Privacyrecht is code (R&P nr. ICT1) 2010/6.9.1:6.9.1. Privacy Incorporated Software Agent (PISA)

Privacyrecht is code (R&P nr. ICT1) 2010/6.9.1

6.9.1. Privacy Incorporated Software Agent (PISA)

Deze functie is alleen te gebruiken als je bent ingelogd.Deze functie is alleen te gebruiken als je bent ingelogd.Deze functie is alleen te gebruiken als je bent ingelogd.

Over Intelligent Software Agents1 bestaan veel defmities2 zoals "software en/ of hardware die in staat is autonoom te handelen teneinde een taak uit te voerenm voor haar gebruiker in een complexe netwerk omgeving„3De Intelligent Software Agent (ISA) kan zonder dat de gebruiker er zich mee bemoeit taken uitvoeren, die, als jezelf tijd genoeg had, zelf zou kunnen doen.4 ISA's helpen ons nu al met het uitvoeren van eenvoudige routine (repeterende) taken,5 maar in de nabije toekomst zal een dergelijke software agent zich gaan gedragen als onze digitale butler. Een voorbeeld van deze ontwikkeling is de software agent Phil in de videoclip 'the knowledge navigator' die in 1987 is gemaakt voor Apple Inc 6 De ISA kan mobiel zijn, deliberatief (overleggend) gedrag en interactie met andere ISAs vertonen en bezit de mogelijkheid om te leren en te identificeren. Volgens Schermer7 bestaan er drie categorieën software agent architecturen die grosso modo zijn in te delen in: de reactieve agenten, de deliberatieve agenten en de hybride agenten.8 De hieronder te bespreken privacy incorporated software agent (PISA)9 moet beschouwd worden als een mobiele deliberatieve agent. Deliberatieve agenten zijn agenten die in staat zijn om hun acties te plannen en 'na te denken' over hun gedrag. Zij gebruiken een model van hun omgeving om hun acties te plannen. De ondernomen actie is dus niet direct gerelateerd aan de waarneming, maar volgt uit het redeneren over het intern in ISA opgebouwde model. Op basis van het model worden mogelijke acties en de resultaten van die acties bepaald. Om een idee te krijgen van de geavanceerdheid van de software agent verwijs ik naar figuur 6.16.

Figuur 6.16: De positie van agents in relatie tot kunstmatige intelligentie; Borking, Van Eck & Siepel, 1999, p. 10.

id-c6365519-52c8-495a-8257-3175e1ec7f7f

Het feit dat een mobiele software agent autonoom (los van zijn gebruiker) kan handelen in naam en soms voor rekening en risico van de gebruiker en de mogelijkheid heeft om informatie met andere ISA's uit te wisselen of op en andere manier aan de omgeving bloot te stellen, is belangrijk voor de juridische kwalificatie van een ISA. In de Nederlandse wetgeving bestaat (nog) geen regeling die aan ISA's een juridische status toekent. De ISA moet worden gezien als een instrument dat de gebruiker aanwendt en dat alle handelingen die de ISA verricht moeten worden toegerekend aan de gebruiker of aan de eigenaar van de ISA.10 Schermer, Durinck & Bijmans gaan er ten onrechte vanuit dat als de agent door de gebruiker wordt ingezet er geen sprake is van verwerking door een verantwoordelijke in de zin van de Richtlijn 95/46/EG.11 Het stelsel van bescherming van persoonsgegevens is zo ingericht dat er altijd een verantwoordelijke wordt aangenomen, anders dreigt er in sommige gevallen een juridisch vacuum. Het zal in de toekomst waarschijnlijk gebruikelijk zijn, dat een organisatie (telecommunicatie-aanbieder, internet service provider) software agents ter beschikking van een gebruiker zal stellen bijvoorbeeld door middel van verhuur. Zolang de aanbieder niet via de ter beschikking gestelde software agent ten behoeve van de gebruiker direct of indirect persoonsgegevens van de gebruiker en anderen verwerkt, blijft de gebruiker zelf de verantwoordelijke. Hetzelfde geldt voor de gebruiker die een agent voor eigen gebruik bouwt. In dat geval neemt de gebruiker de rol op zich van betrokkene en verantwoordelijke. Deze opvatting heeft consequenties voor het door een ontwerper op te stellen privacyomgevingsmodel. Dit model beschrijft de juridische en feitelijke omgeving waarin een ISA zijn werk verricht.12

