2022 -  How I made the municipality pay a 600.000 euro fine for invading your privacy
Dat kun je vragen voor jezelf. En een van de vraag is, hoe is je mobiel, trakt door wifi? Waarom wil de ministerie van Amsterdam weten hoe en waar je bent en dingen zoals dat? Is het anonymous data, is dat een reale ding of is dat alleen in het verhaal? En wat je kunt doen om meer betere privacy voor jezelf te krijgen. Dus in de eind, ik geef je zelf instructies als je me inspirert. Een beetje over mezelf. Dus ik begon als een wiskit, zoals veel van ons, met de Commodore 64. En in die tijd, je krijgt reale boeken met hoe je het gebruikt. Dus niet alleen een warranty-claim, maar je kunt echt leren hoe de Commodore 64 programma is. Dus ik heb het gebouwd met basic en dat was voor mijn introductie met computers. En ik zag ook de rise van de internet. Ja, ik ben zo oud. En het was gekkeerd dat privacy ergens een issue zal zijn. En ik was een groot fan van PHP en dat is voor de encryption, maar dat is een ander verhaal. Dus ik was altijd zo interesserend in technologie en handwerks. En ja, je kan weten wat het is en wat de challenge zouden zijn. In 2011 startte ik m'n eigen hackerspace in Ansgedeegd, called Tucklub. En Tucklub zelf, ik geef ook workshops en lectures. Ook om 3D print en lasercrater, maar ook geef ik een soort van discussie groep om sleeppad te maken. Het is al een paar jaar geleden, maar ook om de corona melder te maken. Dat was de techniek die ze gebruikt was goed. En wat mensen zeggen, ja, het is aan de mobiel, dus het kan goed zijn. Dus ik probeer te spelen waar het goed is en wat ze doen om privacy te protecten en zoiets. Dat is een beetje van mijn achtergrond. Voor deze poortje hebben we drie partijen gevolgd. Je hebt de autotijdpersoonsgegevens, zoals we zeggen, in Goed Dutch. Dat is de DPA voor Nederland. Dus als je ervan hebt om privacy te bevinden, dan kan je ze vragen om het te bekijken en dan moeten ze een beetje researchen. En dan komen we naar de conclusie. Een andere deel is de RMC. En de RMC is een soort van consultievermooi voor retelling. Maar ze doen niet alleen consultie, maar ze houden ook van statitieken.  En de stad weet hoeveel visen ze hebben, maar misschien hoe de stad hetzelfde probleemt en dat soort advies. En natuurlijk de municipie dat bevindt. Dus om wat er gebeurd is, moet ik eerst een beetje over Hesh uitleggen. Hij is allemaal technische mensen, dus het is meer voor de mensen in huis, natuurlijk. En Hesh is een eenwayfunctie. Dus als je in het origineel ment voor vals en je een Hesh krijgt van een vals, dat is een soort van fingerprint. En als je alleen een beetje in het origineel vals verandert en je dezelfde Hesh doet, dan krijg je een totaal verschillende fingerprint. Dus dat mag je bekijken of de fingerprint met de vals is. En als de fingerprint de Hesh met, kan je betekenen dat dat physical dezelfde vals is. Dus dat is een soort technologie dat is meindelijk. Je kunt zien hoe een soort van Hesh eruit ziet. Dus dat is een schad 265 Hesh en je hebt allemaal verschillende Hesh's. Dus het is eenway, dus als je de fingerprint hebt of de Hesh hebt, dan kan je niet recalculeren terug naar het origineel vals. Dus je kan alleen een soort van calculatie doen. Ja, en als je de calculatie doet en weer en weer en weer, dan krijgt het altijd dezelfde Hesh. En ze gebruiken de Hesh voor de stad-traffic-method. En dat is de manier waarin de company uitgaat hoe ze het gebruiken. En als je in de stad gaat en zelfs als je niet in het netwerk loopt, de mobielijkschouderaar gaat zeggen, hey, home netwerk, ben je daar? En als je een sensor hebt en je een beetje op de sensor speelt, dan kan de sensor dat horen. En dat is de basis van deze hele technologie. En dat is de manier waar je de MAC-adres van de vijfheidschap in je mobiel kan zien. Dus de MAC-adres is een soort van 0 nummer 3 mobiel. En de stad-traffic-method betekent dat ze een Hesh maken van de MAC-adres. En ze gebruiken alleen de eerste 12 karakteren. Ze doen dat op de sensor en dan senden ze de Hesh, samen met de sensor ID-datum en de tijd tot een temperatuur database. En dat is dan de pseudo-nominuscode. Dus ze zeggen, ja, het is niet totaal daar. En in de volgende stap, ze hebben het database voor de statutie.  