Databeskermingsreg on Arpokrat

SignalTrace: Europa voer die toesig uit wat hy homself nie toelaat nie

Tue, 01 Sep 2026 00:00:00 +0000

’n Grys sedan ry teen 110 km/h onder ’n snelwegportaal deur. Die kamera op die paal lees die nommerplaat, merk die tyd, stoor dit. Niks nuuts nie: hierdie toestel bestaan al twintig jaar en is in tienduisende eksemplare opgestel, in Noord-Amerika sowel as in Europa.

Maar as daardie portaal die module ontvang het wat die Italiaanse groep Leonardo sedert Junie 2026 bemark, het dit pas iets anders ook opgeteken. Die bestuurder se iPhone. Die passasier se draadlose oorstukkies. Die slimhorlosie op die paneelbord. Die motorradio. Die gekoppelde sleutelhouer in die paneelkissie. Die drukmeters van al vier bande. Die toegangskaart wat in ’n baadjie bly lê het. En as ’n hond agter slaap, sy identifikasiechip ook.

’n Stuk of tien identifiseerders, een nommerplaat, een posisie, een tyd. Herhaal dit by elke portaal in die netwerk en jy volg nie meer ’n motor nie: jy volg mense, en jy weet saam met wie hulle beweeg.

Wat die toestel werklik doen

Die produk heet SignalTrace. Dit word deur Leonardo US Cyber and Security Solutions verkoop en vul die ELSAG-reeks aan, een van die mees verspreide reekse outomatiese nommerplaatlesers op die Amerikaanse mark. Die bestaan daarvan is op 8 Junie 2026 deur Joseph Cox in 404 Media onthul, op grond van ’n produkblad van die vervaardiger.

Die deurslaggewende punt pas in een sin: dit gaan nie oor nuwe kameras nie. SignalTrace is ’n radiosensor wat by reeds geïnstalleerde nommerplaatlesers gevoeg word. Die paal verander nie, die plek verander nie, die silhoeët van die toerusting langs die pad verander nie. Wat verander, is waarna die toerusting luister.

Die sensor teken die identifiseerders aan wat in die oop deur die Bluetooth-, Wi-Fi- en RFID-protokolle van die toestelle in die voertuig uitgesaai word. ’n Tegniese punt wat dikwels verkeerd verstaan word: geen toestel word gekap nie en geen kwesbaarheid word uitgebuit nie. ’n Bluetooth- of Wi-Fi-toestel stuur voortdurend ontdekkingsrame uit, omdat dié protokolle so ontwerp is. Jou oorstukkies kondig hul teenwoordigheid aan sodat jou foon hulle kan vind, en die foon self ondervra die omringende lug op soek na die netwerke wat hy ken. Hierdie uitsendings is per konstruksie openbaar, en enige ontvanger binne bereik hoor hulle.

Leonardo self meld dat die stelsel met of sonder ’n nommerplaatleser werk, ook binnenshuis, en ’n voertuig herken waarvan die plaat toegeplak of verwyder is.

Die opgradering van bestaande toerusting is die werklike politieke kwessie. Om ’n nuwe kameranetwerk te installeer, ontketen ’n stemming, ’n beraadslaging, soms ’n hofsaak. Om ’n elektroniese kaart by ’n reeds goedgekeurde omhulsel te voeg, ontketen niks nie. Die toesigvermoë verander van aard sonder openbare debat, want daar is materieel niks nuuts om te sien nie.

Van die voertuig na die persoon, en van die persoon na die groep

’n Nommerplaatleser antwoord een vraag: waar was hierdie voertuig. SignalTrace voeg twee by: wie was daarin, en saam met wie.

Leonardo steek dit nie weg nie, dit is die verkoopsargument. Die stelsel vorm wat die dokumentasie ’n elektroniese vingerafdruk noem, ’n stel identifiseerders wat “gereeld saam uitgesaai word”. Die vervaardiger se voorbeeld is duidelik: in ’n hele stad sal net een voertuig ’n iPhone 13rev2, ’n Audi-motorradio, ’n Bose-kopstuk, ’n Garmin-horlosie, ’n sleutelspoorder en die plaat ABC-1234 verbind.

Die produk volg nie net voertuie nie. Dit produseer outomaties ’n grafiek van verhoudinge tussen mense, sonder dat enigiemand die geringste verdenking hoefde uit te spreek.

Hier vind die kwalitatiewe sprong plaas. Deur die toestelle te korreleer wat gereeld saam reis, bou die stelsel meganies ’n sosiale grafiek. Twee fone wat elke oggend in dieselfde motor beland, is saamry, of ’n verhouding wat nie een van die twee openbaar wil maak nie. Vyftig toestelle wat op dieselfde plek op dieselfde tyd opgevang word, is ’n byeenkoms: ’n betoging, ’n erediens, ’n vakbondvergadering of ’n ry voor ’n kliniek.

Geen van hierdie gevolgtrekkings vereis toegang tot die inhoud van ’n kommunikasie nie. Dit word uit ’n nabyheidstabel afgelei, by verstek, oor die hele rondbewegende bevolking en nie oor aangewese teikens nie. Dit is skuld deur assosiasie, nywerheidsgewys geproduseer, voor enige ondersoek. Tom Bowman, regsman by die Center for Democracy & Technology, som die probleem in TechNewsWorld op: wat die instrument nuttig maak om ’n werklike verdagte te volg, maak dit net so in staat om al die ander motoriste te volg, van wie nie een ingestem het dat sy toestelle aangeteken word nie.

Leonardo stel twee argumente daarteenoor: die stelsel ontsyfer of lees nie die inhoud van kommunikasie nie, en dit identifiseer nie self persone nie. Albei stellings is korrek, en albei mis die punt. Die inligting wat gesoek word, was nooit die inhoud nie, dit lê in die liggingsmetadata, wat meer verklap as ’n boodskap. Wat identifikasie betref, erken die vervaardiger self dat ’n ondersoeker ’n elektroniese handtekening aan ’n plaat kan koppel en dan via die registrasieregisters by die eienaar kan uitkom.

’n Amerikaanse reg wat vir iets anders geskryf is

In die Verenigde State bestaan daar staatswette wat nommerplaatlesers reguleer, en sommige is veeleisend oor bewaartermyne en toegangsdoeleindes. Maar almal is rondom een presiese voorwerp opgestel: die beeld van ’n nommerplaat. Nie een antisipeer die opvang van identifiseerders van persoonlike toestelle deur dieselfde toerusting nie.

Hierdie gaping skep nie onwettigheid nie maar ’n grys gebied, wat vir die verkoper geriefliker is. ’n Polisiediens kan sonder om te lieg volhou dat sy nommerplaatleserprogram gemagtig en voldoenend is, terwyl dit voortaan onder dieselfde bestel data van ’n heeltemal ander aard versamel. Leonardo beskik boonop oor federale kontrakte, by die Special Operations Command en die General Services Administration, dus ’n aankoopweg wat plaaslike goedkeurings grootliks omseil.

Die grondwetlike debat het pas verskuif, en hier moet ’n mens presies wees omdat die regstoestand hierdie somer verander het. In Januarie 2026 het ’n federale hof in Virginia in die saak Schmidt v. City of Norfolk beslis dat die stad se Flock-kameranetwerk nie ’n deursoeking uitmaak nie in die sin van die vierde amendement, omdat dit nie die volle bewegings van die inwoners dek nie. Die beslissing is op appèl voor die Vierde Kring, waar die ACLU tussenbeide getree het.

