'EU werkt aan wet om data bij bedrijven buiten EU op te eisen in strafzaken'

Volgens bronnen van persbureau Reuters werkt de Europese Unie aan wetgeving die het mogelijk moet maken in bepaalde strafzaken gegevens op te vragen bij bedrijven buiten de EU. Dat zou moeten kunnen zolang de bedrijven in de regio actief zijn.

Het persbureau meldt dat de EU eerder al had aangegeven toegang te willen tot gegevens die in de 28 lidstaten zijn opgeslagen, maar dat het bereik van de nieuwe regels zich volgens de bronnen buiten de EU-grenzen uitstrekt. Het gaat om gegevens die als bewijs kunnen dienen in strafzaken bij misdrijven met een minimumstraf van drie jaar cel, al zou hier momenteel nog discussie over gevoerd worden. Daarbij zou het ook om gegevens van niet-EU-burgers kunnen gaan, zolang ze deel uitmaken van een Europees onderzoek, aldus een van de bronnen. De EU wil de regels in maart presenteren, waarna het nog jaren kan duren voordat ze uiteindelijk van kracht worden.

Aan de hand van de ontwerpregels zouden Europese openbaar aanklagers bedrijven kunnen dwingen om gegevens te overhandigen zonder gebruik te maken van bestaande overeenkomsten, die zijn aangeduid als mlat's. Reuters stelde vragen aan Eurocommissaris Věra Jourová, die zei dat bestaande middelen 'zeer langzaam en inefficiënt werken' en dat opsporingsdiensten sneller moeten kunnen handelen dan criminelen. Google uitte in het verleden kritiek op het huidige stelsel.

Volgens de bronnen van Reuters zijn de ontwerpregels een zet van de EU om een betere onderhandelingspositie te krijgen in gesprekken met de VS over een regeling. Momenteel speelt de kwestie van toegang tot gegevens buiten de eigen jurisdictie in een zaak die gaat over het overhandigen van in Ierland opgeslagen e-mails aan de VS door Microsoft. Het Amerikaanse Hooggerechtshof buigt zich deze week over de vraag of een Amerikaanse rechter in 2016 had mogen oordelen dat Microsoft deze niet hoeft te overhandigen, aldus The Wall Street Journal.

Reacties (53)

[SSDtje]

Voor de menen die benieuwd zijn naar wat de verschillen zullen zijn tussen de EU en USA versie van de "PATRIOT act" bij deze:

A comparison between US and EU data protection legislation for law enforcement purposes.

En deze is er ook nog, Brussels, 24-01-2018:
Stronger protection, new opportunities - Commission guidance on the direct application of the General Data Protection Regulation as of 25 May 2018

Edit: eerder een verkeerde link gelegd, deze inmiddels bijgewerkt.

[Reactie gewijzigd door SSDtje op 29 juli 2024 14:58]

[RoestVrijStaal]

Je hebt vast die 81 pagina's doorgelezen. Kun je een tl;dr geven aub?

[SSDtje]

Jep ik wel, al is het inderdaad een aardig boekwerk (as usual, waarom zouden ze het ook eens kort maar krachtig verwoorden/uitleggen voor de verandering weetjewel.)
Maar goed, het eerste stuk is dan ook al in 2015 naar buiten gebracht, wat maakt dat ik het stuk al een poosje geleden doorgelezen heb.

Ik citeer:
Generally, it can be concluded that the EU data protection framework in the law
enforcement sector is shaped by comprehensive data protection guarantees, which are
codified in EU primary and secondary law and are accompanied by EU and ECtHR case law.
In contrast, US data protection guarantees in the law enforcement and national security
contexts are sector specific and are therefore contained within the specific instruments
which empower US agencies to process personal data. They vary according to the
instruments in place and are far less comprehensive.

Above all, constitutional protection is limited. US citizens may invoke protection through
the Fourth Amendment and the Privacy Act, but the data protection rights granted in the
law enforcement sector are limitedly interpreted with a general tendency to privilege law
enforcement and national security interests. Moreover, restrictions to data protection in the
law enforcement sector are typically not restricted by proportionality considerations,
reinforcing the structural and regular preference of law enforcement and national security
interests over the interests of individuals. Regarding the scope and applicability of rights,
non-US persons are usually not protected by the existing, already narrowly interpreted,
guarantees. The same is true with regards to other US law. When data protection
guarantees do exist in federal law, they usually do not include protection for non-US
persons.

