Wettelijk verplicht logfiles te bewaren?

[bartvb]

Ik zag vorige week in het NRC een artikel staan over privacy e.d. Hier stond o.a. de volgende tekst in:

Ook klikgedrag op websites wordt minutieus vastgelegd in zogenaamde logfiles. Die hoeven slechts een half jaar te worden bewaard. Politie en justitie kunnen de gegevens opvragen.

Hiervan was ik nog niet op de hoogte? Klopt dit? En als het klopt heeft er dan iemand enig idee waar dit in de wet staat? Dit staat overigens nog los van de dataretentie wetgeving die 'pas' in juli ingaat.

Voor mij is de dataretentiewet ook nog een groot vraagteken, vooral op wie deze van toepassing is is mij compleet onduidelijk. Als iemand daar wat meer duidelijkheid in kan verschaffen; heel graag Heb gezocht maar er is weinig te vinden behalve een hoop gescheld op de wetgeving en gezeur over de kosten. Ik heb nergens kunnen vinden wie er nu precies onder die wet vallen. In iedergeval de providers (XS4All, Tiscali, UPC, etc) maar valt een hosting bedrijf er b.v. ook onder? Of ik met een stuk of 4 servers voor eigen gebruik in het datacenter van XS4All?

[ACM]

't Is nieuw voor mij iig. We bewaren die dingen toch wel voor eigen gebruik, maar het is wel raar dat daar verder geen aandacht aan besteed zou zijn in het nieuws.

Naast jouw vragen, sinds wanneer en voor wie het zou moeten gelden vraag ik me ook af wat er dan bewaard zou moeten worden. Want onze huidige logfiles gaan over de 18GB aan gecomprimeerde platte tekst per maand... Daarnaast vraag ik me af hoe wij (webbeheerders) de privacywetgeving in de gaten moeten zien te houden en toch die gegevens dan blijkbaar zomaar aan politie en justitie moeten kunnen geven.

Anderzijds hebben we voor Tweakers.net in de jaren dat ik hier nu werk maar vrij zeldzaam verzoeken tot data van de politie gekregen en dan altijd met nette uitleg van het doel.

[alt-92]

bartvb schreef op dinsdag 22 mei 2007 @ 20:00:
Voor mij is de dataretentiewet ook nog een groot vraagteken, vooral op wie deze van toepassing is is mij compleet onduidelijk. Als iemand daar wat meer duidelijkheid in kan verschaffen; heel graag Heb gezocht maar er is weinig te vinden behalve een hoop gescheld op de wetgeving en gezeur over de kosten. Ik heb nergens kunnen vinden wie er nu precies onder die wet vallen. In iedergeval de providers (XS4All, Tiscali, UPC, etc) maar valt een hosting bedrijf er b.v. ook onder? Of ik met een stuk of 4 servers voor eigen gebruik in het datacenter van XS4All?

Je zou in de tekst van het voorstel al het een en ander kunnen vinden over de definitie van provider.
http://www.ez.nl/content.jsp?objectid=149504&rid=144525

In het geval van een stel eigen servers in een colo; als je daar geen diensten levert tegen betaling maar voor eigen gebruik dan denk ik (c.p.) dat dat niet hoeft, biedt je mailhosting aan of webhosting voor derden tegen betaling zou je nog wel eens onder die wet kunnen vallen.

quote: http://www.cbpweb.nl/documenten/adv_z2006-01542.shtml

Het wetsontwerp schrijft voor dat aanbieders van telecomdiensten telefoon- en e-mailgegevens gedurende achttien maanden bewaren en beschikbaar houden voor het onderzoeken, opsporen en vervolgen van ernstige criminaliteit.

Dat zou dan ook gelden voor T.net in verband met de abo's met mail.

[bartvb]

Wij kunnen dat ook helemaal niet in de gaten houden. Volgende stukje uit het Privacy Jaarverslag van XS4All heeft ongeveer dezelfde strekking:

http://www.xs4all.nl/over..._jaarverslag2005.php#ciot
CIOT = Centraal Informatiepunt Onderzoek aan Telecommunicatie, hier kunnen ambtenaren o.a. opvragen van wie welk IP adres is.

