Lekkende cruise

Afbeelding: Unsplash

Ze hadden hun zoveelste cruise gemaakt. Ook deze keer hadden ze droge voeten gehouden, maar er was toch een lek geweest, zo bleek achteraf. Een datalek. En net als destijds bij de Titanic werd er gedaan alsof er niets aan de hand was.

Onze opvarenden hadden geen persoonlijk bericht ontvangen over het feit dat hún data waren gelekt. Ze kwamen er slechts bij toeval achter. In Europa wapperen we dan al snel verontwaardigd met de AVG: ze moeten me toch inlichten als mijn gegevens lekken?! Maar zo eenvoudig ligt het niet. Om te beginnen moet de lekkende organisatie zelf bepalen of een melding bij de Autoriteit Persoonsgegevens (AP) vereist is. Dat hoeft niet als “het niet waarschijnlijk is dat het datalek een risico oplevert voor de rechten en vrijheden van betrokkenen”, zo valt bij de AP te lezen. De gelekte informatie bevatte persoonsgegevens (onder andere van de varende collega), dus daar kom je waarschijnlijk niet mee weg.

Vervolgens moet de lekkende partij dit melden bij de slachtoffers, en nu komt het: áls het datalek waarschijnlijk een hoog risico voor hen oplevert. Ook deze inschatting moet de organisatie zelf maken, uiteraard gebaseerd op de AVG-regels. Als persoonsgegevens zijn gestolen door een hacker, dan is het risico wel duidelijk, aldus de AP. Met deze situatie hebben we hier inderdaad te maken: vorige maand stuurde Carnival Corporation, het moederbedrijf van Carnival Cruise Line, brieven naar klanten over een cyberbeveiligingsincident (maar dus niet naar álle klanten). Een maand eerder wist een aanvaller via social engineering toegang te krijgen tot IT-systemen van Carnival en heeft hij persoonlijke gegevens van klanten gekopieerd. Het gaat daarbij om naam, e-mailadres, geboortedatum, geslacht en nog wat specifieke Carnival-gegevens.

Het hoofdkantoor van Carnival Corporation is gevestigd in Miami. Aha, hoor ik je beteuterd denken, dat ligt ruim buiten de EU, dan heb ik niks aan die mooie AVG. Fout! De AVG kent, met een chic woord, extraterritoriale werking: als een bedrijf van buiten de EU zich (ook) op de Europese markt richt, dan valt het onder de AVG. En als ik het allemaal bij elkaar optel, dan lijkt me dat een persoonlijke melding aan de betrokkenen hier wel aan de orde is.

Tenzij… Ja, tenzij de gegevens versleuteld waren, het datalek is beëindigd voordat iets met de data kon worden gedaan, of het informeren van alle slachtoffers een onevenredige inspanning van het bedrijf zou vergen, bijvoorbeeld omdat ze geen contactgegevens (meer) hebben. In dat laatste geval mogen ze het in de krant of op social media zetten.

Kortom: zo gemakkelijk is het nog niet. We weten wel hoe het in dit geval is gelopen: niet. Daarom vroeg de gelekte collega mij wat je in zo’n geval zelf kunt doen. De AP heeft daar een mooi overzicht van gemaakt. Daar staat onder andere in dat je gelekte wachtwoorden moet wijzigen; dat is inderdaad het allereerste wat je doet. Ze zeggen dat je ook bij andere accounts en apps je wachtwoord moet wijzigen, als dat hetzelfde is als het gelekte wachtwoord. Nu zie je meteen waarom je geen wachtwoorden moet hergebruiken: je krijgt het druk na een lek. Want die criminelen gaan je wachtwoord van website A gewoon uitproberen bij website B tot en met Z. Uiteraard had je overal waar dat kan al lang multifactorauthenticatie aan staan.

Je moet na zo’n lek ook extra alert zijn op phishing. Die phishing kan geraffineerder zijn dan de 13-in-een-dozijn phishingmailtjes, omdat ze nu niet alleen je e-mailadres hebben, maar nog veel meer informatie, waarmee ze de mailtjes lekker persoonlijk kunnen maken.

Met alleen maar een bankrekeningnummer (IBAN) of BSN kan een crimineel niet veel, stelt de AP ons gerust. Maar let wel op voor de combinatie van gegevens – een kopietje van je ID-bewijs kan een gamechanger zijn als het om identiteitsfraude gaat.

Samengevat: wees alert…

En in de grote boze buitenwereld …

• zijn nu ook je modieuze data gelekt.
• is Google zelf verantwoordelijk voor AI-samenvattingen.
• houden cybercriminelen van scholen.
• kon iedereen alle gegevens van klanten van ServiceNow inzien, zonder wachtwoord.
• is Fable de afgezwakte versie van Mythos, met heel strakke begrenzingen.
• is het verbod op de Amerikaanse overname van DigiD-hoster Solvinity juridisch een hele kluif.
• meldde de Belastingdienst een datalek dat werd veroorzaakt door het gebruik van Adobe Analytics.
• komt het nieuwe systeem voor de omzetbelasting toch niet geheel in Amerikaanse handen.
• gaan ambtenaren vlammen.

Ik zie, ik zie wat jij niet ziet

 

Afbeelding via Pixabay

Het was een warme dinsdagmiddag in zo’n zomer die maar niet wil losbarsten. Dan pak je wat je pakken kunt, en dus zaten ze in hun  Utrechtse achtertuin te genieten van die ene mooie dag. Plots werd de rust wreed verstoord door geschreeuw en gebonk op de tuinpoort. Verschrikt sprongen ze op.

