Categorie: Security

About Security

Subscribe Feeds

Waarom mag fingerprinten eigenlijk zonder toestemming, terwijl cookies altijd mét toestemming moeten?

Geplaatst op in Privacy, Security, 18 reacties
Photo by Meg Jenson on Unsplash

Een lezer vroeg me:

Websites en apps moeten toestemming vragen voordat ze gegevens mogen verwerken waarmee gebruikers zijn te volgen. Denk bijvoorbeeld aan cookiebanners of toestemmingsvinkjes in apps. Tegelijkertijd verstuurt je browser standaard allerlei technische informatie (zoals user agent, fonts en tijdzone) naar websites waarmee een fingerprint van het device is te maken en de gebruiker online is te volgen. Ook je besturingssysteem maakt allerlei informatie voor apps beschikbaar die dit voor tracking kunnen gebruiken. Dit gebeurt eigenlijk altijd zonder aparte toestemming. Waarom kent de wet dat onderscheid?
De toestemmingsvraag voor cookies en dergelijke gaat terug op de Telecommunicatiewet: het uitlezen of plaatsen van informatie op randapparatuur in een netwerk mag alleen met toestemming van de gebruiker. Op die toestemming is dan weer de AVG van toepassing. Tracking cookies zijn stukjes informatie (een code, soms een profiel) en die worden geplaatst op je randapparaat, dus is toestemming nodig.

Deze regel komt uit de ePrivacy-richtlijn, die in heel Europa geldt. De wet is hard en rechtlijnig, de enige uitzondering geldt voor de technisch noodzakelijke cookies, zoals het bekende cookie dat je winkelmandje beheert, of een sessiecookie voor een ingelogde gebruiker. In Nederland is daar nog een uitzondering bij gekomen, voor het doel informatie te verkrijgen over de kwaliteit of effectiviteit. Vereist daarbij is dat dit geen of geringe gevolgen heeft voor de persoonlijke levenssfeer van de betrokken abonnee of gebruiker. Dit wordt wel de Google Analytics of first-party-analytics uitzondering genoemd.

Technieken zoals browser fingerprinting op basis van die browserinformatie vallen buiten deze regel, om de simpele reden dat deze informatie niet wordt uitgelezen van het randapparatuur. De browser, een applicatie onder beheer van de eindgebruiker, stuurt die proactief en ongevraagd mee. Daarom is toestemming vragen niet perse nodig.

Natuurlijk levert zo’n fingerprint een persoonsgegeven op, want het hele punt ervan is een persoon te identificeren (in de zin van: een uniek label geven) en daar analyses op te doen. Maar dat valt onder de AVG, en die kent naast toestemming nog andere grondslagen, zoals het bekende (beruchte?) eigen gerechtvaardigd belang. Zolang je daar een beroep op kunt doen, mag je dus met fingerprints tracken zonder toestemming te hoeven vragen.

Arnoud

Politie haalt criminele vpn-dienst offline en identificeert duizenden gebruikers

Geplaatst op in Regulering, Security, nog geen reacties
Photo by Daniel Jerez on Unsplash

De Nederlandse en Franse politie hebben de vpn-dienst First VPN offline gehaald, las ik bij Tweakers. Deze dienst was populair onder cybercriminelen, maar velen zetten vraagtekens bij de ingreep “want de Gamma verkoopt ook koevoeten”. Mag ik daar even hard bij ingrijpen?

Samenwerkingsverband Europol legt in een persbericht uit wat de reden voor de actie was:

For years, the service, known as ‘First VPN’, was promoted on Russian-speaking cybercrime forums as a trusted tool for remaining beyond the reach of law enforcement. It offered users anonymous payments, hidden infrastructure, and services designed specifically for criminal use.
Het is dat stukje “designed specifically for criminal use” dat hier essentieel is, en dat altijd gemakshalve wegvalt in de vergelijkingen met de Gamma, Audi-dealers en de Hema-keukenmessencollectie.

Nee, dat mag niet, dingen specifiek ontwerpen en aanprijzen voor crimineel gebruik; je komt dan al snel bij medeplichtigheid uit, of bij speciale wetsartikelen die vervaardigen of aanprijzen van hulpmiddelen strafbaar stellen.

