Privacycommissie onderzoekt beveiliging SWIFT

De Belgische privacycommissie gaat samen met haar Nederlandse evenknie de beveiliging van het betalingsnetwerk SWIFT onderzoeken

De Belgische privacycommissie gaat samen met haar Nederlandse evenknie de beveiliging van het betalingsnetwerk SWIFT onderzoeken.

SWIFT, dat zijn hoofdzetel in het Belgische Terhulpen heeft, verwerkt internationaal betalingsverkeer. In september schreven verschillende media dat de NSA ook dit bedrijf in de gaten hield. Het bedrijf zei destijdsgeen bewijs te hebben dat er ongeoofloofde toegang is geweest.

Na de onthullingen over de spionagepraktijken van onder meer de NSA, maken beide privacyinstellingen zich zorgen over onrechtmatige toegang tot het financiële gegevensverkeer bij SWIFT.

Concreet gaat zowel het Nederlandse College bescherming persoonsgegevens (CBP) en de Belgische Commissie voor bescherming van de persoonlijke levenssfeer (CBPL) samen onderzoeken of derden ongeoofloofde of onrechtmatige toegang hebben tot de bankgegevens van Europese burgers.

De VS kan sinds 2010 bankgegevens tussen de VS en de EU opvragen via een speciale procedure in het kader van terrorismebestrijding. Ook in de jaren daarvoor werden er al vragen gesteld bij de mogelijkheid van de VS om betalingsverkeer van Europa in te kijken, telkens in het kader van terrorismebestrijding.

Zo liep het betalingsverkeer destijds via een Amerikaans datacenter waar de VS in principe toegang tot had onder de patriot act. Dat is intussen wel deels verholpen. Zo is er een Europese toezichthouder aangesteld en zorgt een nieuw datacenter er sinds 2009 voor dat transacties binnen Europa niet meer via de VS lopen.

Update 18 uur:
De CBP en CBPL gaan samen met eigen mensen het onderzoek uitvoeren. “Het is niet uitgesloten dat we beroep doen op externe competenties, maar dat is nu niet aan de orde” zegt Willem Debeuckelaere van de Belgische privacycommissie. Het onderzoek begon vorige week al en de eerste voorlopige resultaten worden begin december al verwacht. SWIFT zelf heeft ook zijn medewerking toegezegd aan de organisaties.

De Beuckelaere benadrukt dat er op dit moment geen bewijzen zijn dat er iets is gebeurd, evenmin dat het om de NSA gaat. “Als we hacking of malware vaststellen dan mogen we er niet automatisch van uitgaan dat het van de NSA afkomstig is.” Wel geven de onthullingen van Edward Snowden aan dat SWIFT een interessante bron van informatie is.

Mocht dat toch het geval zijn, dan zal dat vooral impact hebben in 2015. Dan wordt het zogenaamde TFTP 2 akkoord (Terrorist Finance Tracking Program) onderhandeld tussen Europa en de VS. Dat akkoord, waarvan de eerste versie in 2010 werd opgesteld, laat toe dat de VS onder strikte voorwaarden betalingsgegevens bij SWIFT mag inkjiken. Als er effectief bewijzen worden gevonden dat de VS dat akkoord overtreedt, dan kunnen er volgens Debeuckelaere zeer harde eisen gesteld worden bij de heronderhandeling. In het Europees Parlement gingen in oktober al stemmen op om het huidige akkoord, opgesteld in 2010, op te schorten zo lang er geen duidelijkheid is.

Swift zelf heeft volgens Debeuckelare ook zelf onderzoek uitgevoerd. “Zij doen dat uiteraard ook, zowel regulier als naar aanleiding van de berichten in de pers. Net zoals zij onderzoeken op basis van de inlichtingen die ze krijgen van de FCCU over de malwaresignatures die bij Belgacom zijn gevonden.” Maar een externe controle is daarom geen overbodige maatregel gezien de gevoeligheid van gegevens waar SWIFT mee omgaat.