DIGITAAL BEKEKEN. Doctoraalscriptie Juridische Bestuurswetenschappen. Katholieke Universiteit Brabant Examencommissie:

DIGITAAL BEKEKEN Welke zijn de beleidsmatige en juridische mogelijkheden en randvoorwaarden om electronic monitoring in computernetwerken toe te passen?

Doctoraalscriptie Juridische Bestuurswetenschappen

Katholieke Universiteit Brabant Examencommissie: Prof. dr. P.H.A. Frissen Dr. R.W. van Kralingen Drs. C.A.T. Schalken

Paschalis Josephus Maria Kolkman Tilburg, 27 augustus 1997

There was of course no way of knowing whether you were being watched at any given moment. How often, or on what system, the Thought Police plugged in on any individual wire was guesswork. It was even conceivable that they watched everybody all the time. But at any rate they could plug in your wire whenever they wanted to. George Orwell, Nineteen Eighty-Four

WOORD VOORAF Computers en computernetwerken zijn tegenwoordig niet meer weg te denken uit onze samenleving. In mijn scriptie besteed ik aandacht aan de mogelijkheden en randvoorwaarden om activiteiten in computernetwerken te observeren. In dit woord vooraf wil ik enkele andere observaties bij de lezer onder de aandacht brengen. Het betreffen belangrijke momenten en vooral ook personen die er voor hebben gezorgd dat ik nu mijn studie kan afronden. Een woord van dank gaat uit naar de leden van mijn examencommissie. Bij het schrijven van deze scriptie ben ik begeleid door Robert van Kralingen en Kees Schalken. Beide heren hebben mij op de rails gebracht en gehouden. Indien ik tijdens het schrijfproces richtingen ging bewandelen die in hun ogen niet juist waren, werd ik vriendelijk doch ook met klem verzocht om tot de kern van mijn betoog te komen. Paul Frissen bleek onmiddellijk bereid om als voorzitter zitting te nemen in de examencommissie. Dankzij hem heb ik een Internet-stage kunnen volgen bij het Ministerie van VROM. Tijdens deze stage kwam ik voor het eerst in aanraking met manieren om het gedrag van Internetgebruikers in de gaten te houden. Deze ervaring was onvergetelijk en heeft mijn interesse voor het Internet enorm vergroot. Gertjan Benou, Antoine Westhoff en Wim van de Donk hebben de verschillende hoofdstukken van mijn scriptie van commentaar voorzien. Tijdens de discussies over de scriptie hebben zij waardevolle ideeën aangedragen, waardoor de scriptie meer compleet is geworden. Ik wil hen daarvoor hartelijk danken. Een scriptie is veelal het einde van de studententijd. Zo ook in mijn geval. Ik heb het geluk gehad niet alleen te kunnen studeren, maar ook echt student te kunnen zijn. Tijdens mijn propedeuse waren Antoine Westhoff en mijn mentorbroertjes en -zusjes steeds aanwezig om studiezaken te bespreken of gezellig de stad in te gaan. Na mijn propedeuse koos ik voor de studierichting JBW. Tijdens het doctoraal heb ik veel mensen leren kennen. Bart-Jan Flos verdient hierbij speciale vermelding. We werkten altijd samen de aantekeningen van de colleges uit. Daarnaast hebben we zoveel mogelijk samen werkstukken geschreven, die bijna altijd werden afgesloten met een bezoek aan “de Mac”. Een studie betekent niet alleen studeren. Als lid van Fractie Vrijspraak heb ik bijzonder veel geleerd. Vooral mijn twee jaren in het bestuur waren leerzaam. Daarbij was er naast discussie altijd plaats voor gezelligheid. Remco, Gertjan, Michel en Antoine werden zeer goede vrienden. Deze maar ook andere vriendschappen werden geïnstitutionaliseerd in het C.O.W.H., het eetgenootschap en "Delirium Tremens". Tijdens mijn studie werd ik al snel student-assistent bij de sectie Rechtsinformatica. Ik wil vooral Tomas Oudejans bedanken voor de wijze waarop hij mij heeft gestimuleerd om niet alleen mijn werk te doen, maar vooral ook verder te kijken. De gezamenlijke ontwikkeling van de Internetmodules zie ik vooral als het resultaat van die stimulans. Als student-assistent “Recht en Informatisering” mocht ik werken voor Corien Prins. Het heeft me een half jaar gekost om haar niet meer met “U” maar met “je” aan te spreken. Ik heb groot respect voor de wijze waarop ik met haar heb mogen samenwerken. Een glimlach en talloze bedankjes van haar kant zorgen ervoor dat je als haar student-assistent met groot plezier een stapje extra doet. Last but not least wil ik mijn ouders en Saskia bedanken. Het weekend beschouwde ik altijd als een periode van bezinning en rust. Thuis in Winterswijk was het altijd mogelijk om ongestoord “bij te komen”. Ik wil mijn ouders bedanken voor de mogelijkheid om te kunnen studeren. Speciaal mijn moeder wil ik hier extra bedanken voor de ongekende wijze waarop zij mij door al die jaren heeft verwend. De was werd altijd voor mij gewassen en gestreken en zij hield altijd precies bij hoever ik met de studie stond. En toen sloeg het hart op hol. Saskia, toen we elkaar leerden kennen was er meteen het gevoel dat we goed met elkaar konden opschieten. Iedereen voorspelde al dat wij wel verkering zouden krijgen. Men kreeg gelijk. Al ruim twee jaar loop ik in de wolken. Wat een geluk dat wij elkaar hebben gevonden! Tilburg, augustus 1997 Pascal Kolkman

INHOUDSOPGAVE

INHOUDSOPGAVE 1 INLEIDING 1.1 1.2 1.3 1.4

Aanleiding Afbakening en probleemstelling Methode van onderzoek en verantwoording Opzet

1 1 2 3 4

2 COMPUTERNETWERKEN 2.1 Inleiding 2.2 Opkomst van computernetwerken 2.3 Vormen van computernetwerken 2.3.1 Hiërarchische netwerken 2.3.2 Peer-to-peer-netwerken 2.3.3 Cliënt/server-netwerken 2.3.4 Voordelen van computernetwerken 2.4 Computernetwerken in soorten en maten 2.5 Een LAN gebaseerd op Novell NetWare 2.6 Electronic monitoring in een NetWare LAN 2.7 Geschiedenis van het Internet 2.8 Structuur van het Internet 2.9 Internetprotocollen 2.10 Diensten op Internet 2.11 Monitoring op Internet 2.12 Computernetwerken: een conclusie

5 5 5 5 6 7 7 8 8 10 11 12 12 14 17 17 18

3 INFORMATISERING EN ORGANISATIE 3.1 Inleiding 3.2 Informatisering: een inleiding 3.3 Intermezzo 3.4 Informatisering en organisatie 3.5 Human Resource Management en ICT 3.6 De mens als marketingobject 3.7 Enkele kanttekeningen bij de inzet van ICT 3.8 Kenmerken van electronic monitoring 3.9 Enkele observaties

19 19 19 21 21 23 25 26 27 28

4 EEN JURIDISCHE CONTROLE 4.1 Inleiding 4.2 Juridische aspecten van electronic monitoring 4.3 Het begrip privacy 4.4 De Grondwet en de Wet Persoonsregistraties 4.5 Europese richtlijn en de Wet bescherming persoonsgegevens 4.6 Een blik in artikel 1 Wbp 4.7 De ISDN-richtlijn 4.8 Privacy, een bekeken zaak? 4.9 Bescherming van individuen 4.10 Juridisch bekeken

30 30 31 31 32 35 36 37 40 40 41

INHOUDSOPGAVE

5 MONITORING IN DE PRAKTIJK 5.1 Inleiding 5.2 Monitoring in een Local Area Network 5.2.1 Monitoring door systeembeheerders 5.2.2 Monitoring door individuele computergebruikers 5.3 Monitoring op Internet 5.4 E-mail 5.5 Telnet 5.6 File Transfer Protocol 5.7 USENET: nieuwsgroepen op Internet 5.8 World Wide Web 5.9 Een logboek

42 42 42 42 43 44 45 46 48 49 52 55

6 DIGITAAL BEKEKEN 6.1 Inleiding 6.2 De essentie van electronic monitoring 6.3 Informatisering en electronic monitoring 6.4 Juridische randvoorwaarden en leemten 6.5 Een spook met veel gedaanten 6.6 Van data-mining naar data-minding

57 57 58 58 59 60 61

LITERATUURLIJST

65

HOOFDSTUK 1 INLEIDING

1 INLEIDING 1.1

Aanleiding

1984 “It was a bright cold day in April, and the clocks were striking thirteen.” Zo begint het boek ‘1984’ van George Orwell.1 De zin ademt een sfeer van onheil. Onheil omdat een klok die dertien keer luidt, een teken is dat het te laat is, dat een kritisch moment voorbij is gegaan. In ‘1984’ geeft George Orwell een waarschuwing. Hij schetst een beeld van een totalitaire maatschappij die kan ontstaan, indien deze niet, door bewust handelen, wordt voorkomen. De personen in het boek zijn mensen, echter nauwelijks menselijk, aangezien elke handeling van elk individu te allen tijde in de gaten kan worden gehouden. De enige vrijheid die overblijft, is de onuitgesproken gedachte. Controle en angst hebben vrijheid en geluk voorgoed verdrongen. 1997 Deze scriptie is geschreven in 1997. Dit betekent dat het jaar 1984 reeds geruime tijd achter ons ligt. Weinigen zullen betwisten dat het beeld van een totalitaire maatschappij, zoals beschreven door George Orwell, ons bespaard is gebleven. In niets lijkt onze samenleving overeen te komen met die van ‘1984’. Of is de Orwelliaanse maatschappij toch niet zo ver als we denken? Beveiligingscamera’s zijn in bijna alle winkels te vinden, computers worden in wereldomvattende netwerken met elkaar verbonden en gegevensbestanden kunnen steeds eenvoudiger met elkaar gekoppeld worden. Dit betekent dat onze maatschappij, in potentie, reeds een aantal elementen kent die aan de basis stonden van de Orwelliaanse maatschappij. Gelukkig is de geest van onze samenleving heel anders dan die van ‘1984’. De mensheid lijkt vrijheid tegenwoordig op haar waarde te schatten. Een (inter)nationaal rechtsstelsel gecombineerd met een historisch besef zijn belangrijke fundamenten waardoor vrijheid tot zijn volle wasdom kan komen. Om nu en in de toekomst optimaal van onze verworven vrijheden te kunnen genieten zal echter onderzoek naar nieuwe ontwikkelingen en hun gevolgen noodzakelijk zijn.2 In mijn scriptie wil ik ingaan op een klein deel van dit onderzoeksspectrum. Scriptieonderwerp Koppeling van computernetwerken is in onze samenleving anno 1997 aan de orde van de dag. Computernetwerken schieten de laatste tien jaar als paddestoelen uit de grond. Informatiespecialisten beloven organisaties gouden tijden, indien er maar op de juiste manier geautomatiseerd en geïnformatiseerd wordt. Efficiënt informatiebeleid en informatiegebruik zijn daarbij toverwoorden. Parallel aan de opkomst van computernetwerken ontstond de behoefte om de activiteiten op die netwerken te observeren. Een belangrijk deel van deze behoefte komt voort uit de noodzaak om te weten wat de belasting van een computernetwerk is en waar zich eventuele technische problemen kunnen voordoen. Ook het tegengaan en opsporen van computermisbruik is een reden om computernetwerken te observeren. Deze vormen van observatie kunnen worden samengevat onder de noemer ‘electronic monitoring’. De gegevens die voortkomen uit electronic monitoring zijn echter voor meer doelen bruikbaar dan alleen het opsporen van technische problemen of misbruik. Zij kunnen ook worden ingezet om individuen te observeren en te beoordelen. Het gebruik van die gegevens kan dan leiden tot een ongeoorloofde inbreuk 1

2

De echte naam van George Orwell is Eric Blair. Het boek ‘1984’ had oorspronkelijk de titel ‘The Last Man in Europe’. Vergelijk ook het advies van de Registratiekamer bij het voorontwerp van de Wet bescherming persoonsgegevens (Registratiekamer, advies WBP, februari 1997, p. 10).

1

HOOFDSTUK 1 INLEIDING

op de persoonlijke levenssfeer van deze individuen. Centraal in dit onderzoek staat dan ook de vraag welke gegevens over gebruikers van computernetwerken verzameld kunnen worden, wat er mee gedaan kan worden en in hoeverre, juridisch gezien, überhaupt van deze gegevens gebruik mag worden gemaakt. Een voorbeeld Een geval van electronic monitoring dat de kranten heeft gehaald betreft het Nederlandse zoeksysteem ILSE3 (InterLink Search Engine) op Internet dat haar gebruikers compromitteerde door statistische gegevens te verstrekken aan derden.4 Op de voorpagina van het Algemeen dagblad van 30 oktober 1996 concludeert deze krant dat werknemers vaak op Internet surfen tijdens kantooruren en veelal voor zaken die niets met hun werk van doen lijken te hebben. In het artikel wordt aangegeven dat Ilse kan zien dat vanuit Philips 400 tot 500 zoekopdrachten per dag komen, vanaf KPN 100 gevolgd door Shell met 50 en Akzo met 20. Philips wordt met name genoemd als bedrijf waar werknemers onder meer zoeken naar vacatures, erotiek en drugs. Een woordvoerder van Philips reageerde hierop door te stellen dat de werknemers er misschien naar gezocht hebben maar dat het onwaarschijnlijk is dat er privé wordt gesurfd tijdens werktijd. Centraal controleert Philips namelijk wie waar surft. Bovendien, zo stelt de woordvoerder, hebben weinig werknemers toegang tot Internet en zijn porno-sites afgesloten.

1.2

Afbakening en probleemstelling

Het genereren van informatie over gebruikers van computernetwerken kan op velerlei wijzen plaatsvinden. Daarbij is onder andere van belang wat men verstaat onder electronic monitoring en in welke omgeving dit wordt onderzocht. Een definitie van electronic monitoring kon ik in de bestudeerde literatuur en op Internet niet vinden. Ik waag daarom zelf een poging. In deze scriptie wordt onder electronic monitoring verstaan: ‘het observeren van data(verkeer) in computernetwerken met behulp van elektronische (hulp)middelen.’ In mijn scriptie wil ik aantonen dat het observeren van data(verkeer) impliciet ook kan betekenen dat in feite een gebruiker van computernetwerken in de gaten wordt gehouden. Hoewel de definitie van electronic monitoring zelf geen directe verwijzing bevat naar de computergebruiker, vormen de gevolgen van electronic monitoring voor de computergebruiker een belangrijk onderdeel van deze scriptie. Om het onderzoek naar electronic monitoring in computernetwerken een concrete invulling te kunnen geven, wil ik een keuze maken tussen de verschillende computernetwerken die in onze maatschappij kunnen worden aangetroffen. In deze scriptie wil ik mij beperken tot een voorbeeld van een lokaal computernetwerk (Local Area Network, verder: LAN) en een voorbeeld van een computernetwerk dat zich uitstrekt buiten een bepaalde locatie (Wide Area Network, verder: WAN). Deze beperking is nodig om enkele technische aspecten van computernetwerken beter te kunnen duiden. Het voorbeeld van een LAN betreft een lokaal computernetwerk dat gebruik maakt van het besturingsprogramma NetWare van Novell. Er is gekozen voor NetWare omdat dit programma het meest gebruikte softwarepakket is.5 Het meest bekende wereldomvattend computernetwerk Internet zal worden gebruikt als voorbeeld van een WAN. In beide gevallen wordt aandacht besteed aan de technische achtergrond en de wijze waarop electronic monitoring in deze netwerken kan plaatsvinden.

3 4 5

http://www.ilse.nl Zie o.a. http://www.pi.net/computer/multim/30-10-96/mm30-10-96a.html Zie Tanenbaum (1996: p. 45).

2

HOOFDSTUK 1 INLEIDING

De werking van andere computernetwerken (bijvoorbeeld computernetwerken van banken, waar het accent ligt op betalingsverkeer) zal niet in deze scriptie behandeld worden. Dit betekent overigens niet dat de in deze scriptie gesignaleerde ontwikkelingen en problemen niet op deze netwerken van toepassing zouden zijn. Gezien de omvang en reikwijdte van een scriptie is het maken van een keuze noodzakelijk en wil ik mij daarom beperken tot de hierboven genoemde computernetwerken. Doelstelling Deze scriptie beoogt inzicht te geven in de mogelijkheden om met behulp van electronic monitoring-technieken dataverkeer te volgen. De aandacht zal in het bijzonder worden gericht op de mogelijkheden die organisaties hebben om informatie, voortkomend uit electronic monitoring, te gebruiken en de gevolgen hiervan voor de privacy van gebruikers van computernetwerken. Op basis van een analyse van de beschikbare mogelijkheden zullen beleidsmatige implicaties, alsmede juridische kaders kritisch worden besproken. Nadat hierboven een algemeen denkkader is geschetst, wordt de doelstelling van deze scriptie geconcretiseerd naar een probleemstelling en een aantal deelvragen. De probleemstelling luidt: Probleemstelling Welke zijn de beleidsmatige en juridische mogelijkheden en randvoorwaarden om electronic monitoring in computernetwerken toe te passen? Om de probleemstelling goed te kunnen beantwoorden, heb ik de volgende - meer specifieke onderzoeksvragen geformuleerd. Deze onderzoeksvragen zullen ieder in een apart hoofdstuk worden beantwoord. Deelvragen 1 Welke zijn de kenmerken van computernetwerken waarin electronic monitoring plaatsvindt? 2 Op welke wijze kan electronic monitoring door organisaties worden ingezet? 3 Welke juridische randvoorwaarden zijn aan het gebruik van electronic monitoring verbonden? 4 Welke verschijningsvormen kent electronic monitoring? 5 Welke algemene aanbevelingen kunnen er ten aanzien van electronic monitoring worden gedaan?

1.3

Methode van onderzoek en verantwoording

Een scriptie schrijven over electronic monitoring in computernetwerken is om een aantal redenen lastig. Ten eerste betreft het een vrij nieuw onderwerp, hetgeen betekent dat niet zo maar een boek van de plank kan worden gehaald waarin de belangrijkste inzichten verzameld zijn. Een tweede reden is dat computernetwerken dermate gecompliceerd in elkaar zitten dat een begrijpelijke en goede weergave van een dergelijk netwerk nooit voor de volle honderd procent recht doet aan de praktijk. Een derde reden is gelegen in het feit dat het begrip ‘electronic monitoring’ al snel een negatieve lading krijgt, waardoor deskundigen op dit terrein - veelal netwerkbeheerders - minder geneigd zijn om informatie te geven. Niettemin is er in mijn geval ook een groot voordeel verbonden aan het schrijven van een scriptie over dit onderwerp en dat betreft de dagelijkse beschikking over het Internet als informatiebron. Veel informatie die de lezer in deze scriptie vindt, is ontleend aan pagina’s op het World Wide Web, discussielijsten, nieuwsgroepen en E-mail. De grootte van mijn bookmark-lijst (een verzameling van adressen van relevante pagina’s op Internet) bedroeg in totaal meer dan 1 Megabyte!

3

HOOFDSTUK 1 INLEIDING

Natuurlijk is behalve van het Internet voor deze scriptie ook gebruik gemaakt van meer traditionele onderzoeksmethoden. Tijdens (meestal informele) gesprekken met medewerkers van de automatiseringsunit van de Rechtenfaculteit en het Rekencentrum op de KUB inzicht gekregen in de observatiemogelijkheden van netwerkbeheerders. Aangezien deze inzichten voornamelijk theoretisch van aard zijn, heb ik getracht om zelf empirisch onderzoek te doen naar electronic monitoring. Uit praktische en tijdsoverwegingen heb ik daarbij het computernetwerk van de KUB als onderzoeksobject genomen. Ik wil graag vermelden dat ik in dat computernetwerk een gebruiker ben zonder speciale (supervisor)rechten. Het is de bedoeling om informatie op een drietal terreinen (techniek, recht, organisatie) te verzamelen en met elkaar in verband te brengen. Uiteindelijk moet dit leiden tot meer inzicht over electronic monitoring zodat aan het eind van de scriptie de probleemstelling kan worden beantwoord. De lezer zal zich ongetwijfeld afvragen in hoeverre de scriptie nu werkelijk inzicht geeft in de problematiek rondom electronic monitoring. Bij voorbaat wil ik vermelden dat dit inzicht slechts verkennend en vooral algemeen kan zijn. De belangrijkste reden hiervoor is de techniek. De ontwikkelingen op technologisch vlak gaan zo snel, dat een actueel overzicht op het moment van samenstellen reeds achterhaald is. Niettemin meen ik te kunnen stellen dat in de scriptie belangrijke aandachtspunten naar voren komen die het overdenken waard zijn.

1.4

Opzet

Om electronic monitoring in computernetwerken te kunnen begrijpen is het noodzakelijk een goed beeld te krijgen van de eigenschappen van computernetwerken. In het volgende hoofdstuk wordt een overzicht gegeven van computernetwerken in een drietal onderdelen. Allereerst zal aandacht worden besteed aan computernetwerken in het algemeen. Het tweede onderdeel van het volgende hoofdstuk gaat in op de eigenschappen van lokale (kleine) computernetwerken waarbij gebruik wordt gemaakt van het softwarepakket Novell NetWare. Ten derde zal worden stilgestaan bij de geschiedenis, de structuur en de eigenschappen van het Internet. Uiteindelijk zal dit moeten leiden tot enig begrip van de kenmerken van computernetwerken. Hoofdstuk 3 geeft inzicht in de wijze waarop informatie- en communicatietechnologie in organisaties gebruikt wordt. Specifiek wordt gekeken hoe informatie, gegenereerd door electronic monitoring, kan worden gebruikt. De juridische aspecten van electronic monitoring komen aan de orde in hoofdstuk 4. Wanneer gebruik wordt gemaakt van electronic monitoring doet de vraag zich voor of, en zo ja welke juridische normen van toepassing zijn. Op deze vraag wordt een antwoord gegeven. Daarnaast besteed ik aandacht aan de vraag of de bestaande regelgeving toereikend is om electronic monitoring van de gewenste juridische randvoorwaarden te voorzien. In hoofdstuk 5 besteed ik aandacht aan electronic monitoring in de praktijk. Daarbij wordt eerst electronic monitoring in een LAN behandeld. Ten tweede bespreek ik in dit hoofdstuk enkele mogelijkheden om dataverkeer op Internet te observeren. Ik hoop de lezer enigszins te kunnen schokken met de mogelijkheden die nu reeds voorhanden zijn. Het laatste hoofdstuk wordt gebruikt om de probleemstelling te beantwoorden en enkele aanbevelingen te formuleren. Daarnaast zullen de bevindingen in deze scriptie in een breder verband worden geplaatst.

4

HOOFDSTUK 2 COMPUTERNETWERKEN

2 COMPUTERNETWERKEN 2.1

Inleiding

Computer: vriend of vijand? In de studie Juridische Bestuurswetenschappen is er aandacht voor de wijze waarop informatisering ingrijpt in de huidige maatschappij. Met name wordt gekeken naar de betekenis van informatie- en communicatietechnologie (ICT) voor het functioneren van het openbaar bestuur. Daarbij is er slechts beperkt aandacht voor het technische gedeelte van ICT. Om een goed begrip te kunnen krijgen van electronic monitoring is een nadere uitleg van de techniek echter noodzakelijk. In dit hoofdstuk wil ik daarom inzicht geven in de opzet en de werking van computernetwerken. Allereerst is er aandacht voor algemene kenmerken van computernetwerken zoals een LAN en een WAN. Daarna bespreek ik de eigenschappen van het netwerksoftwarepakket NetWare van Novell. Op basis van deze eigenschappen bekijk ik de mogelijkheden om in het algemeen electronic monitoring toe te passen in een LAN. In het tweede deel van het hoofdstuk wordt stilgestaan bij het Internet. Er is aandacht voor de geschiedenis en de structuur. Specifiek wordt de werking van het Internet besproken teneinde de kenmerken van electronic monitoring op Internet beter te kunnen duiden.6

2.2

Opkomst van computernetwerken

Behalve de intrede van de computer zelf, heeft niets het werken in organisaties zo veranderd als het ontstaan van computernetwerken.7 Doordat fabrikanten en softwareontwikkelaars in hoog tempo specifieke netwerkprodukten ontwikkelden, zijn deskundigen opnieuw naar de kosten van minicomputers en mainframes gaan kijken, met name wanneer goede oplossingen mogelijk blijken door PC’s met elkaar te verbinden in een LAN. Aangezien PC’s bovendien steeds goedkoper en krachtiger worden, en veelzijdige software en randapparatuur word ontwikkeld, zijn de geïntegreerde lokale netwerken sterk in opmars. Een nieuwe trend betreft de behoefte om deze LAN’s onderling met elkaar te verbinden teneinde informatieoverdracht nog makkelijker te laten plaatsvinden. Het meest bekende voorbeeld is het Internet. Het Internet bestaat in feite uit talloze kleinere (LAN’s) en grotere netwerken (WAN’s) die onderling met elkaar in verbinding staan. Verderop in het hoofdstuk zal de structuur van het Internet worden weergegeven, eerst zal nader worden stilgestaan bij enkele algemene kenmerken van computernetwerken en LAN’s.

2.3

Vormen van computernetwerken

Om een goed begrip te krijgen van wat een netwerk inhoudt volgt nu eerst een definitie: Een computernetwerk is een verzameling van computers en randapparaten, die gebruik maken van gemeenschappelijke programma’s, gegevens en faciliteiten zoals printers, modems en cd-

6

7

Dit hoofdstuk zal voor de meeste lezers erg ‘technisch’ overkomen. Ik heb bewust gekozen voor dit technische karakter om enig theoretisch inzicht te kunnen geven in de wijze waarop electronic monitoring in computernetwerken plaatsvindt. Vergelijk ook Bekkers (1993: p. 7).

