- Gegevens
- Hoofdcategorie: Internet en Telecom
Het datalek bij de GGD is schadelijk voor het vertrouwen in het bron- en contactonderzoek en het testbeleid. Om dat vertrouwen terug te winnen is ferm ingrijpen noodzakelijk. Eerder gebeurde zo ongeveer hetzelfde namelijk al op veel kleinere schaal bij het HagaZiekenhuis. ..
...Het is kwalijk dat de GGD en het verantwoordelijke ministerie geen lering hebben getrokken uit eerdere fouten. Maar erger is misschien nog wel de nonchalante reactie. Hugo de Jonge stelde in het Kamerdebat dat tegen 'dit type misdaad natuurlijk geen kruid gewassen is' en dat alles gedaan was om de systemen zo veilig mogelijk te maken. De GGD legt ondertussen de schuld deels elders door op zijn site te stellen dat er 'verzinsels, onjuistheden en onvolledigheden' worden opgeschreven over het datalek, zonder deze beschuldigingen concreet te onderbouwen.
Dat moet anders. Allereerst moeten de verantwoordelijken volmondig erkennen wat er fout is gegaan en volledig openheid van zaken geven. Vervolgens moeten de procedures en software zo snel en transparant mogelijk verbeterd worden.
Met de halfslachtige onderkenning van de problemen wordt het vertrouwen niet teruggewonnen. Dat is schadelijk. Juist een goede bescherming van gegevens is noodzakelijk voor het vertrouwen en daarmee de kwaliteit van het onderzoek.
Alles bij de bron; FinancieelDagblad [gratis registratie noodzakelijk]
- Gegevens
- Hoofdcategorie: Internet en Telecom
Het is zeker dat het RIVM voorlopig geen beschikking krijgt over locatiegegevens van mobiele telefoons in de strijd tegen corona. De Tweede Kamer heeft het onderwerp controversieel verklaard, waardoor het parlement er niet over stemt en het demissionaire kabinet de tijdelijke wet niet mag doorzetten.
Er was in de Tweede Kamer sowieso weinig steun voor de tijdelijke wet die het mogelijk maakt telecombedrijven te verplichten om locatiegegevens te delen met de autoriteiten.
Het plan om telecomaanbieders te verplichten locatiegegevens beschikbaar te stellen aan de autoriteiten stuit al langere tijd op verzet, zelfs na verschillende aanpassingen. En niet alleen in de Tweede Kamer. Ook de Autoriteit Persoonsgegevens (AP) en privacy-organisaties lieten zich er meermaals negatief over uit. Daarnaast staan de telecombedrijven niet te springen om gegevens van hun klanten te delen met de autoriteiten. De Raad van State kwam wel met een positief advies.
In het voorjaar van 2020 stelde minister De Jonge voor geanonimiseerde locatiegegevens van alle mobiele telefoons maximaal een jaar door te geven aan het Rijksinstituut voor Volksgezondheid en Milieu (RIVM).
Voor de tellingen moeten telecomaanbieders de zendmastgegevens ontdoen van persoonlijke informatie, zoals telefoonnummer, en daarna optellen. Per gemeente ontstaat zo een lijst die per uur toont hoeveel mobiele telefoons vanuit welke gemeente aanwezig zijn, met een minimum van vijftien telefoons. Het idee is dat het RIVM bij besmettingen lokale ggd’s sneller kan waarschuwen.
Alles bij de bron; Computable
- Gegevens
- Hoofdcategorie: Internet en Telecom
De GGD’s willen zo snel mogelijk stoppen met het omstreden softwaresysteem HPzone, dat gebruikt wordt voor het bron- en contactonderzoek.
Dat zegt Ellis Jeurissen, portefeuillehouder bron- en contactonderzoek bij de GGD’s. Volgens Jeurissen werkten de GGD’s al ‘aan de fundering’ van het systeem, maar komt er nu een nieuw systeem vanwege onthullingen deze week van RTL Nieuws. Dat meldde maandag dat privacygevoelige informatie uit zowel HPzone als een ander GGD-systeem wordt verhandeld.
Duidelijk is inmiddels dat gegevens van burgers die werden gestolen bij de GGD mogelijk vorig jaar al werden gebruikt door oplichters. De Fraudehelpdesk kan ongeveer veertig meldingen koppelen aan het datalek, meldt de NOS.
De Autoriteit Persoonsgegevens heeft de GGD onder ‘verscherpt toezicht’ gezet vanwege de affaire. De koepelorganisatie GGD GHOR stelt tegen de NOS echter hiervan niet op de hoogte te zijn gebracht.