En ze hebben de laatste 3 karakteren removed en ze hebben het gehoord dat het anonymous is. Dus ze zeggen, ja, we hebben nu een short Hesh voor de MAC-adres. En dat is privacy-proof. En ze doen het niet uit waarom, het is privacy-proof. Dus, ja, ik heb een paar vragen daar. Ze gebruiken altijd dezelfde Hesh. Dus als je een Hesh wilt doen, het zelfde Hesh niet zeggen of het veilig is of niet. Maar ja, wat shit-traffic zouden doen, is gebruiken een solde of een zee per dag. En met de inputverstand, dus je krijgt elke keer een andere Hesh totaal. Dus, maar ze hebben dat niet gekozen. Dus, sinds ze begonnen met de wifi-trak in, moeten ze altijd dezelfde methoden gebruiken. En niet alleen voor Enschede, maar ook in alle andere cites die ze active zijn. En dat betekent dat als je in Enschede gaat, ze kunnen zien wat MAC je hebt, dan wordt het geïnteresseerd naar het Hesh. Maar ze kunnen zien dezelfde Hesh als je in Hengeloo gaat. Of een van de andere cites die de city-trak is active in. En ze starten de data voor 6-month-henthealtal. Ja, en ik denk dat het een groot punt zal zijn in het einde. Als er een relatie tussen de MAC en de persoon zelf is. En de administratie in RMC zegt dat er geen reale, een-to-one relatie tussen de persoon is. Ja, ik geloof niet aan dat. Want als je de originele Hesh weet en je weet hoe de originele MAC adres is, en je weet hoe de Hesh te calculeren kan doen, dan kan je de calculatie weer doen. Dus ja, het is nog steeds een manier. Maar dat mag je bekijken of het MAC adres is, maar niet deze Hesh. Dus dat is een soort van zwart- en zwart discussie over dat. En een ander belangrijk punt is, ja, de MAC adres zelf betekent niets. Maar het is een beetje uniek. En ze jumpen rond nummers en dingen zoals dat. En ze zeggen, we hebben nu iets dat nominiseerd is, maar het is nog steeds een uniek persoon. Dus ja, ik denk dat dat niet een goede manier is om dat te doen. En we kunnen dat zien, want de AP heeft wat regeringen over de database.  En ik weet niet of je het kunt zien, maar er zijn heel klein kleursstrijpen op de slide. En dit is een paar weken, je ziet niet meer mijn muis. Dus dit is een paar weken en elke nacht, tussen 4 en 5 a.m. Er is een persoon die op een bepaalde ronde is gegaan bij een sensor. En je kunt zien dat het een soort stedig is. En die zijn er alleen van tuesday tot zaterdag. Dus dat is een soort van de nacht-liege walker, als je het noemt, Peter. Dus ja, de fact dat je iets zoals dat kunt doen, dat betekent dat het niet nominiseerd is. En nog steeds ze zeggen, ja, maar we kunnen dat niet 0.1 persoon kunnen doen. Ja, ik geloof niet op dat. Want in dit geval, als je weet waar de sensor is en je gaat daar voor een nacht op het juiste moment, is er nog maar één persoon die ernaar gaat. En dat is niet zo hard. O ja, dit is een zoom-in. En een ander persoon die ze in het database vonden is waarschijnlijk in een resident. Dus RMC zegt, ja, we filteren oude persoons die een resident zijn. En ze doen dat als een persoon daar tussen 5 en 7 is. En in de evening tussen 10 en 11. En als de persoon daar op beide keer is, dan betekent dat de persoon een resident is en dat het niet in het database is. Dus wat je hier ziet is, al de dagen is er geen markt. Dat is waarschijnlijk de dagen dat was succesvol. In andere dagen, misschien was de telefoon erop of misschien was hij late at home. Dus hij was niet daar tussen 10 en 11. Dus dat is hier in het database. Dus dat is ook niet goed. Ik heb dat niet gedaan. En de autoriteit, de DPD, did dat. Ik heb geen data gehad. Dus neem niet voor. En ik heb hier al de dagen gehad. En het lijkt op het werk en alleen voor 50 procent voor de cases. En het zou 100 procent of zo zijn. Dus we kunnen... Wat is de conclusie over de city-traffic-methode? Ja, de removal in 3 positions, of in de 12 position hash, is niet suficiënt om een anonymiteit te hebben. Want we hebben net een paar persoon gezien en kunnen de persoon inderdaan.  