5

HOOFDSTUK 2 COMPUTERNETWERKEN rom’s8 Hoewel in de praktijk velerlei methoden zijn bedacht waarbij verschillende gebruikers snel toegang krijgen tot dezelfde informatie en programma’s, zijn er in principe maar drie basistypen van computernetwerken: C Hiërarchische netwerken met een mainframe; C Netwerken van gelijkwaardige computers (peer-to-peer); C Cliënt/server-netwerken. Deze computernetwerken zullen hieronder kort besproken worden. 2.3.1

Hiërarchische netwerken

Afbeelding 2.1: Een hiërarchisch netwerk.

Een hiërarchisch computernetwerk (zie afbeelding 2.1)9 bestaat gewoonlijk uit één computer en een aantal werkstations (terminals). De gebruikers van deze terminals delen één gemeenschappelijke Centrale VerwerkingsEenheid (CVE). Dit heet timesharing: het delen van de processortijd. Alle informatie is daarbij op één centrale plek opgeslagen. Het grootste nadeel van dit netwerk is dat het systeem trager wordt naarmate er meer gebruikers en taken bijkomen. Systeembeheerders menen vaak - en vaak terecht - dat centrale opslag van informatie van belang is om de integriteit van gegevens te waarborgen. Indien gegevens namelijk op verschillende locaties worden opgeslagen, dan bestaat het gevaar dat ze slechts op een paar plekken worden bijgewerkt, met als gevolg onbruikbare of verkeerde gegevens elders. Eindgebruikers willen direct (decentraal) op hun werkplek gegevens raadplegen, zodat ze met actuele informatie kunnen werken. Bij de eerste informatiesystemen was dit conflict tussen centrale automatisering (gegevensbeveiliging) en lokale automatisering (betere functionaliteit) moeilijk oplosbaar. De huidige generatie multi-user en netwerksoftware biedt echter mogelijkheden die voorheen alleen bij zelfstandig werkende toepassingen werden aangetroffen. 2.3.2

Peer-to-peer-netwerken

8

Currid and Company (1993: p. 9). Currid and Company (1993: p. 10).

9

6

HOOFDSTUK 2 COMPUTERNETWERKEN

Afbeelding 2.2: Een peer-to-peer-netwerk.

Een ‘peer-to-peer’-netwerk (zie afbeelding 2.2)10 is een computernetwerk waarbij gekoppelde PC’s gebruik maken van elkaars faciliteiten. Het grootste voordeel van dit netwerk is dat iedere gebruiker van het netwerk kan werken met randapparatuur (schijfstations, printers en modems) die is aangesloten op een bepaald werkstation. Een ander voordeel is dat gewerkt kan worden met gemeenschappelijke software die op één van de computers is opgeslagen. Gegevens zijn hierbij gecentraliseerd opgeslagen en kunnen goed beveiligd worden, terwijl ze toch voor alle netwerkgebruikers toegankelijk blijven. Nadeel van deze netwerken is dat de prestaties lager zijn dan wanneer een aparte server wordt gebruikt. Ook kunnen er minder mensen tegelijk gebruik maken van dit netwerk dan bij een cliënt/server-netwerk het geval is. 2.3.3

Cliënt/server-netwerken

Het derde type computernetwerk betreft het cliënt/server-netwerk. Afbeelding 2.311 geeft een voorbeeld van dit netwerk. Bij dit type wordt bepaalde apparatuur uitsluitend gebruikt voor het leveren van diensten aan het netwerk. Het belangrijkste apparaat is de fileserver, een centrale computer waaromheen het computernetwerk is opgezet. Op de fileserver draait het besturingssysteem van het netwerk. De server vormt de verbinding tussen de gebruikers en de vaste schijven met gegevens en programma’s. Behalve fileservers zijn er ook andere typen servers, zoals servers voor een fax, printer, modem, database of E-mail. Door computers of randapparatuur exclusief voor bepaalde taken in te zetten, zijn de prestaties beter dan bij een peer-to-peer-netwerk. Niet alleen is de snelheid veel hoger, maar ook is de opslag van gegevens verder gecentraliseerd. De gegevens zijn daardoor beter beveiligd en er is minder routine-onderhoud nodig.

10 11

Currid and Company (1993: p. 13). Currid and Company (1993: p. 14).

7

HOOFDSTUK 2 COMPUTERNETWERKEN

Afbeelding 2.3: Een cliënt/server-netwerk.

2.3.4

Voordelen van computernetwerken

Aan het gebruik van een computernetwerk zijn veel voordelen verbonden, ongeacht of het een hiërarchisch, peer-to-peer of een cliënt/server-netwerk is. In eerste instantie wordt de aanschaf van een computernetwerk vaak gerechtvaardigd als een methode om dure randapparatuur samen te delen (in een werkgroep kunnen bijvoorbeeld alle leden gebruik maken van dure printers en modems). Naarmate een computernetwerk groeit en geïntegreerd raakt in een organisatie, worden andere voordelen belangrijker. Vooral peer-to-peer- en cliënt/server-netwerken hebben namelijk de mogelijkheid om naast computers ook mensen met elkaar te verbinden. Een LAN biedt een effectieve manier om via E-mail en andere software onderling te communiceren. Berichten kunnen snel over een netwerk verzonden worden, werkplannen kunnen eenvoudig worden aangepast als er wat verandert en men kan simpel afspraken maken zonder eerst een aantal telefoontjes te hoeven plegen. Een computernetwerk kan er kortom toe bijdragen de manier waarop een organisatie bepaalde activiteiten aanpakt, in een nieuwe vorm te gieten. Het gebruik van werkgroepsoftware reduceert de noodzaak van persoonlijke contacten en andere tijdrovende methoden voor het distribueren van gegevens. Bovendien kan de interactie tussen medewerkers vanaf hun werkstations toenemen.

2.4

Computernetwerken in soorten en maten

Naast de indeling in hiërarchische, peer-to-peer en cliënt/servernetwerken is er ook een indeling te maken naar grootte en reikwijdte van een computernetwerk. In paragraaf 2.2 is deze indeling reeds kort aangehaald. Het betreft het onderscheid dat gemaakt kan worden tussen een lokaal computernetwerk (LAN) en een computernetwerk dat zich uitstrekt over grote afstanden (WAN). LAN’s en WAN’s zijn naar hun aard niet echt verschillend van elkaar. In beide gevallen gaat het om een verzameling computers die via communicatiekanalen in een computernetwerk met elkaar verbonden zijn. Deze communicatiekanalen en verbindingen verschillen bij een LAN en WAN hoogstens qua vorm, niet qua functie.

8

HOOFDSTUK 2 COMPUTERNETWERKEN Een computernetwerk is feitelijk in drie lagen opgebouwd. Deze gelaagde structuur is terug te vinden in onderstaande tabel: Laag

Voorbeeld LAN

Voorbeeld WAN

Netwerkapplicatie (onafhankelijk van het soort netwerk)

E-mail, Netscape

E-mail, Netscape

Logisch netwerk (o.a. netwerkprotocol)

IPX, SPX

TCP/IP

Fysiek netwerk (o.a. kabels)

Ethernet, UTP

Telefoonlijnen, glasvezel

Afbeelding 2.4: Gelaagde structuur van computernetwerken.

Om ten aanzien van de onderscheiden lagen een beter inzicht te krijgen zullen deze lagen, maar ook de genoemde voorbeelden, hieronder kort worden toegelicht. Netwerkapplicaties Onder een netwerkapplicatie moet worden verstaan alle software waarvan de toepassing niet (primair) is gericht op het tot stand brengen en in stand houden van netwerkverbindingen en netwerktransport. Het betreft dus wel programma’s die gebruik maken van netwerkverbindingen en netwerktransport. Voorbeelden van netwerkapplicaties zijn E-mail en het programma Netscape. Logische netwerken Onder logische netwerken moet worden verstaan de ‘software’ die primair is gericht op het tot stand brengen en in stand houden van netwerkverbindingen en netwerktransport. Voorbeelden van logische netwerken zijn voornamelijk netwerkprotocollen zoals IPX/SPX en TCP/IP.12 Netwerkprotocollen bepalen op welke wijze informatie tussen computers wordt uitgewisseld en welke faciliteiten bij die uitwisseling worden geleverd. Om deze uitwisseling vlekkeloos te laten geschieden wordt bij netwerkprotocollen onder andere gebruik gemaakt van adressering. Adressering houdt in dat een computer in een computernetwerk een unieke waarde (nummer of naam) krijgt toebedeeld. De adressering is dus te vergelijken met het verzenden van een brief aan een persoon (in dit geval een computer) waarbij je de naam en het adres van die persoon (naam of nummer van een computer) gebruikt om er voor te zorgen dat de post bij de juiste persoon (computer) beland. Indien een poststuk (data) in een computernetwerk te groot is, wordt het opgedeeld in kleine pakketjes (packets). Deze packets kunnen ieder via een andere route verzonden worden. Uiteindelijk komen de packets aan bij de PC van bestemming en worden ze wederom ‘in elkaar gezet’ tot de oorspronkelijke data. Dit proces wordt packet-switching genoemd. Concrete voorbeelden van netwerkprotocollen en adressering zullen verderop in dit hoofdstuk besproken worden. Fysieke netwerken Fysieke netwerken zijn de onderdelen van een computernetwerk die worden betiteld met de naam ‘hardware’. Het zijn de onderdelen die je kunt zien en voelen. Voorbeelden van fysieke netwerken zijn onder andere de computers, printers en netwerkkaarten maar ook ethernet-, telefoon- en glasvezelkabels.

12

De netwerkprotocollen IPX/SPX en TCP/IP worden verderop in het hoofdstuk toegelicht.

9

HOOFDSTUK 2 COMPUTERNETWERKEN

2.5

Een LAN gebaseerd op Novell NetWare

Hierboven zijn in het algemeen de kenmerken van een Local Area Network besproken. Een LAN wordt vooral door bedrijven en andere organisaties gebruikt om efficiënt informatie uit te wisselen en gezamenlijk gebruik te maken van netwerkfaciliteiten. In deze paragraaf wordt gekeken naar het softwarepakket NetWare van Novell en de netwerkprotocollen IPX/SPX. Novell NetWare Het software pakket NetWare van Novell is een besturingssysteem dat communicatie tussen netwerkgebruikers mogelijk maakt. Het programma verwerkt aanvragen (requests) voor bestanden op een harde schijf van een server (het besturingssysteem MS-DOS doet hetzelfde voor zelfstandige computers). NetWare is ontworpen om aanvragen van verschillende gebruikers af te handelen en de gegevens die de gebruikers nodig hebben aan allen beschikbaar te stellen. Het programma heeft twee primaire functies:13 C Het fungeert als een schakelkast. De fileserver ontvangt een request van een gebruiker en stuurt een reactie naar die persoon terug. In het eenvoudigste geval worden berichten van het ene naar het andere werkstation verzonden. In andere gevallen kunnen gebruikers voorzieningen op een ander werkstation (printers, modems etc.) benaderen. C Het programma biedt een gemeenschappelijke omgeving voor de opslag van toepassingen en gegevens. Indien een toepassing op de fileserver staat, is het niet nodig om deze op elk afzonderlijk werkstation te installeren. De configuratie van software wordt daardoor eenvoudiger, evenals het installeren van een nieuwe versie van een toepassing. NetWare maakt gebruik van netwerkprotocollen en kent een gelaagde structuur. In de onderstaande afbeelding is deze gelaagde structuur schematisch weergegeven:14 Layer Application

SAP

Transport

NCP

Network

File server

... SPX

IPX

Data link

Ethernet

Token ring

ARCnet

Physical

Ethernet

Token Ring

ARCnet

Afbeelding 2.5: Gelaagde structuur van Novell NetWare.

Bij het fysieke netwerk (data link + physical) kan gekozen worden uit drie verschillende netwerksystemen. Ethernet en Token Ring zijn gebaseerd op standaarden die zijn vastgelegd door het Institute of Electrical and Electronics Engineers (IEEE). ARCnet bestaat op basis van afspraken tussen fabrikanten. NetWare maakt gebruik van een relatief onbetrouwbaar en connectieloos internetwerk-protocol genaamd IPX. Dit protocol verzendt packets van de computer van de afzender (source) naar de geadresseerde computer

13 14

Currid and Company (1994: p. 57). Tanenbaum (1996: p. 45).

10

HOOFDSTUK 2 COMPUTERNETWERKEN (destination). Boven het IPX komt een connectie-georiënteerd protocol genaamd NCP (Network Core Protocol). NCP levert bovendien behalve transport ook andere diensten en vormt het ‘hart’ van NetWare. SPX is een tweede transportprotocol. Het verzenden van de packets wordt gedaan door de fileserver die daartoe gebruik maakt van een protocol genaamd SAP (Service Advertising Protocol). Op deze wijze vindt de communicatie tussen de fileserver en een computer plaats.

2.6

Electronic monitoring in een NetWare LAN

Met software zoals Novell NetWare kunnen verschillende aspecten van netwerkverkeer in een LAN in de gaten worden gehouden. Ik wil een onderscheid maken tussen electronic monitoring in het algemeen en electronic monitoring om specifiek het gedrag van individuen te observeren. Electronic monitoring werd oorspronkelijk gebruikt om te kijken naar de belasting van computernetwerken en ter voorkoming van misbruik van de netwerken. Dit misbruik kan bestaan uit het inbreken in computernetwerken maar bijvoorbeeld ook het spelen van netwerkspellen (een bekend voorbeeld is DOOM, een multiplayer game waarin verschillende deelnemers elkaar in een virtueel doolhof beschieten) die de prestaties van het computernetwerk verlagen. Verder is het mogelijk om te zien welke gebruikers inloggen en uitloggen op een netwerk, hoeveel pagina’s door een gebruiker worden geprint, welke CD-ROM’s vaak worden geraadpleegd en welke programma’s op de server het meest worden gebruikt. In een netwerk, waarbij gebruik wordt gemaakt van NetWare, kan electronic monitoring ook worden ingezet om het netwerkgedrag van individuen te monitoren. Doordat bij NetWare gebruik wordt gemaakt van netwerkprotocollen zoals IPX, NCP en SPX en netwerkkaarten met unieke nummers, is het mogelijk om dataverkeer met behulp van electronic monitoring tot een specifieke computer te herleiden. Er zijn diverse programma’s voorhanden om handelingen van individuen in hetzelfde computernetwerk te kunnen achterhalen. Eén van die programma’s betreft de packet-sniffer. Met behulp van een packet-sniffer kan iemand die op hetzelfde computernetwerk is aangesloten data-packets van een willekeurige gebruiker onderscheppen. Het zal echter enige moeite kosten om herleiding van (verzamelingen van) packets tot individuen mogelijk te maken. Daarvoor moet men weten welke gebruiker een specifieke netwerkkaart of IP-adres gebruikt. Packet-sniffing is vergelijkbaar met het aftappen van telefoongesprekken. Bij het aftappen kan apparatuur zo ingesteld worden dat gesprekken van iemand vanaf een specifieke telefoon afgeluisterd kan worden. Bij packet-sniffing gebeurt ongeveer hetzelfde. De packet-sniffers (of packetanalyzers) zelf en informatie over deze pakketten zijn gratis, maar in een testversie (shareware) op het Internet te vinden en kunnen (weliswaar met enige moeite) door een gevorderde computergebruiker worden toegepast.15 Het (ongeoorloofd) gebruik van electronic monitoring kan aldus een inbreuk veroorzaken op de privacy van computergebruikers. Overigens moet worden opgemerkt dat lang niet iedere computergebruiker de bovenstaande voorbeelden van electronic monitoring kan uitvoeren. Een systeembeheerder van een LAN kan per gebruiker op een netwerk bepalen welke programma’s deze tot zijn beschikking krijgt en (delen van) een netwerk beveiligen tegen misbruik. Op deze manier wordt krijgt een computernetwerk een zekere hiërarchie: een systeembeheerder is vaak ‘supervisor’ en kan alle handelingen op een netwerk verrichten terwijl individuele gebruikers slechts een beperkt aantal mogelijkheden hebben. Na de behandeling van een LAN met het programma NetWare zal stil worden gestaan bij het Internet als voorbeeld van een WAN.

15

Zie http://www.seaslug.org/meetings/9501/etherpres.html en http://penta.ufrgs.br/gereint/esna.html

11

HOOFDSTUK 2 COMPUTERNETWERKEN

2.7

Geschiedenis van het Internet

Hoewel de echte doorbraak van het Internet pas begin jaren negentig heeft plaatsgevonden als gevolg van de ontwikkeling van het World Wide Web door onderzoekers van het Conseil Européen pour la Recherche Nucleaire (CERN), begon de geschiedenis van het Internet eind jaren ’60. Het Amerikaanse ministerie van Defensie startte een onderzoeksproject naar computernetwerken voor militaire doeleinden en in dit kader werd toen het zogenaamde ARPANET (Advanced Research Projects Agency experimental packet-switched network) opgezet. Het ARPANET bestond aanvankelijk uit vier machines op universiteiten van Los Angeles, Santa Barbara, Stanford en Utah.16 Het doel van deze koppeling was het ontwikkelen van een netwerk voor de Amerikaanse defensie dat een nucleaire aanval zou kunnen weerstaan. Als een schakel in het netwerk door een atoombom buiten werking gesteld zou worden, dan moest het mogelijk zijn om een bericht te allen tijde nog via de overgebleven schakels te verzenden. Het systeem werd voornamelijk in de universitaire wereld getest en gebruikt. In de loop van de jaren ‘70 werd dit netwerk aangevuld met tientallen machines. In 1981 waren het er reeds 213.17 De echte groei van het netwerk begon pas midden jaren ‘80. In die tijd kwamen Local Area Networks sterk op en bestond in de VS de behoefte om deze LAN’s met elkaar te verbinden. Het ARPANET werd hierbij als ‘verbindingsmiddel’ gebruikt. Het Internet is echter niet alleen ontstaan op basis van het ARPANET. In 1979 werd USENET, netwerknieuws, opgezet. USENET staat voor de verzameling van computers die elektronische artikelen uitwisselen. Oorspronkelijk bestond het ‘USENET-netwerk’ uit een klein aantal Unix-computers die via telefoonlijnen met elkaar waren verbonden.18 Later vond de uitwisseling van artikelen via vaste lijnen plaats en groeide het aantal computers dat aan de verspreiding van netwerknieuws meedeed enorm. Het USENET was oorspronkelijk een apart netwerk. Tegenwoordig is het netwerk in veel gevallen geïntegreerd met het Internet.19 De groei van het Internet werd ook in de hand gewerkt door het ontstaan van verschillende andere netwerken naast het ARPANET, zoals het NSF-net in de VS en het EUnet in Europa. Al snel werden allerlei koppelingen gelegd tussen deze netwerken en op deze wijze ontstond het Internet. Het Internet is inmiddels uitgegroeid tot een mondiaal netwerk met (tientallen) miljoenen gebruikers. Inmiddels heeft het Internet zijn plaats als nieuw medium waargemaakt. De verwachting is dat het Internet (of een opvolger van Internet) steeds explosiever zal gaan groeien en uiteindelijk elke uithoek op de wereld met het Internet verbonden zal gaan worden.

2.8

Structuur van het Internet

Schalken en Flint definiëren Internet als “een wereldwijd non-hiërarchisch georganiseerde samenwerking van autonome, verbonden netwerken, die communicatie tussen computersystemen ondersteunen op basis van vrijwillige toepassing van openbare protocollen en procedures gedefinieerd in Internet Standaards, beter bekend als TCP / IP protocollen”.20 Deze auteurs gaan uit van een non-hiërarchische samenwerking. Dit beeld doet echter geen recht aan tal van organisaties, die nationaal en internationaal betrokken zijn bij de verdere ontwikkeling en afstemming van het Internet. In deze paragraaf wordt daarom een overzicht gegeven van enkele belangrijke organisaties die samen gezien kunnen worden als “de organisatie van het Internet”. 16 17 18 19 20

Vanheste (1994: p. 29). Vanheste (1994: p. 29). Zie http://sunsite.nus.sg/pub/zen/zen-1.0_6.html Tanenbaum (1996: p. 669). Schalken & Flint (1995: p. 85).

12

HOOFDSTUK 2 COMPUTERNETWERKEN Grote computernetwerken zoals NSFnet, NLnet en SURFnet hebben ieder hun eigen NOC (Network Operations Center) en NIC (Network Information Center). Het NOC zorgt voor de dagelijkse gang van zaken (het garanderen van het functioneren van het netwerk). Elk NOC zorgt er voor dat het ‘eigen’ netwerk blijft werken, waardoor het Internet als geheel operationeel blijft. Een NIC dient als een bureau waar gebruikers terecht kunnen met vragen en opmerkingen. Een van de belangrijke verantwoordelijkheden van een NIC is het uitdelen van netwerknamen en netwerkadressen. Hieronder volgt een overzicht van enkele belangrijke organisaties die bij het Internet betrokken zijn:21 C C

C C

C

InterNIC is de organisatie die ervoor zorgt dat het Internet als geheel consistent blijft in de zin dat er geen dubbele namen en adressen ontstaan. De Internet Architecture Board (IAB) houdt zich bezig met Internet technologie. Met het succes van Internet kwam de roep om een meer formele affiliatie van de IAB. Dit resulteerde in de oprichting van de Internet Society (ISOC)22 in januari 1992. In juni 1992 werd de IAB onder de ISOC geplaatst en werd zij verantwoordelijk voor het overzicht op de architectuur op het wereldwijde multiprotocol Internet. De Internet Research Task Force (IRTF) doet onderzoek en voert diepere analyses uit met betrekking tot Internet. De Internet Engineering Task Force (IETF)23 is een organisatie die zich bezig houdt met het ontwikkelen van protocollen op Internet. De IETF is een grote, open en internationale gemeenschap van netwerk designers, operators, verkopers en onderzoekers die zich bezig houden met de evolutie van de Internet-architectuur en een vlekkeloos verloop van communicatie via Internet. De Internet Assigned Numbers Authority (IANA)24 is de centrale coördinator voor de toewijzing van unieke parameterwaarden voor Internet-protocollen. De IANA wordt ingeroepen door de Internet Society (ISOC) en de Federal Network Council (FNC). Het Internet protocol zoals gedefinieerd door de Internet Engineering Task Force (IETF) bevat een groot aantal parameters, zoals Internet-adressen, domain namen, autonome systeem nummers (worden gebruikt in sommige routing protocollen), protocol nummers, port nummers etc. Het gebruik van Internet protocollen door de Internet gemeenschap maakt het noodzakelijk dat de verschillende waarden in parameters uniek zijn. Het is de taak van de IANA om daarvoor zorg te dragen en om een registratie bij te houden van de waarden van de toegewezen parameters.

In Europa kennen we onder andere de volgende organisaties: C C

21 22 23 24

Réseaux Associés pour la Recherche Européenne (RARE). Deze organisatie heeft ongeveer dezelfde taken als het IAB. Réseaux IP Européens (RIPE) is een organisatie die verantwoordelijk is voor de technische en administratieve coördinatie van Internet in Europa. Zij heeft deze verantwoordelijkheden gedelegeerd gekregen van InterNIC. RIPE biedt ongeveer dezelfde diensten als InterNIC, maar dan voor Europa. RIPE delegeert op zijn beurt weer verantwoordelijkheid aan organisaties als EUnet, SURFnet en NLnet.

Vergelijk Vanheste (1994) en Lynch & Rose (1993). Zie http://info.isoc.org/index.html Zie http://www.ietf.org/ Zie http://www.iana.org/iana/

13

HOOFDSTUK 2 COMPUTERNETWERKEN

2.9

Internetprotocollen

Zoals reeds vermeld is het Internet een verzameling van met elkaar verbonden netwerken gebaseerd op netwerkprotocollen zoals TCP/IP. Netwerkprotocollen zijn afspraken om de communicatie tussen (delen van) computersystemen goed te laten verlopen. Het Internet kent een gelaagde structuur. Hoewel de scheiding tussen deze lagen niet altijd strikt moet worden gezien, ziet de gelaagde structuur van het Internet er als volgt uit:25 Laag

Voorbeeld

Applicatie

World Wide Web, E-mail

Transport

TCP

Internet

IP

Subnetwerk

Ethernet, Token Ring

Link

PPP, SLIP

Fysiek

Glasvezel, telefoonkabels

Afbeelding 2.6: Gelaagde structuur van het Internet.

Hieronder zal kort worden stilgestaan bij enkele onderdelen van deze gelaagde structuur. TCP/IP Ook op het Internet zijn verbindingen tussen netwerken gebaseerd op netwerkprotocollen. Aan de basis van het Internet staan twee netwerkprotocollen: Internet Protocol (IP) en het Transmission Control Protocol (TCP). Deze protocollen worden samen vaak aangeduid als TCP/IP. Internet Protocol Het Internet Protocol (vergelijkbaar met het IPX protocol bij NetWare) zorgt voor de verzending van datagrammen van een source-host naar een destination-host via (mogelijk) gateways, routers en netwerken. Een datagram is een pakketje bits dat een header en een payload (inhoud) bevat. Hieronder staat schematisch een datagram weergegeven:26

25 26

Lynch & Rose (1993: p. 83). Lynch & Rose (1993: p. 116).

14

HOOFDSTUK 2 COMPUTERNETWERKEN

1

2

3

0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 01 Version

IHL

Type of service

Identification Time To Live

Total length Flags

Protocol

Fragment offset Header Checksum

Source address Destination address Options

Padding

Afbeelding 2.7: Datagram.

De informatie in de header geeft de bron, de bestemming, de lengte en andere karakteristieken van de payload. De payload is de data die getransporteerd wordt van de bron naar de bestemming. Deze bron en bestemming zijn in feite niets anders dan Internet-adressen. Ieder stuk op Internet aangesloten apparatuur, zoals een computer of een router27, heeft een uniek Internet-adres (IP-adres), bestaande uit een nummer (bijvoorbeeld: 137.56.37.196) De hosts en de routers verwerken de informatie in de header (Internet-adres) van de datagrammen. De onderstaande afbeelding geeft weer dat datagrammen net als gewone post van een IP-adres (afzender) naar een ander IP-adres (geadresseerde) worden verstuurd. Het Internet Protocol zorgt er daarbij voor dat verschillende netwerktechnologieën een gemeenschappelijke ‘set’ van diensten van data-overdracht bieden. Schematisch ziet dit proces er als volgt uit:28 Host Net A Hdr IP Hdr Data

Network A IP Hdr Data

Router

Net B Hdr IP Hdr Data

Network B Host

Afbeelding 2.8: Verzending van datagrammen tussen computers.

