Belastingsamenwerking West-Brabant had opnieuw datalek

De Belastingsamenwerking West-Brabant maakte het kinderlijk eenvoudig om gegevens van belastingplichtigen in te zien, zo ontdekte een inwoner van Zevenbergen. De Brabantse dienst heeft het datalek gedicht. Vier jaar geleden had de dienst ook een datalek.

De Belastingsamenwerking West-Brabant stuurde bij aanvragen over WOZ-aanslagen links naar pagina's die eindigden op een getal. Door dit getal te wijzigen waren pagina's van andere belastingplichtigen te zien met onder andere namen, adressen en WOZ-beschikkingen, schrijft BN deStem. Ook bood de eenvoudige work-around toegang tot gerechtelijke vonnissen in schuldhulpsaneringszaken. Niet duidelijk is van hoeveel belastingplichtigen de gegevens in te zien waren. In totaal int de Brabantse dienst namens elf gemeenten en twee waterschappen voor ongeveer een half miljoen huishoudens belastingen.

De fout werd ontdekt door een man uit Zevenbergen. Die waarschuwde de klantenservice van de Belastingsamenwerking West-Brabant tot drie keer over het datalek, maar de dienst kwam pas in actie nadat BN deStem contact opnam over de zaak. Directeur Peter Stoffelen spreekt van een wake-upcall om in het vervolg beter naar de beveiliging te kijken. "Dit lek is veroorzaakt door een contactformulier dat we nog niet zo lang geleden aan onze website hebben toegevoegd. Met dat formulier zijn zo’n 400 documenten geüpload."

In 2017 had de dienst van West-Brabant ook een datalek. Door een fout kregen toen 750 tot 800 personen het aanslagbiljet van één enkele persoon uit Dongen te zien bij het inloggen met hun eigen gegevens.

Update 09.00: Aanvankelijk stond in dit artikel dat het datalek de Belastingdienst West-Brabant betrof maar de naam van de dienst is Belastingsamenwerking West-Brabant. Met dank aan DrAMetElfeNd.

Reacties (82)

[CAPSLOCK2000]

Directeur Peter Stoffelen spreekt van een wake-upcall om in het vervolg beter naar de beveiliging te kijken.
"Dit lek is veroorzaakt door een contactformulier dat we nog niet zo lang geleden aan onze website hebben toegevoegd. Met dat formulier zijn zo’n 400 documenten geüpload."

Ik ben bang dat het voorlopig niet goed gaat komen. Deze twee zinnetjes vertellen mij dat ze eigenlijk nog niet beseffen wat er mis is gegaan. Populair gezegd: er is een auto tegen een muur aangereden en ze hebben het over de deuken in de bumper maar vragen zich niet af waarom er geen remmen in de auto zaten en waarom de chauffeur niet heeft bijgestuurd.

Natuurlijk was het beter geweest als er geen fout in dat contacformulier had gezeten, maar zonder verschillende onderliggende problemen was het niet op deze manier fout gegaan. Ik kan me niet voorstellen dat dit het eerste formulier op die site is. Als andere formulieren dit probleem niet hebben dan wijst het er op dat er (in dit geval) geen gebruik is gemaakt van een standaard framework of library. Normaal gesproken zou je namelijk verwachten dat dit soort problemen worden opgevangen door zo'n framework, dat is namelijk een belangrijke reden om daar gebruik van te maken.
Het lijkt mij dus waarschijnlijk dat hier iemand is afgeweken van de standaard of dat er uberhaupt geen standaard is. Nu worden natuurlijk over fouten gemaakt, maar je zou een proces moeten hebben om fouten te voorkomen. Een handmatig gebouwd formuliertje zou daar onmiddelijk moeten zijn tegengehouden.
Een vergelijkbaar verhaal kun je houden over de URLs met voorspelbare/aanpasbare nummers er in, dat zou ook bij de controle moeten zijn tegengehouden.
We hebben dus al iemand die niet het juiste gereedschap inzet en geen proces om dat te voorkomen.

Dan een aanname die ik baseer op veel ervaring: waarschijnlijk werden de bestanden die de gebruikers uploadden weggeschreven in een directory die de webserver rechstreeks kan uitlezen terwijl dat eigenlijk niet de bedoeling is. In een professionele omgeving hoor je de verschillende applicaties die een website verzorgen (webserver, database, php-of-een-andere-taal) strict te scheiden, net als de bestanden die de verschillende onderdelen nodig zijn. Je wil bijvoorbeeld niet dat je webserver de configuratie van de database kan overschrijven. Een van de basisregels die daar uit voorkomt is dat als gebruikers bestanden uploaden dat je die in een aparte directory zet waar de rest van het systeem niet zomaar bij kan. In praktijk zie ik dat vaak fout gaat omdat het coordinatie vereist tussen de systeembeheerder en de applicatiebeheerder en/of ontwikkelaar. Zeker in de markt voor budgethosting bestaat die niet en is het de gewoonte om alle bestanden maar op een grote hoop te vegen. Veel ontwikkelaars lijken niet beter te weten.

