Gegevens 100.000 inwoners Amersfoort gelekt na hack bij softwareleverancier

Een softwareleverancier van gemeente Amersfoort is slachtoffer geworden van een hack. Hierdoor zijn de gegevens van duizenden huidige en voormalige inwoners uitgelekt. Het gaat onder meer om de namen, adressen, geboortedata en telefoonnummers van 100.000 personen.

Volgens de gemeente Amersfoort is het netwerk van de leverancier in kwestie onlangs gehackt. Kort daarna nam het bedrijf contact op met het stadsbestuur. De naam van de leverancier wordt niet genoemd in het bericht. Wel zegt de gemeente dat het bedrijf het digitale afsprakensysteem levert.

De gelekte gegevens zijn van huidige en voormalige inwoners die tussen 2009 en 2024 een afspraak hebben gemaakt bij de gemeente Amersfoort, bijvoorbeeld voor het aanvragen van een nieuw rijbewijs, bevestigt het stadsbestuur aan het AD. Deze gegevens stonden in een bestand met oude afspraken op het netwerk van de leverancier. Er is niet ingebroken in het systeem zelf.

Onderdeel van de gelekte gegevens zijn namen, adressen, woonplaatsen, geboortedata, geslachten en contactgegevens in de vorm van e-mailadressen of telefoonnummers. In het geval van ongeveer 7000 mensen gaat het daarnaast ook om het burgerservicenummer. Ruim 4100 inwoners van Amersfoort zijn via een brief op de hoogte gesteld door de gemeente. Voormalige inwoners van de stad krijgen nog een brief, omdat de gemeente hun huidige adresgegevens moet opvragen bij een landelijk systeem.

De gemeente Amersfoort heeft het lek onder meer gemeld bij de Informatiebeveiligingsdienst, ofwel IBD, die gemeenten ondersteunt op het gebied van informatiebeveiliging en privacy. Volgens de IBD heeft het lek 'geen grote nadelige gevolgen voor de getroffenen'. Zo is het bijvoorbeeld niet mogelijk om met alleen de gelekte gegevens een bankrekening te openen of een telefoonabonnement af te sluiten. Daarvoor zijn kopieën nodig van een identiteitsdocument of een documentnummer. Wel raadt gemeente Amersfoort de slachtoffers aan om extra alert te zijn op phishing.

Reacties (108)

[Stormrider nl]

Vraag is welke gemeente gebruiken nog meer dit systeem en zijn die ook door deze hack getroffen .

[locke960]

Ga naar www.amersfoort.nl.
Klik op afspraak maken.
Bekijk source code van web-pagina.
1x raden wie je daar ziet.
Stel op dezelfde manier vast dat Tubbergen (@ComputerGekkie) en Dinkelland (@coenvb96 ) dezelfde leverancier gebruiken.
En vraag je af waarom nog iemand de moeite neemt om de naam van dat bedrijf niet te noemen.

[pBook]

Voor diegenen die te lui zijn: JCC Software

[BrianVitesse]

Zie dat ze in 2016 ook al eens een datalek hebben veroorzaakt bij gemeentes:

"Door een kwetsbaarheid in websites van 20 tot 25 procent van de gemeentes was te zien welke burgers wanneer een afspraak met de gemeente hadden. De applicatie is ontwikkeld door JCC Software, en de kwetsbaarheid is verholpen. Door de kwetsbaarheid waren gegevens als naam, adres, telefoonnummer en in sommige gevallen het burgerservicenummer te zien."

[sumac]

Zo komt het hele klantenbestand van JCC Software op straat te liggen. Weer een data-lek! ;-)

[wooha]

Zoekterm "Afspraak maken. Maak online een afspraak bij uw gemeente." voor een uitgebreidere lijst

[Bas-w]

Er zullen vast nog meer gemeentes (potentieel) slachtoffer zijn, op de site van het bedrijf wordt oa Zwolle als klant aangeduid. Onduidelijk is natuurlijk of die gemeentes hetzelfde pakket afnemen.

[P_Tingen]

Voor wie - net als ik - te laat is: helaas....

Vanwege technische problemen is het niet mogelijk een afspraak te maken. Wij adviseren om het later opnieuw te proberen.

Gelukkig hebben we pBook in 'Gegevens 100.000 inwoners Amersfoort gelekt na hack bij softwareleverancier'

[biersmurf]

Door technische problemen is het niet mogelijk online een afspraak te maken. Wij adviseren om via de telefoon een afspraak te maken, via telefoonnummer 14 033. ;-)

[Andreplusplus]

"Door technische problemen is het niet mogelijk online een afspraak te maken. Wij adviseren om via de telefoon een afspraak te maken, via telefoonnummer..."
Gemeente werd het toch wat te heet onder de muisknop...