De ISA kan zich voordoen als een goedaardige digitale butler of een kwaadaardige digitale misdadiger of als een middel om voortdurend zaken en mensen in de gaten te houden. ISA weerspiegelt in `cyber space' de rollen en het gedrag van mensen. Software agenten zullen ongetwijfeld een rol gaan spelen in de Ambient Intelligence (AMI)-omgeving. Software Agent-ontwerpers analyseren de manier waarop mensen hun taken met succes trachten af te ronden en nemen die in hun ontwerp over. Dit is goed te zien in de MAS-architectuur.13 Om goed te kunnen functioneren heeft de ISA van de gebruiker persoonsgegevens of Personal Identifiable Information (PIJ), de privacy voor- en afkeuren en andere niet persoonlijke informatie nodig. De ISA verzamelt de relevante informatie voor de uit te voeren taak en persoonsgegevens van zowel de gebruiker als van anderen. De ISA zal die persoonsgegevens bekendmaken conform de door de gebruiker aangegeven privacybeschermingsniveaus. Omdat de ISA automatisch persoonsgegevens verwerkt, zijn de Richtlijnen 95/46/EG en 2002/58/EG en de daarvan afgeleide nationale wetgeving van de EU-lidstaten van toepassing.14

De privacyrealisatiebeginselen (zie hoofdstuk 2), dienen in het ontwerp van een privacybeschermende ISA te worden ingebouwd. Omdat de autonome ISA de mogelijkheid bezit om volledig geautomatiseerd beslissingen te nemen, is het noodzakelijk om bij de ISA een volgsysteem in te bouwen om de logica achter de bereikte resultaten van de ISA te kunnen bewijzen en de aansprakelijkheid van de transacties te kunnen dragen.15 Dit is ook van belang omdat ISA's tijdens hun onderhandelingen met andere ISA's persoonsgegevens van derden verwerken waaraan constraints16 kunnen zijn gekoppeld. Een ISA mag niet zomaar persoonsgegevens van derden verwerken als daar geen toestemming voor is of noodzaak voor bestaat.17

De mogelijkheid van ISA's tot het autonoom nemen van beslissingen en het opbouwen van een profiel met voor- en afkeuren van de gebruiker op basis van de aanvaarding en afwijzing van door de agent ten behoeve van de gebruiker uitgevoerde taken, vergroot de privacygevoeligheid van de ISA. Een afwijzing zou in het profiel kunnen worden opgevat als een afkeur en een aanvaarding als een voorkeur. Hoe langer de lijst van voor- en afkeuren des te beter is de basis waarop de agent toekomstige beslissingen kan nemen. In het Privacy Incorporated Software Agent (PISA) project is als 'demonstrator'18 een structuur van mobiele privacybeschermende software agents gebouwd die als taak kregen een vaste baan voor de gebruiker van de ISA (hierna: `applicant') via het internet te vinden. De research werd gesubsidieerd door de EU onder het 5th EU Framework for Technology Research.

a. Consequenties van de privacybedreigingsanalyse

De PISA-privacybedreigingsanalyse, die in paragraaf 4.10 is behandeld, maakte duidelijk dat:

1.

Privacyinbreuken kunnen door andere 'vermomde' software agents worden veroorzaakt.19

2.

Privacybedreigingen kunnen ontstaan door onzorgvuldig beheer van de eigen persoonlijke agent en daaraan gekoppelde taak agents.

3.

Onzorgvuldige communicatie met agents van andere gebruikers kan privacy-risico's veroorzaken.

