5G, locatiegegevens en de verkeerde focus van het recht

Tue, 18 Aug 2026 00:00:00 +0000

In 2011 vroeg de politie van Detroit een mobiele operator om de zendmastgegevens van de telefoon van Timothy Carpenter. Zij kreeg 12.898 locatiepunten verspreid over 127 dagen, ongeveer honderd per dag. Zeven jaar later oordeelde het Hooggerechtshof van de Verenigde Staten dat dit verzoek een doorzoeking vormde en een bevel vereiste.

Die 12.898 punten kwamen van masten van de vierde generatie, die elk een straal van meerdere kilometers bestreken. Dezelfde vraag, vandaag gericht aan een stedelijk 5G-netwerk, zou geen honderd punten per dag opleveren met een marge van enkele kilometers. Zij zou een veel groter volume opleveren, met een marge van enkele tientallen meters.

De techniek is van schaal veranderd. De juridische redenering is op dezelfde plek in de keten blijven staan.

Een rechtsgoed dat rechters aan beide zijden van de Atlantische Oceaan erkennen

Er bestaat een belang dat vrijwel iedereen erkent en dat vrijwel geen enkele tekst doeltreffend beschermt: het recht om ergens te zijn zonder dat dit feit wordt vastgelegd.

De Europese rechtspraak heeft het ondubbelzinnig vastgesteld. In Digital Rights Ireland (gevoegde zaken C-293/12 en C-594/12, 8 april 2014) en vervolgens in Tele2 Sverige en Watson (gevoegde zaken C-203/15 en C-698/15, Grote kamer, 21 december 2016) oordeelde het Hof van Justitie van de Europese Unie dat deze gegevens, in hun geheel beschouwd, zeer precieze conclusies mogelijk maken over het privéleven van personen: dagelijkse gewoonten, verblijfplaatsen, verplaatsingen, verrichte activiteiten en sociale relaties.

Het Hooggerechtshof van de Verenigde Staten kwam tot een verwante conclusie in Carpenter v. United States , 585 U.S. 296 (2018). Het benadrukte een punt dat de Amerikaanse rechtsleer uitvoerig heeft becommentarieerd: het onontkoombare en automatische karakter van die verzameling. Niemand stemt ermee in aan een zendmast te worden gekoppeld; men is het omdat men een ingeschakelde telefoon heeft.

Het rechtsgoed bestaat dus, en het wordt erkend door de twee rechtscolleges die er in deze materie toe doen. Het probleem ligt elders.

Wat 5G werkelijk heeft veranderd

Een veelvoorkomende verwarring bestaat erin locatie te behandelen als een gegeven dat de telefoon verzendt, net als een bericht of een foto. Dat is niet zo. Locatie is een fysiek gevolg van de werking van het netwerk. De operator weet aan welke mast het toestel is gekoppeld omdat hij dat moet weten om een oproep te routeren. Er bestaat geen sleutel om die informatie te versleutelen, want het gaat niet om inhoud maar om een eigenschap van de verbinding zelf.

Precies dat maakt 5G juridisch relevant, en niet technisch.

Eerdere architecturen berustten op brede cellen. Een 4G-mast bedient doorgaans een straal van meerdere kilometers, en de louter uit de koppeling afgeleide positie werd in de stad in honderden meters uitgedrukt, op het platteland soms in tientallen kilometers. 5G berust op massale verdichting: stedelijke cellen bestrijken doorgaans enkele honderden meters, en de technische literatuur rekent met dichtheden in de orde van veertig tot vijftig basisstations per vierkante kilometer, tegenover vier of vijf in het 3G-tijdperk.

Het gevolg is mechanisch. Volgens de white paper van Ericsson over 5G-positiebepaling haalt de infrastructuur die alleen voor connectiviteit is uitgerold een nauwkeurigheid van twintig tot vijftig meter buiten en van één tot drie meter binnen, en zakt zij onder de meter in gunstige stedelijke omstandigheden. Het gaat niet om een ergens ingeschakelde locatiefunctie, maar om wat het netwerk van bouw af weet, zonder dat er een app is geïnstalleerd of een toestemming is verleend. Al deze mechanismen, en de tegenmaatregelen die echt werken, hebben wij uitgewerkt in ons artikel over de permanente geolocatie van de telefoon .

