Amerika wil weten hoe de wereld surft op internet

De regering-Bush wil dat Google miljoenen gegevens afstaat over het
surfgedrag van hun klanten. Google weigert. Het conflict is wereldwijd
relevant. Ook Nederlanders surfen via Google.

Google moet eind deze maand in de Verenigde Staten voor de rechter
verschijnen. De Amerikaanse overheid eist miljoenen gegevens uit
Google-computers, maar het bedrijf weigert ze te geven. Onder meer om uw
en andermans privacy te beschermen.

De gegevens zijn opgevraagd, omdat de Amerikaanse overheid wil weten hoe
internetters surfen (zie kader). Google heeft ook praktische argumenten
om die inzage te weigeren. Het kost het bedrijf teveel werk, voor een
zaak waar het zelf part noch deel aan heeft. Maar de privacy-kwestie is
de meest principiële. En dankzij het feit dat Google tegenwoordig
wereldwijd surfers helpt bij het zoeken, gaat deze zaak inmiddels ook de
hele wereld aan.

In Nederland bijvoorbeeld heeft Google een groot computercentrum in
Amsterdam waar veel zoekopdrachten vanuit ons land worden verwerkt. Maar
Nederlanders zoeken ook via Google-computers in de Verenigde Staten,
zodat hun gegevens ook daar worden bewaard. Net als overigens in
Google-computers in Australië of waar Google zijn datacenters ook maar
heeft gevestigd.

Zoekopdrachten zeggen iets over degene die zoekt, en dus heeft Google
plechtig beloofd de data die het van zijn gebruikers verzamelt,
uitsluitend intern te zullen gebruiken voor het verbeteren van zijn
zoekresultaten. Dat leek allemaal goed geregeld. Leek, want nu wil het
Amerikaanse ministerie van justitie van Google plotseling een lijst met
alle zoektermen die zijn gebruikers in een bepaalde week hebben
opgegeven, alsook een lijst met internetadressen die daarbij als
resultaat werden getoond. Google weigert dat vooralsnog, onder meer om
zich aan zijn belofte te kunnen houden en om in ieder geval niet de
indruk te wekken die belofte al te makkelijk op te geven.

Ook de zoekmachines van AOL, Yahoo en Microsoft/MSN hebben zulke
verzoeken gekregen van Washington en zij hebben er wél aan voldaan. Maar
de drie benadrukken dat ze geen ’privacy-gevoelige gegevens’ hebben
overhandigd. „We zijn consequente verdedigers van de privacy van onze
gebruikers”, laat bijvoorbeeld Yahoo weten. Onder die gebruikers zijn
ook Nederlanders die de zoekmachines van MSN of Yahoo gebruiken.

Deskundigen zijn het er niet over eens in hoeverre een lijst met
zoektermen de privacy van gebruikers kan bedreigen. De termen worden
immers niet gekoppeld aan het internetadres van degene die de
zoekopdracht heeft gegeven. Google, en met het bedrijf diverse groepen
die voor privacy strijden, zien dat anders. Zoektermen geven hoe dan ook
een beeld van de gebruikers en het zou goed kunnen dat Google-gebruikers
vaker naar bepaalde termen zoeken dan Yahoo-gebruikers en omgekeerd. Een
overheid zou op basis daarvan kunnen besluiten de gebruikers van de ene
zoekhulp scherper in de gaten te gaan houden dan van de andere.

Hoe je die privacy-gevoeligheid echter ook inschat, de zaak heeft
indirect een andere, zeer principiële discussie losgemaakt. Over de
vraag namelijk hoe Google, MSN en andere mondiale internetbedrijven
moeten omgaan met gegevens van hun gebruikers buiten de VS.

Onder meer MSN heeft de gevraagde gegevens dus wel aan de Amerikaanse
overheid verstrekt. Het bedrijf denkt daarmee keurig binnen de
Amerikaanse privacy-wet te zijn gebleven, iets dat Amerikaanse
privacy-verdedigers, zoals de Electronic Frontier Foundation, overigens
al betwisten.