A majority of the EU data protection standards cannot be found in US law. For instance,
rules limiting inter-agency data exchange, exchanges with other third parties, completely
independent oversight, strict proportionality rules and effective judicial review possibilities
and information requirements for non-US persons on surveillance or data breaches or
effective access, and correction and deletion rights simply do not exist at all or are, at best,
very limited. These shortcomings are also visible regarding existing data exchange
agreements between the US and the EU, such as, for instance, the Safe Harbor regime. Its
principles do not necessarily comply with the current EU data protection standards.
In particular, the approach to data sharing is fundamentally different. Whereas in EU law
every transfer of data to other agencies interferes with fundamental rights and requires
specific justification, data sharing in the US between law enforcement authorities and the
intelligence community seems to be the rule rather than the exception.

Nonetheless, the introduction of stricter access requirements in the FREEDOM Act using a
specific selection term for the collection of tangible things and metadata for foreign
intelligence purposes is an improvement compared to the former provisions. Regrettably, this newly introduced restriction does not affect Section 702 of the FISA Amendment Act or
Executive Order 12333, which still authorize far-reaching surveillance of foreign intelligence
information, including the accessing of communications, content, metadata or other records
by governmental agencies. A future instrument regulating EU-US data exchange should
address the mentioned issues, as serious concerns about their compatibility with EU
fundamental rights arise.

It can be also deduced, from the comparison, that even if all existing US data protection
guarantees in the law enforcement and national security framework were applicable to EU
citizens, there would still remain a considerable shortcoming regarding the level of privacy
and personal data protection compared to the protection through EU law. Recent proposals
and changes through the Draft Judicial Redress Act of 2015 and the FREEDOM Act only partially improve the current situation. The recently initialized "Umbrella Agreement" could
lead to changes with regards to data protection guarantees in the law enforcement and
national security sectors, but it remains to be seen which specific material rights and
guarantees will be included in such an agreement. A leaked version of the Umbrella
Agreement was published after the finalization of this study. A brief analysis of the
agreement’s text is therefore added in the end.

[Reactie gewijzigd door SSDtje op 29 juli 2024 14:58]

[walteij]

De EU-Versie van de PATRIOT act?

[Rex]

Ik las gisteren op Reddit dat ze naast rechtzaken ook willen dat de PNR (passenger name report) gelinked worden aan alle social media data die ze kunnen vinden. Facebook, Twitter, Tumblr, etc en dat in combinatie met zoekdata van Google, Yahoo, Duck Duck Go, etc.

EDIT: Ik kan het niet meer vinden, maar het kwam erop neer dat ze vliegtuigmaatschappijen in Europa wilden dwingen om alle social media gegevens van klanten op te nemen in de PNR. Daarnaast wilde Europa dan een mega database aanleggen van alle Europeanen en daarin alle gegevens opslaan die ze van de social media-bedrijven krijgen. Deze megadatabase zou dan gelinked worden aan de PNR data zodat ze een beeld kunnen krijgen van alle passagiers.
Het was erg extreem, maar velen zeiden daarom dan ook in de comments dat het moeilijk zal zijn om zo'n wet er doorheen te drukken vanwege de privacyaspecten: Het probleem zat hem juist in dat Europa uit deze data zou kunnen afleiden wat je geloof is, je sexuele geaardheid, etc, en dat in sommige landen wetten zijn die dit verbieden op te slaan in een database.
EDIT2: (bron gevonden) Ik had niet 100% gelijk. Het blijkt een Spaans initiatief te zijn om alle gegevens op te slaan in de PNR, al zeggen ze dat het in heel Europe ingevoerd zal moeten worden.

[Reactie gewijzigd door Rex op 29 juli 2024 14:58]

[Frubelaar]

Dat idee is niet nieuw. Als je een ESTA aanvraagt om naar/door de VS te reizen is er vraag of je social media wil delen. Momenteel is het dus nog vrijwillig.