[Reactie gewijzigd door Andreplusplus op 5 december 2024 08:20]

[ComputerGekkie]

Tweakers heeft er niet over gerapporteerd, maar Tubbergen heeft ook een lek gehad. Misschien dezelfde leverancier?

[RobbyTown]

Dat is ook JCC > https://afspraken.noaberkracht.nl/tubbergen
Zie paginabron code

<meta name="author" content="JCC Software, versie G-Plan" />
<meta name="version" content="3.0.19.0">

@coenvb96 Zelfde leverancier voor Dinkelland
https://afspraken.noaberkracht.nl/dinkelland

<meta name="author" content="JCC Software, versie G-Plan" />
<meta name="version" content="3.0.19.0">

Amersfoort draait zo te zien wat recentere versie
https://afspraken.amersfoort.nl/

<meta name="author" content="JCC Software, versie G-Plan" />
<meta name="version" content="3.0.21.0">

[Reactie gewijzigd door RobbyTown op 3 december 2024 18:28]

[CNS]

Zo te zien zijn dit de on-premise installaties bij de gemeentes zelf. Van een aantal gemeentes waarvan ik weet dat ze de on-premise variant nog gebruiken lijken niet geraakt. Dan zal de Cloud versie bij JCC wel geraakt zijn. En dan moeten inderdaad meer gemeentes slachtoffer zijn van de hack.

[Christoxz]

Hangt er ook vanaf waar er exact toegang tot is geweest. Gemeente Amersfoort heeft een backup gedeeld met de software leverancier, i.v.m. een overstap.
Het kan dus zo zijn dat er geen toegang is geweest tot de database van de software leverancier en dat de software leverancier normaliter niet eens de data bewaard, maar dat voor de transitie, de data is gedeeld.

[R4gnax]

Yup. Stinkt naar een backup bestand dat ergens onbeschermd op een sharepoint portal; cloud bucket; oid gestaan heeft.

[SunnieNL]

Zelfs al zou je een backup hebben.. waarom bevat die gegevens van zoveel jaren? Misschien dat je ze een jaar wilt bewaren (wat al lang is), maar toch geen 15 jaar? Je mag lamde vraag stellen waarom de gemeente of de leverancier de gegevens zo buitensporig lang bewaard in een backup.

En dan de volgende vraag: waarom was die backup niet encrypt?

[Reactie gewijzigd door SunnieNL op 3 december 2024 23:35]

[coenvb96]

Ik vermoed dat bij gemeente Dinkelland soort gelijk iets is gebeurd BRON.

[marcovit]

Waarom worden de aanvragen/afspraken 15 jaar bewaard?

[jochemd]

Omdat de gemeente niet aan haar eigen beleid voldoet. De gemeente Amersfoort heeft een Register van verwerkingsactiviteiten gewoon op haar website staan en daar staat het volgende in onder nummer 112:

Naam Afdeling
Burgerzaken / Overige producten/processen
Taak afdeling
Afspraak maken verzoeker
Verwerkingsverantwoordelijken
college
Rechtmatige grondslag
artikel 160 Gemeentewet
artikel 6, eerste lid onder e AVG
Categorieën van persoonsgegevens
Naam, geboortedatum, telefoonnummer, evt e-mailadres.
Bewaartermijn
Afgehandeld = 5 jaar;
Afgebroken = 1 jaar.

Dus de gemeente heeft te veel gegevens verzameld (BSN staat niet in het verwerkingsregister maar zat wel in de dataset) en gegevens te lang bewaard.

[digigast]

Ja maar het is niet de gemeente zelf, maar een "softwareleveracier". Daar proberen instanties zich regelmatig achter te verschuilen. Zo was er een aantal jaar gepeden een lek bij een bedrijf dat saas leverde voor sollicitatieprocessen en er doodleuk jarenoude cv's en notities naar boven kwamen. Toen ik het bedrijf waar ik gesolliciteerd had vroeg om opheldering waarom die data daar nog stond kreeg ik nog een grote mond van de CEO ook!

[asing]

De data had verwijderd moeten worden. In de terminologie heet dat data owner of asset owner. De eigenaar van de data is de gemeente. De gemeente moet zich om die reden aan de richtlijnen houden. De dienstverlener is alleen dienstverlenend en geen eigenaar van de data.

In mijn vorige opdracht was één van de vragen bij een SaaS integratie dan ook "Bedijf X blijft ten alle tijden eigenaar van de data".

