Een grijze sedan rijdt met 110 km/u onder een snelwegportaal door. De camera op de mast leest het kenteken, zet er een tijdstempel op, slaat het op. Niets nieuws: dit systeem bestaat al twintig jaar en staat in tienduizenden exemplaren opgesteld, in Noord-Amerika net zo goed als in Europa.
Maar als dat portaal is uitgerust met de module die de Italiaanse groep Leonardo sinds juni 2026 verkoopt, heeft het zojuist nog iets anders vastgelegd. De iPhone van de bestuurder. De draadloze oordopjes van de passagier. De smartwatch op het dashboard. De autoradio. De verbonden sleutelhanger in het dashboardkastje. De bandenspanningssensoren van alle vier de banden. De toegangspas die in een jas is blijven zitten. En als er achterin een hond ligt te slapen, ook diens identificatiechip.
Een tiental identificatoren, een kenteken, een positie, een tijdstip. Herhaal dat bij elk portaal in het netwerk en je volgt geen auto meer: je volgt mensen, en je weet met wie ze zich verplaatsen.
Wat het apparaat werkelijk doet
Het product heet SignalTrace. Het wordt verkocht door Leonardo US Cyber and Security Solutions en vult de reeks ELSAG aan, een van de meest verspreide lijnen automatische kentekenlezers op de Amerikaanse markt. Het bestaan ervan werd op 8 juni 2026 onthuld door Joseph Cox in 404 Media , op basis van een productblad van de fabrikant.
Het beslissende punt past in één zin: het gaat niet om nieuwe camera’s. SignalTrace is een radiosensor die wordt toegevoegd aan reeds geïnstalleerde kentekenlezers. De mast verandert niet, de locatie verandert niet, het silhouet van de apparatuur langs de weg verandert niet. Wat verandert, is waar de apparatuur naar luistert.
De sensor registreert de identificatoren die onversleuteld worden uitgezonden door de Bluetooth-, wifi- en RFID-protocollen van de apparaten in het voertuig. Een technisch punt dat vaak verkeerd wordt begrepen: er wordt geen enkel apparaat gehackt en er wordt geen enkel lek misbruikt. Een Bluetooth- of wifi-apparaat zendt voortdurend ontdekkingsframes uit, omdat die protocollen zo zijn ontworpen. Je oordopjes kondigen hun aanwezigheid aan om door je telefoon gevonden te worden, en die telefoon peilt op zijn beurt de omgeving af op zoek naar de netwerken die hij kent. Die uitzendingen zijn per constructie openbaar, en elke ontvanger binnen bereik hoort ze.
Leonardo geeft overigens aan dat het systeem met of zonder kentekenlezer werkt, ook binnenshuis, en een voertuig herkent waarvan het kenteken is afgeplakt of verwijderd.
De retrofit is het echte politieke onderwerp. Een nieuw cameranetwerk installeren leidt tot een stemming, een beraadslaging, soms een rechtszaak. Een printplaat toevoegen in een behuizing die al is goedgekeurd, leidt tot niets. De toezichtcapaciteit verandert van aard zonder publiek debat, omdat er materieel niets nieuws te zien is.
Van het voertuig naar de persoon, en van de persoon naar de groep
Een kentekenlezer beantwoordt één vraag: waar was dit voertuig. SignalTrace voegt er twee aan toe: wie zat erin, en met wie.
Leonardo maakt daar geen geheim van, het is het verkoopargument. Het systeem vormt wat de documentatie een elektronische vingerafdruk noemt, een geheel van identificatoren die “vaak samen worden uitgezonden”. Het voorbeeld van de fabrikant is expliciet: in een hele stad zal slechts één voertuig een iPhone 13rev2, een Audi-autoradio, een Bose-koptelefoon, een Garmin-horloge, een sleutelzoeker en het kenteken ABC-1234 combineren.
Het product volgt niet alleen voertuigen. Het produceert automatisch een relatiegraaf tussen personen, zonder dat iemand ook maar de geringste verdenking heeft hoeven formuleren.
