Wat begon als ludiek idee van twee Utrechtse vrienden, eindigde in grootschalige fraude met ov-chipkaarten. Tot hun eigen verbazing kregen de mannen het razendsnel voor elkaar om de inhoud van de kaarten volledig te manipuleren. ,,Het is een beetje uit de hand gelopen.”
Het is 2015. De mannen zijn collega’s en werken allebei in Alkmaar bij een IT-bedrijf. Daarom reizen ze bijna dagelijks tussen Utrecht en Alkmaar met de trein. Omdat de ov-chipkaart in die tijd volop in het nieuws is vanwege fraudegevoeligheid, vraagt het duo zich af welke data nu eigenlijk allemaal op die kaart staan en hoe veilig die zijn. Ze besluiten te proberen een kaart te ontleden, door de data uit te lezen via een eigen computer en software.
Stukje bij beetje gaan ze aan de slag met het ontleden en uitsplitsen van alle data die ze tegenkomen op de kaart. Tot hun eigen stomme verbazing komen ze daarmee al heel snel veel verder dan ze verwachtten. Ze ontdekken dat het zelfs lukt om de kaarten eigenhandig vanuit huis van nieuw saldo te voorzien, zonder daarvoor ook maar een cent over te hoeven maken.
Dat dit lukt maakt de verleiding heel groot om te proberen met de gekraakte ov-chipkaarten naar hun werk te gaan reizen op het traject Utrecht-Alkmaar. En dat is precies wat de mannen besluiten te doen, ze reizen maandenlang probleemloos met zelf opgeladen chipkaarten. Om de paar weken wordt een kaart geblokkeerd, maar dan kraken ze gewoon weer een nieuwe.
Totdat het illegaal opladen op begint te vallen bij het bedrijf achter de chipkaarten: Translink. Het bedrijf ziet verdachte transacties en illegale ophogingen van saldo op verschillende ov-chipkaarten. Bij elkaar opgeteld komen 95 gemanipuleerde ov-chipkaarten in beeld. Door de reizen te linken aan camerabeelden op Utrecht CS, lukt het in combinatie met observaties om de verdachten in beeld te krijgen.
Toen ze eenmaal ontdekt en achterhaald waren, hebben ze geprobeerd om in gesprek te komen met Translink, dat naar eigen zeggen anderhalf miljoen euro kwijt was aan het dichten van het lek. Van een gesprek kwam het nooit, het bedrijf hield de boot af bij de mannen. De twee hebben grote vraagtekens bij het door Translink gecalculeerde reisschadebedrag van een slordige 100.000 euro. ,,Ik vind dat wel heel veel. Ik wil graag weten hoe dat precies zit en kom zelf tot andere bedragen. Dit is hun database, wie heeft dat gecheckt?”
De officier van justitie vindt ‘stelselmatig’ computervredebreuk, gebruik van vervalsingssoftware, vervalsen van 95 kaarten en het gebruik daarvan bewezen. Ook acht hij twee jaar lang reizen voor ruim 23.000 euro tussen Utrecht en Alkmaar bewezen, net als een slordige 10.000 euro aan reizen naar andere stations.
Hij eist 120 uur werkstraf voor beide mannen. Uitspraak op 17 juni.
Alles bij de bron; AD
In deze brief informeer ik u over de uitvoering van de moties en toezeggingen die tijdens het AO van 13 juni 2019 en het daarop volgende VAO van 25 juni 2019 zijn aangenomen c.q. gedaan.
1.1 Motie van Dam c.s. over het toezicht op de Big Five
1.2. Motie Buitenweg over het voorkomen van indirecte discriminatie bij levering van goederen en diensten door besluitvorming via algoritmen
1.3. Motie Van Nispen c.s. over wifitracking
Toezeggingen;
2.2 Bedrijven waarop de AP toezicht houdt
Alles bij de bron; RijksOverheid
Ziggo en XS4ALL moeten de IP-adressen en domeinnamen van The Pirate Bay voor gebruikers blijven blokkeren, heeft het gerechtshof Amsterdam dinsdag beslist. De zaak is aangespannen door Stichting BREIN, die opkomt voor de houders van auteursrechten.