4.

De agent kan worden overmeesterd door andere agenten, die vervolgens persoonsgegevens van de overmeesterde agent stelen.20

5.

'Web data mining' kan een serieuze bedreiging voor de agent zijn.21

De ontwerpers concludeerden uit de privacybedreigingsanalyse dat de PISA-agent te kwetsbaar was om in zijn geheel binnen internet mobiel te opereren. De veiligste aanpak is de persoonlijke agent de mogelijkheid te geven om per uit te voeren taak (bijvoorbeeld: regel voor mij een vliegticket van A naar B) een `task agent' in het leven te roepen. De `task agent' krijgt niet meer persoonlijke informatie (een zeer klein deel van het volledige curriculum vitae van de gebruiker) mee, dan strikt noodzakelijk is voor de te vervullen taak. Daarmee kan naast het verminderen van het privacyrisico ook tegelijkertijd aan het beginsel van gegevensminimalisatie worden voldaan. Naast de generieke persoonlijke agent en de specifieke taak agents komen in het researchproject met betrekking tot PISA ook service agenten voor "to segment responsibility with regard to the protection of personal data."22

Om de software agents te beveiligen tegen privacybedreigingen zijn er twee mogelijkheden om PET in te zetten. PET wordt als een beschermingsschil om de agent gelegd, dus tussen de agent en zijn omgeving geplaatst of PET wordt in de verschillende componenten van de software agent geïntegreerd. Borking, Van Eck & Siepel wijzen erop dat een PET-schil rond de agent als nadeel heeft: "A disadventage of wrapping is that only external activities of the agent can be logged and audited.23 In PISA is gekozen voor een combinatie van een PET-beschermingsschil rond de ISA en een geïntegreerde PET-bescherming in de verschillende componenten binnen de agent. In paragraaf 6.18 wordt ingegaan op de architectuur van PISA. Om aan de privacybedreigingen het hoofd te kunnen bieden is het ook noodzakelijk de persoonsgegevens van de gebruiker van ISA in vier niveaus24 te splitsen, namelijk:

Niveau 1 PIJ:

Niveau 1 PIJ omvat onder meer de naam en het adres, telefoonnummer en e-mailadres van de gebruiker van PISA. Deze verzameling van persoonlijke informatie (PIJ) wordt door PISA overgedragen wanneer de directe communicatie tussen gebruiker en het kandidaatbedrijf voor het vervullen van de vacature dat vereist. Men kan deze gegevens alleen gebruiken, wanneer de stroom van uitgewisselde gegevens tussen PISA en de agent van de organisatie tot het gewenste resultaat heeft geleid en daardoor direct menselijke contact tussen de gebruiker (bijvoorbeeld de zoeker naar de baan) en de directie van de organisatie nodig is. Het is onbelangrijk of men een echte identiteit of een pseudo-identiteit gebruikt. Niveau 1 PII kan ook het creditcardnummer van de gebruiker zijn, waarmee hij wil betalen voor het downloaden van het iTunes®-nummer. Om deze reden wordt dit niveau PIJ als contactgegevens (om de transactie af te ronden) aangeduid.

Niveau 2 PIJ:

Dit betreft alle andere onderdelen van de (beperkte) persoonsgegevens van de gebruiker behalve de gegevens die tot niveau 1 PII, Niveau 3 PIJ en Niveau 4 PIJ behoren.

Niveau 3 PIJ:

Het gaat hier om persoonsgegevens die als speciale categorieën van persoonsgegevens in artikel 8(1) van Richtlijn 96/46/EG zijn vermeld. Niveau 3 persoonsgegevens mogen slechts in die omstandigheden worden verwerkt, die overeenkomen met de manier zoals in artikel 8 (2) t/m (7) is aangegeven.

