IT-recht – Advocaat Jents Debruyne

Wat doen bij een ransomware – aanval?

Jents — Fri, 10 Oct 2025 14:12:58 +0000

Het is vrijdag voor de vakantie.
Plots blijkt dat u geen toegang meer hebt tot uw eigen bestanden en dat er losgeld wordt geëist.

Een gijzeling van je bestanden. Wat nu?

Snel handelen is cruciaal.

Stap 1: Deconnectie & Isolatie

Zodra je merkt dat er ransomware actief is, ontkoppel je alle geïnfecteerde toestellen van het netwerk. Trek de stekker eruit, schakel wifi uit, en verbreek verbindingen met cloudaccounts of gedeelde drives. Zo voorkomt u dat het virus zich verder verspreidt in uw systeem of naar partners.

Verwittig meteen de bevoegde personen binnen uw organisatie:

de IT-manager / CISO
de Data Protection Officer (DPO)
het management

Zij zullen het geldende beleid in de organisatie activeren en actief zoeken naar oplossingen.
Het niet melden van een incident is een grove fout en kan gevolgen hebben voor u als medewerker.
De boodschap is dus steeds: melden, melden, melden.

Stap 2: Herstel & Analyse van het incident

Het management en DPO zullen inschatten welk risico het incident heeft — zowel op vlak van confidentiële data als persoonsgegevens. Daarbij worden geïmpacteerde partijen nagegaan en contracten geanalyseerd. Heeft u een cybersecurityverzekering, breng deze dan onmiddellijk op de hoogte van het schadegeval.

Een gesegmenteerde fysieke back-up kan uw redding zijn. Ondanks het terugplaatsen van data blijft een inbreuk op gegevensbescherming of confidentialiteit mogelijk. Een grondige analyse dringt zich dan ook op. Vergeet niet dat u als leverancier ook meldingsplicht hebt.Sla deze stap niet over. Criminele bendes encrypteren niet alleen, maar plaatsen vaak ook gevoelige data op het darkweb om organisaties verder te chanteren.

Stap 3: Meldingen, aangiftes en officiële communicatie

Volgende meldingen zijn essentieel:

Melding bij de GBA / VTC (binnen 72 uur na ontdekking).
Melding aan geïmpacteerde klanten, partners of derden (volgens contractuele verplichtingen).
Een persbericht indien noodzakelijk.
Melding aan het Centrum voor Cybersecurity.
Andere formele meldingen afhankelijk van uw rol als organisatie.
Aangifte bij de politie.

Ons kantoor staat u graag bij met de nodige communicatie, afwegingen en contractuele afhandeling die het gevolg zijn van dergelijk incident.

Stap 4: Herstelproces & Evaluatie van beveiligingsmaatregelen

Wanneer de aanval onder controle is, begint het moeizame werk van herstel. Gebruik enkel back-ups die niet verbonden waren met het geïnfecteerde netwerk. Controleer grondig of de malware volledig verwijderd is vóór u opnieuw opstart.

Daarna volgt de evaluatie:

Zijn uw beveiligingsinstellingen up-to-date?
Moeten toegangsrechten worden herzien?
Is er nood aan extra bewustmaking of opleiding van medewerkers?

Cybercriminaliteit evolueert voortdurend. De enige duurzame reactie is een proactieve beveiligingscultuur: regelmatige updates, duidelijke procedures en goed getraind personeel.

EIDAS II: naar een Europese e-ID door Gauthier Berth

Jents — Tue, 06 Feb 2024 12:01:30 +0000

EIDAS en EIDAS II-verordening

Inhoudstafel

EIDAS. 1
Inleiding. 1
Elektronische handtekening. 1
Wat betekent dit nu voor een onderneming in België?. 2
U wenst zelf een elektronische handtekening uit te brengen? Dat kan. 6
Elektronische zegel 6
Elektronische tijdstempel 7
Diensten voor elektronisch aangetekende bezorging. 7
Authenticatie van websites. 8
EIDAS II 9
NIEUW: Europese portemonnee voor digitale identiteit 9
NIEUW: Elektronische attestering van attributen, elektronische archiefdiensten en elektronische registers. 11
Elektronische attestering van attributen. 11
Elektronische archiefdiensten. 13
Elektronische registers. 13
Conclusie. 14
Wijzigingen aan EIDAS. 14
Overzicht wijzigingen. 14
Conclusie. 16

I. EIDAS

A. Inleiding

Vooreerst verwijs ik, Gauthier Berth, graag naar het blogartikel over de EIDAS-verordening geschreven door Mr. Jents Debruyne, waarop huidig blogartikel (lichtjes herhalend) voortbouwt.

B. Elektronische handtekening

Met Verordening (EU) Nr. 910/2014 (Hierna: EIDAS-verordening) is er sinds 1 juli 2016 een EU-kader in werking getreden betreffende – onder meer – de aanvaardbaarheid van elektronische handtekeningen binnen elke lidstaat. Deze verordening maakt een onderscheid tussen drie verschillende types elektronische handtekeningen:

de elektronische handtekening[1]: gegevens in elektronische vorm die gehecht zijn aan of logisch verbonden zijn met andere gegevens in elektronische vorm en die door de ondertekenaar worden gebruikt om te ondertekenen;
de geavanceerde elektronische handtekening[2]: een elektronische handtekening die voldoet aan de eisen in artikel 26, meer bepaald:[3]
1. zij is op unieke wijze aan de ondertekenaar verbonden;
2. zij maakt het mogelijk de ondertekenaar te identificeren;
3. zij komt tot stand met gegevens voor het aanmaken van elektronische handtekeningen die de ondertekenaar, met een hoog vertrouwensniveau, onder zijn uitsluitende controle kan gebruiken en
4. zij is op zodanige wijze aan de daarmee ondertekende gegevens verbonden, dat elke wijziging achteraf van de gegevens kan worden opgespoord;

de gekwalificeerde elektronische handtekening[4]: een geavanceerde elektronische handtekening die is aangemaakt met een gekwalificeerd middel voor het aanmaken van elektronische handtekeningen en die gebaseerd is op een gekwalificeerd certificaat voor elektronische handtekeningen.

Praktisch dient men vooral rekening te houden met de rechtsgevolgen (lees: juridische gevolgen) die de EIDAS-verordening verbindt aan elk van de types elektronische handtekeningen.

Hoewel uit het eerste lid[5] van artikel 25 EIDAS-verordening volgt dat het rechtsgevolg van een elektronische handtekening en de toelaatbaarheid ervan als bewijsmiddel in gerechtelijke procedures niet mag worden ontkend louter op grond van het feit dat de handtekening elektronisch is of niet aan de eisen voor gekwalificeerde elektronische handtekeningen voldoet, volgt uit het tweede lid[6] van datzelfde artikel uitdrukkelijk dat een gekwalificeerde elektronische handtekening hetzelfde rechtsgevolg heeft als een handgeschreven handtekening. Uit het derde lid[7] volgt dan weer dat een gekwalificeerde elektronische handtekening die op een in een lidstaat afgegeven gekwalificeerd certificaat is gebaseerd, in alle andere lidstaten als een gekwalificeerde elektronische handtekening dient te worden erkend.

1. Wat betekent dit nu voor een onderneming in België?

a) Theorie:

Daarvoor dienen eerst de concepten ‘vertrouwenslijsten’ en ‘(gekwalificeerde) vertrouwensdiensten’ te worden uitgelegd.

Luidens artikel 22 EIDAS-verordening dient elke lidstaat vertrouwenslijsten te stellen op met onder meer informatie over de gekwalificeerde verleners van vertrouwensdiensten waarvoor deze verantwoordelijk is, samen met informatie over de gekwalificeerde vertrouwensdiensten die door hen verleend worden, en deze houdt ook deze lijsten bij en maakt deze bekend.

Een vertrouwensdienst wordt gedefinieerd als elektronische dienst die gewoonlijk tegen betaling wordt verricht en het onderstaande inhoudt[8]:

het aanmaken, verifiëren en valideren van elektronische handtekeningen, elektronische zegels of elektronische tijdstempels, diensten voor elektronisch aangetekende bezorging en op deze diensten betrekking hebbende certificaten of
het aanmaken, verifiëren en valideren van certificaten voor authenticatie van websites, of
het bewaren van elektronische handtekeningen, zegels of certificaten die op deze diensten betrekking hebben.

Een gekwalificeerde vertrouwensdienst is een vertrouwensdienst die voldoet aan de toepasselijke eisen[9] zoals vastgelegd in de verordening.[10]

Een verlener van vertrouwensdiensten is een natuurlijke persoon of rechtspersoon die een of meer vertrouwensdiensten verleent als een gekwalificeerde of als een niet-gekwalificeerde verlener van vertrouwensdiensten.[11]

Een gekwalificeerde verlener van vertrouwensdiensten is een verlener van vertrouwensdiensten die één of meerdere gekwalificeerde vertrouwensdiensten verleent en van het toezichthoudende orgaan de status van gekwalificeerde heeft gekregen.[12]

In het kort: indien u een vertrouwensdienst (bv. het verifiëren van elektronische handtekening, zoals ‘itsme’) levert, bent u een verlener van vertrouwensdiensten. Indien u zich laat kwalificeren door de lidstaat waar u gevestigd bent, bent u een gekwalificeerde verlener van vertrouwensdiensten.

Waarom zou een verlener van vertrouwensdiensten zich laten kwalificeren en zich zo aan strenger[13] toezicht[14] blootstellen?

Omdat (in beginsel[15]) enkel een gekwalificeerde verlener gekwalificeerde vertrouwensdiensten (bv. het aanmaken of de verificatie van een gekwalificeerde elektronische handtekening) mag leveren.

Er zijn uiteraard strenge (Europese) eisen verbonden aan het kwalificatieproces voor zowel verlener[16] als diens aangeboden vertrouwensdienst[17]. Hier voorziet de Europese Commissie ook nog bijzondere regels voor de aanbieding van bepaalde[18] vertrouwensdiensten.