Daar vindt de kwalitatieve sprong plaats. Door de apparaten te correleren die regelmatig samen reizen, bouwt het systeem mechanisch een sociale graaf op. Twee telefoons die elke ochtend in dezelfde auto belanden, zijn carpoolen, of een relatie die geen van beiden openbaar wil maken. Vijftig apparaten die op dezelfde plek op hetzelfde tijdstip worden opgevangen, zijn een samenkomst: een demonstratie, een kerkdienst, een vakbondsvergadering of een wachtrij voor een kliniek.
Geen van deze conclusies vereist toegang tot de inhoud van een communicatie. Ze volgt uit een nabijheidstabel, standaard, over de hele rijdende bevolking en niet over aangewezen doelwitten. Dat is schuld door associatie, industrieel geproduceerd, nog vóór enig onderzoek. Tom Bowman, jurist bij het Center for Democracy & Technology , vat het probleem samen in TechNewsWorld : wat het instrument nuttig maakt om een echte verdachte te volgen, maakt het even goed in staat om alle andere automobilisten te volgen, van wie er niet één heeft ingestemd met registratie van zijn apparaten.
Leonardo brengt twee argumenten in: het systeem ontsleutelt noch leest de inhoud van communicatie, en het identificeert personen niet uit zichzelf. Beide beweringen kloppen, en beide gaan langs de kwestie heen. De gezochte inlichting was nooit de inhoud, die zit in het locatiemetadatum, dat onthullender is dan een bericht. Wat de identificatie betreft, erkent de fabrikant zelf dat een rechercheur een elektronische handtekening aan een kenteken kan koppelen en vervolgens via de kentekenregisters bij de houder kan uitkomen.
Een Amerikaans recht dat voor iets anders is geschreven
In de Verenigde Staten bestaan er deelstaatwetten die kentekenlezers reguleren, en sommige stellen strenge eisen aan bewaartermijnen en toegangsdoeleinden. Maar ze zijn allemaal opgesteld rond één nauwkeurig object: het beeld van een kentekenplaat. Geen enkele anticipeert op het opvangen van identificatoren van persoonlijke apparaten door dezelfde apparatuur.
Die discrepantie creëert geen onwettigheid maar een grijs gebied, dat de verkoper beter uitkomt. Een politiedienst kan zonder te liegen volhouden dat zijn kentekenleesprogramma is toegestaan en conform is, terwijl het onder hetzelfde regime voortaan gegevens van een volstrekt andere aard verzamelt. Leonardo beschikt bovendien over federale contracten, bij het Special Operations Command en de General Services Administration, oftewel een inkoopkanaal dat lokale goedkeuringen grotendeels omzeilt.
Het constitutionele debat is net in beweging gekomen, en precisie is hier nodig omdat de stand van het recht deze zomer is veranderd. In januari 2026 oordeelde een federale rechtbank in Virginia in de zaak Schmidt v. City of Norfolk dat het Flock-cameranetwerk van de stad geen doorzoeking vormde in de zin van het vierde amendement, omdat het niet alle verplaatsingen van de inwoners bestreek. Tegen de uitspraak loopt hoger beroep bij het Fourth Circuit, waar de ACLU zich heeft gevoegd.
Vervolgens wees het Hooggerechtshof op 29 juni 2026 Chatrie v. United States . Met vijf stemmen tegen vier oordeelde het, bij monde van rechter Kagan, dat het verkrijgen door de politie van de locatiegegevens van een telefoon een doorzoeking vormde, aangezien iemand een redelijke privacyverwachting behoudt ten aanzien van die gegevens, ook wanneer ze bij een derde berusten en over een korte periode. Het arrest verlengt Carpenter v. United States uit 2018 en verzwakt de derdenleer, zoals het CDT heeft opgemerkt.
De precieze reikwijdte van Chatrie voor SignalTrace is niet uitgemaakt, en het zou onvoorzichtig zijn het tegendeel te beweren: het arrest gaat over gegevens die bij Google zijn opgevraagd, niet over rechtstreekse opvang door een politiesensor in de openbare ruimte. Maar het vestigt de redenering die telt, namelijk dat de gevoeligheid van een locatiegegeven niet afhangt van wie het bezit.