Ik zal maar niet beginnen over moderne ideeen zoals dat je alle data en bestanden standaard versleuteld zodra ze binnen komen zodat als bestanden uitlekken dat niet veel kwaad kan.

De manier waarom directeur Peter Stoffelen spreekt over "een wake-upcall om in het vervolg beter naar de beveiliging te kijken" geeft een beetje hoop, maar het is maar de vraag of hij beseft dat het hier niet gaat om een klein incident dat je achteraf kan rechtzetten, maar dat het wijst op een fundamenteel proces waardoor er waarschijnlijk veel meer fouten zijn die nog niet aan het licht zijn gekomen.

Iedere organisatie in de wereld is tegenwoordig een IT-organisatie maar de meesten beseffen dat niet. Dat gaat heel erg fout zodra ze dingen buiten de deur willen plaatsen of aanbesteden. Ze snappen namelijk niet dat je wel techniek en diensten kan kopen maar dat dit slechts middelen zijn. Je hebt nog steeds "echte" IT-ers nodig om alles aan elkaar te knopen. De meeste problemen in de IT komen ontstaan op het koppelvlak tussen applicaties en doordat verschillende onderdelen verschillende aannames doen. Daarvoor is namelijk kennis en inzicht nodig van de organisatie waar je voor werkt. Dat kun je niet inkopen.
Het is alsof een bedrijf 100 typemachines en een woordenboek koopt en denkt dat ze dan literaire romans kunnen laten schrijven door de onderhoudsmonteur.

Ik wil nog even benadrukkken dat ik niet weet wat er echt aan de hand is. Het kan natuurlijk dat ze echt enorm veel pech hebben gehad met een samenloop van omstandigheden en dat het eigenlijk allemaal prima geregeld is. Maar gezien er al eerder zo'n incident is geweest geef ik ze hier niet het voordeel van de twijfel.

Die vorige fout is op zich wel interessant, want toen was het verweer dat de fout gemaakt zou zijn door extern ingehuurde partijen die voor de IT moeten zorgen. Dat sluit precies aan bij het beeld dat ik schets: een organisatie die z'n IT uitbesteedt aan externe dienstverleners die allemaal hun eigen stukje doen zonder dat er mensen zijn die nadenken over het grotere plaatje of hoe al die onderdelen samenwerken.
Dat is geen hele gekke aanname want dat proces zie je momenteel overal. Waarschijnlijk is er wel ene kleine IT-afdeling maar die moet dan zowel zorgen voor inkoop, contracten, ondersteuning, beveiliging en techniek. Er zijn er niet veel die dat allemaal kunnen en de weinigen die het wel kunnen zijn onbetaalbaar. De mensen die gespecialiseerd zijn in die andere gebieden weten weer niks van IT.

Daarbij zal ik wel direct erkennen dat het ook niet makkelijk is om het wel goed te doen. De algemene kennis van IT is erg laag. Dan krijg je al snel de situatie dat 1 gek meer kan vragen dan 10 wijzen kunnen beantwoorden. We zullen het algemene kennisniveau flink moeten opvoeren en dat is een grote opgave.
Vandaar de conclusie waar ik dit stuk mee begon: dit gaat voorlopig niet goed komen. Zolang er over beveiliging wordt gedacht als een sausje dat je over je over je lauwe fast-food kan gooien om er een gezonde maaltijd van te maken gaat dit niet veranderen. Als de vitamines weg zijn en de burger is aangebrand dan komt het nooit meer goed, je kan de vieze smaak verbergen met veel saus maar het wordt nooit meer gezond.

[PhazeD]

Ik ben bang dat het voorlopig niet goed gaat komen. Deze twee zinnetjes vertellen mij dat ze eigenlijk nog niet beseffen wat er mis is gegaan.

en

Iedere organisatie in de wereld is tegenwoordig een IT-organisatie maar de meesten beseffen dat niet.

Precies. Goed betoog en ik deel de analyse.

[Sneezzer]

Dus niet de Nederlandse Belastingdienst maar de gemeentelijke belastingen.

Zit nogal een verschil tussen maar uit tekst blijkt dat niet.

[blackSP]

Belastingdienst West-Brabant is toch de provinciale dienst? Staat toch meerder keren in het artikel.

O.a. In totaal int de Belastingdienst West-Brabant namens elf gemeenten en twee waterschappen voor ongeveer een half miljoen huishoudens belastingen

[Reactie gewijzigd door blackSP op 23 juli 2024 00:14]

[wjn]

Het is geen "Belastingdienst": https://www.bwbrabant.nl/

[TheVivaldi]

Maar gemeentelijke belastingen vallen niet onder de Belastingdienst - dat doen gemeenten zélf. En als iemand het namens hen doet, is het nog steeds vanuit de gemeenten afkomstig en niet vanuit de Belastingdienst.

[n4m3l355]

Ik heb zelf nogal wat vastgoed maar ik woon in het buitenland. Ik heb minstens 30 keer contact gehad om adres wijzigingen door te geven, en tot op heden is het nog steeds nooit gelukt. Ik heb zelfs in Nederland een aparte postbus genomen omdat dit mij eenvoudiger leek echter niks is minder waar. Dit is niet enkel het geval op provinciaal niveau maar ook op nationaal niveau. Ik heb vervolgens via een relatie contact weten te leggen met het hoofd van de buitenlandse afdeling, die erkende het probleem, gaf aan dat dit al langer bekend is echter zoals al aangegeven tot op heden geen success.