Elke lidstaat moet elektronische identificatiemiddelen uitgegeven door andere lidstaten erkennen, mits aan de volgende voorwaarden is voldaan: [19]

het elektronisch identificatiemiddel is uitgegeven op grond van een stelsel voor elektronische identificatie dat is opgenomen in de lijst die de Commissie uit hoofde van artikel 9 heeft bekendgemaakt;
het betrouwbaarheidsniveau van het elektronisch identificatiemiddel is gelijk aan of hoger dan het betrouwbaarheidsniveau dat de bevoegde openbare instantie als voorwaarde stelt voor onlinetoegang tot die dienst in de eerste lidstaat, mits het betrouwbaarheidsniveau van dat elektronisch identificatiemiddel in overeenstemming is met het betrouwbaarheidsniveau substantieel of hoog;
de openbare instantie in kwestie gebruikt het betrouwbaarheidsniveau substantieel of hoog voor de toegang tot die onlinedienst.

Hierop geldt één uitzondering: een gekwalificeerde elektronische handtekening die op een in een lidstaat afgegeven gekwalificeerd certificaat is gebaseerd, wordt in alle andere lidstaten als een gekwalificeerde elektronische handtekening erkend.[20]

Wat is een betrouwbaarheidsniveau?

Hoewel artikel 3 EIDAS I geen definitie bevat voor het begrip, geeft overweging 16 ons wel een beter inzicht:

“Het betrouwbaarheidsniveau moet de mate van vertrouwen weergeven die in een elektronisch identificatiemiddel kan worden gesteld voor het vaststellen van de identiteit van een persoon, en moet zodoende zekerheid geven dat de persoon die beweert een bepaalde identiteit te hebben ook daadwerkelijk degene is aan wie deze identiteit is toegekend. Het betrouwbaarheidsniveau hangt af van de mate van vertrouwen die elektronische identificatiemiddelen bieden voor de opgegeven of beweerde identiteit van een persoon, rekening houdend met processen (bijvoorbeeld het bewijzen van de identiteit,verificatie, en authenticatie), beheersactiviteiten (bijvoorbeeld de entiteit die elektronische identificatiemiddelen uitgeeft en de procedure voor uitgifte van dergelijke middelen) en geïmplementeerde technische beheersmaatregelen. (…)”.

Art. 8.2 EIDAS-verordening onderscheidt drie types betrouwbaarheidsniveaus: laag; substantieel en hoog:

“a) Het betrouwbaarheidsniveau laag betreft een elektronisch identificatiemiddel in het kader van een stelsel voor elektronische identificatie, dat een beperkte mate van vertrouwen in iemands opgegeven of beweerde identiteit biedt, en wordt toegekend onder verwijzing naar technische specificaties, normen en procedures die daarmee verband houden, onder meer technische controles die tot doel hebben het risico van misbruik of wijziging van identiteit te verkleinen;

b) het betrouwbaarheidsniveau substantieel betreft een elektronisch identificatiemiddel in het kader van een stelsel voor elektronische identificatie, dat een substantiële mate van vertrouwen in iemands opgegeven of beweerde identiteit biedt, en wordt toegekend onder verwijzing naar technische specificaties, normen en procedures die daarmee verband houden, onder meer technische controles die tot doel hebben het risico van misbruik of wijziging van identiteit te verkleinen;
c) het betrouwbaarheidsniveau hoog betreft een elektronisch identificatiemiddel in het kader van een stelsel voor elektronische identificatie, dat een hogere mate van vertrouwen in iemands opgegeven of beweerde identiteit biedt dan een elektronisch identificatiemiddel met betrouwbaarheidsniveau substantieel, en wordt toegekend onder verwijzing naar technische specificaties, normen en procedures die daarmee verband houden, onder meer technische controles die tot doel hebben het risico van misbruik of wijziging van identiteit te voorkomen.”

b) Praktijk:

Als onderneming dient u ermee rekening te houden dat enkel gekwalificeerde elektronische handtekeningen gelijk moeten worden gesteld met een handgeschreven handtekening. Geavanceerde elektronische handtekeningen en elektronische handtekeningen bieden dus minder rechtszekerheid, mocht het ooit tot een juridische procedure komen.

U kan de vertrouwenslijst van de verschillende lidstaten hier raadplegen:

https://eidas.ec.europa.eu/efda/tl-browser/#/screen/home

Voor België luidt de vertrouwenslijst[21] als volgt (dd. 18-12-23):

Belgian Mobile ID SA/NV
- itsme Sign Validation
Certipost n.v./s.a.
- CN: Belgium Root CA
- CN: Certipost E-Trust Primary Qualified CA
Connect Solutions
- email
CONNECTIVE
- Connective Validation Service
DigiCert Europe Belgium B.V.
- itsme Sign Issuing CA
- QuoVadis BE PKI Certification Authority
- QuoVadis Belgium Issuing CA
Dioss Smart Solutions
- Tuvi
Docbyte NV
- Docbyte preservation service
- Docbyte e-Archiving – preservation service
GlobalSign NV/SA
- GlobalSign Atlas
- GlobalSign GCC
IPEX
- Registered Email Plus
Kingdom of Belgium – Federal Government
- Belgium Root CA6
- EC1 TSU 2021
- EC2 TSU 2021
Postalia Belgium
- EasyPost Connect
SA UNIFIEDPOST
- Registered
Universign
- Universign CA Hardware
Zetes S.A./N.V.
- Zetes TSP PKI certification authority
- ZetesConfidens – Signature Creation Service – Issuing CA
- ZETES TSP RSA Qualified
- ZetesConfidens EC Qualified
- ZetesConfidens RSA Qualified
Trust service providers without currently active trust services:
- Portima s.c.r.l. c.v.b.a.
- Society for Worldwide Interbank Financial Telecommunication SCRL

2. U wenst zelf een elektronische handtekening uit te brengen? Dat kan.

U dient de veiligheidseisen in acht te houden in overeenstemming met artikel 19 EIDAS-verordening, ongeacht of u de intentie heeft gekwalificeerde of niet-gekwalificeerde vertrouwensdiensten te verlenen.

Indien u echter de intentie heeft gekwalificeerde diensten aan te bieden, dient u ook de bijzondere bepalingen met betrekking tot gekwalificeerde vertrouwensdiensten in acht te houden. Dit betreft artikel 20 en verder EIDAS-verordening, maar ook artikel 7 tot 9, voor zover de dienst een elektronische identificatie inhoudt.

Aarzel niet ons te contacteren ter verdere begeleiding.

C. Elektronische zegel

EIDAS I maakt verder een onderscheid tussen drie verschillende types elektronische zegels:

de elektronische zegel[22]: gegevens in elektronische vorm die gehecht zijn aan of logisch verbonden zijn met andere gegevens in elektronische vorm en die worden gebruikt om de oorsprong en integriteit daarvan te waarborgen;
de geavanceerde elektronische zegel[23]: een elektronisch zegel dat voldoet aan de eisen in artikel 36, meer bepaald:[24]

zij is op unieke wijze aan de aanmaker van het zegel verbonden;
zij maakt het mogelijk de aanmaker van het zegel te identificeren;
zij komt tot stand met gebruikmaking van gegevens voor het aanmaken van elektronische zegels die de aanmaker van het zegel met een hoog vertrouwensniveau onder zijn controle kan gebruiken voor het aanmaken van elektronische zegels en
zij is op zodanige wijze aan de gegevens waarop zij betrekking heeft verbonden, dat elke wijziging achteraf van de gegevens kan worden opgespoord.

de gekwalificeerde elektronische zegel[25]: een geavanceerd elektronisch zegel dat aangemaakt is door een gekwalificeerd middel voor het aanmaken van elektronische zegels en dat gebaseerd is op een gekwalificeerd certificaat voor elektronische zegels.

Praktisch dient men opnieuw vooral rekening te houden met de rechtsgevolgen:

Het rechtsgevolg van een elektronisch zegel en de toelaatbaarheid ervan als bewijsmiddel in gerechtelijke procedures mogen niet worden ontkend louter op grond van het feit dat het zegel elektronisch is of niet aan de eisen voor gekwalificeerde elektronische zegels voldoet.
Voor een gekwalificeerd elektronisch zegel geldt het vermoeden van integriteit van de gegevens en van juistheid van de oorsprong van de gegevens waaraan het gekwalificeerd elektronisch zegel is verbonden.
Een gekwalificeerd elektronisch zegel dat op een in een lidstaat afgegeven gekwalificeerd certificaat is gebaseerd, wordt in alle andere lidstaten als een gekwalificeerd elektronisch zegel erkend.

D. Elektronische tijdstempel

EIDAS I maakt verder een onderscheid tussen twee verschillende types elektronische tijdstempels:

de elektronische tijdstempel[26]: gegevens in elektronische vorm die andere gegevens in elektronische vorm verbinden aan een bepaald tijdstip en die bewijzen dat die laatstgenoemde gegevens op dat tijdstip bestonden;
de gekwalificeerde elektronische tijdstempel[27]: een elektronische tijdstempel die voldoet aan de in artikel 42 vastgelegde eisen.

Praktisch dient men opnieuw vooral rekening te houden met de rechtsgevolgen:

Het rechtsgevolg van een elektronisch tijdstempel en de toelaatbaarheid ervan als bewijsmiddel in gerechtelijke procedures mogen niet worden ontkend louter op grond van het feit dat het stempel elektronisch is of niet aan de eisen voor gekwalificeerde elektronische tijdstempels voldoet.
Voor een gekwalificeerd elektronisch tijdstempel geldt het vermoeden van de juistheid van de aangegeven datum en het aangegeven tijdstip, en van de integriteit van de gegevens waaraan de datum en het tijdstip zijn gekoppeld.
Een gekwalificeerd elektronisch tijdstempel, afgegeven in een lidstaat, wordt in alle lidstaten als een gekwalificeerd elektronisch tijdstempel erkend.