Daarna, op 29 Junie 2026, het die Hooggeregshof Chatrie v. United States gelewer. Met vyf stemme teen vier, uit die pen van regter Kagan, het dit beslis dat die polisie se verkryging van ’n foon se liggingsdata ’n deursoeking uitmaak, aangesien ’n individu ’n redelike privaatheidsverwagting oor daardie data behou, selfs wanneer ’n derde party dit hou en oor ’n kort tydperk. Die uitspraak verleng Carpenter v. United States van 2018 en verswak die derdepartyleerstuk, soos die CDT opgemerk het.

Die presiese draagwydte van Chatrie op SignalTrace is nie beslis nie, en dit sou onverstandig wees om die teendeel te beweer: die uitspraak handel oor data wat by Google geëis is, nie oor ’n regstreekse opvang deur ’n polisiesensor in die openbare ruimte nie. Maar dit vestig die redenasie wat saak maak, naamlik dat die sensitiwiteit van liggingsdata nie afhang van wie dit hou nie.

Die Europese vraag, wat die werklike vraag is

Hier word die saak ongemaklik vir Europa. Leonardo is nie ’n Amerikaanse verskaffer nie, maar ’n Italiaanse groep wat in Milaan genoteer is en waarvan die grootste aandeelhouer die Italiaanse Ministerie van Ekonomie en Finansies is, met ongeveer 30 % van die kapitaal en die bevoegdheid om die meerderheid van die direksie aan te wys. Die Italiaanse staat is nie ’n passiewe aandeelhouer in hierdie produk nie.

Eers die tegniese punt

In die Europese reg is ’n toestelidentifiseerder persoonlike data. Dit is nie ’n leerstellige mening nie maar die bestendige standpunt van die owerhede. Die CNIL behandel die MAC-adres uitdruklik so in sy leerstuk oor stelsels vir die meting van besoekersvloei, en laat die insameling daarvan in die openbare ruimte slegs onder eng voorwaardes toe: anonimisering binne ’n paar minute met ’n hoë botsingsyfer tussen individue, of betroubare pseudonimisering gevolg deur vernietiging binne vier-en-twintig uur, by gebreke waarvan toestemming verpligtend word. Dieselfde leerstuk stel dit dat om mense te vra om hul Wi-Fi af te skakel nie ’n aanvaarbare wyse van beswaar is nie.

Die Hof van Justisie van die Europese Unie het op 4 September 2025, in die saak EDPS teen SRB (C-413/23 P), gepreseer dat die persoonlike aard van gepseudonimiseerde data beoordeel word in die lig van die middele van heridentifikasie wat redelikerwys aangewend kan word. Hier is die houer egter ’n polisie-owerheid, wat oor die voertuigregisters beskik. Die middele van heridentifikasie is nie hipoteties nie, hulle is in die kantoor langsaan.

Die nuanse wat alles verander

Dit sou verkeerd wees om te skryf dat SignalTrace “in Europa onwettig sou wees”, en ’n regsgeleerde leser sou dit dadelik raaksien. ’n Verwerking wat deur ’n bevoegde owerheid vir doeleindes van misdaadvoorkoming en -vervolging uitgevoer word, val nie onder die AVG nie. Dit val onder riglyn (EU) 2016/680, die sogenaamde polisie-en-justisie-riglyn, wat elke lidstaat afsonderlik omskep, in Frankryk in titel III van die wet op inligting en vryhede. Die CNIL herinner daaraan dat hierdie bestel outonoom is, met sy eie gronde vir regmatigheid en sy eie regte.

Die regte vraag is dus nie dié van abstrakte wettigheid nie, maar dié van voorwaardes. Onder hierdie bestel sou so ’n toestel ’n uitdruklike nasionale regsgrondslag, bepaalde doeleindes, ’n bewese noodsaaklikheid, ’n begrensde bewaartermyn, ’n impakbeoordeling en onafhanklike toesig veronderstel. In Frankryk word nommerplaatlesers so gereguleer: artikels L233-1 en L233-1-1 van die kode van binnelandse veiligheid stel ’n beperkende lys misdrywe vas wat die reg op hul gebruik open, en die bewaring bly onder die kortstes in die Unie, in beginsel vyftien dae, selfs al probeer ’n Senaatswetsontwerp dit verleng.

Dit is die wesenlike verskil met die Amerikaanse situasie. In die Verenigde State reguleer die wet ’n voorwerp, die plaat, en die stilte oor toestelidentifiseerders geld as toestemming. In Europa reguleer die wet doeleindes en datakategorieë, en daardie stilte geld eerder as verbod, by gebrek aan ’n uitdruklike regsgrondslag. Die leemte wat oorkant die Atlantiese Oseaan waargeneem word, bestaan hier nie in dieselfde vorm nie. Nie dat Europa deugsamer is nie: sy regstegniek is omgekeerd.

Wat die beskerming dan werd is

Die vraag waaroor hierdie artikel gaan, bly oor. Wat is ’n Europese regulatoriese beskerming werd wanneer ’n Europese onderneming, beheer deur ’n lidstaat, buite Europa ’n vermoë verkoop wat dit tuis nie sonder ’n nuwe wet sou kon ontplooi nie?

Die besware verdien om ernstig opgeneem te word. ’n Vervaardiger is nie verantwoordelik vir sy kliënt se regsraamwerk nie: dit is vir die Amerikaanse owerhede om te besluit wat hulle by hulself toelaat. Die produk word nie aan ’n diktatuur verkoop nie maar aan ’n regstaat met ’n bedrywige hooggeregshof, soos Chatrie pas herinner het. En die argument van industriële soewereiniteit is geldig: as die Europese groepe hulself hierdie markte ontsê, sal Israeliese, Amerikaanse of Chinese verskaffers dit neem, sonder dat toesig ’n enkele meter terugtree, en Europa sal daarby sy tegnologiese basis verloor.

Hierdie argumente is aanvaarbaar. Hulle antwoord nie op die probleem nie.

Eerstens omdat die Unie reeds erken het dat die uitvoer van toesigmiddele nie handel soos enige ander is nie. Verordening (EU) 2021/821 oor tweeledigegebruiksgoedere het in artikel 5 ’n vangnetklousule ingevoer wat op kubertoesiggoedere gemik is, omdat die wetgewer erken het dat ’n instrument wat wettig is om te vervaardig by sy bestemming onregmatig kan wees. Sy beperking is leersaam: dit tree in werking by ’n risiko van interne onderdrukking of ernstige menseregteskendings, kategorieë wat vir outoritêre regimes bedink is. ’n Verkoop aan ’n Amerikaanse munisipale polisie val nie daarin nie. Die Europese raamwerk ondersoek die kliënt se moraliteit, nooit die aard van die vermoë wat verkoop word nie.

Tweedens omdat so ’n produk nie ’n voorraad is wat afgelaai word nie, maar ’n vermoë wat onderhou word: dit finansier navorsing, lei ingenieurs op, versamel kundigheid en skep ’n geïnstalleerde basis. Die dag wanneer ’n ernstige aanslag ’n lidstaat dwing om hierdie vermoë te eis, sal die debat nie meer oor die wenslikheid gaan om dit te bou nie. Dit sal bestaan, dit sal Europees wees, dit sal volwasse wees, en sy verskaffer sal deels openbaar wees. Die argument “ons volg net die mark” word dan sirkelredenasie, aangesien die tuismark deur die uitvoer voorberei sal wees.

Dít is wat ’n regulatoriese beskerming in hierdie scenario werd is: dit beskerm Europeërs teen die gebruike, nie teen die bestaan van die middele nie. Dit besleg die vraag wie die reg het om die knoppie te druk, en laat dit aan die nywerheid oor om dit te bou, te verkoop, te verbeter en dan te wag.