Door de spleten in de poort zagen ze stukjes van een vrouw die verwilderd uit haar ogen keek. “Laat me erin, dit is mijn huis!”, krijste ze. Nou, dat gingen ze maar even niet doen. Uitleggen dat de vrouw toch echt bij het verkeerde huis, ja zelfs in de verkeerde straat stond, had geen effect op deze dame, die duidelijk onder invloed van het een en ander verkeerde. Ze bleef maar op de poort bonken. Nou klinkt ‘poort’ erg solide, maar in feite was het een constructie van waaibomenhout die aan inferieure scharnieren hing, en de rechtmatige eigenaren vreesden dat die niet meer heel lang stand zou houden.

Hoogste tijd op de politie te bellen. Die was snel ter plaatse, zoals dat in hun jargon zo mooi heet, en ze begrepen al gauw dat ze de persoon in kwestie maar het beste konden meenemen, want in de huidige staat was er geen land mee te bezeilen. Ze propten haar achterin de auto en reden weg. Het werd weer rustig in de straat.

De buurtbewoners waren natuurlijk zowel geschrokken als nieuwsgierig. De meesten waren niet thuis toen dit gebeurde, of aan het stofzuigen, waardoor ze niks hadden gehoord. De overburen hadden een beveiligingscamera. Zou daar iets op te zien zijn? Bingo! Het stond er allemaal op. Toen de vrouw kwam aanlopen, keek ze zelfs even recht in de camera. Ook de politieactie was prachtig in beeld gebracht. Het filmpje werd gedeeld in de buurtappgroep – niet voor de sensatie, maar uit het besef dat die dame binnen de kortste keren weer vrij zou rondlopen, en dat de straat dan toch graag voorbereid zou willen zijn.

Als ik in die straat zou wonen, dan zou ik die informatie ook willen hebben. Je wilt toch je gezin en je eigendommen beschermen, nietwaar. Ik zou dan ook, als gewone burger, niet aarzelen om de beelden te delen met belanghebbenden. Maar vanuit mijn vak vraag ik me tegelijkertijd af: mag dat eigenlijk wel? Hoe zit dat met de privacy? Ook mensen die iets verkeerds doen hebben daar recht op. De Algemene Verordening Gegevensbescherming (AVG) is Europese wetgeving die onze privacy reguleert. Ieder land heeft een AVG-toezichthouder; in Nederland is dat de Autoriteit Persoonsgegevens (AP). De AP is de perfecte bron om op zoek te gaan naar het antwoord op mijn vraag.

Je mag beelden, waarop personen herkenbaar in beeld zijn, niet zonder hun toestemming delen, lees ik daar. Dus niet op internet zetten en ook niet delen via social media. Maar er geldt wel een uitzondering voor persoonlijk of huishoudelijk gebruik: “De voorwaarde hierbij is dat deze persoon de foto’s en filmpjes privé houdt of hooguit in een zeer beperkte kring deelt. Bijvoorbeeld in een kleine appgroep.” Dat van die ‘kleine appgroep’ is een beetje vreemd, want elk lid van die groep zou de beelden verder kunnen verspreiden. Misschien zie je ze wel terug op Dumpert.

Er speelt nog meer. Je mag ‘eigenlijk’ ook niet de openbare weg filmen. Want dat betekent een aantasting van de privacy van elke passant. Nou snappen ze bij de AP best dat het soms niet anders kan dan dat je camera een stukje van de straat meefilmt. Maar ook dan gelden er regels. De meest voor de hand liggende: zoom zoveel mogelijk in op je eigendommen, met andere woorden: maak de schending van de regels zo klein mogelijk. Beelden bewaren hoeft eigenlijk ook niet, maar daar lijken geen concrete regels voor te zijn, want de AP zegt hierover:  “Verwijder de beelden zodra u die niet meer nodig heeft. Bijvoorbeeld na 24 uur.” Ook moet je mensen informeren over je camera en de beelden goed beveiligen – want als je gehackt wordt, dan heb je een datalek.

Er zit een dubbele moraal in de regel dat je de openbare ruimte niet mag filmen. Want als er bij jou in de straat iets gebeurt, dan wil de politie maar wat graag de beelden van jouw ‘illegale’ camera hebben – ze kunnen die beelden zelfs vorderen, met andere woorden: je bent verplicht om ze af te staan. Het mag dus niet, maar als je het toch doet, dan helpt dat misschien bij de bestrijding van misdaad.

 

En in de grote boze buitenwereld …

• is het niet handig om een waarschuwing voor een hack uit te laten zien als phishing.
• zijn AI-bedrijven een goudmijn voor hackers.
• zou MFA geen optie moeten zijn.
• heeft internationale politiesamenwerking geleid tot het neerhalen van een botfarm die Russische propaganda verspreidde.
• heeft Europol samengewerkt met private partijen om het criminele gebruik van een pentesttool aan te pakken.
• keert Google voortaan veel hogere bedragen uit voor gemelde kwetsbaarheden.
• moeten ook testaccounts sterke wachtwoorden hebben [artikel bevat reclame, maar het is toch interessant].
• is de AI Act van kracht geworden.
• maken wereldwijd driekwart van alle handelssites en -apps gebruik van dark patterns.
• krijg je niet zomaar altijd de schade door bankhelpdeskfraude vergoed.