E. Diensten voor elektronisch aangetekende bezorging

EIDAS I maakt verder een onderscheid tussen twee verschillende types diensten voor elektronisch aangetekende bezorging:

de dienst voor elektronisch aangetekende bezorging[28]: een dienst die het mogelijk maakt gegevens via elektronische middelen tussen derden te verzenden en die bewijs verschaft ten aanzien van het hanteren van de verzonden gegevens, met inbegrip van bewijs van het verzenden en ontvangen van de gegevens, en die de verzonden gegevens beschermt tegen het risico van verlies, diefstal, beschadiging of onbevoegde wijzigingen;
de gekwalificeerde dienst voor elektronisch aangetekende bezorging[29]: een dienst voor elektronisch aangetekende bezorging die voldoet aan de in artikel 44 vastgestelde eisen.

Praktisch dient men opnieuw vooral rekening te houden met de rechtsgevolgen:

Het rechtsgevolg en toelaatbaarheid als bewijsmiddel in gerechtelijke procedures van gegevens die via een dienst voor elektronisch aangetekende bezorging verstuurd en ontvangen worden, mogen niet worden ontkend louter op grond van het feit dat de dienst elektronisch is of niet aan de eisen voor de gekwalificeerde dienst voor elektronisch aangetekende bezorging voldoet.
Voor gegevens die via een gekwalificeerde dienst voor elektronisch aangetekende bezorging worden verstuurd en ontvangen, geldt het vermoeden van integriteit van de gegevens, van de verzending van die gegevens door de geïdentificeerde afzender, van de ontvangst daarvan door de geïdentificeerde geadresseerde, en van de nauwkeurigheid van de datum en het tijdstip van verzending en van ontvangst, zoals aangegeven door de gekwalificeerde dienst voor elektronisch aangetekende bezorging.

F. Authenticatie van websites

EIDAS I maakt verder een onderscheid tussen twee verschillende types certificaten voor websiteauthenticatie:

het certificaat voor websiteauthenticatie[30]: attestering die het mogelijk maakt de authenticiteit van een website vast te stellen en die de website verbindt aan de natuurlijke of rechtspersoon aan wie het certificaat is afgegeven;
het gekwalificeerd certificaat voor websiteauthenticatie[31]: een certificaat voor websiteauthenticatie dat is afgegeven door een gekwalificeerde verlener van vertrouwensdiensten en voldoet aan de eisen van bijlage IV.

Praktisch dient men opnieuw vooral rekening te houden met de rechtsgevolgen[32]:

Het rechtsgevolg van een elektronisch document en de toelaatbaarheid ervan als bewijsmiddel in gerechtelijke procedures mogen niet worden ontkend louter op grond van het feit dat het document elektronisch is.

II. EIDAS II

A. NIEUW: Europese portemonnee voor digitale identiteit

In 2024 zal de nieuwste telg in de EIDAS-familie in werking treden, die voor een reeks vernieuwingen zorgt.

De onderstaande informatie is gebaseerd op het huidig voorstel voor de wijziging van de EIDAS-verordening.

Allereerst verplicht het voorstel de lidstaten een Europese portemonnee voor digitale identiteit uit te geven in het kader van een aangemeld stelsel voor elektronische identificatie, op basis van gemeenschappelijke technische normen en na een verplichte certificering. Ter facilitering hiervan zou er een EU-toolbox uitgebracht worden.[33]

In het voorstel wordt deze ‘Europese portemonnee’ als volgt gedefinieerd[34]: “een elektronisch identificatiemiddel dat gebruikers in staat stelt identiteitsgegevens, waaronder persoonsidentificatiegegevens, en elektronische attesteringen van attributen met betrekking tot hun identiteit op te slaan en op te vragen, op verzoek aan vertrouwende partijen te verstrekken, en voor online en, indien passend, offline authenticatie voor een dienst overeenkomstig artikel 6 bis te gebruiken, en dat ondertekening middels gekwalificeerde elektronische handtekeningen en verzegeling middels gekwalificeerde elektronische zegels mogelijk maakt”.

Hiermee tracht de EU-wetgever “(…) burgers en andere ingezetenen, zoals gedefinieerd in het nationale recht, een geharmoniseerde Europese digitale identiteit te bieden op basis van het concept van een Europese portemonnee voor digitale identiteit.”

Dit elektronisch identificatiemiddel zou op grond van nationale regelingen met betrouwbaarheidsniveau “hoog” worden ingevoerd, en zal op zichzelf fungeren als eID-middel, op basis van persoonsidentificatiegegevens en de portemonnee die de lidstaten verstrekken.[35]

In het kader van transparantie moedigt de Commissie de lidstaten aan om de broncode van de softwarecomponenten van Europese portemonnees voor digitale identiteit vrij te geven en daar waar mogelijk gebruik te maken van een openbronlicentie.[36]

Bij gebruik van de portemonnee kunnen voor authenticatie kosten in rekening worden gebracht door de diensten die van het gebruik afhankelijk zijn, bijvoorbeeld voor de afgifte van elektronische attesteringen van attributen aan de portemonnee. [37] Dit echter niet ten aanzien van natuurlijke personen, immers, luidens toekomstige overweging 9 EIDAS II-verordening is het uitgeven, gebruiken voor authenticatie en intrekken van Europese portemonnees voor digitale identiteit voor hen gratis. Met natuurlijke personen bedoelt men: u en ik; dit in tegenstelling tot rechtspersonen, waarmee afzonderlijke juridische entiteiten zoals vennootschappen bedoeld worden.

Verder is ook nieuw dat aanbieders van portemonnees en verstrekkers van aangemelde elektronische identificatiemiddelen die in een commerciële of professionele hoedanigheid optreden, zakelijke gebruikers van poortwachters zijn in de zin van de definitie hiervan in Verordening (EU) 2022/1925 (hierna: Digital Markets Act).[38]

Wie of wat zijn poortwachters?

Een onderneming kan worden aangewezen (door de Commissie) als poortwachter, indien deze kernplatformdiensten[39] aanbiedt (bijvoorbeeld: een onlinezoekmachine) en aan de voorwaarden in artikel 3 Digital Markets Act voldoet.[40]

Sedert 6 september 2023 bestaat er een lijst van uitdrukkelijk door de Commissie[41] benoemde[42] poortwachters, dit betreft: Alphabet (moederbedrijf Google), Amazon, Apple, ByteDance (moederbedrijf TikTok), Meta (moederbedrijf Facebook) en Microsoft.

De verordening verplicht poortwachters om kosteloos te zorgen voor effectieve interoperabiliteit met en, ten behoeve van interoperabiliteit, toegang tot dezelfde besturingssystemen, hardware en software als die welke beschikbaar zijn of worden gebruikt bij het aanbieden van hun eigen complementaire en ondersteunende diensten en hardware. Dit moet verstrekkers van Europese portemonnees voor digitale identiteit en van aangemelde elektronische identificatiemiddelen in staat stellen via interfaces of soortgelijke oplossingen even doeltreffend aan te sluiten op de betrokken functionaliteiten als op de diensten of hardware van de poortwachters zelf. [43] [44]

Het is de poortwachters verboden om zakelijke gebruikers te verplichten een identificatiedienst van de poortwachter te gebruiken, aan te bieden of daarmee te interageren in het kader van diensten die worden aangeboden door zakelijke gebruikers die gebruikmaken van de kernplatformdiensten van die poortwachter.[45]

Hierin lezen wij voornamelijk dat gratis Application Programming Interfaces (of API’s) beschikbaar dienen te worden gesteld aan bovenvermelde verstrekkers voor elk van de (relevante) producten van deze multinationals.

Nog een nieuwigheid is het matchen van bestanden (of ‘matching of records’). Toekomstig artikel 3.55 EIDAS II-verordening definieert dit begrip als volgt: “een proces waarbij persoonsidentificatiegegevens, persoonsidentificatiemiddelen, gekwalificeerde elektronische attestering van attributen of attesteringen van attributen uitgegeven door of namens een publiekrechtelijk orgaan dat verantwoordelijk is voor een authentieke bron, met een bestaande account van dezelfde persoon worden gematcht of gekoppeld”. Luidens toekomstig artikel 11 bis zullen lidstaten voortaan, wanneer zij als vertrouwende partijen optreden, matching van bestanden dienen te waarborgen, bij gebruik van voor authenticatie aangemelde elektronische identificatiemiddelen of Europese portemonnees voor digitale identiteit.

De Commissie geeft in één van haar overwegingen mee dat het gebruik van unieke en permanente identificatiecodes van essentieel belang is om matching van bestanden mogelijk te maken.[46]

B. NIEUW: Elektronische attestering van attributen, elektronische archiefdiensten en elektronische registers

Verder voert de EIDAS II-verordening bijzondere regels in betreffende de eisen en rechtsgevolgen van de ‘elektronische attestering van attributen’[47], de ‘elektronische archiefdiensten’[48] en de ‘elektronische registers’[49].[50]

1. Elektronische attestering van attributen

Een attribuut is een “aanduiding van de eigenschap, kwaliteit, rechten of toestemming van een natuurlijke persoon of rechtspersoon of van een voorwerp”[51]

Met geattesteerde attributen worden onder meer rijbewijzen, diploma’s, vergunningen en geboorteakten bedoeld.[52]

Met de elektronische attestering van attributen bedoelt men “een attestering in elektronisch formaat aan de hand waarvan attributen kunnen worden geauthenticeerd”.[53]

Deze elektronisch attestering is gekwalificeerd indien die is afgegeven door een gekwalificeerde verlener van vertrouwensdiensten en indien voldaan is aan de eisen[54].[55]

Deze kan ook worden uitgegeven door of namens een openbare instantie die verantwoordelijk is voor een authentieke bron, mits aan de eisen[56] is voldaan. Toekomstige bijlage VI somt een lijst[57] op van attributen die lidstaten minimaal moeten voorzien ter elektronische verificatie, indien die attributen gebruikmaken van authentieke bronnen binnen de publieke sector van de desbetreffende lidstaat.

Wat is een authentieke bron?

Een authentieke bron is “een register of systeem, onder de verantwoordelijkheid van een openbare instantie of particuliere entiteit, dat attributen omtrent een natuurlijke persoon of rechtspersoon bevat en verstrekt, en als een primaire bron van die informatie wordt beschouwd of krachtens Unierecht of nationaal recht, met inbegrip van de bestuursrechtelijke praktijken, als authentiek wordt erkend”.[58]

De lijst van Belgische authentieke bronnen is hier raadpleegbaar.