Wat gedoen kan word, sonder om onsself iets wys te maak

Die eerste antwoord wat genoem word, is altyd MAC-adres-verewekansiging. Dit verdien ’n eerlike ondersoek, nie bevordering of afkraking nie. Dit is werklik en dit werk.

Android sedert weergawe 10 en iOS sedert weergawe 14 verewekans by verstek die MAC-adres wat op Wi-Fi gebruik word, met ’n aparte adres per netwerk. In Bluetooth Low Energy saai moderne toestelle oplosbare privaat adresse uit, wat periodiek verander en slegs deur ’n teenparty met die oplossleutel aan die werklike toestel gekoppel kan word.

Die beperkinge daarvan is net so werklik.

Paring maak die deur weer oop. Die oplossleutel word tydens paring oorgedra. ’n Toestel wat reeds gepaar of uitdruklik goedgekeur is, vind die stabiele identiteit agter die roterende adres terug. Die meganisme is daarvoor ontwerp.
Baie voorwerpe verewekans niks nie. Banddrukmeters, RFID-kaarte, diere-identifikasiechips, motorradio’s en goedkoop randapparatuur stuur vaste identifiseerders uit. Leonardo se produkblad noem presies hierdie kategorieë, wat nie toeval is nie.
Verewekansiging kan afgeskakel word. Dit word netwerk vir netwerk gedeaktiveer, en is dikwels afgeskakel vir gerief, vir MAC-filtrering op ’n tuisroeteerder of weens ’n maatskappybeleid.
Die groep oorleef die rotasie van identifiseerders. Dit is die mins intuïtiewe en belangrikste punt. SignalTrace soek nie ’n identifiseerder nie, dit soek ’n stel toestelle wat saam reis. As ’n enkele lid van die groep ’n vaste identifiseerder uitstuur, bly die hele stel toeskryfbaar, ongeag hoe gedissiplineerd die ander is.

Die doeltreffendste maatreël bly die vervelendste: om nie uit te stuur nie. Dit veronderstel dat Bluetooth en Wi-Fi op stelselvlak, in die instellings, afgeskakel word, en nie vanaf die kortpadpaneel nie. Die onderskeid is nie kosmeties nie, ons het dit uiteengesit in ons artikel oor die deurlopende liggingsopsporing van die foon: op die meeste verbruikerstelsels sny die knoppie op die snelpaneel die sigbare paring af maar laat die sagtewarestapel lewend, en die nabyheidsontledings gaan voort. Daardie artikel het Bluetooth-skandering as ’n teoretiese vektor beskryf. SignalTrace is die kommersiële produk daarvan, gekatalogiseer en lewerbaar.

’n Mens moet eerlik bly oor die uitkoms: hierdie maatreëls verklein die blootstellingsoppervlak, hulle hef dit nie op nie. ’n Voertuig bly ’n nommerplaat, en ’n nommerplaat bly leesbaar. Die enigste manier om niks uit te stuur nie, is om niks te dra nie, en dit is nie ’n openbare beleid nie.

Wat dit oor ons ontwerpkeuses sê

By Arpokrat is dit juis hierdie redenasie wat ons daartoe gelei het om Bluetooth op die vlak van die Core van ArpokratOS te hanteer eerder as op die vlak van die instellings. ’n Skakelaar in ’n koppelvlak is ’n gebruikersvoorkeur: ’n bywerking, ’n stelseltoepassing of ’n liggingsdiens kan dit omseil of weer aanskakel, sonder dat die gebruiker daarvan weet. ’n Stapel wat afwesig is, word nie weer geaktiveer nie.

Teenoor ’n opvang soos dié van SignalTrace maak dit ’n toestel natuurlik nie onopspoorbaar nie, en ons beweer dit ook nie: ’n foon bly op ’n mobiele netwerk, en die ander voorwerpe in ’n voertuig stuur vir hul eie rekening uit. Wat dit wél waarborg, is dat ’n bepaalde uitstuurvektor per konstruksie afwesig is eerder as op vertroue afgeskakel. Dit is die stelling wat ons oor 5G en die reg se teikenfout verdedig het: die regsbeskerming konsentreer op toegang tot die data terwyl dit op die bestaan self van die infrastruktuur wat dit voortbring behoort te fokus. SignalTrace is die illustrasie daarvan, met dié verskil dat hierdie infrastruktuur in Europa gebou word.

Slot

Die opvallendste in hierdie saak is nie die tegniese vermoë nie, wat navorsers al jare beskryf. Dit is die ontplooiingsmetode.

Daar sal geen nuwe kameranetwerk wees om in te wy nie, geen munisipale besluit om te betwis nie, geen openbare kontrak wat as ’n aardsverandering herkenbaar is nie. Daar sal modules wees wat by bestaande pale gevoeg word, onder bestaande kontrakte, binne programme wat reeds gemagtig is. Die dag wanneer die openbare debat oopgaan, sal die infrastruktuur geïnstalleer, afgeskryf en in die ondersoekprosedures ingebed wees. Die debat sal dan oor die toegangsvoorwaardes tot ’n databasis gaan wat bestaan, nooit oor die wenslikheid om dit saam te stel nie.

Dit is die gewone gang van sake in toesigaangeleenthede, en dit is nie toevallig nie. Wat oorbly, is om te weet of Europa meen dat hy iets te sê het wanneer sy eie nywerhede, gesteun deur sy eie state, hierdie infrastruktuur vir ander bou. Die Europese reg het die antwoord sorgvuldig georden op die vraag wie hierdie data by ons mag raadpleeg. Dit het nooit die vraag gestel wie die reg het om die masjien te bou nie.

5G, liggingsdata en die reg se verkeerde teiken

Tue, 18 Aug 2026 00:00:00 +0000

In 2011 het die Detroit-polisie by ’n selfoonoperateur die geskiedenis opgevra van hoe Timothy Carpenter se foon aan torings gekoppel het. Hulle het 12 898 liggingspunte oor 127 dae ontvang, ongeveer honderd per dag. Sewe jaar later het die Hooggeregshof van die Verenigde State beslis dat hierdie versoek ’n deursoeking was en ’n lasbrief vereis het.

Daardie 12 898 punte het van vierdegenerasie-torings gekom, wat elk ’n radius van etlike kilometers gedek het. Dieselfde versoek, vandag aan ’n stedelike 5G-netwerk gerig, sou nie honderd punte per dag met ’n paar kilometer se akkuraatheid teruggee nie. Dit sou ’n veel groter volume teruggee, met ’n paar dosyn meter se akkuraatheid.

Die tegnologie het van skaal verander. Die regsredenasie het op dieselfde plek in die ketting bly staan.

’n Regsbelang wat regters aan albei kante van die Atlantiese Oseaan erken

Daar bestaan ’n belang wat byna almal erken en wat byna geen wetsteks doeltreffend beskerm nie: die reg om êrens te wees sonder dat daardie feit aangeteken word.

Die Europese regspraak het dit ondubbelsinnig vasgestel. In Digital Rights Ireland (gevoegde sake C-293/12 en C-594/12, 8 April 2014), en daarna in Tele2 Sverige en Watson (gevoegde sake C-203/15 en C-698/15, Groot Kamer, 21 Desember 2016), het die Hof van Justisie van die Europese Unie beslis dat hierdie data, in hul geheel geneem, dit moontlik maak om baie presiese afleidings oor mense se privaat lewe te maak: gewoontes van die daaglikse lewe, verblyfplekke, bewegings, aktiwiteite wat beoefen word, en sosiale verhoudings.

