening.

[15] Zie art. 21.1 en 21.3 EIDAS-verordening, maar ook art. 33 en 34 EIDAS-verordening.

[16] Art. 24 EIDAS-verordening.

[17] Art. 28-32 EIDAS-verordening.

[18] Het leveren van gekwalificeerde certificaten voor elektronische handtekeningen (art. 28), gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen (art. 29-31), de validering van gekwalificeerde elektronische handtekeningen (art. 32-33) en de bewaring van gekwalificeerde elektronische handtekeningen (art. 34).

[19] Art. 6.1 EIDAS-verordening.

[20] Art. 25.3 EIDAS-verordening.

[21] https://eidas.ec.europa.eu/efda/tl-browser/#/screen/tl/BE

[22] Art. 3.25 EIDAS-verordening.

[23] Art. 3.26 EIDAS-verordening.

[24] Art. 36 EIDAS-verordening.

[25] Art. 3.27 EIDAS-verordening.

[26] Art. 3.33 EIDAS-verordening.

[27] Art. 3.34 EIDAS-verordening.

[28] Art. 3.36 EIDAS-verordening.

[29] Art. 3.37 EIDAS-verordening.

[30] Art. 3.38 EIDAS-verordening.

[31] Art. 3.39 EIDAS-verordening.

[32] Afdeling 8 “Authenticatie van websites” bevat geen bepaling betreffende de rechtsgevolgen, maar artikel 46 (het eerste artikel na Afdeling 8) geeft wel de rechtsgevolgen van elektronische documenten weer.

[33] https://data.consilium.europa.eu/doc/document/ST-14959-2022-INIT/nl/pdf, p. 1-2.

[34] Toekomstig art. 3.42 EIDAS II-verordening

[35] https://data.consilium.europa.eu/doc/document/ST-14959-2022-INIT/nl/pdf, p. 4

[36] Toekomstige overweging 11a EIDAS II-verordening.

[37] Toekomstig art. 6 bis, lid 6 bis EIDAS II-verordening; https://data.consilium.europa.eu/doc/document/ST-14959-2022-INIT/nl/pdf, p. 6

[38] Toekomstig art. 12 ter EIDAS II-verordening.

[39] Luidens art. 2.2 Digital Markets Act betreft dit de volgende lijst van diensten: onlinetussenhandelsdienst; onlinezoekmachine; onlinesocialenetwerkdienst; videoplatformdienst; nummeronafhankelijke interpersoonlijke communicatiedienst; besturingssysteem; webbrowser; virtuele assistent; cloudcomputingdienst; onlineadvertentiedienst, waaronder advertentienetwerken, advertentie-uitwisselingsdiensten en andere advertentietussenhandelsdiensten, aangeboden door een onderneming die een van de in de punten a) tot en met i) genoemde kernplatformdiensten aanbiedt.

[40] Art. 2.1 en 3 Digital Markets Act.

[41] https://ec.europa.eu/commission/presscorner/detail/en/ip_23_4328

[42] Overeenkomstig art. 3.4 en 3.8 Digital Markets Act.

[43] Toekomstige overweging 36f EIDAS II-verordening.

[44] https://data.consilium.europa.eu/doc/document/ST-14959-2022-INIT/nl/pdf, p. 6.

[45] Toekomstige overweging 21 EIDAS II-verordening.

[46] Toekomstige overweging 17a EIDAS II-verordening.

[47] Toekomstig art. 45 bis e.v. EIDAS II-verordening.

[48] Toekomstig art. 45 octies e.v. EIDAS II-verordening.

[49] Toekomstig art. 45 nonies e.v. EIDAS II-verordening.

[50] Toekomstige (nieuwe) afdeling 9, 10 en 11 EIDAS II-verordening.

[51] Toekomstig art. 3.43 EIDAS II-verordening.

[52] Toekomstige overwegingen 26 en 27 EIDAS II-verordening.

[53] Toekomstig art. 3.44 EIDAS II-verordening.

[54] Toekomstige bijlage V EIDAS II-verordening.

[55] Toekomstig art. 3.45 EIDAS II-verordening.

[56] Zie toekomstig art. 45 quinquies bis en toekomstige bijlage VII EIDAS II-verordening.

[57] Het betreft 10 attributen, met name: 1. adres; 2. leeftijd; 3. geslacht; 4. burgerlijke staat; 5. gezinssamenstelling; 6. nationaliteit of staatsburgerschap; 7. onderwijskwalificaties, -titels en -diploma’s; 8. beroepskwalificaties, -titels en -licenties; 9. openbare vergunningen en licenties; 10. financiële en bedrijfsgegevens.

[58] Toekomstig art. 2.46 EIDAS II-verordening.

[59] Toekomstig art. 45 bis EIDAS II-verordening.

[60] Toekomstig art. 45 bis en 45 quinquies bis en bijlage VII EIDAS II-verordening, toekomstige overweging 30 EIDAS II-verordening; https://data.consilium.europa.eu/doc/document/ST-14959-2022-INIT/nl/pdf, p. 7

[61] Toekomstig art. 3.48 EIDAS II-verordening.

[62] Toekomstig art. 45 octies EIDAS II-verordening.

[63] Toekomstig art. 3.53 EIDAS II-verordening.

[64] Toekomstig art. 45 nonies EIDAS II-verordening.

[65] Toekomstig art. 18.4 EIDAS II-verordening.

[66] Toekomstig artikel 21.1 en 21.2 EIDAS II-verordening.

[67] Toekomstig art. 19bis.1 EIDAS II-verordening.

[68] Toekomstig art. 20.1 en 20.3bis en quater EIDAS II-verordening.

[69] Richtlijn (EU) 2022/2555.

[70] Toekomstig art. 20.2 en 20.3ter EIDAS II-verordening.

[71] Verordening (EU) 2016/679.

[72] Wanneer zij hun lijst van gecertificeerde gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen toelichten aan de Commissie. Toekomstig art. 31.3 EIDAS II-verordening.

[73] Toekomstig art. 18.5 EIDAS II-verordening.

[74] Toekomstig artikel 21.4 EIDAS II-verordening.

[75] Toekomstig art. 19bis.2 EIDAS II-verordening.

[76] Toekomstig art. 20.4 en 24.1bis EIDAS II-verordening.

[77] Toekomstig art. 26.2 EIDAS II-verordening.