Rechtsgevolgen[59]:”

Het rechtsgevolg van een elektronische attestering van attributen en de toelaatbaarheid ervan als bewijsmiddel in gerechtelijke procedures worden niet ontzegd louter op grond van het feit dat het elektronisch is of niet aan de eisen voor gekwalificeerde elektronische attesteringen van attributen voldoet.
Een gekwalificeerde elektronische attestering van attributen en attesteringen van attributen uitgegeven door of namens een openbare instantie die verantwoordelijk is voor een authentieke bron, hebben dezelfde rechtsgevolgen als rechtmatig afgegeven attesteringen op papier.
Een gekwalificeerde elektronische attestering van attributen, afgegeven in een lidstaat, wordt in alle lidstaten als een gekwalificeerde elektronische attestering van attributen erkend.
Een attestering van attributen uitgegeven door of namens een openbare instantie die verantwoordelijk is voor een authentieke bron, wordt in alle lidstaten erkend als een attestering van attributen uitgegeven door of namens een openbare instantie die verantwoordelijk is voor een authentieke bron.”

Uit punt 2 hierboven volgt dus dat beide types elektronische attesteringen van attributen (die voldoen aan de respectievelijke eisen) dezelfde rechtsgevolgen hebben als rechtmatig afgegeven attesteringen op papier. Een papieren exemplaar van uw identiteitskaart heeft dus net zoveel bewijswaarde als de elektronische variant, uitgegeven door de FOD Binnenlandse Zaken (die de authentieke bron beheert, zie hierboven).

In diezelfde zin en ter gelijkstelling van beide types elektronische attesteringen – voor zover uitgegeven door de bevoegde overheid – stelt de Commissie in haar voorstel verder dat elektronische attestering van attributen met dezelfde rechtsgevolgen als bij de gekwalificeerde elektronische attestering van attributen rechtstreeks aan de portemonnee kan worden afgegeven door de overheidsinstantie die verantwoordelijk is voor de authentieke bron of door een aangewezen openbaar orgaan namens een overheidsinstantie die verantwoordelijk is voor een authentieke bron, mits aan de nodige vereisten is voldaan.[60]

2. Elektronische archiefdiensten

Artikel 3 definieert[61] ‘elektronische archivering’ als “een dienst die de ontvangst, opslag, opvraging en verwijdering van elektronische gegevens verzorgt om de duurzaamheid en leesbaarheid ervan te garanderen alsook de integriteit, de vertrouwelijkheid en het bewijs van de oorsprong ervan gedurende de volledige bewaartermijn te vrijwaren”.

Opnieuw verwijst de toekomstige verordening naar een gekwalificeerde versie; zij definieert een gekwalificeerde elektronische archiveringsdienst als volgt: “een elektronische archiveringsdienst die voldoet aan de eisen die zijn vastgelegd in artikel 45 octies bis”.

Als voorbeeld kan hier verwezen worden naar het E-depot van Digital Archief Vlaanderen.

Rechtsgevolgen[62]:”

Het rechtsgevolg en de toelaatbaarheid als bewijsmiddel in gerechtelijke procedures van elektronische gegevens die zijn opgeslagen via een elektronische archiverings- dienst, worden niet ontzegd louter op grond van het feit dat de gegevens elektronisch zijn of niet opgeslagen zijn via een gekwalificeerde elektronische archiveringsdienst.
Voor via een gekwalificeerde elektronische archiveringsdienst opgeslagen elektronische gegevens geldt het vermoeden van integriteit van de gegevens en van juistheid van de oorsprong van de gegevens voor de duur van de termijn van bewaring door de verlener van gekwalificeerde vertrouwensdiensten.
Een gekwalificeerde elektronische archiveringsdienst in een lidstaat wordt in alle andere lidstaten als een gekwalificeerde elektronische archiveringsdienst erkend.”

3. Elektronische registers

Artikel 3 definieert[63] ‘elektronisch register’ als “een opeenvolging van elektronische gegevensbestanden die de integriteit en de nauwkeurigheid van de chronologische volgorde daarvan waarborgt”.

Opnieuw verwijst de toekomstige verordening naar een gekwalificeerde versie; zij definieert een gekwalificeerd elektronisch register als volgt: “een elektronisch register dat voldoet aan de eisen die zijn vastgelegd in artikel 45 decies”.

Als voorbeeld kan hier verwezen worden naar de authentieke bronnen, hierboven opgelijst.

Rechtsgevolgen[64]:”

Het rechtsgevolg van een elektronisch register en de toelaatbaarheid ervan als bewijsmiddel in gerechtelijke procedures worden niet ontzegd louter op grond van het feit dat het elektronisch is of niet aan de eisen voor gekwalificeerde elektronische register voldoet.
Voor gegevensbestanden in een gekwalificeerd elektronisch register geldt het vermoeden van het unieke karakter en de juistheid van de chronologische volgorde en van de integriteit ervan.
Een gekwalificeerd elektronisch register in een lidstaat wordt in alle lidstaten als een gekwalificeerd elektronisch register erkend

4. Conclusie

Enkel gekwalificeerde elektronische attestering van attributen en attesteringen van attributen uitgegeven door of namens een openbare instantie die verantwoordelijk is voor een authentieke bron hebben dezelfde rechtsgevolgen als rechtmatig afgegeven attesteringen op papier. Elektronische archiefdiensten en elektronische registers brengen niet dezelfde rechtsgevolgen met zich mee en zijn daarom minderwaardig aan het bovengenoemde.

C. Wijzigingen aan EIDAS

1. Overzicht wijzigingen

De eisen die gesteld worden aan niet-gekwalificeerde verleners van vertrouwensdiensten zijn nu verduidelijkt in toekomstig artikel 19bis EIDAS II-verordening.
De eisen die gesteld worden aan gekwalificeerde verleners van vertrouwensdiensten zijn ook verduidelijkt in een wijziging van huidige artikelen 20 en 24 EIDAS.
De eisen die gesteld worden aan toezichthoudende organen[65] en (de aanvang van[66]) (niet[67]-)gekwalificeerde[68] verleners van vertrouwensdiensten vinden nu ook aanknoping met de NIS2-richtlijn[69] en de daarin vastgestelde eisen qua cyberveiligheid.
De eisen die gesteld worden aan gekwalificeerde[70] verleners van vertrouwensdiensten vinden nu ook aanknoping met de Algemene Verordening Gegevensbescherming[71] (GDPR) en de daarin vastgestelde eisen qua gegevensbescherming.
De eisen die gesteld worden aan lidstaten[72], toezichthoudende organen[73], (de aanvang van[74]) (niet[75]-)gekwalificeerde[76] verleners van vertrouwensdiensten, geavanceerde elektronische handtekeningen[77], gekwalificeerde certificaten voor elektronische handtekeningen[78], validering van gekwalificeerde elektronische handtekeningen[79], van geavanceerde elektronische handtekeningen op basis van gekwalificeerde certificaten[80] en van geavanceerde elektronische zegels op basis van gekwalificeerde certificaten[81], gekwalificeerde valideringsdiensten voor gekwalificeerde elektronische handtekeningen[82] en gekwalificeerde bewaringsdiensten voor gekwalificeerde elektronische handtekeningen[83], geavanceerde elektronische zegels[84] en gekwalificeerde certificaten voor elektronische zegels[85], gekwalificeerde elektronische tijdstempels[86], gekwalificeerde diensten voor elektronisch aangetekende bezorging[87] en gekwalificeerde certificaten voor websiteauthenticatie[88] zullen nader worden bepaald: “Binnen twaalf maanden na de inwerkingtreding van deze verordening stelt de Commissie door middel van uitvoeringshandelingen technische specificaties en referentienummers voor normen inzake (…) vast.”
De eisen die gesteld worden aan gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen worden uitgebreid: “Het genereren en beheren van de gegevens voor het aanmaken van elektronische handtekeningen namens de ondertekenaar of het dupliceren van dergelijke gegevens voor back-updoeleinden kan alleen worden uitgevoerd door een gekwalificeerde verlener van vertrouwensdiensten die een gekwalificeerde vertrouwensdienst voor het beheer van een gekwalificeerd middel voor het aanmaken van elektronische handtekeningen op afstand verleent.”[89]
Aan de nieuwe categorie[90] die voortvloeit uit toekomstig artikel 29.1bis EIDAS II-verordening (zie vorig gedachtestreepje) worden ook bijzondere eisen[91]
Een nieuwe categorie “gekwalificeerde dienst voor het beheer van gekwalificeerde middelen voor het aanmaken van elektronische zegels op afstand” wordt eveneens toegevoegd, waaraan ook (identieke) bijzondere eisen[92] worden gesteld.
De eisen die gesteld worden aan de certificering van gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen worden verstrengd. Voortaan zijn deze certificaten in de tijd beperkt[93], en houden ze slechts gelding voor zover de kwetsbaarheidsbeoordelingen regelmatig[94] zijn en gevonden kwetsbaarheden ook wel degelijk worden verholpen[95].[96]

De eisen die gesteld worden aan de validering van geavanceerde elektronische handtekeningen op basis van gekwalificeerde certificaten zijn vanaf nu vastgelegd in toekomstig artikel 32bis EIDAS II-verordening.

De gekwalificeerde diensten voor elektronisch aangetekende bezorging krijgen voortaan een sterkere doorwerking in de andere lidstaten: “Een gekwalificeerde dienst voor elektronisch aangetekende bezorging in een lidstaat wordt in alle lidstaten als een gekwalificeerde dienst voor elektronisch aangetekende bezorging erkend.“[97]
Het interoperabiliteitskader tussen verleners van gekwalificeerde diensten voor elektronisch aangetekende bezorging wordt voortaan (deels) wettelijk geregeld.[98]
De eisen die gesteld worden aan gekwalificeerde certificaten voor websiteauthenticatie worden verstrengd ten aanzien van aanbieders van webbrowsers (die geen KMO zijn).[99]

2. Conclusie

Er zijn heel wat vernieuwingen en uitbreidingen. Belangrijk is dat er nu duidelijk aanknopingen zijn gemaakt met de AVG (of GDPR) en met de NIS2-richtlijn, wat de rechtszekerheid alleen maar ten goede doet.

