The European Security Research and Innovation Forum (ESRIF) underlines human rights and privacy

European Security Research and Innovation Forum (ESRIF) has released its final findings a 323 page report on aspects of European Research and Innovation to enhancing the security of European citizens.

From a human rights and privacy perspective the reports main statements and recommendations raises hope for a new sustainable agenda of immense impact on European and global security. These aspects are pointed out several places in the report. For instance with this message (on page 12):

“Protecting the EU’s population and infrastructure must resonate with good governance, common economic sense, and respect for fundamental rights and Europe’s cultural values. For ESRIF, gaining a competitive advantage and leadership position in the global security market for Europe must reflect European values.”

And further on page 21: ” Surveillance is increasingly a central element of security management and takes place through a number of means, from closed circuit television to various biometric tools. As these tools are developed, the impact on European values of the relation between surveillance and civil and human rights, the place of new technologies in society role, their role in security crises and their consequences for the individual remain poorly understood. Future research and innovation should carefully assess these societal questions and their links with Europe’s security”.

In the public debate security and privacy is often characterized as a zero-sum trade off in the sense that any gain by one side is offset by an equal loss on the other side. But this is not necessarily true for tradeoffs between privacy and security and the report challenges this presumable dicthomy. In this connection I would like to highlight this passage:

“A primary task of ESRIF is to develop criteria and guidelines for security technologies and measures in line with human rights in general and with the protection of privacy. Security technologies that are consistent with and enhance privacy should allow the security industry to develop widely acceptable security products. Integrating privacy in the design of new security technologies and systems will be a competitive advantage for the European security industry. It should be possible to implement them in such a way that in the future more security does not imply a loss of privacy.”

Further it is stated that ESRIF advocates implementation of a ‘privacy by design’ data protection approach that should be part of an information system’s architecture from the start. “To ensure real effectiveness, this privacy-by-design” protection should combine general privacy controls, a separation of data of different streams, privacy management systems, and effective ‘anonymisation’ of personal data. Research in these areas must be pursued to ensure that effective solutions are available as soon as possible” (page 31).

ESRIF also have as a key message “the promotion of a security by design approach in any newly developed complex system or product, ensuring that security is addressed at the point of conception, as it has been the case for safety by design”.

This could be considered as a new research and innovation challenge embedding from scratch both privacy and security instruments being of equal importance and necessity in the process from concept and design to system development and operation. Maybe it would call for a new term to clarify this research and innovation approach ? For instance: “privacy and security integration by design” ?

From the report I would also like to mention the key message that “education and scenario-based training contribute significantly to the overall acknowledgement and recognition that security is a common responsibility of all stakeholders, especially, policymakers, regulators and citizens.” In a recent  post  I have pinpointed the importance of education and learning in regard to privacy and data protection due to the same reasons.

I have also given special attention to the reports statements about biometrics in a post (in Danish) on the blog of Danish Biometrics appreciating in particular the message that ” The EU Commission itself has classified biometrics as a privacy enhancing technology and it is understood that the Commission would wish biometric technologies to be developed more towards the preservation of users’ privacy”.

I highly recommend reading the report which can be downloaded here.

Read the preliminary reaction of the EU Commission to the ESRIF final report here.

Øget pres på EUs logningsdirektiv

Borgerettighedsgrupper herunder European Digital Rights (EDRi) opfordrer EU til at ophæve det såkaldte logningsdirektiv. Såfremt direktivet ikke bliver ophævet kræves det, at der introduceres en opt-out ret, så det overlades de enkelte EU-lande, hvorvidt man vil forlange opbevaring af datakommunikationen.  

I en redegørelse offentliggjort 1.12. 2009 fremhæves det, at direktivet har resulteret i mindre frihed den enkelte borger med en konstant trussel om, at personlige kontaktoplysninger, bevægelser via mobiltelefonen og brug af internettet, kan sælges, mistes eller på anden måde forårsage skade, så vel som højere priser for telekommunikation og mindre konkurrence.

