Dit hoofdstuk geeft per onderdeel van de plan-do-check-act-cyclus weer hoe het CBP de beveiliging van persoonsgegevens beoordeelt. Het hoofdstuk beschrijft de beveiliging van persoonsgegevens in algemene zin, waarbij wordt aangesloten op standaarden, methoden en maatregelen die in het vakgebied informatiebeveiliging gebruikelijk zijn. In specifieke situaties kunnen organisaties ook met andere standaarden, methoden en maatregelen het vereiste beveiligingsniveau bereiken. Bij onderzoeken en beoordelingen van de beveiliging van persoonsgegevens is het onderstaande voor het cbp evenwel het uitgangspunt.
Artikel 13 Wbp vereist bij de beveiliging van persoonsgegevens een risicogerichte benadering.
Het artikel vraagt om “passende technische en organisatorische maatregelen” die “rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau [garanderen] gelet op de risico”s die de verwerking en de aard van de te beschermen gegevens met zich meebrengen”. Deze risicogerichte benadering valt in de praktijk uiteen in een aantal onderdelen, die worden weergegeven in onderstaand schema. In het vervolg van deze paragraaf worden deze onderdelen nader toegelicht.
Het uitvoeren van een privacy impact assessment (pia) helpt de verantwoordelijke om de risico”s te beoordelen die een verwerking van persoonsgegevens met zich meebrengt voor de rechten en vrijheden van de betrokkenen en om maatregelen te treffen die deze risico”s beperken.53In Europese regelgeving wordt voor de PIA de term ‘privacyeffectbeoordeling’ gebruikt. Een pia wordt als regel uitgevoerd in het eerste ontwerpstadium van een verwerking. De uitkomsten van de pia kunnen van invloed zijn op de beveiliging van de persoonsgegevens die worden verwerkt, maar kunnen bijvoorbeeld ook leiden tot de keuze om minder persoonsgegevens te verzamelen dan in eerste instantie was voorzien of tot het uitbreiden van de mogelijkheden voor de betrokkenen om zeggenschap uit te oefenen over het gebruik van hun gegevens. De pia valt buiten de reikwijdte van artikel 13 Wbp en van deze richtsnoeren. Wel geeft het uitvoeren van een pia een totaalbeeld van de risico”s voor de betrokkenen en helpt het de verantwoordelijke om beveiligingsmaatregelen te treffen als onderdeel van een samenhangend geheel aan maatregelen waarmee hij de risico”s voor de betrokkenen afdekt en voldoet aan de Wbp.54De PIA wordt ook genoemd in het regeerakkoord VVD – PvdA, Bruggen slaan, 29 oktober 2012: “Bij de bouw van systemen en het aanleggen van databestanden is bescherming van persoonsgegevens uitgangspunt. Daar hoort een zogenaamd privacy impact assessment (PIA) standaard bij.”
In het vakgebied informatiebeveiliging vormen de betrouwbaarheidseisen – de eisen aan beschikbaarheid, integriteit en vertrouwelijkheid – het uitgangspunt voor de te treffen beveiligingsmaatregelen.55Zie paragraaf 2.2 van deze richtsnoeren. Bij het verwerken van persoonsgegevens dienen de betrouwbaarheidseisen niet uitsluitend te worden vastgesteld vanuit het belang van de verantwoordelijke, maar met name ook vanuit het belang van de betrokkenen. Er is sprake van een “passend beveiligingsniveau gelet op de risico”s die de verwerking en de aard van de te beschermen gegevens met zich meebrengen”. Het vaststellen van de betrouwbaarheidseisen vanuit het belang van de betrokkenen wordt nader beschreven in paragraaf 3.1 van deze richtsnoeren.
In het vakgebied informatiebeveiliging is het gangbaar dat de verantwoordelijke beveiligingsmaatregelen treft op basis van een risicoanalyse, waarbij hij de dreigingen inventariseert die kunnen leiden tot een beveiligingsincident, de gevolgen die het beveiligingsincident kan hebben en de kans dat deze gevolgen zich voordoen. De verantwoordelijke kiest de maatregelen zodanig dat wordt voldaan aan de vastgestelde betrouwbaarheidseisen.56Zie paragraaf 2.4 van deze richtsnoeren. De risicoanalyse is een belangrijke randvoorwaarde voor “[maatregelen die], rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau [garanderen]”.57Artikel 13 Wbp. Paragraaf 3.2 van deze richtsnoeren gaat hier nader op in.
De verantwoordelijke stelt vast aan welke eisen betreffende beschikbaarheid, integriteit en vertrouwelijkheid het informatiesysteem moet voldoen. Daarbij draagt hij er zorg voor dat er sprake is van een “passend beveiligingsniveau gelet op de risico”s die de verwerking en de aard van de te beschermen gegevens met zich meebrengen.”58Artikel 13 Wbp.
Het bovenstaande betekent dat de verantwoordelijke een vertaalslag moet maken van de risico”s voor de betrokkene(n) naar de betrouwbaarheidseisen zoals het vakgebied informatiebeveiliging die kent. Deze vertaalslag is weergegeven in bovenstaand schema. Voor deze vertaalslag zijn vooral de gevolgen relevant die betrokkenen kunnen ondervinden van verlies of onrechtmatige verwerking van hun persoonsgegevens. Deze gevolgen kunnen, afhankelijk van de aard van de verwerking en van de verwerkte persoonsgegevens, onder meer bestaan uit stigmatisering of uitsluiting, schade aan de gezondheid of blootstelling aan (identiteits)fraude.
Voor het vaststellen van de betrouwbaarheidseisen zijn, vanuit de beveiliging van persoonsgegevens en het belang van de betrokkenen bezien, de risico”s voor één, individuele betrokkene maatgevend.