Het hof oordeelt dat via The Pirate Bay veel beschermde werken ter beschikking worden gesteld, zoals films en muziek. Het bekijken en beluisteren daarvan maakt inbreuk op de rechten van de rechthebbenden. Volgens het hof weegt de inbreuk op intellectueel eigendom in dit geval zwaarder dan argumenten voor de vrijheid van informatie en ondernemerschap.
Het hof vindt dat het publiek door de blokkade serieus wordt ontmoedigd om The Pirate Bay te bezoeken. "Er zijn geen minder ingrijpende maatregelen voorhanden om dat doel te bereiken."
De zaak tussen de providers en Stichting BREIN loopt al sinds 2012, toen de rechtbank in Den Haag had besloten dat The Pirate Bay geblokkeerd moest worden. De rechtbank oordeelde toen dat The Pirate Bay op grote schaal auteursrechten schendt. In hoger beroep werd dat in 2014 teruggedraaid.
De rechter bepaalde in september 2017 dat de providers The Pirate Bay opnieuw moesten blokkeren in afwachting van een uitspraak van de Hoge Raad. De advocaat-generaal, die de Hoge Raad adviseert, oordeelde in maart dat de zaak naar het gerechtshof terugverwezen moest worden.
Alles bij de bron; NU
De AVG werkt, twee jaar na de invoering zijn mensen en organisaties zijn zich veel bewuster geworden van de privacyregels. „Dataprotectie emancipeert tot allesomvattend grondrecht”, zegt de toezichthouder...
...„Het belang dat aan deze wet wordt gehecht is duidelijk anders”, ziet ook Bert Jaap Koops, hoogleraar regulering van technologie aan de universiteit van Tilburg. „Veel bedrijven en instellingen hebben een inhaalslag gemaakt.” Hoogleraar Koops verwacht dat er tegelijkertijd nog genoeg organisaties zijn die het voldoen aan de AVG beperken tot een „papieren exercitie”.
Door de privacyvoorwaarden in overeenstemming te brengen met de nieuwe wet, maar niet daadwerkelijk te investeren in bescherming van persoonsgegevens en een bewuste omgang daarmee door medewerkers. De kans dat zij worden beboet door de Autoriteit Persoonsgegevens (AP) is klein; onder de AVG werden tot nu toe vijf boetes uitgedeeld.
Privacyjurist Thomas van Essen werkt voor SOLV Advocaten en ziet dat de AVG bij veel bedrijven en organisaties heel wat meer verandert dan wat wijzigingen in de voorlichting. „Je moet je processen goed inrichten om niet op de radar van de AP te komen. Veel partijen lukt het al niet binnen een maand te voldoen aan een inzageverzoek, wanneer iemand wil weten welke persoonsgegevens van hem of haar worden verwerkt. Dat leidt tot klachten bij de AP en mogelijk een onderzoek”, aldus Van Essen. Dat de eerste boetes zijn uitgedeeld, waarbij het om flinke bedragen ging, heeft volgens hem wel degelijk effect.
Ook de doorgaans kritische privacybeschermers van Bits of Freedom zijn behoorlijk te spreken over de effectiviteit van de databeschermingswet. „De AVG dwingt tot nadenken vóór doen”, zegt beleidsadviseur Nadia Benaissa. Volgens Bits of Freedom zijn er nog genoeg privacyschenders die de dans ontspringen. Benaissa denkt aan datalekken die vaak nog zonder gevolgen blijven. „Of big tech dat gebruikers volgt, analyseert en manipuleert.” Maar de verwachting is dat de handhaving door de AP steeds effectiever zal worden.
De AVG mag de databescherming dan hebben verbeterd. De coronacrisis kan veel winst weer tenietdoen. De politie stuurt drones de lucht in om burgers te filmen en toe te spreken als ze te dicht bij elkaar staan. De medische dossiers bij de huisarts van mensen die geen toestemming gaven voor gebruik door anderen, zijn toegankelijk gemaakt voor huisartsenposten en eerste hulpen in het ziekenhuis. Het kabinet werkt aan een spoedwet om locatiegegevens van mobiele bellers te laten onderzoeken door het RIVM, om zo voorspellingen te doen over de verspreiding van het virus. Wolfsen eist dat het om maatregelen gaat die de bescherming van persoonsgegevens zo goed mogelijk waarborgen.