[78] Toekomstig art. 28.6 EIDAS II-verordening.

[79] Toekomstig art. 32.3 EIDAS II-verordening.

[80] Toekomstig art. 32bis.3 EIDAS II-verordening.

[81] Toekomstig art. 40bis EIDAS II-verordening met een verwijzing naar toekomstig art. 32bis EIDAS II-verordening.

[82] Toekomstig art. 33.2 EIDAS II-verordening.

[83] Toekomstig art. 34.3 EIDAS II-verordening.

[84] Toekomstig art. 36.2 EIDAS II-verordening.

[85] Toekomstig art. 38.6 EIDAS II-verordening.

[86] Toekomstig art. 42.2 EIDAS II-verordening.

[87] Toekomstig art. 44.2 EIDAS II-verordening.

[88] Toekomstig art. 45.1 en 45.4 EIDAS II-verordening. Er bestaat geen (huidig of toekomstig) art. 45.3 EIDAS II-verordening, dus dit zal mogelijk nog aangepast worden.

[89] Toekomstig art. 29.1bis EIDAS II-verordening.

[90] “een gekwalificeerde dienst voor het beheer van gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen op afstand”

[91] Toekomstig art. 29bis EIDAS II-verordening.

[92] Toekomstig art. 39bis EIDAS II-verordening met een verwijzing naar toekomstig art. 29bis EIDAS II-verordening.

[93] Niet langer dan vijf jaar geldig.

[94] Tweejaarlijks (lees: om de 2 jaar, de Engelstalige versie schrijft als volgt: “conditional upon a regular 2 year vulnerabilities assessment”). Bron: https://data.consilium.europa.eu/doc/document/ST-14959-2022-INIT/en/pdf, p. 76 .

[95] De Engelstalige versie schrijft als volgt: “[w]here vulnerabilities are identified and not remedied”. Cambridge dictionary definieert ‘to remedy’ als “to do something to correct or improve something that is wrong”. Niet elke kwetsbaarheid kan zomaar verholpen worden, volgens de gegeven definitie lijkt de bewoording in de Engelse versie, ‘to remedy’, echter wel de mogelijkheid open te laten om het probleem minstens proberen ‘aan te pakken’. Bron: https://data.consilium.europa.eu/doc/document/ST-14959-2022-INIT/en/pdf, p. 76;

https://dictionary.cambridge.org/dictionary/english/remedy

[96] Toekomstig art. 30.3bis EIDAS II-verordening.

[97] Toekomstig art. 43.2bis EIDAS II-verordening.

[98] Toekomstig art. 44.3 en 44.4 EIDAS II-verordening.

[99] Toekomstig art. 45.2 EIDAS II-verordening.

Cybercriminelen zijn actiever dan ooit, kan je ontslagen worden als ransomware via jouw computer binnenkomt?

Jents — Mon, 19 Jun 2023 15:17:02 +0000

Kan je werkgever je ontslaan als je via jouw laptop ransomware binnenhaalt, daar ging het interview voor HLN deze week over.

Medewerkers zijn de schakels van elk bedrijf en dus ook van je beveiliging. Volg je het beleid dan is er meestal geen probleem, doe je echt zaken met de laptop die niet horen , dan kan dit een ander verhaal worden.

safety first

Dank aan Lisa Meyers voor het mooie artikel!

Artikel HLN – column

Whatsapp-groepen met collega’s: wat mag en wat niet?

Jents — Thu, 01 Jun 2023 07:48:21 +0000

Klik hier voor het HLN-artikel

De digitale klokkenluider – Meer bescherming voor ethische hackers (vanaf 15 februari 2023)

Jents — Fri, 10 Feb 2023 15:58:34 +0000

Ethische hackers, onze digitale dark knights, zorgen ervoor dat kwetsbaarheden bij ondernemingen en instellingen kenbaar worden gemaakt. Ethische hackers zijn goede veiligheidsstrijders maar verkeerden lang in een jurdisch vacuüm.

In 2020 heeft het Centrum voor Cybersecurity België (CCB) een gids gepubliceerd die publieke en private entiteiten aanmoedigt om een beleid voor de gecoordineerde bekendmaking van kwetsbaarheden in te voeren ( Coordinated vulnerability disclosure policy – CVDP). Dit beleid is een geheel van regels vanuit een organisatie die toestaat dat deelnemers met goede bedoelingen mogelijke kwetsbaarheden gaan opsporen of hier relevante informatie over bezorgen.

Wanneer ethische hackers het bestaan van een kwetsbaarheid vermoeden of er één ontdekken, genieten ze, afgezien van het bestaan van dergelijk beleid, geen wettelijke bescherming om hun veronderstellingen te controleren. Hier lopen zij wel degelijk een risico op vervolging. Bij het omzetten van de klokkenluiderrichtlijn heeft men de kans gegrepen om meer bescherming in te bouwen voor ethische hackers. Deze wet van 28 november 2022 treedt in werking vanaf 15 februari 2023.

In deze wet brengt afdeling 8 wijzigingen aan de wet van 7 april 2019 tot vaststelling van een kader voor de beveiliging van netwerk- en informatiesystemen van algemeen belang voor de openbare veiligheid ( De NIS-wet). Dat is de omzettingswet van de eerste NIS-richtlijn waarin de taken van het CCB (het nationale CSIRT) worden weergegeven.

Melders aan het CCB plegen geen misdrijf voor feiten die noodzakelijk zijn voor de melding indien:

1° Zij zonder bedriegelijk opzet of het oogmerk om te schaden hebben gehandeld:

Ethische hackers mogen de verantwoordelijke organisatie (bij gebrek aan een vooraf bepaald beloningsprogramma) of derden bijvoorbeeld niet trachten te laten betalen voor de ontdekte informatie. Zij mogen hun kwetsbaarheid niet in hun voordeel gebruiken.

2° Zij de organisatie die verantwoordelijk is voor het systeem, het proces of de controle zo snel mogelijk en uiterlijk op het ogenblik van de melding aan het CCB hebben ingelicht over de ontdekking van een mogelijke kwetsbaarheid.

Verschillende ontdekkingen kunnen in één melding gebeuren. Natuurlijke persoon of rechtspersoon die de melding doet moet hebben deelgenomen aan het onderzoek of een deel ervan. Hier betreft het nagaan van de aansprakelijkheid van de gebruikte onderzoeksmethoden.