Typerend genoeg omdat ik dus nooit in staat ben om aanslagen fatsoenlijk te verwerken weet men mij zelfs in het buitenland te vinden om te dreigen met deurwaardes op mijn lokale addressen.

Voor mij verwonderen dit soort berichten dan ook totaal niet dat de "overheid" behalve zo lek als een mandje is, ze ook niet fatsoenlijk op burgers reageren totdat zwaarder geschut aankomt.

Ik vraag me dan ook af wat nou eigenlijk nodig is in Nederland dat de belastingdienst en daarmee ook de algehele overheid nou eens wakker wordt wat voor rommel het bij hun is. Ze zijn constant in het nieuws, het kost de burger gigantisch veel geld en moeite, ze drijven hun soms letterlijk moedwillig in de schulden en de consequenties blijven uit. Ronduit schandalig. Ook hier weer, 3 maal toe doet men er niets aan, liggen jou en mijn gegevens potentieel op straat met alle gevolgen van dien, en wederom gebeurd er helemaal niets.

[WillySis]

Dit gaat niet om de belastingdienst maar om een samenwerking van 11 gemeenten in West-Brabant. Addresswijzigingen lopen via de gemeenten.
Jij beschrijft een zoveelste probleem bij de nationale belastingdienst.

[ollie1965]

Volgens mij moet jij eens dit stukje tekst lezen. Kan je probleem zomaar eens oplossen
https://www.rvig.nl/brp/rni

[kodak]

Er zijn ongeveer 18 miljoen personen en een paar miljoen bedrijven die afhankelijk zijn van organisaties die over belasting gaan. Maar wat heeft jou probleem met een adreswijziging bij een organisatie dan volgens jou te maken met het moeite hebben met melden van een datalek bij een andere organisatie? Als jij ergens anders last van hebt is het relevant omdat er een bepaald woord is gebruikt?

[Groningerkoek]

Politici met lef en een BD die uiteindelijk door haar ICT problemen miljarden aan uitstaande belastingen niet meer kan innen. Zodat er in de verre toekomst misschien een keertje de hele top eruit getrapt wordt, men deskundige mensen in dienst neemt voor de opzet, en i.p.v. dat uitbesteden een goed software bedrijf opkoopt en in huis een goed product gaat ontwikkelen. Paar jaar geleden was ik nog bij de BD met een lastige vraag, en de medewerker aan de balie moest een MS-DOS terminal openen en daar commando's intypen om de benodigde gegevens op tafel te krijgen, het voelde alsof ik in een museum was.

[Cio]

Melden bij de 'klantenservice' geeft geen reactie, melden bij de AP geeft tegenwoordig ook geen reactie meer. Zelfs als het een overheid betreft.

Zijn we nu echt afhankelijk geworden van massa-media om onze privacy te waarborgen? Wat een ironische situatie.

[vanaalten]

Mee eens. En dan ook de reactie van de instantie:

Directeur Peter Stoffelen spreekt van een wake-up call om in het vervolg beter naar de beveiliging te kijken

. Kijk dan niet alleen naar de beveiliging, maar ook naar hoe je naar de klanten luistert. Een melding van iemand over een datalek moet alarmbellen doen rinkelen en niet onder op de stapel verdwijnen. Directeur Peter Stoffelen heeft het totale probleem maar half begrepen.

[Tintel]

<azijn-mode on>
Ja - nu is de reactie niets anders dan een politieke actie; "Oh wacht - het komt in het nieuws - dan moet ik wel reageren".
Maar als 'gewone' burgers wat melden wordt dus gewoon genegeerd...

Tel daarbij op dat een pruts-lek was en nu niet bepaald een echte hack nodig heeft.

Natuurlijk krijgt daarna de ICT-afdeling het te verduren maar als je riant betaald krijgt omdat je meer verantwoordelijkheden zou hebben, dan dien je die verantwoordelijkheid ook te nemen. Roepen dat het in het vervolg beter gaat terwijl het al eerder is voorgevallen en terwijl dit een pruts-lek is, dan ben je toch niet meer geloofwaardig.

We maken allemaal fouten - maar sommigen leren daarvan - ander niet...

[YangWenli]

Vraag me af wat voor ICT idioten ze daar hebben lopen eigenlijk? Ja ik weet dat geschoold personeel schaars is in de sector maar dat zijn chirurgen ook.

[Cio]

Ik gok op 'idioten' zonder mandaat, budget of vast contract. En i.t.t. medische professionals is er geen persoonlijke aansprakelijkheid.

[Nibelnoya2]

Nee,

de klantenservice wordt genegeerd. De stramienen zijn voor standaardsituaties n oplossing daarvoor. Dit valt buiten de processen en zelfs als je het probeert, en dan maakt het iet uit, groot bedrijf of overheid. Het wordt weggefilterd alvorens de informatie de bestemming bereikt.

