GroenLinks wil bouwstop databases met persoonsgegevens

GroenLinks wil dat voorlopig publieke noch private instellingen databases met persoonsgegevens mogen aanleggen. De partij eist dat minister van Veiligheid en Justitie Opstelten eerst het toezicht verscherpt en veiligheidseisen formuleert.

Daarvoor pleit Tofik Dibi, kamerlid van GroenLinks, op Nu.nl. Dibi stelt dat identiteitsfraude een steeds groter probleem wordt, mede als gevolg van slechte beveiliging van databases waarin persoonsgegevens zijn opgenomen. Dibi noemt het datalek bij de Dienst Uitvoering Onderwijs dat twee weken geleden bekend werd als voorbeeld. Gebruikers die destijds met hun DigiD op de site van de organisatie inlogden, kregen persoonsgegevens van anderen te zien, waaronder gegevens over de opgebouwde studieschuld. Dibi noemt de falende beveiliging van dergelijke databases 'onaanvaardbaar'.

Het kamerlid wil dat minister Opstelten een overzicht samenstelt van alle databases waarin persoonsgegevens zijn opgenomen. Daarbij moet duidelijk worden welke gegevens worden opgeslagen. Tot die tijd zouden publieke en private instellingen voorlopig geen databases mogen aanleggen. Daarnaast wil Dibi dat burgers inzage in hun eigen persoonsgegevens kunnen krijgen. Verder zou de minister eisen moeten opstellen die de veiligheid van databases waarborgen, terwijl ook het toezicht moet worden verbeterd.

Het Rathenau Instituut stelde naar aanleiding van een onderzoek naar het gebruik van databases bij onder andere de OV-chipkaart en het elektronisch patiëntendossier dat elke Nederlander in 250 tot 500 publieke en private databases is opgenomen. Verder stelde het College Bescherming Persoonsgegevens onlangs dat de Nederlandse overheid haar burgers behandelt als potentiële criminelen door hun vingerafdrukken in een centrale database te willen opslaan. Het CBP vreest bovendien voor de gevolgen mocht deze database worden gekraakt.

Reacties (57)

[Verwijderd]

Ik hoop dat dit het begin luidt tot een betere controle, hetgeen dat Tofik Dibi hier lijkt te willen.
Het probleem is namelijk niet(zoals vele voorstanders van deze databases) terrorisme of gebrek aan gegevens, het is een overvloed aan slecht of onbeveiligde gegevens. Waarom dat gevaarlijk is wanneer er ook private instellingen bij betrokken zijn, is omdat de integriteit van dit soort giganten achteruit gaat. Steeds vaker word ongrondwettelijk met persoonlijke gegevens omgegaan, en boetes worden gewoon van te voren van de winst af getrokken.

En dan heb ik het nog niet eens over de overheid zelf gehad. Hoewel wij natuurlijk als volk(en terecht ook) de integriteit hiervan niet zo snel in twijfel trekken, is er wel een grens nodig. De informatie moet natuurlijk niet gebruikt worden voor triviale dingen als AIVD volg- en afluisterpraktijken, en al helemaal niet zonder gerechtelijk bevel. Ook is het zaak om te zorgen dat de informatie niet alsnog verkocht word aan derden.

Waarom? Omdat wij in een samenleving wonen waar mensenrechtenschending eigenlijk niet meer kan, en door de meerderheid van mensen die zich er in verdiepen niet word geaccepteerd. We sturen toch ook soldaten en hulp naar derde wereld landen waar desondanks alle internationale druk dit soort praktijken plaatsvinden? Is het dan niet hypocriet om vervolgens de kop in het zand te steken als deze dictatoriale trend in ons eigen land opsteekt?

