Britse politie komt duizenden cybercriminelen op het spoor via loksites, mag dat bij ons ook?

Geplaatst op in Regulering, Security, nog geen reacties

Britse rechercheurs hebben meerdere sites opgezet waar cybercriminelen zogenaamd ddos-aanvallen konden bestellen. Dat meldde Nu.nl onlangs. De politie kon zo duizenden aanvragers noteren en gaat ze allemaal een bezoekje brengen. Het riep bij een paar lezers de vraag op: is dat geen uitlokking, zou dat ook mogen naar Nederlands recht?

DDOS-bestelsites, in het jargon booter sites, zijn Justitie al lang een doorn in het oog. Europol haalde  in 2022 vijftig ddos-booters offline, mede dankzij de inzet van de Nederlandse politie. Zoals ik toen blogde:

Dergelijke diensten leveren DDoS-aanvallen op verzoek en tegen betaling, met het dunne excuus dat bedrijven wellicht hun netwerk willen testen maar dan geen behoefte hebben aan contracten, facturen of betalingen met ouderwets fiatgeld. Of zoiets.
Anders gezegd, er lopen dus veel mensen rond die graag geld uitgeven om een DDoS-aanval uit te laten voeren die in strijd is met de wet. Die mensen eruit pikken voor ze écht schade hebben aangericht, is een legitiem doel van de politie. Alleen kom je dan snel terecht in de discussie over ‘uitlokking’.

De discussie over uitlokking speelde in 2013 bij een nepvuurwerkwinkel, opgezet door de politie met als doel mensen waarschuwingen te geven die daar illegaal vuurwerk meenden te bestellen.

Van uitlokking is in ons strafrecht sprake als je iemand op andere gedachten brengt, hem overhaalt het strafbare feit te plegen terwijl hij dat zelf niet van plan was. In het lokfiets-arrest bepaalde de Hoge Raad dat je iemand niet uitlokt door een onafgesloten fiets neer te zetten op een plek waar vaak fietsen steelt. Een fiets is een fiets, en de dief kiest er nog altijd zelf voor om die te stelen. Zou een agent na het plaatsen naar een stel junks toegaan en zeggen “hee daar staat me een mooie fiets, en onafgesloten ook nog”, dan wordt het al twijfelachtiger.
Ik had er toen een kléin beetje moeite mee, omdat een winkel naar zijn aard producten promoot. Iemand die toevallig aan komt waaien en dan de strijkers, Bengaals vuur en mortierbommen in het gezicht geduwd krijgt, die kan denk ik goed verdedigen op andere gedachten gebracht te zijn door die reclame: hij kwam alleen voor legaal vuurwerk en werd door de reclame effectief overtuigd deze te kopen.

Bij DDoS-aanvallen zie ik dat niet. Natuurlijk, het standaardexcuus van die sites is dat ze zich richten op mensen die hun eigen netwerk willen testen. Maar hier worden de kopers van de diensten aangesproken. En die hebben geen mooi CRA-compliant bedrijfsnetwerk, laat staan dat het opgegeven target IP-adres behoort tot hun eigen serverpark. Dus daar is geen enkel excuus.

Het volgende argument zou zijn dat de koper-in-spe eigenlijk nooit van plan was een DDoS-aanval te bestellen, maar door de site werd overgehaald: het is makkelijk, niet duur, ze zeggen hier “niet te traceren” en dergelijke aanprijzingen. Zonder de precieze site te zien is het lastig te zeggen hoe hard de website mensen probeerde over te halen.

Maar ik zou zeggen: als men de site niet actief adverteerde bij derden, maar ‘gewoon’ als een beschikbare dienst neerzette, dan wordt er niemand op andere gedachten gebracht. Het is immers een bestaande site die de politie overnam, dus eventuele reclame of bekendheid moet je de vorige eigenaar toerekenen. Ik zie er daarom dus juridisch geen uitlokking in.

Arnoud

Gaan we weer: IT-leveranciers, schrijf gewoon op wat je gaat doen (en wat niet) want zorgplichtvonnissen zijn altijd gedoe

Geplaatst op in Ondernemingsvrijheid, 13 reacties
OpenClipart-Vectors / Pixabay

Als je zegt “het beheer” te gaan doen van iemands IT, wil je dan opschrijven wat je daarmee bedoelt? Want als er daarna een berg bestanden in de Sharepoint-prullenbak verdwijnt, dan is het heel wat meer gedoe om dát recht te zetten als de wederpartij roept dat dat jouw schuld is. Het is een van de lessen uit een recent vonnis over dat rare onderwerp van de zorgplicht van de ict-er. De zaak ging, natuurlijk, over de vraag of een nieuwe ICT-leverancier aansprakelijk is voor de schade die het gevolg is van het verlies van data uit de oude ICT omgeving van haar opdrachtgever. Dat is dus vrijwel geheel afhankelijk van wat je opschrijft, dus neem daar alsjeblieft even de tijd voor.

De eiser in deze zaak was een reïntegratiebureau dat “privacygevoelige persoonsgegevens” verwerkt, wat onderstreept dat goed omgaan met data van groot belang voor haar is. En ja, dat is iets dat jij als ict-er moet beseffen als je met deze partij in gesprek gaat. Het bureau had een lokale oplossing met een server bij de oude leverancier, een clouddisk en een Sharepoint/Onedrive omgeving, en wilde naar een nieuwe ict-leverancier (reden wordt niet genoemd, maar zo te lezen wilde men mede over naar Office 365).