 

Wet is wet

 

Afbeelding via Pixabay

“Carprof en AA-team maakt gebruik van de AVG (Algemene Verordening Gegevens-bescherming)”, stond in de brief van de garage. Ik schoot in de lach toen ik dit las. “Maakt gebruik van”.

Ze zullen het wel niet zo bedoeld hebben, maar ze hebben het wat ongelukkig opgeschreven. Net als alle wetgeving is ook de privacywetgeving geen snoepwinkel waar je alleen de snoepjes die jij het lekkerst vindt in de zak gooit. Evenmin kun je de AVG links laten liggen, of inruilen voor bijvoorbeeld de privacywet van Guatemala (een zuiver willekeurig voorbeeld).   

Het bijzondere van de AVG is dat het geen nationale wet is – zoals haar voorganger, de Wet bescherming persoonsgegevens (Wbp), dat wel was – maar een Europese (excuses als de aanduiding ‘wet’ theoretisch-juridisch niet klopt, maar het gaat erom dat het regels zijn waaraan je je moet houden en zo niet kun je straf krijgen).

Ik heb het hier al eens gehad over een Griekse autoverhuurder die snapte dat ik mijn gegevens na afloop van de huurperiode verwijderd wilde hebben én daar een formulier voor had. En dit jaar viel mij op dat ze er zelfs in Italiaanse hotels niet raar van opkeken dat ik niet onze paspoorten inleverde, maar slechts kopieën ervan. In Italië moet je altijd in een register worden ingeschreven en dat doen ze aan de hotelreceptie eigenlijk nooit à la minute – en dus willen ze je paspoort een tijdje houden.

Dit jaar namen ze dus genoegen met een kopie. Ik had voor de zekerheid een heel stapeltje kopieën meegenomen, maar ik kreeg alles weer netjes terug en had dus kunnen volstaan met één setje. Op die kopieën had ik onze BSN’s onleesbaar gemaakt (staat in de onderste tekstregels) en over de foto’s de tekst ‘Copy’ geschreven. Overigens viel mij op dat in de gloednieuwe paspoorten van de kinderen het BSN niet meer op de voorkant van de fotopagina staat. Dat is een goede aanpassing, die helemaal in lijn is met het AVG-uitgangspunt van dataminimalisatie: niet méér data opnemen dan nodig is voor het beoogde doel.

Wat wilde dat garagebedrijf me nou eigenlijk vertellen met dat wat ongelukkige zinnetje? Dat ze gegevens van mij hebben en dat ze daar netjes – conform de wet – mee omgaan. En dat ze er dus geen gekke dingen mee doen, zoals doorverkopen aan een advertentiebedrijf. Dat ze me zélf af en toe een foldertje toesturen, is inherent aan de zakelijke relatie die ik met ze heb (denk ik).

Qua reclame is er trouwens wel iets geks aan de hand. Ik heb mijn auto vijf jaar geleden gekocht bij de plaatselijke Mitsubishi-dealer. Dat bedrijf is sinds een paar jaar geen officiële Mitsubishi-dealer meer; ze werken nu onder het label Carprof. Een paar honderd meter verderop woont de nieuwe officiële Mitsubishi-dealer. En die stuurt mij ook post, waarin hij het type, kenteken en bouwjaar van mijn auto vermeldt, compleet met het bedrag dat hij voor die auto overheeft als ik bij hem een nieuwe koop. Terwijl ik nog nooit bij dat bedrijf over de vloer ben geweest. Kennelijk kan een automerk mijn gegevens opvragen puur omdat ik een auto van dat merk heb.

Autobedrijven lijken die gegevens te koesteren en (dus?) niet op te schonen. Ik ontving nog jarenlang post van Peugeot, mijn vorige automerk. Totdat ik ze vroeg om daarmee te stoppen. Ook dat is een verworvenheid van de AVG: als je daarom vraagt, dan moet een bedrijf jouw gegevens weggooien. En nee, dat gaat niet op als je nog lopende verplichtingen aan dat bedrijf hebt.

Een bedrijf kan er niet voor kiezen om gebruik te maken van de AVG; ze hebben er gewoon aan te voldoen. Jij als particulier kunt wél gebruikmaken van de AVG. Door je rechten te kennen en ze toe te passen. Bijvoorbeeld door inzage te eisen in welke gegevens een bedrijf over jou heeft, foute gegevens te laten corrigeren en gegevens te laten verwijderen. Dat laatste wordt ook wel haast poëtisch aangeduid met ‘het recht om vergeten te worden’. Maar als je houdt van al die aandacht, dan mag je dat gerust zo laten. Niemand die je dwingt om gebruik te maken van de AVG.

 

En in de grote boze buitenwereld …

• vinden ze het gelukkig ook buiten Europa niet zo’n goed idee om oude harddisks door zomaar een bedrijf te laten afvoeren.
• kosten spoofing en vriend-in-noodfraude ons veel geld.
• kost phishing gelukkig soms ook de crimineel geld.
• zijn deze beide professoren fel tegen het gebruik van de public cloud door de Nederlandse overheid.
• zien we steeds vaker voorbeelden van supply chain attacks.
• is het misschien toch niet zo’n goed idee om je zwembad aan het internet te hangen.
• lekte American Airlines klant- en medewerkersgegevens na een geslaagde phishing-aanval.
• moet je altijd goed opletten waar je de komma plaatst.
• verhuist een bedrijf soms vanwege nieuwe wetgeving in een land.
• waarschuwt Windows 11 als je je wachtwoord in een onveilig bestand wilt opslaan.
• is multifactorauthenticatie een belangrijke maatregel, maar geen waterdichte.