@IJzerlijm
Er zijn ook mensen die hier niet direct tegen zijn, maar gewoon willen weten wat er wel en niet mee gaat gebeuren, en die mensen willen ook zelf daarmee instemmen in plaats van gedwongen worden. Ik heb geen handtekening gezet om mijn lening voor een studenten-OV om te zetten in een gelijknamig product, maar hoewel het gelijknamig is moet ik wel nu in en uitchecken en dus mijn gegevens achter laten in databases van verschillende vervoersbedrijven. Er was niet voor niets een goed beargumenteerd negatief, licht onheilspellend rapport over de invoering van de OV-chipkaart...

edit: vond dat het iets beter verwoord kon worden

[Reactie gewijzigd door Verwijderd op 25 juli 2024 02:07]

[thegve]

Lol, ik ken maar weinig (grote) bedrijven waar (belangrijke) gegevens op straat zijn komen te staan, dus het gaat met name om het overheidsgepruts. Enige bedrijfsvoorvallen die ik ken zijn de verschillende online boekhoudpakketten die problemen hebben gehad.

[defiler1974]

Als ik op google intik "klantgegevens op website gelekt" krijg ik eerst een hoop niet-overheid (grote) bedrijven te zien. Lijkt me dus wel een bestaand probleem wat aangepakt moet worden. (zitten overigens ook banken tussen als je een tijdje doorleest in de 10.000 resultaten.)

Goed initiatief van GroenLinks, andere partijen hebben dit soort privacy problemen niet hoog op de agenda.

[Reactie gewijzigd door defiler1974 op 25 juli 2024 02:07]

[gekke-gerrit]

Ben ik het deels mee eens, want als bedrijf zijnde ben je natuurlijk een minder groot "target" dan de overheid. nu moet ik zeggen dat de overheid ook niet alles eraan doet om iets goed te beveiligen, als we bijvoorbeeld de ov chipkaart pakken. maar ja uiteindelijk is de consument wel weer de dupe omdat er niet goed/ goed genoeg word geïnvesteerd in beveiliging

[Tim]

DatalossDB

[Reactie gewijzigd door Tim op 25 juli 2024 02:07]

[Verwijderd]

Dat krijg je als je alleen tweakers leest.

Wist je dat alles wat je op facebook zet uit te lezen ook al is het prive.
Slecht geprogrammeerd.

En ik weet zeker dat bol.com en hyves ook aardig wat data die uit te lezen is als je het maar probeert.

Vergeet niet de onderwereld kan 10-100 keer zoveel manuren in het kraken steken, dan jij in beveiliging.
Daarnaast zou het uitkomen als iemand een kopie maakt van de hyves database en dit voor de logging verbergt.

Want de straatprijs van een Europeaanse ID is €30 per stuk (hyves nederland keer 5-6 miljoen)

[leuk_he]

Alle databases met persoonsgegevens? Dus alle databases met NAW gegevens? Dat kun je echt niet stil leggen hoor. Probleem is eerder dat http://www.cbpweb.nl commissie Bescherming persoonsgegevens een tandeloze tijger is. Als iemand de wet overtreed wordt er niet of nauwelijks opgetreden. Wat ik zie zijn enkele adviezen.

Voordat je de boel stillegt zul je eerst de wetten moeten maken die het CBR tanden geeft om op te treden, en wetgeving om fraude daadwerkelijk aan te pakken. Het zal immers blijven optreden, maar in de praktijk is het altijd heel moeilijk een geval wat geconstateerd is op te lossen.

[MSalters]

Het zou verstandig zijn om de CBP het recht te geven om databases te wissen, en uiteraard de bijbehorende backups. Niet als straf, maar om te zorgen dat de wet alsnog nageleefd wordt.

[Ford Prefect]

Je wil het Centraal Bureau Rijvaardigheid tanden geven?

Maar ik ben het wel met je eens dat het CBP krachtiger moet zijn en veller voor de bescherming van persoon gegevens moet kunnen opkomen. Ook zouden ze van mij wel meer daadkrachtiger moeten mogen handelen.

Security is vaak voor de meeste IT projecten een zinloos potje, als er nu een flinke boete tegenoverstaat bij lekken dan zou Security meteen van begin af aan worden meegenomen. Ik verbaas me er altijd over hoe weining security expertise er in overheidsland aanwezig is.