Of Microsoft hier ook de Nederlandse wet heeft gerespecteerd, is echter
nog veel duidelijker de vraag. Die stelt namelijk nog veel strengere
eisen. En Microsoft is officieel verplicht om alle gegevens van
Nederlandse klanten te behandelen volgens Nederlands recht.

De zaak doet daarmee denken aan die rond de gegevens over
luchtvaartpassagiers. De VS eisen gedetailleerde informatie over
eenieder die naar de VS vliegt. En alhoewel Europese wetten het afstaan
van die gegevens in principe verbieden, heeft Eurocommissaris
Bolkenstein besloten dat luchtvaartmaatschappijen toch maar aan de
Amerikaanse eisen moeten voldoen. Het ziet er naar uit dat Bolkenstein
weldra door de rechter wordt teruggefloten. Voor Europeanen moeten
tenslotte Europese wetten gelden.

„De Nederlandse wet bescherming persoonsgegevens is gebaseerd op een
Europese richtlijn”, legt Christiaan Albertingk Thijm uit, advocaat bij
het bureau Solv voor zaken over ’privacy in een digitale omgeving’. „De
wet zegt dat je niet zomaar gegevens vanuit de Europese Unie mag
exporteren naar landen buiten de Unie. Dat mag alleen als zo’n land
passende bescherming biedt.

Bescherming is er bijvoorbeeld wel in Canada het geval, maar niet in de
Verenigde Staten.”

In principe moeten Google, AOL en anderen toestemming vragen aan de
Nederlandse minister van justitie alvorens zij data mogen exporteren,
laat staan dat ze die data ongevraagd mogen leveren aan een andere
overheid. Die wet geldt bijvoorbeeld ook voor Philips: ook die mag
gegevens over het eigen Nederlandse personeel niet zonder meer
overbrengen naar Philips-computers in de VS.

In de praktijk is daar bijna niet mee te werken. Dus is, om de zaak te
vereenvoudigen, een zogeheten Safe Harbour Agreement opgesteld. Die
bepaalt dat de ondertekenaars beloven dat zij uit de EU geëxporteerde
gegevens buiten de Unie zullen behandelen volgens de Europese richtlijn
en wetten. Wie deze overeenkomst tekent, mag vrijelijk gegevens uit de
Europese Unie exporteren.

Google heeft zijn handtekening gezet en mag dus wel data uit zijn
Nederlandse computers naar de VS exporteren. Maar Google heeft zich
daarmee ook verplicht in de VS met die Europese data op Europese wijze
om te gaan. En dus mag Google ze alleen aan de Amerikaanse overheid
afstaan als dat volgens de Europese wet zou mogen of moeten. In de
onderhavige kwestie lijkt dat beslist niet het geval.

De Amerikaanse overheid heeft niet gespecificeerd uit welke
Google-computers de gevraagde data moeten komen, en dus zou Google ze
alleen uit zijn datacenters van Google in de VS kunnen halen. Maar ook
die bevatten zoals gezegd al gegevens van Nederlandse gebruikers. En
AOL, Yahoo en MSN werken vrijwel uitsluitend met datacenters in de VS,
dus alle Nederlandse gebruikersgegevens van die drie zoekhulpen zijn
dáár opgeslagen.

Ook in dat geval zijn de bedrijven gehouden hun Europese data volgens de
Europese wet te behandelen, maakt Corien Prins, hoogleraar recht en
informatisering aan de Universiteit van Tilburg, duidelijk. „De wet zegt
dat internetbedrijven die in Nederland ’middelen beschikbaar stellen’
aan de Nederlandse wet moeten voldoen, waar ook ter wereld hun computers
staan. En een zogeheten cookie, waarmee op je pc onder meer wordt
bijgehouden op welke site je bent geweest, is al zo’n middel. Vrijwel
elke internetdienst werkt met cookies. Zelfs de site van president Bush
zet cookies op je pc, en Bush moet dus voor gegevens van Nederlandse
bezoekers de Nederlandse wet respecteren.”