Vanuit privacy-perspectief druist de huidige ontsluiting via het CIOT in tegen de WBP. Er is namelijk geen expliciete vrijwaring tegen onrechtmatig gebruik van de persoonsgegevens, of het nu om een typefout gaat of om een ontbrekende noodzaak. De telecombedrijven kunnen geen toezicht uitoefenen op het gebruik, maar dragen wel de maatschappelijke aansprakelijkheid voor de juistheid en noodzaak tot verstrekking gegevens.

Wat mij betreft gaan we in Europa (en Nederland in het specifiek) echt heel erg de verkeerde kant op. Van uitspraken die b.v. Sybrand van Haersma Buma (Kamerlid, CDA) doet krijg ik echt flinke jeuk :\

http://www.nrc.nl/binnenl..._Ik_heb_niks_te_verbergen

„Het doel is niet om de gangen van anderen na te gang en ze te sturen. Het doel is mensen te helpen.” Al die critici moeten zich realiseren, zegt Van Haersma Buma, dat de overheid het niet voor zichzelf doet, maar voor de burger. Als je probleemgevallen en de veiligheid wil vergroten, heb je veel informatie nodig.

Brr.

Maar goed, da's een heel andere discussie. Ik sta nog steeds te kijken van die eis van een half jaar. Benieuwd waar het NRC dat vandaan getoverd heeft. Voor mijn sites bewaar ik wel wat logfiles maar dat is vooral voor wat troubleshooting e.d. Ik heb weinig zin om die tig GB aan data per maand allemaal te gaan bewaren, zou echt niet weten wat ik daar allemaal mee aan moet?

[Coach4All]

En waar laat je ze als je een keertje last gehad hebt van een DDOS....

[bartvb]

Dat wetsvoorstel heb ik doorgelezen maar daar wordt niet heel veel duidelijk over de scope van het voorstel. Er staat vooral:

2. Aanbieders van openbare telecommunicatienetwerken of openbare
telecommunicatiediensten bewaren de bij algemene maatregel van bestuur, op voordracht van Onze Minister van Justitie aan te wijzen gegevens, voorzover deze in het kader van de aangeboden netwerken of diensten worden gegenereerd of verwerkt, ten behoeve van het onderzoeken, opsporen en vervolgen van ernstige misdrijven.

Via een algemene maatregel van bestuur, bah.

Maar goed. Het gaat dus om "Aanbieders van openbare telecommunicatienetwerken of openbare telecommunicatiediensten" alleen is mij niet duidelijk wie dat dan zijn. Voor zover ik heb kunnen vinden wordt dit ook niet gedefinieerd in de telecommunicatiewet. Vond daar overigens wel dit:

http://www.wetboek-online.nl/wet/Tw/2.1.html

Degene die een openbaar elektronisch communicatienetwerk of een openbare elektronische communicatiedienst aanbiedt dan wel bijbehorende faciliteiten aanlegt of aanbiedt, met uitzondering van degene die een elektronische programmagids aanbiedt, doet daarvan mededeling aan het college; Het college stelt vast welke gegevens bij de mededeling aan het college worden overgelegd, alsmede de wijze waarop de mededeling wordt gedaan...

Voor zover ik weet hoeven hosters zich niet aan te melden iig? Websites al helemaal niet, internet providers weet ik niet zeker. Als je bij de OPTA kijkt (ik gok dat dat het college is dat bedoeld wordt) dan vind je o.a. dit:
http://www.opta.nl/asp/registraties/registreren-bij-opta/

Helaas wordt ook daar 'openbaar' niet verder gespecifieerd. Als je in de lijst met geregistreerde bedrijven kijkt dan lijkt het er op dat daar de partijen staan die iets met het telefoonnetwerk in Nederland doen, zowel direct als via een koppeling met VoIP.

[Verwijderd]

bartvb schreef op dinsdag 22 mei 2007 @ 22:20:

Helaas wordt ook daar 'openbaar' niet verder gespecifieerd. Als je in de lijst met geregistreerde bedrijven kijkt dan lijkt het er op dat daar de partijen staan die iets met het telefoonnetwerk in Nederland doen, zowel direct als via een koppeling met VoIP.