Mijn kijkt vaak tegen security aan als zinloze verzekeringen.

[MrBlueEyes]

Eerst maar eens zien of dit er doorkomt. En dan kunnen ze misschien tijdelijk wel nieuwe databases stoppen, maar als er al 250 tot 500 databases zijn waar je gegevens al in staan maakt het ook niet veel meer uit. Ze moeten dan ook zo snel mogelijk die controleren op beveiliging.

[miw]

De redenering is ook nogal krom: het probleem van identiteitsdiefstal wordt niet in belangrijke veroorzaakt door lekken in gegevensbanken met persoonsinformatie. Zelfs als die gegevensbanken volstrekt beveiligd waren, treedt er nog steeds identiteitsdiefstal op.
Het probleem van identiteitsdiefstal is veeleer dat de burger vrijwel geen ondersteuning krijgt van de overheid om de nadelige gevolgen van identiteitsdiefstal te beperken. Dit soort voorstellen lijkt meer op een publiciteitsstuntje.

[Nazanir]

Een stap in de goede richting, mijn inziens zou er eerst wettelijk vastgelegd moeten worden over het hoe en wat wel vastgelegd mag worden, hoe het vastgelegd word, wie er bij mag en voor welke doeleinden het gebruikt mag worden.

Daarna kan er een database opgesteld worden, en dit word uitsluitend uitbesteed aan een IT gespecialiseerd bedrijf, want de overheid heeft er niet veel kaas van gegeten.

Dan zou in ieder geval veel meer veiligheid gewaarborgd kunnen worden. Ik blijf het er echter totaal mee oneens dat alles gewoon maar word vastgelegd, onder het mom van veiligheid. Want ik voel me absoluut niet veiliger met de huidige stand van zaken, eerder bekeken.

Liever zou ik de implementatie van dergelijke systemen niet zien, maar het is duidelijk wat de overheid wilt (politiestaat), dan heb ik nog altijd liever dat niet jan en alleman bij mijn gegevens kan.

[Ford Prefect]

Er is wettelijk al vastgelegd wat er mag worden opgeslagen en hoe je daar mee om moet gaan. Da staat netjes vermeld in de wet bescherming persoonsgegevens. Er is zelfs een instantie die dit allemaal controlleerd, het CBP: College Bescherming Persoonsgegevens.

[tes_shavon]

Punt 1:

Wat ik eng vind in deze: Meneer Dibi wil een overzicht met alle databases met daarin persoonsgegevens...

Dat wil het OM ook wel! Meteen even een koppeling leggen tussen al deze databases in een fijn datawarehousje... en 1984 is werkelijkheid in 2010!

Ik denk dat meneer Dibi precies het tegenovergestelde gaat bereiken met zijn voorstel!

Punt 2:

stel nu dat alle databases van stichtingen en overheden op dezelfde manier beveiligd gaan worden. Dat is lekker makkelijk als je DAN een lek vind! Heb je meteen toegang tot alles. Ook hiervoor geldt weer: Als meneer Dibi zijn zin krijgt, breikt hij precies het tegenovergestelde.

[Reactie gewijzigd door tes_shavon op 25 juli 2024 02:07]

[Antipater]

@punt 1: Denk je nu echt dat Dibi alle gegevens uit alle databases wil hebben? Hij wil een overzicht van wat voor gegevens er worden opgeslagen, niet de gegevens zelf.

@punt 2: Dat moet je dan dus ook niet doen, al is dat wel beter dan hoe het nu is: soms worden de meest amateuristische fouten gemaakt en kleuters kunnen bij gevoelige data komen. Je wilt dit op zijn minst beperken tot de goed uitgeruste criminelen.

Wat ik goed vind aan deze actie is dat er aandacht voor wordt gevraagd en het onderwerp op de agenda gezet. Dibi signaleert een probleem en vind dat dat serieus genomen moet worden. Hij moet geen oplossingen bedenken, dat moeten experts doen. Het punt is, er moet wel tijd en geld voor vrijgemaakt worden. Basale beveiliging moet een garantie zijn en anders maar geen database.