De inbreuk is dus met meerdere ordes van grootte toegenomen. Het toepasselijke juridische kader blijft dat wat voor 2G en 3G is bedacht. Geen enkele normatieve aanpassing heeft die schaalverandering begeleid.

Het recht beschermt de toegang, niet het ontstaan

Het Europese recht regelt zorgvuldig wie toegang mag krijgen tot locatiegegevens, onder welke voorwaarden en onder welk toezicht. Richtlijn 2002/58/EG legt het beginsel van vertrouwelijkheid van communicatie vast, en het Hof van Justitie oordeelde in La Quadrature du Net (gevoegde zaken C-511/18, C-512/18 en C-520/18, Grote kamer, 6 oktober 2020) dat artikel 15, lid 1, van die richtlijn, gelezen in het licht van de artikelen 7, 8, 11 en 52, lid 1, van het Handvest, zich verzet tegen een algemene en ongedifferentieerde bewaring van verkeers- en locatiegegevens bij wijze van preventie. Het Hof aanvaardde niettemin afgebakende uitzonderingen wanneer een lidstaat wordt geconfronteerd met een ernstige bedreiging van de nationale veiligheid die werkelijk en actueel of voorzienbaar blijkt, mits er doeltreffend toezicht is.

Dit zijn echte waarborgen, en het zou absurd zijn ze te bagatelliseren. Maar ze grijpen allemaal achteraf in. Ze veronderstellen dat het gegeven bestaat en wordt bewaard, en regelen vervolgens de voorwaarden voor het gebruik ervan.

Als locatie echter een onvermijdelijk bijproduct van de netwerkwerking is, dan is het relevante aangrijpingspunt niet de vertrouwelijkheid. Het is de persistentie.

Een momentane positie, nodig om een communicatie te routeren en meteen daarna gewist, is geen surveillance-instrument. Een maandenlang bewaarde positiegeschiedenis is dat wel, ongeacht de toegangswaarborgen eromheen.

Het verschil tussen beide is niet juridisch maar architecturaal. En de Europese agenda maakt de kwestie dringend in plaats van theoretisch. De Commissie heeft het voorstel voor een ePrivacyverordening ingetrokken in 2025, bij gebrek aan overeenstemming tussen de medewetgevers. Zij werkt sindsdien aan een afzonderlijk instrument over dataretentie voor strafrechtelijke doeleinden, aangekondigd voor 2026 en bedoeld om nationale regimes te harmoniseren die uiteen zijn gaan lopen sinds de nietigverklaring van de richtlijn van 2006. Met andere woorden: de tekst die voor een decennium het regime van locatiemetadata zal vastleggen, wordt op dit moment geschreven, op basis van een redenering die is bedacht in het tijdperk van kilometergrote cellen.

Het precedent dat 5G zelf heeft geschapen

Het interessantste aan het dossier is dat het juiste antwoord al in de technische norm staat, maar op een ander voorwerp is toegepast.

Tot en met 4G reisde de permanente abonnee-identificatie, de IMSI, onversleuteld over de radio-interface bij het aanmelden. Dat maakte de IMSI-catchers mogelijk, die valse basisstations die volgens de referentiebeschrijving van de Electronic Frontier Foundation sterker uitzenden dan legitieme masten om toestellen aan te trekken en hun identificatie op te vangen.

Sinds Release 15 van de 3GPP-specificaties, gepubliceerd in 2019, biedt 5G een elegant antwoord. De permanente identificatie, nu SUPI genoemd, kan op de radio-interface worden vervangen door de SUCI, een verhulde identificatie die wordt verkregen door het abonnee-specifieke deel te versleutelen met elliptische-krommecryptografie, met de publieke sleutel van de thuisoperator. Alleen het thuisnetwerk, dat de bijbehorende privésleutel bezit, kan haar ontsleutelen. Het resultaat is bij elke berekening uniek, wat correlatie van de ene sessie naar de andere verhindert.