Bij TechCruch lees ik dat men vervolgens ook nog duizenden criminele gebruikers wist aan te wijzen:

Europol, however, said that First VPN users were notified of the shutdown and “informed that they have been identified.” Investigators said they did this by obtaining the service’s user database and identifying VPN connections, which “exposed thousands of users linked to the cybercrime ecosystem.”
Uiteraard gaat het hier om een inval en hebben we alleen de kant van de politie. De rechter moet zich er nog over buigen. Maar alleen kijken naar de techniek en dan zeggen “het is maar een tool” is écht te kort door de bocht bij deze zaak.

Arnoud

Kan ik de leverancier van mijn AI-agent aanpakken wegens door de agent bekend destructief gedrag?

Geplaatst op in Security, 15 reacties
Photo by Jonathan Cooper on Unsplash

Een lezer vroeg me:

Met enige regelmaat lees je over AI agents die destructief handelen, zoals dit verhaal over een AI-agent die op eigen houtje een productiedatabase van een startup verwijdert. Nu vroeg ik me af, kun je die schade verhalen op de leverancier die dat kennelijk zonder kwaliteitscontrole inbouwt? En maakt het daarbij uit dat het AI-model zelf een analyse oplepelt inclusief schuldbekentenis?
Als een menselijke systeembeheerder of programmeur data vernielt, kun je ze als bedrijf op het matje roepen. Maar bij een slecht geprogrammeerd stuk software ligt dat lastiger. Je komt dan al snel uit bij de leverancier, maar die heeft zich in de zakelijke relatie waarschijnlijk ingedekt tegen fouten met een sterke beperking van aansprakelijkheid.

Dat de medewerker schuld bekent, is bij mensen niet heel erg relevant. Fout is fout, en alleen als de bekentenis is “dit deed ik om jullie te beschadigen” dan wordt het juridisch interessant. Want dan spreken we van opzet of bewuste roekeloosheid en dan kun je die beperking van aansprakelijkheid omzeilen.

Alleen: een AI-agent is geen medewerker, en ook daarmee niet te vergelijken. Het is een tool, een stuk software. Weliswaar is de interface “gewoon Nederlands praten” en gebruikt het ding ik en jij in de communicatie, maar juridisch is er geen verschil tussen een shellscript en het meest geavanceerde frontier AI model. Het kan fouten bevatten, en als het de leverancier zijn schuld is dan stuit dat af op de beperking van aansprakelijkheid.

Er is enige discussie of het statistische karakter van deze diensten nog uit moet maken. Een shellscript of ander klassiek stuk software doet wat je zegt, keer op keer. Een AI-agent kan zomaar andere resultaten geven bij dezelfde instructie en dezelfde data. Dat is inherent aan hoe ze zijn gemaakt, en je kunt verdedigen dat dit eerder tot verwijtbaarheid bij de leverancier leidt. Tegelijkertijd: als dit inherent is, is dat ook iets dat jij als koper had moeten weten.

Arnoud

Mag ik van de school van mijn kind inzage in het beveiligingsbeleid vorderen? (Nadat mijn zoon de printer gehackt had)

Geplaatst op in Security, 19 reacties
Photo by stevepb on Pixabay

Een lezer vroeg me:

Een leerling op de school van mijn zoon heeft de centrale printer van hun school gehackt. Volgens hen was het nauwelijks hacken omdat de beveiliging minimaal was. Uiteraard vind de school het schandalig, maar voor mij als security auditor en moeder redenen om me af te vragen: is de rest van de school dan ook zo belabberd beveiligd. Kan ik daar inzage in krijgen, mag ik maatregelen eisen?
Het ‘hacken’ van ict-apparatuur op school is voor leerlingen leuk en interessant, maar inderdaad reageren scholen daar scherp op. De tijd dat je dan een stage bij een securitybedrijf kreeg (of de IT-persoon van school mocht worden) is al lang voorbij: ik ken zo tien gevallen van mensen tegen wie aangifte werd gedaan in zo’n situatie.

Uiteraard is dat vrij kansloos als de security minimaal tot afwezig is, en er natuurlijk geen echte schade is aangericht. En ik snap wel dat je bij afwezige schade als ouder denkt: is dit representatief voor hoe de school ict-security implementeert. Dat zou goed kunnen, hoewel net zo goed mogelijk is dat de printers door een andere partij worden beheerd dan het leerlingvolgsysteem of de financiële administratie.