Die Hooggeregshof van die Verenigde State het ’n verwante gevolgtrekking bereik in Carpenter v. United States, 585 U.S. 296 (2018). Dit het klem gelê op ’n punt wat die Amerikaanse regsleer breedvoerig bespreek het: die onontkombare en outomatiese aard van hierdie insameling. Niemand stem in om aan ’n toring gekoppel te word nie; jy is gekoppel omdat jy ’n foon het wat aan is.

Die regsbelang bestaan dus, en dit word erken deur die twee howe wat op hierdie gebied gewig dra. Die probleem lê elders.

Wat 5G werklik verander het

’n Algemene verwarring is om ligging te behandel as data wat die foon uitstuur, net soos ’n boodskap of ’n foto. Dit is nie so nie. Ligging is ’n fisiese gevolg van hoe die netwerk werk. Die operateur weet aan watter toring die toestel gekoppel is omdat hy dit moet weet om ’n oproep deur te stuur. Daar bestaan geen sleutel om hierdie inligting te enkripteer nie, want dit is nie inhoud nie maar ’n eienskap van die verbinding self.

Juis dit maak 5G betekenisvol op regsvlak, en nie op tegniese vlak nie.

Vroeëre argitekture het op wye selle berus. ’n 4G-toring bedien gewoonlik ’n radius van etlike kilometers, en die posisie wat bloot uit die koppeling afgelei is, is in stede in honderde meter gemeet, op die platteland soms in tiene kilometers. 5G berus op massiewe verdigting: stedelike selle dek tipies ’n paar honderd meter, en die ingenieursliteratuur reken met digthede in die orde van veertig tot vyftig basisstasies per vierkante kilometer, teenoor vier of vyf in die 3G-era.

Die gevolg is meganies. Volgens Ericsson se witskrif oor 5G-posisiebepaling bereik die infrastruktuur wat slegs vir konnektiwiteit ontplooi is ’n akkuraatheid van twintig tot vyftig meter buite en van een tot drie meter binne, en sak dit onder een meter in gunstige stedelike toestande. Dit gaan nie oor ’n liggingsfunksie wat êrens aangeskakel is nie, maar oor wat die netwerk uit sy aard weet, sonder dat ’n enkele toepassing geïnstalleer of ’n enkele toestemming verleen is. Ons het al hierdie meganismes, sowel as die teenmaatreëls wat werklik werk, uiteengesit in ons artikel oor die foon se voortdurende geoligging.

Die indringing het dus met etlike ordes van grootte toegeneem. Die toepaslike regsraamwerk bly dié wat vir 2G en 3G bedink is. Geen normatiewe aanpassing het hierdie skaalverandering vergesel nie.

Die reg beskerm toegang, nie ontstaan nie

Die Europese reg reël sorgvuldig wie toegang tot liggingsdata mag hê, onder watter voorwaardes en onder watter toesig. Riglyn 2002/58/EG stel die beginsel van vertroulikheid van kommunikasie, en die Hof van Justisie het in La Quadrature du Net (gevoegde sake C-511/18, C-512/18 en C-520/18, Groot Kamer, 6 Oktober 2020) beslis dat artikel 15(1) van daardie riglyn, gelees in die lig van artikels 7, 8, 11 en 52(1) van die Handves, ’n algemene en onderskeidlose bewaring van verkeers- en liggingsdata by wyse van voorkoming uitsluit. Die Hof het nietemin afgebakende afwykings toegelaat wanneer ’n lidstaat ’n ernstige bedreiging vir die nasionale veiligheid in die gesig staar wat werklik en huidig of voorsienbaar blyk te wees, onderworpe aan doeltreffende toesig.

Dit is werklike beskermings, en dit sou onsinnig wees om hulle af te maak. Maar hulle tree almal ná die tyd in werking. Hulle veronderstel dat die data bestaan, dat dit bewaar word, en reël dan die voorwaardes vir die gebruik daarvan.

As ligging egter ’n onvermydelike neweproduk van die netwerk se werking is, is die tersaaklike punt van ingryping nie vertroulikheid nie. Dit is volharding.

’n Oombliklike posisie, nodig om ’n kommunikasie deur te stuur en onmiddellik daarna uitgewis, is nie ’n instrument van toesig nie. ’n Geskiedenis van posisies wat maande lank bewaar word, is dit wel, ongeag watter toegangswaarborge dit omring.

Die verskil tussen die twee is nie regs van aard nie, maar argitektonies. En die Europese tydskedule maak die vraag dringend eerder as teoreties. Die Kommissie het die voorgestelde ePrivacy-verordening in 2025 teruggetrek, weens ’n gebrek aan ooreenkoms tussen die medewetgewers. Sedertdien werk sy aan ’n afsonderlike instrument oor databewaring vir strafregtelike doeleindes, aangekondig vir 2026, wat nasionale stelsels moet harmoniseer wat uiteengeloop het sedert die riglyn van 2006 nietig verklaar is. Met ander woorde, die teks wat vir ’n dekade die regime van liggingsmetadata sal bepaal, word op hierdie oomblik geskryf, op grond van ’n redenasie wat in die era van kilometergroot selle bedink is.

Die presedent wat 5G self geskep het

Die interessantste aspek van die saak is dat die regte antwoord reeds in die tegniese standaard staan, maar op ’n ander voorwerp toegepas is.

Tot en met 4G het die intekenaar se permanente identifiseerder, die IMSI, ongeënkripteer oor die radiokoppelvlak beweeg tydens die aanhegting. Dit is wat IMSI-vangers moontlik gemaak het, daardie vals basisstasies wat, volgens die verwysingsbeskrywing van die Electronic Frontier Foundation, sterker uitsaai as die wettige torings om toestelle te lok en hul identifiseerder te vang.

Sedert Release 15 van die 3GPP-spesifikasies, in 2019 gepubliseer, bring 5G ’n elegante antwoord. Die permanente identifiseerder, nou die SUPI genoem, kan op die radiokoppelvlak vervang word deur die SUCI, ’n verskuilde identifiseerder wat verkry word deur die intekenaarspesifieke deel te enkripteer met elliptiese-kromme-kriptografie, met die tuisoperateur se publieke sleutel. Slegs die tuisnetwerk, wat die ooreenstemmende private sleutel hou, kan dit ontsyfer. Die resultaat is uniek by elke berekening, wat korrelasie van die een sessie na die ander verhoed.

Die logika wat gevolg is, verdien beklemtoning, want dit is presies die logika wat die wetgewer behoort te lei: mens enkripteer nie die posisie nie, wat tegnies onmoontlik sou wees, mens enkripteer die identiteit. ’n Posisie sonder ’n toekenbare identiteit het baie beperkte waarde vir geïndividualiseerde toesig.

Die leemte: ’n opsionele beskerming

Daar is egter ’n aansienlike voorbehoud, en dit is na ons mening die mees konkrete punt van ingryping in die hele saak.

Die witskrif NIST CSWP 36A, in Maart 2026 deur die National Institute of Standards and Technology gepubliseer, stel dit sonder omhaal. Toestelle en netwerkfunksies wat aan Release 15 of later voldoen, moet die SUCI ondersteun, maar die aktivering daarvan bly opsioneel vir die operateur. Drie voorwaardes moet saamval: die toerustingvervaardiger moet dit ondersteun, die operateur moet dit op sy netwerk aanskakel, en die SIM-kaart moet die elemente dra wat vir die berekening nodig is.