[Rex]

Dat klopt. De VS vraagt het aan alle buitenlanders die naar de VS reizen en een visa waiver aanvragen. Deze Spaanse plan is vergelijkbaar: Ze willen een mega-database aanleggen met alle gegevens van iedereen, en dat dan aan de PNRs van vliegtuigpassagiers koppelen.

Trouwens vraag ik me af hoe ze dit ooit in de VS verplicht willen maken. Word je ESTA geweigerd als je geen facebook opgeeft, maar dat wel blijkt te hebben? Gaan mensen straks hun Facebook opzeggen om naar de VS te reizen?

[MrMonkE]

Het 'ministery' nep-niews bij de EU zou bij iedereen al alle alarmbellen hebben moeten doen afgaan.
Dat is de richting waar we naar toe gaan denk ik.
All dit soort regelgeving blijft traag maar gestaag meer ruimte te krijgen.

[SSDtje]

Zocht je zoiets misschien:
Klik = on the joint review of the implementation of the Agreement between the European
Union and the United States of America on the processing and transfer of passenger
name records to the United States Department of Homeland Security

Klik = Security Union: Commission reports on the implementation of the EU-US
TFTP and PNR Agreements

[Reactie gewijzigd door SSDtje op 29 juli 2024 14:58]

[Verwijderd]

Daar lijkt het wel op. De EU neemt steeds meer autoritaire dingen van het Amerikaanse regime over. En D66, de partij die ooit opkwam voor privacy, zal onder Pechthold wel weer een smoes vinden om hier voor te zijn.

[lighting_]

Ben er ook niet voor maar Amerika en China stellen ook van die eisen met wetgeving. De EU moet niet de braafste jongetje uithangen.

[hottestbrain]

Juist door te weigeren mee te werken aan zulke achterlijke eisen ben je niet het braafste jongetje

[Madden]

Dat zie ik even niet. Wat ik wel zie is dat door niet mee te werken aan zulke belachelijke wetgeving (die van de andere landen of jouw eigen) je jezelf als regio op achterstand plaatst in onderzoeken. Je zult als EU dus wel moeten meegaan met dergelijke absurde regelgeving. Vervelende alleen is dat dit alleen maar voor betrokken bedrijven problemen oplevert. Zie Microsoft -zaak.
Volgens Ierse/EU wetgeving mogen die gegevens niet overhandigd worden, maar volgens VS-wetgeving zijn ze dat verplicht. Nu heeft Microsoft genoeg cash om dit tot aan de Hoge Raad uit te vechten (zat bedrijven kunnen dat niet, en dan?), maar hoe dan ook zullen ze het onderspit delven. Ofwel in de VS als ze de gegevens niet hoeven te leveren, ofwel in de EU als ze de gegevens wel moeten leveren. In beide gevallen is Microsoft strafbaar door niet/wel mee te werken. Benieuwd hoe dat uit gaat pakken.

[bbob]

Probleem blijft hetzelfde.

Amerikaanse hoge raad zegt hier met die gegevens.
Iere of EU hoge raad zijn nee dat mag niet.

Zoek dan maar eens een oplossing.

Als de EU dit wil gebruiken om andere landen op de knieën te krijgen is het niet verkeerd. ben alleen bang dat het gewoon te ver gaat.

Een land of groep landen EU gaat over dat wat er op haar grondgebied gebeurt of aan data is opgeslagen. Als je aan data uit andere landen wil zul je je aan de regels van dat land moeten houden. Zo niet krijg je dus tegengestelde regels waar bedrijven de dupe van worden. EU zegt tegen Nederland bedrijf hier met de data die je Braziliaanse vestiging heeft en daar zegt men nee dat kan niet zonder toestemming van een rechter daar. Wat moet je dan als bedrijf doen, de ene wil dit de ander zegt het mag niet. Uiteindelijk heb jij dan een probleem.

[Verwijderd]

Het zal er uiteindelijk wel op neerkomen zoals het in het strafrecht bij personen is geregeld: EU levert netjes personen uit aan VS, de VS levert echter _uit principe_ geen staatsburgers uit.
Met data zal het er wel op neer komen dat de VS netjes alle dat gaat krijgen en dat de EU never nooit aan data uit de VS gaat komen...

[SirBlade]

Kan je daar bronnen voor leveren? Ik heb het verhaal vaak gehoord maar ik heb er nooit een bron van gezien.