De schade die betrokkenen ondervinden van verlies of onrechtmatige verwerking van hun persoonsgegevens wordt bepaald door de aard van de gegevens en de aard van de verwerking en niet door het aantal anderen van wie de persoonsgegevens eveneens verloren zijn gegaan of onrechtmatig zijn verwerkt.
Voor de genoemde vertaalslag zijn geen algemene regels te geven. Bij verwerkingen met een hoog risico voor de betrokkene(n) is over het algemeen een hoge mate van vertrouwelijkheid vereist. Afhankelijk van de aard van de verwerking geldt hetzelfde voor de integriteit en voor de beveiliging van de persoonsgegevens tegen verlies.
De rest van deze paragraaf gaat nader in op de risico”s die de verwerking en de aard van de te beschermen gegevens met zich meebrengen.
Er is sprake van “een passend beveiligingsniveau gelet op de risico”s die [...] de aard van de te beschermen gegevens met zich meebreng[t]”.59Artikel 13 Wbp.
De stand van de techniek, ontwikkelingen in de maatschappij en andere factoren kunnen van invloed zijn op de gevolgen die verlies of onrechtmatige verwerking van persoonsgegevens met zich mee kunnen brengen voor de betrokkenen. Onderstaande opsomming van categorieën van persoonsgegevens waar deze gevolgen ernstig kunnen zijn, is daarom niet uitputtend:
Bijzondere persoonsgegevens zoals bedoeld in artikel 16 Wbp
Het gaat daarbij om persoonsgegevens over iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, lidmaatschap van een vakvereniging en om strafrechtelijke persoonsgegevens en persoonsgegevens over onrechtmatig of hinderlijk gedrag in verband met een opgelegd verbod naar aanleiding van dat gedrag.
Gegevens over de financiële of economische situatie van de betrokkene
Hieronder vallen bijvoorbeeld gegevens over (problematische) schulden.
(Andere) gegevens die kunnen leiden tot stigmatisering of uitsluiting van de betrokkene
Hieronder vallen bijvoorbeeld gegevens over gokverslaving, prestaties op school of werk of relatieproblemen.
Gegevens die betrekking hebben op mensen uit kwetsbare groepen
Het gaat hier bijvoorbeeld om mensen die te maken hebben met stalking of die in een blijf-van-mijn-lijfhuis verblijven, om klokkenluiders of om informanten van de politie of het Openbaar Ministerie.
Gebruikersnamen, wachtwoorden en andere inloggegevens
De mogelijke gevolgen voor betrokkenen hangen af van de verwerkingen en van de persoonsgegevens waar de inloggegevens toegang toe geven. Bij de afweging moet worden betrokken dat veel mensen wachtwoorden hergebruiken voor verschillende verwerkingen.
Gegevens die kunnen worden misbruikt voor (identiteits)fraude
Het gaat hierbij onder meer om biometrische gegevens, kopieën van identiteitsbewijzen en om het burgerservicenummer (bsn).
Het onderstaande voorbeeld illustreert dat een persoonsgegeven dat op zichzelf niet in de categorie van bijzondere persoonsgegevens valt (het e-mailadres) alsnog een bijzonder persoonsgegeven kan worden door de context waarbinnen het wordt gebruikt.
Een organisatie voor jongeren met belangstelling voor sadomasochisme (sm) organiseert een feest en verstuurt per e-mail een bevestiging van deelname aan iedereen die zich voor dit feest heeft aangemeld. Bij de verzending van de mailing maakt de organisatie een fout, waardoor alle e-mailadressen zichtbaar zijn voor alle 65 ontvangers van de e-mail.
Een e-mailadres is een persoonsgegeven en kan, bijvoorbeeld als het de voor- en achternaam van de betrokkene bevat, de betrokkene direct identificeren. Normaal gesproken is een e-mailadres geen gevoelig gegeven maar in dit geval ontstaat er door de context, deelname aan een sm-feest, een relatie met het seksuele leven van de betrokkene en wordt het gegeven alsnog gevoelig. De verantwoordelijke moet in zo”n geval extra beveiligingsmaatregelen treffen om het uitlekken van de e-mailadressen te voorkomen.
Er is sprake van “een passend beveiligingsniveau gelet op de risico”s die de verwerking [...] met zich meebreng[t]”.60Artikel 13 Wbp.
Behalve de aard van de verwerkte gegevens, kan ook de verwerking zelf risico”s met zich meebrengen voor de betrokkenen. Factoren die een rol spelen zijn onder meer:
Hoeveelheid verwerkte persoonsgegevens per persoon
Naarmate er per persoon meer persoonsgegevens worden verwerkt, kan verlies of onrechtmatige verwerking leiden tot een grotere inbreuk op de persoonlijke levenssfeer. Bijvoorbeeld: het uitlekken van een compleet medisch dossier leidt over het algemeen tot een grotere inbreuk dan het uitlekken van een herhaalrecept.
Doel of doelen waarvoor de persoonsgegevens worden verwerkt
Naarmate de beslissingen die op basis van de verwerkte persoonsgegevens worden genomen ingrijpender zijn, is ook de impact van verlies of onrechtmatige verwerking groter. Bijvoorbeeld: als een organisatie financiële gegevens gebruikt om iemands kredietwaardigheid te bepalen zijn de gevolgen ingrijpender dan bij gebruik van dezelfde gegevens voor marketingdoeleinden.
Onderstaand voorbeeld illustreert hoe de combinatie van de aard van de verwerkte gegevens (bijzondere persoonsgegevens) en de risico”s die de verwerking met zich meebrengt (grote hoeveelheid gegevens per persoon) leidt tot zwaardere eisen aan de beveiliging en, in combinatie met de aanwezige dreigingen, tot aanscherping van de beveiligingsmaatregelen.