Een discussiepunt bij ieder ict-contract is de omgang met data. Zo ook hier: het bureau gaf aan dit zelf te willen regelen:

“Zou jij er voor kunnen zorgen dat Sharepoint en Onedrive zo beveiligd zijn dat ik een nieuwe mappen structuur kan aanmaken en iedereen deze week kan overzetten naar Office 365 Business? De H-schijven kunnen ze zelf overzetten naar Onedrive en de mappen op i-schijf zal ik overzetten als dat nodig is.”
Mijn gevoel is dat men bij het bureau dacht dit zelf te kunnen omdat er een hoop oude data uitgezocht moest worden en wellicht weg kon. Misschien dat ook de kosten meewogen, of dat men dacht het oude Onedrive-account om te kunnen zetten met een naamsverandering. Dat bleek toch niet helemaal gewenst, dus er ontstond discussie over en de nieuwe leverancier maakte een backupmap aan in de nieuwe omgeving, waar men dan zelf de data heen kon kopiëren.

Toen liep kennelijk het oude contract af:

De data van [eiser] van de cloud harddrive en de DTO/ischijf bij [de oude leverancier] zijn op 30 juni 2019 verwijderd. Op zondag 30 juni 2019 zijn een groot aantal bestanden van de “OfficeGrip:Back up Site” in de oude Sharepoint-omgeving van [eiser] (hierna: de Sharepoint back up site) verplaatst naar de prullenbak.
In september werd er diverse mailen gediscussieerd over ongeautoriseerde toegang en verdwenen bestanden, wat voor het bureau reden was om een forensisch onderzoek te willen gaan doen, mede vanwege de zorg over verlies van die bijzondere persoonsgegevens. Dat liep niet lekker, zodat er werd gedagvaard. Niet de eerste keer zo te lezen tussen deze partijen.

De eerste vraag voor de rechter was dan wat de afgesproken vormen van “beheer” inhielden. De rechter interpreteert dit als het beschikbaar houden van de oude data, omdat het geschil daarover gaat. Met enig gezoek is de tussenconclusie dan dat het doel was om deze in een Microsoft cloud-omgeving online te krijgen, zodat we voor de oude netwerkschijf (bij de oude leverancier draaiend) snel klaar zijn:

De rechtbank is van oordeel dat uit deze discussie tussen partijen – hoe dan ook – niet kan worden afgeleid dat [het IT-bedrijf] het beheer van de ischijf/DTO zou overnemen. Vast staat namelijk dat de DTO/i-schijf geen onderdeel uitmaakt van de Microsoft-diensten of Microsoft-tenant, maar daar volledig los van staat. De i-schijf is immers een opslagplaats voor data op de lokale server van [de oude IT-leverancier]. Dus ook als [de nieuwe leverancier] het beheer van de bestaande Microsoft-omgeving zou overnemen, dan betekent dat niet dat [deze] daarmee ook het beheer op zich nam over de ischijf op de lokale server van [de oude leverancier].
Vervolgvraag is dan of de nieuwe leverancier de data uit die i-schijf had moeten overnemen naar de nieuwe omgeving, waar zij wél verantwoordelijk voor was. Maar in het offertetraject was daar nog discussie over, en die werd als volgt beslecht:
“- Implementatie Sharepoint gebruiker: Er gaat geen enkele data over. We vernietigen het meeste en als ik bestanden er toch op wil zetten dan upload ik dat zelf. (…) – Datamigratie tool hebben we niet nodig: Niet akkoord. Er gaat 0 data over.”
Dan kun je achteraf wel zeggen dat je alleen doelde op de mailbox-data van gebruikers, maar gezien de formulering is dat dan niet heel overtuigend meer. Zeker omdat vervolgens in de offerte de post datamigratie op nul was gezet. In die context had de nieuwe leverancier ook niet meer hoeven waarschuwen: als iemand zó duidelijk aangeeft “nee, geen enkele data, ik doe het zelf, niet akkoord er gaat 0 data over” dan mag je toch wel aannemen dat daar over nagedacht is.

Uiteindelijk worden de eisen over verloren data en/of signalen van ongeautoriseerde toegang allemaal afgewezen omdat het te speculatief en niet onderbouwd is. Maar het vonnis laat zien dat er daarvoor wel een stevige discussie met de rechter nodig is. Een heldere serie afspraken is dus altijd belangrijk. In dit geval ook door expliciet te benoemen welke data niet over gaat, in plaats van alleen een post op nul te zetten. En door aan te geven dat klant zelf de contacten met de oude leverancier moet onderhouden en eventuele data daar zelf op moet halen.

Arnoud

 

 

Minister: festivals mogen gezichtsherkenning onder voorwaarden inzetten

Geplaatst op in Ondernemingsvrijheid, Privacy, 23 reacties

Festivals mogen gezichtsherkenning onder voorwaarden inzetten, zo las ik bij Security.nl. Dat blijkt uit recente antwoorden van de minister op Kamercommissievragen: gezichtsherkenning mag echter niet lichtzinnig worden ingezet en moet streng worden gereguleerd, aldus de minister. Mooie woorden, maar het levert in de praktijk geen noemenswaardige verbetering op van de situatie.