De gekozen logica verdient onderstreping, want zij is precies die welke de wetgever zou moeten leiden: men versleutelt niet de positie, wat technisch onmogelijk zou zijn, men versleutelt de identiteit. Een positie zonder toewijsbare identiteit heeft zeer beperkte waarde voor geïndividualiseerde surveillance.

De zwakke plek: een facultatieve bescherming

Er is echter een aanzienlijk voorbehoud, en dat is naar ons oordeel het meest concrete aangrijpingspunt van het hele dossier.

De white paper NIST CSWP 36A , in maart 2026 gepubliceerd door het National Institute of Standards and Technology, zegt het onomwonden. Toestellen en netwerkfuncties die aan Release 15 of later voldoen, moeten de SUCI ondersteunen, maar de activering ervan blijft facultatief voor de operator. Er moeten drie voorwaarden samenvallen: de apparatuurleverancier moet het ondersteunen, de operator moet het op zijn netwerk inschakelen, en de simkaart moet de voor de berekening benodigde elementen bevatten.

Daar komt een configuratieval bij. De norm voorziet in een nul-beschermingsschema, waarbij het SUCI-formaat formeel wordt gebruikt maar zonder werkelijke versleuteling, zodat de identificatie onversleuteld reist. NIST schrijft dat de operator zijn netwerk met een niet-nul beschermingsschema moet configureren, en herinnert eraan dat een rapport van CSRIC, het adviesorgaan van de Federal Communications Commission, al in 2021 aanbeval het nulschema uitsluitend voor te behouden aan noodoproepen vanaf een toestel dat het netwerk niet kent.

De formulering verdient het om zo te blijven staan. De best beschikbare bescherming tegen het volgen van mobiele toestellen bestaat sinds 2019 in de technische norm. Zij berust op een configuratiekeuze die aan het oordeel van de operator is overgelaten. Een Amerikaanse federale instantie acht het in 2026 zinvol een document te publiceren om eraan te herinneren dat men haar zou moeten inschakelen. En geen enkel Europees rechtsinstrument schrijft haar voor.

Daaraan moet worden toegevoegd dat de SUCI het onderwerp niet afsluit. Het werk dat is gepresenteerd onder de titel 5G SUCI-catchers: still catching them all? documenteert koppelingsaanvallen waarmee sessies ondanks de versleuteling opnieuw kunnen worden gecorreleerd, en de bescherming valt volledig weg als de aanvaller het toestel dwingt terug te vallen op een oudere generatie. Een wettelijke verplichting zou dus niet alles oplossen. Zij zou niettemin een kloof wegnemen waarvoor geen verdedigbare rechtvaardiging bestaat: die tussen wat de norm toelaat en wat commerciële netwerken doen.

Drie samenhangende ingrepen

Wie de gedachte serieus neemt dat locatie door ontwerp moet worden geminimaliseerd in plaats van achteraf beschermd, komt logischerwijs op drie maatregelen uit.

De effectieve verhulling van de identificatie verplicht stellen. De activering van de SUCI opleggen en nul-beschermingsschema’s op commerciële netwerken verbieden, afgezien van het restgeval van noodoproepen. Het gaat er niet om een nieuwe technologie voor te schrijven of een uitrol te financieren, maar om de activering te eisen van een functie die zeven jaar geleden is gestandaardiseerd en al in de apparatuur aanwezig is.
Bewaring als uitzondering behandelen, niet als standaard. De positie die nodig is om een communicatie te routeren zou moeten worden gewist zodra die functie is vervuld. Het opbouwen van een geschiedenis zou een specifieke rechtvaardiging moeten vergen. Dat is het verschil tussen een netwerk dat weet waar u bent en een netwerk dat zich herinnert waar u bent geweest.
Het beheer van de sleutel tot het relevante aanknopingspunt maken. De locatie van servers in de Unie betekent weinig als de sleutels waarmee de gegevens leesbaar worden elders liggen. Het juridisch doorslaggevende criterium zou de daadwerkelijke zeggenschap over de ontsleutelingsmiddelen moeten zijn, een vraag die wij uitvoerig hebben onderzocht bij het conflict tussen de Data Act en de CLOUD Act .