Beveiligingsonderzoekers komen erachter dat een webapplicatie die toegang geeft tot elektronische dossiers met persoonsgegevens beveiligingslekken bevat, waardoor onbevoegden toegang kunnen krijgen tot de achterliggende database. De applicatie wordt gebruikt door een groot aantal organisaties. In de applicatie worden bijzondere persoonsgegevens (medische gegevens) en het BSN verwerkt en de hoeveelheid gegevens die per persoon wordt verwerkt is in sommige gevallen aanzienlijk. Onrechtmatige toegang tot de dossiers kan voor de betrokkenen dus grote schade met zich meebrengen. Daarbij gaat het om een webapplicatie, waarbij altijd rekening moet worden gehouden met de mogelijkheid dat een hacker onrechtmatig toegang krijgt tot de verwerkte persoonsgegevens.
De leverancier van de applicatie besluit daarom om niet alleen de beveiligingslekken te dichten, maar ook de beveiliging van de toegang tot de dossiers met persoonsgegevens aan te scherpen door gebruik te maken van zogeheten tweefactorauthenticatie. Gebruikers kunnen in het vervolg alleen nog maar toegang krijgen tot de applicatie als ze beschikken over een combinatie van een wachtwoord en een fysiek herkenningsmiddel (token). Door het gebruik van tweefactorauthenticatie wordt voorkomen dat een hacker door het wachtwoord te achterhalen zich toegang verschaft tot de verwerkte persoonsgegevens.
Bepaalde verwerkingen brengen door de combinatie van de aard van de verwerkte gegevens, de hoeveelheid gegevens die per persoon wordt verwerkt en de doelen waarvoor de persoonsgegevens worden verwerkt dusdanige risico”s met zich mee dat het hoogste beveiligingsniveau is vereist. Verwerkingen in deze categorie zijn onder meer verwerkingen bij opsporingsdiensten met bijzondere bevoegdheden of verwerkingen waarbij de belangen van een grote groep betrokkenen zeer ernstig kunnen worden geschaad indien de verwerkingen onzorgvuldig of onbevoegd geschieden, zoals bij dna-databanken. Daarnaast vallen ook verwerkingen waarop een bijzondere geheimhoudingsplicht van toepassing is binnen deze categorie. Deze geheimhoudingsplicht kan door de overheid zowel wettelijk als anderszins formeel zijn geregeld of door een private organisatie zijn ingevoerd voor haar medewerkers.
Bij dergelijke verwerkingen wordt er al in het vroegste ontwerpstadium rekening gehouden met het vereiste beveiligingsniveau (security by design) en het vereiste niveau van gegevensbescherming (privacy by design). Privacy enhancing technologies (pet) zijn bij dergelijke verwerkingen onmisbaar. Bij de keuze van de beveiligingsmaatregelen is het vereiste beveiligingsniveau leidend. Indien het realiseren van het vereiste beveiligingsniveau tegen acceptabele kosten niet mogelijk is, wordt van verwerking afgezien.
Na het vaststellen van de betrouwbaarheidseisen treft de verantwoordelijke passende beveiligingsmaatregelen die waarborgen dat aan de betrouwbaarheidseisen wordt voldaan.
“De verantwoordelijke legt passende technische en organisatorische maatregelen ten uitvoer om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. Deze maatregelen garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau.” 61Artikel 13 Wbp.
De maatregelen zijn gebaseerd op een risicoanalyse en dekken de risico”s zodanig af dat aan de betrouwbaarheidseisen wordt voldaan.62Zie paragraaf 2.4 van deze richtsnoeren. Naarmate de vereiste betrouwbaarheid c.q. het vereiste beveiligingsniveau hoger is, treft de verantwoordelijke meer en zwaardere beveiligingsmaatregelen om de aanwezige risico”s af te dekken en het vereiste beveiligingsniveau daadwerkelijk te garanderen.
Onderstaand voorbeeld is ontleend aan de toezichtpraktijk van het CBP
Het geeft onder meer weer welke aandachtspunten het CBP in het betreffende onderzoek hanteerde bij de beoordeling van de uitgevoerde risico-analyses.
Gezamenlijk met de Inspectie voor de Gezondheidszorg (IGZ) voert het CBP in 2007 een onderzoek uit naar de mate waarin de normen voor de informatiebeveiliging worden nageleefd door twintig ziekenhuizen.
Bij vijf van de onderzochte ziekenhuizen concluderen IGZ en CBP dat er geen sprake is van een passend beveiligingsniveau zoals bedoeld in artikel 13 Wbp. Na nader onderzoek in 2008 legt het CBP in 2009 aan vier van de ziekenhuizen een last onder dwangsom op, waarbij het CBP de ziekenhuizen onder meer sommeert om een risicoanalyse informatiebeveiliging uit te voeren en daarvan een rapportage op te stellen.
Als toelichting op deze maatregelen verwijst het CBP naar de NEN 7510, waarin de Code voor Informatiebe-veiliging voor de zorgsector nader is uitgewerkt en die als een gezaghebbende en sectorale uitwerking van artikel 13 Wbp wordt beschouwd.
Het CBP geeft daarbij het volgende aan:
“Een risicoanalyse vormt de basis voor het informatiebeveiligingsbeleid van een organisatie. Zonder risicoanalyse is het niet mogelijk om een adequaat informatiebeveiligingsbeleid te formuleren: pas na een risicoanalyse kunnen de prioritaire maatregelen voor informatiebeveiliging worden bepaald.
De definitie van een risicoanalyse in NEN 7510 – ‘beoordeling van de bedreigingen voor, effecten op en kwetsbaarheid van informatiesystemen en gegevens en de waarschijnlijkheid van het optreden van deze bedreigingen’ is gangbaar binnen het vakgebied informatiebeveiliging en geeft een organisatie – binnen de grenzen van de definitie – de vrijheid zelf een risicoanalysemethode te kiezen. Zodra echter elementen uit de definitie ontbreken is de risicoanalyse ontoereikend en wordt gezien het bovenstaande niet voldaan aan de norm van artikel 13 Wbp.”