3° Zij niet verder zijn gegaan dan nodig en evenredig was om het bestaan van een kwetsbaarheid na te gaan;

Wat is nodig en wat is evenredig? Meer richtlijnen van de CCB hieromtrent zijn zeker welkom. In de parlementaire voorbereiding van de wet wordt gesteld dat het CCB een indicatieve lijst van technieken zal publiceren.

4° Zij de informatie over de ontdekte kwetsbaarheid niet openbaar hebben gemaakt zonder de toestemming van het CCB

Personen die informatie melden over een mogelijke kwetsbaarheid waarvan zij in het kader van hun beroep kennis hebben gekregen, worden niet geacht hun beroepsgeheim te hebben geschonden en kunnen opgenerlei wijze aansprakelijk worden gesteld door de overdracht van informatie die noodzakelijk was om een mogelijke kwetsbaarheid aan het CCB te melden.

Opgelet! Voor elke andere mogelijke aansprakelijkheid van melders die voortvloeit uit handelingen of nalatigheden die niet noodzakelijk zijn voor de uitvoering van de procedure en die niet voldoen aan de voorwaarden blijft het toepasselijke recht gelden.

Wens je meer informatie, laat dan zeker niet na om contact op te nemen.

Zeilen tussen de boeien van databescherming bij het hanteren van blockchaintechnologie

Jents — Wed, 25 Jan 2023 14:50:37 +0000

In dit artikel wordt de Blockchaintechnologie algemeen uitgelegd voor personen zonder een technische achtergrond. Daarna verdiepen we ons in de verhouding tussen de Blockchaintechnologie en enkele aspecten van de Algemene Verordening Gegevensbescherming;

Identiteit in een decentrale omgeving, wie is de verwerkingsverantwoordelijke binnen een blockchainproject? Hoe kunnen de rechten van betrokkenen in een blockchain afdoende worden gewaarborgd en tot slot de impact van de bescherming persoonsgegevens op de voorgestelde Verordening markten in Crypto-assets (MiCA).

Jents Debruyne is advocate en data protection officer voor verschillende ondernemingen. Haar kantoor, opgericht sinds 2017 staat cliënten bij in de zoektocht naar juridische omkadering van databescherming en innovatieve projecten. Geregeld schrijft zij blogposts over ontwikkelingen in het IT- en privacyrecht op haar website www.advocaatdebruyne.be.

Wat is blockchain?

1.1. Verwerking van persoonsgegevens algemeen

Een onderneming verwerkt enorm veel persoonsgegevens; over haar klanten, welke aankopen zij deden, op welk moment dit gebeurt, hoe vaak zij terugkeerden. Als een onderneming haar data op een efficiënte manier wil gaan inzetten dan is het nodig dat de persoonsgegevens op een behoorlijke manier worden verwerkt en de beschikbare gegevens op een goede manier zijn gestructureerd.

Met een pragmatische oplijsting via excel komt een startende KMO vaak al heel ver. Naarmate een onderneming groeit is er al snel de noodzaak om over te schakelen naar een database die een grotere hoeveelheid data makkelijker kan hanteren. Een database is een georganiseerde verzameling gestructureerde informatie of data, die doorgaans elektronisch wordt opgeslagen in een computersysteem. De data kunnen vervolgens eenvoudig worden gebruikt, beheerd, gewijzigd, bijgewerkt, bewaakt en georganiseerd. De meeste databases gebruiken Structured Query Language (SQL) voor het schrijven en opvragen van data.[1] Databases worden op grote schaal gebruikt door ondernemingen, websites,…

1.2. Wat zijn ledgers?

Wanneer we data zo gaan vormgeven dat ze een geschiedenis aan data bevatten dan spreken we over een grootboek of ledger. De geschiedenis van voorbije transacties over een afgebakende periode worden hierin geregistreerd.

Een fictief voorbeeld bestaat er in dat de historische transacties worden opgelijst van een winkel voor een bepaalde periode:

– transactie 1 ‘Alice verkoopt een appel aan bob voor 1 euro’

– transactie 2 ‘ Alice koopt een appel van rick voor 0,5 euro’
– …

1.3. Wat zijn distributed ledgers

We spreken over Distributed ledgers wanneer deze ledgers worden gedeeld met verschillende partijen.

De meeste ondernemingen gebruiken vandaag een centrale database die op één locatie wordt beheerd. Een distributed ledger kan gebruikt worden om consensus te bereiken van de ene partij naar de andere zonder centrale tussenpersoon. Ledgers kunnen bepaalde gegevens verwerken, valideren of authentificeren zonder gebruik te maken van een tussenpersoon.

Stel dat één document moet worden getekend door meerdere partijen kan dit gedeeld worden met verschillende partijen die elk hun handtekening elektronisch plaatsen. Na ondertekening heeft elke partij een officiële versie van dit document opgenomen in de ledger. De technologie zorgt er dus voor dat je verifieerbare geschiedenis kan zien van de gegevens opgenomen in de ledger. De bewijswaarde van deze documenten in de blockchaintechnologie hangt af van de hoedanigheid van de partijen (particulier – ondernemer), de juridische kwalificatie van de opgenomen bestanden tussen de partijen (hoe kan een bepaalde rechtshandeling worden bewezen?: bijvoorbeeld bij aankoop van een onroerend goed dient er sprake te zijn van een authentieke akte, bij een gewone aankoop van een roerend goed kan een onderhandse akte volstaan, toepasselijke bewijswaarde) en passend certificaat van uw handtekening.