Zorgen over de gevolgen van de coronacrisis leven breder. „Het grootschalig volgen van mensen die daar geen toestemming voor hebben gegeven, is door de AVG echt not done geworden. Dat lijkt met die locatiedata nu weer aan de kant te worden geschoven”, zegt Benaissa van Bits of Freedom. „Niets is zo permanent als een tijdelijke maatregel”, reageert ook privacyjurist Thomas van Essen sceptisch, al vindt hij dat in crisistijd op beperkte schaal uitzonderingen op de AVG moeten kunnen.
Alles bij de bron; NRC
De gemeente Almere heeft vorig jaar 44 fouten gemaakt met de privacy. Dat blijkt uit de Jaarrapportage Privacy 2019.
De meeste fouten werden gemaakt door gegevens naar de verkeerde ontvanger te sturen. Dat gebeurde negentien keer. Verder werden zeven keer persoonsgegevens per ongeluk gepubliceerd. Viermaal werd privacygevoelige informatie van een andere klant getoond.
Daarnaast valt het de gemeente op dat relatief veel Almeerders vorig jaar een zogenoemd privacyverzoek indienden. Dat zijn bijvoorbeeld klachten, schadevergoedingen of vragen met betrekking tot persoonsgegevens. Het is niet duidelijk waarom dit aantal in andere ongeveer even grote gemeenten lager ligt.
Alles bij de bron; OmroepFlevoland
Zeker 83 gemeenten voldoen niet aan de privacywet die sinds twee jaar van kracht is, meldt Argos na onderzoek onder 110 gemeenten. Verder blijkt uit een enquête van het onderzoeksprogramma dat de interne toezichthouder in zeker 26 gevallen ook een andere rol binnen de gemeente heeft.
Uit het onderzoek, dat in het najaar is uitgevoerd, blijkt dat 66 gemeenten niet aan één of twee meetbare eisen van de privacywet Algemene Verordening Gegevensbescherming (AVG) voldoen. Bij zeventien gemeenten ging het om meer dan twee eisen, of om een interne toezichthouder met dubieuze dubbele pet.
Van de 110 gemeenten die voor het onderzoek bruikbare antwoorden aanleverden, voldeden 27 gemeenten wel aan de gevraagde eisen. De onderzoekers stuurden in totaal naar alle 355 gemeenten een vragenlijst.
Alles bij de bron; NU
Wijziging van de Handelsregisterwet 2007, de Wet ter voorkoming van witwassen en financieren van terrorisme en enkele andere wetten in verband met de registratie van uiteindelijk belanghebbenden van vennootschappen en andere juridische entiteiten ter implementatie van de gewijzigde vierde anti-witwasrichtlijn ...
Alles bij de bron; RijksOverheid
De Autoriteit Persoonsgegevens heeft een negatief advies uitgebracht over het eerste wetsvoorstel van het kabinet om telecomgegevens in de strijd tegen het coronavirus te delen en gebruiken. De noodzaak voor de maatregel is nog onvoldoende onderbouwd, de gekozen systematiek nog niet evenwichtig en belangrijke waarborgen ontbreken in de wettekst. Het gaat dan bijvoorbeeld over de aard van de informatie en maximale bewaartermijn.
Volgens minister De Jonge van Volksgezondheid kan geaggregeerde data afkomstig van mobiele telecomnetwerken helpen bij het vroegtijdig signaleren van nieuwe oplevingen van het virus. Het RIVM zal deze data straks gaan gebruiken.
Het wetsvoorstel is alleen gericht op het verstrekken van tellingen van het aantal personen, afgeleid uit de aantallen in de gemeente aanwezige mobiele telefoons, dat per uur in een gemeente aanwezig is. Met de gegevens moet het RIVM inzicht krijgen in hoe de mobiliteit zich de dag ervoor heeft ontwikkeld. "Zo kan het RIVM sneller inspelen op actuele ontwikkelingen dan nu het geval is", aldus de minister.