De Commissie is echter klaarblijkelijk zinnens om binnen de twaalf maanden na de inwerkingtreding van de nieuwe verordening uitvoeringshandelingen vast te stellen waar haar voorheen (in EIDAS I) de mogelijkheid uitdrukkelijk werd voorzien, en ook in een aantal nieuwe gevallen. Het wordt dus na de inwerkingtreding van EIDAS II-verordening opnieuw afwachten wat de Commissie zal beslissen, en wanneer…

[1] Art. 3.10 EIDAS-verordening.

[2] Art. 3.11 EIDAS-verordening.

[3] Art. 26 EIDAS-verordening.

[4] Art. 3.12 EIDAS-verordening.

[5] Art. 25.1 EIDAS-verordening.

[6] Art. 25.2 EIDAS-verordening.

[7] Art. 25.3 EIDAS-verordening.

[8] Art. 3.16 EIDAS-verordening.

[9] Art. 24 EIDAS-verordening.

[10] Art. 3.17 EIDAS-verordening

[11] Art. 3.19 EIDAS-verordening.

[12] Art. 3.20 EIDAS-verordening.

[13] Art. 13, 20 en 24 EIDAS-verordening.

[14] Art. 19 EIDAS-verordening.

[15] Zie art. 21.1 en 21.3 EIDAS-verordening, maar ook art. 33 en 34 EIDAS-verordening.

[16] Art. 24 EIDAS-verordening.

[17] Art. 28-32 EIDAS-verordening.

[18] Het leveren van gekwalificeerde certificaten voor elektronische handtekeningen (art. 28), gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen (art. 29-31), de validering van gekwalificeerde elektronische handtekeningen (art. 32-33) en de bewaring van gekwalificeerde elektronische handtekeningen (art. 34).

[19] Art. 6.1 EIDAS-verordening.

[20] Art. 25.3 EIDAS-verordening.

[21] https://eidas.ec.europa.eu/efda/tl-browser/#/screen/tl/BE

[22] Art. 3.25 EIDAS-verordening.

[23] Art. 3.26 EIDAS-verordening.

[24] Art. 36 EIDAS-verordening.

[25] Art. 3.27 EIDAS-verordening.

[26] Art. 3.33 EIDAS-verordening.

[27] Art. 3.34 EIDAS-verordening.

[28] Art. 3.36 EIDAS-verordening.

[29] Art. 3.37 EIDAS-verordening.

[30] Art. 3.38 EIDAS-verordening.

[31] Art. 3.39 EIDAS-verordening.

[32] Afdeling 8 “Authenticatie van websites” bevat geen bepaling betreffende de rechtsgevolgen, maar artikel 46 (het eerste artikel na Afdeling 8) geeft wel de rechtsgevolgen van elektronische documenten weer.

[33] https://data.consilium.europa.eu/doc/document/ST-14959-2022-INIT/nl/pdf, p. 1-2.

[34] Toekomstig art. 3.42 EIDAS II-verordening

[35] https://data.consilium.europa.eu/doc/document/ST-14959-2022-INIT/nl/pdf, p. 4

[36] Toekomstige overweging 11a EIDAS II-verordening.

[37] Toekomstig art. 6 bis, lid 6 bis EIDAS II-verordening; https://data.consilium.europa.eu/doc/document/ST-14959-2022-INIT/nl/pdf, p. 6

[38] Toekomstig art. 12 ter EIDAS II-verordening.

[39] Luidens art. 2.2 Digital Markets Act betreft dit de volgende lijst van diensten: onlinetussenhandelsdienst; onlinezoekmachine; onlinesocialenetwerkdienst; videoplatformdienst; nummeronafhankelijke interpersoonlijke communicatiedienst; besturingssysteem; webbrowser; virtuele assistent; cloudcomputingdienst; onlineadvertentiedienst, waaronder advertentienetwerken, advertentie-uitwisselingsdiensten en andere advertentietussenhandelsdiensten, aangeboden door een onderneming die een van de in de punten a) tot en met i) genoemde kernplatformdiensten aanbiedt.

[40] Art. 2.1 en 3 Digital Markets Act.

[41] https://ec.europa.eu/commission/presscorner/detail/en/ip_23_4328

[42] Overeenkomstig art. 3.4 en 3.8 Digital Markets Act.

[43] Toekomstige overweging 36f EIDAS II-verordening.

[44] https://data.consilium.europa.eu/doc/document/ST-14959-2022-INIT/nl/pdf, p. 6.

[45] Toekomstige overweging 21 EIDAS II-verordening.

[46] Toekomstige overweging 17a EIDAS II-verordening.

[47] Toekomstig art. 45 bis e.v. EIDAS II-verordening.

[48] Toekomstig art. 45 octies e.v. EIDAS II-verordening.

[49] Toekomstig art. 45 nonies e.v. EIDAS II-verordening.

[50] Toekomstige (nieuwe) afdeling 9, 10 en 11 EIDAS II-verordening.

[51] Toekomstig art. 3.43 EIDAS II-verordening.

[52] Toekomstige overwegingen 26 en 27 EIDAS II-verordening.

[53] Toekomstig art. 3.44 EIDAS II-verordening.

[54] Toekomstige bijlage V EIDAS II-verordening.

[55] Toekomstig art. 3.45 EIDAS II-verordening.

[56] Zie toekomstig art. 45 quinquies bis en toekomstige bijlage VII EIDAS II-verordening.

[57] Het betreft 10 attributen, met name: 1. adres; 2. leeftijd; 3. geslacht; 4. burgerlijke staat; 5. gezinssamenstelling; 6. nationaliteit of staatsburgerschap; 7. onderwijskwalificaties, -titels en -diploma’s; 8. beroepskwalificaties, -titels en -licenties; 9. openbare vergunningen en licenties; 10. financiële en bedrijfsgegevens.

[58] Toekomstig art. 2.46 EIDAS II-verordening.

[59] Toekomstig art. 45 bis EIDAS II-verordening.

[60] Toekomstig art. 45 bis en 45 quinquies bis en bijlage VII EIDAS II-verordening, toekomstige overweging 30 EIDAS II-verordening; https://data.consilium.europa.eu/doc/document/ST-14959-2022-INIT/nl/pdf, p. 7

[61] Toekomstig art. 3.48 EIDAS II-verordening.

[62] Toekomstig art. 45 octies EIDAS II-verordening.

[63] Toekomstig art. 3.53 EIDAS II-verordening.

[64] Toekomstig art. 45 nonies EIDAS II-verordening.

[65] Toekomstig art. 18.4 EIDAS II-verordening.

[66] Toekomstig artikel 21.1 en 21.2 EIDAS II-verordening.

[67] Toekomstig art. 19bis.1 EIDAS II-verordening.

[68] Toekomstig art. 20.1 en 20.3bis en quater EIDAS II-verordening.

[69] Richtlijn (EU) 2022/2555.

[70] Toekomstig art. 20.2 en 20.3ter EIDAS II-verordening.

[71] Verordening (EU) 2016/679.

[72] Wanneer zij hun lijst van gecertificeerde gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen toelichten aan de Commissie. Toekomstig art. 31.3 EIDAS II-verordening.

[73] Toekomstig art. 18.5 EIDAS II-verordening.

[74] Toekomstig artikel 21.4 EIDAS II-verordening.

[75] Toekomstig art. 19bis.2 EIDAS II-verordening.

[76] Toekomstig art. 20.4 en 24.1bis EIDAS II-verordening.

[77] Toekomstig art. 26.2 EIDAS II-verordening.

[78] Toekomstig art. 28.6 EIDAS II-verordening.

[79] Toekomstig art. 32.3 EIDAS II-verordening.

[80] Toekomstig art. 32bis.3 EIDAS II-verordening.

[81] Toekomstig art. 40bis EIDAS II-verordening met een verwijzing naar toekomstig art. 32bis EIDAS II-verordening.

[82] Toekomstig art. 33.2 EIDAS II-verordening.

[83] Toekomstig art. 34.3 EIDAS II-verordening.

[84] Toekomstig art. 36.2 EIDAS II-verordening.

[85] Toekomstig art. 38.6 EIDAS II-verordening.

[86] Toekomstig art. 42.2 EIDAS II-verordening.

[87] Toekomstig art. 44.2 EIDAS II-verordening.

[88] Toekomstig art. 45.1 en 45.4 EIDAS II-verordening. Er bestaat geen (huidig of toekomstig) art. 45.3 EIDAS II-verordening, dus dit zal mogelijk nog aangepast worden.

[89] Toekomstig art. 29.1bis EIDAS II-verordening.

[90] “een gekwalificeerde dienst voor het beheer van gekwalificeerde middelen voor het aanmaken van elektronische handtekeningen op afstand”

[91] Toekomstig art. 29bis EIDAS II-verordening.

[92] Toekomstig art. 39bis EIDAS II-verordening met een verwijzing naar toekomstig art. 29bis EIDAS II-verordening.

[93] Niet langer dan vijf jaar geldig.

[94] Tweejaarlijks (lees: om de 2 jaar, de Engelstalige versie schrijft als volgt: “conditional upon a regular 2 year vulnerabilities assessment”). Bron: https://data.consilium.europa.eu/doc/document/ST-14959-2022-INIT/en/pdf, p. 76 .

[95] De Engelstalige versie schrijft als volgt: “[w]here vulnerabilities are identified and not remedied”. Cambridge dictionary definieert ‘to remedy’ als “to do something to correct or improve something that is wrong”. Niet elke kwetsbaarheid kan zomaar verholpen worden, volgens de gegeven definitie lijkt de bewoording in de Engelse versie, ‘to remedy’, echter wel de mogelijkheid open te laten om het probleem minstens proberen ‘aan te pakken’. Bron: https://data.consilium.europa.eu/doc/document/ST-14959-2022-INIT/en/pdf, p. 76;

https://dictionary.cambridge.org/dictionary/english/remedy

[96] Toekomstig art. 30.3bis EIDAS II-verordening.