Ik vermoed dat dit 'openbaar' slaat op bv internet cafes en hotspots. Zo'n zelfde geval meegemaakt in Frankrijk, waar ik een tijdelijk internet cafe en hotspot moest aanleggen. Je moet iedereen die daar gebruik van wil maken kunnen identificeren. Tot een jaar naar dato kunnen de autoriteiten komen vragen wie was degene met ip adres xyz op dit tijdstip.
Op moment dat je een hotspot aanbiedt, wordt je een soort van ISP en moet je dit soort gegevens kunnen overleggen.
my 2cents

[alt-92]

Verwijderd schreef op donderdag 24 mei 2007 @ 10:23:
Ik vermoed dat dit 'openbaar' slaat op bv internet cafes en hotspots.

De definitie van Openbaar staat beschreven in de Telecomwet, en in de memorie van toelichting daarop.
Als je alleen al de MvT van de Dataretentiewet leest, zie je daar als staan dat zelfs een huurlijn geacht wordt "openbaar" te zijn.

[bartvb]

Wat een doolhof zeg Heb wat verder zitten zoeken maar ik kom er niet uit. Ook gebeld naar de OPTA en ook daar wisten ze niet eenduidig te melden dat ik niet onder de definitie val. Ik moest maar een registratieverzoek indienen en dan zouden ze wel gaan vergaderen of ik me wel/niet moet registreren bij de OPTA...

Ik kwam er wel achter dat ik in een oude versie van de Telecomwet heb zitten kijken. In de huidige versie kwam ik o.a. dit tegen:

f.

elektronische communicatiedienst: gewoonlijk tegen vergoeding aangeboden dienst die geheel of hoofdzakelijk bestaat in het overbrengen van signalen via elektronische communicatienetwerken, waaronder telecommunicatiediensten en transmissiediensten op netwerken die voor omroep worden gebruikt, doch niet de dienst waarbij met behulp van elektronische communicatienetwerken en -diensten overgebrachte inhoud wordt geleverd of redactioneel wordt gecontroleerd. Het omvat niet de diensten van de informatiemaatschappij zoals omschreven in artikel 1 van de notificatierichtlijn die niet geheel of hoofdzakelijk bestaan uit het overbrengen van signalen via elektronische communicatienetwerken;

Het is me weer helemaal duidelijk waarom ik nooit rechten ben gaan studeren Dat soort zinsconstructies verzin je toch niet?

In de notificatierichtlijn vind ik:

„dienst”: elke dienst van de informatiemaatschappij, dat wil zeggen elke dienst die gewoon lijk tegen vergoeding, langs elektronische weg, op afstand en op individueel verzoek van een afnemer van diensten verricht wordt. In deze definitie wordt verstaan onder:
— „op afstand”: een dienst die geleverd wordt zonder dat de partijen gelijktijdig aanwezig
zijn;
— „langs elektronische weg”: een dienst die verzonden en ontvangen wordt via elektro-
nische apparatuur voor de verwerking (met inbegrip van digitale compressie) en de
opslag van gegevens, en die geheel via draden, radio, optische middelen of andere
elektromagnetische middelen wordt verzonden, doorgeleid en ontvangen;
— „op individueel verzoek van een afnemer van diensten”: een dienst die op individueel
verzoek via de transmissie van gegevens wordt geleverd.
Een indicatieve lijst van niet onder deze definitie vallende diensten staat in bijlage V.
Deze richtlijn geldt niet voor:
— radio-omroepdiensten,
— televisieomroepdiensten bedoeld in artikel 1, onder a), van Richtlijn 89/552/EEG (*)

In die Bijlage V staat niet veel boeiends (zie document, pagina 8 ) alleen wat voorbeelden van 'niet op afstand' e.d. (b.v. het raadplegen van een elektronische catalogus in een winkel).

Ik heb dus nog steeds nergens kunnen vinden dan een website-eigenaar of hoster niet onder heel deze wetgeving, inclusief dataretentie, valt. Ook heb ik nog nergens kunnen vinden dat site-eigenaren verplicht zijn logfiles een half jaar te bewaren?