De Europese vraag, die de echte vraag is
Hier wordt het dossier ongemakkelijk voor Europa. Leonardo is geen Amerikaanse leverancier, maar een Italiaanse groep met een notering in Milaan waarvan het Italiaanse ministerie van Economie en Financiën de grootste aandeelhouder is, met ongeveer 30 % van het kapitaal en de bevoegdheid om de meerderheid van de raad van bestuur te benoemen. De Italiaanse staat is geen passieve aandeelhouder van dit product.
Eerst het technische punt
In het Europese recht is een apparaatidentificator een persoonsgegeven. Dat is geen leerstellige opvatting maar het vaste standpunt van de toezichthouders. De CNIL behandelt het MAC-adres uitdrukkelijk als zodanig in haar leer over systemen voor bezoekersstroommeting , en staat het verzamelen ervan in de openbare ruimte alleen onder strikte voorwaarden toe: anonimisering binnen enkele minuten met een hoog botsingspercentage tussen individuen, of betrouwbare pseudonimisering gevolgd door vernietiging binnen vierentwintig uur, bij gebreke waarvan toestemming verplicht wordt. Diezelfde leer stelt dat mensen uitnodigen hun wifi uit te zetten geen aanvaardbare vorm van bezwaar is.
Het Hof van Justitie van de Europese Unie heeft op 4 september 2025 in de zaak EDPS tegen GAR (C-413/23 P) verduidelijkt dat het persoonlijke karakter van een gepseudonimiseerd gegeven wordt beoordeeld aan de hand van de redelijkerwijs inzetbare middelen tot heridentificatie. Welnu, hier is de houder een politieautoriteit, die over de kentekenregisters beschikt. De middelen tot heridentificatie zijn niet hypothetisch, ze liggen in het kantoor ernaast.
De nuance die alles verandert
Het zou onjuist zijn te schrijven dat SignalTrace “in Europa illegaal zou zijn”, en een juridisch geschoolde lezer zou dat meteen opmerken. Een verwerking door een bevoegde autoriteit met het oog op het voorkomen en vervolgen van strafbare feiten valt niet onder de AVG. Ze valt onder richtlijn (EU) 2016/680 , de zogeheten richtlijn politie en justitie, die door elke lidstaat afzonderlijk is omgezet, in Frankrijk in titel III van de privacywet. De CNIL herinnert eraan dat dit regime autonoom is, met eigen rechtsgronden en eigen rechten.
De juiste vraag is dus niet die van de abstracte legaliteit, maar die van de voorwaarden. Onder dat regime zou zo’n systeem een uitdrukkelijke nationale rechtsgrondslag veronderstellen, bepaalde doeleinden, een aangetoonde noodzaak, een begrensde bewaartermijn, een effectbeoordeling en onafhankelijk toezicht. In Frankrijk zijn kentekenlezers zo geregeld: de artikelen L233-1 en L233-1-1 van het wetboek van binnenlandse veiligheid bevatten een limitatieve lijst van strafbare feiten die het gebruik ervan openen, en de bewaartermijn blijft een van de kortste van de Unie, in beginsel vijftien dagen, ook al probeert een wetsvoorstel van de Senaat die te verlengen.
Dat is het wezenlijke verschil met de Amerikaanse situatie. In de Verenigde Staten regelt de wet een object, de plaat, en geldt zwijgen over apparaatidentificatoren als toestemming. In Europa regelt de wet doeleinden en categorieën van gegevens, en geldt dat zwijgen eerder als verbod, bij gebrek aan een uitdrukkelijke rechtsgrondslag. De aan de overkant van de Atlantische Oceaan geconstateerde leemte bestaat hier niet in dezelfde vorm. Niet dat Europa deugdzamer is: zijn juridische techniek is omgekeerd.
Wat de bescherming dan waard is
Blijft de vraag waar dit artikel om draait. Wat is een Europese regelgevende bescherming waard wanneer een Europees bedrijf, gecontroleerd door een lidstaat, buiten Europa een capaciteit verkoopt die het thuis niet zonder een nieuwe wet zou mogen inzetten?