[Madden]

Volgens mij is er al een uitspraak van de Ierse rechter dat de data in de Microsoft-zaak (dus op Ierse servers van Microsoft) niet aan de VS geleverd mag worden. En er is zelfs een uitspraak van een rechter in de VS dat de overheid dit niet mag vragen - waarmee effectief de Patriot Act grotendeels ongeldig wordt verklaard; daar gaat de zaak bij de Hoge Raad in de VS over: mocht die rechter die uitspraak doen? Spoiler-alert: het antwoord zal hoogstwaarschijnlijk, of met aan zekerheid grenzende waarschijnlijkheid, '[b]nee[/b'] zijn....wie had dat nu (niet) verwacht?

[Origin64]

De enige oplossing op de lange termijn is 1) Een world government die overal op het internet dezelfde regels kan handhaven of 2) Microsoft en andere multinationals moeten in verschillende bedrijven opsplitsen, MS EU en MS USA bijv., die geen data met elkaar uitwisselen over hun klanten etc, alleen licenties afnemen van het moederbedrijf.

[Madden]

of 2) Microsoft en andere multinationals moeten in verschillende bedrijven opsplitsen, MS EU en MS USA bijv., die geen data met elkaar uitwisselen over hun klanten etc, alleen licenties afnemen van het moederbedrijf.

Maar daar gaat het dus al fout, want als MS EU als moederbedrijf MS USA heeft, of als beide bedrijven zelfstandig zijn maar MS Global als moederbedrijf hebben maakt dat nog steeds niet uit omdat de Patriot Act doorwerkt op alle moeder/dochter-relaties tussen bedrijven, zolang er maar een vestiging in de VS is.
En echt compleet zelfstandige regionale bedrijven zullen M$ en consorten niet snel doen, omdat ze daarmee hun mogelijkheden tot belastingontwijking kwijt raken - die ze wel hebben als er een moeder/dochter relatie bestaat.

[Origin64]

Nou dat is toch 2 vliegen in 1 klap? Als de EU en de VS conflicterende wetgeving maken dan zullen enge grote multinationals moeten opsplitsen en kunnen ze minder makkelijk belasting ontduiken. Ik vind het helemaal top.

[Iblies]

EU heeft hoe weinig mee te maken, het gaat om de bedrijven.

Je wilt leverage hebben in geval van nood.

En bij de zogeheten BRIC-landen is het de normaalste zaak van de wereld,
alleen China wordt langzaam een macht waar je veel meer rekening mee moet houden. De VS heeft mbv de patriot-act zichzelf meer rechten verschaft, maar beïnvloed daarbij ook EU bedrijven,
EU kan daarbij niet achterblijven.


Onder de tafel wordt er vervolgens wel links en rechts excessen tussen VS en EU weggeschrapt mbv bijvoorbeeld TTIP.

Met andere meer twijfelachtige landen zullen opnieuw afspraken moeten worden gemaakt om bepaalde bedrijven/branches te beschermen.

[Madden]

Daar lijkt het wel op. De EU neemt steeds meer autoritaire dingen van het Amerikaanse regime over.

Op zich is dit natuurlijk logisch. De VS is nu (volgens hun wetgeving tenminste) in het voordeel omdat zij data die niet binnen de VS is opgeslagen kunnen opeisen als het te onderzoeken bedrijf maar een vestiging in de VS heeft. De EU wil dat rechttrekken, en in dit geval geef ik ze (deels) gelijk.

Ik heb het voorstel verder nog niet kunnen lezen, maar de EU lijkt zelfs een stap verder te gaan dan de VS, door ook gegevens/data van personen (en bedrijven?) die niet in de EU actief zijn op te kunnen vragen. De VS zou dat nu nog moeten doen via een officieel verzoek aan de betreffende overheid, maar de EU kan dit in het kader van een onderzoek buiten de gebaande paden om doen, zo suggereert het artikel. Dat schept natuurlijk wel een gevaarlijk hellend vlak, want hoe kan ik als bedrijf een dergelijk verzoek weigeren anders dan een rechtszaak tegen het verzoek te starten? Meewerken is dan makkelijker, mits ik als bedrijf gevrijwaard wordt van rechtsvervolging wegens schending van privacy of de GDPR....officieel gesanctioneerde datalekken dus.