Het cbp constateert dat twee van de vier ziekenhuizen in eerste instantie een risicoanalyse hebben uitgevoerd die niet voldoet aan de last. In de risicoanalyse van één ziekenhuis ontbreekt een inventarisatie van de (reële) bedreigingen, is er geen zicht op de kwetsbaarheid van de informatiesystemen en is er onvoldoende zicht op de beveiligingsmaatregelen die al zijn geïmplementeerd, waardoor er niet kan worden afgebakend welke maatregelen er uiteindelijk nog moeten worden getroffen. Het tweede ziekenhuis heeft aan de hand van een checklist in kaart gebracht hoe informatiebeveiliging volgens NEN7510 in de dagelijkse praktijk wordt toegepast, wat geen of hooguit zeer beperkt inzicht geeft in de concrete ICT-risico”s die het ziekenhuis loopt.
Beide ziekenhuizen vullen de risicoanalyse aan, zodat zij uiteindelijk alsnog aan de last voldoen.
De risicoanalyse geeft aan welke risico”s moeten worden afgedekt; beveiligingsstandaarden geven houvast bij het daadwerkelijk treffen van passende maatregelen om de risico”s af te dekken. Welke beveiligingsstandaarden voor een bepaalde verwerking relevant zijn en welke beveiligingsmaatregelen op grond van deze beveiligingsstandaarden moeten worden getroffen, moet van geval tot geval worden bepaald.
Bij het onderzoeken en beoordelen van de beveiliging van persoonsgegevens hanteert het CBP als uitgangspunt een aantal beveiligingsmaatregelen die binnen het vakgebied informatiebeveiliging gebruikelijk zijn en die in veel situaties in een of andere vorm noodzakelijk zijn. Het gaat om de volgende maatregelen:
Beleidsdocument voor informatiebeveiliging63Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 5.1.1.
Het beleidsdocument gaat expliciet in op de maatregelen die de verantwoordelijke treft om de verwerkte persoonsgegevens te beveiligen. Het document is goedgekeurd op bestuurlijk c.q. leidinggevend niveau en kenbaar gemaakt aan alle werknemers en relevante externe partijen.
Toewijzen van verantwoordelijkheden voor informatiebeveiliging64Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 6.1.3.
Alle verantwoordelijkheden, zowel op sturend als op uitvoerend niveau, zijn duidelijk gedefinieerd en belegd.
Beveiligingsbewustzijn65Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 8.2.2.
Alle werknemers van de organisatie en, voor zover van toepassing, ingehuurd personeel en externe gebruikers krijgen geschikte training en regelmatige bijscholing over het informatiebeveiligingsbeleid en de informatiebeveiligingsprocedures van de organisatie, voor zover relevant voor hun functie. Binnen de training en bijscholing wordt expliciet aandacht besteed aan de omgang met (bijzondere of anderszins gevoelige) persoonsgegevens.
Fysieke beveiliging en beveiliging van apparatuur66Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 9.1 en 9.2.
IT-voorzieningen en apparatuur zijn fysiek beschermd tegen toegang door onbevoegden en tegen schade en storingen. De geboden bescherming is in overeenstemming met de vastgestelde risico”s.
Toegangsbeveiliging67Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 11.2.
Er zijn procedures om bevoegde gebruikers toegang te geven tot de informatiesystemen en -diensten die ze voor de uitvoering van hun taken nodig hebben en om onbevoegde toegang tot informatiesystemen te voorkomen. De procedures omvatten alle fasen in de levenscyclus van de gebruikerstoegang, van de eerste registratie van nieuwe gebruikers tot de uiteindelijke afmelding van gebruikers die niet langer toegang tot informatiesystemen en -diensten nodig hebben. Waar van toepassing wordt bijzondere aandacht besteed aan het beheren van toegangsrechten van gebruikers met extra ruime bevoegdheden, zoals systeembeheerders.
Logging en controle68Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 10.10.
Activiteiten die gebruikers uitvoeren met persoonsgegevens worden vastgelegd in logbestanden. Hetzelfde geldt voor andere relevante gebeurtenissen, zoals pogingen om ongeautoriseerd toegang te krijgen tot persoonsgegevens en verstoringen die kunnen leiden tot verminking of verlies van persoonsgegevens. De logbestanden worden periodiek gecontroleerd op indicaties van onrechtmatige toegang of onrechtmatig gebruik van de persoonsgegevens en waar nodig wordt actie ondernomen.
De verantwoordelijke moet er rekening mee houden dat er, als de gegevens in de logbestanden tot personen herleidbaar zijn, sprake is van een verwerking van persoonsgegevens in de zin van de Wbp waarop de verplichtingen uit deze wet van toepassing zijn. In dat geval kan er ook sprake zijn van een personeelsvolgsysteem in de zin van artikel 27 lid 1 van de Wet op de ondernemingsraden (WOR), waarvoor instemming van de ondernemingsraad is vereist.
Correcte verwerking in toepassingssystemen69Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 12.2.
In alle toepassingssystemen, inclusief toepassingen die door gebruikers zelf zijn ontwikkeld, zijn beveiligingsmaatregelen ingebouwd. Tot deze beveiligingsmaatregelen behoort de controle dat de invoer, de interne verwerking en de uitvoer aan vooraf gestelde eisen voldoen (validatie). Voor systemen waarin gevoelige persoonsgegevens worden verwerkt of die invloed hebben op de verwerking van gevoelige persoonsgegevens, kunnen aanvullende beveiligingsmaatregelen nodig zijn.
Beheer van technische kwetsbaarheden70Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 12.6.