Bron; Beveiliging
- Gegevens
- Hoofdcategorie: Internet en Telecom
GGD-medewerkers met toegang tot CoronIT, het registratiesysteem voor coronatesten, hebben ook toegang tot paspoort- of identiteitsnummers en gezondheidsverklaringen van gevaccineerde personen. Dat blijkt uit een GGD-werkinstructie die is ingezien door de Volkskrant.
Vele duizenden testmedewerkers hebben toegang tot dat systeem, dat inmiddels ook wordt gebruikt voor vaccinregistraties. Anders dan bij het testen slaan de GGD’s ook het ID-type (paspoort, ID-kaart of rijbewijs) én het bijbehorende ID-nummer op, blijkt uit de werkinstructie.
Om bij deze informatie te kunnen, zijn wel aanvullende gegevens (bijvoorbeeld de priklocatie) van de gevaccineerden nodig. De GGD heeft deze week stappen genomen om deze toegang te bemoeilijken, vertellen GGD-medewerkers aan de Volkskrant. De Tweede Kamer wil volgende week in debat over de gebrekkige databeveiliging bij de GGD’en...
...Uit gesprekken met betrokkenen bij het ministerie van Volksgezondheid blijkt dat er al vanaf het voorjaar 2020 zorgen waren over de privacy en veiligheid van de GGD-systemen. Onder anderen medewerkers van labs die de testuitslagen verwerkten, uitten hun zorgen. Zij konden allerlei persoonlijke data inzien, inclusief burger servicenummers, terwijl dat niet nodig was.
Ook was vanaf het begin duidelijk dat GGD-medewerkers bij álle data konden, ook al meldde de GGD-website dat medewerkers alleen de gegevens zagen van de persoon die ze moesten bellen. Volgens één betrokkene heeft het ministerie al in augustus hulp aangeboden om de privacyproblemen op te lossen, maar heeft de GGD dat categorisch geweigerd.
Alles bij de bron; Volkskrant
- Gegevens
- Hoofdcategorie: Internet en Telecom
Minister Hugo de Jonge zei het deze week tijdens het vragenuurtje nog maar eens, en nog eens en nog eens: de systemen waarmee de GGD’s werken voldoen aan de laatste normen wat betreft beveiliging: ‘Uiteindelijk is tegen dit type misdaad natuurlijk geen kruid gewassen.’
Een dag eerder wierp André Rouvoet, voorzitter van de GGD-koepel GHOR, een vergelijkbare verdedigingslinie op: ‘Dat er dan mensen zijn die over de rug van al deze mensen geld willen verdienen is ongehoord.’
Zowel Rouvoet als De Jonge gaan voorbij aan het feit dat ze juist níét alles hebben gedaan om deze gigantische privacyramp te voorkomen.
Deze ramp is geen incident, maar een direct en logisch gevolg van de rammelende systemen waarmee de GGD’s werken, die nooit zijn ontworpen met het idee de privacy van Nederlanders te beschermen. De aanwijzingen dat het fout kon gaan waren levensgroot aanwezig. Al in augustus vroeg een redacteur van Nieuwsuur aan de GGD of er een analyse van de risico’s van dataverwerking was gemaakt. Neuh, niet echt, was het antwoord. In alle hectiek was dat erbij ingeschoten. Maar privacy is echt heel belangrijk, hoor.
En toch wijzen zowel Rouvoet als De Jonge naar de criminelen: zíj zijn de echte schuldigen. Die criminelen doen hun werk in ieder geval beter dan de minister en de voorzitter van de GGD-koepel, die bewust moeten zijn geweest van de privacyrisico’s van de gare GGD-systemen.
De overheid wijst de laatste jaren vaak naar de grijpgrage handjes van Big Tech, maar vergeet de data van haar eigen burgers te beschermen. Van Big Tech kun je zeggen dat die weet wat ze doet, van de overheid in dit geval niet.
Alles bij de bron; Volkskrant
- Gegevens
- Hoofdcategorie: Internet en Telecom
De Vrije Student wil de koppeling tussen de corona-IT systemen van de Rijksuniversiteit Groningen, de Hanzehogeschool en de GGD uitstellen. In een brief aan het bestuur van de universiteit laat de fractie in de universiteitsraad weten dat het vreest dat de privacy van de geteste studenten niet kan worden gewaarborgd in de systemen van de GGD.
De RUG en de Hanzehogeschool hebben samen een snelteststraat op de Zernike Campus. Deze draait nu nog zelfstandig op de systemen van de onderwijsinstellingen,
en een koppeling met de CoronIT van de GGD staat op de planning.
