Minister gaat 'ontsleutelplicht' invoeren

Een begrijpelijke, misschien wettelijk zelfs onontkoombare, maar in de praktijk nutteloze eis.

Eenieder die nemo tenetur aanvoert dient zich het volgende te realiseren: dat principe werkt alleen omdat mogelijkheden bestaan dat een bevoegde instantie zich via alternatieve middelen kan bedienen om te achterhalen of een verdachte deed of niet deed wat hij zei dat hij deed. De praktijk heeft uitgewezen dat dit vaak voldoende (en in sommige gevallen zelfs sterke) aanwijzingen oplevert om een verhaal te bevestigen dan wel te ontkrachten.

Maar nu zware encryptie op digitale media. Kan die worden gekraakt? Door brute force, zeer zeker... Als je een paar duizend jaar de tijd hebt. Zijn er mogelijkheden om via een omweg (met name de page file, of nog onbeveiligde stukken media, of een keylogger, of een live copy van het geheugen op het moment dat de computer door de verdachte wordt gebruikt—technisch een tricky hoogstandje, trouwens) te achterhalen dat er onoirbare dingen op de PC zijn gebeurd? Ja, maar iemand die zo slim is om zware encryptie te gebruiken weet ook vast wel even een FAQje boven water te halen waarin wordt uitgelegd hoe je dit soort zwakke punten kunt minimaliseren dan wel vermijden. Bovendien is het gebruik van een keylogger volgens mij ook niet helemaal onomstreden: dat soort dingen valt onder 'malware' en we zitten net in de mallemolen dat een terughackende politie door de politiek niet wordt geaccepteerd.

Ergo: probleem. Er is nu voor het eerst in de geschiedenis een wijdverbreid apparaat beschikbaar dat een integraal onderdeel vormt van veel werk (en dus ook opsporing)... En dat apparaat kan zichzelf letterlijk op slot zetten met de sleutel in het hoofd van een enkel persoon. Dat staat op gespannen voet met het idee dat misdaad niet mag lonen—of dat in een mooie Latijnse slogan is vervat, weet ik niet. Maar er is wel degelijk een dergelijk idee dat de basis vormt van het strafrecht. Dus wat weegt zwaarder? En nee, het gaat niet eens over kinderporno of terrorisme of auteursrechten. Ook 'gewone' zaken als fraude of afpersing kunnen prima met zware encryptie worden verborgen. Ik vraag me dan ook altijd of hoe principiëel iemand op zijn privacy gesteld is op het moment dat hij zélf slachtoffer wordt van een handige Harry of linke Loetje die zijn digitale bewegingen buiten bereik van het rechtssysteem weet te houden: het is immers overduidelijk dat als Harry en Loetje het niet mogen, de voorstander van privacy het ook niet mag. Je weet wel, nog zo'n mooi rechtsbeginsel: Ieder die zich in Nederland bevindt wordt in gelijke gevallen gelijk behandeld. Het helpt dan echt niet om een beroep te doen op je privacy: dat is nu juist precies het punt. Er zijn gevallen waarin een opsporingsdienst een legitieme reden heeft om privacy te schenden. Ook al claim jij een nette modelburger te zijn die niets heeft misdaan, en slachtoffer is van een heksenjacht.

Dat alles gezegd, het principe van dubbel (of zelfs drievoudig) verbergen maakt het zinloos om een verdachte te verplichten zijn sleutels af te staan. Hij geeft de sleutels af van een veilig of minimaal-belastend gedeelte van een gegevensdrager, en komt redelijk eenvoudig met de rest weg. Dat steekt, hoe je het ook wendt of keert. Maar dat zul je de politici natuurlijk nooit horen zeggen; bovendien opent het een discussie over encryptie in het algemeen waar ik helemaal bang voor ben: moet je je voorstellen dat het stel digibeten in de Kamer gaat bepalen wanneer je wel en niet gegevens mag versluieren, en zo ja, met welke sterkte.

Dus ik zie het wetsvoorstel meer als een handige manier om een hogere straf te eisen (te vergelijken met het invoeren van de ID-plicht, wie herinnert zich nog het anarchistische gekrakeel dat die wet opriep?) dan dat het daadwerkelijk wat toevoegt aan het opsporingsarsenaal. En hoe krom het allemaal ook is, misschien is het niet eens de slechtste oplossing, gezien het bovenstaande.