Software, zoals browsers, virusscanners en operating systems, wordt up-to-date gehouden. Ook installeert de verantwoordelijke tijdig oplossingen die de leverancier uitbrengt voor beveiligingslekken in deze software. Meer in het algemeen verkrijgt de verantwoordelijke tijdig informatie over technische kwetsbaarheden van de gebruikte informatiesystemen. De mate waarin de organisatie blootstaat aan dergelijke kwetsbaarheden wordt geëvalueerd en de verantwoordelijke treft geschikte maatregelen getroffen voor de behandeling van de risico”s die daarmee samenhangen.
Incidentenbeheer71Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 13.2.
Er zijn procedures voor het tijdig en doeltreffend behandelen van informatiebeveiligingsincidenten en zwakke plekken in de beveiliging, zodra ze zijn gerapporteerd. Het beoordelen van de risico”s voor de betrokkenen en het effectief informeren van de betrokkenen en, waar van toepassing, de toezichthouder is in deze procedures opgenomen. De lessen getrokken uit de afgehandelde incidenten worden gebruikt om de beveiliging waar mogelijk structureel te verbeteren. Als een vervolgprocedure na een informatiebeveiligingsincident juridische maatregelen omvat (civiel- of strafrechtelijk), wordt het bewijsmateriaal verzameld, bewaard en gepresenteerd overeenkomstig de voorschriften voor bewijs die voor het relevante rechtsgebied zijn vastgelegd.
Afhandeling van datalekken en beveiligingsincidenten72Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 13.1.2.
De verantwoordelijke meldt datalekken die onder een wettelijke meldplicht vallen bij de betreffende toezichthouder.73Bij het verschijnen van deze richtsnoeren is de situatie rond de meldplicht voor datalekken als volgt:• Er is een meldplicht van toepassing voor aanbieders van openbare telecommunicatienetwerken en -diensten (http://www.meldplichttelecomwet.nl/inbreuken.html).• In december 2011 is een voorstel tot aanpassing van de Wbp gepresenteerd. Het voorstel bevat een verplichting om beveiligingsincidenten te melden bij het CBP waarvan redelijkerwijs kan worden aangenomen dat die leiden tot een aanmerkelijk risico op verlies of onrechtmatige verwerking en waaraan nadelige gevolgen voor de persoonsgegevens en de persoonlijke levenssfeer van de betrokkene zijn verbonden (http://www.internetconsultatie.nl/camerabeelden).• De Europese Commissie heeft een conceptverordening gepresenteerd die de huidige richtlijn 95/46/EG, waarop de Wbp gebaseerd is, moet gaan vervangen. In de conceptverordening is een verplichting opgenomen om datalekken te melden bij de toezichthoudende autoriteit (http://ec.europa.eu/justice/newsroom/data-protection/news/120125_en.htm). Als hij daartoe wettelijk verplicht is, of als er anderszins aanleiding voor is, informeert hij ook de betrokkenen over het beveiligingsincident of het datalek.
Continuïteitsbeheer74Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 14.
Door natuurrampen, ongevallen, uitval van apparatuur of opzettelijk handelen kunnen persoonsgegevens verloren gaan. Door in de organisatie continuïteitsbeheer in te richten worden de gevolgen tot een aanvaardbaar niveau beperkt, waarbij gebruik wordt gemaakt van een combinatie van preventieve maatregelen en herstelmaatregelen.
Er is pas sprake van een passend beveiligingsniveau als de gekozen maatregelen onderdeel zijn van de dagelijkse praktijk van de organisatie. De eerste stap is documentatie: de relevante beveiligingsmaatregelen zijn gespecificeerd en geïntegreerd in functionele en technische beschrijvingen van ict-systemen, in gebruikershandleidingen, werkinstructies, contracten, dienstenniveauovereenkomsten en andere relevante documenten. De tweede stap is daadwerkelijke implementatie van de gekozen maatregelen.
“Een ieder die handelt onder het gezag van de verantwoordelijke of van de bewerker, alsmede de bewerker zelf, voor zover deze toegang hebben tot persoonsgegevens, verwerkt deze slechts in opdracht van de verantwoordelijke, behoudens afwijkende wettelijke verplichtingen.”75Artikel 12 lid 1 Wbp.
De hierboven genoemde maatregelen ‘beveiligingsbewustzijn’, ‘toegangsbeveiliging’ en ‘logging en controle’ zijn er mede op gericht om ongeoorloofde omgang met persoonsgegevens binnen de organisatie tegen te gaan.
“De personen, bedoeld in het eerste lid, voor wie niet reeds uit hoofde van ambt, beroep of wettelijk voorschrift een geheimhoudingsplicht geldt, zijn verplicht tot geheimhouding van de persoonsgegevens waarvan zij kennis nemen, behoudens voor zover enig wettelijk voorschrift hen tot mededeling verplicht of uit hun taak de noodzaak tot mededeling voortvloeit.”76Artikel 12 lid 2 Wbp.
Bij het onderzoeken en beoordelen van de beveiliging van persoonsgegevens hanteert het CBP, waar het gaat om de geheimhouding van de verwerkte persoonsgegevens, als uitgangspunt een aantal maatregelen die in het vakgebied informatiebeveiliging gangbaar zijn. Deze maatregelen zijn:
Gegevensbescherming en geheimhouding van persoonsgegevens77Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 15.1.4.
De organisatie heeft beleid ontwikkeld voor de bescherming en voor de geheimhouding van persoonsgegevens. Dit beleid is vastgelegd en geïmplementeerd en de organisatie communiceert dit naar alle personen die betrokken zijn bij het verwerken van persoonsgegevens. In het beleid is opgenomen dat persoonsgegevens uitsluitend worden verwerkt in opdracht van de verantwoordelijke.
Geheimhoudingsovereenkomsten78Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 6.1.5.
