Translink wijzigt reishistorietool nadat geboortedatum opvraagbaar bleek te zijn

Translink voert wijzigingen door aan de tool 'reishistorie anonieme kaart', nadat bleek dat deze onder meer de geboortedatum van de eigenaar van een persoonlijke ov-chipkaart prijsgaf. Sander Wind, die de site nader onderzocht, ontdekte dat.

Een woordvoerder van Translink laat aan Tweakers weten dat er inderdaad 'onwenselijke gegevens' op te vragen zijn met de tool. Websitebouwer Sander Wind onderzocht de ov-chipkaartsite nader toen deze week bleek dat het saldo van willekeurige ov-chipkaartnummers was op te vragen. Translink zag dat echter niet als problematisch. Wind ontdekte dat er met een cURL-verzoek meer gegevens dan alleen de reishistorie op te vragen waren, nadat hij internetverkeer zag langskomen dat hij kon aanpassen. Volgens Translink houdt dit verband met een andere onlinetool, die op het moment van schrijven offline is. Daaronder waren de geboortedatum van de eigenaar, het saldo, het type kaart en de geldigheidsdatum.

Voor het verzoek was alleen een kaartnummer nodig en geen verdere authenticatie. Translink zegt dat dit niet de bedoeling was, maar dat 'een geboortedatum niet herleidbaar is tot een persoon'. Een geboortedatum wordt aangemerkt als een 'direct identificeerbaar gegeven'. De woordvoerder stelt dat er wel contact is opgenomen met de Autoriteit Persoonsgegevens en dat het bedrijf eraan werkt de tool weer online te zetten. Wanneer dat gebeurt, is vooralsnog onduidelijk.

Wind zei tegen Tweakers dat het bovendien mogelijk is om een deel van het e-mailadres van de eigenaar te achterhalen door een poging te doen de kaart te koppelen aan het eigen profiel. Volledig koppelen kan volgens Translink niet zonder toegang tot het e-mailadres.

Eerder deze week bleek dat er ook via de NS-site de geboortedatum op de vragen was van de eigenaar van een ov-chipkaart. De NS liet toen aan Tweakers weten dat de tool is aangepast en dat gebruikers nu zelf hun geboortedatum moeten invullen. Ook heeft het bedrijf melding gemaakt bij de Autoriteit persoonsgegevens. Over de opvraagbaarheid van het saldo via de ov-chipkaartsite schreef jurist Arnoud Engelfriet deze week dat hij dit ziet als datalek. De Autoriteit Persoonsgegevens wilde niet op het specifieke geval ingaan.

Reacties (52)

Dit bevreemdt me toch:

Translink zegt dat dit niet de bedoeling was, maar dat 'een geboortedatum niet herleidbaar is tot een persoon'. Een geboortedatum wordt aangemerkt als een 'direct identificeerbaar gegeven'.

Wat is het verschil?

In een pdf van advocatenkantoor Stibbe lees ik toch:

Er wordt een onderscheid gemaakt tussen direct en indirect identificeerbare persoonsgegevens. Er is sprake van een direct identificeerbaar gegeven indien de identiteit van de persoon waarop de gegevens van toepassing zijn, zonder veel omwegen eenduidig is vast te stellen.

Translink lijkt dus willens en wetens te laks om te gaan met persoonsgegevens.

[Reactie gewijzigd door Spheroid op 21 december 2017 10:46]

Ja, niet helemaal, Spheroid, er is sprake van een (kleine) nuance in dit stukje:

Er wordt een onderscheid gemaakt tussen direct en indirect identificeerbare persoonsgegevens. Er is sprake van een direct identificeerbaar gegeven indien de identiteit van de persoon waarop de gegevens van toepassing zijn, zonder veel omwegen eenduidig is vast te stellen.

Stel nu dat er slechts 1 persoon in heel Nederland op uitgerekend 1 januari jarig is, dan kun je dit bij een anonieme OV-chipkaart dit terugleiden naar die ene persoon.

Voor heel Nederland is dit natuurlijk onredelijk (vandaar dat TransLink het zo kan zien), maar stel nu dat het gaat om een bedrijf met 100 medewerkers, dan is de geboortedatum van een heleboel mensen wel een gegeven waarmee je een boel mensen uniek kunt identificeren.