Daarby kom ’n konfigurasieslagyster. Die standaard voorsien ’n nul-beskermingskema, waarin die SUCI-formaat formeel gebruik word maar sonder werklike enkripsie, sodat die identifiseerder oop beweeg. NIST skryf dat dit nodig is dat die operateur sy netwerk met ’n nie-nul beskermingskema konfigureer, en herinner daaraan dat ’n verslag van CSRIC, die adviesliggaam van die Federal Communications Commission, reeds in 2021 aanbeveel het dat die nulskema slegs vir noodoproepe van ’n toestel wat die netwerk nie ken nie, voorbehou word.

Die stelling verdien dit om net so te bly staan. Die beste beskikbare beskerming teen die volg van mobiele toestelle bestaan sedert 2019 in die tegniese standaard. Dit berus op ’n konfigurasiekeuse wat aan die operateur se diskresie oorgelaat word. ’n Amerikaanse federale agentskap ag dit nuttig om in 2026 ’n dokument te publiseer om te herinner dat dit aangeskakel behoort te word. En geen Europese regsinstrument skryf dit voor nie.

Daar moet bygevoeg word dat die SUCI nie die onderwerp afsluit nie. Die werk wat onder die titel 5G SUCI-catchers: still catching them all? aangebied is, dokumenteer koppelbaarheidsaanvalle wat dit moontlik maak om sessies ondanks die enkripsie weer te korreleer, en die beskerming val heeltemal weg indien die aanvaller die toestel dwing om na ’n vroeëre generasie terug te val. ’n Regsplig sou dus nie alles oplos nie. Dit sou nietemin ’n gaping verwyder waarvoor geen verdedigbare regverdiging bestaan nie: dié tussen wat die standaard toelaat en wat kommersiële netwerke doen.

Drie samehangende ingrepe

As mens die gedagte ernstig opneem dat ligging deur ontwerp geminimaliseer moet word eerder as om ná die tyd beskerm te word, volg drie maatreëls logies.

Maak die doeltreffende verskuiling van die identifiseerder verpligtend. Verplig die aktivering van die SUCI en verbied nul-beskermingskemas op kommersiële netwerke, behalwe in die oorblywende geval van noodoproepe. Dit gaan nie oor die voorskryf van ’n nuwe tegnologie of die finansiering van ’n ontplooiing nie, maar oor die eis dat ’n funksie aangeskakel word wat sewe jaar gelede gestandaardiseer is en reeds in die toerusting teenwoordig is.
Behandel bewaring as die uitsondering, nie as die verstek nie. Die posisie wat nodig is om ’n kommunikasie deur te stuur, behoort uitgewis te word sodra daardie funksie vervul is. Die opbou van ’n geskiedenis behoort ’n spesifieke regverdiging te vereis. Dit is die verskil tussen ’n netwerk wat weet waar jy is en ’n netwerk wat onthou waar jy was.
Maak die bewaring van die sleutel die tersaaklike aanknopingspunt. Die ligging van bedieners in die Unie beteken nie veel as die sleutels wat die data leesbaar maak elders is nie. Die regtens beslissende maatstaf behoort werklike beheer oor die ontsyferingsmiddele te wees, ’n vraag wat ons in besonderhede ondersoek het rondom die konflik tussen die Data Act en die CLOUD Act.

Die hoek wat Arpokrat volg

Hierdie redenasie is nie eie aan die telekommunikasiereg nie. Dit is dié wat ons op ons eie argitektuurkeuses toepas, en dit pas in een sin: wat nie voortgebring is nie, hoef nie beskerm te word nie.

Daarom verwyder ArpokratOS GPS, Bluetooth en NFC op kernvlak eerder as om hulle in ’n kieslys af te skakel. ’n Skakelaar is ’n beleid: dit kan omseil word deur ’n bevoorregte komponent, weer aangeskakel word deur ’n bywerking, geïgnoreer word deur ’n gekompromitteerde stelsel. Om die kodepad te verwyder, laat die vraag verval. Dit is die oorplasing, op die skaal van ’n toestel, van dieselfde verskuiwing wat ons op die skaal van die reg bepleit: ingryp by die ontstaan eerder as by die toegang.

Daar moet dadelik gesê word wat dit nie doen nie. Geen bedryfstelsel onttrek ’n toestel aan die geometrie van die netwerk nie. Solank ’n SIM-kaart aktief is, ken die operateur die sel waaraan dit gekoppel is, en om alle verkeer deur Tor te stuur verander niks daaraan nie, want dit beskerm inhoud en bestemming, nie die radiolaag nie. Juis daarom is die onderwerp ’n regsonderwerp. Daar bestaan ’n kategorie risiko’s wat geen individuele konfigurasie verklein nie, en waarvoor die enigste beskikbare veranderlike die reël is wat op die operateur van toepassing is.

Dieselfde besorgdheid rig die res van ons werk. Data wat nie bestaan nie kan nie opgeëis, herverkoop, uitgevoer of oor tien jaar ontsyfer word deur ’n masjien wat niemand vandag het nie, ’n vraag wat ons behandel het vanuit die hoek van enkripsie wat nou geoes en later gebreek word.

Slot

Die openbare debat oor mobiele toesig fokus byna uitsluitlik op toegang: wie die data mag raadpleeg, op watter grondslag, met watter magtiging. Daardie debat is geldig, en die uitsprake wat die Hof van Justisie sedert 2014 gelewer het, het tasbare gevolge gehad. Maar dit tree te laat in die ketting in.

Die voorafgaande en meer beslissende vraag is of die geskiedenis hoegenaamd behoort te bestaan. ’n Databasis wat vandag om ’n geldige rede opgebou word, bly môre beskikbaar vir ’n ander, en die waarborge daaromheen hang af van latere politieke besluite wat niemand op die oomblik van insameling beheer nie. Dit is ’n weddenskap op die stabiliteit van instellings, aangegaan vir ’n tydperk wat niemand bepaal nie.

5G het die resolusie van hierdie inligting vermenigvuldig sonder dat enige normatiewe aanpassing plaasgevind het. Terselfdertyd het dit, deur die SUCI-meganisme, getoon dat die begaanbare weg daarin lê om posisie van identiteit te skei eerder as om te probeer om ’n fisiese eienskap van die netwerk te enkripteer. Die tegniese standaard het die antwoord sewe jaar verskaf voordat die reg die vraag gestel het.

Die Europese teks oor databewaring word nou geskryf. Dit sal oor metadata gaan, dus oor ligging, dus oor wat 5G voortaan voortbring met ’n fynheid wat sy opstellers nie geken het nie. Of dit tevrede sal wees om toegang tot ’n geskiedenis wat as vanselfsprekend aanvaar word te reël, en of dit die moed sal hê om die noodsaak van daardie geskiedenis te bevraagteken, is waarskynlik die belangrikste privaatheidsvraag van die komende jare in Europa. En dit is ’n vraag wat die tegniese sektor, vir een keer, reeds in die regte rigting besleg het.

Bronne

Hof van Justisie van die Europese Unie, Digital Rights Ireland, gevoegde sake C-293/12 en C-594/12, 8 April 2014
Hof van Justisie van die Europese Unie, Tele2 Sverige en Watson, gevoegde sake C-203/15 en C-698/15, Groot Kamer, 21 Desember 2016
Hof van Justisie van die Europese Unie, La Quadrature du Net e.a., gevoegde sake C-511/18, C-512/18 en C-520/18, Groot Kamer, 6 Oktober 2020
Hooggeregshof van die Verenigde State, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, Maart 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta e.a., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Data Act vs CLOUD Act: wie beheer werklik u data in die wolk?