De verplichting tot geheimhouding van persoonsgegevens is vastgelegd in geheimhoudingsovereenkomsten.
Onderstaand voorbeeld illustreert wat wordt bedoeld met ongeoorloofde omgang met persoonsgegevens binnen de organisatie.
In 2007 doet het cbp samen met de Inspectie voor de Gezondheidszorg (IGZ) onderzoek naar de informatiebeveiliging bij een aantal ziekenhuizen. Uit het onderzoek blijkt dat de directie van een van de onderzochte ziekenhuizen wel heel persoonlijk is geconfronteerd met het belang van informatiebeveiliging. Tijdens een opname van de voorzitter van de Raad van Bestuur in zijn eigen ziekenhuis hebben namelijk verschillende medewerkers die hem niet behandelden zich toegang verschaft tot zijn elektronisch medisch dossier.79Inspectie voor de Gezondheidszorg (IGZ) en CBP, Informatiebeveiliging in ziekenhuizen voldoet niet aan de norm, Rapportage van een onderzoek in 2007 door het College bescherming persoonsgegevens en de Inspectie voor de Gezondheidszorg naar de informatiebeveiliging in 20 ziekenhuizen, Den Haag, november 2008, p. 26.(http://www.cbpweb.nl/downloads_rapporten/rap_2008_informatiebeveiliging_ziekenhuizen.pdf)
“De maatregelen zijn er mede op gericht onnodige verzameling en verdere verwerking van persoonsgegevens te voorkomen.”80Artikel 13 Wbp.
Bij het onderzoeken en beoordelen van de naleving van de wettelijke verplichting tot het toepassen van pet hanteert het CBP als uitgangspunt een aantal gangbare pet-maatregelen. Deze maatregelen zijn:
Encryptie (versleuteling) en hashing81Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 12.3.
De verantwoordelijke maakt gebruik van cryptografische bewerkingen om de persoonsgegevens die hij verwerkt te beveiligen. Hij past encryptie (versleuteling) toe bij verzending van persoonsgegevens via het internet, bij de opslag van persoonsgegevens op draagbare apparatuur en op verwijderbare media zoals usb-sticks en in andere situaties waar persoonsgegevens kwetsbaar zijn voor toegang door onbevoegden (bijvoorbeeld persoonsgegevens die via het world wide web kunnen worden benaderd). Bij de opslag en verwerking van wachtwoorden maakt hij gebruik van hashing. Bij het toepassen van cryptografische technieken past hij alle gangbare voorzorgsmaatregelen toe, zoals goed ingericht sleutelbeheer en het gebruik van sleutellengten en versleutelingstechnieken die in overeenstemming zijn met de actuele stand van de techniek.
Omgang met e-waste (afgedankte apparatuur en opslagmedia)
Alle apparatuur die opslagmedia bevat, zoals laptops of smartphones, wordt ontdaan van de nog eventueel aanwezige persoonsgegevens alvorens het apparaat te verwijderen of hergebruiken. Opslagmedia met gevoelige persoonsgegevens worden fysiek vernietigd of de persoonsgegevens worden vernietigd, verwijderd of overschreven met technieken die het onmogelijk maken om de oorspronkelijke persoonsgegevens terug te halen.82Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 9.2.6. Hetzelfde geldt voor verwijderbare media zoals usb-sticks.83Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 10.7.2.
Onderstaand worden de cryptografische bewerkingen encryptie en hashing toegelicht. Verder wordt aangegeven dat toepassing van deze cryptografische bewerkingen op zichzelf leidt tot pseudonimisering (het vervangen van een identificerend gegeven door een ander identificerend gegeven) en niet tot anonimisering.
Encryptie (versleuteling) en hashing (het omzetten van gegevens in een unieke code) zijn cryptografische bewerkingen die worden toegepast op gegevens met onder meer als doel om deze onbruikbaar te maken voor onbevoegden.
Kenmerkend voor encryptie is dat deze bewerking omkeerbaar is: door gebruik van de juiste sleutel kan de oorspronkelijke informatie worden verkregen (decryptie). Encryptie wordt onder meer gebruikt om gegevens te beveiligen bij verzending van gegevens via het internet, bij de opslag van gegevens op draagbare apparatuur en op verwijderbare media zoals USB-sticks en in andere situaties waar gegevens kwetsbaar zijn voor toegang door onbevoegden (bijvoorbeeld gegevens die via het world wide web kunnen worden benaderd).
Hashing is een bewerking die van informatie, ongeacht de lengte, een unieke hashcode maakt die altijd even lang is (de lengte is afhankelijk van de gebruikte hashingmethode). Hashing wordt onder meer gebruikt bij de opslag en verwerking van wachtwoorden: op het moment dat de gebruiker een (nieuw) wachtwoord kiest, wordt de bijbehorende hashcode opgeslagen. Wanneer de gebruiker vervolgens inlogt, wordt de hashcode van het ingevoerde wachtwoord vergeleken met de opgeslagen hashcode en krijgt de gebruiker toegang tot het informatiesysteem als de codes overeenkomen.
Cryptografische bewerkingen zijn in principe te ‘kraken’, wat inhoudt dat onbevoegden toegang kunnen krijgen tot de oorspronkelijke gegevens. Kraken wordt tegengegaan door het gebruik van (combinaties van) de nieuwste cryptografische technieken en door toepassing van zogenoemde salts (extra informatie die bij hashing wordt toegevoegd aan het oorspronkelijke gegeven om het kraken van de hashcode te bemoeilijken). Dit terrein ontwikkelt zich voortdurend en het is zeer goed mogelijk dat een cryptografische bewerking die in de huidige situatie veilig genoeg is dat over een aantal jaren niet meer is. Bij gebruik van cryptografische bewerkingen wordt daarom periodiek beoordeeld of nog steeds wordt voldaan aan de betrouwbaarheidseisen.