 

AVG troef

“De AVG-kaart wordt veel te vaak gespeeld om dingen maar niet te hoeven doen”, schreef ik een paar weken geleden in de Security (b)log – tussen haakjes nog wel, bij wijze van zijdelingse observatie. Omdat ik dat op zich wel een aardig zinnetje vond, plaatste ik het op Twitter. Die tweet bereikte dankzij de hashtag #AVG duizenden mensen, wat voor mijn doen erg veel is. Hij oogstte ook bescheiden bijval (onder andere van juristen) en een paar reacties. Eén van die reacties luidde: “Wij willen voorbeelden!” Nou, dat kan. Wel met de voetnoot dat ik geen jurist ben, maar wel een goed ontwikkeld gevoel heb voor wat redelijk is en wat niet. En ik heb geleerd dat het recht geen exacte wetenschap is maar juist vaak op onderbuikgevoel drijft. Dan durf ik ook wel mijn eigen onderbuik in de strijd te gooien.

Voorbeeld één. In het kader van business continuity management werd periodiek een lijst opgevraagd van alle medewerkers van een datacenter. De bedoeling van deze lijst was tweeledig. Als er zich een calamiteit zou voordoen, dan zou het handig kunnen zijn als managers hun medewerkers thuis konden bereiken, desnoods op een privénummer. Bij een calamiteit wil je immers zo snel mogelijk terugkeren naar een normale situatie en dan is het alle hens aan dek. De andere reden was dat er ook calamiteiten kunnen plaatsvinden waarbij slachtoffers vallen; de lijst zou dan helpen bij het inlichten van de familie.

Sinds de invoering van de AVG krijgt BCM deze lijst niet meer, want dat zou strijdig zijn met de AVG. Laten we eens kijken naar het belang van zo’n lijst. Stel, je bent een organisatie die volledig afhankelijk is van z’n ICT, en die ICT is door een calamiteit zwaar gehavend. Dan is het voor die organisatie van levensbelang dat de meest kritische componenten van de ICT weer zo snel mogelijk in de lucht zijn. En daar heb je je mensen bij nodig. Calamiteiten hebben vaak de onhebbelijkheid om zich op onmogelijke momenten – bij nacht en ontij bijvoorbeeld – voor te doen, dus wanneer je mensen thuis zitten. Het lijkt me kortom geen onredelijk verlangen om een contactlijst paraat te hebben. Uiteraard onder de voorwaarde dat die alleen bij calamiteiten mag worden gebruikt.

Het tweede voorbeeld dank ik aan mijn tv/internetprovider, die mijn mailaccount weer eens had geblokkeerd nadat ik een mailtje had verzonden terwijl mijn VPN aan stond. Hun systemen zien daardoor mijn fysieke locatie nogal verspringen en dat vinden ze verdacht. Daar ging ik over chatten met de provider. In hun script staat dan dat de klant webmail moet gebruiken in plaats van een mailprogramma. Dat zou dergelijke problemen voorkomen. Omdat ik toch graag wilde dat ze eens zouden kijken of ze hun systemen niet slimmer kunnen inrichten, vroeg ik om mijn klacht door te spelen naar de desbetreffende afdeling. Dat kon helaas niet, typte de provider, “want dit is gewoon hoe het verloopt i.v.m. privacy etc.” Ik vroeg wat privacy hiermee te maken had en kreeg als antwoord: “Alles, maar dit is een automatisch proces. Privacy voor de landen etc. dit is moeilijk uit te leggen. Meer een soort bescherming voor jou, jij ziet dit niet zo wat ik wel begrijp.”  Is jouw klomp inmiddels ook gebroken, beste lezer?

Een derde voorbeeld hoorde ik onlangs op de One Conference in Den Haag. Als de politie onderzoek doet naar cyberaanvallen, dan levert dat veel informatie op waar ook de slachtoffers van die cyberaanvallen baat bij kunnen hebben. De politie deelt die informatie echter niet met hen, omdat er ook informatie over andere partijen in staat, en dan wordt het een privacy-dingetje hè. Ik denk dat het de aangiftebereidheid alleen maar ten goede zou komen als bedrijven als wederdienst iets bruikbaars (actionable information) terug zouden krijgen. Zou het veel moeite kosten om desnoods bepaalde gegevens te verwijderen?

Een mij onbekende NOS-verslaggever reageerde op mijn tweet met de vraag: “Aardappelen vlees groente?” Ik dacht even dat hij mij in de maling nam, maar voor de zekerheid heb ik toch maar uitgelegd dat het over de Algemene Verordening Gegevensbescherming ging, waarop hij reageerde met: “Oh ;)”. Mijn leerpunt hieruit: ga er nooit van uit dat iedereen snapt wat voor jou gesneden koek is, zelfs niet als iemand in een beroepsgroep zit waar je dat soort kennis wel zou verwachten (maar voor hetzelfde geld verslaat die man alleen maar schaakwedstrijden of zo).

