De lidstaten van de EU zijn het eens geworden over een onderhandelingsmandaat voor nieuwe regels voor de bescherming van de privacy en de vertrouwelijkheid bij het gebruik van elektronische communicatiediensten. Nu er een akkoord is, kan de Raad van de Europese Unie met het Europees Parlement onderhandelen over de definitieve tekst. De onderhandelingen vinden plaats onder het voorzitterschap van Portugal.
Dat schrijft de Raad van de EU in een persbericht.
E-privacyverordening moet richtlijn uit 2002 vervangen
De beoogde e-privacyverordening moet de e-privacyrichtlijn uit 2002 vervangen. De Raad van de EU, bestaande uit de ministers van alle EU-lidstaten, stelt dat deze aan herziening toe is. Er moeten bepalingen over nieuwe technologische en markttechnische ontwikkelingen aan worden toegevoegd. Dan moet je denken aan zaken als Voice over IP (VoIP), webmail, berichtendiensten als WhatsApp en Skype, en technieken om het online gedrag van gebruikers bij te houden (cross site trackers).
Daarnaast wordt de richtlijn getransformeerd in een verordening. Met richtlijnen probeert de EU nationale wetgeving overeen te brengen met Europese regels. Politici noemen dit veelal harmonisering. Europese richtlijnen hebben een algemeen en breed karakter. Dat wil zeggen dat ze niet voorschrijven hoe de nieuwe regels geïmplementeerd moeten worden. Iedere lidstaat is vrij om zelf te bepalen hoe ze omgaat met deze omzetting. Dit in tegenstelling tot een verordening: deze is direct toepasbaar en hoeft niet omgezet te worden in nationale wetgeving.
De beoogde e-privacyverordening wordt een ‘lex specialis’. Dat houdt in dat de regels uit deze verordening voorrang krijgen boven de AVG. De Raad van de EU meldt dat veel van de komende regels zowel voor natuurlijke als rechtspersonen gelden, wat bij de AVG nu niet het geval is. De regels gelden wanneer de eindgebruiker zich in een EU-lidstaat bevindt, ook wanneer de verwerking van de gegevens buiten de EU plaatsvindt, of de dienstverlener buiten Europa is gevestigd.
Interventie is in beginsel niet toegestaan, maar er zijn uitzonderingen
Het uitgangspunt van de verordening is dat gegevens vertrouwelijk zijn. “Elke vorm van interventie, zoals het beluisteren, controleren of verwerken van gegevens door iemand anders dan de eindgebruiker is verboden, tenzij de e-privacyverordening dat specifiek toestaat”, schrijft de Raad.
De Raad noemt enkele uitzonderingen waarop interventie wel is toegestaan. Zo mogen communicatiegegevens zonder expliciete toestemming van de gebruiker worden verwerkt om de ‘integriteit van de communicatiediensten’ te waarborgen, of te controleren op virussen en andere malware. Dit geldt ook als er strafbare feiten zijn gepleegd, of de openbare orde wordt bedreigd.
Zo denkt de Raad over metadata en cookies
Verder wil de Raad van de EU dat metadata -algemene gegevens over digitale gesprekken, zoals de geografische locatie, tijdstip en duur- verwerkt mag worden voor facturering en het opsporen van fraudeurs. Metadata mag van de Raad ook gebruikt worden om de ‘vitale belangen’ van burgers te beschermen. Daarbij moet je denken aan onder anderen het bestrijden van epidemieën, natuurrampen en humanitaire noodsituaties. Met metadata kunnen ook verkeersbewegingen in kaart gebracht worden, maar dit mag alleen met toestemming van gebruikers.
Verder wil de Raad van de EU dat gebruikers ‘echt de keuze krijgen’ om cookies al dan niet te aanvaarden. Volgens de Raad worden cookies gebruikt als voorwaarde om toegang te krijgen tot een dienst op een website om een betaalmuur te vermijden. “Op zich is dit toegestaan, maar dan moet de gebruiker van dezelfde aanbieder ook een andere mogelijkheid krijgen tot gelijkwaardige toegang zonder cookies”, aldus de Raad.