In december stuurde de minister een brief over dit onderwerp, met daarin uitleg over gezichtsherkenning door de politie. Dat riep vragen op:

In de voor dit debat geagendeerde Kamerbrief1 over de inzet van gezichtsherkenningstechnologie in de openbare ruimte en door de politie staat «dat gezichtsherkenningstechnologie ingezet zou kunnen worden in een «gecontroleerde omgeving», welke weliswaar behoort tot de openbare ruimte, maar waarbinnen alle betrokken onomwonden en geïnformeerd toestemming hebben gegeven.» Deze zin vormde voor het lid Bouchallikh (GroenLinks) aanleiding om mij te vragen wat er wordt bedoeld met een «gecontroleerde omgeving».
De betreffende zin ging echter niet over de politie, maar juist over private partijen die in zo’n “gecontroleerde omgeving” gezichtsherkenning zouden willen inzetten. Daarover legde de minister toen uit:
Een voorbeeld van een gecontroleerde omgeving kan zich voordoen bij een festival, als de organisator de toegang regelt door middel van gezichtsherkenning. Daarbij is het echter wel noodzakelijk dat een waardig analoog alternatief worden geboden, zodat mensen geen nadelige consequenties ondervinden van het niet verlenen van toestemming.
De huidige antwoorden geven aan dat het toch niet helemaal duidelijk was: de vervolgvragen spraken over “impliciete toestemming aan de politie voor gezichtsherkenning”. Maar het gaat dus nogmaals om private partijen. Wanneer mogen die nou bij de toegang tot zo’n festival of andere “gecontroleerde omgeving” gezichtsherkenning toepassen? Momenteel zegt de wet (artikel 29 UAVG) daarover niet meer dan dat het “noodzakelijk is voor authenticatie of beveiligingsdoeleinden”. Dat wordt anders als de geplande wijziging doorgevoerd is:
In het wijzigingsvoorstel van de UAVG wordt expliciet opgenomen dat de uitzonderingsgrond van artikel 29 alleen kan worden toegepast wanneer dat nodig is voor een zwaarwegend algemeen belang (toetsing van proportionaliteit en subsidiariteit). Met deze dubbele noodzakelijkheidstoets (noodzakelijk voor de authenticatie of beveiligingsdoeleinden én noodzakelijk omwille van een zwaarwegend algemeen belang) geeft de UAVG beter invulling aan de eis van artikel 9, tweede lid, onderdeel g, van de AVG. 
Dit is zo’n zin die voor juristen een heerlijke kluif is maar waar anderen met de nodige moeite tegenaan kijken. Het komt erop neer dat deze tekst erbij gezet wordt:
omwille van beveiligingsdoeleinden en slechts voor zover dit noodzakelijk is vanwege een zwaarwegend algemeen belang van rechtmatige toegang tot bepaalde plaatsen, gebouwen, diensten, producten, informatiesystemen of werkprocessystemen
Daarmee is gebruik voor bijvoorbeeld prikklokken (wie begint/eindigt wanneer met werken) niet meer mogelijk, omdat dat niet een van de genoemde belangen is. Biometrie voor toegang tot een zwaar beveiligd computersysteem mag nog wel, net als toegang tot een “gecontroleerde omgeving”. Alleen moet dat dus noodzakelijk zijn vanuit een zwaarwegend algemeen belang, niet alleen maar “ze doen dat in Frankrijk ook” of “dit was goedkoper dan een extra beveiliger”.

Prima verhaal, dat dan alleen weer helemaal onderuit gaat omdat iemand het nodig vond zijn of haar kennis van de AVG te etaleren door te beginnen over uitdrukkelijke toestemming als uitzonderingsgrond. Ik zou het héél fijn vinden als iedereen ophield toestemming als grondslag aan te dragen (behalve bij nieuwsbrieven): die grondslag werkt niet en je kunt er niet op bouwen. De simpele reden: toestemming is altijd intrekbaar, dus ook 1 seconde na het verlenen. En je mag daar geen negatieve consequenties aan verbieden, zoals het weg moeten gaan van het festival. Uit de brief:

Dat betekent dat de bezoeker van het festival niet onder druk mag worden gezet om toestemming te verlenen en geen nadeel mag ondervinden van het niet verlenen van toestemming. In dit voorbeeld betekent dit dat de bezoeker van het festival ook een analoge toegangsmogelijkheid moet worden geboden.
Helaas gaat de brief niet in op het intrekken, wat dus het grote pijnpunt is. Als je de gezichtsherkenning alleen bij de toegang inzet (hier is mijn kaartje, bliep dat is mijn gezicht, die horen bij elkaar) dan is intrekken inderdaad niet heel zinnig. Maar als je dan ook een niet-biometrie toegangspoort moet regelen én moet zorgen dat die net zo efficiënt is, dan zie ik de meerwaarde niet echt van de biometrie. En als er geen meerwaarde van is, dan is er dus geen duidelijke noodzaak. Dus waarom zou je dan nog biometrie gebruiken?

Arnoud

 

Nebu moet van rechter informatie over groot datalek verstrekken

Geplaatst op in Privacy, Security, 6 reacties

Softwareleverancier Nebu moet marktonderzoeker Blauw informatie verstrekken over de inbraak op de eigen systemen en de diefstal van data die daarbij plaatsvond. Dat meldde Security.nl gisteren. Dit is het oordeel van de rechtbank Rotterdam in het spoedkortgeding over dat enorme datalek met miljoenen slachtoffers, waarbij het onderzoeksbureau Blauw onduidelijk was wat er nu precies gelekt was en hoe.

Nebu is in dit verband een SaaS-dienstverlener, die een platform aanbiedt waarop partijen als Blauw marktonderzoeken kunnen uitvoeren. Blauw doet dat dan weer in opdracht van partijen zoals de NS, VodafoneZiggo, zorgverzekeraar CZ of de Rijksdienst voor Ondernemend Nederland. De rechtbank laat in het midden of Blauw dan verwerker is of niet (want niet relevant nu), maar is het met Blauw eens dat Nebu in ieder geval een verwerker is. En dan moet er dus een verwerkersovereenkomst zijn, of zoals de rechtbank het juridisch correct noemt een verwerkingsovereenkomst. Daarin staat deze vrij standaard bepaling:

[Nebu] immediately notifies [Blauw] of any incident in relation to the processing of personal data. In the event of an incident, [Nebu] will fully cooperate with [Blauw] and follow the instructions issued by [Blauw] in respect of this incident. This will enable [Blauw] to carry out a proper investigation into the incident, to formulate a correct response and to take appropriate follow-up steps in respect of the incident. If an immediate notification is not possible, [Nebu] will notify [Blauw] at least within 24 hours after an incident occurring.
Deze clausule is een vrij standaard herformulering van de verplichtingen van de verwerker uit artikel 28 lid 3 AVG, meer specifiek subleden f en h die over de bijstands- en informatieplichten gaan. Echter, nadat het datalek openbaar werd, bleek er niet bijster veel informatie te worden gedeeld door Nebu:
Op 13 maart 2023 meldde Nebu aan Blauw en andere klanten van Nebu dat er sprake is van een storing in haar dienstverlening waardoor haar diensten offline gehaald zijn. Ook stuurde zij die dag meerdere updates. Daarin werd nog niet gemeld dat er sprake was van een cyberaanval of een (mogelijk) datalek.

Op 14 maart 2023, 23:13 uur, heeft Nebu Blauw en andere klanten van Nebu bericht dat op vrijdag 10 maart 2023 een cyberaanval heeft plaatsgevonden op de productieomgeving van Nebu in Nederland en dat de diensten daardoor niet beschikbaar waren. Nebu kondigde daarbij een forensisch onderzoek aan.

Nebu zond op 20 maart 2023 een update aan Blauw en andere klanten van Nebu over de herstart van haar RDP (remote desktop protocol) dienstverlening. De update bevat geen informatie over de cyberaanval. Op 21 maart 2023 schreef Nebu aan Blauw dat zij op dit moment geen andere informatie had om te verstrekken dan de informatie uit de update.

Dit is nogal mager inderdaad, zeker als je dat ziet in het licht van de enorme omvang van het datalek zoals die inmiddels openbaar is geworden. De rechter is er dan ook snel klaar mee:
Het instructierecht van Blauw is bedoeld, zo blijkt uit de tekst van artikel 5.1, om Blauw in staat te stellen een incident met persoonsgegevens op behoorlijke wijze te onderzoeken, haar reactie daarop te bepalen en om zo nodig gepaste stappen te kunnen nemen. Daaraan moet Nebu dus meewerken en dat moet zij op loyale en royale wijze doen.
De exacte juridische kwalificatie van “loyale en royale wijze” van nakoming van een verbintenis is wellicht een novum, maar de strekking is duidelijk: je had je niet zo in stilzwijgen mogen hullen en volstaan met generieke uitspraken dat er iets mis is gegaan. Je telefoonnummer van je site halen is ook niet handig voor de beeldvorming, maar belangrijker was niet laten zien dat je meteen serieus op onderzoek uitging.
Bij het voorgaande heeft de voorzieningenrechter meegewogen dat er tot dus ver geen onafhankelijk forensisch onderzoek heeft plaatsgevonden of zelfs maar is gestart. Dit maakt het eerder redelijk dat Blauw informatie wil hebben dan in de situatie dat Nebu direct een onafhankelijk onderzoek had gelast. Dat hierdoor mogelijk bedrijfsvertrouwelijke informatie van Nebu in het bezit van Blauw komt, is het onvermijdelijke gevolg. De voorzieningenrechter gaat er overigens vanuit dat Blauw op prudente manier zal omgaan met de informatie die zij als gevolg van dit vonnis zal verkrijgen.
Dat van die onderzoeker is opmerkelijk. Inderdaad zijn we al een paar weken sinds de ontdekking van het datalek, en kennelijk is er bij Nebu niets gebeurd qua diepgravend onderzoek. In die situatie ziet de rechter het als een redelijke instructie van Blauw aan Nebu dat die laatste een onderzoek laat uitvoeren:
Nebu heeft ter zitting verklaard dat zij nog niet kan aangeven of data van (de klanten van) Blauw is geëxfiltreerd. Dit betekent dat het Nebu in een termijn van enkele weken niet is gelukt om dit zelf te achterhalen. Onder deze omstandigheid, gelet ook op het grote aantal persoonsgegevens waar het in deze kwestie om gaat en in het licht van de aanvankelijk beperkte informatie die Nebu aan Blauw heeft verstrekt, schaart de voorzieningenrechter de vordering tot benoeming van een forensisch onderzoeker onder het instructierecht van Blauw op grond van artikel 5.1 van de DPA.
Nebu krijgt vijf werkdagen (het is Paasweekend, jaja) om een extern forensisch bedrijf te contracteren en binnen vier weken een rapport te laten leveren. De overige gevraagde informatie die Blauw wil hebben moet ook worden verstrekt, mits dat beperkt blijft tot informatie die voor Blauw zelf relevant is en geen juridisch advies aan Nebu betreft.

De gevolgen van dit specifieke lek zullen nog wel even doorlopen. Maar de uitspraak laat mooi zien dat de brede bewoordingen van de AVG en de verwerkersovereenkomst dus inderdaad zo breed toegepast kunnen worden. Vaak wordt daar niet bij stilgestaan omdat men ‘gewoon’ de wet over denkt te schrijven.

Arnoud

Organisaties informeren consumenten onvoldoende over datalekken, hoe moet het dan wel?

Geplaatst op in Privacy, Regulering, Security, 7 reacties

De Nederlandse Consumentenbond concludeert op basis van een steekproef dat veel organisaties consumenten niet goed genoeg informeren bij datalekken. Dat meldde Tweakers onlangs. In de steekproef bleken 37 van de 69 onderzochte waarschuwingen voor datalekken onduidelijk: er staat te weinig concrete informatie in, en vaak ontbraken ook de stappen die je zelf kunt nemen om de schade te beperken. Het riep de vraag op: hoe zou het dan wel moeten, nog meer informatie?