1.4. De blockchain: Een type distributed ledger

De blockchain is een opslag van ledgers in blokken op geëncrypteerde wijze waarbij steeds nieuwe blokken worden toegevoegd aan de bestaande keten van reeds geregistreerde datablokken. Deze blokken vormen een ketting; een ‘blockchain’ genaamd. Deze ledgers worden geregistreerd en kunnen niet meer worden gewijzigd. Een aanrader is de demo van Anders Brownworth, die legt op een bevattelijke en visuele manier de blockchain uit. (https://andersbrownworth.com/blockchain/ )[2]

Via nodes wordt de blockchain geverifieerd (validating node) en bijgehouden (participating node). Een node (software) zorgt ervoor dat de blockchain op een correcte manier blijft opereren volgens een protocol. Bitcoinhouders hebben er bijvoorbeeld belang bij dat er veel nodes zijn in het netwerk om het netwerk decentraal te houden (een decentrale digitale munt is hun doelstelling). Er is in het bitcoin netwerk geen monetaire vergoeding voor het opzetten van een node. Heb je bijvoorbeeld veel bitcoin, dan kan je er als houder belang bij hebben dat het netwerk robuust en integer blijft. Een Bitcoinnode zal opereren via bitcoin-protocol-software en een kopie van de gehele chain opslaan in de node. Elke node kan in principe zijn eigen regels bepalen voor de geldigheid van een transactie, maar alleen als de rest van het netwerk dezelfde regels hanteert zal een transactie ook door de rest van het netwerk als geldig gezien worden.

Leuk weetje: in 2019 werd door de onderneming Space Chain in samenwerking met nanoracks en spaceX de installatie van de eerste hardware module voor blockchain multisignature authentificatie-diensten op de ISS aangemaakt waar een full node op draait en werd deze ingezet voor het ondertekenen van een transactie. De eerste node vanuit de ruimte is dus al aangemaakt. Hun doel is het aanmaken van een globaal open source operating system met gebruik van satellieten als nodes voor decentrale blockchaintechnologie. Zo zullen gebruikers applicaties kunnen hosten vanuit de ruimte op een veilige, onveranderlijke en decentrale manier. [3]

1.5. Soorten blockchain

1.5.1. Met toestemming of zonder toestemming

In een blockchain zonder toestemming (permissionless) kan iedere gebruiker als validating node handelen en participeren aan de infrastructuur van die blockchain, zonder dat daarvoor toestemming moet gegeven worden.

Bij een blockchain met toestemming zijn enkel een aantal toegelaten gebruikers in overeenstemming met een consensus mechanism toegelaten om validating nodes te kunnen hanteren. Enkel die nodes zullen dan transacties goedkeuren en nieuwe blocks aan die blockchain toevoegen.

1.5.2. Publiek, privaat of hybride

Publieke blockchains zijn toegankelijk voor iedereen, waar private blockchains enkel toegankelijk zijn voor een bepaalde groep participating nodes.

In het kader van harmonisatie van de IT-standaarden tracht men standaarden af te stemmen aan wat de blockchaintechnologie en uberhaupt elke technologie minimaal moet voldoen. Overeenstemming met de principes van de algemene verordening gegevensbescherming wordt steeds vooropgesteld.

Tot slot is er ook sprake van hybride blockchaintechnologie waarin een mix wordt gemaakt tussen private en publieke blockchains.

Blockchain kent verschillende toepassingen waaronder het uitbrengen van verschillende crypto-activa, tokenization van bepaalde sectoren, decentraal beheer van data voor bepaalde sectoren (bijvoorbeeld het blockchainnetwerk voor de Europese universiteiten waar elke student een token krijgt met zijn of haar dossier en dat dit kan gebruikt worden bij partneruniversiteiten).

Verhouding tussen distributed ledgers en de Algemene Verordening Gegevensbescherming de zoektocht naar technische oplossingen voor proportionele afwegingen en uitoefening van de rechten van betrokkenen

2.1. Een betrokkene identificeren: authenticatie via blockchain?

Identiteit is steeds een moeilijk probleem in een digitale omgeving. Hoe kan een betrokkene aangeven dat hij zeker deze persoon is, zonder daarbij te veel informatie vrij te geven. Enerzijds is het niet aangewezen voor een betrokkene om bijvoorbeeld een identiteitskaart te delen met een softwareleverancier of onderneming, anderzijds moet een partij van een transactie wel degelijk weten dat zij met de juiste persoon communiceren en taken/diensten of opdrachten uitvoeren voor de juiste persoon. Phishing en spoofing worden in de huidige geconnecteerde wereld een steeds groter probleem.

Vandaag wordt dit probleem aangepakt met afdoende authenticatie en digitale ondertekening. Met je pincode kan je een digitale handtekening plaatsen en je officiële identiteit verbinden aan een overeenkomst met een andere partij. In deze situatie is er echter steeds het risico dat de data bij het centraal beheer niet veilig wordt bewaard of dat er securityproblemen optreden. Authenticatie in een decentrale omgeving zou ervoor moeten zorgen dat betrokkenen rechtstreeks handelen met de andere partij zonder daarbij te veel persoonsgegevens uit te wisselen. In die mate kan het aan de betrokkene de opportuniteit geven om enkel persoonsgegevens te delen die noodzakelijk zijn via een geëncrypteerd afgeschermd systeem, bijvoorbeeld via een walletsysteem.

De realiteit is natuurlijk dat momenteel de bestaande publieke platformen waarbij gebruik wordt gemaakt van blockchain echter alles behalve privacyvriendelijk zijn. Zo kan je bij ethereum en bitcoin elke transactie openbaar volgen eenmaal je ergens één indicatie hebt van de public key die wordt verbonden aan een persoon. Natuurlijk heb je de mogelijkheden om meerdere wallets aan te maken, maar te veel hindernissen voor betrokken personen verhinderen natuurlijk het steeds opnieuw aanmaken van een nieuwe wallet, noch kan het niet steeds de bedoeling zijn om elke transactie van een persoon openbaar te volgen. Het gebruik van een publieke blockchain is in principe moeilijk in overeenstemming te brengen met de principes van de GDPR.

Het is tevens niet ondenkbaar dat betrokkenen voor het aanleveren van data steeds meer beloond zullen worden in het licht van het prijsgeven van hun data. Voor het commercieel gebruik van persoonsgegevens is in principe binnen europa nog steeds toestemming van de betrokken nodig en moet men zich houden aan dataminimalisatie. In dat opzicht zouden ook betrokkenen veel meer belang hebben om hun data niet zomaar vrij te geven zonder na te denken, wat tot gevolg heeft dat zij beter zullen beschermd zijn op het internet.

Hierin liggen opportuniteiten voor ondernemingen en overheden om dit beter hanteerbaar te maken voor de burger met afdoende waarborgen voor hun vrijheden wanneer zij digitale activa zouden willen aankopen.