[rookie no. 1]

Dit gebeurt helaas ook voldoende in het bedrijfsleven kan ik je uit ervaring vertellen.

Als medewerkers melding maken van urgente gevallen en noodzakelijke veranderingen binnen een bedrijf, maar het management daar niet ontvankelijk voor is of de noodzaak niet inziet (in wil zien), dan stopt het personeel met melden.

Daar gaat het vaak fout, ook bij overheidsinstellingen. Het voordeel voor de maatschappij is dat zo'n bedrijf op den duur ten onder gaat, maar een overheidsinstelling blijft door modderen. Er is daar ook geen prikkel om te veranderen, want wat het kan toch niet failliet / je raakt je baan toch niet kwijt.

[Zwaai Haai]

...Directeur Peter Stoffelen spreekt van een wake-upcall...

Peter Stoffelen heeft eerst drie keer de 'snooze knop' ingedrukt toen de wekker bij de klantenservice ging.

[Elidibus]

Ze doen er zelfs nog een schepje bovenop, tijdens de toeslagenaffaire zeggen ze dat ze het beter gaan doen. Maar ook hier blijkt weer dat ze gewoon niet naar burgers luisteren. Het datalek vind ik persoonlijk hierin minder erg dan de manier waarop ze hiermee om gaan.

[wildhagen]

Die toeslagen affaire ging om de landelijke Belastingdienst.

Hier gaat het om Belastingsamenwerking West-Brabant (BWB). Dat is een samenwerkingsverband van diverse gemeenten en waterschappen, die heeft dus helemaal niets met de landelijke Belastingdienst te maken, maar is een compleet onafhankelijke instelling.

[Elidibus]

Voor mij is dat semantiek, beide is overheid of voert een overheidsfunctie uit. Wat ik merk bij overheidsinstanties is dat ze de menselijke maat uit het oog verliezen. Het geldt niet voor alle instanties en ook niet voor alle ambtenaren, maar het valt gewoon op dat als je bij een der welke instantie een klacht in dient, dat je gewoon als burger niet serieus wordt genomen. Het hele idee van "Klant (burger) is koning" is ver te zoeken. Ik ben ervan overtuigd dat als de klachten gewoon gehoord worden en erop geacteerd wordt, dat mensen veel vergevingsgezinder zijn. Fouten kunnen gebeuren, het is de manier waarop dit opgelost wordt dat in ieder geval voor mij belangrijk is.

[PcDealer]

Gebeurt bij commerciële partijen net zo goed. Ik heb bij een aanbieder van tweedehands printers al twee keer toe een fout in hun sortering doorgegeven zonder enige reactie.

Bij bol.com volgt er wel een antwoord.

Vaak is het probleem dat de eerstelijns medewerker gewoon geen zin heeft om iets te doen buiten de strikt gelezen taakomschrijving en zelfs dan mag je in je handjes knijpen als ze hun werk naar behoren doen.

Sprak de klantenservice specialist.

[Elidibus]

De reden waarom ze zo doen, heeft inderdaad meerdere oorzaken. En ook bij bedrijven is de klanten service niet al te best. Het voordeel bij bedrijven is dat je er dan voor kan kiezen om daar niets meer af te nemen, bij een overheid is dat moeilijker.

Ik ben er van overtuigd dat als de overheid meer investeert in klantenservice, dat we heel veel problemen snel en efficient bij de bron aan kunnen pakken. Politici hebben hun mond vol over "investeren", dit is misschien wel de makkelijkste investering die ze kunnen maken met een hoog rendement. Voer goed ticket systeem in, waarin burgers tickets kunnen aanmaken en gedetailleerd op kunnen volgen (soort van openbaarheid van bestuur). Investeer vervolgens in voldoende personeel en training om de tickets goed op te volgen.

Als we dit met zn allen goed voor elkaar krijgen, dan kunnen onze politici een mooi "Dashboard" (Hugo zal blij zijn ) hebben met alle tickets. En dan zouden ze zo'n toeslagen affaire bijvoorbeeld al snel aan zien komen. De burger zal zich meer gehoord voelen en de overal democratie zal hier enorm van profiteren, uiteindelijk is dat wat we allemaal willen.

[vinz98]

Dat steun ik. Service

[kodak]

Ik vraag me af of je dan niet geïnteresseerd bent in de moeite die klanten kunnen doen als een weg voor contact niet werkt. Je kan wel gemakzuchtig aannemen dat een klantenservice als een persoonlijke assistent jou communicatieproblemen gaat oplossen, maar ik lees nergens waar deze melder moeite heeft gedaan om verder te willen kijken dan het contact wat hem zelf het makkelijkste leek. Een organisatie heeft meestal niet slechts een contactadres, de klantenservice is geen uniek contact dat je perse moet kunnen gebruiken voor alles waar je mee zit, er zijn niet voor niets meerdere contacrgegevens. Het afschuiven op de klantenservice of hoe die ingericht is klinkt mij dan echt veel te gemakzuchtig en ook als een excuus om meer verwijten te kunnen maken naar een bedrijf of overheid. Of kennelijk zelfs om het te veralgemeniseren om te kunnen klagen over bepaalde organisaties die op elkaar lijken.