Inzage in het beveiligingsbeleid van een organisatie is algemeen eigenlijk niet mogelijk. Ook bij beveiligingsbeleid rond persoonsgegevens is daarvoor geen bevoegdheid: de informatieplichten (artikel 13 en 14 AVG) verwijzen niet naar het beveiligingsbeleid. En bij het recht van inzage (artikel 15) kan geen inzage in genomen beveiligingsmaatregelen worden geëist.

Wel heeft de AVG het algemene beginsel van transparantie (artikel 5 lid 1 onder a), waaruit je kunt afleiden dat transparant zijn over de beveiliging van gegevensverwerking er desondanks bij hoort. Hierover is geen jurisprudentie, en in de richtsnoeren van de EDPB of Autoriteit Persoonsgegevens zie je hier niets over terug. Wel beschrijven veel partijen in algemene zin hun beveiligingsmaatregelen in de privacyverklaring, maar dat gaat zelden verder dan mooie beloften of opmerkingen dat ergens een ISO 27001 certificering voor afgegeven is.

In maart deed de Autoriteit Persoonsgegevens een oproep aan scholen en leveranciers van digitale leermiddelen op om goede afspraken te maken en open te zijn over het verwerken van persoonsgegevens van leerlingen. Hierbij noemt men expliciet dat duidelijkheid gegeven zou moeten worden over “[h]oe deze gegevens worden beveiligd, hoe lang de gegevens worden bewaard en in welke systemen”. Je zou met een beroep op deze oproep het gesprek aan kunnen gaan.

Arnoud De printer op de foto komt niet voor in het artikel.

Ben ik als CISO persoonlijk aansprakelijk onder NIS2 voor falend securitybeleid?

Geplaatst op in Ondernemingsvrijheid, Security, 5 reacties
Photo by Joseph Corl on Unsplash

Een lezer vroeg me:

Ik ben CISO bij een middelgroot bedrijf waarbij ICT van groot belang is. Overal lees ik dat bestuurders onder de NIS2-richtlijn persoonlijk aansprakelijk worden voor falende cyberbeveiliging. Ik ben degene die het securitybeleid opstelt en uitvoert — als er iets misgaat, ben ik dan in privé aansprakelijk? Kan een klant of een slachtoffer van een datalek mij persoonlijk een claim sturen?
Ik snap de zorg, want het gonst inderdaad van de waarschuwingen over “persoonlijke aansprakelijkheid” onder NIS2. Maar zo snel als dit gaat het zeker niet.

In maart besprak ik de vraag of een slachtoffer van het Odido-datalek de directie persoonlijk kon aanspreken. Sindsdien is  de Cyberbeveiligingswet (Cbw) aangenomen als de Nederlandse implementatie van de NIS2-richtlijn. Het wetsvoorstel ligt nu bij de Eerste Kamer en de regering mikt op inwerkingtreding per 1 juli 2026. We zijn er dus bijna.

Artikel 20 lid 1 van de NIS2-richtlijn bepaalt dat de bestuursorganen van essentiële en belangrijke entiteiten de cyberbeveiligingsmaatregelen moeten goedkeuren, toezien op de uitvoering ervan, en “aansprakelijk kunnen worden gesteld” voor inbreuken. Artikel 32 lid 6 gaat nog een stap verder en spreekt over “elke natuurlijke persoon die verantwoordelijk is voor of optreedt als wettelijke vertegenwoordiger” van een essentiële entiteit.

Een CISO heeft ondanks de C in de titel doorgaans geen bestuursfunctie. Zoals het NCSC het omschrijft: de CISO heeft een adviserende, coördinerende en controlerende rol. Je stelt het beleid op, je adviseert de directie, je stuurt de uitvoering aan — maar je bent niet degene die formeel bestuurt in de zin van artikel 2:9 BW.

Dat is essentieel, want de persoonlijke aansprakelijkheid uit de NIS2 is dus wat we in Nederland bestuurdersaansprakelijkheid noemen. Niet een aparte route waarbij iedere gedupeerde een schadeclaim jou in privé mag leggen.