De invalshoek die Arpokrat volgt

Deze redenering is niet eigen aan het telecommunicatierecht. Zij is degene die wij op onze eigen architectuurkeuzes toepassen, en zij past in één zin: wat niet is voortgebracht, hoeft niet te worden beschermd.

Daarom verwijdert ArpokratOS gps, bluetooth en NFC op kernelniveau in plaats van ze in een menu uit te schakelen. Een schakelaar is een beleidsregel: hij kan worden omzeild door een bevoorrechte component, opnieuw ingeschakeld door een update, genegeerd door een gecompromitteerd systeem. Het codepad verwijderen laat de vraag vervallen. Het is de vertaling, op de schaal van een apparaat, van dezelfde verschuiving die wij op de schaal van het recht bepleiten: ingrijpen bij het ontstaan in plaats van bij de toegang.

Er moet meteen bij worden gezegd wat dit niet doet. Geen enkel besturingssysteem onttrekt een toestel aan de geometrie van het netwerk. Zolang een simkaart actief is, kent de operator de cel waaraan het toestel is gekoppeld, en al het verkeer via Tor routeren verandert daar niets aan, want dat beschermt inhoud en bestemming, niet de radiolaag. Juist daarom is het onderwerp juridisch. Er bestaat een categorie risico’s die geen enkele individuele configuratie verkleint, en waarvoor de enige beschikbare variabele de regel is die voor de operator geldt.

Dezelfde zorg bepaalt de rest van ons werk. Een gegeven dat niet bestaat, kan niet worden gevorderd, doorverkocht, geëxfiltreerd of over tien jaar ontsleuteld door een machine waarover vandaag niemand beschikt, een kwestie die wij hebben behandeld vanuit de invalshoek van nu geoogste en later gekraakte versleuteling .

Conclusie

Het publieke debat over mobiele surveillance richt zich vrijwel uitsluitend op toegang: wie de gegevens mag raadplegen, op welke grondslag, met welke machtiging. Dat debat is legitiem, en de uitspraken die het Hof van Justitie sinds 2014 heeft gedaan, hebben tastbare gevolgen gehad. Maar het komt te laat in de keten.

De voorafgaande en beslissender vraag is of de geschiedenis moet bestaan. Een bestand dat vandaag om een legitieme reden wordt aangelegd, blijft morgen beschikbaar voor een andere, en de waarborgen eromheen hangen af van latere politieke besluiten die op het moment van verzameling niemand in de hand heeft. Het is een weddenschap op de stabiliteit van instellingen, aangegaan voor een duur die niemand vaststelt.

5G heeft de resolutie van deze informatie vermenigvuldigd zonder dat er enige normatieve aanpassing plaatsvond. Het heeft tegelijk, via het SUCI-mechanisme, aangetoond dat de begaanbare weg erin bestaat positie van identiteit los te koppelen in plaats van te proberen een fysieke eigenschap van het netwerk te versleutelen. De technische norm leverde het antwoord zeven jaar voordat het recht de vraag stelde.

De Europese tekst over dataretentie wordt nu geschreven. Hij zal over metadata gaan, dus over locatie, dus over wat 5G voortaan produceert met een fijnheid die zijn opstellers niet hebben gekend. Of hij zich zal beperken tot het regelen van de toegang tot een als vanzelfsprekend beschouwde geschiedenis, dan wel of hij de noodzaak van die geschiedenis durft te bevragen, is waarschijnlijk de belangrijkste privacyvraag van de komende jaren in Europa. En het is een vraag die de technische sector, voor één keer, al in de goede richting heeft beslecht.

Bronnen

Hof van Justitie van de Europese Unie, Digital Rights Ireland , gevoegde zaken C-293/12 en C-594/12, 8 april 2014
Hof van Justitie van de Europese Unie, Tele2 Sverige en Watson , gevoegde zaken C-203/15 en C-698/15, Grote kamer, 21 december 2016
Hof van Justitie van de Europese Unie, La Quadrature du Net e.a. , gevoegde zaken C-511/18, C-512/18 en C-520/18, Grote kamer, 6 oktober 2020
Supreme Court of the United States, Carpenter v. United States , 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI) , NIST CSWP 36A, maart 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta e.a., 5G SUCI-catchers: still catching them all? , ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Geolocatie on Arpokrat