De kracht van nieuwe ontwikkelingen in web 3.0 blijkt te zijn dat ook mensen die bijdragen aan de community worden beloond en niet enkel de centrale entiteit. De meerwaarde van sociale platformen wordt nu centraal vooral geoogst door techgiganten. In dit opzicht versterkt de nood aan meer databescherming voor betrokkenen de meerwaardecreatie door het individu.

Vooral in het licht van Internet of Things (‘IOT’) kan blockchain ervoor zorgen dat vrijheden en privacy van gebruikers gewaarborgd wordt en niet te veel data worden uitgewisseld. Zo kan een combinatie gemaakt worden van een interface in combinatie met blockchain om een anoniemere werking van de apparaten mogelijk te maken en zo vertrouwen te winnen van de gebruikers.[4]

Het uitwerken van deze ontwikkelingen in de technologie zullen een samenspel zijn van verschillende technologieën waarbij databescherming prioritair op de agenda moet staan van elke ontwikkelaar, niet enkel uit privacyoverweging, maar ook met het oog op duurzaamheid van de ontwikkelde apparaten en software.

Het wilde westen van cryptomunten die blockchain introduceerden zullen langzamerhand verdwijnen en worden geïncorporeerd in bedrijfs- en overheidscultuur waarbij de blockchain kan worden aangewend voor goede of slechte oplossingen. Er valt echter op te merken dat voorlopig in vele gevallen een database een afdoende en pragmatische oplossing zal blijven die meer compliant is dan blockchaintechnologie in afweging met de complexiteit en schaalbaarheid van het doel van de beoogde innovatie.

2.2. Wie is verwerkingsverantwoordelijke bij blockchain?

De verwerkingsverantwoordelijke bepaalt het doel en de middelen voor de verwerking van persoonsgegevens.

Bij private permissioned blockchains stelt zich het probleem niet gezien het centraal beheer van de toegelaten deelnemers aan de blockchain het doel en de middelen van de verwerking bepalen. Deze wordt dan aangeduid als verwerkingsverantwoordelijke.

De CNIL merkt op dat de deelnemers, die het recht hebben om op de keten te schrijven en die beslissen om gegevens ter validatie door de miners te verzenden, als verantwoordelijken voor de verwerking kunnen worden beschouwd.[5] De deelnemers aan de blockchain bepalen immers de doeleinden (met de verwerking nagestreefde doelstellingen) en de middelen (gegevensformaat, gebruik van de blockchaintechnologie, enz.) van de verwerking.

Meer bepaald is de CNIL van mening dat de deelnemer een voor de verwerking verantwoordelijke is;

– wanneer deze deelnemer een natuurlijke persoon is en de verwerking van persoonsgegevens verband houdt met een professionele of commerciële activiteit (d.w.z. wanneer de activiteit niet strikt persoonlijk is);

– wanneer deze deelnemer een rechtspersoon is en persoonsgegevens in een blockchain registreert.

Als een bank de persoonsgegevens van een klant op een blockchain plaatst is deze uiteraard verwerkingsverantwoordelijke.

Bij public permissionless blockchains is het moeilijker om een verwerkingsverantwoordelijke aan te duiden.

Er zijn verschillende visies, sommige stellen dat de betrokkene zelf verwerkingsverantwoordelijke zijn gezien de nodes enkel de niet-essentiële elementen van de middelen van de verwerking bepalen en de gebruiker van de blockchain directe link heeft met de blockchainverwerking. De CNIL overweegt hier het professionele en commerciële doeleinde-criterium waarbij de doeleinden de kwalificatie als verwerkingsverantwoordelijke bepaalt of niet. [6]

Een andere visie is het geheel aan nodes als een gezamenlijke verwerkingsverantwoordelijke beschouwen. Anderen opteren resoluut voor de optie om de persoonsgegevens off-chain te bewaren, diegene die dan in bewaring voorziet is dan de verwerkingsverantwoordelijke voor de verwerking van de persoonsgegevens.

2.3. Rechten van betrokkene?

Het onveranderlijk karakter van de blockchain staat vaak in fel contrast met de rechten die betrokkenen hebben in de lijn van de AVG. Zo hebben betrokkenen het recht om gegevens te wijzigen, te wissen, informatie te verkrijgen of hun data over te dragen.

Dit kan in vele gevallen technisch worden opgelost door het hanteren van offchain opslag van de persoonsgegevens met een koppeling die wordt gehasht. In de context van een vraag tot wissing van de persoonsgegevens (artikel 17 AVG) kan het verwijderen van de off-chain opgeslagen gegevens ertoe leiden dat het recht op een juiste manier door de verantwoordelijke wordt uitgeoefend.

In het kader van het recht op wissing van de gegevens wordt de vraag gesteld of het verwijderen van de key in principe afdoende is om de gegevens te wissen.

Rekening houdend met de huidige stand van technologie kan dit mijn inziens als een proportionele tegemoetkoming naar de betrokkene toe worden beschouwd. Een kanttekening moet echter gemaakt worden van zodra quantumtechnologie zou verbeteren. In principe zou dat het ontcijferen van de cryptografische sleutels mogelijk maken waardoor de informatie opnieuw kan worden achterhaald.

MICA en AVG

De definitieve tekst van de Markten in Crypto-activa (MiCA) werd gepubliceerd op 4 oktober 2022. Daarbij werd op het vlak van gegevensbescherming het volgende advies gegeven door de EDPS:

Bij het uitgeven van crypto-assets moet men dit doen op een GDPR-conforme wijze en is men accountable als verwerkingsverantwoordelijke. De EDPS beschouwd dat uitgevers van crypto-assets verwerkingsverantwoordelijken zijn onder de AVG rekening houdend dat het project natuurlijk persoonsgegevens verwerkt. om juridische zekerheid te verhogen adviseerde het EDPS om uitdrukkelijk de uitgevers van crypto aan te duiden als verantwoordelijken in Mica.

In de definitieve tekst wordt gegevensbescherming benadrukt in artikel 88.