En in de grote boze buitenwereld …

... kun je de AVG ook gebruiken om bedrijven te pesten.

https://boingboing.net/2019/10/08/ddos-gdpr.html

... mogen Britse opsporingsdiensten voortaan bij ernstige misdrijven gegevens opvragen bij Amerikaanse technologiebedrijven.

https://www.gov.uk/government/news/uk-and-us-sign-landmark-data-access-agreement

... kunnen alle iPhone-versies gejailbreakt worden.

https://www.schneier.com/blog/archives/2019/10/new_unpatchable.html

... doet de politie een proef met een chatbot om onder andere ransomware en helpdeskfraude te melden. Deze virtuele agent heet Wout.

https://www.politie.nl/wout

... kunnen Google, de Amerikaanse opsporingsdiensten en de beheerder in je eigen organisatie bestanden inzien die je in G Suite maakt.

https://freedom.press/training/blog/newsrooms-lets-talk-about-gsuite/

... doet de Autoriteit Persoonsgegevens onderzoek naar smart cities.

https://tweakers.net/nieuws/158278/autoriteit-persoonsgegevens-doet-onderzoek-naar-smart-cities.html

... is het vaak geen toeval dat scam-mailtjes taalfouten bevatten.

https://josephsteinberg.com/why-scammers-make-spelling-and-grammar-mistakes/

... krijgt Australië ‘s werelds eerste ombudsman voor problemen met social media.

https://www.adelaidenow.com.au/technology/social-media-problems-why-australia-could-get-a-social-media-referee-to-fight-scams-theft-fakes/news-story/95c78c31f71646349257d8c3c6f5a13d

... kun je gezichtsherkenning tegengaan door een ander gezicht op dat van jou te projecteren. Zou dit echt zijn?

https://twitter.com/HappySharingDay/status/1180154863637819393/video/1

... heeft deze collega-blogger zich tot doel gesteld om gedurende deze cybersecurity awareness-maand iedere dag een blog voor het grote publiek te publiceren.

https://johnopdenakker.com

... zou je kunnen beredeneren dat géén beveiliging (heel) soms beter is dan slechte beveiliging.

https://peterzinn.nl/2019/09/30/wat-is-beter-geen-beveiliging-of-slechte-beveiliging/

... is ransomware dit jaar volgens Europol de grootste cyberdreiging.

https://www.security.nl/posting/627125/Europol%3A+ransomware+grootste+cyberdreiging+van+2019

... mogen Australische ambtenaren geen biometrische authenticatie gebruiken op hun iPhone.

https://www.security.nl/posting/626992/Australië+verbiedt+Touch+ID+voor+beveiligen+beschermde+overheidsdata

Griekse privacy

Het busje vertrok en we reden een paar minuten over hoofdwegen, maar opeens sloegen we een één auto breed weggetje langs een prachtig veld vol klaprozen in. We keken elkaar aan met een blik van: waar komen we nu weer terecht? Honderd meter verderop reden we door een poort en zagen een modern kantoorgebouw voor ons, met daaromheen een goed gevuld parkeerterrein. Nee, zo op het oog was er gelukkig toch niets mis met dit autoverhuurbedrijf in Thessaloniki.

Ik moest mijn paspoort en rijbewijs overhandigen. Wat de juffrouw achter de balie daar precies mee deed werd door diezelfde balie aan mijn oog onttrokken. Later zag ik echter dat zo’n beetje al mijn gegevens op het contract stonden en ik besefte dat ze de chips, die in dergelijke documenten zitten, had uitgelezen, want dat kon ze niet allemaal hebben overgetypt. Kan dat dan, die chips uitlezen? Ja, dat kan. Je kunt het zelf testen als je smartphone een NFC-chip heeft (Near Field Communication). Dat is dezelfde chip die ook wordt gebruikt voor pinbetalingen met je telefoon. Daarnaast heb je nog een app nodig die paspoorten kan uitlezen.

Aan het einde van de vakantie besloot ik om de werking van de AVG te testen, hier, aan de andere kant van Europa. Ik vroeg aan de juffrouw die de auto in ontvangst nam of ze al die gegevens, die op het contract stonden, zouden weggooien. Eerst leek ze me niet te begrijpen, maar toen zij ze op geruststellende toon: “Yes, of course, don’t worry.” Voor de zekerheid vroeg ik nog of ze mijn gegevens ook uit de computer zouden verwijderen. Ja, natuurlijk. Op dit punt aanbeland besloot ik om “Griekenland” een zesje te geven voor AVG-kunde: die juffrouw snapte wat ik wilde en dat ik dat ook mócht verlangen, maar de bevestiging die ik kreeg was toch aan de magere kant.

Ik moest nog een tijdje wachten op het busje dat mij naar het vliegveld zou brengen. Na een tijdje wenkte een medewerker, die al een hele tijd had zitten bellen, mij naar zijn balie. Echter niet om me te vertellen dat het busje er was. Nee, hij zei dat hij van zijn collega had begrepen dat ik wilde dat mijn gegevens werden verwijderd. Hij had daar een formulier voor en dat wilde hij samen met mij invullen, in de – terechte – veronderstelling dat ik de Griekse taal niet machtig ben (afgezien van wat losse letters uit de wis- en natuurkunde die nog zijn blijven hangen).

Het formulier wilde mijn NAW-gegevens, e-mailadres, geboortedatum en telefoonnummer weten en ik moest wat kruisjes en handtekeningen zetten. Op dat moment had ik eerlijk gezegd geen flauw idee waar ik mijn handtekening onder zette – ik vertrouwde volledig op de integriteit en goede bedoelingen van die vriendelijke Griek. Hij legde me uit dat het bedrijf mijn gegevens nog dertig dagen moest bewaren voor als er bekeuringen op mijn huurauto waren uitgeschreven. Daarna zouden ze mij per e-mail informeren over het verwijderen van de gegevens. De score van Griekenland was inmiddels gestegen tot een zeven.