Je verschuilen achter de dienstverlener is dus niet mogelijk. Het wordt tijd dat hier gewoon een standaard schadevergoeding voor komt. Adres gelekt? Zoveel euro. Bankgegevens, zoveel, BSN nummer zoveel. Op het moment dat je gegevens gelekt zijn moeten ze je inlichten en kan je je claim indienen. De redenen om NIET aan dat soort regelgeving te doen is omdat het te moeilijk of te duur is. Nou, als je 100.000 mensen 100 euro moet betalen voor je nalatigheid dan worden artikel 6 en 130 ineens erg actueel.

[t link]

en wanneer is dat beleid in werking getreden? want data van daarvoor is nog verwerkt onder het oude beleid.

[R4gnax]

en wanneer is dat beleid in werking getreden? want data van daarvoor is nog verwerkt onder het oude beleid.

Dat is niet relevant. Want het bijhouden in opslag telt onder de AVG/GDPR ook als doorgaande verwerking, waardoor deze alsnog onder de aangescherpte wetgeving is komen te vallen.

Dit is ook de reden geweest dat toen de AVG/GDPR in ging, een heleboel bedrijven mailtjes moesten gaan sturen of mensen nog steeds ingeschreven mochten blijven op nieuwsbrieven, etc. De bestaande verwerkingen moesten aan de nieuwe wetgeving gaan voldoen.

[FrankHe]

Met tien jaar heb je voor mijn gevoel wel de langst mogelijke retentietijd te pakken, dus die vijftien jaar is naar mijn mening echt ver over de schreef.

Bijhouden wanneer een paspoort is uitgegeven doe je op basis van de documentregistratie en niet op basis van het afsprakensysteem. Het is inderdaad een raadsel waarom die informatie nog zo lang rondzwerft.

[RSH]

Leerplicht zou, zeker in combinatie met kwalificatieplicht (zou apart moeten, maar ja…) makkelijk een langere bewaartermijn kunnen hebben. Los van het punt dat de bewaartermijnen in oude gevallen langer kunnen zijn geweest.
Laat onverlet dat bewaartermijnen wel vaker niet bekend zijn, of niet goed opgenomen in een verwerkingsregister zijn, of automatisch verwijderen (of evt. zelfs maar anonymiseren) niet eens mogelijk is, of… (ga zo maar door).

[Reactie gewijzigd door RSH op 4 december 2024 00:45]

[FrankHe]

Het gaat hier natuurlijk niet om de orderhistorie van kartonnen dozen bij een willekeurige handelsonderneming maar om zeer persoonlijke en herleidbare gegevens die na afloop geen enkel doel meer dienen. Wanneer de burger aan de balie is geweest dan is de afspraak afgerond en gaat de informatie over de afspraak nooit meer gebruikt worden, behalve dan voor een beetje statistieken. Dat de overheid / gemeente daar blijkbaar geen duidelijke regels voor heeft of de regels zijn er wel maar mensen hebben hun werk niet gedaan is zeer kwalijk. Al deze informatie had er gewoon niet meer moeten zijn. Dat mag van mij best wel eens consequenties hebben als in strafrechtelijke consequenties. De schade die criminelen kunnen aanrichten met deze informatie is potentieel enorm. En de kosten om alles daarna weer recht te trekken komen voor rekening van de maatschappij. Daar mogen mensen ook wel eens bij stilstaan.

[stefanass]

10 jaar is zeker niet het maximum voor wettelijke bewaartermijnen. Voor bv de registratie van reisdocumenten geldt volgens de Wet BRP een bewaartermijn van 16 jaar. Voor gegevens mbt een Huwelijk geldt een bewaartermijn van 110 jaar.

1 van de problemen met wat er wettelijk is beschreven is dat dit op sommige vlakken nogal vaag en som lastig vindbaar is, er wordt in die tekst gesproken bv. over "bescheiden betreffende". Wat daar dan precies onder valt is niet direct 100% duidelijk voor alle partijen, met als gevolg dat men dan denkt "dan slaan we alles mbt deze zaak maar op onder die bewaartermijn".
(Je kunt daar overigens best achter komen met een beetje moeite, maar zo ver komen ze vaak niet en kiezen dan maar de simpelste weg)

[FrankHe]

Helemaal begrijpelijk dat er voor reisdocumenten en dergelijke een langere termijn dan tien jaar geldt. Naar mijn mening valt de registratie van de afspraak voor de aanvraag aan de balie en de tweede afspraak voor het afhalen niet onder de noemer "bescheiden betreffende". Dus dat afsprakensysteem had die informatie helemaal niet meer moeten bevatten. Het blijkt maar weer dat overheidsinstanties erg laks omspringen met informatie die herleidbaar zijn tot personen maar die voor de organisatie geen enkele waarde hebben om lager dan strikt noodzakelijk te bewaren.