Fri, 19 Jun 2026 00:00:00 +0000

Vir jare het die wêreld op ’n eenvoudige aanname gefunksioneer: data het ’n fisiese verblyf. As dit op ’n bediener in Dublin gestoor was, het dit onder Ierse en Europese reg geval. Hierdie aanname het in 2018 inmekaargestort toe die Verenigde State die CLOUD Act aangeneem het — ’n wet wat Amerikaanse owerhede toegang verleen tot data wat deur Amerikaanse maatskappye beheer word, ongeag waar daardie data fisies in die wêreld gestoor word. Jare later het Brussel met sy eie beskermingsmeganisme gereageer: die Data Act, wat nou volledig van toepassing is en poog om ekstraterritoriale toegang deur owerhede van derde lande tot data wat in die Europese Unie gehou word, te beperk.

Hier is wat hierdie twee wette werklik bepaal, waar hulle bots, en waarom die enigste werklik robuuste beskerming teen hierdie konflik tegniese ontoeganklikheid bly.

Die Amerikaanse CLOUD Act: toegang gegrond op beheer, nie ligging nie

Die CLOUD Act (Clarifying Lawful Overseas Use of Data Act), wat in Maart 2018 aangeneem is, het die Amerikaanse reg gewysig deur 18 U.S. Code § 2713 by te voeg. Hierdie bepaling verplig enige verskaffer van elektroniese kommunikasiedienste of afgeleë rekenaarverwerkingsdienste om die inhoud van ’n kommunikasie of enige rekord daarmee verband te bewaar, te bewaar of te openbaar, wanneer sodanige data in sy besit, bewaring of beheer is, ongeag of sodanige data binne of buite die Verenigde State geleë is.

Dit is juis hierdie laaste klousule wat alles verander. Die maatstaf is nie langer die fisiese ligging van die bediener nie, maar die beheer wat die moedermaatskappy oor sy filiale uitoefen. ’n Amerikaanse maatskappy wat datasentrums in Europa bedryf, bly dus onderhewig aan Amerikaanse lasbriewe, selfs vir data wat volledig op Europese grondgebied gestoor word.

Die Europese Data Act: ’n regssperwal teen ekstraterritoriale toegang

Die Regulasie (EU) 2023/2854, bekend as die Data Act, het op 11 Januarie 2024 in werking getree en is volledig van toepassing sedert 12 September 2025, met sekere bepalings wat tot 2026 en 2027 uitgefaseer word. Artikel 32 daarvan reguleer direk die kwessie van internasionale owerheidstoegang tot data.

Die teks stel ’n duidelike reël: enige besluit of vonnis van ’n hof of administratiewe gesag van ’n derde land wat ’n verskaffer van dataverwerking versoek om nie-persoonlike data wat in die Europese Unie gehou word oor te dra of toegang daartoe te verleen, word slegs erken en afdwingbaar indien dit berus op ’n internasionale ooreenkoms, soos ’n wedersydse regsbystandsverdrag (MLA), wat tussen die versoekende land en die Unie, of tussen daardie land en die betrokke lidstaat, van krag is.

By gebrek aan so ’n ooreenkoms voorsien artikel 32 ’n tweede weg, maar een wat streng gereguleer word: die buitelandse besluit kan slegs uitgevoer word indien die regstelsel van die derde land vereis dat die versoek gemotiveer, eweredig en voldoende spesifiek is — byvoorbeeld deur ’n duidelike verband met spesifieke persone of misdrywe te toon — en indien die gemotiveerde beswaar van die ontvanger aan die oorsig van ’n bevoegde hof in daardie derde land onderwerp kan word.

’n Direkte regbotsing

Die probleem is onmiddellik: die CLOUD Act vereis openbaarmaking gegrond op die beheer wat die moedermaatskappy uitoefen, sonder vergelykbare eweredigheidsvoorwaardes soos dié wat die Europese reg vereis. Die Data Act, omgekeerd, onderwerp die erkenning van so ’n versoek aan die bestaan van ’n internasionale ooreenkoms of aan presiese prosedurele waarborge. ’n Amerikaanse maatskappy wat in Europa bedrywig is en deur ’n Amerikaanse owerheid versoek word om data te oorhandig wat in die Unie gehuisves word, bevind hom dus vasgevang tussen twee teenstrydige regsverpligtinge: voldoen aan die Amerikaanse lasbrief en sodoende die reg van die Unie skend, of die Data Act eerbiedig en blootstelling aan die gevolge van ’n weiering in die Verenigde State riskeer.

Hierdie spanning is nie teoreties nie. Dit is reeds deur die Hof van Justisie van die Europese Unie (CJEU) gedokumenteer in twee belangrike beslissings, Schrems I (2015) en Schrems II (2020). In die Schrems II-uitspraak het die CJEU beslis dat Amerikaanse toesig ingevolge Artikel 702 van die FISA (Foreign Intelligence Surveillance Act) en Uitvoerende Bevel 12333 nie die minimumwaarborge eerbiedig wat die reg van die Unie ingevolge die eweredigheidsbeginsel vereis nie, en dus nie as beperk tot wat streng noodsaaklik is, beskou kan word nie. Die Hof het ook die afwesigheid van ’n effektiewe regsmiddel vir betrokke persone uit die Unie aangeteken, in stryd met artikel 47 van die Handves van Fundamentele Regte. Hierdie beslissing het die Privacy Shield-raamwerk, wat tot dan toe data-oordragte tussen die EU en die VSA gereël het, ongeldig verklaar.

Die strukturele risiko: Harvest Now, Decrypt Later

Buite die jurisdiksiekonflik weeg ’n meer verraderlike bedreiging op data wat in infrastruktuur gehuisves word wat aan Amerikaanse reg onderhewig is: die sogenaamde Harvest Now, Decrypt Later-strategie (HNDL). Die beginsel is dat ’n inligtingsdiens of vyandelike staatsrolspeler vandag versleutelde data onderskep en stoor, in afwagting van voldoende kwantumberekeningsvermoëns om dit in die toekoms te ontsyfer.

Hierdie strategie verander enige voortgesette afhanklikheid van ’n Amerikaanse wolkinfrastruktuur in ’n uitgestelde sekuriteitsskuld: wat vandag vertroulik is, kan oor tien of vyftien jaar leesbaar word, sonder dat enige verdere aksie van die aanvaller se kant nodig is — slegs tyd en geduld.

Waarom slegs tegniese ontoeganklikheid ’n ware waarborg bied

Die regsontleding kom neer op ’n gevolgtrekking wat deur baie nakomingskundiges gedeel word: hoe solied die Data Act se regsraamwerk ook al is, dit bly ’n teks wat geopolitieke magsverhoudings en diplomatieke druk kan omseil, vertraag of herinterpreteer. Die enigste beskerming wat van geen toekomstige onderhandeling afhang nie, is tegniese onuitvoerbaarheid.

’n Zero-knowledge-argitektuur, waar die diensverskaffers nóg die besit nóg die bewaring van die ontsleutelingssleutels het, maak ’n lasbrief materieel onwerkend. ’n Mens kan nie gedwing word om iets te oorhandig wat jy nooit besit nie.