[Elidibus]

Ik leg het natuurlijk iets te eenvoudig uit, ik ben me er ook wel van bewust dat er meer haken en ogen aanzitten als je het in detail gaat bekijken. Waarom zouden we niet gewoon doen wat er wel kan, in plaats van altijd overal de redenen zien om het niet te hoeven doen?

Het lijkt mij juist een heel mooi instrument om de "Den Haag" dichter bij de mensen te brengen. Je kan een portaal maken om problemen, ideeën, klachten of wat dan ook op te vangen.

[kodak]

Dat soort portalen en contactpunten zijn er al. Zo te lezen al binnen de organisatie zelf (ze hadden er kennelijk al een adres voor om de melding wel goed te kunnen doen, wat de melder kon vinden als die een beetje moeite deed). Gemeenten hebben voor dit soort meldingen in het algemeen een apart contactpunt, maar daar lijkt ook niet naar gezocht of gebruikt. Er is voor dit soort problemen ook een nationaal contactpunt, maar daar lijkt ook niet naar gezocht of gebruikt.

Makkelijk stellen dat er maar een nieuw landelijk contactpunt of portaal moet komen waar iemand met een of meer problemen terecht kan en wel goed zal worden geholpen is niet zomaar relevant of zelfs een oplossing. Zeker niet als de mensen die iets te vragen of op te merken hebben zelf geen blijk geven moeite te willen doen om van tal van bestaande mogelijkheden gebruik te maken en liever geholpen worden door wat ze zelf het beste bevalt, of anders gaan klagen dat ze geen gehoor krijgen. Ik zeg daarmee niet dat die mensen niet geholpen horen te worden, maar wegkijken voor een belangrijke oorzaak van een probleem dat bij de mensen zelf ligt lijkt me niet gepast om een oplossing te bedenken dat er op neer komt dat een ander maar wat van belastinggeld moet regelen.

[JayPe]

Een niet compleet onafhankelijke instelling. Een compleet andere instelling wellicht. Het is wel een overheidsinstelling, net als de landelijke belastingdienst.

Een overheidsinstelling. En als die niet goed luistert naar de burger, gaat de vergelijking die @Elidibus maakt niet mank. "Ze" (de overheid) luistert niet naar "de burger" als deze iets opmerkt. Het lek werd niet onderzocht, de burger genegeerd. Dat is het kwalijke aan deze zaak. Dat het een belastinginnende instantie is, en doet eigenlijk niet ter zake, behalve dan dat 't gaat om persoonlijke gegevens welke vergelijkbaar van aard zijn als die bij de belastingdienst geregistreerd zijn. Het gaat niet om een verlopen APK keuring, maar om bijvoorbeeld gerechtelijke vonnissen schuldsanering en WOZ aanslagen. Geen strikt geheime gegevens misschien, maar zeker geen gegevens die achteloos op straat hoeven te liggen. Het is nogal de moeite.

[kodak]

Alleen gaat het nieuws niet om ze als overheid maar om een bepaalde organisatie. Alles over een kam scheren is niet gepast. Het doet geen recht aan waarom er grondwettelijk verschillen in overheid zijn, het doet geen recht aan het bestaan van verschillende organisaties van die overheden. Voor het gemak maar alles over een kam scheren om te klagen geeft weinig blijk van waarom er verschillen zijn. Het is net zo ongepast als iets beweren over bedrijven in het algemeen wanneer er bij verschillende ondernemers iets ongewenst gebeurde, wat niets met elkaar te maken heeft behalve dat ze een bedrijf hebben.

[Reactie gewijzigd door kodak op 23 juli 2024 00:14]

[JayPe]

Nee, niet bedrijven in het algemeen, maar wel levensmiddelenwinkels, zoals supermarkten.

Het gaat om een instantie die belastingen int. En persoonsgegevens met betrekking tot die belastingen en betalingen verwerkt. Gegevens waarbij je géén keuze hebt om jouw gegevens niet met specifiek die instantie te delen. Of het dan semi publieke overheid is, rijksoverheid, provinciaal of gemeentelijk: Het blijft uiteindelijk burger die met een laag van de overheid te maken heeft.
Netjes en voorzichtig omgaan met jouw data is dan wenselijk, en als er iets mis gaat, en een burger maakt daar melding van, dan dient dat ook fatsoenlijk te worden afgehandeld. Dat laatste is dus hier niet gebeurd.
Ik beklaag mij niet over de belastingdienst of belastingen of wat er dan ook allemaal mee gedaan wordt, maar wel over de afhandeling van de melding. Dat er een lek is geweest, is zeker vervelend, maar dat er niet serieus is omgegaan is in mijn ogen pas echt ongepast. Ik lees enkel dat het lek wordt onderzocht, niet de slechte afhandeling van de klacht/melding.