[97] Toekomstig art. 43.2bis EIDAS II-verordening.

[98] Toekomstig art. 44.3 en 44.4 EIDAS II-verordening.

[99] Toekomstig art. 45.2 EIDAS II-verordening.

Cybercriminelen zijn actiever dan ooit, kan je ontslagen worden als ransomware via jouw computer binnenkomt?

Jents — Mon, 19 Jun 2023 15:17:02 +0000

Kan je werkgever je ontslaan als je via jouw laptop ransomware binnenhaalt, daar ging het interview voor HLN deze week over.

Medewerkers zijn de schakels van elk bedrijf en dus ook van je beveiliging. Volg je het beleid dan is er meestal geen probleem, doe je echt zaken met de laptop die niet horen , dan kan dit een ander verhaal worden.

safety first

Dank aan Lisa Meyers voor het mooie artikel!

Artikel HLN – column

Whatsapp-groepen met collega’s: wat mag en wat niet?

Jents — Thu, 01 Jun 2023 07:48:21 +0000

Klik hier voor het HLN-artikel

De digitale klokkenluider – Meer bescherming voor ethische hackers (vanaf 15 februari 2023)

Jents — Fri, 10 Feb 2023 15:58:34 +0000

Ethische hackers, onze digitale dark knights, zorgen ervoor dat kwetsbaarheden bij ondernemingen en instellingen kenbaar worden gemaakt. Ethische hackers zijn goede veiligheidsstrijders maar verkeerden lang in een jurdisch vacuüm.

In 2020 heeft het Centrum voor Cybersecurity België (CCB) een gids gepubliceerd die publieke en private entiteiten aanmoedigt om een beleid voor de gecoordineerde bekendmaking van kwetsbaarheden in te voeren ( Coordinated vulnerability disclosure policy – CVDP). Dit beleid is een geheel van regels vanuit een organisatie die toestaat dat deelnemers met goede bedoelingen mogelijke kwetsbaarheden gaan opsporen of hier relevante informatie over bezorgen.

Wanneer ethische hackers het bestaan van een kwetsbaarheid vermoeden of er één ontdekken, genieten ze, afgezien van het bestaan van dergelijk beleid, geen wettelijke bescherming om hun veronderstellingen te controleren. Hier lopen zij wel degelijk een risico op vervolging. Bij het omzetten van de klokkenluiderrichtlijn heeft men de kans gegrepen om meer bescherming in te bouwen voor ethische hackers. Deze wet van 28 november 2022 treedt in werking vanaf 15 februari 2023.

In deze wet brengt afdeling 8 wijzigingen aan de wet van 7 april 2019 tot vaststelling van een kader voor de beveiliging van netwerk- en informatiesystemen van algemeen belang voor de openbare veiligheid ( De NIS-wet). Dat is de omzettingswet van de eerste NIS-richtlijn waarin de taken van het CCB (het nationale CSIRT) worden weergegeven.

Melders aan het CCB plegen geen misdrijf voor feiten die noodzakelijk zijn voor de melding indien:

1° Zij zonder bedriegelijk opzet of het oogmerk om te schaden hebben gehandeld:

Ethische hackers mogen de verantwoordelijke organisatie (bij gebrek aan een vooraf bepaald beloningsprogramma) of derden bijvoorbeeld niet trachten te laten betalen voor de ontdekte informatie. Zij mogen hun kwetsbaarheid niet in hun voordeel gebruiken.

2° Zij de organisatie die verantwoordelijk is voor het systeem, het proces of de controle zo snel mogelijk en uiterlijk op het ogenblik van de melding aan het CCB hebben ingelicht over de ontdekking van een mogelijke kwetsbaarheid.

Verschillende ontdekkingen kunnen in één melding gebeuren. Natuurlijke persoon of rechtspersoon die de melding doet moet hebben deelgenomen aan het onderzoek of een deel ervan. Hier betreft het nagaan van de aansprakelijkheid van de gebruikte onderzoeksmethoden.

3° Zij niet verder zijn gegaan dan nodig en evenredig was om het bestaan van een kwetsbaarheid na te gaan;

Wat is nodig en wat is evenredig? Meer richtlijnen van de CCB hieromtrent zijn zeker welkom. In de parlementaire voorbereiding van de wet wordt gesteld dat het CCB een indicatieve lijst van technieken zal publiceren.

4° Zij de informatie over de ontdekte kwetsbaarheid niet openbaar hebben gemaakt zonder de toestemming van het CCB

Personen die informatie melden over een mogelijke kwetsbaarheid waarvan zij in het kader van hun beroep kennis hebben gekregen, worden niet geacht hun beroepsgeheim te hebben geschonden en kunnen opgenerlei wijze aansprakelijk worden gesteld door de overdracht van informatie die noodzakelijk was om een mogelijke kwetsbaarheid aan het CCB te melden.

Opgelet! Voor elke andere mogelijke aansprakelijkheid van melders die voortvloeit uit handelingen of nalatigheden die niet noodzakelijk zijn voor de uitvoering van de procedure en die niet voldoen aan de voorwaarden blijft het toepasselijke recht gelden.

Wens je meer informatie, laat dan zeker niet na om contact op te nemen.

De Digital Markets act – You shall not pass – Gatekeepers

Jents — Tue, 05 Jul 2022 13:00:36 +0000

The Digital Markets Act

Nieuwe regels om Big Tech aan banden te leggen

De Europese Commissie (het uitvoerend orgaan van de Europese Unie) houdt hierbij een oogje in het zeil en formuleert een kader voor de Gatekeeper of poortwachter en wat deze wel en niet mogen op de markt. Een gatekeeper is kort samengevat iemand die de toegang tot een digitale markt beheert. Deze poortwachters dienen te voldoen aan een heleboel complianceregels ten aanzien van de Europese Commisssie.

Wie zijn de poortwachters (Gatekeepers) ?

(1) “poortwachter”: Een aanbieder van kernplatformdiensten wordt als poortwachter aangewezen indien deze:

a) een aanzienlijke impact heeft op de interne markt;

Wanneer een kernplatformdienst :
In de laatste drie boekjaren in de EER een jaaromzet van ten minste 6,5 miljard EUR heeft behaald, of gemiddelde marktkapitalisatie of gelijkwaardige reële marktwaarde van de onderneming in het laatste boekjaar ten minste 65 miljard bedroeg en indien deze tenminste in drie lidstaten een kernplatform aanbiedt

b) een kernplatformdienst exploiteert die voor zakelijke gebruikers als een
belangrijke toegangspoort fungeert om eindgebruikers te bereiken;

indien deze een kernplatformdienst aanbiedt met meer dan 45 miljoen maandelijkse actieve eindgebruikers die in de Unie zijn gevestigd of zich aldaar bevinden en meer dan 10 000 jaarlijkse actieve, in de
Unie gevestigde zakelijke gebruikers in het laatste boekjaar;voor de toepassing van de eerste alinea wordt met maandelijkse actieve eindgebruikers het gemiddelde aantal maandelijkse actieve eindgebruikers
gedurende het grootste deel van het laatste boekjaar bedoeld;

c) met betrekking tot haar activiteiten een stevig verankerde en duurzame positie
inneemt of naar verwachting in de nabije toekomst een dergelijke positie zal
innemen.

indien in elk van de laatste drie boekjaren aan de voorgenoemde drempels is voldaan.

(2) “kernplatformdienst”: een van de volgende diensten:
a) onlinetussenhandelsdienst;
b) onlinezoekmachine;
c) online socialenetwerkdienst;
d) videoplatformdienst;
e) nummeronafhankelijke interpersoonlijke communicatiedienst;
f) besturingssysteem;
g) cloudcomputerdienst;
h) advertentiedienst, waaronder advertentienetwerken, advertentieuitwisselingsdiensten en ander advertentietussenhandelsdiensten, aangeboden
door een aanbieder van de onder a) tot en met g) genoemde
kernplatformdiensten;

Wat zijn de verplichtingen (artikel 5 en 6 DMA)

Artikel 5

Verplichtingen voor poortwachters

Met betrekking tot elk van zijn overeenkomstig artikel 3, lid 7, geïdentificeerde
kernplatformdiensten doet een poortwachter het volgende:

a) de poortwachter combineert geen persoonsgegevens die afkomstig zijn van deze kernplatformdiensten met persoonsgegevens van andere diensten die door de poortwachter worden aangeboden of met persoonsgegevens van diensten van derden, en meldt eindgebruikers niet aan op andere diensten van de poortwachter teneinde persoonsgegevens te combineren, tenzij de eindgebruiker de specifieke keuze heeft gekregen en toestemming heeft verleend in de zin van Verordening (EU) 2016/679 ;

b) de poortwachter laat zakelijke gebruikers toe dezelfde producten of diensten aan eindgebruikers aan te bieden via onlinetussenhandelsdiensten van derden tegen prijzen of onder voorwaarden die verschillen van die welke via de onlinetussenhandelsdiensten van de poortwachter worden aangeboden;

c) de poortwachter laat zakelijke gebruikers toe aanbiedingen aan eindgebruikers die via de kernplatformdienst zijn verworven, te promoten en contracten met deze eindgebruikers te sluiten, ongeacht of zij daarvoor gebruikmaken van de kernplatformdiensten van de poortwachter, en laat eindgebruikers toe om via de kernplatformdiensten van de poortwachter toegang te krijgen tot en gebruik te maken van inhoud, abonnementen, functies of andere artikelen door middel van de softwaretoepassing van een zakelijke gebruiker, wanneer deze artikelen door de eindgebruikers van de desbetreffende zakelijke gebruiker zijn gekocht zonder gebruik te maken van de kernplatformdiensten van de poortwachter;

d) de poortwachter belet de zakelijke gebruikers niet of beperkt hen niet in hun mogelijkheden om bij een bevoegde overheidsinstantie problemen aan te kaarten in verband met praktijken van poortwachters;

e) de poortwachter verplicht zakelijke gebruikers niet een identificatiedienst van de poortwachter te gebruiken, aan te bieden of daarmee te interageren in het kader van diensten die worden aangeboden door zakelijke gebruikers die gebruikmaken van de kernplatformdiensten van die poortwachter;

f) de poortwachter verplicht zakelijke gebruikers of eindgebruikers niet zich te abonneren op of zich te registreren bij andere kernplatformdiensten die overeenkomstig artikel 3 zijn geïdentificeerd of die voldoen aan de drempels van artikel 3, lid 2, punt b), als voorwaarde voor toegang tot, inschrijving op of registratie op een van hun overeenkomstig dat artikel geïdentificeerde kernplatformdiensten;

g) de poortwachter verstrekt de adverteerders en uitgevers aan wie hij advertentiediensten verleent op hun verzoek informatie over de prijs die de adverteerder en de uitgever hebben betaald, alsook over het bedrag of de vergoeding die aan de uitgever is betaald, voor de publicatie van een bepaalde advertentie en voor elk van de door de poortwachter geleverde betrokken advertentiediensten.