Uitgevers van crypto-assets moeten systemen en procedures opstellen die adequaat genoeg zijn om de veiligheid, integriteit en confidentialiteit van de informatie in overeenstemming te brengen met de principes van de AVG. Deze systemen moeten de relevante data en informatie opnemen en bewaren gedurende de activiteiten van deze uitgevers. Deze standaarden moeten ook gehaald worden door derde partijen bij uitbesteding. In dat geval moet ook steeds aan de voorwaarden van deze verordening worden voldaan door het gebruik van AVG-conforme policies, het sluiten van overeenkomsten met afdoende bescherming en uitdrukkelijke bepalingen over de beëindiging wanneer niet wordt voldaan aan de overeengekomen verplichtingen. [7]

Conclusie

De principes van databescherming zorgen ervoor dat rechten en vrijheden van personen worden beschermd. De AVG geeft op dit moment nog vaak technische problemen in verhouding tot innovatieve technologieën zoals de blockchain, echter kunnen vaak oplossingen worden gevonden en heeft iedereen belang bij een langetermijnvisie op het vlak van gegevensbescherming.

Ook wanneer een systeem op decentrale wijze wordt georganiseerd verdient een betrokkene afdoende bescherming in het handelen met een andere partij. Het doel waarvoor de technologie wordt aangewend en de afweging van belangen spelen steeds een belangrijke rol ten aanzien van de gebruikers die op hun beurt steeds bewuster zullen zijn van het privacy-element bij platformen.

Het is op heden nog aangewezen om een permissioned blockchain te gebruiken wanneer het de bedoeling is om persoonsgegevens te verwerken. Dat zorgt voor duidelijke rollen waarbij de centrale entiteit verwerkingsverantwoordelijke is en als aanspreekpunt voor de betrokkene kan dienen voor de uitoefening van zijn of haar rechten.

Vooraf nadenken over toepasbare policies, protocollen en off chain- opslag van persoonsgegevens zodat aan de compliance-vereisten van de AVG kan worden voldaan wanneer binnen het toepassingsgebied van de AVG wordt geopereerd is een must. Ook in het kader van de verordening markten in crypto-activa zal men de bescherming van persoonsgegevens dienen te garanderen wil men operationeel blijven op de Europese markt.

[1] Definitie Databases Oracle 2022, IBM

[2] Hierbij valt op te merken dat een public key als een persoonsgegeven kan worden beschouwd wanneer hierdoor een betrokkene identificeerbaar wordt

[3] https://youtu.be/PMwdHT-Lb7I

[4] MarkoŠarac, NikolaPavlovićaNebojsaBacaninaFadiAl-TurjmanbSašaAdamović, Increasing privacy and security by integrating a Blockchain Secure Interface into an IoT Device Security Gateway Architecture, https://www.sciencedirect.com/science/article/pii/S2352484721005448

[5] Solutions for a responsible use of the blockchain in the context of personal data, CNIL, september 2018, https://www.cnil.fr/sites/default/files/atoms/files/blockchain_en.pdf

[6] M. BERBERICH en M. STEINER, “Blockchain technology and the GDPR – how to reconcile privacy and distributed ledgers”, European Union Data Protection Law Review 2016, (422) 424; M. FINCK, “Blockchains and data protection in the european union”, European Data Protection Law Review 2017, (17) 26-27;

[7]https://data.consilium.europa.eu/doc/document/ST-13198-2022-INIT/en/pdf

Databescherming op het juiste spoor? Wanneer wegen kruisen

Jents — Wed, 28 Sep 2022 08:12:11 +0000

Gisteren woonde ik een privacyconferentie bij in Amsterdam.

Zo’n conferenties zijn altijd wat een gok, je kent er niemand, …wat zal het zijn. Zal ik wel bijleren, zal ik er uberhaupt iets aan hebben? Na een huzarenstuk met het openbaar vervoer om er te geraken en een interessante keynote in de voormiddag (niets wereldschokkends) was het tijd voor de lunchpauze.

Een ellenlange rij voor de broodjes (zucht).

Mensen die me goed kennen weten dat ik een hekel heb aan rijen, dus sloeg ik het broodje over en zocht een plaatsje aan een tafel met een glas ‘jus d’orange’. Een tafeltje waar ik voornamelijk gerust wou gelaten worden. Ik koos het tafeltje met 1 persoon, keek op en ik stond bij Max Schrems zelf, net voor zijn keynote over de saga van datatransfers tussen VS en EU, met een pleidooi voor meer databescherming en aandacht voor basis juridische redeneringen ( Historiek van deze saga)

Hieronder enkele take-aways die ik meeneem uit onze gesprekken en gesprekken met andere privacyprofessionals.

Take 1: Zonder dwarsliggers kan een trein niet rijden.

Het recht zo hanteren dat je mensen concreet gaat beschermen, dat is nog steeds de taak van advocaten. Zeker wanneer beleidsmakers onder hevige lobby-druk staan.

Ik heb veel bewondering voor het doorzettingsvermogen van NOYB, de organisatie hanteert geen juridische wondermiddelen in deze cases. Dat deze middelen zo makkelijk juridische grond vinden is eerder te wijten aan een gebrekkige juridische onderbouw van beleidsmakers waardoor deze verdragen makkelijk, zelf iets TE makkelijk aan te vallen zijn.

Het dwingt de uitvoerende en wetgevende macht (tot hun ergernis uiteraard) om meer na te denken over data-oplossingen voor de Europese Unie. Het is voor niemand een slechte zaak dat data in een data-economie goed wordt beschermd en dat hier blijvend aandacht aan wordt gegeven.

Take 2: Een duurzame goede oplossing vergt tijd en medewerking van verschillende actoren en moet makkelijk hanteerbaar zijn.

Als personen en ondernemingen voor een keuze staan worden verschillende aspecten afgewogen. Bijvoorbeeld had ik persoonlijk de keuze gisteren: ga ik met de auto of met de trein?

Het was al lang geleden dat ik de trein had genomen ( tijd heelt alle wonden), dus gaf ik het openbaar vervoer nog eens een kans.

Resultaat : Vertraging op de trein ‘Kortrijk – Antwerpen’, aansluiting gemist , volgende Thalys genomen en ondertussen Starbucks gesponsord. Eenmaal in Nederland reed de trein niet door een defect aan één of andere kabel. Gestrand… Uiteindelijk een Tesla – taxi genomen naar het congres. Auto vs trein 1-0. Wel een mooie regenboog gespot ter hoogte van Rotterdam en de duur van de treinrit nuttig kunnen gebruiken door middel van een mobiele laptop. Maar zou ik er bewust nog eens voor kiezen,. .. nee.