[kodak]

Je kan een kenmerk dat bedrijven of organisaties gemeenschappelijk hebben er wel bij betrekken, alleen lijkt het me dan redelijk dat je verband duidelijk maakt wat dat met dit nieuws te maken heeft. Niet omdat je geen gelijk kan hebben, maar omdat het anders te makkelijk is om willekeurige overeenkomsten maar te gebruiken alsof het relevant is. Selectief gemeenschappelijke kenmerken erbij halen om een mening te kunnen hebben maakt het gemeenschappelijke nog niet relevant of zelfs de klachten daaronder relevanter. Zeker niet als je vervolgens ook nog selectief gaat doen of bij een klacht niet relevant zou zijn wat de omstandigheden zijn. Want ik lees niet terug dat deze klacht perse te maken heeft met het kenmerk wat jij graag wil toepassen.
Natuurlijk is het prima om ook te kijken of in gemeenschappelijke factoren een probleem zit of een er een oplossing uit kan komen. Ik denk zelfs dat het een goed uitganspunt is. Maar dat is voor mij een algemene discussie die weinig mee met het nieuws zelf te doen heeft en beter gevoerd kan worden op gathering.

[JayPe]

Sorry. Dat supermarkt analogie stukje ging een beetje verloren.

Ging mij erom dat je zei " alle bedrijven", waar ik een analogie wilde gaan trekken naar levensmiddelenwinkels. Bijvoorbeeld als blijkt dat supermarkten structureel met fout gif bespoten fruit verkochten. Dat er chronische zieken door zijn ontstaan, en dat supermarkten organisaties beterschap beloofden. Groot schandaal. Landelijke media. Alles.
Nu blijkt dat de landelijke organisatie voor groenteboeren datzelfde gif op z'n bonen en wortels smeert. Oeps.

Ergo: Ook jij kunt niet ontkennen dat 't om een (semi-)overheidsinstantie gaat waar iets mis gaat, terwijl we nu in een situatie leven waarin fouten maken en de manier waarop deze worden opgelost erg gevoelig liggen: waarover was het kabinet ook alweer gevallen? Om de afhandeling van een gemaakte fout bij de inning van belastingen c.q. het uitkeren van toeslagen. Niets generiek alles wat de overheid doet is verkeerd, maar specifiek fouten maken rondom klachtafhandeling rondom een organisatie waar je niet omheen kunt.

But anyhoe. Klinkt als, let's agree to disagree.

[Reactie gewijzigd door JayPe op 23 juli 2024 00:14]

[Birkin]

Goed punt!
Wel jammer dat het bericht dan praat over "Belastingdienst West-Brabant" in plaats van "Belastingsamenwerking West-Brabant".

[TheDudez]

Je kan ook concluderen. Dat de meeste burgers er nauwelijks wat om geven. De vvd is zelfs gestegen. Deze allende gaat zeer waarschijnlijk nauwelijks veranderen.

[Reactie gewijzigd door TheDudez op 23 juli 2024 00:14]

[kodak]

Ik vermoed dat mensen ook weinig moeite doen voor ze een ander inschakelen. Een klantenservice is zelden het enige of unieke adres om contact met een organisatie te hebben. Dat het klanten makkelijk is gemaakt om vooral de klantenservice te vinden en gebruiken is wat mij betreft geen reden om dan zelf niet wat meer moeite te doen om dan wel de juiste weg te vinden. En zo stond er ook hier op de website kennelijk gewoon een adres om privacyproblemen te melden. Je moet alleen even meer moeite doen. De klantenservice is net als een receptie, ze zijn er voor bepaalde taken en als ze dat niet kunnen oplossen doen ze hun best maar zijn geen doorschakelservice of persoonlijk assistent. Als je bezorging bent of iets anders komt brengen dan ga je ook niet zomaar af op de klantenservice.

[Cio]

Drogisterij.net, Litebit.eu, Hogeschool Rotterdam, een basisschool in Twente, mijn huisarts, ABN-AMRO (tikkie data klanten) en uwnota.nl

Zomaar wat voorbeelden waarbij een reële melding via het juiste adres (meerdere pogingen bij de organisatie en vervolgens de AP) geen serieuze reactie kreeg. Datumprikker.nl wel, daar reageerde de AP naar mij + het bedrijf en werd ik n.a.v. mijn klacht persoonlijk uitgenodigd. ABN-AMRO is 2 maanden na mijn klachten door media-aandacht gedwongen hun gedrag aan te passen, maar dat was meer toeval.

Nee, het excuus 'gemeld op de verkeerde plek' is onzin in mijn ervaring. Privacywetgeving wordt zeer beperkt gehandhaafd vanuit publiek belang, als grondrecht is het voor individuele burgers een wassen neus.

Belastingsamenwerking West-Brabant hoeft zich volgens mij geen zorgen te maken, een goede persvoorlichter en het probleem is in de praktijk opgelost.

Als IT'er vraag ik me steeds meer af hoeveel andere (grond)rechten, die minder in mijn straatje passen, eigenlijk wel gegarandeerd worden. Dezelfde dame van D66 die de sleepwet/WIV heeft doorgedrukt gaat nu onderzoeken welk kabinet mogelijk is, ondanks meerdere rapporten waaruit blijkt dat toezicht onvoldoende is geregeld, dus het gaat fout tot in de top.

