Ja duh, natuurlijk moet een stemwijzer werken met https

De Autoriteit Persoonsgegevens (AP) heeft onderzoek gedaan naar de beveiliging van websites die interactieve stemhulp bieden, las ik bij Nu.nl. De privacytoezichthouder meldt dat 14 van de 24 onderzochte websites geen gebruik bleken te maken van een versleutelde verbinding, en na de vingertik hebben vier meteen de handdoek in de ring gegooid. De rest is nu over naar een beveiligde verbinding.

De verkiezingen komen er weer aan, dus is het logisch dat her en der stemadviessites zoals Stemwijzer en Kieskompas opduiken. En die kwamen recent in opspraak omdat ze tracking cookies zetten, waardoor bezoekers konden worden gevolgd en -althans in theorie- hun politieke voorkeur kon worden achterhaald.

Dat is een probleem, want politieke voorkeur is niet zomaar een gegeven – dat is een bijzonder persoonsgegeven, waar de Wbp heel streng bovenop zit. Dergelijke gegevens mogen gewoon niet worden verzameld of bijgehouden, behalve in enkele speciale gevallen. Aparte, uitdrukkelijke toestemming is er eentje maar geen hond die die vraagt.

Maar de reden waarom veel sites tracking doen – de eigen dringende noodzaak – staat er niet bij. Vorig jaar werden ziekenhuizen nog gewaarschuwd om die reden dat zij geen tracking cookies mogen plaatsen zonder apart toestemming daarvoor te vragen. Medische en politieke persoonsgegevens zijn voor de wet hetzelfde, dus dat geldt ook hier.

Toestemming vragen onder de cookiewet is een heikel punt. “Door deze site te gebruiken geeft u toestemming”, luidt vaak de redenering. Die is al zeer twijfelachtig, maar bij bijzondere persoonsgegevens écht niet toegestaan. Het verbaast dan ook niet dat stemwijzers nu alleen nog functionele cookies plaatsen.

Ook de beveiliging is een issue. Die moet bij bijzondere persoonsgegevens hoog liggen, dus dat je dan https moet gebruiken, zou voor mij voor zich spreken. Juist ook hier, omdat deze diensten niet alleen aan persoonsgegevens raken maar ook aan het stemgeheim. Je moet immers je politieke voorkeur kunnen bepalen zonder zelfs maar het idee dat iemand je in de gaten houdt en je erop aanspreekt, al is het maar door commerciële profiling en marketing.

Arnoud

6 reacties

  1. Waarom blaft de privacytoezichthouder in dit geval en bijt die niet? SSL is zo’n basale beveiligingsmaatregel dat ik hem tegenwoordig op alle websites verwacht. Laat staan op een website die met gevoelige informatie om gaat. Zo krijgt security niet de respect die het verdient omdat er toch geen consequenties aan zitten.

    1. De AP geeft een openbare waarschuwing, dat doet al een beetje pijn; maar wat ik belangrijker vind is dat de waarschuwing effectief geweest is: 100% van de problemen zijn inmiddels opgelost. Ik ben het met je eens dat https tegenwoordig (bijna) als standaard wordt gezien, maar wanneer dat besef bij de meerderheid van de kieswijzersites nog niet aanwezig is, dan is het opleggen van boetes prematuur.

      De AP moet ook efficiënt met haar beperkte middelen omgaan; 14 boetebesluiten, met bijbehorende bezwaar- en beroepsprocedures, houdt een handvol ambtenaren voor een jaar aan het werk. Die kunnen ook ingezet worden om in een andere sector de privacy te verbeteren.

      Edit: Ik lees op de website dat de AP een aanwijzing gegeven heeft, maar zij meldt niets over dwangsommen… Het is dus meer dan een vrijblijvende waarschuwing.

  2. Het hoeft natuurlijk niet via https maar dan moet je het volledig clientside doen. Je maakt dus een stemwijzerappje/ -spelletje dat je laat downloaden en alles gebeurt op de computer van je klant. Nadeel is dan natuurlijk wel dat je er geen opiniepeiling meer aan vast kunt hangen en volgens mij is dat de reden dat de meeste van die websites bestaan.

    1. Ik vind dit wel een goed punt. HTTPS voor verkeer binnen Nederland beschermt je alleen op open netwerken zoals NS, Schiphol en McDonalds etc. Op je thuisverbinding kan hooguit de AIVD nog meeluisteren.

      Ik maak me eerlijk gezegd meer zorgen wanneer de site trackers handteert. Een Facebook-share knop lekt informatie naar Facebook, Google Analytics en Google Ads lekken informatie naar Google. Dat lekken gaat keurig via HTTPS maar of dat de situatie beter maakt..?

      1. Nah, het is tegenwoordig naïef om te denken dat er bij je thuis niemand meeluistert. Heb je een IoT-apparaatje? Veel van die dingen zijn makkelijk te hacken van buiten je huis, en als ze gehacked zijn kunnen ze je afluisteren. Veel routers zijn ook te hacken: ze worden immers gemaakt om goedkoop te zijn en als je geluk hebt snel; “onhackbaar” staat zelden bij de features.

Geef een reactie

Handige HTML: <a href=""> voor hyperlinks, <blockquote> om te citeren, <UL>/<OL> voor lijsten, en <em> en <strong> voor italics en vet.