Stel dat je dan in dat bedrijf zou zeggen; Goh, onze mederwerkers die op 1 januari jarig zijn verdienen bruto 42.000 euro, dan is Piet, de enige die op 1 januari jarig is, waarschijnlijk niet geamuseerd, omdat iedereen die na kan denken weet dat het over hem gaat.

[Reactie gewijzigd door Alienus op 21 december 2017 10:58]

Je hebt wel aardig gelijk, alleen is een geboorte datum niet hetzelfde als de datum waarop je jarig bent.
Geboortedatum 01-01-1980 is namelijk een stuk specifieker dan de dag waarop je jarig bent. Als je bijvoorbeeld een regio of stad weet dan wordt het al vrij snel echt herleidbaar.

Volledige namen zijn vaak ook niet uniek, maar icm dus woonplaats wordt het pas echt herleidbaar.
Reisgedrag + geboorte datum is dus vaak genoeg om iemand te identificeren. Bij veel grote toko's wordt er vaak ook eerst naar een geboortedatum gevraagd (ziekenhuis bijv) omdat dat makkelijk identificeert.

Volledige namen zijn vaak ook niet uniek, maar icm dus woonplaats wordt het pas echt herleidbaar.

Nee, stel dat volledige namen openbaar waren, dan was mijn naam genoeg om je direct naar mijn persoon te leiden. Het hangt namelijk van de naam af. Zo ook met een verjaardag of geboortedatum; de kans dat één specifieke mogelijikheid uniek is, die verschilt.

Vertel eens iets nieuws... vorig jaar ofzo kwam PowNed bijvoorbeeld dat je via het Kadaster kan zien wie waar woont.. zelfs de top mensen van bijvoorbeeld de AIVD, ministers etc.
weet niet of dat is aangepast btw...

Nee is niet aangepast, ben nu ingelogd.

Je kan zien wie de eigenaar en gerechtigden zijn, dat is informatie die veel mensen dagelijks nodig hebben. Was nieuwswaarde nihil?

Je kan er dus zien wie waar woont, en dat kan je niet weigeren... met de juiste set gegevens kan je via de dark web miljonair worden...

Wel wil ik graag even zeggen dat Translink dit na mijn Responsible Disclosure goed op heeft gepakt! Heb nu al een paar keer contact met hen gehad, ze hebben mij de ruimte gegeven om alles duidelijk uit te leggen en en ze werken op dit moment hard aan een oplossing.

Snappen ze ook al dat een saldo tonen ook een inbreuk is op de privacy en misbruikt kan worden? Want in het vorige bericht las ik dat ze de geboortedatum toevoegen. Dat helpt alleen tegen willekeurige nummers invoeren en terug herleiden.

Nu heb je nog steeds dat als je iemands pas ooit ziet (foto maken, nummer + geboortedatum staan erop) dat je simpelweg kan volgen waar diegene naartoe gaat als je weet waar diegene woont. Je hoeft alleen maar regelmatig het saldo te checken. Aan de hand van het bedrag dat eraf gaat kan je prima herleiden waar diegene heen is gegaan.

Ik woon bijvoorbeeld in Utrecht.
Utrecht - Amsterdam: € 7,50
Utrecht - Rotterdam: € 10,30
Utrecht - Den Haag: € 11,00

Tot nu toe heeft elk station dat ik invul een andere prijs. Ideaal om te tracken. Met wat meer moeite maak je een soort prachtige rainbow table waarbij je precies weet welke trajecten iemand kan hebben afgelegd bij welk bedrag, dan hoef je het startstation niet eens te weten.

Ik weet alleen dat ze hier wel mee bezig zijn. Ook omdat het nu natuurlijk in de media is gekomen, maar ook dat o.a. ICTRecht zich hier nu ook mee bezig houdt. Ik acht daarnaast de kans groot dat Autoriteit Persoonsgegevens hier ook nog wel verder op in zal gaan.

Verder zou het toevoegen van de einddatum in het formulier om je saldo te controleren wat mij betreft al een veel betere manier van autorisatie zijn. Wel zit er al een captcha op deze request, welke na een paar keer getriggerd wordt. Vol automatisch zul je deze data dus niet zomaar op kunnen halen of je moet voor tools zoals https://anti-captcha.com kiezen.

