Veel datamakelaars verkopen graag allerlei persoonlijke informatie over Amerikaanse burgers. Voeg deze gegevens samen en je kunt angstaanjagend gedetailleerde informatie krijgen over een breed scala aan mensen, van fysiek kwetsbaar tot politiek prominent.

Wetgevers worden steeds nerveuzer over de risico’s als een buitenlandse tegenstander die gegevens koopt, die kunnen variëren van chantage tot fysieke schade. Op 28 februari ondernam het Witte Huis opnieuw een stap om de dreiging te verzachten.

Een geschiedenis van bezorgdheid over buitenlandse gegevensstromen

Het presidentieel decreet betreffende het voorkomen van toegang tot gevoelige persoonsgegevens van Amerikanen en gegevens gerelateerd aan de Amerikaanse overheid door landen die als zorgwekkend worden beschouwd, is de meest recente in een reeks maatregelen die het Witte Huis heeft genomen om de persoonsgegevens van Amerikanen te beschermen.

Op 15 mei 2019 vaardigde de regering-Trump het decreet "Securing the Information and Communications Technology and Services Supply Chain" uit. In dat decreet werd een nationale noodtoestand afgekondigd met betrekking tot het gebruik van buitenlandse IT- en communicatietechnologie.

Het Witte Huis onder Biden erkende die noodsituatie op 9 juni 2021 in een ander uitvoeringsbesluit, getiteld "Bescherming van gevoelige gegevens van Amerikanen tegen buitenlandse tegenstanders" . Hierin werd opgeroepen tot een risicoanalyse van de gevaren van het delen van gegevens van Amerikaanse burgers met het buitenland, samen met aanbevelingen voor uitvoerende maatregelen.

De nieuwste EO is een reactie op die analyse. Het geeft uitdrukking aan de vrees van de regering dat kwaadwillende actoren in het buitenland AI en andere technologieën zouden kunnen gebruiken om nieuwe inzichten te verkrijgen uit gegevens over Amerikaanse burgers. Het maakt zich zorgen over gegevens over burgers, maar richt zich specifiek op individuen in het leger en anderen die voor de overheid werken, samen met kwetsbare groepen, waaronder dissidenten.

Het document roept overheidsinstanties op om deze groepen te beschermen door middel van verschillende maatregelen, waaronder het prioriteren van het onderzoek naar vergunningen voor onderzeese datatransmissiekabels (een kwestie die voor het eerst aan de orde kwam in een ander decreet uit het Trump-tijdperk van 4 april 2020). Het Witte Huis hoopt dat deze prioritering zal helpen voorkomen dat landen die reden tot bezorgdheid geven, vergunninghouders manipuleren om gegevens van de kabels af te nemen.

Gezondheidszorgonderzoekers zijn een ander doelwit van de EO. Het gaf verschillende uitvoerende afdelingen de opdracht om regels uit te vaardigen over het beheer van bulkinformatie over de gezondheidszorg, inclusief soorten biologische gegevens zoals genomica.

Datamakelaars op de hoogte stellen

De EO richt zich ook op datamakelaars.

“Entiteiten in de data brokerage-industrie maken toegang mogelijk tot grote hoeveelheden gevoelige persoonlijke gegevens en aan de Amerikaanse overheid gerelateerde gegevens voor landen van zorg en gedekte personen”, zegt het. “Deze entiteiten vormen een bijzonder risico om bij te dragen aan de nationale noodsituatie die in dit bevel wordt beschreven, omdat ze zich routinematig bezighouden met het verzamelen, samenstellen, evalueren en verspreiden van grote hoeveelheden gevoelige persoonlijke gegevens en van de subset van aan de Amerikaanse overheid gerelateerde gegevens over de Verenigde Staten. consumenten."

Het richt zich op deze sector door mensen in de VS te verbieden transacties aan te gaan waarbij grote hoeveelheden gevoelige persoonlijke gegevens betrokken zijn met buitenlanders die landen van zorg vertegenwoordigen. Die gegevens omvatten een aantal persoonlijke en biometrische identificatiegegevens, samen met geolocatie- en gerelateerde sensorgegevens, biologische en persoonlijke gezondheidsgegevens en persoonlijke financiële gegevens. Er zijn uitzonderingen op de regel, waaronder het verstrekken van informatie voor financiële diensten of voor naleving van de regelgeving.

Reguliere bedrijven waarvan de primaire activiteit niet bestaat uit het verkopen van gegevens hoeven zich echter geen zorgen te maken. De EO stelt dat het bevel niet bedoeld is om commerciële transacties met deze landen te verbieden “inclusief het uitwisselen van financiële en andere gegevens als onderdeel van de verkoop van commerciële goederen en diensten”. Het probeert ook niet de bredere handelsbetrekkingen te verstoren. Het draait allemaal om toegang tot gevoelige bulkgegevens, legt het document uit.