Zo is het ook met dataverkeer. Heb je te veel hindernissen op je weg, te veel formulieren in te vullen, kan je niet verder ondernemen, dan kiezen mensen voor de makkelijkste oplossing. Ingebouwde security en privacy-oplossingen zijn essentieel, maar dat vergt systematische opvolging en meer budgetten voor autoriteiten.

Om de vergelijking te maken: we willen liever ook niet dat er toxische middelen gebruikt worden in onze voeding. Met deze regel is dat in principe hetzelfde.

Take 3: Is er licht aan het einde van de tunnel?

Tussen de USA & EU werd op 7 oktober een Executive Order getekend waarin men tracht tegemoet te komen aan de vereisten van het Europees hof van Justitie. Het ziet er naar uit dat dit niet zal volstaan : een analyse van NOYB kan je vinden op deze link: EO unlikely to satisfy

De SCC’s blijven in voege en worden gebruikt. Technische oplossingen voor bijkomende waarborgen zijn niet altijd makkelijk voorhanden, we staan nog steeds aan het begin van deze juridisch-technische materie waar we het einde nog niet van hebben gezien.

Geniet intussen dus van de reis,

Groetjes,

Jents

Mag ik AI-generated-afbeeldingen verkopen? – AI & IP – DALL.E 2 (open AI ) en Midjourney

Jents — Wed, 10 Aug 2022 19:52:43 +0000

Afbeeldingen gegenereerd op Midjourney

De voorbije weken ging ik op verkenning in ‘DALL.E 2′ en ‘Midjourney’

Spacetroopers, magische wezens, dieren, avatars, imaginaire landschappen, … If you can think it, you can generate it.
Het succes van deze afbeeldingen is zo groot dat Open AI (DALL.E 2)het commercialiseren van de tool gaat versnellen. Ik verwacht me alvast aan de opkomst van een ‘AI-creative generation graphic artists’ of ‘promptwizards’.

Als jullie legal fairy godmother( zie de AI-voorstelling daarvan hieronder) verken ik de juridische vragen die rijzen met de komst van deze afbeeldingen.

Momenteel bevinden we ons nog in een vroege fase met veel experimentele vrijheid.
De aanpak van de verschillende AI-ondernemingen is dan ook erg gevarieerd.

Vraag 1: Van wie is de afbeelding en mag ik ze als ondernemer gebruiken?

Kunnen auteursrechten gelden op deze AI-afbeeldingen, bestaat er een soort van co-eigenaarschap met de AI-firma? Wordt dit contractueel voldoende afgepunt? Wie is er eigenaar van de afbeelding? Is de data waarop de AI is getraind publiek domein of zijn er mogelijke IP problemen?

Op de website en discord van OpenAI en Midjourney staat heel wat informatie, laten we beginnen met terms en conditions die zij voorstellen als commercieel werkbaar:

Wat staat er in de voorwaarden?

– Voorwaarden van DALL.E 2 van Open AI (klik hier)

De voorwaarden zijn de laatste maanden verschillende keren aangepast, dit artikel betreft de versie die ik vond op 10 augustus 2022.

Ownership of Generations. To the extent allowed by law and as between you and OpenAI, you own your Prompts and Uploads, and you agree that OpenAI owns all Generations (including Generations with Uploads but not the Uploads themselves), and you hereby make any necessary assignments for this. OpenAI grants you the exclusive rights to reproduce and display such Generations and will not resell Generations that you have created, or assert any copyright in such Generations against you or your end users, all provided that you comply with these terms and our Content Policy. If you violate our terms or Content Policy, you will lose rights to use Generations, but we will provide you written notice and a reasonable opportunity to fix your violation, unless it was clearly illegal or abusive. You understand and acknowledge that similar or identical Generations may be created by other people using their own Prompts, and your rights are only to the specific Generation that you have created.

Open AI is vrij duidelijk en gaat voor een ‘terms-based, as is‘ approach tot er meer duidelijkheid is. Het vraagstuk over de intellectuele rechten wordt vakkundig omzeild door het voorleggen van een contractuele basis waarbij OpenAI de eigenaar blijft van de gegenereerde afbeeldingen.

Als gebruiker ben je enkel eigenaar van de prompts; dat zijn woorden die je invult om de afbeelding te genereren (of die beschermd kunnen worden is een discussie op zich). Daarnaast ben je eigenaar van de afbeeldingen die je zelf gaat uploaden (of je zorgt ervoor dat je voor deze afbeeldingen de nodige rechten hebt).

De ‘Generations’ zijn eigendom van OpenAI en je gaat ermee akkoord eventuele rechten over te dragen aan OpenAI. Spitsvondig is dit wel, want eventuele rechten die op deze afbeeldingen mogelijks zouden zitten, dit kan variëren naargelang de regio, worden in principe overgedragen aan OpenAI. Of dit stand zal houden wanneer het voor de rechtbank komt is natuurlijk de grote vraag, maar dat wijst de toekomst uit.

Vervolgens verleent OpenAI de exclusieve rechten aan de gebruiker om te reproduceren en de gegenereerde afbeeldingen weer te geven. Open AI zal deze afbeelding toegewezen aan jouw account zelf niet verkopen en de gebruiker niet aanvallen wegens copyright inbreuk, ook niet bij de eindgebruiker van de afbeelding. Daarnaast erken je als gebruiker dat anderen een gelijkaardige afbeelding kunnen genereren met hun prompts. In eerste instantie was het commercieel gebruik van de beta-versie niet toegestaan, dit is inmiddels gewijzigd en je bent vrij binnen de lijnen van het contentbeleid de afbeelding te commercialiseren en te gebruiken.

Het contentbeleid kan je vinden op deze link: content beleid

————————————————————————-

– De voorwaarden van Midjourney (klik hier)

Midjourney heeft in de versie van 15 juli 2022 heel wat zaken aangepast. Midjourney is een geweldig team zonder externe aandeelhouders (dit willen ze graag zo houden op basis van de community), ze houden veel events waarbij je op hun discord kan aansluiten om te luisteren naar hun visie en strategie.

Zo was er vandaag een discussie aan de gang over het ‘by default open prompt beleid’; op dit moment kan iedereen zien welke prompts een ander invoert tenzij je gaat betalen voor afscherming van deze prompts. Het bedrijf doet dit om de AI beter te trainen op basis van het gevoel van de gebruikers. Ze focussen nu voornamelijk op groei, verwerkingscapaciteit en een hybride aanpak met AI-chips.