[stefanass]

Klopt helemaal, probleem is dat in dit soort gevallen er vaak "iemand van de gemeente" moet aangeven wat er wel/niet bewaard moet blijven, die er dan of geen enkele moeite in steekt om t even uit te zoeken, of gewoon geen verstand van zaken heeft en maar "veilig" kiest om alles op te slaan want dan wordt er niets weggegooid wat bewaard moet blijven. Terwijl het andersom veel gevaarlijker is om data wél te bewaren terwijl dat niet nodis is.

[FrankHe]

Het probleem is ook nog eens dat de meeste systemen helemaal niet zijn ingericht op het verwijderen van data. Dingen worden opgeslagen met sequentieel oplopende id's en wanneer je er bij het modelleren onvoldoende rekening mee houdt dan wordt het achteraf verwijderen van data echt heel ingewikkeld. Dit zou geen probleem moeten zijn maar vaak blijkt dat wel het geval. Bij een migratie zou je toch verwachten dat het een uitgelezen kans bestaat om oude data achter te laten en niet mee te nemen naar het nieuwe systeem. Maar goed, wie ben ik.

[jongetje]

Daarom neemt de gemeente alleen externe inhuur aan met "ervaring bij de gemeente". Dan kunnen ze dit allemaal in stand houden want blijkbaar willen ze geen mensen met ervaring juist van buiten de gemeente.

Ik heb trouwens nog niet 1 recruiter gesproken die me kon vertellen wat er nu zo specifiek is aan ervaring bij een gemeente tov buiten een gemeente. Lijkt me juist dat je iemand inhuurt vanwege zijn kennis en kunde, niet omdat hij eerder op een kantoor van een gemeente heeft gewerkt.

(Wel veel samengewerkt met gemeentes, en daar werken best goede mensen die verstrikt raken in hun eigen processen).

[swhnld]

Werken bij een gemeente, of andere overheidsinstelling is anders dan bij een commerciële instelling vanwege het doel van de organisatie en de regeldruk.
Een bedrijf heeft als doel winst maken, een gemeente kosten dekken om taken uit te voeren. Een bedrijf kiest het producten wat het verkoopt, een gemeente krijgt die opgelegd.
Als gevolg daarvan krijg je een verschil in medewerkers en cultuur tussen de organisaties.
Dus een recruiter zoekt iemand die in zo'n cultuur gaat passen en bbij voorkeur vooraf weet wat dat inhoud.

Overigens als ik dit incident lees denk ik ook, dat had beter gekund. Maar kijk ik naar de salarissen denk ik gelijk, bedrijfsleven betaald beter. Dus mogelijk is werken voor een gemeente ook iets wat vanwege dat beperktere salaris anders gemotiveerd is, bijvoorbeeld een roeping in belang van de samenleving.

[jongetje]

Misschien moet je eens gemeente wel meer als een bedrijf runnen. Ik ken mensen die de meest bizarre functies hebben. Brengen bosjes bloemen rond bij vrijwilligers en regelen vrijwilligers prijzen ed. Voor een dik betaald salaris. Allemaal overheidsgeld...

Denk dat het wat commerciëler runnen juist een hoop kosten bespaard ipv eindeloze projecten die miljoenen en miljoenen extra kosten.

Als je gegevens zolang bewaard weet je serieus niet waar je mee bezig bent.

[t link]

en hoeveel geld bespaar je vervolgens met het gratis werk van die vrijwilligers? het is idioot om dit zo kortzichtig te benaderen. als je dan naar het kosten en baaten plaatje kijkt, kijk dan naar het hele maatschappelijke plaatje ipv enkel de geldstroom.

[mphilipp]

Ik denk niet dat er mensen zijn met als functie 'bloemenrondbrenger'. Vaak zijn dat functies die bij iemand die dat graag wil doen ondergebracht, die ook nog een wat meer alledaagse functie hebben. Je bezig houden met vrijwilligers, het organiseren ervan e.d, is gewoon een functie. Je maakt er een karikatuur van door alleen het rondbrengen van bloemen eruit te lichten. Dat is niet fair en een beetje kinderachtig.

Er is overigens steeds minder budget voor vrijwilligers, waarmee ik bedoel de dingen die zij organiseren. Zelf krijgen de vrijwilligers natuurlijk niets. En hun werk is broodnodig, dat wordt ook wel eens vergeten door de mensen die zo snel 'met overheidsgeld' roepen.

Maar goed, dit gaat helemaal niet meer over het onderwerp. Gemeenten worden steeds strakker gerund. Er is al lang geen geld meer voor onzindingen. Er wordt steeds meer gestuurd op efficiëncy en kosten.

[HuisRocker]

"Misschien moet je" het feit dat een gemeente simpelweg geen bedrijf is, en daarom ook onmogelijk effectief zo te "runnen" is, niet zo gemakkelijk over het hoofd zien?