Dit is die logika wat ekosisteme soos Arpokrat struktureer:

Jurisdiksieneutralisering: die infrastruktuur word in Switserland gehuisves, onder die Federale Wet op Databeskerming (LPD/FADP), buite die direkte toepassingsveld van die ekstraterritorialiteit van die CLOUD Act
Afwesigheid van bewaring: die zero-knowledge-argitektuur ontneem die diensverskaffers enige vermoë om sleutels of inhoud wat hulle nooit hou nie, oor te dra
Vermindering van die identiteitsvoetspoor: deur die verpligting tot registrasie per telefoonnommer of e-posadres — identifiseerders wat FISA Artikel 702-gebaseerde toesig maklik kan opspoor — te verwyder, hou die gebruiker op om ’n identifiseerbare intekenaar te wees en word ’n anonieme kriptografiese sleutel

Die bewaringsketting stop nie by boodskapversleuteling nie

’n Punt wat dikwels in nakomingsontledings onderskat word: dit is nie voldoende om die inhoud van ’n kommunikasie te versleutel as die onderliggende bedryfstelsel — hetsy Android of iOS — voortgaan om metadata of telemetrie op kernvlak te versamel, met bestemming by bedieners wat onder Amerikaanse jurisdiksie val nie. Die beskerming van geheimhouding vereis ’n volledige sluiting van die bewaringsketting, van die inhoud tot by die materiële infrastruktuur self.

Dit is waarom digitale soewereiniteit ook ’n besinning oor die gebruikte bedryfstelsel vereis, nie net oor boodskapappe nie. Ont-gegoogeliseerde stelsels, waar modules soos Bluetooth of GNSS-geoligging direk op kernvlak gedeaktiveer kan word, elimineer fisiese aanvalsvektore wat geen toepassingsversleuteling kan vergoed nie.

Post-kwantum kriptografie: ’n reeds ingeslane horison

In die lig van die bedreiging wat die HNDL-strategie inhou, word die aanvaarding van post-kwantum kriptografie (PQC)-standaarde ’n noodsaaklikheid vir enigeen wat die vertroulikheid van sensitiewe data op die lang termyn wil waarborg — hetsy dit besigheidsgeheime, professionele korrespondensie of gesondheidsdata betref. Versleuteling wat vandag as robuust beskou word volgens klassieke standaarde, waarborg nie dat dit die kwantumberekeningsvermoëns sal weerstaan wat in die volgende vyftien jaar verwag word nie.

Die konflik tussen die Data Act en die CLOUD Act illustreer ’n breër werklikheid: digitale soewereiniteit kan nie meer uitsluitlik op wetgewing gebou word nie, hoe solied dit ook al is. Dit vereis ’n sluiting van die bewaringsketting op elke vlak — van die versleutelingsprotokol tot die huisvestingsjurisdiksie, met die bedryfstelsel self ingesluit. Dit is hierdie laagsgewyse benadering, eerder as vertroue wat op ’n enkele regulatoriese raamwerk berus, wat vandag ware digitale soewereiniteit deur ontwerp definieer.

Die einde van privaatheid? Agterdeure, die Online Safety Act en die reaksie van soewereine ekosisteme

Wed, 10 Jun 2026 00:00:00 +0000

Londen het die episentrum geword van ’n wêreldwye stryd om die toekoms van digitale privaatheid. Met die aanvaarding van die Online Safety Act 2023 (OSA) en onlangse voorgestelde hersienings aan die Investigatory Powers Act (IPA) — deur sy kritici die “Spioene se Handves” genoem —, eis die Britse regering die reg op om toesigverpligtinge in die hartjie van private kommunikasie af te dwing. Die breekpunt is die mag wat aan die reguleerder OFCOM verleen is om te vereis dat platforms “geakkrediteerde tegnologie” ontplooi om materiaal oor seksuele misbruik van kinders (CSEA) of terrorisme op te spoor, selfs binne einde-tot-einde geënkripteerde kommunikasie.

Vir die groot digitale platforms is Westminster se boodskap ondubbelsinnig: óf hulle fasiliteer staatstoegang tot hul infrastruktuur, óf hulle staar boetes van tot 10% van hul wêreldwye inkomste in die gesig. Die reaksie was onmiddellik: dienste soos Signal en WhatsApp het in die openbaar gedreig om aan die Britse mark te onttrek, en weier om hul gebruikers se sekuriteit in gevaar te stel om ’n enkele jurisdiksie tevrede te stel. Die tegniese argument is moeilik om te betwis: daar is geen meestersleutel wat slegs vir wettige akteurs gereserveer is nie. ’n Oop deur vir wetstoepassing is, by ontwerp, ’n oop deur vir kubermisdadigers en buitelandse intelligensiedienste.

Die sakemodel van groot platforms: ’n strukturele hindernis vir Zero-Knowledge

Die weerstand van groot platforms teen die aanvaarding van Zero-Knowledge enkripsie word nie verklaar deur ’n tegniese onvermoë nie, maar deur ’n fundamentele ekonomiese onversoenbaarheid. Maatskappye soos Alphabet en Meta maak staat op monetiseringsmodelle wat gebaseer is op die sistematiese insameling van gedragsdata. Hierdie model word terloops implisiet erken deur die Europese Unie se Wet op Digitale Markte (DMA), wat hierdie “poortwagters” (gatekeepers) klassifiseer as entiteite wie se dominante posisie juis gevoed word deur die versameling van data op ’n ongeëwenaarde skaal. Vir hierdie akteurs sou die aanvaarding van ’n Zero-Knowledge-argitektuur beteken dat hul advertensiestelsels ontneem word van die deurlopende identifikasie van gebruikers wat die brandstof daarvan uitmaak. Dit is dus nie ’n tegniese keuse nie, maar ’n afweging tussen gebruikersprivaatheid en die lewensvatbaarheid van hul sakemodel.

Die strategiese risiko: die “Harvest Now, Decrypt Later” bedreiging

Buiten die debat oor privaatheid, opper die verswakking van enkripsie ’n nasionale veiligheidskwessie van ’n heel ander omvang. Die strategie bekend as Harvest Now, Decrypt Later (HNDL) behels dat staats-teenstanders vandag massiewe volumes geënkripteerde kommunikasie onderskep en stoor, in afwagting van toekomstige kwantum-dekripsievermoëns. Deur huidige enkripsiestandaarde te verswak, fasiliteer die Britse wetgewende raamwerk objektief hierdie tipe operasies teen regerings-, diplomatieke of industriële kommunikasie.

Dit is presies in hierdie konteks van ’n trusttekort dat ekosisteme soos dié van Arpokrat operasionele relevansie verkry. Deur te werk onder die regime van die Switserse Federale Wet op Databeskerming (FADP), met ’n argitektuur wat geen siviele identifiseerders insamel nie, bied Arpokrat ’n tegniese breuk met infrastrukture wat onderhewig is aan Britse jurisdiksie — wat waarborg dat die stelsel ondoordringbaar bly teen die bevele wat deur die OSA voorsien word.

Die botsing van norme: OSA en IPA teen Europese reg

Die regsanalyse van die nuwe Britse staatsvoorregte onthul ’n direkte botsing met die fondamente van die Europese reg rakende databeskerming en die vertroulikheid van kommunikasie.

OSA teen die verbod op algemene toesig

Artikel 121 van die OSA stel die moontlikheid vir OFCOM in om bevele uit te reik wat platforms dwing om kliëntkant-skandering (client-side scanning) te implementeer. Hierdie maatreël is in direkte stryd met die beginsel, afkomstig uit Europese reg en opgeneem in die regspraak van die HvJE (Hof van Justisie van die EU), wat algemene toesigverpligtinge verbied. Deur ’n “kwesbaarheid deur ontwerp” af te dwing, plaas dit maatskappye ook in ’n situasie van ’n dubbele binding: deur hul sekuriteit te verswak om aan ’n staatsmandaat te voldoen, versuim hulle hul verpligting om ’n vlak van sekuriteit te waarborg wat gepas is vir die verwerking, soos vasgelê in Artikel 32 van die GDPR.