Daarnaast is jouw voorbeeld inderdaad correct. Zou je iemand serieus in de gaten willen houden, zou je deze data prima kunnen gaan vergaren. Via de API van 9292.nl kun je waarschijnlijk redelijk eenvoudig stations gaan itereren om de prijzen en reistijden op te halen. Gebruik dan nog de data van http://ovapi.nl/ en je kan via de actuele reistijden nog beter uitzoeken welk traject de desbetreffende persoon gebruikt.

Veel moeite? Misschien, maar waar een wil is, is een weg ;-)

Aan de hand van het bedrag dat eraf gaat kan je prima herleiden waar diegene heen is gegaan.

Ik woon bijvoorbeeld in Utrecht.
Utrecht - Amsterdam: € 7,50
Utrecht - Rotterdam: € 10,30
Utrecht - Den Haag: € 11,00

Tot nu toe heeft elk station dat ik invul een andere prijs. Ideaal om te tracken. Met wat meer moeite maak je een soort prachtige rainbow table waarbij je precies weet welke trajecten iemand kan hebben afgelegd bij welk bedrag, dan hoef je het startstation niet eens te weten.

Het spel wat jij bedoelt heet 'Scotland Yard',

Ik heb deze tool nog nooit gebruikt maar staat er niet standaard de plaats bij? Dat was bij het overzicht dat je via een account met kaart op naam op kunt vragen wel het geval. Daar stond precies het tijdstip, station en kosten van de reis vermeld. Geen rainbow table voor nodig.

En volgens mij zijn die tijdstippen nog veel waardevoller dan een station, want daaruit kun je bv afleiden wanneer iemand niet thuis is, of hoe lang iemand werkt, en wanneer hij/zij niet direct na werk naar huis ging maar nog even bleef hangen, of wanneer iemand een dagje/avondje uit was, en nog veel meer details over iemands leven. Met alleen een station weet je bv nog niet waar iemand woont. Utrecht is een grote plek.

Tuurlijk zijn tijden nog handiger als ze erbij staan, maar als je regelmatig checkt (al dan niet geautomatiseerd), dan zie je natuurlijk precies op welke momenten het saldo eraf gaat. Ik weet niet of je de 10/20 euro die eraf gaat bij het inchecken eraf ziet gaan, want dat maakt het nog makkelijker. Je hebt simpelweg maar heel weinig data nodig om heel specifieke reisdata te achterhalen.

Het hele punt is dat dit ongetwijfeld handige feature zal zijn, maar dat het simpelweg niet gewenst is vanwege de privacybezwaren. Je zou gewoon moeten inloggen.

Vervang OV-chipkaart door bankpas waarbij je zou kunnen zien wat het banksaldo zou zijn als je het pasnummer hebt en het wordt nog duidelijker wat het probleem is.

Dit kan hooguit bij zoiets als een eenmalige cadeaubon oid, niet bij een product dat mensen dagelijks gebruiken.

Je zou gewoon moeten inloggen.

En hoe denk je in te loggen met een anonieme kaart? Door een account aan te maken en ze jouw naam en email te geven? Weg anonieme kaart. De enige mogelijkheid is de hele functie offline halen.

Een account betekent niet dat je je naam of email hoeft te geven. Je zou er gewoon een wachtwoord bij je chipkaart kunnen instellen, met eventueel een username. E-mailadres zou optioneel kunnen zijn om je wachtwoord te kunnen resetten.

Nu kan je je wel afvragen hoe anoniem je weer bent als je onder je vaste IP daar inlogt, al is die hele anonieme kaart een wassen neus.

al is die hele anonieme kaart een wassen neus.

Klopt. Je kunt ze bijna alleen maar via pin opladen en daarmee weten ze toch al wie je bent. Van iDeal- en creditcard transacties krijgen we gewoon de naam door die op het account of de kaart staat (via Ingenico/Ogone), dus die zal Translink ook krijgen. Bij iDeal ook nog de volledige IBAN (bij cc alleen de laatste 4 cijfers), dus als je meerdere pinpassen hebt maakt dat ook niet uit.

Maar dat betekent nog niet dat je ze meer informatie moet gaan geven dan ze al hebben. Voor NAW en vooral contactgegevens zullen ze wel wat meer moeite moeten doen, en een account aanmaken is vrij lastig zonder enige vorm van contactgegevens.