[regmaster]

Sowieso moeten we ons eens kritisch gaan afvragen waarom er zoveel moet worden vastgelegd. Een hele hoop vastleggingen veroorzaken we gewoon zelf want het is toch lekker handig dat je niet steeds opnieuw je gegevens hoeft op te geven? Tja, daarmee geven we dus zelf een vrijbrief om dan ook veel vast te laten leggen. Aangezien ruim 90 % van de Nederlanders vindt dat ze niets te verbergen hebben ondervinden bedrijven en instanties nauwelijks enige weerstand. En de weerstand die er wel komt wordt afgedaan als 'omdat het nu eenmaal zo is'... We zijn gewend om normatief te denken dus niemand zal zich afvragen waarom 'het nu eenmaal zo is', op een enkeling na dan.
Het probleem is dat vrijwel geen enkele instantie transparant is over wat ze precies vastleggen. Waarom moet een internet winkel een klanten database bijhouden met allerlei privacy gevoelige gegevens? Wat is de toegevoegde waarde voor mij als consument als ik bij zo'n bedrijf slechts een enkele aankoop doe? En waarom moet ik bij de meeste bedrijven of instanties schriftelijk, met een kopie van een identiteitsbewijs, opvragen wat een bedrijf over mij heeft vast gelegd?

De WBP schrijft voor dat persoonsgegevens niet langer mogen worden opgeslagen dan strikt noodzakelijk. De belastingdienst vraagt niet van een bedrijf om bank en persoonsgegevens van klanten dus waarom deze, langdurig, opslaan?
En zo zijn er nog veel meer voorbeelden te noemen waar maar weinigen zich druk over lijken te maken.

De keerzijde is dat ik vanochtend aan een balie van een ziekenhuis stond met maar liefst drie vormen van identificatie in mijn handen. Een rijbewijs, een verzekerings bewijs en een pas van het ziekenhuis zelf. Ik vraag me dan sterk af waarom de pas van het ziekenhuis, waar nota bene ook nog eens een foto op staat, niet voldoende is. En deze ziekenhuispas geldt dan alleen voor het desbetreffende ziekenhuis.
Lang leve de automatisering en de gegevens koppelingen, maar als het toch niet werkt of gebruikt wordt dan kan het net zo goed worden afgeschaft.

[proatjeboksem]

ziekenhuispas om de patientgegevens op te zoeken, rijbewijs om te controleren of jij ook daadwerkelijk die patient bent (vergewisplicht), maar verzekeringpasje was idd niet nodig, die word online gecontroleerd (mits je bij een NL verzekeraar zit)

een aantal ziekenhuizen maakt ook al een foto vanaf de balie, die ze later terug zien in hun administratie. zodat ze dat kunnen vergelijken als je een tweede keer terugkomt.
misschien was dat te lang geleden of had je een nieuwe bril oid.

[Verwijderd]

Opzich snap ik deze stap wel dat ze hier een stop op willen maar ben bang dat het niet gaat gebeuren. Alles schakelt daar naar over. Zoals Tweaktubbie zegt hoe moet dat dan.

ik zie ze bij ons in de gemeente al kopzorgen maken omdat het niet zou werken.
Maar aan de andere kant een Database is altijd kwetsbaar hoe zwaar je het ook beveiligd er is altijd wel iemand die er weer bij kan komen.

[Verwijderd]

Ik vond laatst nog een website dat al haar zeer gevoelige bodemrapportages gewoon in een onbeveiligde directory had gedumpt. Sowieso ben ik erg tegen het opslaan van persoonsgegevens. Heel erg anti patientendossier ook. Mijn zuster is verpleegster elders en die kan dus zien wat mij mankeert, ook al mag ze daar officieel niet naar kijken.

[mdcsusa]

Zelfs als je dit soort gegevens helemaal dichttimmert dan zijn de mensen die ermee werken nog steeds de zwakste schakel. Inloggegevens worden uitgewisseld onder collega's. Het is zo veilig als de typ-geit die erachter zit.