Artikel 6

Verplichtingen voor poortwachters die nader kunnen worden gespecificeerd

1. Met betrekking tot elk van zijn overeenkomstig artikel 3, lid 7, geïdentificeerde kernplatformdiensten doet een poortwachter het volgende:

p>a) wanneer een poortwachter de concurrentie aangaat met zakelijke gebruikers, onthoudt hij zich van het gebruik van gegevens die niet openbaar beschikbaar zijn en die worden gegenereerd door activiteiten van die zakelijke gebruikers, alsook van de eindgebruikers van die zakelijke gebruikers of van zijn kernplatformdiensten, of die worden verstrekt door die zakelijke gebruikers van zijn kernplatformdiensten of door de eindgebruikers van die zakelijke gebruikers;

b) de poortwachter laat eindgebruikers toe voorgeïnstalleerde softwaretoepassingen op zijn kernplatformdienst te verwijderen, onverminderd de mogelijkheid voor een poortwachter om dergelijke verwijdering te beperken met betrekking tot softwaretoepassingen die essentieel zijn voor de werking van het besturingssysteem of van het apparaat en die in technisch opzicht niet op zichzelf door derden kunnen worden aangeboden;

c) de poortwachter maakt het mogelijk om softwaretoepassingen of appstores van derden die gebruikmaken van of in wisselwerking staan met de besturingssystemen van die poortwachter, te installeren en effectief te gebruiken, en maakt de toegang tot deze softwaretoepassingen of appstores met andere middelen dan de kernplatformdiensten van die poortwachter mogelijk. De poortwachter wordt niet belet evenredige maatregelen te nemen om ervoor te zorgen dat softwaretoepassingen of appstores van derden de integriteit van de hardware of het besturingssysteem die door de poortwachter ter beschikking worden gesteld, niet in gevaar brengen;

d) de poortwachter geeft in rangschikkingen geen gunstigere behandeling aan diensten en producten die worden aangeboden door de poortwachter zelf of door een derde die tot dezelfde onderneming behoort, in vergelijking met soortgelijke diensten of producten van derden, en de poortwachter past eerlijke en niet-discriminerende voorwaarden voor die rangschikking toe;

e) de poortwachter legt geen technische beperking op aan het vermogen van eindgebruikers om over te stappen en zich te abonneren op andere softwaretoepassingen en diensten waartoe toegang kan worden verkregen via het besturingssysteem van de poortwachter, ook wat betreft de keuze van de aanbieder van internettoegang voor eindgebruikers;

f) de poortwachter maakt het voor zakelijke gebruikers en aanbieders van ondersteunende diensten mogelijk toegang te krijgen tot en te interageren met dezelfde functies van het besturingssysteem, van de hardware en van de software die beschikbaar zijn of worden gebruikt bij het verlenen van ondersteunende diensten door de poortwachter;

g) de poortwachter biedt adverteerders en uitgevers op verzoek en kosteloos toegang tot de instrumenten voor prestatiemeting van de poortwachter en tot de informatie die adverteerders en uitgevers nodig hebben om zelf een onafhankelijke verificatie van hun advertentieportefeuille uit te voeren;

h) de poortwachter zorgt voor effectieve portabiliteit van gegevens die zijn gegenereerd door de activiteit van een zakelijke gebruiker of eindgebruiker, en stelt met name instrumenten ter beschikking aan eindgebruikers om de gegevensportabiliteit te vergemakkelijken, in overeenstemming met Verordening (EU) 2016/679, onder meer door continue toegang in real time te bieden;
i) de poortwachter biedt zakelijke gebruikers of door een zakelijke gebruiker gemachtigde derden kosteloos en op doeltreffende, hoogwaardige wijze
continue en in real time toegang tot en gebruik van geaggregeerde of nietgeaggregeerde gegevens die worden verstrekt voor of gegenereerd in het kader van het gebruik van de betrokken kernplatformdiensten door die zakelijke gebruikers en de eindgebruikers die betrokken zijn bij de producten of diensten die door die zakelijke gebruikers worden geleverd; de poortwachter maakt de toegang tot en het gebruik van persoonsgegevens alleen mogelijk indien deze rechtstreeks verband houden met het gebruik door de eindgebruiker van producten of diensten die door de betrokken zakelijke gebruiker worden aangeboden via de betrokken kernplatformdienst, en wanneer de eindgebruiker voor een dergelijke uitwisseling toestemming geeft in de zin van Verordening(EU) 2016/679 ;

j) de poortwachter verleent alle derde aanbieders van onlinezoekmachines op hun verzoek onder eerlijke, redelijke en niet-discriminerende voorwaarden toegang tot gegevens over rangschikkingen, zoekopdrachten, clicks en weergaven in verband met gratis en betaalde zoekopdrachten die door eindgebruikers op onlinezoekmachines van de poortwachter zijn gegenereerd, mits de gegevens over zoekopdrachten, clicks en weergaven die persoonsgegevens zijn,geanonimiseerd worden;

k) de poortwachter past eerlijke en niet-discriminerende algemene voorwaarden toe voor de toegang door zakelijke gebruikers tot zijn overeenkomstig artikel 3 van deze verordening aangewezen appstore.
2. Voor de toepassing van lid 1, punt a), omvatten niet openbaar beschikbare gegevens alle door zakelijke gebruikers gegenereerde geaggregeerde en niet-geaggregeerde gegevens die kunnen worden afgeleid uit of verzameld aan de hand van de commerciële activiteiten van zakelijke gebruikers of hun klanten op de

Hoe gaat de afdwingbaarheid in z'n werk?

Persbericht van de Commissie:

De invoering van nieuwe verplichtingen voor platformen en rechten voor gebruikers zou zinloos zijn als deze niet naar behoren worden gehandhaafd.

De nieuwe geharmoniseerde regels zullen overal in Europa rechtstreeks en uniform van toepassing zijn. De gespecialiseerde teams van de Commissie zullen centraal toezicht houden op zeer grote platformen en zeer grote onlinezoekmachines, alsook op gatekeepers, gekoppeld aan doeltreffende en afschrikkende sancties.

Elk platform, groot of klein, zal een wettelijke vertegenwoordiger in Europa moeten hebben. We zullen nu dus weten wie we moeten bellen als er een probleem is. En elke lidstaat krijgt een regelgever met de nodige bevoegdheden om de regels te handhaven.

Bevelen van nationale overheidsinstanties zullen doeltreffender zijn om illegale inhoud aan te pakken en informatie over de overtreder te verkrijgen, met name over de grenzen heen. We zullen ook vertrouwen op een netwerk van betrouwbare “flaggers”, zoals ngo’s, hotlines of houders van rechten, om ervoor te zorgen dat platforms met voorrang reageren op de gemelde illegale inhoud. Groepsacties tegen platformen die de regels overtreden, zullen gemakkelijker worden en benadeelde consumenten kunnen schadeloos worden gesteld.

Vanaf wanneer in werking?

De Europese Raad moet nog goedkeuren in september en dan 6 maanden na deze acceptatie.

Digital Services Act

Is een update van de richtlijn elektronische handel en gericht op Illegale inhoud, goederen en diensten en het beschermen van de grondrechten van de Europese Burgers

Digital Markets Act

Heeft als doelstelling de macht van de grote platformen te counteren en concurrentie te verzekeren door het aanstellen van poortwachters die moeten voldoen aan verplichtingen ten aanzien van de Europese Commissie

Need help?

De Digital Services ACT – een beter kader voor de Notice and Take down procedure in Europa

Jents — Fri, 03 Jun 2022 12:40:44 +0000

The Digital Services Act

In essentie worden tussenhandeldiensten (hierna ‘THD’) verder gereguleerd.

Hierbij staat centraal dat THD’s gemotiveerd moeten reageren op verzoeken tot het verwijderen van illegale content, diensten en goederen. Dit zijn de zogenaamde Notice and take down procedures.

Conformeren de tussenhandeldiensten aan het kader en de voorwaarden, dan wordt aansprakelijkheid vermeden voor deze tussenhandeldiensten (vglb met DCMA-procedures in USA). Het risico hier is dat de vrijheid van meningsuiting klappen krijgt(maar hierover later meer).

Platformen moeten een Governancekader kader hebben met duidelijke zorgvuldigheids- en transparantieverplichtingen, voor deze spelers volgen er dus bijkomende compliance en rapporteringsverplichtingen. Opmerking: vele platformen hebben al zo’n interne procedures.

Wat zijn tussenhandeldiensten?

