Purcell is hoeder van privacy bij Microsoft

Wat is uw definitie van privacy? “Privacy heeft een aantal facetten. Maar in essentie draait het erom dat een individu in staat is de verzameling, het gebruik en de verspreiding van informatie over hemzelf te beheersen. Beveiliging is de praktijk van het beschermen van die informatie. Natuurlijk zijn er tussen culturen en ook daarbinnen grote verschillen in de definitie. Het punt is dat Microsoft niet voor jou bepaalt wat je privacy zou moeten zijn, maar je de middelen aanreikt om zelf te bepalen welk privacyniveau je wilt hebben.” Staan privacy en beveiliging niet altijd op gespannen voet met elkaar? “We hebben gemerkt dat er vele gradaties van evenwicht bestaan tussen privacy en ‘security’. In sommige culturen heeft beveiliging de overhand, in andere culturen de persoonlijke levenssfeer. Maar één ding is zeker: ze moeten samenwerken. Hoe meer je de nadruk legt op beveiliging, hoe minder nadruk privacy krijgt, en vice versa.” “We hebben op 11 september vorig jaar in de Verenigde Staten ontdekt dat hoe meer privacy je aan mensen geeft, des te meer gelegenheid slechte mensen krijgen om slechte dingen te doen. Dus moeten we de beveiliging vergroten. Maar terwijl je dat doet, moet je de verleiding weerstaan om de privacy aan te tasten. Het is heel goed mogelijk om veiligheid te hebben zonder enige privacy. Maar privacy zonder beveiliging bestaat niet.” Waarom vond Microsoft het begin 2000 nodig om voor het eerst een ‘corporate privacy director’ aan te stellen? “Technologie is een interessante bedrijfstak omdat er in het algemeen geen oog-in-oog contacten aan te pas komen. De technologie zelf helpt de relaties te onderhouden. In die situatie is het nodig om te komen tot een betere definitie van de standaarden voor het beheer van persoonlijke informatie. Iedereen binnen Microsoft moet de middelen hebben om vast te stellen wat die standaarden zijn. Ik verheug me nu al op de dag dat mijn functie niet langer nodig is en Microsoft die standaarden als vanzelfsprekend toepast in zijn bedrijfsvoering.” Privacybescherming is kennelijk iets dat niet zomaar vanzelf gebeurt? “In het hele bedrijfsleven, van banken tot de detailhandel en de IT-sector, komen we erachter dat de macht van informatie meer gevolgen heeft voor relaties dan we ooit voor mogelijk hielden. Vandaar dat het volgens ons nu buitengewoon belangrijk is een consistente en betrouwbare basis te hebben voor gegevensbeheer en bescherming van de privacy. Het is mijn taak te bepalen welk niveau van consistentie en betrouwbaarheid nodig is voor de diensten die Microsoft aanbiedt.” Er bestaat veel wantrouwen tegen Microsoft. Bent u wel de aangewezen partij om zich met onze privacy te bemoeien? “We begrijpen heel goed dat iemand die informatie geeft aan welke organisatie dan ook een vertrouwensrelatie met die organisatie moet hebben. Dat geldt net zo goed voor banken, verzekeraars en overheden. Vertrouwen is iets dat je in de loop der tijd verdient. Microsoft wil privacy tot kernpunt van zijn zakelijke relaties maken. Maar het is duidelijk dat bedrijven zich decennia lang informatie van individuen hebben toegeëigend en hebben gebruikt op manieren waar die mensen geen controle over hadden. Wij denken dat mensen uiteindelijk meer vertrouwen in Microsoft krijgen door ze zeggenschap te geven over hun informatie.” De Europese Commissie heeft onlangs in reactie op vragen van de Nederlandse SP-parlementariër Erik Meijer een onderzoek ingesteld naar Passport, de identificatietechniek voor online-transacties van Microsoft. Wat is uw reactie daarop? “Er is geen sprake van een officieel onderzoek. Inderdaad heeft een lid van het Europees Parlement vragen gesteld over Passport. Wij willen met alle plezier reageren op die vragen. De laatste paar jaar heb ik regelmatig gesproken met leden van de Europese Commissie, net als andere vertegenwoordigers van Microsoft. In het algemeen is het moeilijk om te begrijpen waar men zich precies bezorgd over maakt. We willen daar in elk geval meer duidelijkheid over krijgen. Passport is een authenticatiesysteem waarmee iemand heer en meester kan zijn over zijn persoonsgegevens. Wij verstrekken sleutels zodat die informatie wordt beschermd tegen toegang door derden. Passport zelf bevat helemaal geen informatie.” Kun je zo’n authenticatiesysteem niet beter aan een onafhankelijk instituut overlaten? “Passport is in zekere zin een onafhankelijke dienst die ingangen bewaakt. Of het