Transmission Control Protocol Het Transmission Control Protocol (TCP, vergelijkbaar met NCP en SPX bij NetWare) opereert boven het Internet protocol en zorgt er voor dat de verschillende packets worden gecontroleerd en samengevoegd. 27 28

Routers zijn speciale computers (tussenstations) waarlangs datagrammen gaan om van host A naar host B te komen. Lynch & Rose (1993: p. 82).

15

HOOFDSTUK 2 COMPUTERNETWERKEN TCP maakt als het ware de IP-’dienst’ betrouwbaar. Andere verbindingen met het Internet Hierboven is steeds van de situatie uitgegaan dat een computer rechtstreeks deel uitmaakt van het Internet en dus een eigen vast IP-adres heeft. Veel particulieren zullen echter via een dial-up verbinding met het Internet zijn verbonden. Er wordt dan met een computer en een modem naar een service-provider gebeld. Deze service provider heeft dan wel een vast IP-adres. Command line access Command line access via een lokale serviceprovider was vroeger de meest gebruikte manier om het Internet op te komen. In feite is de computer van degene die inbelt bij een serviceprovider dan een terminal. Belangrijk om te vermelden is dat met command line access de computer niet rechtsreeks met het Internet is verbonden. Beter gezegd: de computer heeft geen eigen IP-adres. In plaats daarvan wordt het IP-adres van de computer van de serviceprovider (de host) gebruikt. In de praktijk merk je hier weinig van. In één geval is er wel een verschil merkbaar. Wanneer een gebruiker een bestand wil downloaden van een FTPsite29 zal het bestand naar de computer van de service-provider worden gestuurd en niet naar de eigen PC. IP-access Behalve via command-line access kan met een modem ook een speciaal soort netwerkverbinding met de service-provider tot stand worden gebracht. Hierbij wordt dan met het standaard Internet Protocol gecommuniceerd. Er wordt feitelijk gebruik gemaakt van een van de twee speciale versies van het TCP/IP protocol: SLIP (Serial Line Internet Protocol) of PPP (Point-to-Point Protocol). De computer van de gebruiker krijgt dan een tijdelijk IP-adres toegewezen, waardoor de computer tijdens deze verbinding wel rechtstreeks onderdeel uitmaakt van het Internet. Tijdens een FTP-sessie wordt een bestand dan ook echt naar de eigen computer gehaald. SLIP en PPP30 Hierboven zijn al kort SLIP en PPP genoemd. Beide zijn protocollen om toegang te krijgen tot een netwerk (zoals het Internet). SLIP (Serial Line Internet Protocol) is van de twee het eenvoudigst. Met SLIP kunnen alleen datagrammen worden verzonden. Wanneer dit protocol gecombineerd wordt met bijvoorbeeld een netwerkprotocol als Novell NetWare dan blijkt SLIP vaak tekortkomingen te hebben. SLIP biedt bijvoorbeeld geen mechanisme om de authenticiteit van de binnengekomen verbinding te waarborgen. PPP (Point-to-Point Protocol) ondersteunt wel verschillende protocollen op dezelfde verbinding. Bovendien heeft PPP een mechanisme waarmee automatisch een IP-adres wordt toegewezen aan de computer waarmee wordt ingebeld (remote device). Een dial-up router wijst een IP-adres toe uit een voorraad van adressen. Dit adres wordt gebruikt zolang de verbinding in stand wordt gehouden. Als de verbinding wordt verbroken wordt het IP-adres weer toegevoegd aan de voorraad.

2.10 Diensten op Internet In de voorgaande paragrafen is gesproken over Internet als een verzameling van netwerken. Internet staat ook voor een verzameling van diensten en applicaties. In onderstaande tabel is deze verzameling wat nader

29

30

Een FTP-site is een computer waar informatiebestanden opstaan die door computergebruikers naar de eigen computer kunnen worden overgehaald. FTP staat voor File Transfer Protocol. Lynch & Rose (1993: p. 605).

16

HOOFDSTUK 2 COMPUTERNETWERKEN uitgelegd: Mogelijkheden

Toepassing

Programma’s

Communicatie

-

E-mail Discussielijsten Nieuwsgroepen

-

P-mail Via E-mail Trumpet

Remote login

-

Telnet (terminal emulatie)

-

Telnet

Bestandsoverdracht

-

File Transfer Protocol

-

FTP

FTP-archieven

-

Archie

-

via telnet of gopher.

Navigatiediensten

-

-

Diverse programma’s

-

Gopher WAIS (Wide Area Information Server) WWW.

-

Netscape

-

X.500

Persoonsgegevens

Afbeelding 2.9: Mogelijkheden, toepassingen en programma’s op Internet.

In hoofdstuk 5 zal dieper op de eigenschappen en mogelijkheden van een aantal van de bovenstaande toepassingen en programma’s worden ingegaan.

2.11 Monitoring op Internet Er is veel zin en onzin beweerd over de veiligheid van het Internet. Er zijn mensen die vinden dat het Internet één grote inkijkoperatie is en er zijn ook mensen die vinden dat het Internet goed beveiligd is. Zoals zo vaak bij dit soort tegenstellingen ligt de waarheid ergens in het midden. De basis van een Internetsessie is de overdracht van informatie (in de vorm van data-packets) van één computer naar een andere computer, waarbij gebruik wordt gemaakt van het TCP/IP protocol. Elke actie tijdens zo’n sessie (dus ook het intypen van een password) wordt in de vorm van data-packets verzonden. Deze data-packets leggen daarbij een route af. Deze route kan op Unix-computers met het programma Traceroute en op Windows’95-systemen met het programma Tracert inzichtelijk worden gemaakt. Tijdens het afleggen van de route passeert een packet een aantal andere computers voordat deze uiteindelijk terechtkomt bij de computer waarvoor de data bedoeld is. Tijdens de Internetsessie zijn er verschillende momenten waarop electronic monitoring succesvol kan worden toegepast. Allereerst wil ik vermelden dat bij Internetsessies met applicaties zoals FTP, X-500, Gopher, Telnet wordt bijgehouden vanaf welk IP-adres wordt ingelogd en uitgelogd. Bovendien kan worden gelogd welke bestanden of pagina’s worden opgevraagd van een FTP-machine of een Webserver. Alhoewel de naam van een computergebruiker over het algemeen niet (direct) kan worden gelogd, wordt wel het IP-adres van de machine van de computergebruiker gelogd en waar deze vandaan komt. Met enige moeite kan vervolgens de identiteit van de computergebruiker vastgesteld worden. Ook de systeembeheerder van een computernetwerk waarin gebruikers gebruik maken van Internet heeft verschillende mogelijkheden om het Internetgedrag van deze gebruikers te observeren. Vaak kan hij E-

17

HOOFDSTUK 2 COMPUTERNETWERKEN mailberichten van gebruikers onderscheppen en lezen. In principe kan hij met behulp van een packet-sniffer elk gedrag vanaf een IP-adres of netwerkkaart in de gaten houden. Vaak weet hij ook welke gebruiker van een specifiek IP-adres of netwerkkaart gebruik maakt en kan hij het Internetgedrag van individuen dus observeren. Het gebruik van een packet-sniffer is overigens niet alleen voorbehouden aan de systeembeheerder. Iedere computergebruiker kan met enige computerkennis een packet-sniffer gebruiken. In principe kan tijdens de gehele route die een packet aflegt een packet-sniffer worden ingezet. Met behulp van de juiste programmatuur is het mogelijk ergens in deze route in te breken om vervolgens data af te tappen en eventueel zelfs te veranderen. Indien tijdens zo’n sessie een gebruikersnaam en een password worden verzonden dan kunnen deze gegevens bovendien worden geobserveerd en gebruikt om later in te loggen op de betreffende computer. Hoe dit concreet werkt, wordt in hoofdstuk 5 aan de hand van een aantal voorbeelden uitgelegd.

2.12 Computernetwerken: een conclusie In dit hoofdstuk is stilgestaan bij de eigenschappen van computernetwerken. Eerst is aangegeven welke netwerkvormen bestaan. Vervolgens is gekeken naar de kenmerken van een LAN gebaseerd op het softwareproduct Novell NetWare. Bovendien is aangegeven wat de technische aspecten zijn om electronic monitoring in een LAN toe te passen. Verderop in het hoofdstuk is aandacht besteed aan Internet. De geschiedenis, de structuur, protocollen en andere technische aspecten passeerden de revue. Een algemene conclusie die volgt uit dit hoofdstuk is dat netwerkverkeer wellicht complex van aard is maar in essentie teruggebracht kan worden tot de overdracht van gegevens van één computer naar een andere computer. Deze overdracht komt tot stand met behulp van communicatieprotocollen, waarbij data soms een aantal andere computers passeert voordat de bestemming wordt bereikt. Dit betekent in theorie dat mogelijkheden kunnen worden ontwikkeld om deze data te volgen, te bekijken en te veranderen. Deze mogelijkheden voor electronic monitoring komen niet aan iedere computergebruiker toe, maar vooral aan systeembeheerders en computergebruikers met (gevorderde) kennis van computernetwerken.

18

HOOFDSTUK 3 INFORMATISERING EN ORGANISATIE

3 INFORMATISERING EN ORGANISATIE 3.1

Inleiding

De introductie van informatie- en communicatietechnologie (ICT) die zich momenteel in onze maatschappij voordoet, lijkt een ontwikkeling die niet te stoppen is. Met duizelingwekkende snelheid wordt de mensheid overspoeld door nieuwe technische communicatiemiddelen zoals de PC, het Internet, mobiele telefonie en elektronisch betalingsverkeer. De verwachting is dat het begin van de eenentwintigste eeuw in het teken zal staan van de samensmelting van computer, telecommunicatiemiddelen en media tot nieuwe ICT-produkten gebaseerd op digitale technieken.31 De introductie en het gebruik van ICT in onze maatschappij wordt ook wel informatisering genoemd. Informatisering staat echter voor meer dan alleen het gebruik van ICT. Informatisering omvat ook de (her)inrichting van de bestaande informatierelaties en informatiestromen, de aanpassing van organisatiestructuren, het opstellen van een informatiebeleid en de introductie van specifieke expertise op het terrein van deze technologie (zoals kennis van systeembeheer).32 De ontwikkelingen rondom ICT leiden soms tot heftige debatten over ‘hot issues’ zoals werkgelegenheid en privacy maar ook het gat tussen mensen die wel en mensen die niet beschikken over (en kunnen werken met) ICT. In dit hoofdstuk besteed ik aandacht aan de introductie van informatisering in organisaties. Daarbij worden de gevolgen besproken van de introductie van deze middelen voor de organisatie zelf, medewerkers, management en klanten. Daarbij kijk ik specifiek naar de wijze waarop electronic monitoring door organisaties kan worden ingezet.

3.2

Informatisering: een inleiding

Informatisering zorgt voor grote veranderingen binnen organisaties. Deze veranderingen betreffen niet alleen de primaire processen binnen een organisatie maar ook de structuur van organisaties en de relaties tussen organisaties. Monitorsystemen en kengetallen geven nieuwe impulsen aan sturing en controle van organisatieactiviteiten. Ook de cultuur van organisaties verandert onder invloed van informatisering. Deze cultuur wordt steeds meer gekenmerkt door snelheid, efficiency en zakelijkheid.33 Informatisering verwijst naar een conglomeraat van processen:34 a. b. c. d. e.

31 32 33 34

De introductie van informatietechnologie om belangrijke delen van de informatievoorziening met behulp van geautomatiseerde informatiesystemen gestalte te geven; De introductie van specifieke expertise op het terrein van informatietechnologie in de vorm van functionarissen met taken op dat terrein; De (her)inrichting van interne en externe informatiestromen en informatierelaties ten behoeve van de bestuurlijke informatieverzorging; De ontwikkeling van informatiebeleid als een gedifferentieerd beleid binnen de organisatie; De aanpassing c.q. verandering, van de interne en externe organisatiestructuur waarin de informatietechnologie wordt geïntroduceerd.

Dutton (1996: p. v). Vergelijk Bekkers (1993: p. 7) en Zuurmond (1994: p. 1). Zuurmond e.a. (1994: p. 15). Zuurmond e.a. (1994).

19

HOOFDSTUK 3 INFORMATISERING EN ORGANISATIE

Een korte toelichting op deze processen geeft Frissen in zijn boek “De virtuele staat”.35 Deze toelichting wil ik graag overnemen om later in dit hoofdstuk de specifieke eigenschappen van electronic monitroing te kunnen geven. ad a.

ad b.

ad c.

ad d.

ad e.

Informatisering is een complex van fenomenen rondom technologische ontwikkelingen. Deze technologische ontwikkelingen hebben betrekking op het proces van informatievoorziening dat met behulp van geautomatiseerde informatiesystemen gestalte krijgt. In een proces van informatisering zijn professionals en expertise van groot belang. Binnen organisaties ontstaan nieuwe subculturen en nieuwe strategische afhankelijkheden. Dat laatste wordt nog versterkt doordat veel expertise door organisaties extern wordt betrokken. In de informatisering van organisaties vormen explicitering, inrichting en herinrichting van informatiepatronen belangrijke aspecten. Informele patronen van informatievoorziening moeten vaak worden geformaliseerd teneinde sturing mogelijk te maken. Indien informatisering wordt geïntroduceerd in een organisatie wordt veelal een informatiebeleid ontwikkeld. Besluitvorming en sturing ten aanzien van informatievoorzienig worden een separaat onderdeel van beleidsvorming. Omdat er sprake is van informatiebeleid binnen en tussen organisaties ontstaan er interbestuurlijke en interorganisationele dimensies; Informatisering heeft betrekking op veranderingen en aanpassingen van de structuur en de werkprocessen van organisaties waarin de technologie wordt geïntroduceerd. Deze veranderingen zijn zowel gepland als niet gepland aangezien de inzet van ICT naast bekende effceten ook onbedoelde en ongekende effecten heeft.

Frissen geeft zelf aan dat er kritiek mogelijk is op deze definitie van informatisering. Hij noemt de aanmerkingen van De Jong die aangeeft dat de aspecten ‘cultuur’, ‘control’ en ‘people’ ontbreken.36 Deze laatste aspecten wil ik meenemen wanneer later in dit hoofdstuk de karakteristieken van electronic monitoring aan de orde komen. Ik sta echter eerst stil bij enkele algemene eigenschappen van informatisering en informatietechnologie. In de literatuur wordt aan informatietechnologie een aantal kenmerken toegekend.37 Deze kenmerken zijn: 1. 2. 3.

4. 5.

35 36 37

Zij zorgt voor een enorme vergroting van de hoeveelheid informatie en toegankelijkheid daarvan; Zij zorgt voor een sterke vergroting van de snelheid waarmee informatie kan worden verzameld, bewerkt en verspreid. Tijd en ruimte worden als barrière opgeheven. De gebruiker van informatietechnologie wordt souvereiner, in die zin dat de veelheid aan informatie en de onafhankelijkheid van tijd en plaats de gebruiker onafhankelijker maakt van degenen die de informatie ter beschikking stellen; Ook de verzenders van informatie winnen aan kracht: zij kunnen aan ‘information-targeting’ doen. Specifieke doelgroepen kunnen gericht informatie krijgen; Er zitten decentralisatietendensen in de informatisering, in die zin dat de prijs-prestatieverhouding zodanig is gewijzigd dat informatietechnologie (IT) nu voor iedereen praktisch beschikbaar is. Wel kan er, in verband met de steeds strenger wordende systeemtechnische vereisten van transparantie, een zekere versmalling van opties optreden, zodat er de facto wellicht gesproken kan worden van decentralisatie in het kader van centralisatie;

Frissen (1996: p. 48). De Jong (1994: p. 27) in: Frissen (1996: p. 49). Arterton en Orren in: Zuurmond e.a. (1994: p. 15).

20

HOOFDSTUK 3 INFORMATISERING EN ORGANISATIE 6.

De nieuwe technologie biedt een veel directere mogelijkheid voor interactie tussen gebruiker en verzender.

Informatisering biedt zowel kansen als bedreigingen. Deze kansen en bedreigingen vloeien voort uit de kenmerken van informatisering. Een belangrijk aspect van informatisering betreft de invloed op machtsverhoudingen in onze maatschappij. Onderzoek van Danziger et al. heeft uitgewezen dat informatisering bestaande machtsverhoudingen in organisaties zal versterken.38 De personen die het in een organisatie voor het zeggen hebben, zullen in staat zijn de informatisering naar hun hand te zetten, en daarmee hun positie extra te versterken. Informatisering kan bovendien worden aangewend als een instrument voor verdere beheersing van een organisatie.39 Informatisering lijkt dan ook sturing en beheersing nieuw leven in te kunnen blazen.

3.3

Intermezzo

Wanneer we kijken naar het verleden dan heeft de mens steeds getracht middelen te ontwikkelen om de capaciteit van het menselijk lichaam en geest te vergroten teneinde meer werk te kunnen verzetten. Vooral tijdens de industriële revolutie heeft dit streven geresulteerd in machines die het menselijk lichaam konden vervangen als werktuig. Omdat machines heel precies een bepaalde handeling veelvuldig kunnen uitvoeren, kunnen ze - veel makkelijker dan mensen - worden gecontroleerd en beheerst op basis van een aantal rationele principes. De huidige (informatie)technologie verschilt van eerdere generaties technologie. Hoewel ICT ook wordt gebruikt om werkprocessen te veranderen teneinde de menselijke arbeid te vervangen, is ICT een intelligente technologie. Zuboff duidt deze eigenschap van ICT met de term ‘informating capacity’.40 ICT ondersteunt en substitueert processen maar verzamelt tegelijkertijd ook informatie over die processen. Frissen noemt de ‘informating capacity’ van ICT daarom ook wel reflexieve capaciteit.41 In de volgende paragrafen wil ik gaan kijken welke gevolgen ICT heeft voor organisaties, organisatiestructuren en de mens in de organisatie.

3.4

Informatisering en organisatie

ICT, zo is hierboven betoogd, verandert niet alleen de organisatieactiviteiten maar ook de organisatie zelf. Onderzoek aan het Massachusetts Institute of Technology heeft aangetoond dat ICT het vermogen heeft om organisationele arrangementen te modificeren en te automatiseren waardoor kosten kunnen worden verminderd.42 ICT kan ook worden gebruikt om strategische beslissingen te nemen. Welke invloed ICT heeft op die beslissingen hangt af van de rol van ICT in de organisatie. Wanneer men kijkt naar die rol stuit men op drie problemen:43 1. Afstemmingsprobleem Het is vaak moeilijk om ICT-strategieën en organisatiestrategieën op elkaar af te stemmen omdat ICT-strategieën vaak in relatieve isolatie zijn geformuleerd.

38 39 40 41 42 43

Danziger et al (1982). Frissen (1989: p. 27). Zuboff (1988). Frissen (1995). Coombs en Hull (1996) in: Dutton (1996: p. 160). Coombs en Hull (1996) in: Dutton (1996: p. 161).

21

HOOFDSTUK 3 INFORMATISERING EN ORGANISATIE 2.

3.

Cultuurprobleem Er is sprake van een cultuurverschil tussen ICT-professionals en het management van een organisatie hetgeen bij het gevestigde management zorgde voor afkeer van ICT. Naarmate de technologie belangrijker werd voor de activiteiten van de organisatie en ICT-managers opklommen in de hiërarchie van de organisatie, nam deze afkeer van het gevestigde management toe. Produktiviteitsprobleem Een analyse van toenemende investeringen in ICT wees uit dat deze investeringen niet resulteerden in corresponderende verhogingen in produktiviteit.

Tot het jaar 1990 kon de introductie van ICT in organisaties worden aangemerkt als een langzaam, moeilijk en conflictueus proces.44 Na deze aanvankelijke problemen gepaard gaande met de introductie, is ICT in organisaties constant verder ontwikkeld en aangepast, waardoor oorspronkelijke problemen verdwenen. Het produktiviteitsprobleem is bijvoorbeeld vervangen door het begrip in organisaties dat ICT een belangrijke deel vormt van de wijze waarop organisaties werken en dus kan zorgen voor een grotere efficiency. Investeringen in ICT worden daarom ook niet langer als problematisch gezien. In plaats daarvan is de aandacht nu verschoven naar het bereiken van kostenvermindering door organisationele herstructurering met behulp van ICT. Ook de afstemmings- en cultuurproblemen hebben plaatsgemaakt voor een andere optiek. De nadruk bij het management ligt nu meer op verandering, ICT-infrastructuur en de problemen en mogelijkheden die verbonden zijn met het aankopen van software en ICT-services. Deze ommezwaai wordt veroorzaakt door drie structurele veranderingen:45 1. In organisaties zelf hebben managers de voorkeur gegeven aan horizontaal georiënteerde processen boven verticaal georiënteerde beheersing door het management. 2. Door de globalisering ondervinden organisaties steeds meer competitie van buitenlandse organisaties waardoor de kosten verder gereduceerd moeten worden. 3. ICT en ICT-infrastructuren worden steeds meer als een onderdeel van de organisatie beschouwd. Voorheen was er veelal sprake van ICT-eilanden in organisaties. Een belangrijk gevolg van deze veranderingen was het ontstaan van de behoefte om organisatieactiviteiten op een andere wijze in te delen en uit te voeren. Deze ontwikkeling wordt ook wel Business Process Reengineering of Business Process Redesign (BPR) genoemd. Aan BPR ligt een aantal principes ten grondslag:46 C Organisaties worden begrepen in een procesperspectief dat is gefocused op een horizontale keten van activiteiten die waarde toevoegen aan het uiteindelijke produkt. Deze organisatieprocessen gaan dwars door traditionele functionele grenzen in organisaties. BPR identificeert deze processen aan de hand van te onderscheiden activiteiten. Vervolgens worden deze processen opnieuw ingericht teneinde de efficiency te vergroten. C BPR is gebaseerd op een tweetal ICT-ontwikkelingen. De eerste betreft de toenemende flexibiliteit en efficiency als gevolg van het gezamenlijk delen van databases en systemen, waardoor de traditionele ICT-eilanden verdwijnen. De tweede is de opkomst van computernetwerken en communicatie-infrastructuren in organisaties vanaf 1990. C Hoewel de grondslag van BPR ligt in calculatie is BPR altijd gepresenteerd als een brede strategie voor wereldwijde competitie die gebruikt maakt van de mogelijkheden van ICT en niet als een strategie voor ICT alleen.

44 45 46

Coombs en Hull (1996) in: Dutton (1996: p. 169). Coombs en Hull (1996) in: Dutton (1996: p. 170). Coombs en Hull (1996) in: Dutton (1996: p. 170).

22

HOOFDSTUK 3 INFORMATISERING EN ORGANISATIE

Een goed voorbeeld van BPR betreft het toenemend gebruik van operationele informatiesystemen bij de ontwikkeling van organisatiestrategieën. ICT wordt dan ingezet om informatie te genereren over de organisatie en haar klanten. Ook is er sprake van de ontwikkeling van organisatienetwerken, gebaseerd op computernetwerken, om individuen in de verschillende afdelingen van de organisatie en tussen organisaties met elkaar te verbinden. Het computernetwerk wordt daarmee een schakel in het ‘beleidsnetwerk’. De achterliggende gedachte hierbij is dat deze strategieën er van uitgaan dat in de wereldeconomie meer en meer kennisbronnen, mensen met kennis en informatie belangrijk worden en dat de invloed van kapitaal en arbeid zal gaan afnemen.47 In het algemeen concludeer ik dat ICT een belangrijke rol kan spelen bij de (her)inrichting van een organisatie en haar activiteiten. Om ICT efficiënt in een organisatie in te zetten zal de organisatie als geheel echter moeten beseffen dat ICT een deel uitmaakt van het totale organisatiebeleid. Indien dit besef aanwezig is, kan ICT een belangrijke bijdrage leveren aan het succes van de organisatie. Informatie is daarbij het belangrijkste produkt en voedingsbodem van ICT.

3.5

Human Resource Management en ICT

Nu we hebben geconstateerd dat ICT kan worden gebruikt om veranderingen te bewerkstelligen in organisaties, wil ik gaan kijken naar de invloed van ICT op de mens in die organisatie. Deze invloed manifesteert zich op tal van terreinen: C De introductie van personeel-informatiesystemen in Human Resource-afdelingen. C De vervanging van menselijke arbeid door de inzet van computers. C Controlesystemen, etc. Een aantal invloeden wil ik hieronder gaan bespreken. De aard van het werk verandert Indien ICT wordt ingezet in het arbeidsproces, hoeft er vaak minder fysieke arbeid te worden verricht. Het betekent bovendien dat veel meer mentale arbeid moet worden verricht. Doordat ICT de capaciteit heeft om een enorme stroom van gegevens te genereren, moet men constant alert observeren wat deze stroom aan gegevens betekent voor het arbeidsproces.48 ICT wordt als bedreigend beschouwd Wanneer ICT in een organisatie wordt geïntroduceerd heeft dit grote effecten voor de mensen in de organisatie. Mensen kunnen de introductie als bedreigend beschouwen in de zin dat ze vrezen dat ICT er voor zal zorgen dat het aantal beschikbare arbeidsplaatsen zal verminderen. Men is kortom bang dat ICT de eigen baan zal doen verdwijnen. Scholing Mensen vrezen vaak het verlengstuk van ICT te worden en daarmee het verlengstuk van de logica van een ander. Om deze vrees weg te nemen is het noodzakelijk om bij de introductie van ICT medewerkers te scholen in het gebruik van en de logica achter ICT.49

47 48 49

Coombs en Hull (1996) in: Dutton (1996: p. 173). Zuboff (1988: p. 189). Zuboff (1998: p. 286).