De Vrije Student wil die koppeling nu uitstellen. “De RUG heeft de verplichting om de medische gegevens van medewerkers en studenten heel goed te beveiligen, dat kan natuurlijk niet als je gebruik gaat maken van een onveilig systeem,” aldus fractievoorzitter David Jan Meijer. “De huidige RUG-systemen zijn wel veilig, laten we die vooral zelfstandig blijven inzetten om het testen te laten doorgaan.”
Alles bij de bron; OogTV
- Gegevens
- Hoofdcategorie: Internet en Telecom
Te koop: namen, adressen, burgerservicenummers en andere persoonsgegevens van mensen die zich de afgelopen periode hebben laten testen op corona. Het nieuws dat deze data zijn gestolen en verhandeld doet flink wat stof opwaaien.
De gestolen gegevens komen uit twee databases van de GGD: het systeem waarin medewerkers test- en vaccinatieafspraken registreren (CoronIT) en het dossier waarin ze informatie uit bron- en contactonderzoeken vastleggen (HPZone).
Als je je laat testen, worden in CoronIT je naam, adres, contactgegevens (zoals telefoonnummer of e-mailadres), bsn, geslacht en geboortedatum vastgelegd. Na een positieve test volgt een bron- en contactonderzoek, waarvan de resultaten in het HPZone-systeem terechtkomen. Denk aan informatie over waar je bent geweest, over je nauwe contacten en je klachten ("noodzakelijke medische gegevens").
Volgens NOS-techredacteur Joost Schellevis is alleen al de combinatie van iemands geboortedatum en postcode interessant voor criminelen. "Daar kom je bij sommige bedrijven al heel ver mee. En die gegevens zijn ook handig als je iemand wil lastigvallen."
Hoe weet je of jouw gegevens zijn gestolen? Dat is nog niet zo makkelijk, zegt ICT-hoogleraar Borgesius. "Even afwachten dus, je hoort het vanzelf", zegt Borgesius. Zelf zegt de GGD in een verklaring dat de dienst nu nog niets kan zeggen over welke gegevens op straat liggen. "Op het moment dat vast komt te staan dat uw gegevens gestolen zijn, dan is het onze plicht u daarover te informeren en dat zullen wij dan ook doen."
Techredacteur Joost Schellevis snapt dat mensen zich zorgen maken over de huidige beveiliging van persoonlijke data bij de GGD. "Dat geldt zeker zolang die automatische monitoring er nog niet is, die nu dus voor eind maart gepland staat. Het lastige is dat je slachtoffer kunt zijn van datalekken zonder dat je het weet. Je merkt het pas als er iemand misbruik van maakt. Houd dus gekke mailtjes en appjes in de gaten."
Alles bij de bron; NOS
- Gegevens
- Hoofdcategorie: Internet en Telecom
Hugo de Jonge moest gistermiddag in de Tweede Kamer verklaren hoe het in vredesnaam mogelijk is dat persoonlijke gegevens van miljoenen Nederlanders toegankelijk zijn via het ict-systeem voor de coronatests. Volgens deskundigen, geraadpleegd door de Volkskrant, hebben minister en GGD geen flauw benul van informatiebeveiliging...
...Jaap-Henk Hoepman, universitair hoofddocent privacy aan de Radboud Universiteit en Rijksuniversiteit Groningen: “Er wordt kennelijk niet bijgehouden wie welke gegevens opvraagt. Dat is voor een systeem met zulke gevoelige gegevens echt waanzin.” Ook moet je kijken naar wie er toegang krijgt. Hoepman: “Maar GGD-medewerkers hebben via CoronIT toegang tot alle gegevens. Dat is volstrekt onacceptabel en onvoldoende. Je kunt het anders inrichten en duidelijker rollen definiëren.”
Ook blijkt dat alle testmedewerkers bij bijvoorbeeld bsn-nummers kunnen. Hoepman: “Dat is bizar. Waarom wordt een bsn-nummer überhaupt opgeslagen? Net zoals het heel vreemd is dat gegevens bewaard blijven ook nadat mensen hun uitslag hebben opgevraagd of doorgebeld gekregen.” Verder bleek het tot deze week mogelijk om data te exporteren uit het systeem. “Die exportfunctie bedenk je niet. Dat kan gewoon niet,” aldus Hoepman.
Mathieu Paapst, universitair docent IT-recht aan de Rijksuniversiteit Groningen, zegt dat er niet nagedacht is over de ‘basishygiëne’. “Het zijn simpele dingen: welke informatie sla je op en hoe lang? ”
Paapst: “Het woord knullig is nog veel te aardig uitgedrukt. Dit is gewoon een club die geen flauw idee heeft hoe ze met informatiebeveiliging omgaat.”
