De Patriot Act: mag big brother vragen om uw data?

Direct vrijblijvend advies? Bel of mail 

+31 (0)70-3819281

info@wisemen.nl

De Patriot Act is net als “big data” voor velen een hot topic. Bij deelname aan gesprekken blijkt vaak dat er veel geruchten en misvattingen zijn, maar weinig feitelijke kennis. In dit artikel behandel ik enkele feiten, zodat u onderlegd het gesprek aan kan gaan.

1. Wat is de Patriot Act?

De Patriot Act waar men op doelt is geen enkele wet, maar serie van wetswijzigingen in bestaande Amerikaanse wetgeving. De bekendste  wet, de USA Patriot act, is kort na de terroristische aanslag op het WTC op 11 september 2001 bekrachtigd door president Bush (jr.). In het woord Patriot ligt het genoemde doel besloten:  Providing Appropriate Tools Required (to) Intercept (and) Obstruct Terrorism. In kader van dit doel wensten de Amerikaanse overheid verregaande bevoegdheden om verdachte mensen, bedrijven, informatie en gedragingen te onderzoeken. Om dat te bewerkstelligen werden in diverse Amerikaanse wetten de voorwaarden versoepeld en bevoegdheden verruimt. De regelingen omtrent het opvragen van gegevens zijn dus niet in een enkele wet (de Patriot Act) neergelegd, maar in een aantal wetten, waaronder de Foreign Intelligence Surveillance Act, de FISA Amendment Act van 2008, de Electronic Communications Privacy Act, enzovoorts. Op grond van de wetgeving mogen inlichtingen- en veiligheidsdiensten van Amerika gegevens opvragen, zolang die onder hun (door deze wetten zeer brede) jurisdictie vallen. Na 2001 zijn er diverse aanpassingen op de Patriot Act en andere wetten aangenomen, maar deze genieten niet dezelfde naamsbekendheid.

2. Waarom is deze wetgeving van belang voor buitenlandse ondernemingen?

De grote reden waarom deze wetten de tongen los maken, is omdat deze een zeer ruim toepassingsgebied vinden: namelijk iedereen die zich bevindt op Amerikaans grondgebied. Dus niet alleen voor Amerikaanse burgers en bedrijven zoals Microsoft, Google en Oracle, maar ook buitenlandse burgers en bedrijven die zich volgens de Amerikaanse wet op Amerikaans grondgebied bevinden. Het is niet nodig dat de hoofdvestiging of het moederbedrijf van het bedrijf in Amerika is gevestigd. Voldoende is dat een bedrijf in Amerika activiteiten ontplooit met een continu en systematisch karakter, zoals een bedrijfsvestiging. De locatie van de gegevens is volgens Amerika ondergeschikt bij beoordeling van de vraag of de Amerikaanse wetgeving van toepassing is(lees: het is niet relevant waar de data precies zit, hetgeen bij Cloud computing vaak een probleem is). Het laatste volgt niet uit wetgeving maar uit een Amerikaans vonnis uit 1984 (United States v. Bank of Nova Scotia). De Amerikaanse wetgeving is dus al snel van toepassing.

3. Zorgwekkend: buitenlanders zijn minder goed beschermd dan Amerikanen.

Waar juristen zich zorgen over maken is dat buitenlanders in het kader van de Patriot act minder bescherming krijgen dan Amerikaanse burgers en ondernemingen. Europa en Amerika hanteren een verschillende benadering op gebied van privacy en het gebruik van gegevens. Europa heeft strenge privacywetgeving. Voor het maken van inbreuk op de privacy door de overheid is een wettelijke grondslag nodig. In Amerika redeneert de wetgever precies omgekeerd: personen zijn vogelvrij tenzij zij vallen onder wettelijke bescherming. In Amerika mag de overheid (o.a. op grond van het vierde amendement) “binnentreden” bij burgers als er een legitiem bevel en een “probable cause” aan het verzoek ten grondslag ligt: The right of the people to be secure in their persons, houses, papers, and effects, against unreasonable searches and seizures, shall not be violated, and no Warrants shall issue, but upon probable cause, supported by Oath or affirmation, and particularly describing the place to be searched, and the persons or things to be seized. Over de reikwijdte van die bescherming is sinds de terroristische aanslagen van 9/11 en daaropvolgende wetswijzigingen, waaronder het tot stand komen van de Patriot Act, veel onduidelijkheid ontstaan. Hebben niet-Amerikanen wel recht op deze grondwettelijke bescherming?