nu gaat om een dienst van Microsoft of van iemand anders, Passport werkt op precies dezelfde manier. Passport heeft geen weet van wat zich binnen een webservice afspeelt, het regelt alleen de toegang. Bovendien hebben wij derde partijen uitgenodigd in een ‘federatief model’ aan Passport mee te doen. De Nederlandse posterijen zouden bijvoorbeeld een Passport-systeem kunnen exploiteren dat volledig losstaat van Microsoft, met gebruikmaking van dezelfde technologie.” Wat is volgens u de rol van technologie: bedreigt of bevordert die de privacy? “Wij denken dat technologie een krachtig middel is voor zowel de privacybescherming als de beveiliging. Een voorbeeld daarvan is het Platform for Privacy Preferences, kortweg P3P. Dat is een technologische specificatie die individuen in staat stelt meer greep te krijgen op en meer kennis te verkrijgen over het soort gegevens dat van hem wordt gevraagd, en of ze al dan niet bereid zijn die informatie te delen met anderen.” “De P3P-specificaties laten een webbrowser automatisch vaststellen welke privacyregels een bepaalde website hanteert. Een heel interessante methode, waar we bij Microsoft veel belang aan hechten. Stel dat ik als Microsoft via internet een dienst aanbiedt. U komt langs op mijn website en kunt dan desgewenst de privacyverklaring in uw eigen taal lezen. Maar u kunt er ook voor kiezen om uw computer diezelfde verklaring, maar dan opgesteld in een soort machinetaal, te laten ‘lezen’. Van tevoren kunt u tegen bepaalde zaken ‘ja’ en tegen andere zaken ‘nee’ zeggen. De computer vergelijkt uw voorkeuren dan bij een bezoek aan de site met de privacyverklaring en neemt op basis daarvan namens u beslissingen. Wij vinden dat een een prima gebruik van technologie om mensen te helpen greep te krijgen op hun eigen informatie.” Microsoft-topman Steve Ballmer heeft deze maand een e-mail aan het voltallige Microsoft-personeel gestuurd waarin hij hamert op zaken als eerlijkheid, integriteit en waarden. Waarom? “Er bestaat binnen Microsoft grote druk om ervoor te zorgen dat we het vertrouwen van onze klanten krijgen en verdienen. Daar is veel haast bij, want steeds meer diensten zullen gebaseerd zijn op je persoonlijke informatie. Die informatie is van grote waarde voor jezelf. Wij erkennen dat. Persoonsgegevens moeten op de juiste manier en met veel respect worden behandeld. Het wekken van vertrouwen in technologie is voor Microsoft belangrijk. In de Verenigde Staten proberen banken bijvoorbeeld al geruime tijd hun klanten te interesseren voor online-bankieren, zonder veel succes. De reden is dat veel mensen een ingebakken weerzin hebben om technologie op die manier te gebruiken. Het vreemde is dat mensen liever informatie lijken te willen geven aan een onbekende bankmedewerker dan die gegevens zelf direct in een systeem te toetsen. Dat laatste vinden ze privacygevoelig, maar in feite houden ze hun gegevens dat beter privé dan wanneer ze de informatie mondeling aan een bankmedewerker geven.” “We aarzelen geen moment als we in een restaurant onze creditcard op tafel leggen en door een volstrekte onbekende laten oprapen die er toegang toe krijgt. Hoe komt dat toch? Tegelijk zeggen mensen dat ze met tegenzin informatie in hun computer intikken om te versturen naar een webdienst. We hebben dus nog een lange weg te gaan, voordat mensen het vertrouwen hebben dat technologieën veilig en afgeschermd zijn.” Alles goed en wel, maar u bent al enkele jaren in functie en toch stuurt Steve Ballmer nog zulke e-mails rond. Gaan de ontwikkelingen hem niet snel genoeg? “Microsoft is een relatief ongeduldig bedrijf. We hebben 50.000 werknemers en een groot aantal externe relaties. We willen dat iedereen ervan doordrongen is dat privacy voor ons hoge prioriteit heeft. Iedereen, of dat nu een medewerker hier op het Nederlandse kantoor is, een zakelijke partner of een grote klant. Geen enkele onderneming kan lang overleven zonder soepele en vertrouwde relaties met zijn personeel en zijn klanten. Privacy is heel belangrijk voor de overlevingskansen van Microsoft en voor de toekomst van de technologiesector.” “Werden banken vertrouwd in de eerste vijfentwintig jaar van hun bestaan? Waarschijnlijk niet. Het heeft ze lange tijd gekost om zich te ontwikkelen en volwassen te worden. De IT-sector is nog vrij jong, maar begint het openbaar debat te begrijpen en de zaken ter harte te nemen die relevant zijn voor de verspreiding van technologie en op informatie gebaseerde diensten.”