Thuis aangekomen was ik toch wel benieuwd wat ik nou precies had ondertekend. Ik heb de papieren ingescand, door een tekstherkenningsprogramma gehaald en het resultaat daarvan aan Google Translate gevoerd. De kop van het formulier stemde mij meteen al hoopvol: AANVRAAG TOT TOEGANG, CORRECTIE, KWIJTING, BEPERKING BEHANDELING, APOTHEEK, ANTI-TEXT IN VERWERKING PERSOONSGEGEVENS VAN ONDERWERPGEGEVENS. Huh? Apotheek? Even opnieuw vertalen, maar nu met de mobiele app van (eveneens) Google. Je kunt de camera naar een tekst laten kijken en die dan vertalen. De apotheek veranderde in ‘draagbaarheid’, dat zal dus wel op overdracht van de gegevens slaan (dat is één van de rechten die je als betrokkene (in de vertaling: ‘onderwerp’) hebt. Anti-text veranderde in de nieuwe vertaling in ‘verzet’ en dat duidt op het recht om vergeten te worden. Uit de nadere toelichting op het formulier bleek dat te kloppen, en de autoverhuurder had mij keurig een kruisje laten zetten bij ‘verwijdering’. Griekenland, je hebt een acht!

Als je aan zo’n balie staat, wil je de persoon die erachter zit te vriend houden, want je hebt zijn diensten nog hard nodig. Niet handig om dan op je (wettelijke) strepen te gaan staan. Chapeau dus voor dit bedrijf, dat zich een extra inspanning getroostte om aan mijn verzoek te voldoen. Zodra ik de bevestiging van verwijdering binnen heb, stijgen ze naar een negen. Waarom geen tien? Omdat ik daarvoor een rapportje van onafhankelijke auditor zou willen zien, en dat gaat mij een beetje te ver.

En in de grote boze buitenwereld …

... lees je hier hoe je informatie van het internet kunt verwijderen.

https://www.mijnonlineidentiteit.nl/informatie-van-het-internet-verwijderen/

... zijn bazen steeds vaker het doelwit van social engineering.

https://www.helpnetsecurity.com/2019/05/09/verizon-2019-data-breach-investigations-report/

... worden ook YouTubers gephished.

https://www.kaspersky.com/blog/youtube-channel-owners-phishing/26894/

... maken phishers gelukkig ook wel eens een fout.

https://www.grahamcluley.com/an-attempt-to-phish-my-amazon-web-services-account/

... is de schade door cybercrime vorig jaar verdubbeld, zegt de FBI. De helft van de totale schade komt door CEO-fraude.

https://www.darkreading.com/vulnerabilities---threats/fbi-cybercrime-losses-doubled-in-2018/a/d-id/1334595

... gaat de fysieke veiligheid er flink op vooruit als er digitale deurbellen worden geïnstalleerd. Uit het artikel blijkt helaas niet of ook naar de digitale veiligheid van die bellen is gekeken. Veel IoT-apparaten zijn immers slecht beveiligd en bieden hackers een gemakkelijke ingang naar het wifi-netwerk van dat huis.

https://www.rijksoverheid.nl/actueel/nieuws/2019/03/28/digitale-deurbel-maakt-straten-veiliger

... labelt Facebook jouw posts. Mag dat?

https://blog.iusmentis.com/2019/05/09/facebook-overtreedt-mogelijk-avg-door-medewerkers-posts-te-laten-labelen/

... gebruiken de Russen een zeer geavanceerde backdoor voor Microsoft Exchange.

https://www.zdnet.com/article/russian-cyberspies-are-using-one-hell-of-a-clever-microsoft-exchange-backdoor/

... vindt nu ook Google privacy steeds belangrijker.

https://www.volkskrant.nl/nieuws-achtergrond/ook-google-slaat-nu-hard-op-de-privacytrom-zet-het-zoden-aan-de-dijk~b0b09ecc

... is gezag niet te koop.

https://securingtomorrow.mcafee.com/consumer/mobile-and-iot-security/verified-worth-the-risk/

... kan open source code je kwetsbaar maken als je er niet goed mee omgaat.

https://www.darkreading.com/vulnerabilities---threats/real-world-use-risk-of-open-source-code-/d/d-id/1334587

... wil onze minister van Financiën dat er een EU-commissaris voor cyberveiligheid komt.

https://www.dvhn.nl/binnenland/Nederland-wil-EU-commissaris-cyberveiligheid-24430326.html

... heeft eindelijk iemand een asynchrone handshake uitgevonden.

https://www.helpnetsecurity.com/2019/05/07/handshake-style-encryption/

... word je (uiteraard, denk ik) afgeluisterd door je slimme luidspreker.

https://www.washingtonpost.com/technology/2019/05/06/alexa-has-been-eavesdropping-you-this-whole-time

... vervaagt de grens tussen cyberoorlog en echte oorlog.

https://thehackernews.com/2019/05/israel-hamas-hacker-airstrikes.html

... kan een vals GPS-signaal je je jacht kosten.

https://www.kaspersky.com/blog/gps-spoofing-protection/26837/

Het recht is een beetje krom

Ik zat in De Knoop. Acht vrijdagmiddagen lang, met steeds een week ertussen. In dat mooie Utrechtse rijkskantoor met de wat suffe naam volgde ik een privacycursus. Dat een informatiebeveiliger met privacyvraagstukken te maken krijgt is evident: wij zijn ook van de V van vertrouwelijkheid en bovendien waren echte privacydeskundigen – zeker in het pre-AVG-tijdperk – vaak moeilijk op te sporen. Logisch dus dat ik die cursus deed. Behalve nuttig leek het me ook interessant en het kwam de baas ook nog eens goed uit dat er wat meer mensen met deze kennis zouden komen. Kortom, een triple-win-situatie. Dachten we.