Natuurlijk kun je door je werkgever wel aangesproken worden op nalatigheid bij je werk. En een datalek na handelen conform jouw advies kan daar aanleiding toe geven. Maar dat gaat om zaken als een berisping, demotie of uiteindelijk ontslag en niet om financiële claims.

Arnoud

Mag ik als werkgever mensen verplichten tot vingerafdrukken in plaats van wachtwoorden?

Geplaatst op in Ondernemingsvrijheid, Privacy, Security, 25 reacties
Photo by Meg Jenson on Unsplash

Een lezer vroeg me:

Vanwege zorgen over wachtwoord-delen heb ik mijn werknemers nieuwe laptops gegeven, waarbij ze met hun vingerafdruk de laptop kunnen unlocken en alleen toegang krijgen tot die delen van ons systeem die voor hen relevant zijn. Ik krijg nu klachten dat ik hiermee de AVG schend omdat ik met deze nieuwe aanpak ongeoorloofd biometrische gegevens van hen op zou slaan. Hebben ze daar een punt?
Een vingerafdruk is een biometrisch persoonsgegeven volgens de definitie uit de AVG. Artikel 4 lid 14 AVG omschrijft het immers als “fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon”. Of je die kenmerken nou opslaat als een plaatje of als een feature vector, dat maakt niet uit. Het blijven kenmerken van (een vinger van) een persoon.

De AVG zegt dat je geen biometrische persoonsgegevens mag gebruiken behalve in uitzonderlijke gevallen. De relevante uitzondering is in Nederland opgenomen in de Uitvoeringswet AVG, artikel 29:

… het verbod om biometrische gegevens met het oog op de unieke identificatie van een persoon te verwerken [is] niet van toepassing, indien de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden.
Hier is precies sprake van dat geval. Met de vingerafdruk wordt de gebruiker geauthenticeerd. De vingerafdruk gaat nergens naar toe, maar blijft in de laptop. Dat is dus een keurige implementatie die aan de beveiligingseisen van de AVG voldoet.

Het probleem is dan of het ‘noodzakelijk’ is in de zin van artikel 29. Hierover staat een passage in de memorie van toelichting bij de invoering van dit wetsartikel, die regelmatig discussie oproept:

Dit zal het geval zijn als de toegang beperkt dient te zijn tot bepaalde personen die daartoe geautoriseerd zijn, zoals bij een kerncentrale. Het verwerken van biometrische gegevens dient ook proportioneel te zijn. Als het om de toegang tot een garage van een reparatiebedrijf gaat, zal de noodzaak van de beveiliging niet zodanig zijn dat werknemers alleen met biometrie toegang kunnen krijgen en daartoe deze gegevens worden vastgelegd om de toegangscontrole uit te oefenen. Aan de andere kant kan biometrie soms juist een belangrijke vorm van beveiliging zijn voor bijvoorbeeld informatiesystemen, die zelf veel persoonsgegevens bevatten, waarbij onrechtmatige toegang, ook van werknemers, moet worden voorkomen.
Uit dat “zoals bij een kerncentrale” wordt vaak afgeleid dat de lat dus heel hoog ligt, want wie is er nou vergelijkbaar met een kerncentrale. De Autoriteit Persoonsgegevens zegt  dat het “moet gaan om een zwaarwegend algemeen belang”, een uitzonderlijke situatie. De gemiddelde mkb-organisatie komt daar niet aan.

In 2019 vond winkelbedrijf Manfield dat vingerafdruksensoren nodig waren voor authenticatie bij de kassasystemen, omdat je daarmee toegang kreeg tot klantgegevens en personeelsgegevens. Dit sluit mooi aan bij die laatste zin: informatiesystemen met veel persoonsgegevens vergen extra beveiliging, ook als het geen kerncentrales zijn.

De rechter oordeelde anders, maar vooral omdat Manfield niet had onderbouwd dat alternatieven zoals pasjes niet goed genoeg zouden zijn. Had men een afweging met voors en tegens van de diverse technologieën overlegd en was daaruit de vingerafdruksensor als meest geëigend gekomen, dan had dit wel eens anders uit kunnen vallen.