23

HOOFDSTUK 3 INFORMATISERING EN ORGANISATIE Een ander belangrijk punt betreft de wijze waarop managers ICT inzetten. Het kan dan gaan om zaken als de controle van werknemers. Ik besteed daarom nu enige aan de introductie van ICT in een organisatie en de positie van het management. Parallel aan de opkomst van ICT in organisaties, zagen we dat er methoden, zoals Business Process Redesign, werden ontwikkeld om produktieprocessen en informatiestromen in organisaties opnieuw in te richten. Daarnaast kan ICT worden ingezet om werkmethoden als just-in-time manufacturing en total quality control te ondersteunen. Het management kan daarbij gebruik maken van ICT om de beheersing van de werkprocessen op centraal niveau te kunnen uitvoeren. Niet alleen is deze centralisatie van beheersing en controle mogelijk door surveillance-systemen en discipline, gebaseerd op electronic monitoring van werk, maar eigenlijk is de beheersing ingeweven in de wijze waarop de werkprocessen en informatiestromen zijn ingericht. Hoewel deze processen dus decentraal zijn ingericht, biedt ICT toch mogelijkheden om op centraal niveau te sturen.50 Het leren sturen van deze decentrale processen door middel van ICT is van belang voor de gehele organisatie. Een gevolg hiervan kan zijn dat de structuur van organisaties ‘platter’ wordt in de zin dat het middenkader in die organisatie wegvalt. Immers, de kenmerken van ICT maken het in principe mogelijk om als management direct te beschikken over gedetailleerde informatie over de gehele organisatie. De functie van het middenkader wordt dus vervangen door ICT. Bekkers onderscheidt in zijn proefschrift vier eigenschappen van ICT als capaciteiten voor disciplinering in organisaties: 1) calculatie, 2) controle, 3) transparantie en 4) communicatie.51 In het licht van electronic monitoring in computernetwerken zal ik deze eigenschappen kort behandelen: 1.

Calculatie ICT in het algemeen - en computers specifiek - kunnen steeds grotere hoeveelheden gegevens in een sneller tempo verzamelen, opslaan en bewerken. Bij electronic monitoring is dat niet anders. Het observeren van een groot aantal werkprocessen, computers of personen is mogelijk met één druk op de knop.

2.

Controle ICT kan worden ingezet als een middel voor beheersing en disciplinering. Doordat meer informatie beschikbaar is, heeft men meer mogelijkheden om processen te controleren. Daarnaast leidt ICT tot een explicitering en fixatie van relaties in een organisatie. In een Local Area Network is er bijvoorbeeld sprake van het expliciteren en fixeren van informatiestromen en -relaties. Daarbij maakt ICT het bijvoorbeeld mogelijk om de toegang en de participatie van verschillende personen in een computernetwerk selectiever te controleren.52

3.

Transparantie Door meer gegevens met elkaar te combineren, kunnen bepaalde ontwikkelingen en relaties tussen deze ontwikkelingen eerder en duidelijker in kaart worden gebracht. Deze calculerende vermogens maken het mogelijk meer geavanceerde prognoses op te stellen. De inzet van electronic monitoring kan dan ook een bijdrage leveren aan de controlemogelijkheden in een organisatie. Doordat er meer informatie gegenereerd kan worden over het functioneren van personen of een deel van een

50

Sewell en Wilkinson in: Clark (1993: p. 137). Bekkers (1993: p. 129). Huber (1990: p. 241) in: Bekkers (1993: p. 130).

51 52

24

HOOFDSTUK 3 INFORMATISERING EN ORGANISATIE organisatie, wordt het eenvoudiger om maatregelen te nemen. Zo maken kengetallen, in combinatie met monitoringsystemen, het mogelijk om personen ter verantwoording te roepen. 4.

Communicatie De inzet van ICT zorgt er voor dat traditionele beperkingen van tijd en plaats worden opgeheven. Door het aanbrengen van allerlei digitale verbindingen kunnen organisaties bepaalde eenheden op afstand plaatsen, waardoor decentralisatie verder kan worden gestimuleerd. Een en ander leidt ertoe dat organisaties steeds meer de gedaante aannemen van een netwerk. Het beleidsnetwerk en het computernetwerk vloeien daarbij samen in één communicatienetwerk. Electronic monitoring kan worden ingezet om de communicatie in dit netwerk te controleren.

Het gebruik van electronic monitoring in organisaties kan op veel manieren plaatsvinden. Daarbij is onder meer van belang welke rol het management van een organisatie toekent aan ICT in het algemeen en electronic monitoring in het bijzonder.

3.6

De mens als marketingobject

De invloed van ICT op de mens manifesteert zich niet alleen in organisaties zelf. De stand van de techniek maakt het ook mogelijk voor organisaties om data te verzamelen over verschillende personen en deze informatie te gebruiken om vervolgens die personen te benaderen. Dit proces, waarbij ICT wordt gebruikt om op basis van profielen mensen van specifieke informatie te voorzien, wordt ook wel aangeduid met de term information targeting. De gevolgen van information targeting kennen we allemaal. Dagelijks worden we bedolven onder persoonsgerichte reclame. Deze reclame is vaak ongewenst en wordt daarom aangeduid als junk mail. Waar komt deze ‘persoonsgerichte’ reclame nu vandaan? Het antwoord is simpel: veel bedrijven trachten tegenwoordig met behulp van information targeting potentiële kopers te interesseren voor hun produkten.53 Ze weten precies waar de potentiële kopers wonen, wat ze verdienen en waar ze hun geld aan uitgeven. Tegenwoordig zien we dat bedrijven ook het Internet ontdekken als een middel om informatie te verzamelen over potentiële kopers om vervolgens deze personen te benaderen met elektronische ‘junk-mail’ in de vorm van ongewenste E-mailberichten. Indien personen gebruik maken van het Internet laten ze ongemerkt allerlei digitale sporen na. Veel mensen zullen zich niet bewust zijn van de mogelijkheden die deze digitale sporen bieden om profielen samen te stellen. Welke sporen worden nu achtergelaten? Het belangrijkste spoor betreft het E-mailadres. Op het Internet kan men allerlei software (zogenaamde evaluatieversies) downloaden indien men enkele persoonlijke gegevens invult. In bijna alle gevallen wordt dan gevraagd om een E-mailadres. Dit E-mailadres wordt vervolgens opgeslagen in een database. De gegevens in deze database kunnen vervolgens worden verkocht aan andere organisaties of bijvoorbeeld worden gebruikt om alle personen die een evaluatieversie hebben gedownload te informeren over een nieuwe versie van het betreffende softwarepakket. Er zijn echter ook andere digitale sporen die door organisatie gebruikt kunnen worden voor marketingdoeleinden. Het is bijvoorbeeld mogelijk om te loggen vanuit welk land of welke organisatie een bepaalde Internetpagina wordt bezocht. Deze informatie kan vervolgens worden gebruikt om de bewuste pagina aan te passen teneinde specifieke informatie te presenteren gericht op bepaalde bezoekers. Ook het gedrag van een bepaalde bezoeker op een website kan worden gevolgd. In het algemeen kan het gedrag worden vastgelegd in cookies: kleine elektronische bestandjes die onder meer kunnen bijhouden hoe vaak

53

Lyon (1994: p. 136).

25

HOOFDSTUK 3 INFORMATISERING EN ORGANISATIE een gebruiker een bepaalde pagina heeft bezocht. Deze gebruiker wordt een uniek nummer toegekend. Hoewel er dus geen kennis nodig is over de identiteit van de bezoeker, kan eenvoudig een profiel over de bezoeker worden samengesteld. De mogelijkheden om het surfgedrag vast te leggen en vervolgens te gebruiken voor marketingdoeleinden worden nog groter wanneer de bezoeker eerst een gebruikersnaam en een wachtwoord moet intypen om toegang te krijgen tot een website. Indien een database wordt gekoppeld aan deze website is het gedrag van deze bezoeker perfect te volgen. Het Internet biedt kortom voldoende mogelijkheden om electronic monitoring in te zetten voor marketingdoeleinden.

3.7

Enkele kanttekeningen bij de inzet van ICT

In de voorgaande paragrafen is betoogd dat ICT een waardevol instrument kan zijn in handen van een organisatie. Niettemin kent de inzet van ICT ook een aantal minder positieve kanten. ICT vergroot niet alleen de doelmatigheid, maar geeft het management ook nieuwe instrumenten om een organisatie beter te beheersen of om profielen over klanten samen te stellen. De bedoelde instrumenten hebben als nadelig effect dat soms diep wordt ingegrepen in de persoonlijke levenssfeer van mensen die het ‘doelwit’ vormen van ICT. De groeiende toepassing van ICT in allerlei onderdelen van de organisatie gaat gepaard met een enorme toename van de hoeveelheid persoonlijke gegevens die wordt verzameld, bewerkt, opgeslagen en verspreid.54 In hoeverre deze ontwikkelingen een inbreuk op de privacy van individuen tot gevolg hebben is een vraag die beantwoord gaat worden in hoofdstuk 4. Het is overigens opvallend dat privacyvraagstukken op pragmatische gronden vaak als irrelevant terzijde worden geschoven. Zowel ICT-leveranciers als ICTprofessionals zijn meesters in het ondersneeuwen van privacy door meer de nadruk te leggen op de mogelijkheden van ICT dan de gevaren.55 De mening overheerst dat de overheid essentiële privacyrechten wel zal beschermen, waardoor vaak blind de steun wordt gegeven aan nieuwe ICT-ontwikkelingen, zonder na te denken over de negatieve gevolgen. Het valt ook op dat mensen in het algemeen onderscheid maken tussen de overheid en andere organisaties, wanneer het gaat om het verzamelen en verwerken van persoonlijke gegevens. Indien een overheid persoonlijke gegevens verwerkt wordt dit in het algemeen veel gevaarlijker beoordeeld dan wanneer een commercieel bedrijf dit doet.56 Zowel voor de overheid als andere organisaties geldt echter dat het informeren van haar medewerkers en klanten kan helpen om wilde speculaties en argwaan ten aanzien van de inzet van ICT te voorkomen. Voor wat betreft de mogelijkheden van information targeting op Internet is het misschien zinvol om een (inter)nationale instantie in het leven te roepen waartoe consumenten zich kunnen wenden om in het vervolg verschoond te blijven van ongewenste E-mailberichten etc.57 In Nederland bestaat reeds de mogelijkheid om met een briefje naar Postbus 66 te voorkomen dat men nog langer ongewenste reclame krijgt.58 Misschien dat een dergelijk initiatief ook kansen heeft op Internet.

3.8

Kenmerken van electronic monitoring

54

Raab, Bellamy, Taylor, Dutton en Peltu (1996) in: Dutton (1996: p. 292). Raab (1995) in: van de Donk et al (1995). Dutton en Meadow (1987) in: Dutton (1996: p. 293). Van der Hof en Vorselaars (1996) in: Nouwt en Voermans (1996: p. 111). De Nederlandse Associatie voor Direct Marketing, Distance Selling en Sales Promotion biedt deze postbus als service aan.

55 56 57 58

26

HOOFDSTUK 3 INFORMATISERING EN ORGANISATIE Nu in de voorgaande paragrafen is stilgestaan bij de rol en de inzet van ICT in organisaties, wil ik in deze paragraaf nog kort enkele eigenschappen en mogelijkheden van ICT, toegespitst op electronic monitoring, resumeren. De inzet van electronic monitoring kan voor het functioneren van organisaties van belang zijn. Aan de hand van de kenmerken van ICT, zoals deze eerder in het hoofdstuk zijn weergegeven, wil ik dit belang onderstrepen. 1.

In het algemeen zorgt ICT voor een enorme vergroting van de hoeveelheid informatie en toegankelijkheid daarvan. Wanneer ik kijk naar de mogelijkheden van electronic monitoring dan komt dit aspect sterk naar voren. Niet alleen gegevens over de belasting van een netwerk, maar ook gegevens over specifieke applicaties, personen, produktieprocessen en informatiestromen kunnen eenvoudig worden verkregen.

2.

ICT zorgt voor een sterke vergroting van de snelheid waarmee informatie kan worden verzameld, bewerkt en verspreid. Tijd en ruimte worden als barrière opgeheven. Het verzamelen van informatie is met electronic monitoring eenvoudig en snel. On-line kan een bepaald proces gevolgd worden. Het is bovendien mogelijk om bepaalde datastromen op te slaan en later te bekijken, zonder dat bijvoorbeeld werknemers weten dat electronic monitoring wordt gebruikt. De dimensies tijd en ruimte vervallen inderdaad.

3.

De gebruiker van informatietechnologie wordt soevereiner, in de zin dat de veelheid aan informatie en de onafhankelijkheid van tijd en plaats de gebruiker onafhankelijker maakt van degenen die de informatie beschikbaar stellen. Dit aspect komt duidelijk naar voren wanneer gekeken wordt naar de informatiestromen in organisaties. Het management leunde vroeger vooral op de hiërarchie van de organisatie voor wat betreft de informatievoorziening. Om informatie te krijgen over werkprocessen of het functioneren van een medewerker is tegenwoordig het middenkader niet meer nodig. Electronic monitoring biedt mogelijkheden om als management direct en helder informatie te krijgen. De kans dat informatie vervormd wordt doorgegeven als gevolg van de interpretatie of bedoelingen van het middenkader kan aldus worden voorkomen.

4.

Ook de verzenders van informatie winnen aan kracht: zij kunnen aan ‘information targeting’ doen. Specifieke doelgroepen kunnen gericht informatie krijgen. Zeker het Internet biedt mogelijkheden om door inzet van electronic monitoring in de vorm van cookies of logbestanden over bezoekers van pagina’s, profielen samen te stellen. Vervolgens kunnen de gegevens van de bezoekers worden aangewend voor marketingdoeleinden of informatievoorziening. Daarbij hoeft de verzender van informatie geen mens te zijn. Door het opgeven van bepaalde variabelen en relaties, kan electronic monitoring in combinatie met andere software automatisch de information targeting verzorgen.

5.

Er zitten decentralisatietendensen in de informatisering, in die zin dat de prijsprestatieverhouding zodanig is gewijzigd dat informatietechnologie nu voor iedereen praktisch beschikbaar is. Wel kan er, in verband met de steeds strenger wordende systeemtechnische vereisten van transparantie, een zekere versmalling van opties optreden, zodat er wellicht gesproken kan worden van decentralisatie in het kader van centralisatie. Ten aanzien van electronic monitoring moet ik constateren dat decentralisatietendensen nog niet duidelijk aanwezig zijn. Dit wordt enerzijds veroorzaakt door de hoge prijs van de

27

HOOFDSTUK 3 INFORMATISERING EN ORGANISATIE softwarepakketten die nodig zijn om electronic monitoring uit te kunnen voeren.59 Anderzijds kan lang niet iedereen gebruik maken van electronic monitoring, gezien de benodigde toegang tot of kennis van netwerken. Systeembeheerders zullen in een organisatie vaak de aangewezen personen zijn om electronic monitoring toe te passen. Doordat de inzet van electronic monitoring inzicht opleveren in allerlei processen in een organisatie kan de positie van de systeembeheerder belangrijker worden. Controle van bepaalde organisatieprocessen en macht over het computernetwerk worden namelijk in één functie verenigd. 6.

De nieuwe technologie biedt een veel directere mogelijkheid voor interactie tussen gebruiker en verzender. De interactie tussen de gebruiker en verzender moet bij electronic monitoring worden geïnterpreteerd als de interactie tussen de gebruiker van electronic monitoring en degene die geobserveerd wordt. Of deze interactie aanwezig is, hangt af van de wijze waarop electronic monitoring wordt ingezet. Op zich kan men onopgemerkt gebruik maken van electronic monitoring. De interactie zal vooral gezien moeten worden in de zin dat de geobserveerde geconfronteerd wordt met de gevolgen van electronic monitoring. Deze gevolgen kunnen zich voordoen in de vorm van ongewenste E-mail, maar ook in de vorm van informatie over het gedrag van werknemers die gebruikt wordt bij functioneringsgesprekken.

3.9

Enkele observaties

In dit hoofdstuk is aandacht besteed aan informatisering. Daarbij heb ik gekeken naar wat informatisering inhoudt en welke eigenschappen in het algemeen kunnen worden toegekend aan informatie- en communicatietechnologie. Vervolgens is gekeken naar de gevolgen van de introductie van ICT voor organisaties zelf, de mensen die met ICT te maken krijgen en de wijze waarop ICT wordt geïntroduceerd. Tenslotte heb ik enkele eigenschappen van electronic monitoring toegelicht aan de hand van de algemene kenmerken van ICT. Ik kom tot de conclusie dat de introductie van ICT in organisatie in het begin samen gaat met bepaalde problemen die echter verdwijnen naarmate ICT meer is ingeburgerd in de organisatie. Daarnaast biedt ICT de mogelijkheden om bepaalde werkprocessen en structuren in een organisatie op een andere wijze te organiseren. De gevolgen van ICT voor de mens zijn variërend: voor de één betekent ICT een bedreiging van de eigen baan, voor de ander wordt de eigen positie verstevigd en doen zich nieuwe mogelijkheden voor. Wanneer specifiek wordt gekeken naar de invloed van electronic monitoring dan constateer ik dat het een instrument is dat snel en efficiënt informatie geeft over werkprocessen, maar ook over het functioneren van medewerkers en het gedrag van medewerkers en klanten in een computernetwerk (zoals Internet). Ik verwacht dat electronic monitoring in de toekomst een belangrijke bijdrage kan leveren bij het verzamelen en genereren van (meta)informatie. Wanneer we kijken naar computers en computernetwerken dan vallen twee aspecten op. Ten eerste staan ze symbool voor de technische vooruitgang. Ten tweede zijn ze een vanzelfsprekend onderdeel geworden van de organisatiestructuur en organisatiecultuur. Computers en computernetwerken zijn niet meer weg te denken uit onze samenleving. Informatie en informatietechnologie worden steeds meer gezien als een belangrijke grondstof in het economisch en dagelijks leven.60 Maar zijn we ons wel bewust van de consequenties van de vanzelfsprekendheid van onze ‘informatie-

59 60

Deze prijs ligt ongeveer rond de drieduizend gulden. Zie ook: http://www.avalan.com/rp/orderfrm.html Bekkers (1995).

28

HOOFDSTUK 3 INFORMATISERING EN ORGANISATIE maatschappij’? Kennen we de kansen en bedreigingen? Ik ben van mening dat dit niet het geval is. Informatisering en computers worden gezien als een zaak van techneuten en ‘whizkids’. Belangrijke beslissingen worden door hen genomen. Anderen hebben te weinig aandacht voor ICT. Hierdoor kan de situatie ontstaan dat deze techneuten niet alleen de techniek zelf beheersen, maar ook de informatie(stromen) in onze organisaties. Het gebruik van electronic monitoring is een goed voorbeeld. Wat niet weet, dat deert niet. Ondertussen worden burgers en organisaties in toenemende mate transparanter. Onze digitale sporen worden digitaal bekeken, zonder dat we dat altijd in de gaten hebben. Indien onze maatschappij steeds meer een informatiemaatschappij wordt, moeten we ons afvragen welke gevolgen heeft voor de mens in de maatschappij. Hangt zijn vermogen om echt mens te zijn alleen nog maar af van het vermogen om met ICT om te gaan? We zullen moeten leren accepteren dat bepaalde ontwikkelingen voor mensen in onze maatschappij niet meer te bevatten zijn en er tegelijkertijd voor zorgen dat ze daardoor geen ‘outcasts’ worden. Een discussie over de betekenis van ICT in het algemeen, en electronic monitoring in het bijzonder, lijkt mij dan ook wenselijk. Inzicht in de gevolgen van electronic monitoring kan dan ook bijdragen om het vertrouwen van de mens in zijn eigen organisatie, of organisaties waarmee hij te maken krijgt te waarborgen dan wel te herstellen.

29

HOOFDSTUK 4 EEN JURIDISCHE CONTROLE

4 EEN JURIDISCHE CONTROLE 4.1

Inleiding

Nieuwe mogelijkheden, nieuwe bedreigingen? Wanneer we anno 1997 deze eeuw overzien vallen twee aspecten op. Ten eerste wordt deze eeuw gekenmerkt door een enorme technologische vooruitgang. Ten tweede valt op dat in deze eeuw (mede door deze vooruitgang) de meest vreselijke regimes volkeren hebben weten te onderdrukken en vernietigen. Resultaten van wetenschap en techniek werden ingezet als instrumenten voor controle, onderdrukking en vernietiging. De technologische vooruitgang kent echter ook een andere dimensie. De dreiging van kernwapens, zo is beweerd, heeft er voor gezorgd dat een derde grote wereldoorlog is uitgebleven. Nieuwe communicatiemiddelen zoals het Internet en televisie zorgen er voor dat nergens ter wereld onopgemerkt een genocide kan plaatsvinden. De techniek lijkt kortom ambigue. Op de drempel van het derde millennium wordt onze maatschappij geconfronteerd met nieuwe mogelijkheden en bedreigingen. Verfijnde technologie zoals de PC en informatiesystemen biedt ongekende mogelijkheden om allerlei processen in onze maatschappij transparant te maken. Deze transparantie heeft als groot voordeel dat er een beter inzicht bestaat in die processen, waardoor gekeken kan worden hoe deze processen beter kunnen worden ingericht. Niettemin kent de reeds genoemde transparantie ook een groot nadeel. Dezelfde technologie geeft ons niet alleen inzicht in allerlei processen in de maatschappij, maar maakt ook de mens in zijn doen en laten transparant. Tegenwoordig beschikken staten (maar ook bedrijven en talloze andere organisaties) steeds meer over de capaciteit om alle benodigde informatie over individuen te verkrijgen, zonder dat deze personen enige weet hebben van de wijze waarop hun leven in de gaten worden gehouden.61 De vraag is of deze ontwikkeling wenselijk is. Electronic monitoring Wanneer we kijken naar de motieven om electronic monitoring toe te passen in een computernetwerk, kunnen we constateren dat electronic monitoring primair wordt ingezet om de belasting te weten van dat netwerk. Ook het tegengaan en opsporen van computermisbruik is een belangrijke reden om electronic monitoring te gebruiken. Daarnaast wordt electronic monitoring gebruikt om te kijken hoe vaak en wanneer van bepaalde voorzieningen in een computernetwerk (bijvoorbeeld CD-ROM’s) gebruik word gemaakt. Naarmate de doelen waarvoor men electronic monitoring toepast verder af komen te staan van de hierboven genoemde doelen, ontstaat het gevaar dat gebruik van electronic monitoring spanningen oplevert met de persoonlijke levenssfeer van netwerkgebruikers. Indien gegevens, voortkomend uit electronic monitoring, informatie bevatten over personen is het gepast om je af te vragen in hoeverre deze gegevens verzameld en gebruikt mogen worden. Daarbij moet men zich bewust zijn van het feit dat onder het mom van controle en voorkoming van misbruik van computernetwerken ongemerkt ook de capaciteit van het verzamelen van informatie over netwerkgebruikers toeneemt, waardoor de privacy van deze gebruikers kan worden uitgehold.

61

Ippel, de Heij & Crouwers (1995: p. 15).

30

HOOFDSTUK 4 EEN JURIDISCHE CONTROLE

4.2

Juridische aspecten van electronic monitoring

In dit hoofdstuk ga ik in op het juridisch kader met betrekking tot electronic monitoring. Ik wil gaan kijken waar we in juridische zin mee te maken hebben. Een tweetal juridische vragen krijgen daarbij expliciete aandacht. Een eerste vraag is in hoeverre het gebruik van electronic monitoring een inbreuk op de privacy van computergebruikers oplevert. Indien het mogelijk is informatie over individuen te verzamelen en te gebruiken, rijst de vraag of dit geoorloofd is. Een tweede vraag die gesteld kan worden is, of er gezien de stormachtige technische ontwikkelingen, maatregelen moeten worden genomen om in de toekomst privacy beter te kunnen waarborgen. De bestaande Wet persoonsregistraties en de toekomstige Wet bescherming persoonsgegevens maar ook Europese regelgeving zal kritisch besproken worden. Allereerst volgt een korte introductie van het begrip privacy, waarna specifiek aandacht wordt besteed aan het begrip persoonsgegeven. Daarna ga ik in op de vraag in hoeverre er een verband is tussen gegevens verkregen door electronic monitoring en persoonsgegevens. Ook zal gekeken worden in hoeverre (bestaande) juridische regelgeving van toepassing is op electronic monitoring en welke problemen kunnen ontstaan als gevolg van electronic monitoring. Ik zal in het laatste hoofdstuk nog terugkomen op de juridische kant van electronic monitoring. Dit hoofdstuk gebruik ik om bestaande regelgeving te behandelen en in het algemeen enkele problemen te schetsen.

4.3

Het begrip privacy

Wanneer wordt gesproken over ‘privacy’ dan hebben we in juridische zin te maken met de bescherming van de persoonlijke levenssfeer. Voormalig Minister van Justitie Hirsch Ballin ziet de persoonlijke levenssfeer als een ‘dynamisch rechtsgoed’: het begrip valt wel te duiden, maar nauwelijks te definiëren.62 Het geven van een definitie van privacy is vrijwel een onmogelijke opgave. Beter kan privacy worden omschreven in drie dimensies: (1) lichamelijk, (2) ruimtelijk, (3) relationeel / informationeel.63 Het gemeenschappelijk element dat deze drie dimensies met elkaar verbindt is het zelfbeschikkingsrecht. Dit recht is echter nooit absoluut. Aangezien een individu deel uitmaakt van een samenleving impliceert dit dat een deel van het zelfbeschikkingsrecht, en dus van de privacy, moet worden ingeleverd. De bescherming van de persoonlijke levenssfeer is sinds 1983 te vinden in de Nederlandse Grondwet. Ook hier vinden we de drie dimensies terug. De lichamelijke dimensie is te vinden in artikel 11 Grondwet (onaantastbaarheid menselijk lichaam). De ruimtelijke of relationele dimensie is in de Grondwet onder andere vervat in de artikelen 12 (huisrecht) en 13 (briefgeheim en telefoon- en telegraaf-geheim). De laatste dimensie, de informationele privacy is te vinden in artikel 10, lid 2 Grondwet. Bezien in het licht van electronic monitoring is het duidelijk dat de privacy-aantasting gezocht moet worden in de laatste twee dimensies. Hoewel een eenduidige definitie van privacy moeilijk te geven is, is wel een goede functieomschrijving te vinden: “The function of privacy, therefore, is to isolate certain limited and culturally defined aspects of the individual’s life as being morally and legally protected from the evaluative judgment of others.”64

62 63 64

Rede op het vijfde nationaal privacysymposium, Stc. 17.01.1990, nr. 12. Holvast in: Hoogstraten (1992: p. 57). Johnson (1989: p. 157) geciteerd in: Nouwt & Voermans (1996: p. 22).