Wat een gedoe toch. Wie is daar nu in geïnteresseerd? Als je iemand wil tracken zijn er betere manieren dan deze omslachtige procedure.

Om een account aan te maken voor mijn ov (of hoe dat ook heet) heb je volgens mij alleen de gegevens nodig die op de pas staat. En als je dat via cURL requests kan ontvangen, kan je een account koppelen met zijn pas.

Dan heb je toegang tot zijn reishistorie, zijn automatisch opladen en volgens mij dan ook tot zijn bankrekeningnummer. Dit alles zonder dat de gebruiker (van de OV-chipkaart) er geen bericht over krijgt.

Tijd voor een plekje in de Hall of Fame: https://www.ov-chipkaart....sclosure-hall-of-fame.htm

Eerder vond men(Translink) het geen beveiligingsprobleem, maar is men het nu toch maar snel aan het oplossen
Ik wordt een beetje moe van al die bedrijven die de hele tijd mooi weer proberen te spelen richting de media. Wees gewoon eerlijk en geef een fout toe, daar oogst je heel wat meer respect mee dan met dit 'draaierige' gedrag.

Men vindt het nog steeds denk ik geen beveiligingsprobleem, alleen reageren ze op de kritiek in de media. Een vrij logische actie.

Dan vinden ze het fout. Een geboortedatum is, zoals in het artikel ook al genoemd, een identificeerbaar gegeven en valt dus onder de noemer 'persoonsgegevens'. Vrijwel geen enkel persoonsgegevens is direct te herleiden tot een persoon. Er zijn ook meer hondjes die fikkie heten net zoals er meer mensen zijn met dezelfde geboortedatum. Maar een naam is wel een persoonsgegeven, een geboortedatum dus ook.

Het enige dat misschien direct herleidbaar is is een BSN, maar dat is dan weer geen 'persoonsgegevens', maar een 'bijzonder persoonsgegeven' en vereist een hoger beveiligingsniveau dan een 'persoonsgegeven'.

Kortom, als Translink vindt dat het geen datalek is maar slechts een cosmetisch iets dat ze na kritiek hebben aangepast dan mogen ze keihard worden aangepakt.

Ach ja iedere Nederlander wordt geacht de wet te kennen, maar zo nu en dan zitten er wat gaten in de kennis van de personen die de eerste communicatie doen.
Op het eerste gezicht is een geboortedatum niet echt een ding, maar de wet denkt daar (terecht overigens) anders over. Goed dat ze daarop zijn teruggekomen, onder lichte externe drang verwacht ik, maar nu in ieder geval het juiste doen.

Ik vind het al krom dat dit er in verwerkt zit, je gaat met 'persoonsgegevens' om. Ergens een fout komt altijd wel voor, maar mijn prioriteit als professioneel bedrijf zou toch liggen in het afschermen van die gegevens...

Dat zou mooi zijn inderdaad. Maar volgens mij kan er bij een verwijtbaar datalek ook worden beboet, en die boetes zijn niet verwaarloosbaar klein. Dat zal dan ook wel de reden zijn dat bedrijven niet meteen zullen toegeven dat er sprake is van een datalek.

Sorry, ik reis nooit met de trein maar hoe kan het dat een "anonieme kaart" een geboortedatum van de eigenaar nodig heeft?

Geboortedatum lijkt me in ieder geval duidelijk persoonsgegevens dus een datalek. Ik neem aan dat de autoriteiten een forse boete opleggen?

Goed lezen. Met de tool 'reishistorie anonieme kaart' konden bepaalde gegevens van persoonlijke ov-kaarten opgevraagd worden.

Wel als het mail adres ook te achterhalen valt. Staat ook in de tekst.

Ironische profielfoto dan

[Reactie gewijzigd door Septimamus op 21 december 2017 10:43]

Ha, dat klopt. Die profielfoto komt nog uit m'n studententijd

Kan helaas niet, pas als de overtreder na een sommering het probleem niet verhelpt kan de autoriteit persoons gegevens een boete opleggen.

Er zijn problemen met het opleggen bij boetes bij dit soort bedrijven:
- ze malen er niet om.
- geen probleem, we verhogen gewoon de prijs om de extra kosten te compenseren.
- naar wie gaat het geld? Niet naar de mensen die het probleem hebben gehad, maar naar de overheid.