Op juridisch vlak kiest Midjourney ervoor om wel de afbeelding over te dragen aan de klant. De betalende klant wordt eigenaar van de afbeeldingen die gegenereerd zijn maar je geeft een licentie aan Midjourney voor altijd , herhaaldelijk, wereldwijd en overal. Zij verwoorden dit als volgt:

‘Door gebruik te maken van de Diensten verleent u aan Midjourney, haar opvolgers en rechtverkrijgenden een eeuwigdurende, wereldwijde, niet-exclusieve, sublicentieerbare, kosteloze, royaltyvrije, onherroepelijke auteursrechtlicentie voor het reproduceren, voorbereiden van Afgeleide Werken van, openbaar weergeven, openbaar uitvoeren, in sublicentie geven en distribueren van tekst, en prompts die u invoert in de Diensten, of Assets geproduceerd door de dienst op basis van uw instructies. Deze licentie blijft van kracht na beëindiging van deze Overeenkomst door welke partij dan ook, om welke reden dan ook.’

Er zijn twee uitzondering op het hebben van de digitale assets:

– Je bent geen betalend lid, dan is commercieel gebruik uitgesloten en val je onder de:
‘Creative Commons Noncommercial 4.0 Attribution International License (the “Asset License”)’.
– Wanneer je omzet hoger is dan 1000.000 USD dan moet je een corporate-user licentie aankopen voor het commercieel gebruik van de afbeeldingen.

Er wordt meegedeeld dat de voorwaarden niet definitief zijn en voortdurend in evolutie.

Intussen zijn de eerste transacties met AI-generated works alvast van start gegaan en worden deze aangeboden onder meer als NFT’s, op boeken en in prints. Het wordt een pad met nog vele juridische hindernissen, waarover het laatste woord nog niet is gevallen ( wat bij conflicten met derden, IP- problemen, notice and takedown procedures met AI-systemen, dataprotection, ethische problemen, bias …)

Heb je hulp nodig bij het opstellen van je overeenkomsten of wil je dat we je overeenkomsten updaten aan de huidige stavaza. Contacteer me dan gerust via het contactformulier.

Om af te sluiten nog een aap in de ruimte – omdat het kan.

Over de digitale/ elektronische handtekening – recap

Jents — Fri, 29 Jul 2022 10:36:32 +0000

Een handtekening zorgt ervoor dat je een ondertekenaar kan identificeren, dat je het document kan toewijzen aan de ondertekenaar en dat de inhoud van het document zo is op het moment van de ondertekening.

Een elektronische handtekening zorgt ervoor dat dit ook op een digitale wijze kan gebeuren.

In de Belgische wet heb je drie soorten:

De gewone elektronische handtekening

Bijvoorbeeld het plaatsen van je naam onder een e-mail.

De geavanceerde elektronische handtekening

Voorwaarden zijn:

1. op een unieke wijze verbonden met de ondertekenaar
2. mogelijkheid tot identificatie van de ondertekenaar
3. gecreëerd met gegevens die de ondertekenaar onder zijn uitsluitende controle kan gebruiken
4. niet mogelijk om gegevens aan te passen zonder dat wijziging achteraf kan worden getraceerd (hash)

De gekwalificeerde elektronische handtekening.

Dit is een geavanceerde elektronische handtekening met een erkend certificaat.

(dezelfde bewijswaarde als een schriftelijke handtekening)

Op Europees niveau zijn ongeveer 150 gekwalificeerde vertrouwensdiensten voor gekwalificeerde certificaten van elektronische handtekeningen actief in 29 landen. Een overzicht van deze vertrouwensdiensten kan je hier vinden: GEKWALIFICEERDE

Technisch: Je identiteitskaart maakt bijvoorbeeld gebruik van een public/private key. Je maakt een certificaat aan die zegt dat jij het document hebt getekend en de inhoud bevestigd (private key). Hierbij maakt de software gebruik van protocollen die de inhoud omzetten tot cijfers, met een public key kan je zien dat het document werd getekend door die persoon en door niemand anders. Af en toe worden de laatste encryptieprotocollen gekraakt, deze encryptieprotocollen moeten dus ook voldoende worden bijgewerkt.

Een Digitale handtekening helpt om te kunnen bewijzen dat de persoon die getekend heeft met het certificaat dat ook effectief heeft gedaan. De elektronische handtekening wordt gedefinieerd in het boek Bewijs van het nieuwe burgerlijk wetboek (8.1). Verder zijn de geldende bewijsregels van toepassing (vrij bewijs tussen ondernemingen, burgerlijk bewijsrecht voor particulieren)

De geldigheidsvereisten zijn de volgende:

Identiteit

Toerekenbaarheid

Integriteitsvereiste

Er kan steeds elektronisch getekend worden via de combinatie van een geschikte kaartlezer , e-ID middleware software van de Belgische Staat en een documentlezer met handtekeningfunctie (zie bijvoorbeeld certificaten bij Adobe). De elektronische identiteitskaart bevat een certificaat dat wordt uitgegeven door Certipost NV. Er staan voor natuurlijke personen twee interessante certificaten op je identiteitskaart:

Het Authentication certificaat hebt u nodig wanneer u zich bij een online overheidsdienst zoals TaxOnWeb moet aanmelden. Het Signature certificaat hebt u nodig wanneer u digitaal een document wil handtekenen. (https://eid.belgium.be/nl/digitale-handtekeningen)

Hoe zit dat nu met de bewijswaarde.

Bij een gekwalificeerde elektronische handtekening bestaat het wettelijk vermoeden dat de handtekening conform is. Diegene die de handtekening betwist moet bewijzen dat deze niet rechtsgeldig is. Met een gekwalificeerde elektronische handtekening heb je dus een sluitend bewijsmiddel.

Bij alle andere elektronische handtekeningen geldt er geen vermoeden van conformiteit met de zelf geschreven handtekening. Wordt de handtekening betwist dan moet er worden aangetoond dat de handtekening wel conform is. Een rechter blijft vrij om het bewijs al dan niet te aanvaarden.

In de rechtspraak wordt een elektronische handtekening als ongeldig beschouwd als ze niet voldoet aan de geldigheidsvereisten (= Toerekenbaarheid, identificatie en integriteitsfunctie).

We merken dat de beoordeling door de rechter vaak doorslaggevend is.