31

HOOFDSTUK 4 EEN JURIDISCHE CONTROLE Deze functie heeft een tweetal aspecten. Enerzijds is er een aspect dat ingaat op de verticale werking van deze functie. Het gaat dan om privacy als een klassiek grondrecht. Het betreft het recht om met rust te worden gelaten en is gericht op anderen (overheid, organisaties en personen) in de zin dat deze niet alles van een persoon moeten willen weten. Anderzijds is er een privacyaspect dat door Allan F. Westin is omschreven als: “the control individuals, groups and institutions have over when, how and to what extent information about them is disclosed to third parties”65 Het betreft kortom de mogelijkheid - zo men wil een sociaal grondrecht met horizontale werking - om als individu zelf greep te houden op de informatie die verzameld wordt en aan wie deze mag worden verstrekt. De privacy van de burger is in de loop der tijd ontwikkeld onder invloed van de behoefte aan bescherming van de persoonlijke levenssfeer, voortkomend uit nieuwe technologische ontwikkelingen. Na de Tweede Wereldoorlog roept het boek ‘1984’ van George Orwell uit 1948, samen met enkele andere boeken uit die tijd in de samenleving een algemeen gevoel van onbehagen en onveiligheid op. De opkomst van de computer in de jaren zeventig en tachtig luidt vervolgens een periode in waarin het accent bij privacy vooral komt te liggen op de bescherming van de individuele sfeer bij (geautomatiseerde) gegevensverwerking, ook wel dataprotection genoemd. In Nederland is men zich vooral sinds de brede discussie betreffende de volkstelling in 1971 meer bewust geworden van de mogelijke gevaren (van de gevolgen) van het verzamelen van persoonsgegevens voor de privacy.66 Juridische bescherming van privacy werd tot voor de totstandkoming van de Wet persoonsregistraties (Wpr) en andere privacy-gerelateerde regelgeving geregeld via bestaande normen in het Burgelijk Wetboek, zoals de goede trouw bij de uitvoering van overeenkomsten of de in het maatschappelijk verkeer geldende opvattingen in het licht van de onrechtmatige daad. Na de Tweede Wereldoorlog zijn diverse mensenrechtenverdragen tot stand gekomen waarin het recht de bescherming van de persoonlijke levenssfeer een plaats heeft gekregen. Sinds 1983 is het recht op bescherming van de persoonlijke levenssfeer als grondrecht in onze Grondwet opgenomen. In 1988 kwam, mede ter uitvoering van het grondwettelijke privacyrecht, de Wpr tot stand.

4.4

De Grondwet en de Wet Persoonsregistraties

In deze paragraaf wordt nader aandacht besteed aan juridische regelgeving met betrekking tot privacy. Allereerst besteed ik aandacht aan artikel 10 Grondwet en vervolgens sta ik stil bij de Wet Persoonsregistraties (en specifiek de begrippen persoonsgegevens en herleidbaarheid). Grondwet Constitutionele bescherming van privacy werd in 1983 in Nederland geïntroduceerd en werd van kracht op 17 februari 1983. Het betreffende artikel, artikel 10 van de Grondwet, luidt: 1. 2.

65 66

Ieder heeft, behoudens bij of krachtens de wet te stellen beperkingen, recht op eerbiediging van zijn persoonlijke levenssfeer. De wet stelt regels ter bescherming van de persoonlijke levenssfeer in verband met het vastleggen en verstrekken

Westin (1967: p. 7). Nouwt & Voermans (1996: p. 3).

32

HOOFDSTUK 4 EEN JURIDISCHE CONTROLE

3.

van persoonsgegevens. De wet stelt regels inzake de aanspraken van personen op kennisneming van over hen vastgelegde gegevens en van het gebruik dat daarvan wordt gemaakt, alsmede op de verbetering van zodanige gegevens.

Voor 17 februari 1983 was de bescherming van privacy gebaseerd op artikel 8 EVRM, artikel 17 Internationaal Verdrag inzake burgerrechten en politieke rechten en andere juridische regels zoals de onrechtmatige daad in het Burgerlijk Wetboek. Artikel 10 Grondwet is mede het gevolg van de plicht om (Europese) regelgeving met betrekking tot de persoonlijke levenssfeer op nationaal niveau te implementeren. De Wet Persoonsregistraties Artikel 10, lid 2 en 3 van de Grondwet vermeldt het stellen van regels ter bescherming van de persoonlijke levenssfeer met betrekking tot het verzamelen, opslaan en verwerken van gegevens. In overeenstemming met dit artikel werd in 1989 de Wet Persoonsregistraties (Wpr) aangenomen. Een aantal relevante bepalingen uit de Wpr met betrekking tot electronic monitoring zijn hieronder vermeldt: Art 1. In deze wet en de daarop berustende bepalingen wordt verstaan onder: persoonsgegeven: een gegeven dat herleidbaar is tot een individuele natuurlijke persoon; persoonsregistratie: een samenhangende verzameling van op verschillende personen betrekking hebbende persoonsgegevens, die langs geautomatiseerde weg wordt gevoerd of met het oog op een doeltreffende raadpleging van die gegevens systematisch is aangelegd; (.......) Art 2. 1. Deze wet is niet van toepassing op: a. persoonsregistraties die naar hun aard voor persoonlijk of huiselijk gebruik bestemd zijn; (.......)

De handhaving van de bescherming van persoonsgegevens in de Wpr is voornamelijk gebaseerd op het burgerlijk recht. Individuen en organisaties moeten zelf gerechtelijke stappen ondernemen wanneer de Wpr wordt geschonden. Hoewel er een specifieke instantie in het leven is geroepen (de Registratiekamer) om toe te zien op naleving van de Wpr, heeft zij geen mogelijkheden om zelf juridische maatregelen te nemen of straffen op te leggen. De Wpr bevat bovendien weinig strafrechtelijke regels. In artikel 50 worden overigens wel strafbepalingen genoemd wanneer er sprake is van overtredingen genoemd in lid 1 van dit artikel. Persoonsgegevens In artikel 1 van de Wpr wordt een persoonsgegeven omschreven als een gegeven dat herleidbaar is tot een individuele natuurlijke persoon. Aangezien het begrip persoonsgegeven essentieel is voor het wettelijke regime van de Wpr zal nader op dit artikel worden ingegaan. De term persoonsgegeven heeft in de Wpr een ruime betekenis: “Gedacht wordt aan ieder gegeven dat informatie kan verschaffen omtrent een natuurlijke persoon. Uit de opgenomen omschrijving vloeit voort dat het niet alleen gaat om gegevens die voortkomen direct in combinatie met gegevens die een persoon identificeren, zoals geval is wanneer naast naam en adres of geboortedatum andere gegevens zijn vermeld. Ook wanneer informatie wordt vermeld omtrent personen die bijvoorbeeld slechts met een nummer zijn aangeduid, is sprake van persoonsgegevens in de zin van het ontwerp, indien het mogelijk is met behulp van die nummers de gegevens tot een bepaalde persoon te herleiden. Dit herleiden blijft mogelijk, ook indien daarvoor de medewerking van derden noodzakelijk is. Alleen wanneer iedere mogelijkheid verloren is gegaan om verband te leggen tussen de gegevens en een bepaalde persoon, kan niet meer van persoonsgegevens worden gesproken.”67

67

Eindrapport Staatscommissie-Koopmans, p. 117, geciteerd in: Holvast e.a. (1996: p. 9).

33

HOOFDSTUK 4 EEN JURIDISCHE CONTROLE Terwijl bij de behandeling van het wetsontwerp in de Tweede kamer amper op het begrip persoonsgegeven en de herleidbaarheid wordt ingegaan, had de CDA-fractie in de Eerste Kamer problemen met de ruime definitie. Naar de mening van de fractie ging het te ver indien technische herleidbaarheid tot een natuurlijke persoon onder alle omstandigheden die gegevens doen verklaren als persoonsgegevens in de zin van het voorstel voor de Wpr. Er zou pas sprake van persoonsgegevens moeten zijn wanneer het gaat om gegevens die iets zeggen over de betreffende persoon en hem in maatschappelijke zin identificeren en kwalificeren. Uit de memorie van antwoord bleek dat de bewindslieden het eens waren met de CDA-fractie en zij introduceerden een nieuw begrip: een verband tussen een gegeven en een persoon moet ‘rechtens relevant’ zijn. Van belang daarbij is of het gegeven bepalend is of kan zijn voor de wijze waarop de betrokken persoon in het maatschappelijk verkeer wordt beoordeeld of behandeld. Bij de toelichting op het begrip herleidbaarheid wordt verwezen naar het Verdrag van Straatsburg:68 “Dat het begrip ‘persoonsgegeven’ een ruime betekenis heeft, volgt ook uit de omschrijvingen van het begrip ‘personal data’ in het Verdrag van Straatsburg. In artikel 2 van het verdrag wordt dit begrip omschreven als ‘any information relating to an identified or identifiable individual’. De woorden ‘any information’ wijzen er op, dat de aard van de informatie voor de begripsomschrijving niet ter zake doet. Wel is het nodig, dat het gaat om informatie die betrekking heeft (‘relating to’) op een individuele natuurlijke persoon (.....) Het gaat hierbij derhalve om het vereiste dat de gegevens betrekking hebben op an ‘identified or identifiable individual’.”69

Wanneer het gaat om technische geleidingsgegevens of hulpgegevens die slechts zijn bestemd om de geautomatiseerde verwerkingsprocessen zonder problemen te laten verlopen, kunnen deze niet als persoonsgegeven in de zin van de wet Wpr worden aangemerkt.70 Er blijft onduidelijkheid bestaan met betrekking tot de term ‘rechtens relevant’. De minister geeft aan dat bijvoorbeeld gevoelige gegevens, onder alle omstandigheden rechtens relevant moeten worden beoordeeld. In andere gevallen zal afhankelijk van de context moeten worden bekeken of een feit de persoonlijke levenssfeer raakt. Hiermee wordt de discussie in de Eerste Kamer gesloten en wordt de Wpr unaniem aanvaard. Herleidbaarheid Een ander belangrijk onderdeel met betrekking tot artikel 1 Wpr betreft de herleidbaarheid tot een persoon. De herleidbaarheid is met betrekking tot electronic monitoring van belang indien daarbij gegevens worden verzameld die betrekking hebben op of te herleiden zijn tot een persoon. De Registratiekamer huldigt het standpunt dat van herleidbaarheid sprake is als een gegeven:71 1. informatie verschaft over een; 2. identificeerbare; 3. individuele natuurlijke persoon. De herleidbaarheid van gegevens en identificeerbaarheid van personen Ten aanzien van de herleidbaarheid en identificeerbaarheid is een tweedeling te maken tussen direct en indirect identificerende gegevens. Er is sprake van direct identificerende gegevens wanneer gegevens betrekking hebben op een persoon waarvan de identiteit zonder veel omwegen eenduidig is vast te stellen, zoals bijvoorbeeld naam, adres en geboortedatum. Daarnaast zijn er gegevens die niet direct herleidbaar zijn en waarbij dus nadere stappen moeten worden gezet om gegevens in verband te brengen met een

68 69 70 71

Eerste Kamer, vergaderjaar 1988-1989, 19 095, nr. 36a, p. 2, geciteerd in: Holvast e.a. (1996: p. 14). Eerste Kamer, vergaderjaar 1988-1989, 19 095, nr. 36a, p. 2, geciteerd in: Holvast e.a. (1996: p. 15). Berkvens & Van Berkel (1995: p. 1). Holvast e.a. (1996: p. 31).

34

HOOFDSTUK 4 EEN JURIDISCHE CONTROLE bepaalde persoon. In dit geval is er sprake van indirect identificerende gegevens. Indien voor de daadwerkelijke herleiding van gegevens tot individuele personen een onevenredige hoeveelheid tijd of mankracht noodzakelijk is, is er geen sprake van herleidbaarheid in de zin van de Wpr. De aard van de gegevens en de mogelijkheden die aanwezig zijn om de gegevens te herleiden zijn daarbij van belang. Er moet uitgegaan worden van de redelijk toegeruste verantwoordelijke (objectief criterium). Een eventueel aanwezig surplus aan expertise (technische faciliteiten etc.) kunnen de verantwoordelijke echter onder omstandigheden ook toegerekend worden. Electronic monitoring en de Wpr Nu hierboven aandacht is besteed aan de Wpr en de begrippen persoonsgegeven en herleidbaarheid, wil ik vervolgens een kort verband leggen met electronic monitoring. Ik kom tot de volgende twee aandachtspunten: C Indien gebruik van electronic monitoring gegevens oplevert die meteen te herleiden zijn tot een individuele persoon (er is kortom sprake van direct identificerende gegevens) is er sprake van persoonsgegevens. C Indien gebruik van electronic monitoring gegevens oplevert die, zonder een onevenredige inspanning te moeten leveren, kunnen worden herleid tot een individuele persoon is er ook sprake van persoonsgegevens. Betekent dit nu dat de Wpr van toepassing is op gegevens voorkomend uit electronic monitoring? Niet zonder meer. Het regime van de Wpr is opgehangen aan het begrip persoonsregistratie, hetgeen betekent dat het moet gaan om “een samenhangende verzameling van op verschillende personen betrekking hebbende persoonsgegevens, die langs geautomatiseerde weg wordt gevoerd”.72 Indien deze samenhang ontbreekt, of de verzameling slechts betrekking heeft op één persoon dan is de Wpr niet van toepassing. In veel gevallen zal de Wpr zich echter uitstrekken over gegevens voortkomend uit electronic monitoring. De betekenis van deze conclusie zal in het laatste hoofdstuk worden toegelicht. Hierna sta ik stil bij toekomstige privacyregelgeving die voortvloeit uit Europese ontwikkelingen.

4.5

Europese richtlijn en de Wet bescherming persoonsgegevens

Het Europees Parlement en de Raad van de Europese Unie hebben op 24 juli 1995 een richtlijn aangenomen betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens.73 In deze richtlijn worden persoonsgegevens omschreven als: “iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon”. Daarbij wordt een persoon als identificeerbaar beschouwd als die persoon direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatienummer of van een of meer specifieke elementen die kenmerkend zijn voor zijn of haar fysieke, fysiologische, psychologische, economische, culturele of sociale identiteit. Om te bepalen of een persoon identificeerbaar is, zo blijkt uit preambule 26 van de richtlijn, moet gekeken worden naar alle middelen waarvan mag worden aangenomen dat zij redelijkerwijs in te zetten zullen zijn om die persoon te identificeren. Hoe deze norm concreet moet worden nageleefd blijft echter onduidelijk.

72 73

Zie art. 1 Wpr. Richtlijn 95/46/EG van het Europees parlement en de Raad van de Europese Unie van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens.

35

HOOFDSTUK 4 EEN JURIDISCHE CONTROLE De richtlijn van het Europees Parlement en de Raad van de Europese Unie betekent voor Nederland dat de Wpr zal worden vervangen door de Wet bescherming persoonsgegevens (Wbp). Hieronder zal ik ingaan op de betekenis en de uitwerking van de richtlijn op het voorontwerp Wet bescherming persoonsgegevens met betrekking tot de term persoonsgegevens. Artikel 1, sub a en b van de Wbp74 luidt: In deze wet en de daarop rustende bepalingen wordt verstaan onder: a. persoonsgegevens: gegevens die betrekking hebben op een identificeerbare of geïdentificeerde, individuele natuurlijke persoon; b. verwerking van persoonsgegevens: elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, uitwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens;

Wanneer gekeken wordt naar de omschrijving van het begrip ‘persoonsgegevens’ dan blijkt deze overeen te komen met de omschrijving van artikel 1 van de Europese richtlijn. Interessant is de artikelsgewijze toelichting met betrekking tot het begrip persoonsgegevens. De definitie bevat twee belangrijke elementen. Ten eerste moeten de gegevens betrekking hebben op een persoon en ten tweede moet de persoon zijn geïdentificeerd of identificeerbaar zijn. Als er aan één van beide elementen niet is voldaan, dan is er geen sprake van persoonsgegevens en is de toekomstige wet (Wbp) niet van toepassing. In vergelijking met de Wpr valt op dat het regime van de Wbp niet is opgehangen aan het begrip persoonsregistratie maar aan de verwerking van persoonsgegevens. Hieronder zal expliciet aandacht worden besteed aan de diverse aspecten van artikel 1 Wbp.

4.6

Een blik in artikel 1 Wbp

Gegevens die betrekking hebben op een persoon Volgens de artikelsgewijze toelichting bij artikel 1 van het voorontwerp Wet bescherming persoonsgegevens is geen sprake van persoonsgegevens als het gegevens betreft die slechts worden gebruikt om voorwerpen aan te duiden, of gegevens die nodig zin om het proces van verwerking van gegevens goed te laten verlopen. Daarmee wordt namelijk geen maatschappelijk relevante informatie over die persoon verwerkt. Pas wanneer dergelijke gegevens ook daadwerkelijk worden gebruikt om personen te benaderen, te beoordelen of te behandelen, rijst de vraag of deze gegevens ook herleidbaar zijn tot een bepaalde persoon. Het gebruik dat van deze gegevens wordt gemaakt is dus mede bepalend voor de beantwoording van de vraag of sprake is van persoonsgegevens. Niet elk technisch of toevallig verband tussen een gegeven en een persoon is voldoende om dat gegeven een persoonsgegeven te doen zijn. Relevant is bovendien of de gegevens informatie over een persoon bevatten. Het kan hierbij gaan om feitelijke of waarderende gegevens over eigenschappen, opvattingen of gedragingen, of om gegevens die een neerslag vormen van een ten aanzien van hem genomen beslissing. Ook gegevens die niet direct betrekking hebben op een bepaalde persoon, maar bijvoorbeeld op een produkt of een proces, kunnen soms over een bepaalde persoon informatie verschaffen. Als deze gegevens mede bepalend zijn voor de wijze waarop de betrokken persoon wordt beoordeeld of behandeld, moeten die gegevens als persoonsgegevens worden aangemerkt. Gegevens van een computernetwerk: een toelichting

74

De tekst van de Wbp is ontleend aan Nouwt & Voermans (1996: pp. 219-247).

36

HOOFDSTUK 4 EEN JURIDISCHE CONTROLE In de toelichting bij artikel 1 Wbp is expliciet een gedeelte opgenomen over gegevens die in een (computer)netwerk kunnen voorkomen. De toelichting luidt als volgt: Gegevens van een netwerkbeheerder over het gebruik van het netwerk via aansluitpunten teneinde het goed functioneren van het netwerk te waarborgen, zijn geen persoonsgegevens zolang is uitgesloten dat die gegevens worden gebezigd om het gebruik van het netwerk door individuele personen in ogenschouw te nemen. Daar waar deze mogelijkheid in beginsel aanwezig is, bijvoorbeeld om indien nodig gevallen van fraude op het spoor te komen, is er sprake van de verwerking van persoonsgegevens.

Overeenkomstig hetgeen vermeld is bij de Wpr, zijn dus ook voor de Wbp de reeds genoemde aandachtspunten van toepassing: C Indien gebruik van electronic monitoring gegevens oplevert die meteen te herleiden zijn tot een individuele persoon (er is kortom sprake van direct identificerende gegevens) is er sprake van persoonsgegevens. C Indien gebruik van electronic monitoring gegevens oplevert die, zonder een onevenredige inspanning te moeten leveren, kunnen worden herleid tot een individuele persoon is er ook sprake van persoonsgegevens. De vraag of de Wbp van toepassing is op gegevens voorkomend uit electronic monitoring is te beantwoorden aan de hand van artikel 1, sub b Wbp. Het regime van de Wbp is opgehangen aan de verwerking van persoonsgegevens. In de artikelsgewijze toelichting staat vermeld dat persoonsgegevens alleen mogen worden verwerkt indien zij rechtmatig zijn verkregen. Ook moet voorafgaand aan het verkrijgen van persoonsgegevens reeds een doel zijn vastgesteld, de aanmelding bij het toezichthoudend orgaan zijn voltooid en, wanneer het gaat om een verwerking met bijzondere risico’s, het toezichthoudend orgaan onderzoek hebben ingesteld. De bedoeling is dat er geen vormen van verwerking zich onttrekken aan de bescherming die de wet biedt. Zodra er enige feitelijke macht over persoonsgegevens is, is de wet van toepassing. Dit betekent dat uiteindelijk de Wbp van toepassing zal zijn op electronic monitoring indien daarbij gegevens herleidbaar zijn of kunnen worden herleid tot individuele personen.

4.7

De ISDN-richtlijn

In de vorige paragrafen is aandacht besteedt aan algemene privacyregelgeving. Deze regelgeving is van toepassing op zowel Local Area Networks als het Internet. Niettemin kan men ook kijken of er specifieke privacyregelgeving te vinden is voor een LAN of het Internet. Het lokale en afgeschermde karakter van een LAN zorgen er voor dat specifieke privacyregelgeving vooral te vinden zal zijn in gebruikersreglementen. Anders is dit voor het Internet. Het Internet is meer en meer te zien als een internationaal informatie- en communicatiemedium. In het gemeenschappelijke standpunt (EG) nr. 57/96 met betrekking tot aanneming van ‘de ISDN-richtlijn75' heeft de Europese Raad aangegeven dat het aanbieden van openbare telecommunicatiediensten in het gebied van de Europese Unie gebonden is aan specifieke, uniforme regels, ter bescherming van het communicatiegeheim en de persoonlijke levenssfeer. In de richtlijn wordt gesproken over algemeen beschikbare telecommunicatiediensten. Het begrip telecommunicatiedienst wordt in de richtlijn in artikel 2 onder d omschreven als:

75

ISDN staat voor Integrated Services Digital Network. Officieel gaat het om een gemeenschappelijk standpunt met het oog op aanneming van een richtlijn van het Europees Parlement en de Raad betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de telecommunicatiesector, met name in het kader van het digitale netwerk voor geïntegreerde diensten (ISDN) en van digitale mobiele netwerken. PbEG (1996) nr. C 315/30.

37

HOOFDSTUK 4 EEN JURIDISCHE CONTROLE een dienstverstrekking welke geheel of gedeeltelijk bestaat in de transmissie en routering van signalen via telecommunicatienetwerken, met uitzondering van radio- en televisieomroep. Op grond van deze definitie concludeer ik dat de richtlijn niet alleen verplichtingen schept voor traditionele telecommunicatiebedrijven zoals bijvoorbeeld de nationale PTT’s maar ook voor kabelexploitanten en Internetproviders.76 Daarbij is het de vraag in hoeverre een Internetprovider gezien kan worden als een instantie die algemeen beschikbare telecommunicatiediensten levert. Ik ben van mening dat in Nederland zeker de PTT, Libertel, NLNET en SURFnet aangemerkt kunnen worden als bedrijven die algemeen beschikbare Internet-telecommunicatiediensten leveren. Misschien dat het ook te verdedigen valt dat op iedere Internetprovider (Planet Internet, XS4all etc.) de ISDN-richtlijn van toepassing is. Indien het Internet gezien kan worden als een algemeen beschikbare telecommunicatiedienst, waarbij de term algemeen beschikbaar vooral betrekking heeft op het Internet zelf en niet op de dienst van de provider, dan zou geconcludeerd kunnen worden dat iedere Internetprovider onder de ISDN-richtlijn valt. In het algemeen kan gesteld worden dat het bereik van de ISDN-richtlijn groot is en niet alleen de toepassing van ISDN betreft ( hoewel de naam van de richtlijn anders zou doen vermoeden). De ISDNrichtlijn moet uiterlijk 24 oktober 1998 in Nederlandse wetgeving worden omgezet en zal worden uitgewerkt in de nieuwe Telecommunicatiewet, de nieuwe Wbp en strafwetgeving. In de ISDN-richtlijn staan een aantal rechten en plichten genoemd. Ik wil een aantal van deze rechten en plichten bespreken voor zover van belang in verband met electronic monitoring en de bescherming van de privacy op Internet.77 Daarbij zal ik de bepalingen zoveel mogelijk toepassen op het Internet. Plichten C Beveiligen van telecommunicatiediensten De dienstenaanbieder (dus ook de Internet-accessprovider) wordt verplicht tot het treffen van state of the art beveiliging van de aangeboden diensten, na afweging van de risico’s tegen de kosten. Bedoeld worden technische en organisatorische maatregelen die de veiligheid van de dienst waarborgen, zo nodig voor wat betreft de netwerkbeveiliging samen met de netwerkexploitant. De abonnee (de Internetgebruiker) behoort voortaan geïnformeerd te worden over bijzondere veiligheidsrisico’s alsmede over mogelijke maatregelen (zoals encryptiefaciliteiten) en de kosten daarvan. C

C

76 77

Maatregelen om de boodschap te beschermen Het meeluisteren, aftappen, opslaan, onderscheppen of controleren van de boodschap zonder wettelijke basis of toestemming van de gebruiker dient wettelijk verboden te zijn. Het recht vertrouwelijk te communiceren wordt hiermee herbevestigd. Toegespitst op het Internet zou dit betekenen dat electronic monitoring van de inhoud van E-mail, FTP- en Telnetsessies, maar ook de inhoud van een pagina op het World Wide Web die door Internetgebruiker wordt bevraagd op nationaal niveau uiterlijk op 24 oktober 1998 verboden dient te zijn! Verkeersgegevens Het vastleggen van uiterlijke kenmerken van het communicatieproces (wie communiceert met wie, vanaf welke plaats, op welk tijdstip e.d.) raakt het communicatiegeheim. Verkeersgegevens mogen alleen gedurende een korte tijd worden verwerkt voor zover noodzakelijk voor het realiseren van de dienst, voor het afrekenen daarvan en voor verrekening met andere aanbieders. Het gebruik van

Vgl. Hulsman (1996: p. 5). Vgl. Hulsman (1996: p. 6).