Dit probleem zien we vaker bij de AVG: er is weinig jurisprudentie, en de oorspronkelijke kaders (2016-2018) zijn sterk verouderd. De technologie is snel gegroeid maar de “waarom” vraag blijft daar fors bij achter. Dus dan is de vingerafdruksensor nu het meest voor de hand liggend (haha), maar waarom het echt béter is dan de alternatieven, blijft onduidelijk.

Arnoud

Mobiele KPN-klanten krijgen malwarefilter en prijsverhoging van 1 euro per maand

Geplaatst op in Security, 17 reacties
Photo by David Trinks on Unsplash

KPN heeft een malware- en phishingfilter toegevoegd aan de mobiele abonnementen en verhoogt de prijzen van huidige abonnees met 1 euro per maand. Dat meldde Tweakers vorige week. En een paar lezers vroegen me: mag je dan opzeggen, want dit is alleen maar in je voordeel als consument, toch?

De telecomprovider legt uit:

Met Extra Veilig Mobiel heb je een slimme beschermlaag op het mobiele netwerk van KPN. Het werkt op alle telefoons en blokkeert automatisch gevaarlijke websites. Alsof er een stevig digitaal hek om je verbinding staat. Zo voorkom je dat je op gevaarlijke websites komt en blijf je uit handen van cybercriminelen.
In technische termen: een DNS-blokkade en malware scanner. Verstandig idee, maar vrij lang dus een aparte dienst gebleven die je voor 1,99 per maand moest afnemen. Dat wordt dus nu geïntegreerd, en de kosten worden doorberekend in de abonnementsprijs.

Nu hadden we het laatst ook over opzeggen bij gewijzigde voorwaarden. Dat recht heb je dus

tenzij de voorgestelde wijzigingen uitsluitend in het voordeel zijn van de eindgebruiker, van strikt administratieve aard zijn en geen negatieve gevolgen hebben voor de eindgebruiker, of rechtstreeks worden opgelegd door het Unie- of het nationale recht.
Het klinkt natuurlijk heel goed, extra bescherming tegen malware en phishing. Dat komt vaak voor en security had eigenlijk altijd al in het netwerk ingebakken moeten zijn. Maar goed.

Maar of “iets dat goed voor je is” hetzelfde is als “in jouw voordeel”, betwijfel ik. De richtsnoeren van de ACM hebben als enige voordeel hiervan een tariefsverlaging. Een hogere snelheid tegen dezelfde prijs lijkt me ook nog wel in je voordeel, maar staat extra beveiliging in diezelfde lijn?

Arnoud

Ben ik aansprakelijk als een oude link op mijn blog leidt tot schade door malware?

Geplaatst op in Security, 6 reacties
Photo by Ed Hardie on Unsplash

Een lezer vroeg me:

Ik heb al enige tijd een blog met leuke knutselideeën voor ouders en kinderen. Nu kreeg ik laatst een mail van een bezoeker waarin staat dat een hyperlink op een blog van een jaar of drie geleden, nu niet meer naar een Minecraft knutsel leidt, maar naar een nogal dubieuze website. Daardoor bedacht ik me: stel iemand lijdt schade door zo’n rare website blindelings te bezoeken omdat ik er naar link. Ben ik dan aansprakelijk op een of andere manier?
Helaas komt het inderdaad vaak voor dat malafide types oude websites of URLs ‘kapen’, bijvoorbeeld door een verlopen domeinnaam te registeren en dan de URL naar eigen content te laten wijzen. Vaak is dat porno, maar het kan ook malware zijn die je dan oploopt als je de link volgt.

Aansprakelijk zijn voor schade vereist dat je een fout hebt gemaakt (onrechtmatige daad) die jou te verwijten valt. Dat een link nú stuk is, vind ik wat mager. Dat zou betekenen dat iedereen elke week elke link moet checken, en dat gaat me simpelweg te ver. Misschien voor grotere, professionele organisaties waarbij content maken deel van het kernproces is.

Na een tip van een bezoeker zul je wel wat moeten. Dan nog achterover zitten en zeggen “die blog is 3 jaar oud, boeien” is maatschappelijk onaanvaardbaar. Uiteraard is bewijzen dat je getipt bent, een tikje lastig voor die lezer die schade had. Maar dat is een ander verhaal.