4. Wanneer mag de Amerikaanse overheid om gegevens vragen?

Deze vraag is moeilijk te beantwoorden omdat het afhankelijk is van de situatie en de opgevraagde gegevens. Om inlichtingen te mogen vergaren is het nodig dat er een “redelijke verwachting bestaat dat de opgevraagde gegevens relevant zullen zijn voor een lopend strafrechtelijk onderzoek”. Zo is terrorisme strafbaar, maar ook fiscale delicten kunnen onderwerp vormen van strafrechtelijk onderzoek. Voordat een Amerikaanse overheidsdienst (bijvoorbeeld de NSA) een verzoek mag doen aan bijvoorbeeld een cloud-leverancier, moet een speciale Amerikaanse rechtbank, de Foreign Intelligence Surveillance Court, het verzoek toetsen en toestemming verlenen. De bewuste cloud-leverancier en de betrokkene worden hierbij niet op de hoogte gebracht. Deze rechtbank beoordeelt het verzoek marginaal. Alleen onrechtmatige en duidelijk onjuiste verzoeken worden geweigerd, zodat afwijzing van een verzoek zeer zelden voorkomt.

5. Moet een verzoek worden opgevolgd als men niet in Amerika gevestigd of actief is?

Het antwoord op deze vraag is tweeledig. Indien u niet in Amerika gevestigd of regelmatig actief bent, is verzoek volgens Amerikaans recht niet direct afdwingbaar. Maar als de Patriot Act niet van toepassing is, betekent dit nog niet dat er geen verzoeken aan u kunnen worden gedaan door, of in opdracht van een (Amerikaanse) veiligheidsdienst. Aan een verzoek van Amerikaanse inlichtingendienst hoeft geen gevolg te worden gegeven als data wordt opgeslagen bij een onderneming die geen enkele activiteit in de Verenigde Staten ontplooit. Een National Security Letter (zie de volgende paragraaf) is namelijk geen “Subpoena” oftewel een gerechtelijk bevel. Daarmee is niet gezegd dat een cloud-leverancier niet benaderd kan worden met soortgelijke verzoeken. Immers ook Nederland heeft veiligheidsdiensten en wetgeving voor politie en justitie op grond waarvan toegang tot systemen en gegevens kan worden gevraagd. Via Europol of in samenwerking met de Nederlandse justitie of veiligheidsdiensten, kan een verzoek worden neergelegd bij een cloud-leverancier. Het voorkomen van dit soort verzoeken is op grond van de huidige (internationale) wetgeving juridisch niet mogelijk en garanties op dat punt zijn dus ook niet te geven. Toch geniet een indirect of Nederlands verzoek de voorkeur, omdat de bescherming van privacy in Nederland en Europa beter gewaarborgd is, en er (vaker) een gerechtelijk bevel ten grondslag ligt aan zo’n verzoek. Het verzoek is daardoor waarschijnlijk beter getoetst en beperkter in opzet. Dit verkleint de kans op een ongegrond verzoek en de omvang van de inbreuk op de gegevens.

6. Hoe ziet zo’n verzoek er uit?

Het verzoek wordt vaak gedaan door middel van een “National Security Letter”. Onderdeel van het verzoek kan een  zogenaamde “gag order” zijn. Dit is een verbod om aan derden te bevestigen dat het verzoek is ontvangen door de dienstverlener aan wie het verzoek is gedaan. Overigens heeft de betrokken partij altijd het recht om juridisch advies en ondersteuning in te winnen en mogen technische partijen worden ingelicht, als dat nodig is voor het uitvoeren van het verzoek. In zo’n National Security Letter wordt om niet inhoudelijke verkeersgegevens gevraagd, zoals “ transactional records, phone numbers dialed or e-mail addresses mailed to and from (Bron: Electronic Freedom Foundation voorbeeld van een brief). Dat lijkt weinig zorgwekkend omdat het niet ziet op inhoudelijke communicatie, maar wanneer bijvoorbeeld het complete internetgedrag in kaart wordt gebracht, of alle financiële transacties uit een periode gedeeld worden, in combinatie met de identiteit van de betrokkene ontstaat een zeer nauwkeurig beeld voor de onderzoekers. De persoon in kwestie weet echter niet dat deze gegevens worden opgevraagd en kan zich dus niet verzetten tegen deze inbreuk op zijn of haar privacy.