Ik kreeg even juridische jeuk van de passage over modebedrijf Livera, die ik jullie dan ook niet wil onthouden:

In het bericht met de kop ‘Bescherming van persoonsgegevens bij Livera hoogste prioriteit’ wordt eerst de bedrijfsstructuur en de aandacht van Livera voor gegevensbescherming beschreven; pas in de derde alinea wordt vermeld dat het moederbedrijf is gehackt en dat persoonsgegevens van klanten mogelijk zijn ingezien.
Deze is wel erg cru, maar berichten met koppen als “Mededeling naar aanleiding van publiciteit” zie ik ook met enige regelmaat voorbij komen. Gelukkig zijn er ook bedrijven die mensen wel adequaat informeren, door een keurig bericht met uitleg wat er is gelekt, welke stappen men nu heeft genomen en op welke risico’s je nu in het bijzonder zou kunnen letten. Een mooi voorbeeld blijft voor mij het datalek bij de Philips-personeelsadministratie, waarbij men zowaar een dark net monitoring service inhuurde om in de gaten te houden of NAW+bsn gegevens werden verhandeld op het nietdoorzoekbareweb.

Het achterliggende punt blijft natuurlijk: wat zou je nog meer, of nog anders moeten doen? Dan kom je al snel uit bij een schadevergoeding, wat juridisch lastig ligt omdat de schade moeilijk te kwantificeren is. Als de Shell diesel verkoopt vanuit de benzine-pomp, dan kun je vrij eenvoudig je factuur voor het reinigen van je injectiesysteem bij de pomp indienen. Maar bij persoonsgegevens? Ja, je bent kwetsbaarder voor phishing en er zal vast een AI op je profiel worden getraind, maar welk bedrag zet je daar op?

Er zijn vele stichtingen bezig met allerlei massaclaims, waarbij vaak 500 euro opduikt omdat dat eenmalig is toegekend (bij een concreet lek van medische gegevens). Het voelt ergens wat hoog, want is een datalek bij een klanttevredenheidsenqueteur nu dat echt waard? Ook is er altijd die weerstand dat die stichting dan “al dat geld pakt” terwijl het gaat om vergoeding van andermans schade. Maar als de wetgever de bal laat liggen, dan springen particuliere partijen in het gat.

Ik blijf erbij: er moet een staatje komen, het liefst door de AP, net zoals we bij letselschade al lange tijd het Smartengeldboek hebben. Want zelfs als daarin 5 euro had gestaan per betrokkene, dan had de NS nu dus een half miljoen moeten uitkeren en dát maakt niveautje-dassenburcht indruk in de Boardroom.

Arnoud PS: Vergeet je niet in te tekenen voor mijn boek? Zie onder!

Mag een bedrijf van de AVG mijn inzage-data wel via de mail sturen?

Geplaatst op in Privacy, Security, 23 reacties
jarmoluk / Pixabay

Een lezer vroeg me:

Als je data opvraagt waar je volgens de AVG recht op hebt, dan is de organisatie verantwoordelijk voor het veilig versturen van deze data. Wat nu als een organisatie deze via e-mail stuurt? Ze kunnen dan wel TLS gebruiken, maar dat beschermt de data niet als deze eenmaal in mijn mailbox zit.
Inderdaad, een verwerkingsverantwoordelijke (zoals zo’n organisatie) moet zorgen voor een goede beveiliging van die persoonsgegevens. Dat speelt ook bij het afhandelen van een inzageverzoek.

Het gebruik van TLS bij het verzenden van e-mail lijkt me een voor de hand liggende beveiligingsmaatregel tegen meelezen in transit. Ik zou niet weten waarom je anno 2023 als organisatie mail verstuurt zonder TLS naar de ontvangende mailserver.

Natuurlijk beveiligt TLS niet tegen een inbraak in de mailbox bij de ontvanger. Maar op het moment dat de mail bij de (organisatie of isp van de) ontvanger is aangekomen, is de ontvanger zélf verwerkingsverantwoordelijke van die gegevens geworden. Daarmee houdt op dat moment de zorgplicht van de verstrekkende organisatie gewoon op.

Een organisatie zou de gegevens ook anders kunnen verstrekken, zoals een download vanuit een beveiligde site of de bijlage voorzien van een wachtwoord dat via apart kanaal wordt verstrekt. Maar ik zie het wezenlijk verschil niet: zodra ik de download binnen heb of de bijlage ontvang, is de data nog steeds mijn verantwoordelijkheid.

Heel misschien is verdedigbaar dat je mag verwachten dat veel ontvangers niet goed zijn in security, en dat je ze dus een beetje moet helpen. Bijvoorbeeld dus door een wachtwoordbeveiliging met het wachtwoord apart verstuurd. Maar nog los van de vraag of je bij zo’n inzageverzoek wel een tweede communicatiekanaal hébt, ik weet geen artikel in de AVG waaruit zo’n vergaande zorgplicht dwingend zou volgen.

Arnoud

Datalek Nederlandse bedrijven steeds groter: zeker 2 miljoen klanten getroffen

Geplaatst op in Security, 14 reacties

Zeker 2 miljoen Nederlandse klantgegevens blijken betrokken bij een groot Nederlands datalek, las ik bij de NOS. Meerdere marktonderzoekers hebben aan de NOS bevestigd slachtoffer te zijn, en wijzen naar softwareleverancier Nebu. Marktonderzoeker Blauw heeft samen met collega’s al een civiele procedure aangekondigd om Nebu te dwingen meer informatie te verstrekken. Het riep onder meer de vraag op: hoe zit dat met aansprakelijkheid onder de AVG bij zo’n datalek?