Een louter doorgeefluik

Is een dienst die bestaat in het doorgeven in een communicatienetwerk van door een afnemer van de dienst verstrekte informatie, of in het verstrekken van toegang tot een communicatienetwerk
(een doorgeefluik)

Bijvoorbeeld Access providers , internetaanbieders, …

Een Caching-dienst

bestaat in het doorgeven in een communicatienetwerk van door een afnemer van de dienst verstrekte informatie, waarbij die informatie automatisch, tussentijds en tijdelijk wordt opgeslagen met als enige doel om de latere doorgifte van die informatie aan andere afnemers van de dienst op hun verzoek doeltreffender te maken

Bijvoorbeeld tijdelijke opslag van websites door een internetprovider

Een hosting dienst

bestaat in de opslag van de door een afnemer van de dienst verstrekte informatie, op diens verzoek

bewaart informatie van anderen en geeft die door wanneer iemand om vraagt (vb webhosting)

Wat zijn de belangrijkste punten?

het toepassingsgebied van de wet wordt verduidelijkt en versterkt

onlinezoekmachines maken nu expliciet deel uit van de wet

minderjarigen worden online nog beter beschermd met de nieuwe tekst

De Raad voegt verplichtingen toe voor onlinemarktplaatsen en zoekmachines, en strengere regels voor zeer grote onlineplatforms

De verplichting om het vermoeden van ernstige strafbare feiten te melden, wordt uitgebreid tot alle hostingdiensten (dus niet alleen onlineplatforms)
er wordt dieper ingegaan op de “compliancefunctie” die zeer grote onlineplatforms en zeer grote onlineplatforms en -zoekmachines moeten instellen om het toezicht op de conformiteit met de wet te waarborgen

Nationale autoriteiten zullen rechtstreeks bevelen in verband met illegale online-inhoud kunnen richten tot dienstenaanbieders, waarna deze de nationale autoriteiten op de hoogte zullen moeten houden van de getroffen maatregelen.

Wat doeltreffende handhaving betreft, wordt het oorsprongslandbeginsel behouden én worden tegelijkertijd exclusieve handhavingsbevoegdheden verleend aan de Commissie, zodat zij systemische inbreuken door zeer grote onlineplatforms en -zoekmachines kan aanpakken

Versterking van de afdwingbaarheid?

Persbericht van de Commissie:

De invoering van nieuwe verplichtingen voor platformen en rechten voor gebruikers zou zinloos zijn als deze niet naar behoren worden gehandhaafd.
De nieuwe geharmoniseerde regels zullen overal in Europa rechtstreeks en uniform van toepassing zijn. De gespecialiseerde teams van de Commissie zullen centraal toezicht houden op zeer grote platformen en zeer grote onlinezoekmachines, alsook op gatekeepers, gekoppeld aan doeltreffende en afschrikkende sancties.
Elk platform, groot of klein, zal een wettelijke vertegenwoordiger in Europa moeten hebben. We zullen nu dus weten wie we moeten bellen als er een probleem is. En elke lidstaat krijgt een regelgever met de nodige bevoegdheden om de regels te handhaven.

Wat met platformen gebouwd in blockhaintechnologie?

Voor de aansprakelijkheid van data opgeslagen in blockchain kunnen we enkel uitgaan van hypotheses: dit is niet duidelijk.

Bij blockchaintechnologie is er geen centraal beheer, maar wordt een protocol gevolgd.
Laat ons even uitgaan van een open-source , open-access, permissionless blockchain . (In een permissioned blockchain zal het probleem zich minder stellen gezien een aanknopingspunt is te vinden en goed gedrag kan worden gevraagd). In principe kunnen de blockchainvalidators niet weten welke gegevens iemand hasht. In feite is dit niet anders dan goederen opslaan in een derde land zonder verdragen.

Van zodra ontwikkelaars platformen toegankelijk stellen voor Europese burgers die toegang willen via vertrouwde wallets en platformen zullen zij in aanraking komen met de governance-principes van deze laatste. Zo niet riskeren de platformen en walletproviders aansprakelijkheid.
Ik volg de evoluties verder op.

Vanaf wanneer in werking?

januari 2024

Digital Services Act

Is een update van de richtlijn elektronische handel en gericht op Illegale inhoud, goederen en diensten en het beschermen van de grondrechten van de Europese Burgers

Digital Markets Act

Need help?

Face off (facial recognition) – AI-verordening – stand van zaken

Jents — Mon, 30 May 2022 21:39:16 +0000

Fragment uit film face off.

Een digitale unieke kaart van je gezicht die elke afbeelding van jou kan plukken uit een dataset en die je live uit een publiek kan halen.

Dat is samengevat wat men omschrijft als Gezichtsherkenningstechnologie.

Deze software is geëvolueerd van loutere detectie van een gezicht naar herkenning van een gezicht op een livestream of zelfs het associëren van je uitdrukking met gevoelens.

Voor gezichtsherkenning zijn verschillende basisomkaderingen ontwikkeld door volgende spelers:
FaceNet (Google), DeepFace (Facebook), VGGFace (Oxford), and OpenFace (CMU), Amazon Rekognition (Amazon)

Die maken het mogelijk om gezichten te detecteren, te herkennen, te verifiëren en te clusteren. Bijvoorbeeld het FaceNet-systeem van Google kan op grote schaal worden gebruikt dankzij meerdere open-source-implementaties van het model door derden en de beschikbaarheid van vooraf getrainde modellen. TensorFlow is een gratis en open source softwarebibliotheek voor machine learning en kunstmatige intelligentie. Het kan voor verschillende taken worden gebruikt, maar heeft een bijzondere focus op het trainen van diepe neurale netwerken.

Gezichtsherkenning is machine learning, waarbij grote datasets ( met afbeeldingen ‘labeled faces in the wild’, …) worden ingevoerd en je software kan trainen op nauwkeurigheid van resultaten. Hier geef je dus je portret in, waarbij de software datapunten in je gezicht zal vastleggen. Komen er in de data nog identieke punten voor dan zit er ook een foto van jou in de data of loop je ergens rond op de beelden.

Toepassingen van facial recognition zijn onder meer het identificeren van mensen, het clusteren van foto’s bij een bepaalde gebruiker, identificeren van gevoelens en crowdcontrol.

Vele mensen uit het Westen plaatsen terecht vraagtekens bij deze technologie.

Een goede omkadering is nodig. Het gebruik en installatie van deze software gaat steeds makkelijker en wordt toegankelijker voor veel developers. Gezichtsherkenning kwam vooral in de actualiteit naar aanleiding van het gebruik door overheidsinstanties om mensen op te sporen (clearview). Mensen werden lastiggevallen op basis van een onnauwkeurige match waardoor ze vals positief herkend werden, logisch dat dit aan banden wordt gelegd.

Machine learning/deep learning is echter zoveel meer dan enkel gezichtsherkenning, het is voornamelijk het structureren van ongestructureerde data waardoor in de data verdere antwoorden/regelmatigheden bij benadering worden gevonden.

Nauwkeurigheid en uitlegbaarheid van de resultaten zijn essentieel maar niet eenvoudig, hierover later meer. Op https://www.kaggle.com/ kan je leuke beginnerswedstrijden terugvinden op datasets, mocht je hierin interesse hebben. Er zijn prachtige toepassingen bijvoorbeeld in de medische wereld, zo kan men melanomen detecteren, het is dus niet allemaal Black Mirror-vibes, technologie is nog altijd een middel.

Wat is de stand van zaken nu in verband met Artificiële intelligentie:

– Meer specifiek moeten we bij het verwerken van persoonsgegevens en in het bijzonder van biometrische gegevens rekening houden met de GDPR. Biometrische gegevens zijn een bijzondere categorie van persoonsgegevens (artikel 9 GDPR, er is in principe een verbod tenzij aan één van de strikte omkadering is voldaan – bijvoorbeeld de uitdrukkelijke toestemming)

– Ondertussen dient men ook rekening te houden met de Digital Services Act en de Digital Markets Act. De Services Act reguleert de tussenhandeldiensten (mere conduit, caching, hosting diensten) en voorziet in betere tenuitvoerlegging (wat illegaal is offline is ook illegaal online – notice and take down procedures zullen erkend worden) en de Digital Markets Act voert zogenaamde ‘Poortwachters’ in, grote platformen zullen op voorhand weten welke regels te volgen. Later meer over de verhouding met decentrale toepassingen.

– Voor Ontwikkelaars ligt het voorstel tot een verordening voor en is nu het voorwerp van grondige discussies, de zogenaamde AI-regulation.

De verordening volgt een risicogebaseerde aanpak, waarbij een onderscheid wordt gemaakt tussen AI-toepassingen die

i) een onaanvaardbaar risico,
ii) een hoog risico,
en iii) een laag of minimaal risico met zich meebrengen.

Bij een hoog risico zijn er heel wat verplichtingen die worden omschreven, zo onder meer een impact assessments. ( Data & Maatschappij heeft hier al mooie sessie rond georganiseerd.) Voor bepaalde AI-systemen die interageren met mensen dienen er extra transparantie-verplichtingen in acht genomen te worden.
Het voorstel kan je terugvinden op volgende link: VOORSTEL

. De verordening wordt verwacht tegen 2023, maar ontwikkel je software met AI-systemen zorg dan voor de juiste compliance-systemen van meet af aan.

– Een duidelijker kader voor overheidstoepassingen van gezichtsherkenning. In principe is er een verbod voor realtime gezichtsherkenning in openbare ruimten voor de rechtshandhaving tenzij in uitzonderlijke gevallen.
De EDPB heeft in mei 2022 guidelines uitgewerkt inzake AI. Deze guidelines mogen becommentarieerd worden tot juni 2022 – GUIDELINES

In de huidige stand van de technologie volgt de software opnieuw de instructies van de opdrachtgever.

Je bent verantwoordelijke voor de antropocentrische toepassingen van de technologie en moet kunnen aantonen dat rechten en vrijheden van mensen gerespecteerd worden. Zo niet zullen in de toekomst boetes worden opgelegd. Wil je wat hulp met al deze compliance, contacteer mij dan gerust

Interview met Bloovi

Jents — Thu, 24 Sep 2020 12:30:49 +0000

“Als IT-advocate wil ik weten hoe een IT’er denkt en begrijpen wat de struggles zijn. Door dat zelf te ervaren kan ik hun wereld met die van het recht verbinden”

Zie het interview dat deze week werd gepubliceerd in Bloovi:

Klik hier voor het artikel

Algemene voorwaarden – aandachtspunten

Jents — Fri, 17 Apr 2020 14:08:57 +0000