[wiseger]

Wat is dan het grote verschil met bijvoorbeeld een bank waar de regeldruk / toezichthouders / audits toch al snel verantwoordelijk zijn voor 70 procent van de IT wijzigingen?

[swhnld]

Winstoogmerk.

Een voorbeeld. Bij een bank als iemand de hypotheek niet kan betalen leggen ze beslag op de woning en schoppen ze de bewoners op straat, verkopen het huis en laten de eigenaar met de restschuld zitten. Bij de gemeente gaan ze proberen te helpen met schuldhulpverlening, soms preventief schulden aflossen, eventueel subsidies om te zorgen dat kinderen minder lijden.
Dus de bank denkt aan de winst. De gemeente aan het helpen van de inwoners.

Dus met een bank cultuur kijk je anders dan met de gemeente cultuur naar hetzelfde probleem.
En aan het begin van je carrière ben je flexibeler te vormen, maar na 100 van dit soort zaken ben je gevormd om naar dat model te denken.

[FrankHe]

Met "ervaring bij de gemeente" bedoelen ze neem ik aan voornamelijk dat je een lange adem moet hebben en je je moet kunnen schikken in trage processen en procedures. Dit verschilt uiteraard heel erg per gemeente en per gemeentelijke instelling. Naast dat het soms handig is om een beetje gemeentejargon te kennen maar daar zou ik geen belemmerende factor van maken omdat andere competenties veel zwaarder wegen dan dat.

[jongetje]

Ik ben van mening dat je beter op vaardigheden kunt selecteren en dan aan de hand van het gesprek of iemand past in de omgeving ipv met deze eis direct al iemand uitsluiten. Zelfs met mijn ervaring bij diversen ministeries, verzekeraars, onderwijs en in de bouw/infra kom ik er niet binnen. Daar verbaas ik me dan over, zegt juist toch veel over mijn aanpassinsgs vermogen.
Daarbij huur je toch iemand in om zaken voor elkaar te krijgen, niet iemand die zich snel neerlegt en dan achterover gaat zitten uren schrijven en wachten totdat er iets gebeurd.

[FrankHe]

Wat dat betreft denken ze bij de overheid voor mijn gevoel nog wel eens dat ze bijzonder zijn, meer bijzonder dan het bedrijfsleven. Alsof wetgeving voor een overheidsinstantie veeleisender is dan voor een willekeurig andere onderneming. We zijn allemaal gebonden aan 'compliancy' en werken binnen de kaders die de wet ons schept. Trek mensen uit het bedrijfsleven aan om dingen vlot te trekken.

[flurb]

Ze doelen daar mee in veel gevallen inderdaad op "gevoel voor de procesvoering". (Dat je een geduldig persoon moet zijn)
en tevens niet te competent vergeleken met het IT management.

[GroeneEend]

Het is ook goed mogelijk dat "ervaring bij de gemeente" (naast andere eisen) in het functieprofiel staat omdat ze al iemand op het oog hebben maar verplicht zijn de vacature open te stellen.

[Ed Vertijsment]

Omdat voor veel zaken een bewaartermijn geld, die termijn is weer afhankelijk van het soort informatie.

[-Colossalman-]

ben je wel eens ingelogd op mijn.overheid.nl ... daarom!

[Quintiemero]

Wat moet de gemeente met afspraken uit 2009?

[PCG2020]

Wellicht, maar dat weet ik niet zeker, hebben gemeenten wettelijke bewaartermijnen en houden ze die gegevens daarom zo lang vast.

Overigens is het natuurlijk op zijn minst vreemd dat een backup bij een externe leverancier zo makkelijk uit hun systeem te plukken is.

[Quintiemero]

Kan archiefwet zijn. Maar dan wil je die niet daar random hebben staan.

[PCG2020]

Precies. De hack is echter niet de schuld van de gemeente, maar van de blijkbaar onvoldoende beveiliging bij die externe leverancier.

edit: Daarmee zeg ik niet dat de gemeente geen verantwoordelijkheid heeft voor het maken van de juiste keuzes en het stellen van beveiligingseisen. Deze kwestie kan nog best een politiek staartje op raadsniveau krijgen.

[Reactie gewijzigd door PCG2020 op 3 december 2024 20:42]

[Quintiemero]

Zeker niet. Leverancier is verwerker. Gemeente is hoofdverantwoordelijk.

[kujinshi]

Gemeente is vol verantwoordelijk dat ze dat uitzetten bij een extern bedrijf.

[CH4OS]

Ook al is een Gemeente de klant, ook dan dien je als opdrachtgever regelmatig te controleren of een en ander nog gewaarborgd is. Klanten van het bedrijf waar ik werk leggen bij ons ook steeds grotere questionaires neer en willen steeds meer en beter weten hoe we wat doen, waar onze backups bewaard worden, hoe die versleuteld zijn, hoe dat voor de data op hun klantomgeving geld, het word echt steeds uitgebreider.