Het doel van deze opleiding was om cursisten klaar te stomen om een gegevensbeschermingseffectbeoordeling (GEB) – in de volksmond nog vaak PIA genoemd, van Privacy Impact Assessment – uit te kunnen voeren. (Die moeilijke nieuwe term hebben we overigens te danken aan onze zuiderburen, die de vertaling van de AVG in het Nederlands voor hun rekening namen. Maar dat terzijde, en daarom tussen haakjes.) Voor de rijksoverheid is er een verplicht PIA-model dat de titel Gegevensbeschermings­effectbeoordeling (PIA) draagt (zo komen oud en nieuw mooi samen). Dat document is in wezen een invuloefening. Dus een kind kan de was doen? Nou nee, maar daar kom ik later op terug.

Wat mij tijdens de cursus het meest en bij herhaling opviel  is dat het recht geen exacte wetenschap is. Dat valt mij als informaticus knap tegen. Ik zou een aantal parameters willen instellen en dan kijken wat er uit de formule komt. Maar zo werkt het recht dus niet. Daar kun je zo, maar ook zó tegen een bepaald vraagstuk aankijken. “Met gevoel kom je een heel eind”, zei een van de docenten oprecht optimistisch. Maar voor mij, als juridische leek, was dat dus een afknapper. Van de andere kant: ik had dit natuurlijk kunnen weten. We hebben niet voor niets rechters. Als mijn formule zou werken, dan hadden we die niet nodig. Overigens – ook weer terzijde: er woedt al een tijdje een discussie over het inzetten van kunstmatige intelligentie in de rechtspraak.

Dat het allemaal niet zo binair is, werd deze week mooi duidelijk door een serie tweets van ICTRecht (lees nu eerst even het eerste item uit de Grote boze buitenwereld $). Omdat ik de uitleg over de e-mail en het ziekenhuis niet goed begreep, ging ik te rade bij de Privacy Company, waar ik de cursus had gevolgd. Daardoor wist ik al snel (dank Anne Martine!) dat de beide voorbeelden rechtstreeks waren overgenomen uit een document van de Article 29 Data Protection Working Party (WP29), een gewezen adviesorgaan van de EU. In het onderliggende document legt WP29 uit dat een verkeerd geadresseerde e-mail geen datalek is áls het mailtje per ongeluk is verzonden naar een ontvanger waar je een bestendige vertrouwensrelatie mee hebt. Als je die dan belt en zegt: “Joh, ik heb je per ongeluk dat-en-dat mailtje gestuurd, heb je dat al gelezen? Nee? Mooi, wil je het dan onmiddellijk ongelezen weggooien?”, dan mag je erop vertrouwen dat dat ook gebeurt en dan is er geen lek. Dat is dus duidelijk. Maar in het geval van het ziekenhuis betoogt WP29 dat tijdelijke onbeschikbaarheid van gegevens wél een bij  de toezichthouder te melden datalek is omdat dit een inbreuk op de rechten en vrijheden van een individu zou kunnen veroorzaken. Tijdelijke onbeschikbaarheid een datalek? Dat vond ik raar en daarom ben ik even verder gaan zoeken. Prompt stuitte ik op een pagina met de titel: What's wrong with WP29 guidelines on personal breach notification under GDPR? (GDPR = AVG) op de website van de International Association of Privacy Professionals (IAPP). En die vinden dat dus óók raar. De AVG is nog jong en daardoor is er nog nauwelijks jurisprudentie. De wet moet als het ware nog rijpen. De tijd zal dus moeten leren hoe de wet wordt geïnterpreteerd. Door rechters.

Je snapt inmiddels wel waarom ik zei dat een PIA geen gemakkelijke invuloefening is. Maar naast de hierboven beschreven juridische ambivalentie heb je ook nog te maken met een hele reeks aan keuzemogelijkheden bij het bepalen of een verwerking rechtmatig is (en een  verwerking is ‘alles’ wat je met data kunt doen, waaronder opslaan, raadplegen, vernietigen). Zo zijn er bijvoorbeeld zes verschillende wettelijke grondslagen voor de verwerking van persoonsgegevens. Als je jouw verwerking niet in één van deze grondslagen kwijt kunt, dan mag het dus niet. Maar welke grondslag is van toepassing? Dat alleen al is best een puzzel – en dan heb ik het nog niet over bijzondere persoonsgegevens als ras, religie of medische gegevens gehad; die mag je namelijk helemáál niet verwerken, tenzij dat wél mag op basis van één van maar liefst tien grondslagen. Daarna moet je nadenken over de doelbinding: wat ga je doen met die persoonsgegevens? Dat moet je omschrijven, en vervolgens mag je geen andere dingen met die gegevens gaan doen. En je mag sowieso niet méér gegevens vastleggen dan noodzakelijk is voor het beoogde doel. Ik heb nog lang niet alle aspecten genoemd, maar mijn punt is wel duidelijk: privacy is moeilijk.