38

HOOFDSTUK 4 EEN JURIDISCHE CONTROLE

C

deze gegevens voor de marketing van de eigen telecommunicatiediensten behoeft de toestemming van de daarover te informeren particuliere of zakelijke abonnee (Internetgebruiker). Telemarketing Consumenten mogen niet meer ongevraagd benaderd worden met direct marketing boodschappen, zonder toestemming van de abonnee.

Rechten Hieronder staan de belangrijkste rechten die afnemers van openbare telecommunicatiediensten toekomen: Rechten voor particuliere en zakelijke abonnees: C Het recht geïnformeerd te worden omtrent bijzondere veiligheidsrisico’s. Internetproviders zouden dus moeten melden aan hun gebruikers dat het mogelijk is om de communicatie van de gebruikers te volgen en op te slaan. C Het recht te verhinderen dat hen betreffende verkeersgegevens (bijvoorbeeld: wie raadpleegt welke Internetpagina’s) worden gebruikt voor marketingdoeleinden. C Het recht om zijn (abonnee)gegevens te laten verwijderen uit gedrukte dan wel elektronische gidsen, alsmede te verhinderen dat de gegevens gebruikt worden voor direct marketing doeleinden. C Het recht om niet ongevraagd benaderd te worden met reclameboodschappen. Rechten voor de individuele gebruiker: C Het recht om vertrouwelijk te communiceren. Wanneer ik kijk naar het concept van de nieuwe Telecommunicatiewet78, de vervanger van de Wet op de Telecommunicatievoorzieningen, dan constateer ik dat de in de ISDN-richtlijn gestelde rechten en plichten zijn terug te vinden.79

4.8

Privacy, een bekeken zaak?

De vraag of de huidige nationale privacyregelgeving (Wpr) voldoende waarborgen biedt voor de bescherming van de privacy in de toekomst is impliciet reeds beantwoord. De wetgever heeft, op grond van Europese regelgeving, besloten om de Wpr te vervangen door de Wbp. Niettemin blijft de vraag overeind of de Wpr en de Wbp voldoende waarborgen bieden in geval van electronic monitoring. Voor zover electronic monitoring wordt gebruikt om enkel de belasting van een netwerk te controleren en er geen mogelijkheden zijn om gegevens te herleiden tot een natuurlijke persoon, zijn de Wpr en de Wbp uiteraard niet van toepassing omdat er geen sprake is van persoonsgegevens. De Wpr is slechts van toepassing indien het gaat om een persoonsregistratie. In de praktijk zijn er uitzonderingen te bedenken waarbij persoonsgegevens voortkomend uit electronic monitoring niet onder de Wpr vallen (zie ook het laatste gedeelte van paragraaf 4.4). De Wbp is van toepassing indien er sprake is van verwerking van persoonsgegevens. In principe is deze regeling met betrekking tot electronic monitoring van individuen toereikend, aangezien electronic monitoring van individuen valt onder de genoemde verwerking van persoonsgegevens. Toch zijn er nog enkele hiaten te ontdekken. De Wbp gaat uit van het begrip verwerking van persoonsgegevens. Indien herleiding van gegevens tot natuurlijke personen in beginsel mogelijk is, zo vermeldt de artikelsgewijze toelichting van de Wbp, dan

78 79

Versie 3 januari 1997. De genoemde privacybescherming staat bijvoorbeeld in hoofdstuk 11 telecommunicatiewet.

39

HOOFDSTUK 4 EEN JURIDISCHE CONTROLE is er sprake van de verwerking van persoonsgegevens. Dit betekent dat profielen van groepen van personen (dit zijn geen persoonsgegevens, aangezien deze profielen niet tot een individueel persoon zijn te herleiden80) niet onder de Wbp noch onder de Wpr vallen. Deze profielen zorgen er echter wel voor dat een groep als geheel op een bepaalde manier wordt beoordeeld. Individuele personen kunnen dan worden uitgesloten van bepaalde informatie en voorzieningen op basis van deze profielen. Hoewel een individu dus indirect in maatschappelijke zin wordt gekwalificeerd en beoordeeld, lijkt benodigde regelgeving (bescherming op grond van ‘categoriale privacy’) te ontbreken. In de volgende paragraaf zal bekeken worden in hoeverre individuen bescherming kunnen krijgen tegen de gevolgen van electronic monitoring.

4.9

Bescherming van individuen

Naast monitoring van netwerken door netwerkbeheerders, wordt monitoring ook gebruikt door werkgevers om hun werknemers in de gaten te houden en te beoordelen.81 Deze controle van werknemers kan geschieden door technische middelen en door personen. De technische middelen zijn onder te verdelen in directe en indirecte controle-apparatuur. Directe controle-apparaten zijn bijvoorbeeld videocamera’s en tijden toegangsregistratiesystemen. Indirecte apparatuur is bijvoorbeeld een produktie-informatiesysteem ook wel personeelsinformatiesysteem genoemd. Deze systemen variëren van kaartenbakken tot geavanceerde beslissingsondersteunende systemen. In hoeverre het gebruik van dit soort systemen tot een onevenredig inbreuk op de privacy kan leiden is een belangrijke vraag. Indien een informatiesysteem in staat is om bruikbare informatie over de aanwezigheid en de prestaties van bijvoorbeeld werknemers te genereren waarbij deze voor personeelsbeoordeling worden gebruikt, dan kan dit een aanleiding zijn om te veronderstellen dat er sprake is van een onevenredige inbreuk. Een andere belangrijke vraag is in hoeverre individuen beschermd worden door de huidige regelgeving. Geconcludeerd moet worden dat deze bescherming in het recht zeer is verbrokkeld.82 De bescherming is te vinden in allerlei sectorspecifieke regelgeving (Wet op de Telecommunicatievoorzieningen, Wet politieregisters, Wet op de inlichtingen- en veiligheidsdiensten, Wet geneeskundige behandelingsovereenkomst, Wet op de justitiële documentatie en op de verklaring omtrent het gedrag etc.). Meer algemene privacyregelgeving is te vinden in art. 7A:1638z BW, artikel 10 Grondwet en de Wpr, maar ook in internationale regelgeving en CAO-bepalingen. In het algemeen wordt door rechters onvoldoende aan het recht op privacy (zoals dat o.a. in de Grondwet is geformuleerd) getoetst, maar vindt er een belangenafweging plaats waarbij het oordeel van de rechter sterk afhangt van de omstandigheden van het geval.83 Een oriëntatie op het privacyrecht bij privacygeschillen is dan ook op zijn plaats teneinde een betere bescherming te kunnen garanderen. Overigens ben ik van mening dat de toekomstige regelgeving individuen betere bescherming biedt. De Wbp sluit met het begrip ‘verwerking van persoonsgegevens’ beter aan bij de praktijk. Voor wat betreft het Internet biedt de ISDN-richtlijn en als gevolg daarvan de nieuwe Telecommunicatiewet Internetgebruikers verregaande bescherming. Het is opvallend dat bescherming tegen bepaalde vormen van electronic monitoring zelfs in de Grondwet verbrokkeld is terug te vinden. Wat is bijvoorbeeld de juridische kwalificatie van electronic monitoring van E-mail? Gaat het dan om schending van het briefgeheim (art. 13, lid 1 Grondwet), het telefoongeheim (art. 13, lid 2 Grondwet) of allebei? Is het in onze (digitale) informatiemaatschappij überhaupt nog wel zinvol om in de Grondwet een onderscheid te maken tussen een brief- en een telefoongeheim. Misschien dat het beter is om niet meer te spreken van brief- of telefoongeheim maar op een abstracter niveau deze beginselen 80 81 82 83

Vergelijk het hoofdstuk Gardeniers, Van Kralingen & Schreuders in: Nouwt & Voermans (1996: p. 80). Gebaseerd op het hoofdstuk van Ria de Wit in: Nouwt & Voermans (1996: pp. 127-137). Zie het hoofdstuk van Ria de Wit in: Nouwt & Voermans (1996: p. 127). Zie het hoofdstuk van Ria de Wit in: Nouwt & Voermans (1996: p. 131).

40

HOOFDSTUK 4 EEN JURIDISCHE CONTROLE te herformuleren. Ik kom hier later nog op terug.

4.10 Juridisch bekeken In dit hoofdstuk is aandacht besteed aan enkele juridische aspecten van electronic monitoring. Er is betoogd dat electronic monitoring inbreuk kan maken op de persoonlijke levenssfeer van individuen. Daarom heb ik relevante privacyregelgeving de revue laten passeren. Allereerst is gekeken naar de ontstaansgeschiedenis van het begrip privacy. Daarna is de grondwettelijke bescherming en een uitvloeisel daarvan, de Wet Persoonsregistraties besproken. Vervolgens heb ik de Europese richtlijn betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens behandeld. In relatie tot die richtlijn is nader stilgestaan bij de toekomstige Wet bescherming persoonsgegevens. Daarbij was expliciete aandacht voor de definitie van persoonsgegevens en de elementen die aan die definitie ten grondslag liggen. Ook is besproken in hoeverre de bestaande regelgeving voldoende waarborgen biedt. Belangrijkste conclusie die uit dit hoofdstuk volgt is dat algemene privacyregelgeving zoals de Wpr en in de toekomst de Wbp van toepassing kunnen zijn op electronic monitoring indien electronic monitoring wordt ingezet om individuen te observeren. In geval van de Wpr moeten de gegevens, voortkomend uit electronic monitoring van individuen, dan wel kunnen worden aangemerkt als een persoonsregistratie. Bij de Wbp moet het gaan om verwerking van persoonsgegevens. De bescherming van individuen tegen inbreuk op hun privacy is in het recht zeer verbrokkeld. Misschien kan deze bescherming anders geregeld worden. Als gevolg van de ISDN-richtlijn concludeer ik dat bepaalde vormen van electronic monitoring verboden zijn. Uiterlijk 24 oktober 1998 moet deze richtlijn in nationale wetgeving zijn omgezet. Ik acht het wenselijk organisaties en individuen te informeren over de juridische consequenties van het gebruik van electronic monitoring teneinde ongewenste inbreuken op de persoonlijke levenssfeer te voorkomen en de kennis over electronic monitoring in de maatschappij te vergroten.

41

HOOFDSTUK 5 MONITORING IN DE PRAKTIJK

5 MONITORING IN DE PRAKTIJK 5.1

Inleiding

Onderzoek naar het gebruik van electronic monitoring in Nederland is vooralsnog schaars. Om niettemin een beeld te kunnen schetsen wil ik beginnen met enkele gegevens uit de Verenigde Staten. Een onderzoek, uitgevoerd in december 1995, door de Society for Human Resource Management84 heeft uitgewezen dat 36 procent van de organisaties, die E-mail tot hun beschikking hebben, kijken naar de E-mailbestanden van werknemers. Acht procent van de organisaties bekijkt bepaalde E-mailbestanden vaker dan één keer. Bovendien vindt vijfenzeventig procent dat werkgevers het recht moeten hebben om E-mail te lezen indien een organisatie werknemers E-mailfaciliteiten ter beschikking stelt. Het lezen van E-mail van werknemers is slechts één van de vele manieren waarop electronic monitoring in een computernetwerk kan plaatsvinden. Om een goed overzicht te krijgen van de mogelijkheden is het dan ook interessant om te bezien welke verschijningsvormen electronic monitoring in de praktijk heeft. In dit hoofdstuk wil ik daarom onderzoeken hoe electronic monitoring plaats kan vinden. Allereerst zal aandacht worden besteed aan manieren om gedrag van individuen in een Local Area Network in de gaten te houden. Daarna zal worden bekeken welke mogelijkheden het Internet biedt voor electronic monitoring. Hoewel electronic monitoring niet alleen gebruikt wordt om het gedrag van individuen te observeren, wil ik daar toch specifiek de nadruk op leggen.

5.2

Monitoring in een Local Area Network

In deze paragraaf geef ik een aantal voorbeelden van electronic monitoring in een Local Area Network. Ik wil daarbij een tweedeling maken tussen electronic monitoring door systeembeheerders en door een gewone netwerkgebruiker.

5.2.1

Monitoring door systeembeheerders

De systeembeheerder is in de huidige informatiemaatschappij een persoon die door zijn specifieke kennis steeds meer inzicht kan verkrijgen van informatiestromen binnen een organisatie of netwerk. Ik wil stilstaan bij de mogelijkheden van een systeembeheerder van een LAN om electronic monitoring in te zetten. Electronic monitoring is oorspronkelijk bedoeld om de belasting en prestaties van een computernetwerk te observeren. Het softwarepakket NetWare van Novell kent een aantal opties die deze vorm van monitoring mogelijk maakt. De belangrijkste optie betreft het hulpprogramma Monitor. Dit programma geeft de systeembeheerder informatie over het actuele prestatieniveau van een server: de geheugenstatus, de serververbindingen, de serverprocessen, de status van bestandvergrendeling en het gebruik van voorzieningen.85 Niettemin bevat NetWare ook andere monitoring-opties. Er kan gekeken worden naar de status van een printer en hoe vaak gebruik wordt gemaakt van een CD-ROM of bepaalde programma’s. Daarnaast kan

84

85

De gegevens van SHRM kwamen uit onderzoek bij meer dan vijfhonderd leden, voornamelijk human resource professionals. Bron: http://www.shrm.org/press/privacy.html Currid and Company (1994: p.483).

42

HOOFDSTUK 5 MONITORING IN DE PRAKTIJK de systeembeheerder, maar ook de individuele gebruiker, zien welke gebruikers zijn ingelogd. De specifieke kennis van systeembeheerders stelt hen verder in staat om (eventueel met behulp van software) gedetailleerde profielen samen te stellen van gebruikers. Systeembeheerders hebben in het programma NetWare vaak de status van Supervisor, hetgeen betekent dat zij alle rechten hebben in een computernetwerk. Supervisors zijn in staat om met behulp van programma’s als Syscon gebruikers (users) te maken en te beheren, rechten in een bestandensysteem toe te wijzen en ook systeem- en gebruikerloginscripts te maken en te beheren. De systeembeheerder heeft met NetWare kortom een middel in handen waarmee hij de mogelijkheden van individuele gebruikers in een computernetwerk kan reguleren. Indien de netwerkbeheerder zichzelf ook de rechten toekent om toegang te krijgen tot directories van gebruikers op een server, of mogelijkheden inbouwt om als supervisor elk werkstation op afstand te kunnen raadplegen, dan heeft de systeembeheerder onbeperkte toegang tot data van alle gebruikers van een computernetwerk. Er zijn zelfs programma’s te verkrijgen die hem in staat stellen om passwords van alle gebruikers te achterhalen.86 Behalve toegang tot bestanden van gebruikers kan hij ook het gedrag van gebruikers observeren door gebruik te maken van speciale programma’s zoals packet-sniffers. Daarnaast heeft hij de mogelijkheid om software in te zetten om te voorkomen dat netwerkgebruikers spelletjes (zoals DOOM, solitaire, patience en minesweeper) spelen op de computer.87 Een systeembeheerder neemt in een computernetwerk - en daarmee in een organsiatie- een belangrijke positie in. Soms worden er regels opgesteld die aangeven welke rechten en plichten gebruikers en systeembeheerders in een computernetwerk hebben. Ik ben van mening dat dergelijke regels kunnen bijdragen aan een beter inzicht van de computergebruikers in de mogelijkheden om hun gedrag in de gaten te houden. Een verplichting voor systeembeheerders om de gebruikers te informeren over de gevaren en risico’s van het gebruik van het computernetwerk zou een onderdeel van deze regels kunnen zijn.

5.2.2

Monitoring door individuele computergebruikers

Hoewel individuele computergebruikers in een LAN minder mogelijkheden hebben dan een systeembeheerder om gebruik te maken van electronic monitoring, blijven er toch interessante mogelijkheden over. De open opzet en structuur van een LAN, gecombineerd met de eigenschappen van Novell NetWare bieden de volgende mogelijkheden: C Inzet van een packet-sniffer om packets van andere gebruikers te onderscheppen. C Ook individuele computergebruikers kunnen kijken welke andere gebruikers zijn ingelogd. C Men kan kijken welke gebruiker welk bestand uitprint. Daarnaast kan een gevorderde computergebruiker relatief eenvoudig inbreken (hacken) in een computernetwerk, omdat een LAN een vrij open structuur heeft en veel gegevens (gebruikersnamen en wachtwoorden ongecodeerd verzonden worden). In onderstaande afbeelding is te zien dat gebruiker S105376 op 9 mei 1997 om 16.49 uur een bestand met de naam ‘SCRIPTIE’ uitprint dat ergens op station K staat. Dit overzicht kan elke gebruiker opvragen.

86

87

Het programma NTPASS voor Novell NetWare 3.x and 4.x is zo’n programma. Meer informatie is te vinden op: http://www.accessdata.com/ntpru.html Meer informatie over een dergelijk programma (GameWarden) is te vinden op: http://www.gamewarden.com/main.htm

43

HOOFDSTUK 5 MONITORING IN DE PRAKTIJK

Afbeelding 5.1: Windows-printeroverzicht op basis van Pconsole.

5.3

Monitoring op Internet

Electronic monitoring op Internet heeft tal van verschijningsvormen. De beste verklaring hiervoor is dat het Internet bestaat uit een groot aantal applicaties waarbij iedere applicatie eigen karakteristieken heeft. In de volgende paragrafen worden daarom enkele applicaties op Internet besproken. Per applicatie is er aandacht voor de belangrijkste kenmerken en wordt electronic monitoring uitgewerkt. In deze paragraaf wil ik verder nog aandacht schenken aan een speciaal monitoringprogramma, de packetsniffer. Zoals reeds vermeld in hoofdstuk 2 is dit een programma waarmee data-pakketjes in een computernetwerk kunnen worden bekeken en gevolgd. Vooral organisaties gebruiken packet-sniffers om hun netwerk te observeren. Het kan een handige methode zijn om hackers op te sporen, zo blijkt uit een recent voorbeeld uit de Verenigde Staten.88 Een Argentijnse hacker, Julio Secar Ardita trachtte in te breken in computersystemen van een tweetal overheidsorganisaties (Defensie en de National Aeronautics and Space Administration). De Argentijn werd echter geobserveerd door een packet-sniffer genaamd iWatch. De sniffer maakte onderdeel uit van een programma genaamd Network Intrusion Detector dat geschreven is voor de Amerikaanse marine. Het programma kan elk dataverkeer tussen computers bekijken en slaat verdacht dataverkeer op, zodat dit verkeer vervolgens kan worden onderzocht. De FBI werd op basis van een dergelijk onderzoek ingeschakeld om maatregelen te nemen tegen de Argentijn. De meeste packet-sniffers werken slechts op ‘ingewikkelde’ computers, zoals een UNIX. Dit betekent dat vaak specifieke kennis nodig is om van een packet-sniffer gebruik te kunnen maken. Niettemin zijn er ook packet-sniffers te vinden die op een eenvoudige netwerkcomputer werken. Ten behoeve van mijn empirisch onderzoek heb ik gezocht naar een packet-sniffer die onder Windows’95 werkt. Enig zoeken op het Internet leverde de programma’s NetXray en WebXray van de firma Cinco op.89 Beide programma’s bleken uitermate geschikt om data(verkeer) in een computernetwerk te observeren. NetXray en WebXray waren niet de enige programma’s die gevonden werden. Het programma Remotely Possible heeft dezelfde mogelijkheden.90 Voor mijn onderzoek heb ik echter gebruik gemaakt van NetXray en WebXray. In de

88 89 90

Zie http://nccr.monitor.ca/monitor/issues/vol3iss8/netbytes.html Een evaluatieversie van deze programma’s is te vinden op http://www.cinco.com. Zie http://www.avalan.com/stealth.html

44

HOOFDSTUK 5 MONITORING IN DE PRAKTIJK volgende paragrafen heb ik enkele illustraties opgenomen die aantonen dat een computergebruiker, zonder specifieke (supervisor)rechten in een computernetwerken, veel informatie over een specifieke computer (en als gevolg daarvan over de gebruiker van die computer) kan verzamelen.

5.4

E-mail

Toelichting van E-mail De meest gebruikte Internet-toepassing is zonder twijfel Electronic Mail, afgekort E-mail. Zoals de naam al aangeeft is E-mail het elektronisch verzenden van post. In vergelijking met 'gewone' post (ook wel aangeduid als 'snail-mail') heeft E-mail een groot aantal voordelen: C C C C

E-mail is over het algemeen veel sneller: de tijd tussen het verzenden en de aankomst van een E-mail bedraagt hooguit een paar minuten; E-mail is een goedkope vorm van communicatie; E-mail biedt een goede mogelijkheid om groepsdiscussies op te zetten, aangezien het versturen van een E-mail naar een aantal mensen tegelijk nauwelijks meer werk is dan het versturen van een E-mail naar één persoon; Je kunt met veel E-mail-programma's een ontvangstbevestiging instellen.

Bij het versturen van E-mail, moet men het E-mailadres van de geadresseerde opgeven. Dit E-mailadres bestaat uit een gebruikersnaam en een domeinnaam gescheiden door een @ (spreek uit: at of apestaartje). Een voorbeeld is: [email protected]. Elke E-mailgebruiker heeft zijn eigen postbus, de ‘mailbox’. Daarnaast kent elk E-mail systeem de volgende componenten: C De user-agent is het programma waarmee een computergebruiker zijn binnengekomen E-mail leest en waarmee deze E-mail verzendt. Deze user-agents worden in het dagelijks gebruik ook wel mailprogramma’s genoemd. Bekende voorbeelden van mailprogramma’s zijn Eudora en Pegasus Mail. C De message transfer agent (MTA) is het programma dat er voor zorgt dat de brieven die worden verstuurd bij de MTA van de geadresseerde aankomen en dat binnengekomen E-mail in de mailbox wordt geplaatst. Het protocol dat de MTA’s gebruiken om met elkaar te communiceren is het SMTP-protocol (Simple Mail Transfer Protocol). Het verzenden van een E-mail ziet er schematisch als volgt uit:91

91

Lynch & Rose (1993: p. 188).

45

HOOFDSTUK 5 MONITORING IN DE PRAKTIJK Afbeelding 5.2: Verzending van E-mail..

Overigens wordt een E-mail voor een gebruiker niet direct naar de betreffende computer van deze gebruiker gestuurd. In een computernetwerk met een groot aantal gebruikers wordt de post van alle gebruikers vaak centraal in één systeem opgeslagen. Het Post Office Protocol (POP) maakt het dan mogelijk om post ‘op afstand’ van het centrale systeem te lezen. Om POP te kunnen gebruiken zijn twee dingen nodig: C Een POP-server op het centrale systeem waar alle post wordt verzameld, waardoor het op afstand lezen van de post mogelijk wordt gemaakt. C Een user-agent met POP-ondersteuning (ook wel POP-client genoemd). Indien een gebruiker zijn binnengekomen E-mail wil bekijken zal de client contact opnemen met de POP-server en vervolgens de E-mail opvragen. De gebruiker kan dan bepalen of de post nog op de POP-server moet worden bewaard of - na lezing - automatisch van de server verwijderd kan worden. Monitoring via E-mail Er zijn verschillende manieren om E-mail te monitoren. Indien gebruik wordt gemaakt van een POP-server is het mogelijk om E-mail van die POP-server te bekijken. Systeembeheerders hebben vaak toegang tot de POP-server en kunnen (afhankelijk van de instellingen op het netwerk) bepaalde berichten lezen. Indien een bericht door een gebruiker is gelezen kan dat bericht worden bewaard. Dit geschiedt soms op de POPserver, maar veel vaker op een diskette of de harde schijf van de computergebruiker. Deze bestanden (vaak met ‘mail’ in de bestandsnaam) kunnen eenvoudig door derden worden opgevraagd in een teksverwerker. Er is ook nog een ander aandachtspunt te noemen. Veel netwerkverkeer wordt ongecodeerd verzonden in ASCII92 hetgeen betekent dat dit verkeer eenvoudig te ‘lezen’ is. Dit geldt zeker ook voor E-mailberichten. De inhoud van een E-mail, maar ook het password dat bij een gebruikersnaam hoort, zijn eenvoudig te onderscheppen met behulp van een packet-sniffer. Bovendien is het mogelijk dat de mail-servers (SMTP) van de verzender en de geadresseerde een kopie maken van elk E-mailbericht dat op de mailserver binnenkomt of via een mailserver wordt verzonden.

5.5

Telnet

De naam Telnet is van toepassing op zowel een programma als een protocol dat gebruikt wordt om computergebruikers toegang te verlenen tot een andere computer. In feite is de computer van de gebruiker dan een terminal waarmee deze bepaalde informatie op afstand van een andere computer (host) kan opvragen. Telnet wordt met name veel gebruikt om toegang te krijgen tot computers die publieke informatiediensten aanbieden. Voorbeelden hiervan zijn: C Bibliotheken: in Nederland zijn vrijwel alle universiteitsbibliotheken via Telnet te bereiken. C Databases: er zijn computers die een grote database aanbieden over een bepaald onderwerp. C Machines die vrije Internettoegang aanbieden (zoals bijvoorbeeld de machine van de oude Digitale Stad Amsterdam: dds.xs4all.nl). Het programma Telnet dient voor remote login en terminal emulatie. Remote login betekent dat vanaf een bepaalde computer (het local system) een verbinding wordt opgebouwd met een andere computer (het remote system). Terminalemulatie houdt in dat het local system zich daarbij gedraagt alsof het een terminal is die met het remote system is verbonden. Een dergelijke verbinding wordt ook wel een client/server-

92

ASCII staat voor American Standard Code for Information Interchange. Meer informatie over ASCII is o.a. te vinden in: Weusten e.a. (1993: p. 28).

46

HOOFDSTUK 5 MONITORING IN DE PRAKTIJK verbinding genoemd.93

Afbeelding 5.3: Een Telnetsessie.