Niveau 4 PIJ:

Deze gegevens betreffen de verkeersgegevens die een agent creëert wanneer die zich door het internet van website naar website verplaatst. Zolang deze gegevens direct of indirect informatie over de gebruiker van de agent produceren, moeten deze gegevens worden beschouwd als persoonsgegevens. In het PISAontwerp worden deze gegevens door middel van beveiligde communicatie zo behandeld dat die niet aan de gebruiker zijn toe te schrijven.

Het is niet uit te sluiten dat de identiteit van de gebruiker toch uit niveau 2 PII en 3 PII afleidbaar is. Bij de bouw van LADIS (Landelijk Alcohol en Drug Informatiesysteem) is onderzoek gedaan hoe de identificatie van de gebruiker zou kunnen worden verhinderd. Door middel van dubbele `hashing' van naam, geslacht en geboortedatum kan het identificatieprobleem worden opgelost, maar bij de uitwisseling van gegevens tijdens de onderhandelingen van agents is deze aanpak te complex en daardoor contraproductief gebleken. Koorn e.a. wijzen erop dat deze vorm van anonimisering alleen in identiteitsarme of identiteitloze processen kan worden toegepast.25 Een belangrijk verschil tussen niveau 2 PII en niveau 3 PII is dat niveau 3 PII sterkere (technische en organisatorische) beveiligingsmaatregelen vereist om deze categorie van persoonsgegevens te beschermen.26 PET-maatregelen, (zie paragraaf 5.7.3), beschermen Niveau 1 PII door deze gegevens binnen PISA op het tijdstip van verkrijging direct in te kapselen. Slechts de partij die het recht heeft om niveau 1 PII te ontvangen, krijgt toegang tot de middelen om de met PET ingekapselde niveau 1 PII te openen. De algehele privacybescherming en beveiliging binnen de PISA-`applicant' wordt gerealiseerd door een combinatie van 'Identity Protectors' in de vorm van:

1.

Anonimisering en pseudo-identiteiten.

2.

Certificaten van een TTP om de agent (met een eigen pseudo-identiteit) in staat te stellen zich te kunnen authenticeren in het contact met andere agenten.

3.

Privacymanagementtechnieken zoals 'transfer rules', behandeld in paragraaf 5.13.

4.

Een beveiligde omgeving (door authenticatie) van de met elkaar communicerende agents, waarin vaststelling van de integriteit van de gecommuniceerde boodschappen en de confidentialiteit van de uitgewisselde mededelingen plaatsvindt.

Alle gegevens die de agent bij zich draagt, zijn ter wille van de beveiliging en privacybescherming versleuteld.

b. Ingebouwde juridische kennis

In de PISA-`applicant' is rudimentaire juridische kennis (de privacyrealisatiebeginselen) als norm voor het handelen ingebouwd om er zeker van te zijn dat de verwerking van persoonsgegevens tijdens de werkzaamheden en onderhandelingen van de software agent geschiedt overeenkomstig de Richtlijn 95/46/EG (zie figuur 6.18). De PISA-`applicant' draagt daarnaast met zich mee de privacyvoorkeuren (zie hoofdstuk 2) van de gebruiker en de privacy policy van de verantwoordelijke. In de PISA-`applicant' zijn de privacyvoorkeuren en de privacy policy in overeenstemming met de EU-richtlijnen 95/46/EG en 2002/ 58/EG. De privacy policy van de verantwoordelijke is opgenomen in de 'Agent Practices Statement' (APS) die de agent bij zich draagt. Tijdens het zich verplaatsen van de PISA-`applicant' door het internet is deze agent zo geprogrammeerd dat onderhandelingen over de overdracht van PIJ pas plaatsvindt als de APS van de agent waarmee onderhandeld wordt, ten minste gelijkwaardig is aan het beschermingsniveau dat de Richtlijn 95/46/EG biedt.27