Die ePrivacy-richtlijn en die vertroulikheid van kommunikasie

Die skandering van private boodskappe is in direkte teenstrydigheid met Artikel 5, paragraaf 1, van Richtlijn 2002/58/EG (ePrivacy), wat lidlande verplig om die vertroulikheid van elektroniese kommunikasie te waarborg en enige vorm van onderskepping of toesig sonder die uitdruklike toestemming van die betrokke gebruikers verbied.

Technical Capability Notices en die blokkering van sekuriteitsopdaterings

Onder die bepalings van die IPA 2016 beoog die Britse regering nou om Technical Capability Notices (TCN) te gebruik om sekuriteitsopdaterings teë te staan voordat dit ontplooi word. Hierdie meganisme skep ’n onoplosbare konflik met die verpligting, gestel deur Artikel 32 van die GDPR, om die deurlopende sekuriteit van verwerkingstelsels te verseker — ’n verpligting wat juis die vermoë vereis om pleisters sonder versuim of eksterne inmenging toe te pas.

Voldoeningsrisiko’s vir maatskappye wat in Europa werksaam is

Die hersienings van die IPA is daarop gemik om maatskappye te dwing om die Britse regering in kennis te stel van enige tegniese wysiging wat sekuriteit raak, voor die implementering daarvan, en gee hulle sodoende ’n vetoreg oor produkontwikkeling. Hierdie inmenging skep aansienlike regsonsekerheid vir verskaffers wat in die Europese mark werksaam is: die Britse voldoening aan Europese reg — wat reeds broos is — kan bevraagteken word as die VK nie meer beskerming waarborg wat wesenlik gelykwaardig is aan dié van die GDPR nie. Data-oordragte na die VK onder hierdie nuwe raamwerk sou maatskappye dus waarskynlik blootstel aan sanksies onder die GDPR.

Verdediging deur tegniese onmoontlikheid: die Zero-Knowledge beginsel as ’n wettige skild

Internasionale regspraak, gekonsolideer deur die Schrems I en Schrems II uitsprake van die HvJE, het ’n bepalende beginsel gevestig: die enigste robuuste beskerming teen disproporsionele toesig is die tegniese onmoontlikheid van toegang daartoe. Zero-Knowledge argitekture pas hierdie beginsel toe in drie lae van beskerming:

Afwesigheid van bewaring: aangesien die platform nie die dekripsiesleutels hou nie, is enige bevel om boodskappe te skandeer tegnies onuitvoerbaar;
Soewereiniteit van die bedryfstelsel: die beheer van ArpokratOS skakel telemetrie uit wat intelligensie-insameling op toestelvlak voed;
Switserse jurisdiksionele anker: deur sy infrastruktuur in Switserland te huisves, werk Arpokrat onder ’n wettige regime wat geïndividualiseerde en gemotiveerde versoeke vir wedersydse regshulp vereis, wat die outomatiese uitvoering van massa-skanderings wat deur die OSA voorsien word, neutraliseer.

Gevolgtrekking

Die bepalings van die OSA en die hersienings van die IPA is nie net ’n bedreiging vir die privaatheid van individue nie: dit verteenwoordig ’n breuk in regsekerheid vir alle Europese data wat deur infrastrukture beweeg wat onderhewig is aan Britse jurisdiksie. Deur die verswakking van enkripsie in die naam van openbare veiligheid te legitimeer, stel Londen sy bondgenote en handelsvennote paradoksaal bloot aan risiko’s van industriële en staatsspioenasie wat Zero-Knowledge argitekture juis ontwerp is om te voorkom.

Die integriteit van professionele en institusionele kommunikasie vereis nou ’n strukturele reaksie: die migrasie na gedesentraliseerde ekosisteme wat digitale soewereiniteit waarborg, van die kodevlak tot by die jurisdiksionele anker.

Die Tydbom: Versamel Nou, Dekripteer Later en die Zero-Knowledge-imperatief

Tue, 26 May 2026 00:00:00 +0000

Die afhanklikheid van Europese regerings op Amerikaanse wolk-infrastruktuur skep meer as net ’n onmiddellike onderskeppingsprobleem. Die groot onthulling, die mees verwoestende bedreiging vir die komende dekades, is wat intelligensiespesialiste die HNDL: “Harvest Now, Decrypt Later”-strategie noem.

Dit is nie ’n frontale indringing nie, maar ’n stille diefstal. Intelligensie-agentskappe en staatsvyande onderskep en stoor vandag ontsaglike hoeveelhede geënkripteerde data, bloot omdat die koste van berging onbeduidend geword het.

Hulle wag geduldig vir die oomblik wanneer tegnologiese spronge en die onvoorspelbare evolusie van rekenaarkrag huidige kriptografiese sleutels verouderd sal maak. Wat in 2026 ’n beskermde staatsgeheim is, kan oor vyftien of twintig jaar ’n oop boek word.

Terugwerkende Aanspreeklikheid en Tydelike Risiko

Die HNDL-model stel ’n nuwe konsep bekend: vertraagde wetlike skade. Tradisioneel is ’n skending van geheimhouding ’n statiese gebeurtenis. Met die massiewe insameling van data vir toekomstige dekripsie, word vertraulikheid ’n tyd-afhanklike veranderlike.

Om hierdie risiko te kwantifiseer, definieer die HNDL-wetenskaplike model dat vertraulikheid onvermydelik misluk wanneer die vereiste lewensduur van die geheim die teëstander se dekripsie-horison oorskry.

As ’n staat of organisasie nie die absolute soewereiniteit van sy hardeware-infrastruktuur waarborg nie, teken hy in die praktyk ’n afstanddoening van langtermyn-vertraulikheid vir sy burgers.

Vandag se onderskepping is môre se kompromie. Om wolkafhanklikheid in ’n nasionale sekuriteitskuld te omskep, is ’n dobbelspel wat onmoontlik is om terug te betaal.

Die Arpokrat Antitese: Wetlike Onmoontlikheid deur Kode

Gekonfronteer met hierdie kwesbaarheid, reageer die bedryf deur die skep van radikale digitale soewereiniteit-ekosisteme. Die Arpokrat-model is die perfekte antitese: dit werk op ’n gedesentraliseerde netwerk, beskerm deur die baie streng Switserse Federale Wet op Databeskerming (FADP).

Die sentrale logika is een van absolute Privacy by Design. Deur die behoefte aan ’n telefoonnommer te verwyder, word die gebruiker ’n eenvoudige kriptografiese sleutel, ontdaan van fisiese identiteit.

Wetlik verander dit die reëls van die spel drasties. As die argitektuur fundamenteel Zero-Knowledge is, staar die maatskappy ’n tegniese onmoontlikheid in die gesig om bevele uit te voer.

Dit is nie burgerlike ongehoorsaamheid nie, maar ’n onstuitbare wiskundige en wetlike voorsorgmaatreël: wat jy nie het nie, kan nie openbaar gemaak word nie.

Anderkant Enkripsie: Die Devaluasie van die Teikendata

Gegewe die onvoorspelbaarheid van tegnologiese vooruitgang, is ’nul risiko’ ’n illusie. Die ware reaksie in die Arpokrat-boodskaptoepassing is nie om op ewige wiskunde te wed nie, maar om die data self te devalueer.

Sonder sentrale metadata om ’n boodskap aan ’n fisiese individu te koppel, verloor die geënkripteerde inhoud sy strategiese waarde omdat dit onpeilbaar word.

Sagteware alleen kan egter niks doen as die hardeware dit verraai nie.

Uiteindelik vereis sekuriteit in die 21ste eeu die onafhanklikheid van die masjien self. Die ontplooiing van ’n soewereine bedryfstelsel (OS) het ’n absolute oorlewingsvereiste geword vir enigiemand wat staatsgeheime hanteer.