Om een Telnetverbinding met een andere computer te krijgen zijn er drie dingen nodig:94 1. De symbolische naam van de computer (of eventueel het numerieke IP-adres). 2. Een loginnaam om als gebruiker toegelaten te worden. 3. Het bij die loginnaam horende wachtwoord. De gebruiker kan vervolgens op de remote-computer werken. Nadeel is dat hij geen bestanden van de remote-computer kan bewaren op zijn eigen computer. Electronic monitoring en Telnet Telnet is een relatief oude Internet-applicatie. De gegevens die benodigd zijn om contact te krijgen met de remote-computer (adres, loginnaam en wachtwoord) maar ook alle andere gegevens die de gebruiker van Telnet intypt worden meestal ongecodeerd in ASCII over het Internet naar de remote-computer verzonden. Electronic monitoring kan dan ook plaatsvinden in het hele traject dat de Telnet-packets afleggen om uiteindelijk bij de remote-computer aan te komen. De server van de gebruiker kan dus een sessie volgen, maar ook de server waarop de Telnet-computer is aangesloten en (met enige moeite) elke computer waarlangs de Telnet-packets worden verzonden. Overigens logt de Telnetmachine vaak vanaf welke computer informatie wordt geraadpleegd. Om te laten zien dat ook de inhoud van zo’n Telnetsessie ongecodeerd kan worden geobserveerd volgt hieronder een afbeelding van een Telnet-packet dat ik heb onderschept met het programma WebXray.

93 94

Vanheste (1994: p. 64). Vanheste (1994: p. 67).

47

HOOFDSTUK 5 MONITORING IN DE PRAKTIJK

Afbeelding 5.4: Electronic monitoring van een Telnetsessie met een packet-sniffer.

In afbeelding 5.4 is te zien dat de gebruiker van de computer met het IP-adres 137.56.39.198 (in dit geval betreft het één van mijn scriptiebegeleiders: Kees Schalken) contact heeft met de computer met het IP-adres 137.56.0.150 (Een SUN-computer op de kamer van Kees Schalken). Er wordt op dat moment een Multi User Dimension-spel gespeeld met als thema: Star Wars. Met behulp van de packet-sniffer is een gedeelte van de tekst te zien die Kees heeft ontvangen (rechtsonder in de afbeelding). Op deze wijze kan een individuele Telnetsessie geobserveerd worden zonder dat de gebruiker dat zelf in de gaten heeft. Niet alleen de inhoud van de Telnetsessie maar ook een loginnaam en een wachtwoord kunnen overigens met een packet-sniffer worden achterhaald.

5.6

File Transfer Protocol

In de vorige paragraaf is beschreven dat met de applicatie Telnet contact kan worden gelegd met computers op Internet die over publiek toegankelijke informatie beschikken. Deze informatie kan worden bekeken, veelal via een menugestuurd programma. Telnet kent echter geen mogelijkheden om bestanden die op een andere computer staan over te halen naar de eigen machine (dit heet downloaden). Het is bovendien niet mogelijk om bestanden van de eigen computer naar de remote-computer te verzenden (uploaden) ontbreken. Om bestanden tussen computers op het Internet te versturen is een aparte applicatie ontworpen: FTP (File Transfer Protocol). Er zijn een aantal redenen te noemen waarom het handig is om bestanden tussen computers te kunnen transporteren:95 C Op Internet kan veel software worden gevonden. Gebruikers willen deze software vaak op de eigen computer installeren en gebruiken. C Op Internet zijn veel tekstdocumenten vrij verkrijgbaar. Het kan gaan om elektronische tijdschriften, maar ook om handleidingen, gerechtelijke uitspraken etc. 95

Vanheste (1994: p. 78).

48

HOOFDSTUK 5 MONITORING IN DE PRAKTIJK C

Naast software en tekstbestanden zijn er ook geluidsfragmenten, foto’s en video-fragmenten op Internet opgeslagen. Om deze bestanden te kunnen gebruiken is vaak nodig om ze op de eigen computer te bewaren.

FTP is net als Telnet opgebouwd volgens het client/server-systeem. Om gebruik te kunnen maken van FTP is een aantal dingen nodig: 1. Een FTP-programma, ook wel een FTP-cliënt genoemd; 2. Het adres van de FTP-server waarmee men contact wil maken; 3. Een loginnaam om als gebruiker toegelaten te worden; 4. Het bij die loginnaam behorende wachtwoord. Electronic monitoring en FTP FTP is net als Telnet een relatief oude Internet-applicatie. De gegevens die benodigd zijn om contact te krijgen met de FTP-server(adres, loginnaam en wachtwoord), maar ook de commando’s die de FTPgebruiker geeft, worden ongecodeerd in ASCII over het Internet verzonden. Electronic monitoring kan dan ook plaatsvinden in het hele traject dat de packets van een FTP-sessie afleggen om uiteindelijk bij de FTPserver te komen en vice versa. De FTP-server logt overigens in de meeste gevallen vanaf welk IP-adres wordt ingelogd en welke bestanden worden bevraagd. Hieronder volgt een afbeelding van een FTP-packet, gemaakt met WebXray, waaruit blijkt dat naast het IP-adres van de client en de server zelfs de loginnaam en het wachtwoord kunnen worden onderschept.

Afbeelding 5.5: Electronic monitoring van een FTP-sessie met een packet-sniffer.

5.7

USENET: nieuwsgroepen op Internet

Bij de paragrafen over Telnet en FTP lag het accent vooral op informatie. Het Internet wordt dan vooral gezien als een grote bron van informatie. In de paragraaf over E-mail lag het accent vooral op communicatie tussen netwerkgebruikers. Het Internet kent echter ook applicaties die zowel dienen voor informatievergaring als voor communicatie met anderen. Een voorbeeld van een dergelijke applicatie betreft het USENET, ook wel netwerknieuws of nieuwsgroepen genoemd. Het USENET bestaat uit tienduizenden verschillende groepen met daarin artikelen over een centraal thema. In feite is het USENET dus een elektronische equivalent van een verzameling tijdschriften. Het verschil tussen USENET en deze verzameling tijdschriften is echter dat USENET interactief is: gebruikers van USENET kunnen artikelen lezen, maar ook artikelen plaatsen. Om gebruik te kunnen maken van USENET zijn, net zoals bij E-mail, een user agent en een transfer agent nodig. De user agent is een programma dat gebruikt wordt om het nieuws te lezen of om artikelen te plaatsen. Zo’n programma wordt ook wel een newsreader genoemd. De news transfer agent is het programma dat voor het transport van de artikelen zorgt. De protocollen waarop dit transport is gebaseerd zijn UUCP en NNTP. Deze protocollen worden hieronder kort toegelicht.

49

HOOFDSTUK 5 MONITORING IN DE PRAKTIJK C C

UUCP (UNIX to Unix Copy Protocol) is een protocol waarmee het USENET is begonnen. Het wordt nog steeds gebruikt voor computers die geen rechtstreekse Internettoegang hebben. NNTP (Network News Transfer Protocol) is een protocol dat gebaseerd is op TCP/IP en wordt gebruikt om nieuws te transporteren tussen computers die rechtstreeks met het Internet verbonden zijn.

Net zoals bij E-mail wordt het netwerknieuws vaak op een centrale computer bewaard. Het NNTP-protocol maakt het vervolgens mogelijk om ‘op afstand’ de artikelen in een nieuwsgroep te lezen. Schematisch ziet dit er als volgt uit:96

Afbeelding 5.6: News-client en news-server.

Electronic monitoring en USENET Om gebruik te kunnen maken van USENET zijn geen loginnaam en een wachtwoord vereist. De communicatie berust op het verzenden van artikelen, waarbij de auteur geïdentificeerd zou kunnen worden aan de hand van zijn E-mailadres. De verzending van de artikelen geschiedt wederom ongecodeerd in ASCII. Bij nieuwsgroepen van bijvoorbeeld erotisch getinte aard is te zien dat auteurs vaak een vals Emailadres opgeven. Niettemin kan er veel informatie over zo’n artikel worden verzameld. Het monitoren van USENET-packets met behulp van een packet-sniffer (WebXray) levert fraaie voorbeelden op.

Afbeelding 5.7: Electronic monitoring van een nieuwsgroep-packet met een packet-sniffer.

In de bovenstaande illustratie is te zien dat de persoon die de computer met het IP-adres 137.56.36.169 gebruikt, de erotisch getinte nieuwsgroep alt.binaries.pictures.erotica.cheerleader heeft bezocht. De

96

Vanheste (1994: p. 175).

50

HOOFDSTUK 5 MONITORING IN DE PRAKTIJK nummers 137.56 geven aan dat de gebruiker tot de KUB behoort. Met behulp van inloggegevens zou vervolgens achterhaald kunnen worden wie deze gebruiker is geweest. Met een packet-sniffer kan elk artikel dat van een bepaald IP-adres wordt verzonden, onderschept worden. Daarin is dan te zien om welke nieuwsgroep het gaat en welk artikel het betreft. Vaak kan echter nog veel meer informatie over de auteur en het artikel worden verzameld.

Afbeelding 5.8: Informatie over de auteur en de inhoud van een artikel door gebruik van een packet-sniffer.

In afbeelding 5.8 is te zien dat de auteur van deze scriptie een artikel heeft geplaatst voor het vak Practicum Rechtsinformatica in de nieuwsgroep kub.frw.misc. Het artikel is geschreven vanaf de computer met als identificatie pi1316.kub.nl. Het bijbehorende IP-adres van deze computer kan vervolgens gevonden worden met behulp van speciale software en levert op: 137.56.41.46. Ook zonder een packet-sniffer kun je veel informatie verzamelen. Alle artikelen in elke grote nieuwsgroep worden gelogd door een organisatie genaamd Deja News.97 Elk artikel dat ooit is ‘geschreven’ kan op deze manier worden opgezocht en nagelezen. Het zoeken wordt vergemakkelijkt door de optie Author Profile. Door een naam op te geven (of een E-mailadres) krijg je een overzicht van alle artikelen die een bepaalde auteur ooit in de gelogde nieuwsgroepen heeft geschreven. Met behulp van deze optie is reeds veel informatie verzameld over de identiteit van mensen die een vals E-mailadres opgaven toen zij in nieuwsgroepen met een omstreden karakter hun artikelen plaatsten.98 Electronic monitoring is dus ook expost mogelijk. Om de proef op de som te nemen heb ik op 6 mei een overzicht opgevraagd van alle artikelen die mijn scriptiebegeleider Kees Schalken heeft gepost in nieuwsgroepen die door Deja News werden gelogd.

97 98

Meer informatie over Deja News en de mogelijkheden zijn te vinden op http://www.dejanews.com. Zie o.a. http://www.dra.nl/~westext/dc_index.html

51

HOOFDSTUK 5 MONITORING IN DE PRAKTIJK

Afbeelding 5.9: Auteurprofiel van Kees Schalken met behulp van Deja News.

5.8

World Wide Web

Een van de meest bekende Internettoepassingen is het World Wide Web (WWW). Ten onrechte wordt het World Wide Web tegenwoordig vaak vereenzelvigd met Internet. Internet staat voor een verzameling applicaties waarvan het WWW er slechts één is. Op zich is de verwarring wel te begrijpen, want het is de introductie van het WWW geweest die aan de basis staat van de enorme groei van het Internet. Het WWW is oorspronkelijk ontwikkeld op het onderzoeksinstituut CERN in Genève. De bedoeling was een informatiesysteem te ontwikkelen waarmee de verschillende onderzoeksgroepen op een efficiënte wijze informatie konden delen en uitwisselen. Dit geschiedde door de invoering van hypertext. Hypertext is een mechanisme waarmee vanuit objecten (tekst, plaatjes etc.) verwezen kan worden naar andere objecten. Daarvoor zijn in een hypertext-document zogenaamde hypertext-links (verwijzingen) opgenomen. Hypertextdocumenten op Internet zijn opgemaakt met behulp van een speciale ‘taal’, HTML (HyperText Markup Language). De hypertextdocumenten op Internet worden HTML-pagina’s genoemd. Om deze pagina’s te kunnen zien wordt een hypertextbrowser gebruikt. Bekende voorbeelden van hypertextbrowsers zijn Netscape Navigator, Mosaïc en Internet Explorer. Het opvragen van een HTML-pagina geschiedt wederom door middel van een client/server-verbinding. De client is in dit geval de hypertextbrowser. De server is de computer waarop een Internetpagina is opgeslagen. Electronic monitoring en het World Wide Web Gebruikers van het World Wide Web zullen over het algemeen weinig weten van de mogelijkheden om het dataverkeer dat ze genereren te observeren. Juist op het WWW kent electronic monitoring veel verschijningsvormen. Enkele veel voorkomende mogelijkheden zullen hieronder worden besproken. Serverlog Servers waarop Internetpagina’s zijn opgeslagen loggen meestal vanaf welk IP-adres bepaalde pagina’s worden opgevraagd. Het Centre for Democracy and Technology heeft een demonstratiepagina op Internet opgezet die aangeeft vanaf welk IP-adres een gebruiker de pagina bezoekt, welke browser wordt gebruikt, welk computerplatform (Win95, Macintosch, UNIX etc.), welke pagina het laatst is bezocht en in

52

HOOFDSTUK 5 MONITORING IN DE PRAKTIJK zeldzamere gevallen - via onvoorzichtig geconfigureerde of kraakgevoelige browsers zelfs het Emailadres.99 Om een goed overzicht te krijgen van de bezoekers van een bepaalde pagina zijn overigens statistische programma’s ontwikkeld die een en ander kunnen bijhouden.100 Cookies101 Een van de manieren om een digitaal profiel samen te stellen van een websurfer is het opnemen van een zogenaamde cookie in een webpagina. Een cookie is een klein bestand dat kan bijhouden op welke wijze een bezoeker een bepaalde pagina het liefst wil zien en hoe vaak hij deze bezocht heeft. Daartoe wordt de bezoeker een uniek identificatienummer toegekend dat wordt opgeslagen op de harde schijf van de bezoeker in het bestand: cookies.txt. Op deze manier kan een gebruiker zijn persoonlijke instellingen voor een pagina bewaren zodat bij een volgend bezoek een pagina meteen de gewenste informatie geeft (bijvoorbeeld de taal waarin een pagina verschijnt). Elke keer dat een gebruiker een specifieke pagina raadpleegt, zoekt de server naar het cookiebestand op de harde schijf van de gebruiker. De server kan overigens alleen maar bij de eigen cookie (een pagina op de server van Microsoft kan dus geen cookie raadplegen die is ingesteld door een pagina van een andere organisatie). De gegevens in een cookiebestand zijn meestal geen persoonlijke gegevens maar vooral een stel getallen. Meestal staat vermeld welke pagina is bezocht. Niettemin kan er in een cookie wel degelijk persoonlijke informatie worden opgeslagen, zoals een IP-adres in combinatie met een E-mailadres, maar dan moet de gebruiker dit E-mailadres zelf hebben opgegeven. De kracht van de cookie is dat het unieke identificatienummer voldoende is om een digitaal profiel van de bezoeker samen te stellen zonder zijn echte identiteit te kennen. De bezoeker kan op grond van zijn identificatienummer dan van specifieke informatie worden voorzien maar tegelijkertijd kan zijn gedrag worden vastgelegd en worden gebruikt voor andere doeleinden. Gebruikersnamen voor Internetpagina’s Niet alle pagina’s op Internet zijn vrij toegankelijk. Voor een aantal pagina’s zijn een gebruikersnaam en een wachtwoord nodig. Om deze gebruikersnaam te kunnen verkrijgen moet vaak een aantal persoonlijke gegevens worden opgegeven. Op het moment dat een gebruiker vervolgens inlogt op zo’n pagina kan vervolgens een perfect profiel worden samengesteld: welke pagina’s worden bezocht, wanneer, hoe vaak etc. Tijdens een stage bij het ministerie van VROM heb ik de kracht van een dergelijk systeem leren kennen. Als beheerder van pagina’s waarvoor gebruikersnamen nodig waren, had ik de mogelijkheid om individuele bezoekers in de gaten te houden.102 In afbeelding 5.10 is te zien dat per deelnemer bekeken kan worden hoe vaak een bepaalde pagina is bezocht, wanneer een pagina voor het laatst is bezocht en welke verschillende pagina’s door een deelnemer zijn bezocht. Dergelijke statistieken geven een aardig inzicht in het gedrag van een bezoeker.

99 100 101 102

Zie http://www.anonymizer.com/cgi-bin/snoop.pl Zie de homepage van het bedrijf NedStat: http://www.nedstat.nl Zie http://www.netscape.com/newsref/std/cookie_spec.html en http://www.cnet.com/Content/Voices/Barr/042996/ De besproken afbeeldingen zijn gebaseerd op statistieken van een discussieplatform op Internet van het Ministerie van VROM (http://vrom.design.nl) die alleen toegankelijk zijn voor de beheerder van het platform.

53

HOOFDSTUK 5 MONITORING IN DE PRAKTIJK

Afbeelding 5.10: gebruikersprofiel door middel van een log op gebruikersnamen.

De packet-sniffer Ook op het World Wide Web wordt veel informatie ongecodeerd verzonden in ASCII. Met een packetsniffer kan dus geobserveerd worden welke pagina’s vanaf een bepaald IP-adres worden bezocht.

Afbeelding 5.11: overzicht van bezochte pagina’s op Internet vanaf verschillende computers.

Met een packet-sniffer komt zelfs de HTML-code van een bezochte pagina in beeld. Een mooi voorbeeld betreffen de volgende twee afbeeldingen waarin te zien is dat zelfs studieresultaten die door middel van een password en een gebruikersnaam zijn beveiligd onderschept kunnen worden. Om de privacy van mijn medestudenten niet te schenden, heb ik een voorbeeld van mijn eigen studieresultaten gebruikt. Een systeembeheerder kan echter zonder veel moeite alle resultaten van een student volgen indien deze zijn resultaten door middel van de daarvoor bedoelde Internetpagina103 opvraagt.

103

Zie http://kubax6.kub.nl:2080/public/deasa/sis/index.html

54

HOOFDSTUK 5 MONITORING IN DE PRAKTIJK

Afbeelding 5.12:

Gedeelte van een met een gebruikersnaam en password beveiligde HTML-pagina waarop de studieresultaten van een student (P.J.M.Kolkman, ANR: 105376) staan vermeld.

Afbeelding 5.13:

Gedeelte van een met een gebruikersnaam en password beveiligde HTML-pagina waarop de studieresultaten van een student (een 8 voor Bestuurlijke Informatiekunde A) staan vermeld.

5.9

Een logboek

In dit hoofdstuk heb ik aangetoond dat er vele manieren zijn waarop electronic monitoring in de praktijk plaats kan vinden. Zelfs gewone computergebruikers kunnen electronic monitoring toepassen, alhoewel de mogelijkheden voor systeembeheerders vaak groter zijn. Electronic monitoring is mogelijk omdat informatie vaak ongecodeerd wordt verzonden en zodoende onderschept kan worden door middel van speciale programma’s. Met behulp van onderdelen van Novell NetWare, maar ook een packet-sniffer en logbestanden van servers is in veel gevallen te zien welke handelingen vanaf een computer worden verricht. Het gedrag in een lokaal computernetwerk maar ook het Internetgedrag van werknemers kan dan ook zonder veel moeite geobserveerd worden. Electronic monitoring op Internet biedt bovendien mogelijkheden om gedetailleerde profielen van bezoekers samen te stellen. Informatie verkregen door electronic monitoring kan vervolgens voor allerlei doeleinden worden ingezet.

55

HOOFDSTUK 5 MONITORING IN DE PRAKTIJK Ik concludeer dat er tegenwoordig voldoende software op de markt is die systeembeheerders, maar ook andere computergebruikers, in staat stellen om met behulp van electronic monitoring het dataverkeer van een specifieke computer te observeren. Zowel het dataverkeer in een LAN zelf, maar ook het dataverkeer voortkomend uit het gebruik van Internet kan eenvoudig worden onderschept. Het gebruik van electronic monitoring kan gedragsprofielen opleveren van individuele gebruikers, indien het dataverkeer kan worden herleid tot computergebruikers. Deze profielen kunnen door een organisatie worden gebruikt om bijvoorbeeld medewerkers te controleren bij hun werkzaamheden. Indien profielen worden samengesteld van het gebruik van Internet dan kunnen deze profielen onder andere dienen voor marketingdoeleinden. Electronic monitoring is kortom een efficiënt instrument om gegevens over personen te verzamelen.

56

HOOFDSTUK 6 DIGITAAL BEKEKEN

6 DIGITAAL BEKEKEN 6.1

Inleiding

Op vrijdag 23 mei 1997 meldt Internet-journalist Francisco van Jole in de Daily Planet dat op de Digitale Stad Leiden een Internetpagina staat met kinderporno. Het adres van de betreffende pagina, waarop de kinderporno te vinden is, wordt door Van Jole gepubliceerd.104 Van Jole krijgt een heleboel commentaar over zich heen. Eén van de verwijten is dat degene die de kinderporno heeft geplaatst, nu niet meer te achterhalen zou zijn. Van Jole reageert op de commotie tijdens een televisie-uitzending op vrijdag 30 mei om 19.00 uur in het programma “5 in het land” van RTL 5. Hij verklaart dat degene die de kinderporno verspreid heeft, dit onvoorzichtig heeft gedaan. Hij heeft namelijk digitale sporen achtergelaten, waardoor Van Jole kans heeft gezien om de identiteit van de verspreider van de kinderporno (naam, adres en zelfs telefoonnummer) te achterhalen. In dezelfde uitzending zegt Van Jole dat hij geen hoge pet op heeft van de capaciteiten van de Nederlandse politie voor wat betreft de kennis om onderzoek te verrichten op Internet. Bovenstaand bericht is een goed voorbeeld van electronic monitoring. De identiteit van iemand die kinderporno zou hebben geplaatst kan worden achterhaald door gebruik te maken van electronic monitoring. Het bericht geeft nogmaals aan dat het observeren van gedrag van een bepaald persoon in een digitale omgeving veel informatie over die persoon kan opleveren. Langzamerhand verschijnen er steeds meer berichten over deze observatiemethoden op Internet. Monitoring komt niet alleen voor op Internet, maar zien we ook terug binnen organisaties. Recent onderzoek van de American Management Association (AMA) dat werd vrijgegeven op 22 mei 1997 wees uit dat de meerderheid van de middelgrote en grote bedrijven in de Verenigde Staten gebruik maken van controle- en observatiemethoden.105 Meer dan een derde (35 procent) van de 906 onderzochte bedrijven neemt telefoongesprekken van werknemers op, bekijkt computerbestanden en E-mail of gebruikt camera’s om de werkvloer te observeren. Een iets groter deel (37 procent) houdt bij welke telefoonnummers door werknemers worden gebeld. Gemiddeld maakt 63 procent van de bedrijven gebruik van één of meer vormen van monitoring. Hoewel het grootste gedeelte van de bedrijven de werknemers vertelt dat men geobserveerd wordt, laat 23 procent dit achterwege. In mijn scriptie heb ik stilgestaan bij een specifieke vorm van observatie: electronic monitoring. Daaronder versta ik: het observeren van data(verkeer) in computernetwerken met behulp van elektronische (hulp)middelen. Het te verrichten onderzoek heb ik beperkt tot electronic monitoring in een Local Area Network met Novell NetWare en het Internet. In de voorgaande hoofdstukken heb ik aangetoond welke mogelijkheden er zijn om dataverkeer te observeren en welke problemen men tegen komt. Dit hoofdstuk wil ik gebruiken om alle bevindingen op een rijtje te zetten en de probleemstelling te beantwoorden. Daartoe zal ik eerst per deelvraag, zoals geformuleerd in hoofdstuk 1, een korte samenvatting geven en een antwoord formuleren. In paragraaf 6.6 worden de bevindingen met elkaar in verband gebracht en in een breder perspectief geplaatst.

104 105

Zie http://www.pi.net/archief/daily/dp556.html Hobbs (1997: p. 560).

57

HOOFDSTUK 6 DIGITAAL BEKEKEN

6.2

De essentie van electronic monitoring

In hoofdstuk 2 van mijn scriptie heb ik getracht deelvraag 1 te beantwoorden. Deze luidt: Welke zijn de kenmerken van computernetwerken waarin electronic monitoring plaatsvindt? De conclusie die uit hoofdstuk 2 volgt is dat computernetwerken voor het versturen van data gebruik maken van adressering in de vorm van een IP-adres (Internet) of bijvoorbeeld een netwerkkaart. Het versturen van data is wellicht complex van aard maar kan in essentie teruggebracht worden tot de overdracht van gegevens van één computer naar een andere computer. Deze overdracht komt tot stand met behulp van communicatieprotocollen, waarbij data soms een aantal andere computers passeert voordat de bestemming wordt bereikt. Data wordt soms gecodeerd, soms ook ongecodeerd verzonden. Dit betekent dat in theorie mogelijkheden kunnen worden ontwikkeld om deze data te volgen, te bekijken en te veranderen. Gezien hun positie en hun kennis van computernetwerken zullen vooral systeembeheerders gebruik maken van deze mogelijkheden. Zij hebben toegang tot de besturingssoftware van het computernetwerk en hebben veelal tot taak het netwerk operationeel te houden en te beveiligen. Electronic monitoring van het netwerk kan voor systeembeheerders nuttig zijn in verband met systeembeheer en beveiliging maar bijvoorbeeld ook voor het samenstellen van statistieken. Indien gekeken wordt naar het Internet dan is electronic monitoring handig voor het samenstellen van statistieken en gebruikersprofielen.

