SCHRIFTELIJKE VRAAG E-1724/02

van Bart Staes (Verts/ALE) aan de Commissie

(13 juni 2002)

Betreft: De elektronische identiteitskaart en de bescherming van de persoonsgegevens

In het kader van het e-government werd door de Belgische overheid in het najaar van 2000 beslist dat iedere Belg tegen 2005 een elektronische identiteitskaart bij zich zou hebben. Opdat de uitwisseling van gegevens tussen de overheden onderling en de overheden en hun klanten zo veilig mogelijk zou zijn, werd door de FEDICT (=Federale Overheidsdienst voor Informatica- en Communicatietechnologie) de Public Key Infrastructure (PKI) gelanceerd. Dit wordt ook de certificatie-diensten-regeling genoemd. De kaart met de private sleutel zal bij voorkeur bewaard worden op een chip die door middel van een pincode beveiligd wordt.

Uit een artikel (12.5.2002) van de New York Times bleek dat deze chiptechnologie kopieerbaar is. Twee computerveiligheidsonderzoekers, Skorobogatov Sergei en Anderson Ross, van de universiteit van Cambridge, toonden aan dat ze met behulp van een simpele cameraflits en een microscoop in staat waren om informatie uit de chips te halen. Op die manier wordt het voor criminelen zeer makkelijk om persoonlijke informatie te bemachtigen. Deze technologie wordt naast de elektronische identiteitskaart ook gebruikt voor tal van andere toepassingen, b.v. de credit- en debetkaarten en de wijd verspreide GSM SIM-kaart. Een IBM-paper Partititioning attacks: Or how to rapidly clone some GSM Cards, bevestigde deze kwetsbaarheid. De onderzoekers toonden aan dat ze op een veel snellere manier informatie van de SIM-kaart konden halen.

Kan de Commissie bevestigen dat bovenstaande onrustwekkende berichten op waarheid berusten?

Zo ja: Is dit dan niet in strijd met de Europese wetgeving ter bescherming van persoonsgegevens? Moeten de lidstaten geen technische en organisatorische maatregelen ten uitvoer leggen om persoonsgegevens te beveiligen, met name wanneer de verwerking doorzending van gegevens in een netwerk omvat? Wat zal de Commissie ondernemen tegen deze schending van de privacy?

Zo neen: Op basis van welke tegenargumenten baseert de Commissie zich om het onderzoek en kopieerbaarheid van de chiptechnologie te ontkennen?

Gecombineerd Antwoordvan de heer Bolkestein namens de Commissieop de schritftelijke vragen E-1723/02 en E-1724/02

(26 september 2002)

De Commissie is op de hoogte van de Belgische wetsontwerpen voor het invoeren van een digitale identiteitskaart aangezien hiervan kennisgeving is gedaan overeenkomstig Richtlijn 98/34/EG(1) (waarbij de kennisgeving van nationale voorschriften, met name die betreffende de diensten van de informatiemaatschappij, verplicht wordt gesteld). België heeft bij de kennisgeving van het wetsontwerp (ref. nr. 2001/474/B) gevraagd om de documenten vertrouwelijk te behandelen, overeenkomstig artikel 8, lid 4, van de bovengenoemde richtlijn. Na analyse van het wetsontwerp heeft de Commissie een uitvoerig gemotiveerde mening geformuleerd en opmerkingen gemaakt. Deze had vooral ten doel te garanderen dat de technische bijlagen verenigbaar waren met die van Richtlijn 73/23/EEG van de Raad van 19 februari 1973 betreffende de onderlinge aanpassing van de wettelijke voorschriften der lidstaten inzake elektrisch materiaal bestemd voor gebruik binnen bepaalde spanningsgrenzen(2) en Richtlijn 89/336/EEG van de Raad van 3 mei 1989 betreffende de onderlinge aanpassing van de wetgevingen van de lidstaten inzake elektromagnetische compatibiliteit(3). De opmerkingen hadden betrekking op aspecten die verband houden met de gegevensbescherming.

De Commissie wijst erop dat het wetsontwerp in zijn huidige vorm weliswaar een vereenvoudiging van bepaalde procedures voor de toegang tot of de overdracht van persoonsgegevens nastreeft, maar niet specifiek voorziet in de koppeling van medische of fiscale gegevensbanken.

De Commissie is zich evenwel bewust van de door het geachte parlementslid aan de orde gestelde vragen, die zij zal meenemen bij haar beoordeling van de uitvoering van Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens(4), die eind 2002 moet worden afgesloten.

De verwerking van persoonsgegevens, inclusief het onderling koppelen van deze gegevens, die in het kader van de elektronische identiteitskaart plaatsvinden, moet in elk geval beantwoorden aan Richtlijn 95/46/EG. In deze richtlijn, die alleen van toepassing is op activiteiten die binnen de werkingssfeer van het Gemeenschapsrecht vallen, is vastgesteld op basis van welke beginselen en onder welke voorwaarden persoonsgegevens mogen worden verwerkt. De persoonsgegevens moeten met name eerlijk en rechtmatig worden verwerkt en ook later mogen ze niet worden verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor ze werden verkregen. Richtlijn 95/46/EG bevat ook een verbod op de verwerking van gegevens die de gezondheid betreffen, zij het dat hierop verscheidene uitzonderingen van kracht zijn. Bovendien worden de lidstaten bij deze richtlijn verplicht om vast te stellen onder welke voorwaarden gebruik mag worden gemaakt van unieke identificatiemiddelen.