Door toepassing van encryptie en hashing kan de mate waarin de verwerkte persoonsgegevens kunnen worden herleid naar “een geïdentificeerde of identificeerbare natuurlijke persoon” worden verminderd. Een voorbeeld is het versleutelen of hashen van klantnummers. Het toepassen van cryptografische bewerkingen op identificerende gegevens leidt op zichzelf tot pseudonimisering (het identificerende gegeven wordt vervangen door een ander identificerend gegeven) en niet tot anonimisering (de gegevens worden omgezet naar “een vorm die identificatie van de betrokkene feitelijk niet langer mogelijk maakt”84Kamerstukken II 1997-1998, 25 892, nr. 3, p. 50.).
Nog afgezien van de mogelijkheid dat de gebruikte cryptografische bewerkingen gekraakt worden, leidt het toepassen van cryptografische bewerkingen op identificerende gegevens om de volgende redenen tot pseudonimisering en niet tot anonimisering:
Encryptie is omkeerbaar. De verantwoordelijke beschikt over de juiste sleutel en is daarmee in staat om decryptie toe te passen op het versleutelde gegeven en daardoor het oorspronkelijke identificerende gegeven te achterhalen.
Encryptie en hashing zijn herhaalbaar. De verantwoordelijke beschikt over de oorspronkelijke gegevens en kan door deze opnieuw te versleutelen of hashen de bijbehorende versleutelde gegevens of hashcodes achterhalen.
De verantwoordelijke kan maatregelen treffen om bij gebruik van encryptie of hashing de herleidbaarheid van de betreffende persoonsgegevens te beperken, bijvoorbeeld door de cryptografische bewerking uit te laten voeren door een derde die als enige over de juiste sleutel beschikt. Van geval tot geval moet een verantwoordelijke vaststellen of dergelijke maatregelen daadwerkelijk leiden tot anonimisering.
Voor anonimisering zijn niet alleen de direct identificerende gegevens van belang. “Het verwijderen van de direct identificerende kenmerken biedt op zichzelf niet altijd voldoende garantie dat geen sprake meer is van persoonsgegevens. Door middel van spontane herkenning, vergelijking van gegevens en/of koppeling aan gegevens uit andere bron, kan immers desondanks, soms zonder bijzonder inspanning, identificatie tot stand worden gebracht.”85Kamerstukken II 1997-1998, 25 892, nr. 3, p. 48. Verder moet bij anonimisering rekening worden gehouden met de stand van de techniek. “Wat [...] bij een bepaalde stand van de techniek als anoniem, want redelijkerwijs niet op een persoon herleidbaar gegeven, kan worden beschouwd, kan door technische ontwikkelingen alsnog een persoonsgegeven worden gelet op de toegenomen mogelijkheden tot herleiding.”86Kamerstukken II 1997-1998, 25 892, nr. 3, p. 49.
De verantwoordelijke stelt vast of de maatregelen daadwerkelijk getroffen zijn en worden nageleefd en of de organisatie door het treffen van deze maatregelen aan de betrouwbaarheidseisen voldoet.
De verantwoordelijke stelt vast of de technische en organisatorische maatregelen in de praktijk worden nageleefd en of deze een passend beveiligingsniveau garanderen. Waar nodig voert hij aanpassingen door.
Bij onderzoek en beoordeling hanteert het CBP als uitgangspunt de volgende controles die in het vakgebied informatiebeveiliging gangbaar zijn:
Controle op naleving van de maatregelen binnen de organisatie87Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 15.2.1.
De verantwoordelijke beoordeelt regelmatig of de beveiligingsmaatregelen binnen de organisatie daadwerkelijk worden nageleefd. Waar dit niet gebeurt, treft de verantwoordelijke corrigerende maatregelen.
Controle op technische naleving88Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 15.2.2.
De verantwoordelijke beoordeelt regelmatig of de beveiligingsmaatregelen binnen de technische systemen daadwerkelijk worden nageleefd.
Verder betrekt het CBP hierbij de inzet van de volgende gangbare middelen voor de controle op uitvoering en naleving van de beveiligingsmaatregelen:
Werkplekcontroles
Buiten kantooruren laat de verantwoordelijke controleren of er documenten met gevoelige persoonsgegevens aanwezig zijn op werkplekken, in vergaderruimtes, bij printers of kopieerapparaten of in niet-afgesloten papierbakken. Op deze manier kan de verantwoordelijke vaststellen of de gedragsregels voor de omgang met documenten met gevoelige persoonsgegevens effectief zijn en afdoende bekend zijn gemaakt binnen de organisatie.
Social engineering tests
In deze tests proberen experts per telefoon of per e-mail om, vaak onder valse voorwendselen, persoonsgegevens ‘los te krijgen’. Door dergelijke tests uit te laten voeren kan de verantwoordelijke vaststellen in hoeverre gedragsregels voor het verstrekken van persoonsgegevens daadwerkelijk worden nageleefd.
Beoordeling van de beveiligingsmaatregelen in toepassingssystemen89Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 12.5.5.
De verantwoordelijke laat een code review (een inspectie van de programmacode) uitvoeren om vast te stellen of de beveiligingsmaatregelen die zijn ingebouwd in de toepassingssystemen nog steeds toereikend zijn of dat deze bijvoorbeeld moeten worden aangepast aan de stand van de techniek of aan de nieuwste inzichten in de informatiebeveiliging. Bij toepassingen die worden onderhouden door een externe partij worden daarnaast ook de werkzaamheden van deze derde partij beoordeeld: hoe snel verhelpt deze bijvoorbeeld geconstateerde kwetsbaarheden of beveiligingslekken in het toepassingssysteem?
Tests van nieuwe en gewijzigde informatiesystemen90Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 10.3.2.