Ondertussen zit ik me nog meer dan anders te verbazen over hoe weinig protest er tegen de hele dataretentie is geweest. 90% van het commentaar gaat over 'ja maar het gaat veel kosten! Dan moet ik dadelijk 2 euro per maand meer betalen', over privacy hoor je bijna niemand en in Nederland lijkt het na het verdwijnen van Bits of Freedom ook geen organisatie meer te zijn die opkomt voor de digitale burgerrechten. Enige dat nog een beetje in de buurt komt is Stichting Vrijschrift maar die hebben het ook erg druk met andere dingen. Verontrustend allemaal, misschien moet ik maar eens een sabattical inlassen en BoF weer tot leven wekken oid

Anyway... Kan iemand mij beruststellen mbt die definitie? Valt een simpele webhoster of siteeigenaar daar nu wel of niet onder? Weet er verder iemand wanneer de dataretentie wetgeving van kracht wordt? Volgens het NRC in juli maar dat heb ik verder vrijwel nergens terug kunnen vinden.

[TheBrain]

alt-92 schreef op dinsdag 22 mei 2007 @ 21:55:
[...]
Dat zou dan ook gelden voor T.net in verband met de abo's met mail.

Dat zou de jurist van VNU toch moeten kunnen achterhalen denk ik ?

[Xcalibur]

Interessant, zeker omdat ik zelf ook host

Ik huur een dedicated server bij een provider, de logs op de server worden maar 3 maanden bewaard. Iemand enig idee of mijn provider ook nog een log heeft van het verkeer van/naar mijn server?

Morgen maar eens even gaan bellen hierover

[Xcalibur]

Naar aanleiding van dit topic heb ik een topic geopend op Webhostingtalk: http://www.webhostingtalk...-de-logfiles-bewaren.html

Daar is onder andere al de volgende informatie boven water gekomen:

Grofweg houdt de wet in dat aanbieders van publieke netwerken voor 18 maanden moeten onthouden wie toegang heeft gekregen tot welke locaties.

Voor wie geldt de dataretentiewet?

De aanbieders van publieke netwerken c.q. internetproviders, maar er wordt niet nader beschreven wie daar precies onder vallen. Wie sowieso onder deze wet vallen zijn hosters van websites (HTTP) en e-mail (SMTP).

Wat moet er bewaard worden?

Wie heeft op welke tijdstippen jouw systemen gebruikt? (IP adres)
Wat heeft diegene gedaan met jouw systeem? (e-mail verzenden, website bezoeken)
In geval van website bezoeken, wat was het adres?
In geval van e-mail verzenden, naar welk e-mailadres?

SMTP kan zowel uitgaand (SMTP relay) als inkomend (SMTP host) zijn.

Wat moet ik doen vanaf 1 juli?

Wat je waarschijnlijk op dit moment ook al doet. In de instellingen van je HTTP en SMTP servers moet je aangeven dat logbestanden worden gemaakt waarin minimaal bovenstaande gegevens worden opgeslagen. Zorg dat de logbestanden op een veilige locatie komen te staan en bewaar ze 18 maanden.

Ik weet niet wat er naast HTTP en SMTP verkeer nog meer bewaard moet worden. Het is allemaal niet zo ingrijpend voor de meeste webhosters, ook zullen de kosten wel meevallen aangezien logfiles vaak goed te comprimeren zijn.

Ik heb de betreffende user om een bron gevraagd, hoop dat ik die binnenkort ook kan posten hier

[bartvb]

Had al even gezocht op webhostingtalk maar kon daar niets (nuttigs) vinden over deze wet. Wat nu precies de status is van de wet is me niet helemaal duidelijk, volgensmij is het idd zo dat deze nog eerst door de 1e en 2e kamer moet en dus niet per 1 juli van kracht kan worden. Bizar dat er in dit stadium nog zoveel onduidelijkheid is over iets dat in principe een kwestie van duidelijk definieren is. Wie valt er nu wel/niet onder deze (absurde) wet? Volgensmij snapt het gros van de mensen in Den Haag niet eens hoe internet nu in elkaar zit en dat het internet niet alleen bestaat uit partijen als XS4All waar de consument een ADSL lijntje heeft

Ik ga maar weer eens wat 2e kamer leden mailen

[Xcalibur]

Daar ben ik (en met mij de meeste users op Webhostingtalk) ook bang voor inderdaad....