De tegenwerpingen verdienen het serieus genomen te worden. Een industrieel is niet verantwoordelijk voor het rechtskader van zijn klant: het is aan de Amerikaanse autoriteiten om te bepalen wat ze bij zichzelf toestaan. Het product wordt niet aan een dictatuur verkocht maar aan een rechtsstaat met een actief hooggerechtshof, zoals Chatrie zojuist in herinnering heeft gebracht. En het argument van industriële soevereiniteit is legitiem: als de Europese groepen zichzelf die markten ontzeggen, worden ze ingenomen door Israëlische, Amerikaanse of Chinese leveranciers, zonder dat het toezicht ook maar een meter terugwijkt, en verliest Europa daarbij zijn technologische basis.
Deze argumenten zijn ontvankelijk. Ze beantwoorden het probleem niet.
Om te beginnen omdat de Unie al heeft erkend dat de uitvoer van toezichtmiddelen geen handel is als alle andere. De verordening (EU) 2021/821 inzake producten voor tweeërlei gebruik heeft in artikel 5 een vangnetbepaling ingevoerd voor cybersurveillance-producten, omdat de wetgever heeft erkend dat een instrument dat legaal te vervaardigen is, op zijn bestemming onrechtmatig kan zijn. De beperking ervan is leerzaam: ze treedt in werking bij een risico van interne repressie of ernstige mensenrechtenschendingen, categorieën die zijn bedacht voor autoritaire regimes. Een verkoop aan een Amerikaans gemeentelijk politiekorps valt daar niet onder. Het Europese raster onderzoekt de moraliteit van de klant, nooit de aard van de verkochte capaciteit.
Vervolgens omdat zo’n product geen voorraad is die je uitverkoopt, maar een capaciteit die onderhouden wordt: ze financiert onderzoek, leidt ingenieurs op, stapelt knowhow op en creëert een geïnstalleerde basis. Op de dag dat een zware aanslag een lidstaat ertoe brengt die capaciteit op te eisen, zal het debat niet meer gaan over de wenselijkheid haar te bouwen. Ze zal bestaan, ze zal Europees zijn, ze zal volwassen zijn, en haar leverancier zal deels publiek zijn. Het argument “wij volgen alleen de markt” wordt dan circulair, aangezien de thuismarkt door de export zal zijn voorbereid.
Dat is wat een regelgevende bescherming in dit scenario waard is: ze beschermt Europeanen tegen het gebruik, niet tegen het bestaan van de middelen. Ze regelt de vraag wie het recht heeft op de knop te drukken, en laat het aan de industrie om hem te bouwen, te verkopen, te verbeteren en dan te wachten.
Wat je kunt doen, zonder jezelf iets wijs te maken
Het eerste antwoord dat wordt genoemd is altijd MAC-adresrandomisatie. Die verdient een eerlijke beschouwing, geen aanprijzing en geen afkraken. Ze bestaat echt en ze werkt.
Android vanaf versie 10 en iOS vanaf versie 14 randomiseren standaard het MAC-adres dat via wifi wordt gebruikt, met een apart adres per netwerk. In Bluetooth Low Energy zenden moderne apparaten oplosbare privéadressen uit, die periodiek wisselen en alleen aan het echte apparaat kunnen worden gekoppeld door een tegenpartij die de resolutiesleutel bezit.
De beperkingen ervan zijn even reëel.
- Koppelen zet de deur weer open. De resolutiesleutel wordt tijdens het koppelen doorgegeven. Een apparaat dat al gekoppeld of uitdrukkelijk goedgekeurd is, vindt de stabiele identiteit achter het roterende adres terug. Het mechanisme is daarvoor bedoeld.
- Veel voorwerpen randomiseren niets. Bandenspanningssensoren, RFID-passen, identificatiechips voor dieren, autoradio’s en goedkope randapparatuur zenden vaste identificatoren uit. Het productblad van Leonardo noemt precies deze categorieën, wat geen toeval is.