Voor ons als kleine start-up is dat ook alleen maar goed, want wij worden door grote klanten (o.a. banken in verschillende landen en multinationals) gewezen op welke beveiligingstechnieken er zijn en welke er toe doen.

[Reactie gewijzigd door CH4OS op 3 december 2024 20:15]

[familyman]

Ze zullen vast een wettelijke termijn hebben voor het uitgeven van een paspoort.

Maar het gaat hier om een afspraken systeem. Misschien even bewaren om makkelijk een nieuwe afspraak te maken, wanneer de eerste onverhoopt niet doorging - als je de moeite niet neemt om no show niet te registreren of eventueel tot het gevolg van de afspraak is afgehandeld (de afgite van het paspoort)

Maar dan moet alles eigenlijk gewoon het dossier in het registratiesysteem in, en niet los blijven dwarrelen in een afsprakensysteem.

Ik zie geen reden om afspraken zo lang te moeten bewaren.

[FrankHe]

Daar heeft binnen de organisatie niemand iets aan, die gegeven hadden al lang vernietigd moeten worden. Ieder jaar even een rapportje opmaken met tellingen van het aantal afspraken per categorie die in het afspraken systeem staan. Na één of twee jaar moet die data toch echt weg want er is verder niemand meer die deze informatie ooit nog nodig heeft. Wil je nagaan wanneer een paspoort is uitgegeven of wanneer een vergunning is verleend dan zoek je dat op in de betreffende systemen en ga je niet zoeken in het afsprakensysteem.

[Quintiemero]

Heu, don’t shoot the messenger…

[familyman]

Dat soort tellingen kan per dag plaatsvinden, en geschoond van privacy informatie ergens worden neergezet.

Scheelt ook nog eens opbergruimte.

[FrankHe]

Goed punt.

[Anoniem: 57411]

De gelekte gegevens zijn van huidige en voormalige inwoners die tussen 2009 en 2024 een afspraak hebben gemaakt bij de gemeente Amersfoort

Bizar dat die gegevens zó lang bewaard werden.

Wat deden die gegevens überhaupt bij dat bedrijf?

[Christoxz]

De termijn blijft vreemd, maar de gegevens waren bij de leverancier i.v.m. een overstap.
Het was dus oorspronkelijk een backup van de gemeente. (Blijft vreemd voor 15 jaar)

Omdat we overstappen naar de cloud, deelden we een back-up van onze database met de leverancier, zodat zij deze konden gebruiken voor de overstap.

[R4gnax]

Duidelijk. Dus gewoon ergens in een openstaande cloud bucket; sharepoint portal; usw. geupload geweest zonder bescherming; en daar is 'ie uit geplukt.

[Quintiemero]

Migratie is bij uitstek goed moment om op te schonen.

[Ed Vertijsment]

Dat kan niet zomaar omdat bepaalde gegevens minimaal een x termijn bewaard moeten blijven.

[Quintiemero]

Is daar hier sprake van? Enige reden kan archiefwet zijn. Voor de rest niet.

[stefanass]

Nee, niet alleen de archiefwet. Als het gaat om afspraken die te maken hebben met de BRP gaat in dat geval de Wet BRP boven de archiefwet. Ik kan je vertellen dat er in de Wet BRP veel lange bewaartermijnen zijn, die vaak ook nog aan interpretatie onderhevig zijn.
Er zijn een aantal zaken die erg lang (>10 jaar) of zelfs oneindig bewaard moeten blijven volgens de Wet BRP, maar daarvoor wil je dan als gemeente dat in 1 centraal systeem doen en niet bij een externe leverancier neerleggen.

[tweakerpip]

Klinkt als een gevalletje van ontbrekend dataretentiebeleid of niet voldoen aan dataretentiebeleid.

[keranoz]

In hoeverre mocht de gemeente deze gegevens met zo veel details eigenlijk zo lang bewaren? Daar hadden ze toch helemaal legitieme reden meer voor? Daarnaast is er ook nog dataminimalisatie in de AVG volgens mij.

[wildhagen]

Als ik het artikel goed begrijp is het lek niet bij de gemeente zelf maar bij de leverancier die het op hun omgeving hadden staan?

Deze gegevens stonden in een bestand met oude afspraken op het netwerk van de leverancier.

Dat je dingen moet bewaren, al dan niet wettelijk verplicht ben ik helemaal voor en snap ik ook. Maar 15 jaar vind ik wel héél erg lang, zeker voor dit soort gegevens. En dat het dan ook nog eens niet bij de gemeente zelf staat, maar bij een leverancier vind ik op zijn minst ook vreemd.