c. Interactieprotocollen

De interactieprotocollen tonen aan hoe de communicatie in het multi-agenten-systeem wordt georganiseerd, waar veel agents elkaar op `agents platforms' (virtuele marktplaatsen) binnen internet tegenkomen. De interactieprotocollen specificeren op welk moment welk patroon van communicatie door de PISA`applicant' moet worden gevolgd betreffende de uitwisseling van de niveaus PIJ in de communicatie tussen agenten en PISA-`applicant'. De protocollen refereren aan de in de agent geïmplementeerde transfer rules, want de PISA-`applicant' moet in staat zijn om vast te stellen of de PIJ wel of niet kan worden verzonden In paragraaf 5.13 is een dergelijke ingebouwde instructie van de agent weergegeven als "if APS-(1) matches privacy-preference-(2) and APS-(2) matches privacypreference-(1) and PIJ level 2-(1) matches PIJ level 2-(2) then allow disclosure/ exchange PIJ level 1-1."28 Voor dit doel zijn zowel informatie over de agent die PIJ ontvangt als de metagegevens van PIJ nodig. De metagegevens van PIJ zijn belangrijk omdat het de privacyvoorkeuren van de gebruiker bevat. De PISA`applicant' moet de privacyvoorkeuren vergelijken met de privacy policy van de ontvanger door middel van zijn ingebouwde 'transfer rules' (de regels die gaan over de overdracht van de PIJ). De 'transfer rules' bestaan uit één of meerdere regels per privacyrealisatieprincipe. Als de 'transfer rules' positief worden beoordeeld en PIJ wordt verzonden naar de ontvanger, dan moeten de metagegevens over de PIJ die de privacyvoorkeuren van de gebruiker bevatten samen met PIJ worden verzonden Op deze manier kan de ontvangende agent weer als afzender van PII conform de privacyvoorkeuren van de gebruiker handelen als deze agent weer een andere agent ontmoet.

Bij de PISA-`applicant' is er vanuit gegaan dat er zich een keten van agenten vormt voordat de juiste baan gevonden is.29 Die keten bestaat ten minste uit de volgende `task agents' (van verschillende gebruikers):

1.

De persoonlijke agent van de gebruiker, die permanent op de pc van de gebruiker blijft.

2.

De task agent, die de gebruiker 'vertegenwoordigt' (dat wil zeggen dat de acties van de agent aan de gebruiker worden toegerekend) tijdens het zoeken naar een baan en zorgt voor de communicatie met de gebruiker en de andere agents.

3.

De solicitatie agent, die mobiel is en zich verplaatst van het ene naar het andere `agentsplatform' waar arbeidsmarktagents resideren.

4.

De arbeidsmarktadviseuragent, die de sollicitatie agent op de hoogte stelt van de betrouwbare en passende arbeidsmarkt agents.

5.

De arbeidsmarktagent die voor een gespecialiseerde arbeidsmarkt als een `matchmaker' fungeert en de sollicitatie agents in contact brengt met de verschillende werkgevers agents.

6.

De werkgeversagent, die het bedrijf of een 'headhunter' representeert.

7.

De `monitor'agent, die alle communicatie logt en overziet, zoals wie met wie communiceert en welke metadata over de inhoud (dus niet de inhoud zelf) hierbij meespelen. Daarbij geldt als uitdrukkelijke voorwaarde, dat de een agent niet met een ander kan communiceren als niet de monitoragent beschikbaar is om de communicatie te loggen.30

De gegevensstromen tussen de sollicitant en de potentiële werkgever zijn:

1.

Vanuit de gebruiker de niveau PII 2 gegevens via de `task agent' en de wensen met betrekking tot de baan naar de 'job market' agent en vanuit de werkgever via de organisatie agent naar de 'job market' agent het profiel van de baan en beperkt identificerende gegevens over de organisatie zelf.

2.

Vanuit de gebruiker de niveau PII 2 gegevens via de `task agent' en het profiel van de sollicitant naar de 'job seek' agent en vanuit de werkgever via de organisatie agent naar de `vacancy agent' met de door de sollicitant te vervullen vereisten en beperkt identificerende gegevens over de organisatie zelf.

3.