Nu zit ik dus soort van in de knoop. De cursus was goed, maar heeft er ook voor gezorgd dat ik veel minder gemakkelijk dan vroeger antwoord geef op de vraag: “Mag dit?” Dat lijkt me trouwens juist goed, al zal iemand die een snel antwoord wil daar anders over denken. Gelukkig hebben we genoeg juristen in de organisatie en een deel van hen schijnt goed thuis te zijn in de AVG. Want dat is iets wat ik op een andere juridische cursus heb geleerd: het recht is verdeeld in een aantal kenniszuilen, en een jurist uit de ene zuil doet niet gemakkelijk uitspraken op het terrein van een andere zuil. Rijkskantoor De Knoop was vroeger trouwens de Knoopkazerne, met heel dikke zuilen.

En in de grote boze buitenwereld …

… is onderstaande toetsvraag een mooie illustratie voor mijn betoog. (Opmerking: de tweets bevatten reclame.)

• Vraag: https://twitter.com/ictrecht/status/1072785706169368577
• Antwoord: https://twitter.com/ictrecht/status/1072826093776838656
• Toelichting op het antwoord: https://twitter.com/ictrecht/status/1072873528351834112

... moet het BSN van zzp’ers uit hun btw-nummer. Want privacy.

https://tweakers.net/nieuws/147084/ap-belastingdienst-mag-in-btw-nummer-geen-burgerservicenummer-gebruiken.html

... is privacy ook moeilijk voor de sportwereld.

https://tweakers.net/nieuws/146992/privacywaakhond-onderzoekt-verkoop-persoonsgegevens-door-tennisbond-knltb.html

... moet zelfs de kerstman voldoen aan de AVG (-;

http://bhconsulting.ie/sleighing-myth-gdpr-santa/

... ontkomen Facebook-gebruikers niet aan op hun locatie gebaseerde advertenties, ook al zetten zij alle relevante instellingen uit.

https://medium.com/@korolova/facebooks-illusion-of-control-over-location-related-ad-targeting-de7f865aee78

... zouden Amazon en Facebook gegevens over gebruikers delen.

https://gizmodo.com/amazon-and-facebook-reportedly-had-a-secret-data-sharin-1831192148

... geeft Facebook sommige grote bedrijven toegang tot privéberichten van gebruikers.

https://www.welingelichtekringen.nl/tech/874953/freaky-facebook-geeft-grote-bedrijven-toegang-tot-priveberichten-van-gebruikers.html

... belijden zowat alle bedrijven privacy en beveiliging van het grootste belang te vinden, maar slechts weinigen hebben een C-level beveiligingspief.

https://krebsonsecurity.com/2018/12/a-chief-security-concern-for-executive-teams/

... onderschepten hackers jarenlang berichten van EU-diplomaten.

https://www.databreachtoday.com/hackers-intercepted-eu-diplomatic-cables-for-3-years-a-11872

... is het Defensie Cyber Commando als militaire eenheid tamelijk vleugellam, maar functioneert het heel aardig als uitzendbureau voor hackers.

https://www.nrc.nl/nieuws/2018/12/18/het-cyberleger-is-er-wel-maar-mag-weinig-a3099254

... zijn de Amerikaanse raketsystemen slecht beveiligd.

https://www.zdnet.com/article/us-ballistic-missile-systems-have-very-poor-cyber-security/

... heb je straks alleen nog je vinger nodig om je auto te openen en te starten. Commentaar van iemand op Twitter: autodiefstal escaleert naar ontvoering.

https://tweakers.net/nieuws/146972/hyundai-gebruikt-vingerafdrukscanners-voor-openen-en-starten-santa-fe-suv.html

... waren ransomware, cryptojacking en CEO-fraude dit jaar wel zo’n beetje de belangrijkste vormen van cybercrime.

https://peterzinn.nl/2018/12/17/de-cybercrime-top-3-van-2018/

… zijn heel wat Nederlandse bestuurders doelwit van CEO-fraudeurs.

https://www.nu.nl/ondernemen/5620436/zeker-dertienhonderd-nederlandse-financiele-bestuurders-lijst-hackers.html

... is cybercrime de snelst groeiende vorm van criminaliteit. (Dit artikel gaat over de VS, maar de conclusies zullen elders ook wel gelden.)

https://www.darkreading.com/threat-intelligence/cybercrime-is-worlds-biggest-criminal-growth-industry/d/d-id/1333485

... verdwijnen drie Vlaamse havenhackers voor lange tijd achter de tralies.

https://www.gva.be/cnt/dmf20181210_04023432/jarenlange-celstraffen-voor-top-it-ers-die-grote-havenbedrijven-hackten-voor-drugscriminelen

... mag je soms best een gemakkelijk wachtwoord gebruiken.

https://www.linkedin.com/pulse/my-plea-use-simple-passwords-andré-koot

... worden phishers steeds gewiekster.

https://www.helpnetsecurity.com/2018/12/17/phishing-activity-trends-report-q3-2018/

... lees je hier hoe je jouw uitgelekte naaktfoto’s van het internet af kunt krijgen.

https://medium.com/@UID_/naaktfotos-gelekt-wat-nu-fb3490c2ab6b

... heeft de AIVD zijn kerstpuzzel gepubliceerd. Succes...

https://www.aivd.nl/actueel/nieuws/2018/12/11/aivd-kerstpuzzel-2018-gepubliceerd