Al? Oké. Dus... Ja, je klinkt er al met hash's en zo. Dat werkt niet. Ja, je hoeft te horen op een beetje. Dus om iets anonymes te maken, is heel hard om dat te doen. En ook... Er zijn veel data's. En ze zeggen, ja, het is volledig anonymes. En researchers doen de hermerking. En hey, we zien persoon. Dus dat is niet goed. Oké. Ja. En het is niet over de koninklaar, maar het is ook voor lossen in de toekomst. En je kunt zien voor de... de nieuwe lossen in de USA over de abortion. Er is veel discussie over locatie, en appen die storen data, en dingen zoals dat. Dus je moet kritisch zijn, niet alleen voor wat er gebeurt in de oude, maar ook wat er in de toekomst kan gebeuren in de toekomst. Dus... Dus de... Spillage get in the final of 600.000. Het al begon in 6 september 2017. En ze ontwikkelen dat. Ze waren prouder. We gaan dat doen, en dingen zoals dat. Oké. En eerst had ik een paar vragen over, ja, maar goed dat je het doet. Maar hoe is de veiligheid? Zijn er dingen zoals dat? En dat... Ik voelde het gevoel dat de Spillage itself niet werkt. En dan voelde ik het gevoel met de AP. Het was een beetje tijd, maar in de eind was het gevoel. En het was een grote nieuw. Ik kan het een beetje verkeerd. Dus in de officieel gevoel had ik een paar officieel redenen waarom ze dat niet moeten doen. Dus de eerste reden is dat de administratie er een paar tasks heeft. En ja, trekking om mensen is niet de task van de administratie. Dus dat is de reden 1. Rezen 2 moet beperkbaar zijn. Dus je moet beperken wat je doet en wat je gaat sturen over data. En ja, wat is de impact voor de persoon zelf? En dat was niet een goede manier om dat te doen. De 3e reden, en ik vind dat de belangrijkste. Als je in de stad loopt, moet je onobserveerd zijn. Dus je moet ervaren zonder mensen te trekken. En het is een law in de Dutch law, in de UA law en human rights. En ja, omdat het law is, we moeten niet hebben een discussie over dat. Dus ik vind het soms straks, we hebben een discussie over privacy.  Maar dat is een hele andere story. En de laatste is, ze moeten dat consenten. Zoals als je op een website gaat, je hebt de koekjes en dingen zoals dat. Ja, dat is niet een de VV protocol, maar dat is geen reden om dat te doen. En de RMC zei, ja, we hebben een auto registreer, zodat je je macadres daar kan registreren. Ja, het is een beetje straks, je moet je macadres voor dat. En in de talks, ze zeiden dat er niet veel gebruikers hebben gebruikt. Dus voor een stad like Enschde, je moet over 10, 20, 30, iets zoals dat denken. Dus je kunt natuurlijk de turn of the mobile, en dan doen alle andere dingen. Maar dat is een soort van upside down world. Dus je moet kunnen waken rond waar je wilt. En je moet niet doen alle soorten straks in te protecten je privacy. Dus als dit public was, Enschde zei, ja, maar we hebben nooit een soort van warning gehad. En dat is niet volledig. Want de AP heeft al een paar letteren geschreven voor deze vraag. En dat was een soort van de summary van de letteren. Ja, je kunt het met wifi trekken, maar alleen in heel specifieke cases. Zoals in grote eventen en crowd control en dat soort situaties. 24-7 in de inner city is niet specifieke, ik denk. Ja, en wat ik al zei, ja, huzzelen er al een beetje data met macadres en hashers en dingen zoals dat. Dat is niet genoeg om de privacy goed te doen. En R&C is de stakeholder. Die heeft een commerciële interesse in dit. Ik denk dat de municipale van Enschde niet veel te veel aan de company is. En als ze de externe specialis op de juiste moment hadden. Misschien kunnen ze dit vinden. Dus ik ga deze skipen. Dus ik heb soms wat gemarkeerd van, oh, je is speciaal. Je doet dit en dingen zoals dat. Maar eigenlijk, ik heb niets speciaal gedaan. Dus dit is iets dat iedereen kan doen. Het gaat een beetje over tijd, want je hebt langs tijd te wachten voor R&C's en dingen zoals dat. Maar ja, in de eind, ik heb al twee of drie weken gehaald. Ik heb eigenlijk tijd om letters te schrijven en e-mails te schrijven en dingen zoals dat. Ik heb over vier jaar gesproken.  