Om te vermijden dat eindgebruikers het moe worden om voortdurend toestemming te geven, kunnen ze via hun browser bepaalde soorten cookies van een of meer aanbieders op een witte lijst plaatsen. Softwareaanbieders zullen worden aangemoedigd om het voor gebruikers gemakkelijk te maken dit soort lijsten aan te maken, te wijzigen of weer te schrappen.
Verordening zegt niets over versleuteling
In de beoogde e-privacyverordening staat niets over versleuteling. Dat wil niet zeggen dat hier niet over gesproken wordt in Europees verband. Vorig jaar november presenteerde de Europese Raad een conceptresolutie over versleuteling. De regeringsleiders van alle 27 EU-lidstaten willen dat er een betere balans gevonden moet worden tussen enerzijds privacy en beveiliging, en krachtig optreden tegen hackers en cybercriminelen anderzijds. “Beschermen van privacy en beveiliging van communicatie door middel van encryptie en tegelijkertijd ervoor zorgen dat bevoegde autoriteiten op het gebied van criminaliteit en beveiliging wettelijke toegang krijgen tot deze data voor het bestrijden van georganiseerde misdaad en terrorisme, zowel in de fysieke als digitale wereld, is van extreem groot belang”, zo schreef de Raad.
In december stemde de Europese Raad in met de conceptresolutie. “De rechtshandhavingsinstanties en de rechterlijke macht zijn steeds afhankelijker van toegang tot elektronisch bewijsmateriaal om terrorisme, georganiseerde misdaad, seksueel misbruik van kinderen en andere cyber- en gedigitaliseerde criminaliteit doeltreffend te kunnen bestrijden”, zo zei de Raad. “Toegang tot versleutelde berichten is essentieel voor een succesvolle rechtshandhaving en strafrechtspleging in cyberspace. In sommige gevallen maakt versleuteling het echter uiterst moeilijk of zelfs praktisch onmogelijk om toegang te krijgen tot bewijsmateriaal en de inhoud ervan te analyseren.”
Een privacycoalitie bestaande uit ProtonMail, Threema, Tresorit en Tutanota, ziet niets in de encryptieplannen van de EU. ‘Een beetje versleuteld’ bestaat volgens hen niet: burgers genieten van privacy, of helemaal niet. De partijen zijn bang dat het verzwakken of omzeilen van end-to-end encryptie de Europese economie vernietigt en van Europa een ‘privacywoestenij’ wordt gemaakt.
EU onderhandelt al jaren moeizaam over e-privacyverordening
“Robuuste privacyregels zijn cruciaal om vertrouwen te scheppen in een digitale wereld en het ook te behouden”, zegt Pedro Nuno Santos, minister van Infrastructuur en Huisvesting van Portugal en voorzitter van de Raad. “Ons standpunt kwam moeizaam tot stand maar we hebben binnen de Raad wel een goed evenwicht gevonden tussen beschermen van het privéleven en inzetten op nieuwe technologieën en innovatie. Het Portugese voorzitterschap is heel blij dat het met het Europees Parlement over dit belangrijke voorstel kan gaan onderhandelen.”
Over de aanpassing van de e-privacyrichtlijn uit 2002 wordt al jaren onderhandeld. Een eerste voorstel voor een e-privacyverordening werd in 2017 ingediend. De Europese Commissie wilde burgers hiermee meer controle geven over cookies en metadata. De Raad van de EU slaagde er jarenlang niet in om een gezamenlijk standpunt over deze kwesties in te nemen. Nu dat wel gelukt is, kan de verordening worden voorgelegd aan het Europees Parlement. Gezamenlijk onderhandelen ze over de definitieve tekst.
Wanneer de Raad van de EU en het Europees Parlement overeenstemming bereiken, kan de e-privacyverordening al na twintig dagen na bekendmaking in het Publicatieblad in werking treden.