Wanneer beide partijen via hun task agents een 'match' hebben, dan gaan er niveau PII 1 gegevens van de gebruiker via de task agent naar de organisatie agent naar de werkgever en omgekeerd de contactinformatie van de werkgever.31

Figuur 6.17 laat de eerste bladzijde van de tachtig bladzijden tellende communicatie- en onderhandelingensequentie tussen de agenten zien bij het vinden van een baan voor de gebruiker van de PISA-`applicant'.

Figuur 6.17: Eerste bladzijde van de communicatie tussen PISA en andere mobile software agents. De kleur van de envelop geeft de herkomst van het verzonden bericht aan. In deze figuur worden enveloppen gestuurd door drie verschillende agents, nL de applicant agent, de job market agent en de employer agent. De vraagtekens betekenen dat met de gebruiker van de agent dient te worden overlegd voordat de agent zijn taak verder kan uitvoeren.

id-2faad5c6-aba0-42ea-bdca-8a9be9152f65

De vraagtekens in de figuur 6.17 betreffen de in een 'pop-up window' gestelde consultatievragen van de agent aan de gebruiker over hoe te handelen met betrekking tot afgifte van PII. Hieronder volgen drie voorbeelden.

1.User Applicant receives message from applicant agent about vacancy that is potentially interesting, but for which the employer agent needs more private information. Please make a choice. Choose scenario: Do not continue negotiations or Hand over extra private information and continue negotiations.

2.Job seeker agent has finished task sequence. Based on input from applicant agent the job seeker agent continues search or not. Please choose scenario: Abort search or Continue search.

3.

Applicant receives message from applicant agent about job market that doesn 't offer the desired privacy policy and/or security features, or isn't specialized in the job market you are interested in. Please make a choice: Do not trust job market agent or Trust job market agent.32

d. Anonimiteit en pseudo-identiteit

In PISA wordt een onderscheid gemaakt tussen persoonlijke en (afgesplitste) taak agents. De persoonlijke agents zijn permanent en bevatten alle niveaus PII. De persoonlijke agent delegeert beperkte PII aan de taak agents, die een beperkte dimensie en slechts één leven hebben (na de uitvoering van de taak wordt hij en zijn klonen33 direct uitgeschakeld (`killed'), want bij hergebruik kan tracering van de gebruiker plaatsvinden). De taak agent bevat slechts de relevante informatie voor één bepaalde taak. Vandaar dat alle persoonlijke informatie vercijferd is afgeschermd zolang die informatie niet uitdrukkelijk wordt opgevraagd en vrijgegeven. De `task agent' die een specifieke taak voor een gebruiker uitvoert, is niet anoniem aangezien de agent overeenkomstig de specificaties van FIPA34 gebouwd moet zijn en derhalve een naam moet hebben, waardoor deze kan worden geïdentificeerd. De identiteit van de gebruiker kan niet uit de naam van de agent worden afgeleid en kan derhalve als pseudo-identiteiten van de gebruiker worden gezien. Slechts de persoonlijke agent van de gebruiker weet welke agent als task agent optreedt.

Een aanvaller (hacker) zou een communicatie-analyse van het `agents platform' kunnen uitvoeren en dat zou de relatie tussen de persoonlijke agent en de task agent kunnen openbaren. Toepassing van `orlion routing'35 met encryptielagen kan dit probleem oplossen, want een alternerende `onion routing' maakt anonieme communicatie tussen agenten mogelijk, waardoor de uitgewisselde mededelingen worden beschermd tegen verkeersanalyse. Deze benadering verbergt informatie die zou kunnen duidelijk maken welke agent met welke agent voor welk doel wordt verbonden (zie figuur 6.18). De 'sender' bepaalt de route van het bericht. Hij zendt het bericht met encryptielagen naar een 'mix'. Een 'mix' is een computer die tussen zenders en ontvangers 'bemiddelt'. De 'mix' slaat berichten op, past daarop cryptografische berekeningen toe en zendt deze weer verder naar het volgende `mix'station. De verzending van ontvangen berichten geschiedt totaal willekeurig, dat wil zeggen op een manier die door anderen niet te voorspellen is.