Alles bij de bron; WelingelichteKringen
- Gegevens
- Hoofdcategorie: Internet en Telecom
De GGD is al maanden op de hoogte van de vele privacyproblemen rondom de coronasystemen met daarin de privégegevens van miljoenen Nederlanders. De interne kritiek van medewerkers is door leidinggevenden telkens weggewuifd. "Het boeit ze gewoon niet", aldus een medewerker die anoniem wenst te blijven.
"Ik heb toegang tot de gegevens uit de coronasystemen van allerlei andere GGD-regio's waar ik helemaal geen toegang tot zou moeten hebben", vertelt een werknemer die via een derde partij voor de GGD werkt. "Iedereen zoekt vrienden, familie of bekende mensen op en met de exportknop kon je er tot voor kort alle gegevens uit halen. Het verbaast me niets dat er wordt gehandeld in die privégegevens." De GGD bevestigt dat medewerkers 'soms toegang blijven houden' tot gegevens uit andere GGD-regio's zodat ze snel kunnen bijspringen.
Een student die voor de testafsprakenlijn werkt vult aan: "Studenten kunnen nog geen tentamen maken zonder webcamsurveillance, maar om toegang te krijgen tot de persoonsgegevens van miljoenen Nederlanders is niets meer nodig dan een laptop en een beetje geduld. Het is een schande. Waarom is er zo paniekerig opgeschaald? Waarom is er niks gedaan met eerdere tekenen van problemen? En waarom kan ik nog steeds alle persoonsgegevens opzoeken die ik maar wil met alleen een achternaam en geboortedatum of geslacht?"
Zowel de GGD als minister Hugo de Jonge benadrukken dat medewerkers die met dit soort gevoelige data werken altijd een verklaring omtrent gedrag (VOG) moeten inleveren. Meer dan tien medewerkers die RTL Nieuws sprak hebben nooit een VOG ingeleverd of pas maanden nadat zij al aan de slag waren. Opvallend genoeg kreeg een aantal van hen deze week opeens de vraag of ze toch nog een VOG konden inleveren.
Alles bij de bron; RTLNieuws
- Gegevens
- Hoofdcategorie: Internet en Telecom
De Algemene Rekenkamer deed onderzoek naar de inzet van algoritmes bij de overheid. In het onderzoek concludeert de instantie dat de overheid veel algoritmes gebruikt, maar dat die voornamelijk simpel zijn en voor simpele doelen worden ingezet. Nergens is er een zogenaamde 'black box' waarbij de werking van het algoritme onduidelijk is; de Rekenkamer kon van alle algoritmes achterhalen hoe die werken.
De overheid gebruikt geen zelflerende algoritmes, zegt de Rekenkamer. Het gaat alleen om lerende algoritmes. In de meeste gevallen worden die gebruikt om zaken te automatiseren. Er zijn bovendien nergens algoritmes in gebruik die aan geautomatiseerde besluitvorming doen. Er komt altijd nog een ambtenaar aan te pas die de uitslag controleert en bevestigt, ook bij algoritmes die aan 'risicovoorspelling' doen. Toch liggen er daar wel risico's, waarschuwt de Rekenkamer. Bij dergelijke algoritmes is het bijvoorbeeld mogelijk dat die in strijd zijn met de wet en discrimineren. "Ook bestaat de kans dat het advies van het algoritme de uiteindelijke beslissing van de medewerker beïnvloedt", staat in het rapport.
In die laatste categorie liggen de meeste risico's. De burger 'staat daarbij niet centraal'. Het is voor hen onduidelijk waar ze terecht kunnen als ze vragen hebben over algoritmes waarin hun data voorkomt, of daar bezwaar tegen willen maken. "Wij bevelen het kabinet aan om burgers op een logische plek inzicht te geven in welke data worden gebruikt in welke algoritmes, hoe die algoritmes op hoofdlijnen functioneren en welke impact de uitkomsten daarvan hebben", schrijft de Rekenkamer. De overheid zet de algoritmes in voor zichzelf. Daarbij is wel aandacht voor privacy, maar te weinig voor ethische kwesties.
De Rekenkamer tekent bij het onderzoek wel aan dat dat beeld mogelijk niet volledig is. Het overzicht is afkomstig van beschrijvingen die het bij ministeries zelf had opgevraagd. De Rekenkamer zegt ook dat er op dit moment geen manier is voor overheden om toezicht te houden op welke algoritmes wel en niet kunnen worden ingezet. Daarom heeft de Rekenkamer zelf een toetsingskader opgesteld. Daarin staan onder andere ethische vraagstukken of vragen over privacy van burgers.
Alles bij de bron; Tweakers