I en klage mod direktivet til EF-Domstolen, som Irland indgav allerede i 2006, påpeges det, at mange EU-lande i første omgang ikke forlangt datalogning og at “intet spørgsmål vedrørende det indre marked kan begrunde et pålæg til en medlemsstat med et krav om, at teleoperatørerne skal opbevare data (…), så længe en sådan forpligtigelse ikke allerede eksisterede i henhold til lovgivningen i denne stat “.

I flere medlemsstater har domstole afgjort eller er ved at afgøre sager indgivet af borgere og teleoperatører med påstand om, at en vilkårlig indsamling af kommunikationsdata krænker privatlivets fred. Forfatningsdomstolen i Rumænien og Bulgarien har allerede fastslået, at datalogning er forfatningsstridig. Den tyske forfatningsdomstol vil i indeværende måned tage stilling til en klage indgivet af 34.000 borgere. En anden sag er under behandling i Irland, mens en ansøgning til forfatningsdomstolen i Tjekkiet er under udarbejdelse.

Endvidere hedder det i redegørelsen: “I en skelsættende afgørelse truffet sidste år, fastslår den Europæiske Menneskerettighedsdomstol, at den britiske database for DNA og fingeraftryk er ulovlig og statuerer, ”at de omfattende og vilkårlige beføjelser for opbevaring (…) udgør et uforholdsmæssigt indgreb i “privacy og kan ikke betragtes som nødvendigt i et demokratisk samfund. “. ”Det samme er tilfældet med den omfattende og vilkårlige indsamling af personlige kontaktoplysninger, bevægelser via mobiltelefonen og brug af internettet” udtaler juridisk ekspert Patrick Breyer. “Anonymitet er uundværlig for et væld af aktiviteter i en demokratisk stat. At underkaste alle borgere for en konstant registrering af hvem de er i kontakt med, truer med at underminere eller endog ødelægge demokratiet, til trods for angiveligt at forsvare det. Kommissionen skal sætte en stopper for denne Big Brother lov nu.”

 “EDRi og dets medlemmer har i årevis kæmpet imod dette direktiv med påstand om, at en sådan datalogning er farlig og krænkende. Meryem Marzouki (EDRi) minder om, at kommunikationsdata er langt mere en bare logning af hvem vi kontakter og hvornår. Teledata kan bruges til at danne sig et billede af en persons relationer og endnu vigtigere et billede af en persons aktivitet og hensigt. Med den stigende anvendelse af omfattende nationale databaser, og de aktuelle planer henimod interoperabilitet på EU-plan og fuld adgang til politimæssige formål, baner logningsdirektivet vejen for yderligere udvidelser af et formål, hvor data oprindeligt er indsamlet til strik opfyldelse af en given service, bliver brugt til overvågning og social kontrol af borgerne. Det er ikke acceptabelt i et demokratisk samfund, og bør slutte nu.”

Link til pressemeddelelsen her. 

Om en stigende østrigsk modstand mod logningsdirektivet kan henvises til følgende link (på tysk). Endvidere henledes opmærksomheden på en nylig udtalelse fra  The Irish Council for Civil Liberties om den tilsvarende irske logningsbekendtgørelse. 

Også i Danmark er der rejst stigende kritik af logningsdirektivet og den i Danmark udstedte logningsbekendtgørelse. På det seneste har Restsikkerhedsfonden sat fokus på den digitale overvågning i forbindelse med en afholdt konference 25. 11. 2009.  Jeg har også selv til Computerworld udtalt om en revision af bekendtgørelsen under den præmis, at bekendtgørelsen ikke vil blive afskaffet.  

Med statsminister Lars Løkke Rasmussens nylige erklæring til bl.a. Retssikkerhedsfonden om, at se nærmere på reglernes anvendelse og de praktiske erfaringer, er der grund til at være optimistisk. At foruddiskontere en evaluering er måske utidigt, men det vil nok være for meget at håbe på at bekendtgørelsen kan afskaffes med det første, da den er udstedt i henhold til et EU direktiv. Derimod er der god grund til at forvente som et minimum, at styrke retssikkerheden i forbindelse med en i løbet af 2010 forventet overordnet revision af  af hele den danske antiterrorlovgivning, som gennemført ved opstramninger i diverse love i 2001 og 2006.