Hou ons op de hoogte van eventuele antwoorden die je krijgt!

[Xcalibur]

Op pagina 4 van bovengenoemd topic enkele (uitgebreide) kwaliteitsposts van de user h4f
http://www.webhostingtalk...e-logfiles-bewaren-4.html

[bartvb]

Interessant:
http://www.nu.nl/news/111..._niet_voor_Google%27.html

Geen hard juridisch uitsluitsel maar iig boeiend om te volgen of uit te zoeken.

[Sypher]

Volgens Mitletton geldt valt Google niet onder die maatregel. De bewaarplicht geldt alleen voor bedrijven die telecom- of internetverbindingen aanbieden, "en dus niet voor zoekmachines."

ja als we zo gaan denken dan horen email/hosting providers er ook niet bij, zolang ze geen internetverbindingen bieden

[bartvb]

http://www.out-law.com/page-8147

De richtlijn geldt niet expliciet voor zoekopdrachten, opgevraagde URLs moeten echter wel gelogd worden en in die URLs staat ook meteen waar een gebruiker op gezocht heeft... Ik ben iig alles behalve gerustgesteld door die Mitletton. Misschien die gast maar eens direct een mail sturen (als ik wat tijd heb om daar eens voor te gaan zitten ).

[yohan]

bartvb schreef op dinsdag 29 mei 2007 @ 09:57:
Had al even gezocht op webhostingtalk maar kon daar niets (nuttigs) vinden over deze wet. Wat nu precies de status is van de wet is me niet helemaal duidelijk, volgensmij is het idd zo dat deze nog eerst door de 1e en 2e kamer moet en dus niet per 1 juli van kracht kan worden.

Inmiddels is de Tweede Kamer akkoord met het wetsvoorstel (DOC). Dat betekent dat de providers alvast investeringen zullen moeten doen om e.e.a. van de grond te krijgen.

Ik heb een wat dubbel gevoel over deze wet. Als een goed burger heb ik niets te vrezen van deze wet. Maar wat heeft justitie aan deze enorme hoeveelheid gegevens? Is het niet zoeken naar een naald in een hooiberg? En: weet men wel om te gaan met digitale informatie? Deze week nog werd bekend dat justitie drie jaar bezig is geweest om achter de identiteit van Gregorius Nekschot te komen. Wat dat betreft vrees dan ook het ergste.

[lordgandalf]

wat ik heb gehoord en gelezen geld dit toch alleen maar voor de aanbieders.
ofwel de ISP,webhosters en telecom bedrijven ??
geloof dat het niet gold voor mensen die bepaalde diensten aanboden anders moet ik mun server ook eens anders inrichten ??

[AndriesLouw]

Wij (webhoster, en ook e-mail erbij) bewaren logfiles 10 dagen, en daarna zijn ze van de servers af. We zijn niet van plan dit te gaan veranderen.. (Oudere logfiles zijn wellicht wel nog in de dagelijkse backups terug te vinden, maar die bewaren we maar 1 jaar).

Hoe zal überhaupt controle uitgevoerd worden op deze wet? En wat nu als er een server uitgefaseerd wordt? Moeten de oude logfiles dan nog ergens heen worden gekopieerd? HTTP moet wel gelogd worden, en HTTPS dan? Je zult maar bij een grote bank zitten die ook internetbankieren aanbied, en vervolgens elk request moeten loggen, dat lijkt me alles behalve gewenst..

Edit: Ik had gewoon moeten Googlen voordat ik poste: Geen bewaarplicht voor webhosters

[ Voor 13% gewijzigd door AndriesLouw op 23-05-2008 21:41 ]

[bartvb]

Als een goed burger heb ik niets te vrezen van deze wet.

Dit is natuurlijk onzin Maar goed, dat is hier de discussie niet.