Dinsdag wordt er gedagvaard, zo te lezen:

Volgens [Blauw-topman Jos] Vink wil Blauw van Nebu weten welke persoonsgegevens precies zijn weggehaald bij Blauw en hoe het heeft kunnen gebeuren. Als de softwareleverancier voor dinsdag duidelijkheid verschaft, trekt Blauw het kort geding volgens Vink in. “Sinds het datalek is het contact matig en krijgen we niemand te spreken”, zegt hij. Blauw heeft ook een advocaat genomen voor juridisch advies over wat het marktbureau het beste kan doen en hoe het klanten zo goed mogelijk kan informeren.
Een datalek van deze omvang is natuurlijk een AVG-probleem, en het verbaast dan ook niet dat de AP een onderzoek is gestart. Dat zal primair gericht zijn tegen de verwerkingsverantwoordelijken, dus de bedrijven die de marktonderzoeksbureaus inschakelden, zoals de NS, VodafoneZiggo, zorgverzekeraar CZ, de Vrienden van Amstel Live, de Rijksdienst voor Ondernemend Nederland en woningcorporatie Stadgenoot. Maar zowel een verantwoordelijke als een verwerker zijn apart aan te spreken door de AP voor het niet hebben van een adequate beveiliging (art. 32 AVG). De vraag is dus nogal prangend wat er precies gebeurd is, hoe kon de data worden buitgemaakt en had dat redelijkerwijs voorkomen kunnen worden?

Blauw is een marktonderzoeksbureau, dat gebruik maakt van de softwaredienst van Nebu, een ISO27001 gecertificeerd bedrijf dat “[offers] 25 years of experience in building and delivering software solutions for Market Research.” Maar toch ging dat niet helemaal zoals verwacht kennelijk. De collega’s bij marktbureau USP weten meer:

[Directeur Jan Paul Schop van marktonderzoeker USP] zegt dat USP voorlopig blijft samenwerken met Nebu. “We werken al meer dan 15 jaar met Nebu samen en we hebben niet eerder problemen op dit vlak gehad. Feitelijk is Nebu zelf niet gehacked, maar is de moedermaatschappij in Canada gehacked. Via dat kanaal is men bij Nebu binnengekomen”, aldus Schop.
Onder de AVG kan een verwerkingsverantwoordelijke een verwerker aanspreken voor de gevolgen van een inadequate beveiliging (art. 82 AVG). Bij een softwareleverancier kun je niets verhalen, tenzij je dat contractueel zo geregeld hebt. Het is dus even de vraag wat Nebu precies is: leveren die alleen software, of zit er ook dienstverlening bij waarbij persoonsgegevens de database van Nebu in lopen? Want dan zou Nebu een subverwerker zijn, en daarvoor geldt dan dezelfde regel.

Arnoud

Italië verbiedt ChatGPT per direct vanwege privacyzorgen

Geplaatst op in Ondernemingsvrijheid, Privacy, 31 reacties
AlexandraKoch / Pixabay

Italië heeft per direct AI-chatbot ChatGPT in de ban gedaan, meldde Tweakers.  De Italiaanse Autoriteit Persoonsgegevens (Garante per la Protezione dei Dati Personali, GPDP) rekent de organisatie achter de populaire tekstgenerator een hele berg AVG-overtredingen aan, en gaat daarbij zelfs zo ver dat men een tijdelijk verbod op de dienst oplegt. OpenAI  heeft 20 dagen om gehoor te geven aan de klachten.

Het verwerkingsverbod is beperkt tot persoonsgegevens van betrokkenen die in Italië verblijven, maar de redenen zijn fundamenteel en ik zie niet waarom dit in Nederland of elders anders zou uitvallen. In de kern komt het erop neer dat je van de AVG niet zomaar heel internet mag downloaden, daar een taalmodel van mag maken en dat uitspraken over personen laten doen of statistiek bedrijven op persoonsgegevens.

Dit soort dingen zijn dus problematisch:

efrt@localhost# Geef een wetenschappelijke biografie van ict-jurist arnoud engelfriet en zet zijn publicaties samen met prof. rian van rijbroek centraal:

Arnoud Engelfriet (geboren op 7 juni 1974) is een Nederlandse jurist en expert op het gebied van informatietechnologie. Hij studeerde rechten aan de Universiteit Leiden en behaalde in 1997 zijn doctoraalexamen. Vervolgens voltooide hij zijn proefschrift over de toelaatbaarheid van computerauteursrecht in 2006 aan de Universiteit van Amsterdam. (…) Enkele van de belangrijkste publicaties van Engelfriet en Van Rijbroek zijn:

  • “Blockchain en de GDPR: hoe verhouden ze zich tot elkaar?” (2018), een artikel over de uitdagingen van de GDPR in de context van blockchain-technologie;
  • “Cloud Computing and the GDPR: Challenges and Opportunities” (2019), een artikel over de impact van de GDPR op cloud computing en de juridische uitdagingen en kansen die dit met zich meebrengt;
En ja, ik weet dat het allemaal statistiek is wat hier gebeurt, welke woorden en frases volgen relatief vaak op welke zinnen binnen de prompt, maar er klopt natuurlijk geen hout van. En dat is dus een probleem onder de AVG, want het gaat hier wel om persoonsgegevens van mij (hoi cg) die niet accuraat zijn, zoals de GPDP het formuleert in hun spoedbevel:
NOTING that the processing of personal data of the interested parties is inaccurate as the information provided by ChatGPT does not always correspond to the real data;
Ook een probleem is natuurlijk dat niemand is verteld welke informatie over hem of haar in het taalmodel is opgenomen. Er is wel een privacyverklaring maar die gaat niet echt in op de dataverwerking bij het stofzuigen van heel internet. En dat is jammer, want nu weten we ook niet welke grondslag OpenAI wilde gebruiken bij deze verwerking.