[kodak]

Ik lees je niet schrijven waarom iemand die iets te melden heeft maar één adres hoeft te proberen. Je geeft hooguit voorbeelden waarom dat niet realistisch is, juist omdat die mensen kennelijk niet aan het juiste adres zijn. Dan moet er bij jezelf toch ook een lampje gaan branden of je zelf niet een betere weg kunt vinden bij dat bedrijf of die organisatie? Het is toch geen kwestie van ik heb iets en nu moeten jullie maar alle moeite doen om mij te helpen zoals ik dat wil?

[Reactie gewijzigd door kodak op 23 juli 2024 00:14]

[Cio]

Ik leg uit dat bij het 'juiste' adres melden geen ander resultaat zou geven. Het probleem zit niet in de ingang bij de organisatie, maar de omgang met de melding bij de organisatie.

Een semi-capabele klantenservice zal daarnaast kunnen vertellen waar een privacy-gerelateerde klacht heen moet. Het idee dat de consument (in deze specifieke situatie) ook maar enige verantwoording draagt voor het niet oppakken van de melding lijkt me absurd.

[kodak]

Het probleem is dat je aan het spelen lijkt met de term "juiste adres" om te doen alsof de melder genoeg zou doen. Uit het nieuws en je voorbeelden blijkt niet dat er contact is opgenomen met het juiste adres. Dan kan je contact opnemen wel aannemen als gebruik van het juiste adres, maar dat is het daardoor nog niet. Zeker niet als je dan voorbij gaat aan het bestaan van andere mogelijkheden tot contact, zoals gewoon op de website stond of zelfs af te leiden is van de website (de maker staat er zelfs op).

Je kan wel verwachtingen bij een contact hebben maar dat maakt nog niet dat die verwachting realistisch is. Dat een klantenservice het enige juiste adres zou zijn lijkt nergens op gebaseerd. Dat we meer van ze verwachten en daar eigenwijs aan vasthouden om zelf maar geen extra moeite te doen om een beter contact te zoeken lijkt pure gemakzucht alsof de klantenservice maar een persoonlijke assistent is die voor jou de moeite neemt die je zelf niet wil nemen. En als ik dan vraag wat er realistisch aan is om zelf niet meer moeite te doen als je contact je niet lijkt te helpen is afschuiven erg gemakzuchtig en ergens zelfs egoïstisch.

[Reactie gewijzigd door kodak op 23 juli 2024 00:14]

[david-v]

Een wake-up call die ze 3 keer gesnoozed hebben door de melding bij de klantenservice niet correct af te handelen.

Het is al erg genoeg dat er een datalek is, nog erger is dat je geen processen hebt om dit goed op te pakken.

Krijgen ze nu een boete door nalatigheid of is dit alleen voor bedrijven en kunnen ze zelf blijven aanmodderen?

[SunnieNL]

Ik denk eerlijk gezegd dat 90% van alle bedrijven met een klantenservice geen richtlijnen heeft voor een datalek of dat de medewerkers van de klantenservice daar nooit iets over horen als er wel richtlijnen zijn. Denk zelfs dat in het systeem de optie er niet is om 'datalek' te specificeren als er iemand belt.

[david-v]

Dat geloof ik meteen, ik zie dat ook in de projecten waar ik meedraai. Ik kan het gewoon niet begrijpen dat er zo laks mee omgegaan wordt. Als het mis gaat met je gegevens ben je wel zwaar de klos, en dan zijn de instanties er wel snel bij om ervoor te zorgen dat je betaald, ook al zit je in de problemen door bijvoorbeeld identiteitsfraude of omdat iemand een account heeft overgenomen. Wat betreft het incasseren is alles goed geregeld, maar het voorkomen van misbruik lijkt bij velen een soort lastige bijzaak waar ze ook iets aan moeten doen...zucht.

Ik heb één keer een account probleem gehad (door een lek van een website) en daarmee werden spullen besteld bij bol.com, achteraf betalen. Bij bol werd ik direct geholpen en werd het zeer snel opgepakt en kreeg ik tips om ervoor te zorgen dat de bestelde producten niet afgehaald konden worden. Dat was echt goed geregeld en daar zat duidelijk een goed proces achter.

[PcDealer]

Een fatsoenlijke klantenservice medewerker zal dat uit zichzelf binnen de organisatie escaleren. Het probleem is echter dat het gros alleen de handen ophoudt voor het salaris, bedrijven zeggen goede service te willen verlenen, maar er niets aan doen.

[Prosperot]

Als je baas doet alsof ie je goed betaalt, doe jij alsof je goed werkt....

[Groningerkoek]

Maar als ik baliemedewerker zou zijn, dan zou het lek zelf mij waarschijnlijk niet zoveel interesseren, maar ik zou wel willen voorkomen dat het bedrijf maanden later de voorpagina haalt en een hacker of journalist maakt zijn pogingen tot voorgaande melding bekend en daarin staat dat Groningerkoek reeds een melding in ontvangst heeft genomen.

[Prosperot]

Eens! Mss dat jij en ik daarom ook geen baliemedewerker zijn 😉

[ari2asem]

wake-up call ?
was het in 2017 dan geen wake-up call ?
of waren ze aan het snoozen sinds 2017 ?