Dat het laatste gebeurt, zullen ook veel Amerikanen inmiddels niet meer
geloven. In de VS is Bush verwikkeld geraakt in een privacy-schandaal.
Hij blijkt de veiligheidsdienst NSA opdracht te hebben gegeven om
Amerikaanse burgers af te luisteren, zowel via de telefoon als via
internet, zonder de verplichte toestemming van rechters te vragen. De
zaak wordt hoog opgenomen in het Amerikaanse Congres. En onder meer het
telecombedrijf AT & T wordt nu door de Electronic Frontier Foundation
voor de rechter gedaagd omdat het aan dit afluisteren heeft meegewerkt
en zo de privacy van abonnees op onwettige wijze heeft geschaad. De EFF
voert een zogeheten class-action waarbij iedere gedupeerde zich kan
aansluiten en waarbij de schadeclaim kan oplopen tot miljarden dollars.

Of Nederlanders nu al met claims bij AOL, Yahoo en Microsoft moeten
aankloppen, en later misschien ook bij Google, is voor hoogleraar Prins
nog de vraag. „Als individu kun je misschien een kleine schadevergoeding
krijgen. Beter lijkt het me om een klacht in te dienen bij het College
Bescherming Persoonsgegevens, dat dan maatregelen kan nemen tegen die
bedrijven.” Dit CBP liet echter onlangs al tegenover Trouw weten dat het
pas iets kan ondernemen als er minstens één concrete klacht ligt tegen
Google of MSN.

Ondertussen verzekeren alle zoekhulpen weliswaar, al of niet terecht,
dat zij geen privacy-gevoelige gegevens aan het Amerikaanse ministerie
hebben verstrekt of dat zullen doen, maar geeft geen van hen de
verzekering dat Europese data volgens Europese normen worden behandeld.
Google zegt desgevraagd wel dat het zich ’beslist wil houden aan de Safe
Harbour overeenkomst’, maar dat zal in de praktijk moeilijk zijn als het
bedrijf door de rechter gedwongen wordt miljoenen gegevens af te staan.

Prins betreurt het dat in Nederland en Europa de discussie nauwelijks
leeft. „De VS kennen een cultuur van herhaalde aantasting van de
privacy. Maar het debat erover wordt veel scherper gevoerd.”

Privacy minder belangrijk dan strijd tegen porno

Aanleiding voor de strijd over de zoekgegevens van Google is een
Amerikaanse wet uit 1998. Deze Child Online Protection Act is bedoeld om
te voorkomen dat kinderen op het internet met seks worden geconfronteerd.

De wet is direct aangevochten omdat zij de vrijheid van meningsuiting
zou beknotten en de Amerikaanse rechters zijn het daar mee eens. Het
ministerie van justitie in Washington wil nu via de gegevens van
zoekmachines als Google en Yahoo aantonen dat de wet hard nodig is.
Tegenstanders wijzen er op dat de wet niet effectief zal zijn en dat
’kindersloten’ die ouders op hun computers kunnen instellen veel beter
ongewenste onderwerpen blokkeren. Bovendien zou het ministerie zelf een
week kunnen zoeken via zoekhulpen om te ontdekken welke termen naar
seks-gerelateerde sites leiden. Het feit dat Washington onnutte
informatie per se van zoekbedrijven als Google opeist, leidt er volgens
sommige commentatoren alleen maar toe dat buitenstaanders enerzijds aan
de bedoelingen van Washington gaan twijfelen en anderzijds aan de
onafhankelijkheid van zoekhulpen. Google is er op gebrand om dat laatste
tegen te gaan.

Op 27 februari moet Google zijn onafhankelijkheid voor de rechter
verdedigen.