[Reactie gewijzigd door wildhagen op 3 december 2024 17:11]

[Christoxz]

De gemeente bewaarde deze wel, het ging namelijk om een backup, die overgedragen is aan de leverancier i.v.m. het overstappen.

Omdat we overstappen naar de cloud, deelden we een back-up van onze database met de leverancier, zodat zij deze konden gebruiken voor de overstap.

[Quintiemero]

Maar deze leverancier is de verwerker. Dus gemeente is verantwoordelijke en heeft de plicht om de verwerker te controleren. Dus dit valt 100% onder de gemeente. Dit hadden ze met hun moeten afstemmen.

[R4gnax]

Dat hangt er vanaf.
Als deze verwerker eigenhandig zonder directe instructie van de gemeente besloten heeft om deze backup ergens op een deelbaar portaal binnen het bedrijfsnetwerk te zetten oid, dan geldt dat als een zelfstandig besloten verwerking. Voor dat type verwerking acht de AVG/GDPR de verwerker als zijnde direct de verwerkingsverantwoordelijke.

De verwerker heeft dan daarmee ook ineens alle wettelijke plichten van de verantwoordelijke, inlc. data impact assessments, bijhouden van verwerkingsregister, informeren van betrokkenen, etc. En heeft de aansprakelijkheid als en wanneer het fout gaat, mbt elke overtreding.

Dus dit geval kan indien er op eigen houtje door JCC gehandeld is, nog een leuk staartje voor ze krijgen. Sowieso zijn ze in zo'n geval dan aansprakelijk voor de gevolgschade, maar ze kunnen ook een boete op hun ribben krijgen omdat ze betrokkenen (de inwoners van Amersfoort) niet geinformeerd hebben over het beschikking hebben over hun gegevens en de intentie deze online op zo'n gedeelde bedrijfsomgeving te parkeren.
Nou wordt de soep niet zo heet gegeten als ze wordt opgediend; dus het zal zo'n vaart niet lopen. Maar technisch is de mogelijkheid er dan wel dat ze daar -- als dit allemaal dus het geval zou blijken te zijn -- nog mot mee zouden krijgen.

[Reactie gewijzigd door R4gnax op 3 december 2024 22:22]

[Quintiemero]

Goede toevoeging indd.

[The DarkSwarm]

Ik vind dit ook een rare opmerking

Volgens de IBD heeft het lek 'geen grote nadelige gevolgen voor de getroffenen'.

Of dit wel of geen grote nadelige gevolgen krijgt is nog maar afwachten.
*edit typo

[Reactie gewijzigd door The DarkSwarm op 4 december 2024 02:33]

[DrPoncho]

> Of dit wel of geen grote nadelige gevolgen krijgt is nog maar afzien.

is nog maar afwachten of valt nog te bezien.

[R4gnax]

Nee hoor. Voor al die mensen die nu met dit geval in de maag gesplist zitten, is het ook behoorlijk afzien.
Kan aardig aan je vreten en slapeloze nachten opleveren als je je druk maakt over identiteitsdiefstal.

Punt is dat je daar korte termijn niets van gaat merken en dat niets uithaalt.
Die gegevens gaan eerst nog minstens een half jaartje of zo de ijskast in voordat ze verhandeld gaan worden, zo niet langer. Zo lang mensen nog alert zijn op misbruik loopt de misbruiker anders te snel tegen de lamp.
Maar omgekeerd betekent dat ook dat als je een jaar lang nergens last van hebt gehad, dat niets betekent. Je kunt het jaar daarop alsnog ineens de sjaak zijn.

En voor mensen die zich dat realiseren, en die van nature al snel de zenuwen krijgen van zaken, kan dat behoorlijke impact hebben.

[Reactie gewijzigd door R4gnax op 3 december 2024 17:50]

[Electrigirl]

Inderdaad. Als een getroffene vind ik het schokkend hoe laks de gemeente hierover doet. Hoezo stonden al mijn persoonsgegevens gekoppeld (NAW, geboortedatum en BSN) aan elkaar in 1 document bij een externe leverancier op het eigen netwerk, buiten de overheidsomgeving?!?

Waarom zegt de gemeente daar niets over en rept zij alleen over “pas op voor phishing” in de brief waarbij zij ook nog eens zegt dat het risico ‘volgens experts’ heel klein is?

Ik ben woest.

[stefanass]

BSN zat er gelukkig niet bij, omdat deze leverancier daar niet naar vraagt bij het maken van een afspraak en er ook geen gebruik gemaakt wordt van DigiD login bij de afspraken. Dat had het wel iets ernstiger gemaakt als BSN's ook gelekt waren.