Dus de roep om forse boeters? Ik vind het maar niks. De verantwoordelijken naar huis sturen, zonder bonussen is beter.

Ik vind die hele OV-chipkaart zo ellendig; de invoering van dat ding is de reden geweest dat ik mijn eerste auto heb gekocht om vervolgens elke dag in de file te gaan staan, in plaats van treinen.

Ik zie echt niet in waarom:

• De NS/andere vervoerder per sé moet weten wanneer ik reis
• Ik extra geld op een kaart moet zetten om te kunnen reizen middels een pre-paid model wanneer kaartjes werken
• De abonnementen gekocht moeten worden online en dan 'op de pas' gezet moeten worden
• persoonsgegevens verwerken *noodzakelijk* is om reiskosten te kunnen declareren bij de
  werkgever.
• Je zelf stappen moet ondernemen om je tegoed terug te krijgen, bij het verlopen van de kaart
• Het tegoed-systeem op de kaart werkt dmv security through obscurity, zonder degelijke beveiliging

Het is mijn inziens een systeem dat volledig tegen de consument/reiziger/burger is gekenterd. .

[Reactie gewijzigd door Alienus op 21 december 2017 10:40]

Nu zit je in de auto/file:
- Kentekenregistratie, dus er wordt netjes bijgehouden waar je bent en gereden hebt
- Je moet eerst je tank volgooien om te kunnen reizen (dus extra geld in de tank), dus feitelijk pre-paid
- Je hebt een kenteken registratie (tegenwoordig op een pas), APK, onderhoud, etc.
- Je moet een bonnetje hebben van de kassa om te kunnen declareren (of je krijgt een vaste km vergoeding)
- Als bonus, als je even niet in de file staat: kans op (parkeer)boetes, ongelukken, parkeerkosten, schade, diefstal, etc.

Dus ja,... Stuk beter zo met de auto ;-)

Er wordt in ieder geval niet geregistreerd exact wanneer ik vertrek, aankom, hoe vaak ik precies rijd.
Althans, dit was niet zo toen ik eind 2014 begon met autorijden ipv met de trein rijden...

Inmiddels zie ik dat de hele maatschappij, voor mij, onacceptabel bezig is met mijn privacy, buiten mijn keuze om. Ik ga zeer zeker niet ook nog eens zelf meewerken aan die schending door zelf met die OV-chipkaart in te checken op stations.

[Reactie gewijzigd door Alienus op 21 december 2017 10:49]

Dat is zelfs nog maar afhankelijk hoe oud/nieuw je auto is... Tegenwoordig niet vreemd dat dat allemaal bijgehouden wordt via GPS-achtige systemen dmv mobiele netwerken.

Je wil het niet weten vrees ik... ;-)

Mij hoef je hier niet op te attenderen.
Letterlijk elke dag hoor ik nieuwsberichten waar ik ongelukkig van word op dit front.

Ik probeer ze doorgaans eigenlijk zo veel mogelijk te negeren, aangezien ik niet graag ongelukkig ben.

Mijn mobiel wordt ook gevolgd in de trein, lopend, fiets, bus, etc.
Er is in dit opzicht dus geen verschil hoe je je voortbeweegt.

• Kentekenregistratie: met weet waar het voertuig is geweest welke op mijn naam staat. Is niet zeker dat ik ook daadwerkelijk daar ben geweest.
• tanken: Je koop een daadwerkelijk product, welke ook nog voor andere doeleinde is in te zetten
• kenteken registratie: wederom een registratie van het voertuig. Niet van de persoon
• declareren: hoeft het tank station nog steeds geen persoonlijk gegevens te hebben om een bonnetje te maken. En bij het inleveren van het bonnetje bij de werkgever staan niet mijn reisgegevens erop, alleen een bedrag.
• als bonus voor de trein: extra kosten vervoerskosten maken om bij het station te komen (niet iedereen woont naast het station), te vaak moeten staan in de trein, alleen op tijden kunnen reizen dat NS dat wilt, geen bellende persoon naast je.

Dus ja,... Stuk beter zo met de auto ;-)

Bonus voor de rest van Nederland een bonus als ik niet met de trein ga; geen last van mijn vals gezang als ik aan het meezingen ben

Klopt, het systeem is opgezet door de vervoersbedrijven die vooral aan hun eigen belangen dachten. De kosten konden daarentegen geheel afgewenteld op de reiziger (en dat gebeurt nog steeds: het automatisch blokkeren van studentenkaarten zou 100 miljoen gaan kosten, dus voeren we maar een boetesysteem in).