Figuur 6.18: Mixes: de basis van onion routing. De grijs gearceerde schijven zijn de 'af te pellen' encryptieringen, te vergelijken met enveloppen waarin weer enveloppen zich bevinden. In dit voorbeeld zendt A de mededeling naar de gekozen bestemming met de publieke sleutels Ka, Kb, Kc naar de bestemming (de uiteindelijke ontvanger) via Mix A; Mix A analyseert de encryptie en herkent de publieke sleutel Kb en stuurt de mededeling door naar Mix B; Mix B volgt dezelfde procedure en zendt door naar Mix C etc.

id-d8c75e5e-df72-4fc8-9192-4b9ef3960701

Zoals als eerder betoogd neemt een `task agent' slechts die PII mee, die voor de taak is vereist. Alvorens persoonlijke informatie naar een andere agent te verzenden, zal de `task agent' ervoor zorgdragen dat de ontvanger met de privacyrealisatiebeginselen en de privacyvoorkeuren van zijn meester (de gebruiker) instemt. Bijvoorbeeld: een 'service agent' ontvangt slechts Niveau 2 PII en pas na toestemming van de persoonlijke agent of de gebruiker zelf kan gevoeligere persoonlijke informatie worden overgedragen. Zelfs wanneer de `task agent' de contactinformatie onthult, dan nog zou deze informatie de echte identiteit van de gebruiker kunnen verbergen. De contactinformatie zou slechts een e-mailadres kunnen bevatten waardoor de gebruiker niet of met veel moeite identificeerbaar is. Overeenkomstig de EU-privacyrichtlijnen moet de agent in staat zijn om de PII van de gebruiker op zijn verzoek te kunnen verwijderen en/of bij te werken. Om dit doel te bereiken, ondersteunt de PISA-`applicant' in de interactieprotocollen de privacyrealisatierechten van de gebruiker (inzage, verwijdering, correctie, blokkering) en zal de agent de PII overeenkomstig het verzoek van de gebruiker op elk gewenst moment bijwerken. Behalve het verwijderen van de PII zal het ook voor de gebruiker mogelijk zijn om een `task agent' samen met zijn PII te 'killen' en zelfs zijn persoonlijke agent en alle taakagenten die daaruit zijn ontstaan te annihileren.36

e. Audit trail

De gebruikers van de PISA-`applicant' dienen te weten welke berichten tussen agents worden verzonden, zowel ter wille van de transparantie, de controle (monitoring) op het handelen van de `task agent', als de aansprakelijkheid die uit handelingen van hun `(task) agents' zouden kunnen voortvloeien. Voor de verwezenlijking van de transparantie, wordt voor elke gebruiker een 'log agent' aangemaakt. De log agent' is een specifieke `task agent', die met de gebruiker is geassocieerd. Als dusdanig, heeft de agent toegang tot de persoonsgegevens van de gebruiker en zijn hoofddoel is om vast te leggen wat er gebeurt tijdens de onderhandelingen tussen agents met de PII van de gebruiker en de daaruit voortvloeiende transacties. In deze context krijgt de log agent automatisch terugkoppeling over alle berichten waarin de persoonsgegevens zijn opgenomen. Het gaat niet zozeer om de inhoud van de persoonsgegevens, maar door het oormerken van gegevens de gebruiker genoeg terugkoppeling te geven om te kunnen nagaan waar zijn persoonsgegevens naartoe zijn gegaan.37 Deze loggingfunctionaliteit bevat ook een `audit agent' die de agents zal controleren op hun handelen en die slechts door een van tevoren geautoriseerde RA- of RE-accountant of door een daartoe aangewezen medewerker (auditor) van de Data Protection Authority (in Nederland het College bescherming persoonsgegevens) kan worden geraadpleegd. De combinatie van log agent en audit agent is de monitor agent in figuur 6.17.

Deze functie is alleen te gebruiken als je bent ingelogd.