6.3

Informatisering en electronic monitoring

Electronic monitoring kan gezien worden als een specifieke toepassing van informatie- en communicatietechnologie (ICT). In hoofdstuk 3 van deze scriptie heb ik daarom aandacht besteed aan kenmerken van informatisering en ICT teneinde inzicht te verkrijgen in de gevolgen die ICT en specifiek electronic monitoring voor organisaties met zich mee brengt. De vraag die daarbij van belang is, luidt als volgt: Op welke wijze kan electronic monitoring door organisaties worden ingezet? Ik heb eerst in het algemeen aandacht besteed aan de gevolgen en de problemen rondom de introductie van ICT in organisaties. In het begin ontstaan vaak een drietal problemen: afstemmingsproblemen, cultuurproblemen en productiviteitsproblemen. Deze problemen worden veroorzaakt door een te eenzijdige benadering van ICT. Zij verdwijnen indien in organisaties het besef ontstaat dat ICT en ICT-infrastructuren een volwaardig onderdeel zijn van de organisaties. ICT kan een belangrijke bijdrage leveren aan de wijze waarop organisaties hun werkprocessen inrichten. Gezien het feit dat ICT snel informatie levert over het functioneren van bepaalde processen, kan ICT ook worden gebruikt om organisatieactiviteiten op een andere wijze in te delen of uit te voeren. Deze ontwikkeling wordt ook wel aangeduid met de term ‘Business Process Redesign’ Het gebruik van informatiesystemen bij de ontwikkeling van organisatiestrategieën is daarvan een goed voorbeeld. Ik heb ook aangetoond dat ICT van invloed is op de mens in de organisatie. Enerzijds zien we dat de aard van het werk verandert in de zin dat mensen minder zwaar werk hoeven te verrichten. Anderzijds is te merken dat ICT ook als bedreigend voor de eigen baan wordt beschouwd en dat het nodig is om mensen te scholen in het gebruik en de logica achter ICT. ICT heeft niet alleen gevolgen voor de mensen op de werkvloer. Ook het management wordt voor nieuwe problemen en keuzes gesteld. Zij zullen ICT moeten leren zien als een middel om snel inzicht te verkrijgen

58

HOOFDSTUK 6 DIGITAAL BEKEKEN in het verloop van bepaalde processen of het functioneren van medewerkers. Wanneer gekeken wordt naar electronic monitoring dan concludeer ik dat electronic monitoring moet worden gezien als een intelligente ICT-toepassing. De toepassing ondersteunt niet alleen de werkprocessen in organisaties - in de zin dat het gebruikt wordt om een computernetwerk in de gaten te houden en te beveiligen - maar verzamelt tegelijkertijd ook informatie over het gebruik van dat netwerk. Electronic monitoring heeft kortom een ‘informating capacity’.106 Het is een toepassing waarmee snel inzicht kan worden verkregen in bepaalde processen, waardoor deze processen transparant worden en controlemogelijkheden een nieuwe impuls krijgen. Op het Internet kan electronic monitoring voor veel doeleinden worden ingezet. Eén van de belangrijkere toepassingen betreft het samenstellen van gebruikersprofielen. Aan de hand van deze profielen kan informatie voor gebruikers op een specifieke wijze worden geselecteerd en eventueel per E-mail worden toegezonden. Het E-mailadres is daarbij een belangrijk middel om informatie te verstrekken. Al met al biedt de inzet van electronic monitoring de mogelijkheid om snel en doeltreffend informatie te verkrijgen en te genereren over specifieke gebruikers. Over de plaats van electronic monitoring in een organisatie zal gediscussieerd moeten worden. Immers, electronic monitoring kan diep ingrijpen op het functioneren van (vooral medewerkers van) een organisatie, omdat met een druk op de knop bepaalde informatie kan worden verkregen. Er kan aldus een spanning ontstaan tussen enerzijds medewerkers die zich bekeken voelen en anderzijds het management dat graag controleren wil. Deze spanning zal moeten worden weggenomen door af te spreken wat de rol van electronic monitoring is en welke consequenties dit kan hebben voor de mensen in de organisatie.

6.4

Juridische randvoorwaarden en leemten

Een belangrijk aandachtspunt ten aanzien van electronic monitoring betreft de vraag welke negatieve effecten verbonden zijn aan het gebruik van deze observatiemethoden. In het bijzonder heb ik gekeken naar het recht. De volgende vraag heb ik mij gesteld: Welke juridische randvoorwaarden zijn aan het gebruik van electronic monitoring verbonden? Om deze vraag te kunnen beantwoorden, is het belangrijk om eerst te kijken waar we in juridische zin mee te maken hebben. Indien electronic monitoring wordt gebruikt om informatie over personen te verzamelen dan kan er sprake zijn van een inbreuk op de persoonlijke levenssfeer van die personen. De bescherming van de persoonlijke levenssfeer is sinds 1983 te vinden in de Grondwet. Het gaat dan om de artikelen 10 GW (informationele privacy), 11 GW (onaantastbaarheid menselijk lichaam), 12 GW (huisrecht) en 13 GW (briefgeheim en telefoon- en telegraafgeheim). Bij electronic monitoring zijn vooral de artikelen 10 en 13 GW van belang. Artikel 10, lid 2 en 3 GW vermeldt het stellen van regels ter bescherming van de persoonlijke levenssfeer met betrekking tot het verzamelen, opslaan en verwerken van gegevens. In overeenstemming met deze bepalingen is de Wet Persoonsregistraties (Wpr) aangenomen. Ik heb in hoofdstuk 4 betoogd dat de Wpr onder bepaalde voorwaarden van toepassing kan zijn op electronic monitoring indien daarbij gegevens worden verzameld die betrekking hebben op of te herleiden zijn tot een persoon.. Welke gevolgen heeft deze constatering? Wanneer gekeken wordt naar de Wpr dan betekent dit dat volgens paragraaf 5 van de Wpr voor persoonsregistraties op het gebied van de overheid en het onderwijs, de gezondheidszorg en de maatschappelijke dienstverlening een reglement moet worden vastgesteld.

106

Zuboff (1988).

59

HOOFDSTUK 6 DIGITAAL BEKEKEN In de toekomst zal de Wpr, als gevolg van richtlijn 95/46/EG (bescherming persoonsgegevens) vervangen worden door de Wet bescherming persoonsgegevens. Grootste verschil is dat niet wordt uitgegaan van het begrip persoonsregistratie maar van het begrip verwerking van persoonsgegevens. Ook gegevens van één persoon en een verzameling persoonsgegevens zonder directe samenhang vallen dan onder de wet. De aankomende ISDN-richtlijn geeft een groot aantal nieuwe rechten en plichten. Op het punt van beveiliging, de inhoud en de verkeersgegevens van een communicatieproces moet de dienstenaanbieder maatregelen nemen die de privacy van het communicatieproces garanderen. Belangrijkste conclusie die mijn inziens volgt uit de ISDN-richtlijn is dat electronic monitoring van de inhoud van het gedrag van gebruikers op Internet (inhoud van E-mail, welke WWW-pagina’s worden bevraagd) verboden is, tenzij dit bij wet wordt toegestaan. Het afluisteren, aftappen, opslaan of anderszins onderscheppen van, en meeluisteren naar het communicatieproces door anderen dan de gebruikers zelf, is dus in beginsel verboden. De gebruiker heeft dus het recht om vertrouwelijk te communiceren. Ik heb in hoofdstuk 4 geconstateerd dat bescherming tegen inbreuken op de privacy van computergebruikers in het recht verbrokkeld is geregeld. Algemene bescherming tegen electronic monitoring in Local Area Networks kan vooral gevonden worden in de Wpr en in de toekomst in de Wbp. Niettemin zal een computergebruiker een civiele procedure moeten starten om schending van de privacy aan de kaak te stellen. Op het Internet gelden naast de algemene regelgeving (Wpr, en in de toekomst de Wbp) in de toekomst ook de rechten en verplichtingen die voortvloeien uit de ISDN-richtlijn. Deze rechten en plichten vinden we reeds terug in het concept voor de nieuwe Telecommunicatiewet. Artikel 5 en 6 van deze richtlijn beschermen de Internetgebruiker niet alleen tegen electronic monitoring van de inhoud van zijn Internetgedrag maar ook tegen electronic monitoring van zijn ‘verkeersgegevens’ (wie communiceert met wie, hoe lang, wanneer etc.).

6.5

Een spook met veel gedaanten

In hoofdstuk 5 van deze scriptie heb ik aandacht besteed aan electronic monitoring in de praktijk. De vraag die ik in dat hoofdstuk heb behandeld luidt: Welke verschijningsvormen kent electronic monitoring? Om deze vraag te kunnen beantwoorden heb ik zowel (digitale) gesprekken gevoerd met systeembeheerders, literatuur verzameld en zelf een monitor-programma getest. Ik heb geconcludeerd dat electronic monitoring verschillende verschijningsvormen kent. Er is voldoende software beschikbaar om data(verkeer) te observeren. Deze software kan zelfs van het Internet worden geplukt en door een willekeurige computergebruiker worden toegepast. Belangrijk om te constateren is dat monitoring van computergebruikers vooral mogelijk wordt gemaakt doordat informatie ongecodeerd wordt verzonden. Enkele verschijningsvormen van electronic monitoring zijn: serverlogs, cookies, packet-sniffers, logfileanalyzers. Ook sommige zoeksystemen op Internet kunnen worden gebruikt om het gedrag van een persoon op Internet te achterhalen. De genoemde voorbeelden in hoofdstuk 5 bevestigen dat het gedrag in een digitale omgeving relatief eenvoudig te observeren is. Het voorbeeld van Deja News toont aan dat electronic monitoring van gebruikers zelfs ex post mogelijk is doordat in toenemende mate digitale sporen worden achtergelaten. De informatie die vervolgens kan worden verzameld kan voor allerlei doeleinden worden gebruikt. Met het oog op de toekomst is het raadzaam om steeds weer onderzoek te verrichten naar de (praktische) mogelijkheden om electronic monitoring toe te passen.

60

HOOFDSTUK 6 DIGITAAL BEKEKEN

6.6

Van data-mining naar data-minding

In hoofdstuk 1 heb ik een vijftal deelvragen geformuleerd. In deze paragraaf wil ik op de laatste deelvraag ingaan: Welke algemene aanbevelingen kunnen er ten aanzien van electronic monitoring worden gedaan? Het beantwoorden van deze vraag is moeilijk doch niet onmogelijk. Ik wil een aantal aandachtspunten en mogelijke oplossingsrichtingen formuleren waarvan ik vind dat ze belangrijk zijn. Dit doe ik aan de hand van de onderwerpen van de voorgaande vier hoofdstukken, te weten: de techniek, de organisatie, het recht en de verschijningsvormen van electronic monitoring. De techniek Het Internet en computernetwerken die zijn gebaseerd op Novell NetWare hebben een vrij open structuur. Deze open structuur komt onder andere tot uiting in de wijze waarop informatie wordt verzonden. De huidige, ongecodeerde wijze van verzending zorgt voor problemen. Met relatief eenvoudige middelen is het mogelijk om het gedrag van personen in een computernetwerk te observeren. Wanneer ik specifiek kijk naar het Internet, dan moet de technische routering en verzending van data veranderen. Wil het Internet kunnen doorgroeien tot de elektronische snelweg, dan zijn betrouwbaar betalings- en communicatieverkeer belangrijke vereisten. De laatste jaren wordt er vooral hard gewerkt aan veilig betalingsverkeer via Internet. Het is echter überhaupt verstandig om er voor te zorgen dat communicatie- en informatieverkeer wordt beveiligd. Immers, pas als de gebruiker er van overtuigd is dat het Internet betrouwbaar is, zal deze ook werkelijk intensief van dat Internet gebruik gaan maken. Het bedrijfsleven, maar misschien ook de overheid, moeten zich bewust zijn dat dit een belangrijke factor is voor het succes van de elektronische snelweg. Wanneer ik kijk naar het Local Area Network, dan geldt ook dat betrouwbaarheid een belangrijk aspect is. Computergebruikers zullen het waarderen indien er ten aanzien van electronic monitoring open kaart wordt gespeeld. Ik wil ook niet pleiten voor een verbod van electronic monitoring, wel voor openheid. Daarbij kan een goede beveiliging van het netwerk er voor zorgen dat gebruikers meer vertrouwen hebben in het computernetwerk. Gebruikers kunnen overigens ook zelf zorgen voor een betere beveiliging van hun dataverkeer. Toepassing van encryptie bij het verzenden van E-mail en het zorgvuldiger omgaan bij het verstrekken van de eigen (adres)gegevens zijn hiervan voorbeelden. Aandachtspunten: 1

De relatief open structuur van de huidige computernetwerken biedt onvoldoende veiligheid. Het is daarom raadzaam de verzending van data te beveiligen. Dit kan geschieden door andere netwerkprotocollen te ontwikkelen en de computergebruiker standaard de mogelijkheid te geven zijn dataverkeer te versleutelen.

De organisatie Steeds grotere hoeveelheden gegevens kunnen in een steeds sneller tempo worden verzameld, geanalyseerd en opgeslagen. Met een druk op de knop kan (de gewenste) informatie worden gegenereerd. Electronic monitoring kan voor veel doeleinden worden ingezet. Traditioneel werd electronic monitoring gebruikt voor het observeren van de prestaties en de veiligheid van het netwerk. Ik heb aangetoond dat electronic monitoring ook kan worden gebruikt voor marketingdoeleinden of de controle van werknemers. Voorafgaand aan de inzet van electronic monitoring zou een organisatie stil moeten staan bij de volgende

61

HOOFDSTUK 6 DIGITAAL BEKEKEN aandachtspunten: Aandachtspunten: 2 3 4 5

Welke doelen liggen aan de inzet van electronic monitoring ten grondslag? Is electronic monitoring wel het juiste middel om die doelen te bereiken? Wat wordt er gedaan met de gegevens die verkregen worden door electronic monitoring? In hoeverre is het raadzaam te melden dat een organisatie gebruik maakt van electronic monitoring?

Het recht Wanneer we kijken naar (de gevolgen van) electronic monitoring, dan hebben we in juridische zin te maken met de bescherming van de persoonlijke levenssfeer. Ik heb vermeld dat de huidige regelgeving (Wpr) in de toekomst vervangen zal worden door de Wbp. Daarnaast is privacyregelgeving verbrokkeld in allerlei wetgeving terug te vinden. De nieuwe Telecommunicatiewet is daar een prachtig voorbeeld van. Ik zou er voor willen pleiten dat - zo mogelijk - sectorspecifieke privacyregelgeving wordt verwijderd en wordt opgenomen in de nieuwe Wbp. Deze nieuwe wet moet zoveel mogelijk technologie-onafhankelijk worden geformuleerd. Ten aanzien van electronic monitoring in computernetwerken ben ik van mening zelfregulering (het opstellen van gedragscodes) de voorkeur verdient boven materiële regulering door de overheid. Als randvoorwaarde zou de overheid wel kunnen verplichten dat gebruikers geïnformeerd moeten worden over de risico’s en gevolgen die verbonden zijn aan het gebruik van computernetwerken. Aandachtspunten: 6 7

Belangrijk in juridische zin is dat de inzet van electronic monitoring geen inbreuk maakt op regelgeving, zoals die gevonden kan worden in de Wpr en de Wbp. Het geven van juridische informatie aan systeembeheerders, maar ook andere personen of instanties die electronic monitoring inzetten is dan ook geboden.

Verschijningsvormen van electronic monitoring In het voorgaande hoofdstuk is aandacht besteed aan de manieren waarop electronic monitoring zich in de praktijk kan voordoen. Het hoofdstuk dient voornamelijk om duidelijk te maken dat tegenwoordig steeds meer software voorhanden is waarmee dataverkeer kan worden geobserveerd. Zelf heb ik vooral gebruik gemaakt van de packet-sniffer, maar er zijn ongetwijfeld veel meer softwarepakketten die electronic monitoring mogelijk maken. Aandachtspunten: 8

Om enig inzicht te krijgen in de wijze waarop dataverkeer kan worden geobserveerd en wat er mee kan worden gedaan, zal nader onderzoek nodig zijn.

Wanneer ik de bovenstaande aandachtspunten probeer te herformuleren kom ik tot de volgende aanbevelingen: 1.

2.

Ontwikkel netwerkprotocollen die veilig computerverkeer garanderen. Het onversleuteld overzenden van data past niet bij het moderne betalingsverkeer maar ook niet bij moderne informatie- en communicatiemethoden. De inzet van electronic monitoring kan het beste gepaard gaan met het informeren van

62

HOOFDSTUK 6 DIGITAAL BEKEKEN

3. 4.

computergebruikers over de gevolgen van deze inzet. Hierdoor worden problemen en onduidelijkheden van tevoren zichtbaar. Sectorspecifieke privacyregelgeving moet - waar mogelijk - worden voorkomen en worden geïmplementeerd in de nieuwe Wbp. Zelfregulering van electronic monitoring door middel van gedragscodes dient zoveel mogelijk voorrang te krijgen boven materiële regulering door de overheid.

Oude regelgeving in een nieuwe jas? In een periode van stormachtige ontwikkelingen hoort een wetgevend kader dat past bij de geest van de tijd. Nu ik heb geconstateerd dat verschillende vormen van communicatie en informatie convergeren tot digitale handelingen, is het ook tijd om het recht te herformuleren. Ik wil dit doen op het niveau van het grondrecht. In het huidige artikel 13 Grondwet wordt gesproken van briefgeheim, telefoongeheim en telegraafgeheim. Dit zijn begrippen die onduidelijkheden met zich meebrengen. Wat is bijvoorbeeld de status van bescherming van een Email-bericht? Valt dit onder het briefgeheim of juist het telefoongeheim? De beantwoording van deze vraag is niet belangrijk. In een digitale omgeving is het onderscheid tussen deze twee geheimen niet langer zinvol. Het is verstandiger om te kijken naar de functie van artikel 13 Grondwet. De functie van dit artikel is om communicatie en informatie een vertrouwelijk karakter te geven. Voor deze scriptie betekent dit dat electronic monitoring niet zo maar mag worden toegepast. De wetgever heeft ook ingezien dat de bescherming van vertrouwelijke communicatie geen technische benadering moet hebben.107 Daarom wil de wetgever op het niveau van de Grondwet veranderingen doorvoeren. Het huidige artikel 13 Grondwet zal worden aangepast en techniek-onafhankelijk worden geherformuleerd. Centraal komt te staan het begrip vertrouwelijke communicatie. Het nieuwe artikel 13 van de Grondwet komt te luiden:108 Artikel 13 1. Het recht op vertrouwelijke communicatie is onschendbaar, behalve, in de gevallen bij de wet bepaald, door of met machtiging van hen die daartoe bij de wet zijn aangewezen. 2. De wet stelt regels ter bescherming van de vertrouwelijke communicatie. 3. Degene wiens recht op vertrouwelijke communicatie wordt beperkt, wordt van die beperking in kennis gesteld. Bij de wet kunnen uitzonderingen worden gesteld op de eerste volzin, voor gevallen waarin het belang van de staat zulks dringend vordert. De term vertrouwelijke communicatie verdient enige uitleg. Het begrip vertrouwelijke communicatie is ontleend aan de dissertatie van J.A. Hofman, “Vertrouwelijke communicatie”, VU Amsterdam, 1995. Het criterium waarmee de vertrouwelijkheid van de communicatie kan worden vastgesteld is de mate van beslotenheid van de communicatievorm. Bepalend is dan niet het subjectieve oogmerk van de betrokkene. Bij een besloten communicatievorm zijn zodanige beveiligingsmaatregelen van toepassing, dat men moet concluderen tot het bestaan van een geobjectiveerde wil gericht op het vertrouwelijk blijven van de communicatieinhoud. Bij het verzenden van gegevensdragers in gesloten verpakkingen, het verzenden van beveiligde computerberichten over het datanetwerk en het verzenden van gesloten faxen (sealfax) is er dus in objectieve termen sprake van een wil die gericht is op geheimhouding van de communicatie. Concreet betekent dit dat niet-beveiligde computerberichten die via computerrnetwerken worden getransporteerd gezien kunnen worden als een communicatievorm die zonder of met een geringe inspanning

107 108

Tweede Kamer, vergaderjaar 1996-1997, 25 443, nr. 3. Tweede Kamer, vergaderjaar 1996-1997, 25 443, nrs. 1-2

63

HOOFDSTUK 6 DIGITAAL BEKEKEN voor derden toegankelijk is. Dit heeft tot gevolg dat bij gebruik van een dergelijk communicatiemiddel niet op geheimhouding mag worden gerekend. Ook de verkeersgegevens (wie belt met wie en waar) vallen niet onder de bescherming van artikel 13 Grondwet. Het einde van deze scriptie dient echter niet herformulering van regelgeving te zijn. Ik heb laten zien dat electronic monitoring een aantal belangrijke aspecten kent. Het belangrijkste dat mijn inziens uit deze scriptie volgt is dat inzicht nodig is in de gevolgen van de inzet van electronic monitoring. In de literatuur wordt wel onderscheid gemaakt tussen de have’s en de have not’s. Het gaat dan om het onderscheid tussen mensen die wel en geen toegang hebben tot bepaalde middelen. Wanneer ik dit concept probeer te projecteren op electronic monitoring zie ik in eerste instantie niet zo zeer een onderscheid maar wel twee stappen: data-mining en data-minding. Met data-minding bedoel ik dat mensen een actieve houding aannemen, zich bewust zijn van bepaalde gevolgen van electronic monitoring. Data-mining betreft het verkrijgen van (nieuwe) informatie door middel van een analyse van bestaande gegevens en wordt hier gebruikt als symbool voor electronic monitoring. Ik ben van mening dat, voordat er sprake kan zijn van data-mining, eerst sprake moet zijn van dataminding. Kennis van bepaalde technieken en zicht op hun gevolgen moet niet alleen liggen bij techneuten. Het gevaar bestaat dat er dan een nieuw onderscheid ontstaat tussen de know’s en de don’t know ’s. Gezien het feit dat vertrouwelijke communicatie een kernbegrip zal zijn in de toekomst, is het verstandig om mensen bewust te maken van het feit dat ze zelf voor een deel kunnen bepalen of hun communicatie vertrouwelijk is. Het standaard aanbieden van encryptie bij E-mail en Internet zou al een belangrijke stap in de goede richting kunnen betekenen. Een interactief einde Ik heb willen aantonen dat we nu reeds digitaal bekeken worden zonder dat we er erg in hebben. De vraag of men dat erg moet vinden, laat ik verder graag aan de lezer ter overpeinzing.

Tilburg, augustus 1997

Pascal Kolkman

64

LITERATUURLIJST

LITERATUURLIJST C

Bekkers, V.J.J.M., Nieuwe vormen van sturing en informatisering, Delft, 1993.

C

Bekkers, V.J.J.M., Informatietechnologie en publiek domein. Over de armoede en noodzaak van een publiek debat. Manifest van de stichting CommunITé, Tilburg, 1995.

C

Berkvens, J.M.A., C.J.M. van Berkel, Wpr: leidraad voor de praktijk, Deventer, 1995.

C

Clark, J., Human resource managament and technical change, London, 1993.

C

Coombs, R. en R. Hull, The Politics of IT in Organizations, in: Dutton, W.H., Information and Communication Technologies: visions and realities, Oxford, 1996.

C

Currid, Ch., Werken met Novell Netware t/m versie 3.12, Soest, 1994.

C

Donk, W.H.H.J. van de, I. Th.M. Snellen en P.W. Tops, Orwell in Athens. A Perspective on Informatization and Democracy. Amsterdam, 1995.

C

Danziger, J.M., W.H. Dutton, R. Klinger en K.L. Kramer, Computers and Politics: High Technology in American Local Governments. Columbia University Press, New York, 1982.

C

Dutton, W.H., Information and Communication Technologies: visions and realities, New York, 1996.

C

Frissen, P.H.A., Bureaucratische cultuur en informatisering, Den Haag, 1989.

C

Frissen, P.H.A, Overheid in cyberspace: politiek-maatschappelijke aspecten van digitale snelwegen, in: Management en Informatie, september 1995.

C

Frissen, P.H.A., De virtuele staat; politiek bestuur, technologie: een postmodern verhaal, Schoonhoven, 1996.

C

Garfinkel, S en G. Spafford, Web Security & Commerce, Cambridge, 1997.

C

Hoogstraten van, P., ISDN en Privacy, Amsterdam, 1992.

C

Hulsman, B.J.P., Afronding van de ISDN-richtlijn EU, in: IT & Recht, nr. 5., 1996, pp. 5-6.

C

Ippel, P, G. de Heij en B. Crouwers, Privacy disputed, Den Haag, 1995.

C

Johnson, J.L., Privacy and the Judgment of Others. In: Journal of value Inquiry, (1989) 23: 157168, 1989

C

Jong, W.M. de, The Managament of Informatization. A theoretical and empirical analysis of IT implementation strategies. Groningen, 1994.

65

LITERATUURLIJST

C

Lynch, D.C. en M.T. Rose, Internet System Handbook, Reading (Massachusetts), 1993.

C

Lyon, D., The Electronic Eye: the Rise of Surveillance Society, Cambridge, 1994.

C

Nouwt, S. en W. Voermans (red.), Privacy in het informatietijdperk, Den Haag, 1996.

C

Raab, Ch, Ch. Bellamy, J. Taylor, W.H. Dutton en M. Peltu, The Information Polity: Electronic Democracy, Privacy, and Surveillance, in: Dutton, W.H., Information and Communication Technologies: visions and realities, Oxford, 1996.

C

Schalken, K. en J. Flint, Handboek Digitale Steden. Amsterdam: Stichting De Digitale Stad, 1995.

C

Tanenbaum, A.S., Computer networks, New Jersey, 1996.

C

Vanheste, J., Internet: Gids voor wereldwijd netwerken, Utrecht, 1994.

C

Verschuren, P.J.M., De probleemstelling voor een onderzoek, Utrecht, 1992.

C

Westin, A.F., Privacy and Freedom, New York, 1967.

C

Weusten, M.C.M., A.W. Koers, D. Kracht, M. Smith en J.M. Smits, Inleiding in de juridische informatica, Deventer, 1993.

C

Zuboff, S., In the Age of the Smart Machine. The future of Work and Power, Oxford, 1988.

C

Zuurmond, A., De infocratie: een theoretische en empirische heroriëntatie op Weber’s ideaaltype in het informatietijdperk, Den Haag, 1994.

C

Zuurmond, A., J. Huigen, P.H.A. Frissen, I.Th.M. Snellen en P.W. Tops (red.) (1994), Informatisering in het openbaar bestuur, Den Haag, 1994.

66