De implementatie van deze wet is (gelukkig) zo lek als een mandje, ik kan me niet bepaald aan de indruk onttrekken dat ze in Den Haag echt geen flauw idee hebben waar ze mee bezig zijn

Maar goed, het lijkt er in iedergeval heel sterk op dat alles dat geen telco of access ISP is niet aan de bewaarplicht hoeft te voldoen. Blijft overigens een absurde wet, ik hoop heel hard dat Ierland het proces dat ze tegen deze richtlijn heeft ingesteld wint.

[yohan]

bartvb schreef op dinsdag 27 mei 2008 @ 21:48:
[...]

Dit is natuurlijk onzin

Hoezo?

[Koffie]

Move PNS > IH

[Johnny]

Yohan schreef op dinsdag 27 mei 2008 @ 22:07:
[...]

Hoezo?

Omdat je dan aanneemt dat overheid perfect werkt en alles wat je nu legaal doet in de toekomst ook legaal blijft, dat eerste is aantoonbaar niet waar en het tweede onzeker.

[yohan]

Johnny schreef op dinsdag 27 mei 2008 @ 22:26:
[...]

Omdat je dan aanneemt dat overheid perfect werkt en alles wat je nu legaal doet in de toekomst ook legaal blijft, dat eerste is aantoonbaar niet waar en het tweede onzeker.

Met het eerste argument ben ik het eens. Het tweede niet, iets achteraf illegaal maken strijdt met het beginsel van de rechtszekerheid (art. 1 Wetboek van Strafrecht).

[alt-92]

Yohan schreef op dinsdag 27 mei 2008 @ 22:39:
Het tweede niet, iets achteraf illegaal maken strijdt met het beginsel van de rechtszekerheid (art. 1 Wetboek van Strafrecht).

Jij rijdt zeker nooit bij Zwolle over de A28?
Rechtszekerheid is hier in Nederland de laatste tijd een relatief iets.
Maar dat is een andere discussie

Wat er bedoeld wordt is dat je mogelijk nu een service aanbiedt die over een jaar wél als illegaal wordt bestempeld, dan zul je toch je business model moeten aanpassen daarop.

Bijvoorbeeld omdat er een Europese richtlijn wordt aangenomen die P2P illegaal maakt zoals bepaalde bedrijven in de VS graag zouden willen zien

[bartvb]

Naast die twee dingen is het ook zo dat ook jij als 'normale burger' dingen doet die een maatschappelijk taboe zijn. Misschien doe je meer met je vriendin dan missionarisstandje, peuter je wel eens in je neus en kijk je altijd even wat je geproduceerd hebt op de WC. Daarnaast flirt je met je assistente, rijd je wel eens roekeloos en heb je altijd al willen kantklossen.

Allemaal geen schokkende dingen maar ook geen dingen waarvan je (over het algemeen) wil dat de hele wereld op de hoogte is van wat je doet.

Daarnaast veranderen 'normen en waarden' soms nogal snel en in extreme maten. Rond 1980 ofzo stond er schijnbaar kinderporno in de normale, mainstream sexboekjes. Nu zit je met flinke veroordelingen en uitkotsing door de maatschappij als er een KP plaatje voorbij is gekomen op je beeldscherm.

Ook hier maar weer de disclaimer dat ik zeker geen voorstander ben van kinderporno maar wil alleen maar even aangeven dat wat 'maatschappelijk acceptabel' is erg snel en in extreme mate kan veranderen.

Nog een aardig voorbeeld daarvan:
http://news.slashdot.org/article.pl?sid=08/05/26/232221

Het argument dat we niet weten wat voor een regering we over 30 jaar hebben is ook nog niet voorbij gekomen trouwens. De huidige regering is niet super maar nog wel redelijk te vertrouwen. Als we echter over een tijdje wat extremere partijen aan de macht hebben, een soort herbeleving van het Nazi tijdperk krijgen of als hier de Sharia's ingevoerd worden dan wordt ik niet blij van een regering die in het kader van 'bestrijding van criminaliteit' zoveel middelen tot haar beschikking heeft dat verzet zo goed als onmogelijk wordt.