[CopyCatz]

Wat mij vooral stoort is dat zo'n manager dan zegt dat ze beter naar de beveiliging moeten kijken. Dit is gewoon heel slecht programmeerwerk, als gemeente moet je zo iemand niet die klus laten klaren. Het is net alsof je een stukadoor aanneemt, die slaat een gat in je wand, waarna je tot de conclusie komt "ik moet toch es wat aan die gaten in de muur doen".

[Tweakert2020]

Zeker, maar als je als manager geen idee hebt, maar dus wel "iemand" hebt die de klus klaart en je daar volledig op moet vertrwouen heb je niks in te brengen.

Als manager moet je erop vertrouwen als het bedrijf/programmeur zegt dat het goed is en aan alle veiligheidseisen voldoet, wat moet je dan?

[macnerd]

Gezien de historie bij Belastingsamenwerking West-Brabant:
- een extern bureau inschakelen na iedere software-wijziging op de website
- de betreffende programmeurs op cursus sturen
- andere programmeur zoeken

[Reactie gewijzigd door macnerd op 23 juli 2024 00:14]

[Tweakert2020]

Eens, maar als dat niet onderdeel van de procedure of het testplan is gaat dat ook niet gebeuren.

[mjtdevries]

Grappig dat een voor de hand liggende punt vergeten word:
- zorgen een datalek melding bij de klantenservice goed doorgezet word.

[macnerd]

Dat is iets wat sowieso al in-place had moeten zijn.

Ik reageerde meer op dit:

Als manager moet je erop vertrouwen als het bedrijf/programmeur zegt dat het goed is en aan alle veiligheidseisen voldoet, wat moet je dan?

[Reactie gewijzigd door macnerd op 23 juli 2024 00:14]

[FvdM]

Eigenlijk zou overheids ict verplicht regelmatig geaudit moeten worden door een onafhankelijke en gecertificeerde specialist.

[AJediIAm]

Overheidsinstellingen hebben een power-save mode met deep-sleep.

Iets serieuzer: het kost jaren voor bedrijven of andere instanties om bewust te worden van security en privacy. Dit begint bij het serieus nemen van klachten en meldingen.

[TheVivaldi]

Eens. Dat het weeral misgaat is verwerpelijk, maar nog tot daaraan toe gezien het inderdaad even duurt om er bewust van te worden. Maar dat een serieuze melding niet serieus genomen wordt is onacceptabel.

[Reactie gewijzigd door TheVivaldi op 23 juli 2024 00:14]

[ollie1965]

Dat is dus GR BWB en niet Belastingdienst als zijn de de Rijksoverheid

[Mopperman]

Samenwerking tussen verschillende Brabantse gemeente voor het innen van gemeentebelastingen. Semi-overheid dus in mijn ogen.

[Keypunchie]

Niks 'semi', gewoon 100% overheid en de mensen die daar werken zijn ambtenaar.

Semi-overheid is zoiets als een school, of een woningcorporatie.

[Caelorum]

Het is gewoon een bedrijf welke in opdracht van de gemeentes werken. Niks geen ambtenaren. Semioverheid of een overheidsbedrijf dus.

[DrAMetElfeNd]

In de CAO https://wsgo.nl/cao_start waarbij ze zijn aangesloten wordt wel erg vaak gesproken over ambtenaren...

[trashgozer]

is iets een datalek als het gewoon openbaar is?

[Verwijderd]

De betreffende gegevens die genoemd worden zijn niet 'gewoon openbaar' beschikbaar. Deze gegevens moeten beschermd worden. Dat was niet voldoende gebeurd. Dan spreek je dus van een datalek.

[Tintel]

Ik denk dat Yinko het ironisch bedoelde...

[jordeeeh]

Bij een datalek is het toch per definitie een openbaring?

[frickY]

Zijn overheidsdiensten nog steeds niet verplicht om al hun IT-projecten te laten auditten?
Dit zou echt een van de eerste dingen zijn die dan boven zou komen.

[Mastermind]

Ik weet niet of het verplicht is. Ze zouden inderdaad een audit (bijv. sig-scan) moeten doen en oplossen.

[Reactie gewijzigd door Mastermind op 23 juli 2024 00:14]

[Coolstart]

Links eindigend op een getal. Omg. Hier staat dus letterlijk dat de gegevens bijna onbeschermd op de publieke server staan. Dat wil zeggen dat de publieke kant van de server open staat en dat alle data pre rendered lijkt. Dus niet per request opgeladen. Dan lijkt dus heel hard op een security by obscurity.

Op een afgeschermde publieke server heb je maar toeging tot 1 ID tegelijk mits een identificatie. 1 token per sessie en je kan onmogelijk andere tokens inzien omdat die publieke server die functionaliteit simpelweg niet heeft. Zou zou het moeten maar dit is hier zeker niet het geval.

Het probleem is structureel en niet te wijten aan een contactformulier want zo’n data architectuur is iets dat door de loop der jaren is gegroeid. In de verkeerde richting zo blijkt.

[Tha_Butcha]

Het houdt niet op, niet vanzelf...

[powerboat]

Zinloos gemeld