Gelukkig ben je niet de enige (ik ook)
Ik kocht in eerste instantie een persoonlijk kaart, die binnen 1 week doormidden brak.
Vervolgens dus de kosten van de kaart + saldo kwijt omdat je toen nog een PDF moest printen om je "saldo" terug te krijgen
Reistijd, privacy, etc. etc. was vervolgens ook de druppel om nooit meer het OV te gebruiken.

Gelukkig heb ik mij nog jaren kunnen redden door een op straat gevonden OV-kaart die door vrienden werd opgewaardeerd zodat ik met hun mee in de tram kon. (Oh de tram, kan jij mijn OV opwaarderen, betaal ik het bier)

Je zelf stappen moet ondernemen om je tegoed terug te krijgen, bij het verlopen van de kaar

Dit is niet (altijd) meer zo, als er een rekeningnummer bekend is krijg je het automatisch teruggestort bij verlopen. Bij verlies of defect moet je er natuurlijk wel zelf achteraan.
Wat je nog vergeet, die kaart kost ook nog eens €7,50 en is minder dan 5 jaar geldig. Naar mijn mening zou dat maximaal €4,- mogen zijn, het uiterste dat je negatief kunt staan.

Is het niet, reishistorie tool. Met een spatie? Duurde even voordat ik door had wat er stond.

Is dus ook gewoon niet (goed genoeg) getest die hele tool. Vindt het elke keer toch vrij apart dat dit soort (erge) lekken nog voorkomen met zulke bedrijven.

[Reactie gewijzigd door Septimamus op 21 december 2017 10:39]

Zeker niet! In het Nederlands worden samenstellingen altijd aan elkaar geschreven! (zie www.spatiegebruik.nl)

Een geboortedatum wordt volgens de wet nog altijd als persoonsgegevens gezien, en mag dus niet zomaar openbaar gemaakt worden. Ik blijf het overigens raar vinden dat sommige bedrijven een geboortedatum als verificatiemiddel gebruiken en 'denken' dat niemand dit 'geheime wachtwoord' weet.

[Reactie gewijzigd door RoL0 op 21 december 2017 10:45]

Of de laatste vier cijfers van je bankrekening...

Is het niet, reishistorie tool. Met een spatie? Duurde even voordat ik door had wat er stond.

Nee, juist niet.
https://onzetaal.nl/taaladvies/samenstelling

Duidelijk. Echter geeft de website wel aan dat een streepje mag om de leesbaarheid te verhogen. In dit geval lijkt me dat dus wel handig tussen reishistorie-tool. Maar goed. Iedereen zijn voorkeur.

Waarom heeft een bedrijf mijn geboortedata sowieso nodig.
Alleen wanneer ik gebruik maak van een bepaalde leeftijdskorting maar dat moet voldoen met een vinkje dat uit de controle is gebleken dat ik daaraan voldoe (>65 = true). Hoef je verder geen onnodige data voor op te slaan.

Tja, ze gebruiken het ook om je (mede) te identificeren om te voorkomen dat je je abonnement met iemand deelt. Ze zouden toch eens wat geld mislopen . Het tegendeel is waar, de invoering van de OV-kaart scheelt de vervoersbedrijven miljoenen, o.a. doordat de kosten en problemen vooral bij de gebruikers gelegd zijn. Nog maar te zwijgen van het geld dat niet teruggevraagd wordt bij niet kunnen of vergeten uit te checken.

Translink zegt:

een geboortedatum niet herleidbaar is tot een persoon

Wel als er op die dag maar een iemand geboren is. Dus technisch klopt het niet wat ze zeggen.

Wanneer leren bedrijven nu eens dat geboortedatums geen goed identificatiemiddel is, omdat het vaak een openbaar gegeven is. Mensen kennen elkaars geboortedatum, en is niet echt geheim. Daarnaast is ze niet uniek, denk aan bijvoorbeeld tweelingen of meerlingen.
Daarom zou het verboden moeten zijn om naar je geboortedatum gevraagd te worden bij bedrijven en instellingen. Een apart nummer, buiten je BSN nummer, zou hier bij kunnen helpen.