[lighting_]

Ik ga ervanuit dat de bedrijven eerst in de eu gevestigd moeten zijn.
Daardoor is het toch niet heel veel anders dan de patriot act.
Bij patriot act kan de amerikaanse overheid altijd de gegevens opvragen (ook buiten USA) van in de Amerika gevestigde bedrijven(als NL bedrijf een vestiging in Amerika). Dus daardoor kan het ook data opvragen van niet Amerikaanse burgers.

[Madden]

Daarbij zou het ook om gegevens van niet-EU-burgers kunnen gaan, zolang ze deel uitmaken van een Europees onderzoek, aldus een van de bronnen.

Dat zou je verwachten ja. Maar de bovenstaande zin in het artikel suggereert anders. En de definitie van EU-burger is makkelijk op te rekken / te vervangen door organisatie. We zullen het wel zien.

[Ludwig005]

https://www.partijvoordedieren.nl/items/privacy er is nog een andere politieke partij in NL die privacy boeit.

[Reactie gewijzigd door Ludwig005 op 29 juli 2024 14:58]

[Verwijderd]

Feitelijk wel, en die word natuurlijk alleen (op papier) gehonoreerd als de EU eerst even de Patriot Act tekent, via een omweg word onze privacy als EU burgers dus hiermee op het spel gezet, het gaat ze echt niet om wat een starbucks of apple of wat dan ook kwa belasting doet, het is gewoon via een achterom weggetje Amerika toch hun zin geven, want ohh ahh Amerika.

[j1b2c3]

Ik denk eerder aan steenrijke bedrijven en individuele die groot schalig belasting ontduiken. Zo als de apples Googles Starbucks ect

[ragcage]

Een bedrijf kan in zo'n zaak toch makkelijk bepaalde data achterhouden in het geval dat het genoemde bedrijf daar voordeel aan heeft?

[Anonymoussaurus]

Dat kan, maar de overkoepelende organisatie/toezichthouder kan een forse boete geven als zij daar achter komen denk ik.

[ragcage]

Zoals Jeroenneman over Uber, je moet er een beetje slim mee omgaan denk ik.

[MartijnHavinga]

Dat wordt natuurlijk wat moeilijker als de aanvrager weet dat er bepaalde informatie aanwezig zou moeten zijn. Als ik volgens data van een Nederlandse ISP weet dat jij op tijdstip x verbinding hebt gehad met dienst y en ik weet dat dienst y dingen logt dan weet ik dus dat deze jouw bezoek gelogd zou moeten hebben. Verder zullen er wellicht ook eisen gesteld worden aan leveranciers van diensten m.b.t. wat er op zijn minst gelogd dient te worden.

[Verwijderd]

Je zou een bedrijf het dan kunnen verbieden om nog verder te opereren in de EU. En de vraag is of de Starbucksen van de wereld dit deel van de markt zomaar op zouden willen geven.

[Jeroenneman]

Zie Uber.

Die hadden gewoon een killswitch die vanaf het hoofdkantoor werd bediend. Bij een inval werd alles resoluut gewist. Sta je dan als onderzoeksteam...

[.net]

Om wat voor gegevens gaat het hier? 'Gegevens die als bewijs kunnen dienen in strafzaken' lijkt me een breed begrip.

[Simyager]

Kinderporno en terrorisme! En eigenlijk alle strafzaken die ze kunnen bedenken

[Verwijderd]

Tsja, die kaart trekken werkt altijd hè.

[Simyager]

Aan de andere kant, je kunt ze bijna niet kwalijk nemen dat ze die kaart trekken. Het is te makkelijk en je kunt er nooit tegen zijn, want anders ben je een pedo en/of terrorist...

Het is een win-win situatie voor politici. Ze kunnen alles doordrukken, want niemand kan tegengas geven...

[bbob]

Waarom kun je er niet tegen zijn. Het is namelijk altijd een glijdende schaal, ze vragen de vinger maar pakken de arm.

Natuurlijk ben je tegen pedo of terrorisme maar een democratie werkt alleen als iedereen rechten heeft. We kunnen de democratie natuurlijk ook afschaffen zodat we een overheid laten kiezen welke rechten we mogen hebben en de overheid bepaald dan wat goed voor ons is. Vul dan zelf kijken naar het verleden en zelf heden maar in of dat een wenselijke methode is.