Het Witte Huis zal gedeeltelijk een beroep doen op het Consumer Financial Protection Bureau (CFPB) om datamakelaars binnen de reikwijdte van de wet te helpen brengen. Er bestaat geen specifieke federale regelgeving voor datamakelaars, maar consumenteninformatiebureaus (CRA's) vallen onder de Fair Credit Reporting Act (FCRA) uit 1970.

In haar voorgestelde regelgeving uitte het CFPB zijn bezorgdheid over het feit dat, meer dan een halve eeuw na de invoering ervan, de definitie van een kredietinformatiebureau (CRA) te beperkt is geworden en dat sommige databrokers gevoelige persoonsgegevens verhandelen zonder te hoeven voldoen aan de privacyvoorschriften. Voorgestelde maatregelen omvatten onder meer het verbreden van de definitie om deze brokers als rapportagebureaus aan te merken, waardoor ze onder de regelgeving vallen.

De vraag is volgens Claude Mandy of datamakelaars de verkoop aan buitenlanders kunnen beperken. Mandy is Chief Data Security Evangelist bij Symmetry Systems, dat bedrijven helpt te begrijpen waar hun gevoelige gegevens zich bevinden, hoe deze zijn gebruikt en door wie. Het beantwoorden van die vragen is moeilijker dan het lijkt, waarschuwt hij.

“Elke keer dat we een organisatie binnenstappen, zien we de uitdagingen die ze hebben bij het beheersen van de gegevensstroom en het begrijpen welke gegevens ze hebben”, vertelt hij aan ISMS.online.
Mandy waarschuwt ook dat gegevens regelmatig aan derden worden verkocht, die deze vervolgens aan zichzelf verkopen, waardoor een toeleveringsketen ontstaat die op zijn best duister is.

'Ze weten niet naar wie het wordt gestuurd. Ze weten niet wie er toegang toe heeft. En die gegevensstroom uit de eerste principes wordt niet aangepakt”, zegt hij. “Met lege vennootschappen en buitenlands eigendom, hoeveel lagen kun je diep gaan voordat het onhoudbaar wordt om die definitieve positie te vinden? En dat is wat wij hen vragen te doen met dit Executive Order.”

Tijd om datapraktijken te heroverwegen

Cobun Zweifel-Keegan, directeur van de International Association of Privacy Professionals (IAPP) in Washington DC, zegt dat wanneer de overheidsinstanties uiteindelijk specifieke regels opstellen, datamakelaars wellicht hun databeheer moeten heroverwegen. Dat is misschien geen slechte zaak, voegt hij eraan toe.

“Het begrijpen van de context en de potentiële schade van bepaalde datasets is een bekende uitdaging waar een bedrijf al rekening mee zou moeten houden”, vertelt hij aan ISMS.online.

Eén wet die ze allemaal bindt?

Intussen blijft de federale overheid aandringen op een bredere federale privacywet. Het nieuwste voorstel is de Amerikaanse Privacy Rights Act, die Amerikanen in staat zou stellen te bepalen welke gegevens bedrijven over hen kunnen verzamelen en bewaren, en om te voorkomen dat hun gegevens aan anderen worden overgedragen.

Terwijl we wachten tot het conceptvoorstel daadwerkelijk in een wetsvoorstel wordt omgezet, zijn er in het Congres andere pogingen om datahandelaren aan banden te leggen. Wetgevers hebben HR 7521 ingediend, de Protecting Americans from Foreign Adversary Controlled Applications Act (bekend geworden als het TikTok-verbod) en HR 7520 , de Protecting Americans' Data from Foreign Adversaries Act of 2024. Net als het uitvoeringsbesluit van februari, richt laatstgenoemde zich op het beperken van de verkoop van informatie door datahandelaren aan buitenlandse entiteiten.

Nu zowel het Witte Huis als het Huis van Afgevaardigden graag de druk op datamakelaars willen vergroten, zouden bedrijven die zich richten op het verkopen van gegevens van individuen er verstandig aan doen hun praktijken onder de loep te nemen.

“Datamakelaars zijn zich er zeker van bewust dat beleidsmakers zich zorgen maken over praktijken waarbij buitenlandse tegenstanders betrokken zijn en zelfs over de verkoop van gegevens op onbelemmerde manieren en in andere contexten”, zegt Zweifel-Keegan. “Het is zeker geen tijd om op je lauweren te rusten, want dit is slechts een van de vele bewegende beleidsdoelstellingen die de praktijken van datamakelaars steeds dichterbij brengen.”