Strafrechtelijk is er het theoretisch haakje naar artikel 350b, dat strafbaar stelt het “door schuld” verspreiden van malware. Dus niet met opzet (dat is 350a).

‘Schuld’ betekent hier zaken als onvoorzichtigheid, nalatigheid, gebrek aan voorzorg. Het moet je te verwijten zijn, dit had je niet zo moeten laten gebeuren. Eigenlijk is dat dan dezelfde discussie: had je wekelijks een linkscanner moeten draaien.

Natuurlijk mag je van iedereen verwachten die anno 2026 internet opgaat dat die een malwarescanner gebruikt. Dat ontslaat jou niet van een (eventuele) plicht om links te controleren, maar is wel een argument om de te vergoede schade omlaag te krijgen – eigen schuld, noemen juristen dat.

Arnoud

Mag je leeftijdsherkenningsoftware misleiden met een AI filter op je gezicht?

Geplaatst op in Security, 22 reacties
Photo by ALEXANDRE DINAUT on Unsplash

Roblox wil door middel van gezichtsherkenning de leeftijd van mijn kind verifiëren en gebruikt daarvoor scansoftware via Persona. In hoeverre is het illegaal om die scan-software te misleiden met bijvoorbeeld een AI image of, lo-tech, een masker of iets dergelijks?

Sommigen denken hierbij aan valsheid in geschrifte (art. 225 Strafrecht), maar dat gaat hier niet op. Afbeeldingen (foto’s of video) zijn geen ‘geschriften’ in de zin van de wet. Daar moet het echt gaan om communicatie met tekens of symbolen. Een afbeelding kan zulke tekens bevatten, zoals bij een foto van een geschreven brief. Maar een foto van een gezicht is geen geschrift.

Sinds enige tijd is er een apart artikel (231a Sr) over valse biometrische kenmerken. Lid 1 hiervan stelt strafbaar het vervalsen van biometrische persoonsgegevens met als doel je eigen identiteit te verbergen (‘verhelen’) of die van een ander te misbruiken. Dat is hier niet aan de orde, maar lid 2 vult aan:

Met dezelfde straf wordt gestraft hij die in gevallen waarin biometrische kenmerken of biometrische persoonsgegevens worden gebruikt voor het vaststellen van iemands identiteit, opzettelijk gebruik maakt van valse of vervalste biometrische kenmerken of biometrische persoonsgegevens als waren deze echt en onvervalst met het oogmerk om zijn identiteit te verhelen of de identiteit van een ander te misbruiken of opzettelijk gebruik maakt van biometrische kenmerken of biometrische persoonsgegevens van een ander met het oogmerk om de verdenking van een strafbaar feit op de ander of niet op hem te doen ontstaan.
Wie dus biometrie vervalst om zo een identificatie te misleiden, óók als het alleen om je eigen kenmerken gaat, kan dus strafbaar zijn onder dit artikel. Onder ‘vervalsen’ kunnen ingewikkelde chirurgische ingrepen vallen, maar een masker of een AI-beeldmanipulatie in de context van video-scanning valt er wat mij betreft ook duidelijk onder.

Het probleem zit hem voor mij in “vaststellen van identiteit”. Het vaststellen hoe oud je bent, staat los van wat je paspoortnaam is. Roblox biedt bijvoorbeeld de optie om leeftijdverificatie met AI te doen zónder voorafgaand een identiteitsbewijs te hoeven zien. De beeldherkenning analyseert dan grofweg hoe oud je bent.

Nergens in de wetsgeschiedenis is uitgewerkt of naast ‘identiteit’ ook een leeftijdscontrole hier onder zou moeten vallen. Dat zou m.i. ook niet helemaal logisch zijn: het primaire doel was kunnen aanpakken van omzeilen van biometrische identificatie, bijvoorbeeld door je vingerafdrukken te manipuleren of plastische chirurgie zodat je niet meer lijkt op je politiefoto. Ik denk dus niet dat het strafbaar is om een leeftijdsverificatie zónder tevens identiteitscontrole te misleiden.

Natuurlijk is het wel in strijd met de gebruiksvoorwaarden, en kan een aanbieder zoals Roblox je account blokkeren wegens schending daarvan, mocht het uitkomen.