Richtlijn 95/46/EG bevat ook de verplichting persoonsgegevens te beveiligen tegen vernietiging, hetzij per ongeluk, hetzij onrechtmatig, tegen verlies, vervalsing, niet-toegelaten verspreiding of toegang en tegen enige andere vorm van onwettige verwerking. Richtlijn 97/66/EG van het Europees Parlement en de Raad van 15 december 1997 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de telecommunicatiesector, die per 31 december 2003 zal worden vervangen door Richtlijn 2002/58/EG(5), bevat eveneens specifieke verplichtingen inzake de beveiliging van openbare telecommunicatienetwerken en algemeen beschikbare telecommunicatiediensten.

De Commissie volgt met bijzondere aandacht de technologische ontwikkelingen op het gebied van de beveiliging van gegevensuitwisselingen. In deze context wijst zij erop dat het veiligheidsniveau van een Public Key Infrastructure (PKI) niet alleen afhangt van het veiligheidsniveau

van de technische onderdelen van de infrastructuur, maar ook van de kwaliteit van de veiligheidsprocedures en vooral van de strengheid waarmee ze worden toegepast (chipkaart, creatie van sleutels, autoriteit die certificaten aflevert, geldigheid van de certificaten enz).

De Commissie besteedt speciale aandacht aan technologieën die worden gebruikt om de overdracht van persoonsgegevens te beveiligen. Zij wijst er echter op dat een absoluut veiligheidsniveau niet bestaat en dat, overeenkomstig Richtlijn 95/46/EG, de veiligheidsmaatregelen een passend niveau van veiligheid moeten waarborgen, rekening houdend met de stand van de techniek en met de kosten van de tenuitvoerlegging, gelet op de risico's die de verwerking en de aard van de te beschermen gegevens met zich brengen.

Met betrekking tot de samenstelling van de autoriteit die belast is met het toezicht op de toepassing van de door de lidstaten genomen maatregelen, is in Richtlijn 95/46/EG bepaald dat deze autoriteit haar taken in volledige onafhankelijkheid moet kunnen uitoefenen. In de richtlijn wordt echter geen enkele aanwijzing gegeven over de manier waarop dit moet worden gegarandeerd. In dit verband wijst de Commissie erop dat, krachtens de Belgische wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens, de Belgische gegevensbeschermingsautoriteit een collegiaal orgaan is waarvan de leden door het Parlement worden aangewezen. Bij deze wet is trouwens voorzien dat de leden alle garanties moeten bieden die hun in staat stellen hun taak op onafhankelijke wijze uit te voeren. Om deze onafhankelijkheid te garanderen zijn diverse maatregelen genomen. Zo mogen de leden niet aanwezig zijn tijdens de bespreking van onderwerpen waarbij zij een persoonlijk belang hebben.

De Commissie herinnert er overigens aan dat zij steun verleent aan onderzoeksprojecten op het gebied van de veiligheid van chipkaarten. De onderzoekers Ross Anderson en Sergei Skorobogatov nemen deel aan het project G3CARD (IST-1999-26328), waarmee een dubbel doel wordt nagestreefd: enerzijds het identificeren van alle mogelijke aanvallen tegen een kaart (een aanval via een cameraflits is inderdaad een van de mogelijke aanvallen waarop dit project betrekking heeft) en anderzijds het ontwikkelen van een nieuwe generatie chips die bestand zijn tegen dergelijke aanvallen.

Het voordeel van de chipkaart is dat deze de veiligheid van de systemen aanzienlijk vergroot omdat ze aanvallen technisch ingewikkeld en duur maakt, die daardoor voor criminelen tijdelijk niet haalbaar zijn. Ongetwijfeld zullen er echter nieuwe aanvallen worden uitgevonden, zodat er weer nieuwe generaties chipkaarten moeten worden ontwikkeld.

Het veiligheidsniveau van de GSM is aangepast aan de toepassingen die ongeveer vijftien jaar geleden door de opstellers van de norm werden voorzien, voornamelijk telefonietoepassingen. De nieuwe normen voor draadloze telefoons van de derde generatie voorzien in een verhoogde veiligheid om gevoeliger toepassingen mogelijk te maken. De veiligheid van draadloze transacties is bovendien een van de belangrijkste thema's van het IST-programma van het zesde communautaire kaderprogramma inzake onderzoek en technologische ontwikkeling. Het onderzoeksproject Embedded Finread (IST-2000-30091) is er nu al mede op gericht draadloze telefonie, waaronder de GSM, even veilig te maken als betaalterminals.

In het kader van andere projecten, zoals PKI Challenge (IST-2000-25012) en Digisec (IST-1999-20981), wordt gewerkt aan de ontwikkeling van de elektronische handtekening en de PKI-infrastructuur. Het Nessie-project (IST-1999-12324) heeft betrekking op de vaststelling van nieuwe cryptografische algoritmen en het Verificard-project (IST-2000-26328) op de verificatie van de veiligheid van de software die op de kaart is aangebracht. Projecten als UFACE (IST-1999-11587) of BANCA (IST-1999-11159) spitsen zich daarentegen toe op de technische aspecten van de biometrie.

In het kader van het project Smartcities (IST-1999-12252), dat gewijd is aan de ontwikkeling van smartcards voor steden, zijn ook mechanismen uitgevonden om de veiligheid van de gegevens te garanderen. Volgens Smartcities wordt gegevensbeveiliging een verkoopargument. De mechanismen van dit project kunnen vervolgens ook in andere projecten worden toegepast.

(1) Richtlijn 98/34/EG van het Europees Parlement en de Raad van 22 juni 1998 betreffende een informatieprocedure op het gebied van normen en technische voorschriften, PB L 204 van 21.7.1998.

(2) PB L 77 van 26.3.1973.

(3) PB L 139 van 23.5.1989.

(4) PB L 281 van 23.11.1995.

(5) PB L 24 van 30.1.1998 en PB L 201 van 31.7.2002.