Dus dat is niet zo slecht. Dus ik heb twee letteren gehaald. En ik heb een track gehaald van, hey, ik moet een answer hebben. Ik heb geen answer. Wat zijn de statusen? En het belangrijkste is, je moet vriendelijk blijven. En je moet persisten en neem het niet op. En als je dat doet, ik denk dat iedereen dat kan doen. En als je niet kunt e-mailen of twitteren of wat meer, dan kan ik je ook helpen. En dit is gewoon een paar nummers voor de fun. Dus dit was het soort van mijn speciaal. Dus we hebben soms tijd voor... Questions. Dank je wel. Dat was een goede applaus. Dank je wel. Dus zijn er ook vragen? Dus als je het hebt, kom over hier op de microfoon. Want dan kunnen ook de mensen in de huis het. En ze vinden het makkelijker. Ja, dat is het beste. Een probleem over de DPA is dat ze goed onderstaan zijn. Hoe maakte je het geval dat dit voor ze was te bezoeken? Wat ik heb gezegd, is dat ik het letter gebroken heb. En ik heb al de punten uitgevoerd. En dan gaat de DPA hetzelfde investigeren. En dan zie je of het echt goed is om dat te doen. En de DPA in Nederland is onderstaan. Dus ze moeten bekeken over wat ze doen en wat ze niet doen. Maar je letter was goed genoeg. Sorry. De letter was goed genoeg. Ja. Maar hadden ze het gezegd? Dit is over de deel van mensen die het attracten? Of over een locatie die meer sensitief is? Hoe maakte ze het zo hoog? Dus er is een repart met 558 pages. En de Nightingale Walk is ook daar. Dus als je dat kan rekenen, kun je dat rekenen. Ik weet niet of je de PDF in Google Translate kan veranderen. Ik kan het rekenen. Dus rekenen, repart. Cool. Dank je voor het doen. Ik ben hier. No problem. Cool. De vraag van de achtergrond. Oké. Dus ik was wonderen of het gezegd was dat de Macadres kan zijn. Eigenlijk helemaal veranderd. Want je hebt alleen een paar... Een Macadres heeft 6 bytes. En de eerste 3 bytes zijn gekregen. Er zijn alleen een paar duizend OUY's. Dat is een list van duizend of zo. Combinations die zijn fixen. En de laatste is 24 bits.  En consideren we dat we... Zoals deze Krapto bitcoin machines... Dat zijn geweldig snel in eigenlijk genereren. Ik denk dat het in de reale tijd kan veranderen. Maar ik denk ook dat je niet echt een grote... Ramboltabel nodig hebt te doen. Dat is geweldig snel. En niet te veel bedrijven nodig. Heb je het gezegd? Want ik denk dat het hele scherm helemaal veranderd kan zijn. Ik had het gezegd. Maar ik heb het niet gezegd wat je eigenlijk nodig hebt. Qua database en calculatie. Dat soort dingen. Maar ik ben wel bekend met Ramboltabel. Wil je mij dat doen voor je? Ja, maar... Maar nu... Ik ben niet in de discussie meer geïnteresseerd. Misschien de municipality. Ik kan het later praten. Dank je. Oké. Eet deze? Ja. Dat werkt. Ik heb deze feature op mijn telefoon gevonden. Het zegt in de wifi-settings. Randomise je macadres. Doe je het weten en denk dat het helpt? Ja, maar in dit geval... We started in 2017. Dat was niet zo vaak nu. En ze filteren uit... Random addresses. Maar ik weet niet hoeveel mensen... Normaal doen dat. Ja, dat is heel nieuw, inderdaad. Dank je. Oké. Hoe is het nu gedaan voor alle andere municipalities? Waar was dit ook gedaan? Ze wachten voor wat ze kunnen gebeuren in Enschede. En ze houden er echt op. Als er iets gebeurt in Enschede in een wifi-area. Ja, het is niet alleen voor Enschede, maar voor alle municipalities. En misschien ook voor Europa. Maar ik ben niet zeker van dat. En ze weten dat ze het in de andere maanden stoppen? Nee, ze stoppen het. Dus ze doen het niet meer. Ik heb een vraag over de fine. Waar was de geld in de 600.000 gegaan? Did the government just find the government? Dat money will just end up with the government again. So what point does it make? Ja, but it's more about principles itself. All right. The government gives us fine to the government. That's right. I think the news and the amount of money might harm the careers of the people in the government. Or harm, make them war, think twice again on this. I was curious about that as well. How was the reaction of the municipality? Did they agree in the end? No. Totally not. Now, almost the first response. 