- Randomisatie kan worden uitgeschakeld. Ze wordt per netwerk uitgezet, en dat gebeurt vaak uit gemak, voor MAC-filtering op een thuisrouter of vanwege bedrijfsbeleid.
- De groep overleeft het wisselen van identificatoren. Dat is het minst intuïtieve en belangrijkste punt. SignalTrace zoekt geen identificator, het zoekt een verzameling apparaten die samen reizen. Als één enkel lid van de groep een vaste identificator uitzendt, blijft de hele verzameling toewijsbaar, hoe gedisciplineerd de andere ook zijn.
De doeltreffendste maatregel blijft de saaiste: niet uitzenden. Dat betekent Bluetooth en wifi op systeemniveau uitschakelen, in de instellingen, en niet vanuit het snelmenu. Dat onderscheid is niet cosmetisch, we hebben het uiteengezet in ons artikel over de permanente locatiebepaling van de telefoon : op de meeste consumentensystemen verbreekt de knop in het snelmenu de zichtbare koppeling maar laat de softwarestack in leven, en de nabijheidsanalyses gaan door. Dat artikel beschreef Bluetooth-scanning als een theoretische vector. SignalTrace is het commerciële product ervan, in de catalogus en leverbaar.
We moeten eerlijk blijven over het resultaat: deze maatregelen verkleinen het blootstellingsoppervlak, ze heffen het niet op. Een voertuig blijft een kenteken, en een kenteken blijft leesbaar. De enige manier om niets uit te zenden is niets bij je te dragen, en dat is geen overheidsbeleid.
Wat dit zegt over onze ontwerpkeuzes
Bij Arpokrat is het deze redenering die ons ertoe heeft gebracht Bluetooth op het niveau van de Core van ArpokratOS af te handelen in plaats van op het niveau van de instellingen. Een schakelaar in een interface is een gebruikersvoorkeur: een update, een systeemtoepassing of een locatiedienst kan die omzeilen of weer aanzetten, zonder dat de gebruiker het weet. Een afwezige stack kan niet opnieuw worden geactiveerd.
Tegenover een opvang als die van SignalTrace maakt dat een apparaat uiteraard niet onvindbaar, en dat beweren we ook niet: een telefoon blijft op een mobiel netwerk, en de andere voorwerpen in een voertuig zenden voor eigen rekening uit. Wat het wel garandeert, is dat één specifieke zendvector per constructie afwezig is in plaats van uitgeschakeld op vertrouwen. Dat is de stelling die we verdedigden over 5G en de doelfout van het recht : de juridische bescherming richt zich op de toegang tot de gegevens terwijl ze zou moeten gaan over het bestaan zelf van de infrastructuur die ze voortbrengt. SignalTrace is daar de illustratie van, met dit verschil dat deze infrastructuur in Europa wordt gebouwd.
Conclusie
Het opvallendste in dit dossier is niet de technische capaciteit, die onderzoekers al jaren beschrijven. Het is de manier van uitrollen.
Er komt geen nieuw cameranetwerk om in te wijden, geen gemeentelijk besluit om aan te vechten, geen overheidsopdracht die als een verandering van aard herkenbaar is. Er komen modules die aan bestaande masten worden toegevoegd, onder bestaande contracten, binnen reeds goedgekeurde programma’s. Op de dag dat het publieke debat opengaat, zal de infrastructuur geïnstalleerd, afgeschreven en in de onderzoeksprocedures geïntegreerd zijn. Het debat zal dan gaan over de voorwaarden voor toegang tot een bestand dat bestaat, nooit over de wenselijkheid het te hebben aangelegd.
Dat is de gebruikelijke gang van zaken op het gebied van toezicht, en die is niet toevallig. De vraag is of Europa vindt dat het iets te zeggen heeft wanneer zijn eigen industriëlen, geruggensteund door zijn eigen staten, deze infrastructuur voor anderen bouwen. Het Europese recht heeft het antwoord zorgvuldig georganiseerd op de vraag wie deze gegevens bij ons mag raadplegen. Het heeft nooit de vraag gesteld wie het recht heeft de machine te bouwen.