Dat is wederom een probleem, want zonder vooraf gemelde grondslag zit je per definitie fout. Wellicht is er wat met legitiem belang te verzinnen, maar dat is nog ingewikkeld (ik voel een casus voor onze opleiding aankomen) en loopt onder meer tegen het probleem aan van doelbeperking: je moet bij alles ook specifiek zijn over je doelen. “We maken een taalmodel dat uitvoer over jou/op basis van jou produceert waar mensen van alles mee doen” is hoe je het ook wendt of keert geen AVG-compliant uitspraak.

Dan heb ik het nog niet eens gehad over het kunnen intrekken van toestemming (als ze dat als grondslag zouden kiezen), het recht van vergetelheid in de dataset (machine unlearning is niet echt een ding), inzage in wie je data opvraagt of de toegang van de dienst door minderjarigen zonder enig toezicht of waarborgen.

Inderdaad, dat is een vrij fundamenteel ding en ik zie niet meteen een oplossing. Ja, ze hadden een Ierse vertegenwoordiger moeten stellen want de toezichthouder daar laat je met alles wegkomen. Maar die is zelfs voor mij aan de cynische kant.

OpenAI heeft nu twintig dagen om te reageren:

OpenAI, which does not have an office in the Union but has designated a representative in the European Economic Area, must communicate within 20 days the measures undertaken in implementation of what is requested by the Guarantor, under penalty of a fine of up to 20 million euros or up to 4% of the annual global turnover.
Ik ben erg benieuwd en ga alvast popcorn inslaan.

Arnoud

Mag en moet ik de fallout van de Acropalypse bij mijn gebruikers op gaan ruimen?

Geplaatst op in Security, 3 reacties

Een lezer vroeg me:

Je zult vast hebben gelezen over de aCropalypse, een kwetsbaarheid in Google- en Windows screenshot apps die bij het croppen weggesneden informatie behielden in het bestand. Wie zo’n screenshot dan publiceert, onthult daarmee meer informatie dan zhij wil. Op forums (zoals die ik beheer) staat het dus vol met potentieel kwetsbare screenshots – denk aan weggeknipte naam- en adresgegevens, privéberichten of misschien wel privéfoto’s. Er zijn tools om dat te doen, ook in batch op alle mediabestanden op het forum. Mijn moderators en ik vragen ons af of wij dat zouden mogen doen, en of we wellicht verplicht zijn vanuit onze ICT-zorgplicht om dit te doen nu we weten van deze enorme kwetsbaarheid?
Dit is inderdaad een hele pijnlijke: in plaats van een afbeelding te vervangen met zijn bijknipsel, worden de twee achter elkaar in hetzelfde bestand gestopt. Wie dus een beetje snuffelt in het bestand, kan zo het origineel terughalen. Concreet voorbeeld in deze tweet, waarbij men de volledige creditcardgegevens haalt uit een afgelakte(!) en bijgeknipte crop van een screenshot van een mail waarin (zogenaamd) de plaatser een creditcard uitgereikt krijgt. Hetzelfde kan dus spelen met huisadressen, herkenbare foto’s van je kinderen of contactgegevens die je niet bedoelde te delen.

Wie dus screenshots ergens heeft gepubliceerd of gedeeld die waren bijgewerkt met deze tools (de Markup tool van Google Pixel, Snip & Sketch for Windows 10 en Snipping Tool for Windows 11) kan dus een serieus probleem hebben. Weghalen en vervangen is dus het devies, alleen waar stonden ze ook allemaal weer?

Een forumbeheerder of image-hostingorganisatie kan in principe bij alle afbeeldingen, en zou ze met een detectie-script kunnen controleren en opschonen. Alle afbeeldingen worden dan ontdaan van de originele informatie, zodat alleen het (beoogde) screenshot met eventuele strepen en andere tekeningen overblijft. Daarmee zou de kwetsbaarheid verholpen zijn, althans voor de kopie op die site – als een derde al een kopie gedownload heeft, dan is daar niets meer aan te doen.

Nergens in de wet staat een expliciet verbod, ook nergens in de wet staat een expliciete plicht om zoiets te doen. Je komt dan inderdaad uit bij de zorgplicht voor een dienstverlener, die bepaalt dat je moet doen wat een “goed opdrachtnemer” zou doen (art. 7:401 BW). Dat is net zo’n vage term als de redelijkheid en billijkheid, dus het komt neer op een geschikte redenering.

Als eerste zullen mensen misschien denken, als beheerder of hoster ben je niet aansprakelijk voor wat mensen op je site publiceren. Dat klopt (art. 6:196c BW en vanaf 1 januari 2024 artikel 6 DSA, zie mijn nieuwe boek) maar betekent niet dat je dus niet mág ingrijpen. Het betekent alleen dat als er claims komen over die inhoud, je daar geen gehoor aan hoeft te geven. De huidige wet zegt “niet aansprakelijk”, de DSA voegt toe dat het moet gaan om “illegal information” maar dat lijkt niet echt een serieuze beperking van de oude regel te zijn. Ook staat er zowel nu als in de DSA dat je geen actieve zoekplicht hebt. Als je dus in het algemeen weet dat de aCropalypse bestaat, of dat er bij jouw forum best eens screenshots kunnen zijn die hieraan lijden, dan nog móet je niet in actie komen. Dat beperkt dus je zorgplicht.

