Een aantal leden van het Europese Parlement stelt voor om een Europese organisatie op te zetten om het gebruik van spyware in de EU te monitoren en reguleren. Dat nieuwe orgaan zou opereren onder de naam Tech Lab.
Eerder deze week kwam het rapport uit van de Europese PEGA-commissie, belast met het onderzoek rond misbruik van Pegasus en andere spyware binnen de Europese Unie. De parlementsleden stellen na meer dan een jaar van onderzoek nu een aantal maatregelen voor; de opvallendste daarvan is de oprichting van Tech Lab: een taskforce om spyware binnen de Unie te controleren en misbruik ervan aan banden te leggen.
De grootste pijnpunten
De commissie werd genoemd naar Pegasus, beruchte spyware van Israëlische makelij (specifiek het technologiebedrijf NSO Group). De software bestaat al bijna tien jaar en is populair bij heel wat overheden omdat ze stiekeme surveillance van mobiele apparaten als smartphones mogelijk maakt. Pegasus wordt/werd ook veelvuldig ingezet door een aantal EU-lidstaten, wat leidde tot de oprichting van de bewuste commissie.
lees ook
Minstens vijf EU-lidstaten gebruiken controversiële Pegasus-spyware van NSO
Twee voorbeelden die het rapport nadrukkelijk vermeldt, zijn Hongarije en Polen. Beide Oost-Europese landen leggen de laatste jaren geleidelijk aan heel wat kritische stemmen en oppositie stevig aan banden. Spyware speelt daarbij een belangrijke rol: journalisten, politici, activisten en iedereen die het verder niet eens is met de machthebbers kunnen via Pegasus vlot worden gemonitord.
Oost- en Zuid Europa
Hongarije wordt in het rapport vooral gehekeld wegens een berekende en strategische campagne van de overheid om persvrijheid en vrije meningsuiting systematisch in te perken. Polen wordt gelijkaardig verweten dat het Pegasus vooral inzet om oppositie en al wie kritiek heeft in de gaten te houden, met als enige doel de huidige regering aan de macht te houden.
In het zuiden van Europa krijgen Griekenland en Spanje een niet zo eervolle vermelding. Bij de Hellenen is er niet zozeer sprake van systematisch misbruik, maar spyware wordt er eerder ad hoc ingezet voor zowel politieke als financiële doeleinden. In principe heeft Griekenland een vrij adequaat wettelijk kader voor zaken als dit, maar volgens PEGA hebben bepaalde amendementen dat legale schild sterk verzwakt met als gevolg dat spyware niet alleen is gebruikt tegen journalisten, zakenlui en politici, maar dat de software ook al is geëxporteerd naar landen met een dubieuze reputatie wat betreft mensenrechten.
Dat laatste is iets waar buurland Cyprus zich nog veel harder schuldig aan maakt, volgens het rapport. De commissie roept respectievelijk Griekenland dan ook op om zijn legale veiligheidsmaatregelen opnieuw te versterken en Cyprus om alle exportlicenties in te trekken die niet overeenstemmen met de Europese regels.
Spanje is een veel betere leerling in deze klas, maar PEGA maakt zich toch zorgen over bijna vijftig gevallen waarbij het onduidelijk is wie er toestemming gaf om spyware in te zetten. De commissie vraagt de Spaanse overheid om daar telkens een volledig, eerlijk en efficiënt onderzoek naar te voeren. Diezelfde overheid krijgt ook wel een positieve vermelding in het rapport voor haar onafhankelijk justitiesysteem.
lees ook
Cactus-ransomware versleutelt zichzelf om onder de radar te blijven
Maatregelen en voorstellen
Daarom stelt de commissie voor om Tech Lab op te richten: een onafhankelijk instituut met de bevoegdheid om surveillance door te lichten en legale en technische ondersteuning te bieden (zoals het screenen van toestellen en forensisch onderzoek).
Bovenop de oprichting van Tech Lab voorziet PEGA nog een aantal maatregelen. De commissie roept op tot nieuwe wetten inzake het opsporen, delen, gebruiken en de exploitatie van digitale kwetsbaarheden binnen de EU. Verder vraagt PEGA een algemene definitie voor wat nu juist een geval van nationale veiligheid inhoudt en een striktere reglementering voor het inzetten van spyware.
Naast de voorbeelden in eigen rangen zijn er natuurlijk ook nog heel wat gevallen van buiten de EU. In de huidige geglobaliseerde wereld hebben die ook invloed binnen de Unie. PEGA wil daarom een diepgravend onderzoek naar uitvoerlicenties voor spyware en een verstrenging van de huidige Europese regels voor controle op export. Daarbovenop stelt de commissie ook een gezamenlijke strategie tussen de EU en de VS voor. Er moeten bovendien gesprekken komen met Israël en andere relevante landen over marketing en export van spyware. Die gesprekken moet onder andere de zekerheid bieden dat er geen Europese ontwikkelingshulp wordt gebruikt om spyware te ontwikkelen.
Dit alles moet nog wel door het Europese parlement, dus er is nog niets in steen gegraveerd. Bovendien is het maar de vraag of alle lidstaten zich daarna überhaupt even braaf aan de regels gaan houden. Zeker degenen die nu al een loopje nemen met de huidige Europese regels.