[EfBe]

Het zijn naar mijn mening loze woorden van de EU: immers, wat voor jurisdictie heeft de EU over bedrijven buiten de EU? Geef even die data, want anders mag je geen handel drijven in de EU? lijkt me een moeilijke zaak dat hard te maken voor het Europese hof.

[Frubelaar]

Het hof is een sock puppet.

[Tokkes]

en drugsdealers!

Want Luis op de hoek is een daverend gevaar voor de westerse maatschappij omdat die pakjes met wiet verstuurd.

[Frubelaar]

Nadat Luis aangepakt is zijn bijstandsmoeders die in het zwart schoonmaken aan de beurt.

Daarna moet Google ongecensureerde StreetView afgeven zodat de belastingdienst kan checken of leaseauto's onrechtmatig gebruikt worden.

etc

[Free rider]

"Gegevens die als bewijs kunnen dienen in strafzaken" lijkt me al behoorlijk beperkend. Het betekent wellicht dat de aanvraag ondertekent moet worden door een Officier van Justitie. Een inlichtingdienst, wijkagent, belastingdienst, boswachter enz. kunnen dan niet zo'n verzoek indienen - zij kunnen hoogstens een OvJ overtuigen om de aanvraag te ondersteunen, en dat betekent dat er een rechtszaak aankomt over een strafbaar feit, welk nog niet is verjaard, waar nog geen proces over is gevoerd (een verdachte kan maar één keer veroordeeld worden voor een feit), enz.enz.

[jpsch]

Belediging van een bevriend staatshoofd.

[Verwijderd]

Zoals zo vaak zal het lezen van de bron (of uitgebreider artikel) veel vragen die tweaker stellen oplossen...

https://www.reuters.com/a...tech-giants-idUSKCN1GA0LP

In mijn oogpunt zal het niet zo'n vaart lopen want deze regeling moet in lijn zijn met bestaande (ook locale) data privacy wetgeving. Probeer dan maar eens iets uit Duitsland bijvoorbeeld te krijgen met zowaar draconische privacy wetten..

[pinpunt]

Nederland valt er dan buiten neem ik aan we hebben geen minimumstraffen alleen maximimum

[Verwijderd]

Nu kunnen de Amerikanen ook e-mails van Microsoft gaan eisen die opgeslagen zijn in Ierland. Of data van Europese burgers / bedrijven die in de Azure cloud staat opgeslagen in Europese datacenters.

Dit is een hele slechte ontwikkeling en ik vraag mij af of dit niet gecoördineerd is.

[Verwijderd]

Het is volgens andere mensen inderdaad gecoördineerd.

[rvl1980]

Ehhh hoe gaan ze dat doen dan? Als ik een bedrijf in Timboektoe heb, en mijn diensten aanbied aan Nederlanders via ww.mijnbedrijf.tbktoe hoe kunnen ze dan regelgeving in de EU zo maken dat ik me er iets van aan hoef te trekken.

Ze kunnen hoogstens bij de EU providers gaan claimen dat ze Timboektoe blokken van EU-netwerken, of ze kunnen met een leger Timboektoe binnenvallen om mijn servers op te halen, maar voor de rest kunnen ze toch echt aan mijn ballen likken. Is mijn eerste gedacht als welbewuste ondernemer in Timboektoe.

[mutley69]

Zal Trump of z'n regering reageren als een gestoken wesp? (zij doen 't zelfde bij ons - dus - waarom zouden we ons zorgen moeten maken?).
Nu bij ons hebben ze nog altijd de UK om ons te bespioneren - of zijn we dat al vergeten? (het GHCQ tapt de data af - en het NSA ontgrendeld en stopt in databanken - zo simpel is't - en heel de EU heeft gezwegen - in mijn ogen is dat hoogverraad - niet meer niet minder).

[Verwijderd]

Het zou inderdaad veel beter zijn als bedrijven van buiten de EU hier dingen kunnen doen die tegen onze wetten in gaan en dat we geen mogelijkheid hebben om ze aan te pakken. Maar dan ook niet meer klagen als bedrijven onze privacyrechten gaan schenden. Je wilt immers geen politiestaat die dit aan kan pakken.