Arnoud

Is een Franse uitspraak tegen SHA-256 een bindend precedent bij ons voor informatiebeveiliging?

Geplaatst op in Privacy, Security, 4 reacties
Bron: Enrique Santos, Wikimedia Commons

Een lezer vroeg me:

Recent heeft de Franse AVG-toezichthouder (CNIL) een boete van 3,5 miljoen euro opgelegd. Deel daarvan was een inadequate beveiliging door gebruik van SHA-256. Heeft dit precedentwerking, oftewel mogen we nu stellen dat deze hashingtechniek daadwerkelijk niet meer passend is voor beveiligen van persoonsgegevens?
Op 30 december 2025 heeft de CNIL een boete van 3,5 miljoen euro opgelegd aan een niet nader genoemd Frans bedrijf voor het doorgeven van de gegevens van leden van hun loyaliteitsprogramma aan een sociaal netwerk voor gerichte reclamedoeleinden, zonder geldige toestemming. Inderdaad was inadequate beveiliging een deel van de grondslag.

Het bedrijf gebruikte SHA256 voor het hashen van wachtwoorden (met salt, dat wel). Dat vond de CNIL bezwaarlijk, omdat de collega’s van het ANSSI (Nationaal Agentschap voor Informatiesysteembeveiliging) hadden gezegd dat

Aanbevolen cryptografische hashfuncties, zoals de SHA2-familie, zijn zeer snel in uitvoering, wat in de context van wachtwoordopslag een voordeel is voor aanvallers, omdat ze hierdoor veel wachtwoorden kunnen testen (d.w.z. hashes kunnen berekenen).
Men wijst op algoritmes zoals Argon2, die mede ontworpen zijn om resistent tegen dergelijke brute force aanvallen te zijn, zelfs met moderde apparatuur. Het bedrijf had in de tussentijd ook al gewisseld naar Argon2.

De uitspraak over de ongeschiktheid van SHA-256 wordt hier vrij algemeen gedaan, en men wijst op eerdere aanbevelingen sinds 2020. Bij het berekenen van de boete wordt dan ook herhaaldelijk geërgerd gewezen op eerdere publicaties:

Bovendien moet met betrekking tot de schending van artikel 32 van de AVG worden opgemerkt dat de Commissie regelmatig communiceert over het belang van authenticatiemaatregelen voor de beveiliging, dat haar aanbevelingen met betrekking tot het wachtwoordbeleid al bekend waren ten tijde van de audits, en dat zij sinds december 2022 organisaties via haar website een tool ter beschikking heeft gesteld waarmee zij eenvoudig de sterkte van een wachtwoord kunnen controleren. De Commissie herinnert er ook aan dat zij regelmatig financiële sancties heeft opgelegd voor schendingen van artikel 32 van de AVG wegens onvoldoende maatregelen om de beveiliging van de verwerkte gegevens te waarborgen, met name in haar besluiten nr. SAN-2019-007 van 18 juli 2019, nr. SAN-2022-018 van 8 september 2022, nr. SAN-2023-023 van 29 december 2023 en nr. SAN-2024-002 van 31 januari 2024.
Dit klinkt voor mij alsof de CNIL hier een hard punt van gaat blijven maken. En terecht, gezien het securityprobleem dat hier onder zit.

Een beslissing van de CNIL is bindend in Frankrijk (tenzij de rechter ze terugfluit, maar dat zie ik hier niet gebeuren). Voor andere toezichthouders geldt dat niet, maar onder het zogeheten coherentiemechanisme van artikel 63 AVG moeten toezichthouders wel met elkaar samenwerken en hun inzichten op elkaar afstemmen. Het zou raar zijn als in Duitsland SHA256 gewoon aanbevolen wordt terwijl je in Frankrijk daar een dikke boete voor krijgt, bijvoorbeeld.

In de praktijk zie je daarom ook regelmatig dat toezichthouders wijzen op publicaties van collega’s, waarbij de CNIL voorop loopt als het gaat om inzichten rondom cybersecurity. Ook in Nederland zou ik dus maar vast gaan nadenken waarom voor jou SHA256 wél een veilige opslag van wachtwoord-hashes zou zijn. (Of migreren naar Argon2 of vergelijkbaar, dat is minder werk.)

Arnoud