[moimeme]

Dan reageren wij niet op het zelfde artikel:
"In het geval van ongeveer 7000 mensen gaat het daarnaast ook om het burgerservicenummer"

[Electrigirl]

Ik heb een brief waarin specifiek staat dat van mij de BSN wel gelekt is. Samen met NAW, geboortedatum, mail en telefoon. Ik ben 1 van de 7000 die in de shit zitten door lakse ambtenaren en blunderende toeleveranciers.

[familyman]

Was een taalkundige reactie...

[The DarkSwarm]

Ik heb het aangepast, bedankt.

[Reactie gewijzigd door The DarkSwarm op 4 december 2024 02:34]

[SunnieNL]

Die mensen krijgen alleen maar sms’jes, belletjes en extra e-mails met phasing attacks. Mogelijk ook vervelende exen die in de afspraken zoeken naar telefoonnummer of e-mail om de personen weer lastig te vallen. En zo kan ik nog wel een aantal niet nadelige gevolgen opnoemen.

Waarom plaats de gemeente niet gewoon het privé nummer en e-mailadres van de burgemeester en raad online als het toch geen kwaad kan?

[litebyte]

Het gaat om ondermeer....waarschijnlijk dus meer dan alleen NAW, ook scans van (oud) rijbewijzen, BSN nummers etc.

[Christoxz]

In het gehackte bestand stonden NAW-gegevens (naam, adres, woonplaats), geboortedata, geslacht, e-mailadressen of telefoonnummers en BSN-nummers. Het gaat om de gegevens die inwoners hebben ingevuld bij het maken van afspraken.

Jammer dat Tweakers dit niet specificeert.

[Electrigirl]

Ik heb een brief gehad. Het betreft NAW, geboortedatum, telefoonnummer, BSN.

[swhnld]

Wat ik mij afvraag is waarom de informatie niet opgeschoond is. Waarom heeft een leverancier afspraak gegevens van 15 jaar terug nog in een IT systeem?

En dan ook gelijk de vraag, hoe gaat de gemeente dit soort contracten beheren dat er minder data lang bewaard wordt bij een leverancier. Want het kan altijd een keer mis gaan, maar dan beperk je ten minste de schade nog enigszins. Amersfoort heeft iets van 150.000 inwoners dus een datalek van 100.000 is naar verhouding enorm.

[Christoxz]

Omdat we overstappen naar de cloud, deelden we een back-up van onze database met de leverancier, zodat zij deze konden gebruiken voor de overstap.

Dus de leverancier heeft de data niet 15 jaar bewaard, maar ontvangen van de gemeente zelf voor de overstap.

[swhnld]

Vraag dan is, vroeg de leverancier daarom? Of was de gemeente lax?
En waarom was het niet encrypted volgens de richtlijnen?

[familyman]

Los van dat de gemeente verantwoordelijk is, zou ik als bedrijf die dat niet eens willen ontvangen.

[gbspeel]

Waarom staan er eigenlijk zoveel gegevens in een afsprakensysteem? Behalve privacygevoelig, ook nog eens inefficiënt lijkt mij.

Hoe ik het voor me zou zien:
- Gebruiker logt in met DigiD en daarmee weet het systeem om welke persoon het gaat
- Uniek kenmerk van de gebruiker (b.v. BSN, maar liever een token of uuid) + type afspraak + datum en tijdstip worden opgeslagen
- Bij weergave van de afspraak bij de gemeente worden de aanvullende gegevens via een API bij de overheid opgehaald en aan de ambtenaar getoond

De gegevens zijn dan gelijk niet meer zo aantrekkelijk om te stelen.

[SinergyX]

Net zoals jij voor deze oplossing kiest, zullen ze daar voor die oplossing hebben gekozen, beide hebben hun problemen en oplossingen (wat doe je met mensen zonder digid, api ligt eruit, bedrijfsafspraken, etc), goed beveiligd en opgeslagen wordt dan weinig anders dan een doorsnee webshop met gegevens.

Het systeem zelf is ook niet gekraakt, het is de 'backup' bij de software leverancier.

[useruser]

En we gaan weer door. Dit soort shit gebeurt dagelijks, mijn gegevens zijn al tig keer gelekt buiten mijn schuld om en niemand die er wat mee doet. Mailtje met "sorry" eroverheen en door naar de orde van de dag. Walgelijk

[litebyte]

Dat is 1 ding, maar je leest nooit dat er ook iemand persoonlijk verantwoordelijk voor wordt gehouden op straffe van...wel natuurlijk als een kleine ondernemer z'n klantenbestand wordt gehacked.

Het is een keuze tussen (zogenaamde) efficientie of risico's m.b.t. hacking & privacy. 'lekker makkelijk' om alles digitaal te delen (of ronduit noodzakelijk, anders krijg je niets meer voor elkaar) wordt er dan gepropagandeerd