De bekendste vorm hiervan is waarschijnlijk de penetratietest, waarin experts proberen om de beveiliging van een informatiesysteem te doorbreken. Over het algemeen gaat hier een aantal andere tests aan vooraf, waarin de experts per informatiesysteem of per subsysteem vaststellen of de gespecificeerde beveiligingsmaatregelen daadwerkelijk zijn getroffen. De functie van de penetratietest is vooral het blootleggen van onvoorziene risico”s of zwakke plekken in de beveiliging.
Beveiligingsassessments
In dergelijke assessments wordt vastgesteld in hoeverre de gekozen beveiligingsmaatregelen daadwerkelijk zijn geïmplementeerd en worden nageleefd. Bovengenoemde controlemiddelen kunnen hier deel van uitmaken.
Onderstaand wordt ingegaan op de beveiliging van persoonsgegevens die op papier worden verwerkt en wordt aangegeven hoe de controle op naleving past binnen het totaal aan beveiligingsmaatregelen.
De meeste organisaties verwerken persoonsgegevens niet alleen in geautomatiseerde systemen maar ook op papier. Bij dat laatste gaat het niet alleen om papieren dossiers maar bijvoorbeeld ook om documenten uit een elektronisch dossier die worden uitgeprint om ze in een vergadering te bespreken. Als de organisatie hier onvoldoende zorgvuldig mee omgaat, kunnen er ondanks alle overige beveiligingsmaatregelen alsnog persoonsgegevens weglekken.
Preventieve maatregelen bestaan allereerst uit het opstellen en binnen de organisatie bekend maken van gedragsregels. Middelen waarvan de organisatie gebruik kan maken bij een veilige omgang met persoonsgegevens op papier zijn afsluitbare dossierkasten en papierversnipperaars of afsluitbare prullenbakken voor vertrouwelijke stukken, waarvan de inhoud door een gespecialiseerd bedrijf wordt verwijderd en vernietigd. Controle op de naleving van de gedragsregels is noodzakelijk, met name voor organisaties die gevoelige gegevens op papier verwerken. Door werkplekcontroles wordt vastgesteld dat er aan het einde van de werkdag geen documenten met gevoelige persoonsgegevens op werkplekken zijn achtergebleven, dat er geen gevoelige informatie bij printers of kopieerapparaten of in vergaderkamers ligt en dat alle dossierkasten zijn afgesloten. Deze controle is extra belangrijk als de organisatie gebruikmaakt van een locatie die toegankelijk is voor het publiek, zoals een gemeentehuis, of die gedeeld wordt met andere organisaties.
In de evaluatie bepaalt de verantwoordelijke onder meer of de vastgestelde betrouwbaarheidseisen nog steeds aansluiten bij de risico”s die de verwerking en de aard van de te verwerken gegevens met zich meebrengen en of door de getroffen maatregelen nog steeds aan de betrouwbaarheidseisen wordt voldaan.
De verantwoordelijke stelt periodiek, of wanneer de omstandigheden daar aanleiding toe geven, vast of de getroffen “technische en organisatorische maatregelen” nog steeds een “passend beveiligingsniveau [garanderen]”.91Artikel 13 Wbp. (“Met zich ontwikkelende techniek zal periodiek een nieuwe afweging moeten worden gemaakt.”)92Kamerstukken I 1999-2000, 25 892, nr. 92c, p. 15. Waar nodig voert hij aanpassingen door.
Bij grote veranderingen in de organisatie of in de informatiesystemen stelt de verantwoordelijke vast of het bestaande pakket aan beveiligingsmaatregelen nog steeds voldoet aan het vereiste beveiligingsniveau. Voorbeelden van dergelijke veranderingen zijn:
Nieuwe locatie
De organisatie verhuist van een eigen gebouw, dat met elektronische toegangspasjes was beveiligd, naar werkplekken in een open kantoortuin die wordt gedeeld met medewerkers van een andere organisatie.
Nieuwe taken
De organisatie krijgt nieuwe taken, waardoor er per betrokkene veel meer persoonsgegevens worden verwerkt.
Nieuwe functionaliteit
De organisatie besluit om een internetportaal te creëren waarmee betrokkenen inzage kunnen krijgen in de persoonsgegevens die de organisatie van hen verwerkt.
Nieuwe werkwijze en technologie
De organisatie introduceert ‘het nieuwe werken’, wat onder meer inhoudt dat medewerkers hun eigen apparatuur aan kunnen sluiten op het interne netwerk van de organisatie.
Waar nodig stelt de verantwoordelijke de betrouwbaarheidseisen bij op basis van de nieuwe situatie en/of past hij het pakket beveiligingsmaatregelen aan.
Verder kunnen de stand van de techniek en de kosten van de uitvoering van beveiligingsmaatregelen in de loop van de tijd veranderen. Ook kan de aard van de verwerking of van de verwerkte persoonsgegevens in de loop van de tijd leiden tot nieuwe of andere risico”s voor de betrokkenen, bijvoorbeeld als gevolg van maatschappelijke ontwikkelingen. Om te kunnen blijven spreken van passende maatregelen, of van die maatregelen die in redelijkheid mogen worden verwacht, is het dan ook noodzakelijk om periodiek te bepalen of de vastgestelde betrouwbaarheidseisen nog steeds aansluiten bij de risico”s die de verwerking en de aard van de te beschermen gegevens met zich meebrengen en de beveiligingsmaatregelen waar nodig bij te stellen. Bij dit laatste neemt de verantwoordelijke ook de getrokken lessen uit de opgetreden beveiligingsincidenten mee.
Artikel 3
Beveiliging in de praktijk
Onderdeel van CBP richtsnoeren: beveiliging van persoonsgegevens· Privacy
Deze tekst geldt sinds 1 maart 2013