Laat een ‘lekcheck’ niet aan hobbyisten of markt over

Dit jaar zagen we een stortvloed aan nieuwsberichten over datalekken. Door een datalek bij softwareleverancier Nebu werden onder meer VodafoneZiggo, Heineken, de NS, zorgverzekeraar CZ, de Nederlandse Golf Federatie, ArboNed en pensioenfondsen PME en PFZW getroffen. De Autoriteit Persoonsgegevens (AP) moet daarom zorgen voor een ‘lekcheck’. Burgers kunnen dan in één oogopslag zien bij welke datalekken hun gegevens zijn betrokken.

Er zijn inmiddels zoveel datalekken dat burgers door de bomen het bos niet meer zien. Een lekcheck geeft betrokkenen de kans om alle datalekken in te zien en welke gegevens daarbij betrokken zijn. Burgers worden zich zo bewust van de volle omvang van al hun gelekte data en zijn beter in staat actie te ondernemen waar nodig. Een lekcheck is een simpele ingreep, die past binnen de kaders van de Algemene Verordening Gegevensbescherming (AVG).

Hobbyisten of markt

Er zijn al lekchecks, maar die zijn óf afkomstig van commerciële partijen, óf van hobbyisten. Voorbeelden zijn Have I been Pwned (HIBP) van de Australiër Troy Hunt, of Datalekt van de Nederlands-Bulgaarse Maria Genova. Een lekcheck moeten we niet aan hen overlaten. Bovendien zijn commerciële en hobbymatige lekchecks onvolledig: zij hebben alleen gegevens van de datalekken die gevonden zijn, en dat is natuurlijk niet alles. De AP heeft juist wél toegang tot alle gemelde datalekken in Nederland.

Datalekken die in de lekcheck staan moeten zich wel beperken tot serieuze datalekken die een mogelijk gevaar vormen voor de betrokken burgers. Sommige datalekken zijn namelijk belangrijk en vereisen actie, andere niet. Er moet dus een onderscheid komen tussen een USB-stick die een kort moment uit het oog is verloren of een e-mail met persoonsgegevens die per ongeluk naar een collega is verstuurd maar daarna keurig is verwijderd, en een gegevensbestand met duizenden namen dat is ontvreemd. Ook bij de USB-stick en de e-mail is juridisch gezien sprake van een datalek, die voor de zekerheid toch maar wordt gemeld bij de AP. Bij het achterhalen waar je data is gelekt zorgen deze meldingen echter voor ruis.

Melding aanpassen

Om een lekcheck mogelijk te maken kan de AP het meldformulier wijzigen. Nu vraagt de AP geen e-mailadressen of telefoonnummers van gedupeerden van een datalek op. Organisaties hebben deze gegevens wel paraat omdat ze de gedupeerden moeten informeren over het datalek. De AP kan deze contactgegevens opvragen aangezien de AVG niet specifiek voorschrijft welke gegevens de toezichthouder precies moet ontvangen bij de melding van een datalek. Met de contactgegevens kan de AP een veilige, privacy by design-lekcheck inrichten.

Een datalek kan iedere organisatie overkomen. Het wil niet per se zeggen dat de cyberveiligheid niet op orde was, al helpt een optimaal niveau van cyberveiligheid natuurlijk wel bij het verminderen van het risico. Mijn voorstel is ook niet bedoeld om bedrijven aan de schandpaal te nagelen. Een lekcheck leidt niet tot minder gemelde datalekken: bedrijven hebben al de verplichting om betrokkenen datalekken te melden volgens de AVG en doen dat ook braaf. Maar burgers kunnen zo’n melding over het hoofd zien. Met een lekcheck bij de AP kunnen ze altijd achterhalen waar hun gegevens zijn gelekt.

Lees het artikel ook op FD.nl: https://fd.nl/opinie/1476675/laat-een-lekcheck-niet-aan-hobbyisten-of-markt-over-kff3caX4cgty

Illustratie: Hein de Kort voor het FD.