7. Wat gebeurt er als u een Amerikaans verzoek niet opvolgt?

Wanneer het verzoek mee te werken wordt geweigerd, kan de Amerikaanse overheid om te beginnen sancties opleggen aan personen, bedrijven of daarbij werkzame bestuurders. Op grond van de Amerikaanse wet (artikel 18 USC 2709) is het niet gevolg geven aan zo’n verzoek een wetsovertreding. Indien het bedrijf of zijn vertegenwoordigers zich daarna op Amerikaans grondgebied bevinden (op grond van zakelijke of privé redenen) kan de lokale politie de wet handhaven, of via strafrechtelijke vervolging komen tot een uitvoerbaar vonnis. Dit is geen fictie. Er zijn voorbeelden bekend waarin de FBI weigerachtige partijen vervolgt. Aangezien Nederland uitleveringsverdragen met Amerika heeft, kan met een Amerikaans vonnis in de hand aan de Nederlandse overheid om uitlevering worden gevraagd. Ook kan het buitenlandse vonnis door de Nederlandse rechter ten uitvoer worden gelegd. Het voert te ver voor deze weblog om in te gaan in hoeverre de Nederlandse overheid en/of de Nederlandse rechter zulke verzoeken honoreert.  WiseMen adviseert om bij ontvangst van een National Security Letter altijd een juridisch expert in te roepen. Indien u meent dat het verzoek aantoonbaar onjuist is, of strijdig met de (Amerikaanse) wet, dan is een gerechtelijke procedure namelijk een optie. Tegelijk kan het opvolgen van het verzoek ook betekenen dat u de Nederlandse wet overtreed. Dit behandel ik in de volgende paragraaf.

8. Conflicterende wettelijke verplichtingen.

In de vorige paragraaf werd duidelijk dat het weigeren om het Amerikaanse verzoek uit te voeren ernstige gevolgen kan hebben. Maar het opvolgen van het verzoek kan ook betekenen dat u de Nederlandse wet overtreed. Op grond van de geldende nationale en Europese privacy bepalingen mag u, als houder van persoonsgegevens, namelijk niet zomaar de verzamelde gegevens van personen delen met andere partijen. Het is verboden om gegevens te delen als de persoon in kwestie er (vooraf) geen toestemming voor heeft gegeven. Ook mag de verantwoordelijke houder van een databank met persoonsgegevens niet zomaar die persoonsgegevens exporteren buiten de Europese Unie. Met name als niet gegarandeerd kan worden dat de vertrouwelijkheid van de gegevens door de opvragende partij gewaarborgd wordt. Op dit punt bevinden Nederlandse en Europese bedrijven zich in een lastig parket. Een goede oplossing zal alleen door de (Europese) wetgever kunnen worden gevonden. Hopelijk zal de aanstaande nieuwe Europese verordening over privacy ook aandacht besteden op dit gebied. Een mogelijke oplossing is om toestemming van de betrokkene bij zulke overheidsverzoeken niet meer verplicht te stellen. Een andere oplossing die genoemd wordt is om Europese bedrijven wettelijk te beschermen tegen de gevolgen van niet naleving, zodat weigering minder effect heeft.   

9. Vertrouwt u de overheid?

De huidige technische mogelijkheden, zoals Cloud computing, leiden tot problemen op juridisch en wettelijk vlak die nog niet zijn opgelost of oplosbaar zijn. Het afwenden of in juridisch opzicht beperken van risico’s gaat voor bedrijven niet zo ver dat zij verzoeken van justitie of veiligheidsdiensten kunnen wegregelen. Bijna elk land heeft een overheid die dergelijke verzoeken wettelijk kan en tot zekere hoogte heeft vastgelegd in de wet, op grond waarvan zij de nationale veiligheid probeert te beschermen tegen terrorisme en vijanden van de staat. Deze regels beperken de idealen die het internationale recht, het privacy-gedachtengoed en beïnvloeden zakelijke overeenkomsten. Uiteindelijk kan hier echter alleen op hoog internationaal niveau een duurzame oplossing voor worden gevonden. Daarbij moet worden gekeken waarom burgers en bedrijven in juridisch lastig parket worden gebracht en in hoeverre dit gevraagd kan en mag worden. Het is aan de andere kant de vraag of deze hoge mate van absolute vertrouwelijkheid door klanten altijd even realistisch is. Wil men echter gebruik maken van de technische oplossingen en werken met bedrijven die actief zijn in Amerika, dan is de Patriot act een gegeven, dat overigens pas aan de orde komt indien de eindgebruikers of data verdacht blijken te zijn.

Advies!

Wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail me direct even dan ontvangt u vrijblijvend de voorwaarden.

Meer weten? Bel of mail gerust:

T. +31(0)70-3819281
E. olaf@wisemen.nl

Voor de laatste ontwikkelingen schrijft u zich nu in voor de

WiseMen Nieuwsflits!