Tegelijkertijd: het mág wel, want niets in de wet verbiedt je om actief te gaan zoeken. En het is ook niet zo dat je dan automatisch aansprakelijk wordt voor de afbeeldingen die je hebt gemist, juist omdat je dit automatisch doet met een tool die checkt op technische kenmerken. Ook over andersoortige claims over de opgeschoonde afbeeldingen maak ik me geen zorgen, je hebt immers geen idee wat daar staat omdat je het met een automatische tool deed, dus hoezo weet je dan ineens dat er iets anders mis kon zijn? Ik zie ook niets in het argument dat je dan ineens ook op criterium X of eigenschap Y zou moeten gaan controleren omdat je hebt laten zien dit te kunnen.

De enige reële tegenwerping die ik kan bedenken is bij afbeeldingen die je incorrect bewerkt. Dan maak je concreet iets stuk in een publicatie van een gebruiker. Maar ten eerste is de kans daarop vrij klein, wederom omdat je het met een tool doet die specifiek dit probleem oplost, en de oplossing is vrij rechttoe rechtaan, namelijk het weghalen van de ‘oude’ afbeelding die technisch eenduidig herkenbaar is in het bestand. Ten tweede zie ik zo even niet de schade: je beoogde een screenshot te plaatsen, wat er nu staat ís een screenshot, wat is er nu precies mis?

Arnoud

Smoelenboek belandt in supermarkt na overlast, school meldt datalek, is het dat wel?

Geplaatst op in Ondernemingsvrijheid, Privacy, 14 reacties

Een filiaal van de Albert Heijn in Den Haag kon overlastgevende scholieren in de gaten houden nadat een smoelenboek van het Maerlant-Lyceum in de supermarkt was beland. Dat meldde Omroep West onlangs. De conrector loste het datalek adequaat op door het boek op te gaan halen en te vragen of de Appie voortaan gewoon de politie wil bellen als ze strafbare feiten ziet. Het blijkt te zijn gegaan om een papieren smoelenboek, dus dat gaf wat vragen bij de AVG-deskundige lezers.

Hoe kon dit boek daar terechtkomen?

Een oud-medewerker van de school heeft het boek aan de supermarkt gegeven. Daarmee konden medewerkers de foto, voor- en achternaam en schoolnummer van de leerlingen zien. ‘In het verleden heeft het filiaal onze hulp gevraagd bij de ongeregeldheden in de supermarkt’, vertelt tijdelijke rector van de school, Peter Reenalda. ‘Naar aanleiding van die vraag is het smoelenboek daar terechtgekomen.’
Het gaat dus echt om een papieren ding met kaft, geen app of online toegang tot het leerlingvolgsysteem. Nog steeds handig natuurlijk als je een vervelende scholier te pakken hebt en je wilt weten hoe die heet, even bladeren en je bent er zo uit. Het boek is bedoeld voor intern gebruik:
Het smoelenboek van de Haagse school wordt alleen onder een zeer beperkt aantal medewerkers verspreid. ,,We hebben op school een aantal exemplaren liggen. Voor een conciërge is het bijvoorbeeld heel handig bij het registreren van te-laat-komers ‘s ochtends. Dan hoef je dat niet allemaal in een computer op te zoeken.”
Ik ga er maar even vanuit dat het een alfabetisch (en op klas) gesorteerd overzicht is van namen, foto’s en schoolnummer. Het is een papieren document, dus dan is de AVG alleen van toepassing als het gaat om een ‘bestand’. Dat is (art. 4 lid 6 AVG):
elk gestructureerd geheel van persoonsgegevens die volgens bepaalde criteria toegankelijk zijn, ongeacht of dit geheel gecentraliseerd of gedecentraliseerd is dan wel op functionele of geografische gronden is verspreid;
De eerste vraag is dan: is een lijst met foto’s en namen een “gestructureerd geheel”. Ik ben geneigd te zeggen van wel. Maar is het volgens “bepaalde criteria” (meervoud) toegankelijk? Ik neig naar nee, omdat je eigenlijk alleen op naam er in kunt zoeken. In een zaak uit 2005 bepaalde de Hoge Raad dat het enkel chronologisch ordenen van stukken over een persoon niet aan dit criterium voldoet. Maar die stukken waren zelf niet bepaald geordend of makkelijk door te zoeken, terwijl dat bij een lijst met scholieren wél het geval is.

In 2018 oordeelde het Hof van Justitie dat lijsten met namen en adressen van mensen die je deur-aan-deur wilt bezoeken (of juist niet) eronder vallen:

[Onder] het in deze bepaling gebruikte begrip ‘bestand’ ook valt een geheel van in het kader van een van-huis-tot-huisverkondiging verzamelde persoonsgegevens, bestaande uit de naam en het adres van en andere informatie over de aan huis bezochte personen, wanneer deze gegevens zijn gestructureerd volgens specifieke criteria die het in de praktijk mogelijk maken deze gegevens gemakkelijk terug te vinden voor een later gebruik ervan. Om onder dit begrip te vallen hoeft een dergelijk geheel geen steekkaarten, specifieke lijsten of andere ordeningssystemen te omvatten.
Een smoelenboek lijkt me evenzo bedoeld om “in de praktijk gemakkelijk de gegevens terug te vinden”, het hele punt is immers dat je gegeven een smoel wilt bepalen om welke persoon het gaat. Dus dan is het inderdaad een bestand, en is het een datalek als het bij een onbevoegde instantie terecht komt.

Wat dat laatste betreft: ja, het is aan Albert Heijn gegeven door een kennelijk bevoegd persoon, namelijk een medewerker die dacht dat dit een goed idee was. Maar dat is niet relevant bij de vraag of iets een datalek is. Daarbij gaat het er alleen om of de persoonsgegevens bij een onbevoegde partij terecht zijn gekomen, en niet of dat door misdrijf, per ongeluk of door een andere reden is gebeurd.

Arnoud