De Autoriteit Persoonsgegevens heeft half mei een eerste versie van het wetsvoorstel beoordeeld en daarop een advies met aanbevelingen aan het kabinet uitgebracht. De AP keek verder of de wetswijziging voldoet aan de kaders over privacy die binnen de Europese Unie zijn afgesproken.
Het eindoordeel is negatief. Zo is het voorstel onvoldoende duidelijk waar het RIVM de telecomgegevens precies voor nodig heeft en om welke specifieke gegevens het gaat. Verder hekelt de AP de systematiek van het voorstel. Zodra het in werking treedt kan de minister van Volksgezondheid telecomproviders opdragen informatie op basis van verkeers- en locatiegegevens aan het RIVM te verstrekken. "Dat is niet evenwichtig en komt ook niet tegemoet aan de eisen die het Europees recht op dit punt stelt. Het geven van aanwijzingen wordt immers aan geen enkele toetsing door een rechterlijke instantie of een onafhankelijke bestuurlijke entiteit onderworpen, niet voorafgaand aan het geven van de aanwijzing noch gedurende de periode dat deze aanwijzing geldt", aldus de toezichthouder.
Tevens is niet nauwkeurig beschreven hoe lang de gegevens worden bewaard, om welke gebiedsgrootte het gaat en de interval van verzamelde gegevens. Daarnaast is de kans op herleidbaarheid van de gegevens tot (groepen van) individuele personen aanwezig. De AP vindt dan ook dat de gegevens niet als anonieme gegevens kunnen worden beschouwd.
Alles bij de bron; Security
Elke OV-chipkaart moet na vijf jaar worden vervangen wat helpt bij het bestrijden van fraude, zo heeft staatssecretaris Van Veldhoven van Infrastructuur laten weten. De staatssecretaris reageerde op vragen van de VVD dat veel mensen weinig gebruik maken van hun OV-chipkaart en na vijf jaar toch worden geconfronteerd met kosten voor een nieuwe kaart.
De VVD-fractie had dan ook gevraagd om een langere levensduur van de OV-chipkaart te onderzoeken. Ook vroegen de fractieleden wat de risico's voor de OV-chipkaart zijn en of de kaarten vaak "gehackt" worden. Volgens Van Veldhoven is de technologie achter het OV-chipkaartsysteem verouderd en wordt daardoor ook kwetsbaarder voor fraude. "Translink maakt in haar jaarverslag melding van eventuele hackgevallen en in 2019 zijn er enkele incidenten geweest", merkt ze op.
Volgens Translink, de uitgever van de OV-chipkaart en verantwoordelijk voor het functioneren van het OV-chipkaartsysteem, zijn er geen aanwijzingen dat grootschalig misbruik van de OV-chipkaart ophanden is. Het aantal gesignaleerde fraudegevallen beperkte zich vorig jaar tot enkele OV-chipkaarten (pdf).
Alles bij de bron; Security
In een brief aan het kabinet roept de maatschappelijke coalitie die in februari een rechtszaak won tegen het Systeem Risico Indicatie (SyRI) de regering op de invoering van een grotere datasurveillancewet (WGS) op te delen en uit te stellen.
Het kabinet slaat met het WGS-voorstel de hevige kritiek van NGO’s en de negatieve adviezen van de Raad van State en de Autoriteit Persoonsgegevens in de wind. Daarbovenop werd het voorstel op het laatste moment, nadat was geadviseerd, uitgebreid met vier publiek-private SyRI’s, samenwerkingsverbanden die nog niet in de eerste versie van het wetsvoorstel stonden. Dit terwijl de Raad van State juist stelde dat elk samenwerkingsverband een afzonderlijke wet vereist.
Daarmee doet het kabinet het tegenovergestelde van wat de Raad van State adviseert en wordt de wet zo complex dat een grondige parlementaire behandeling van alle onderdelen vrijwel onmogelijk wordt. Door de wet zo fors uit te breiden nadat de Raad van State en de Autoriteit Persoonsgegevens er al over adviseerden, zijn deze organen bovendien buitenspel gezet in hun wettelijke adviesrol, zo stelt de SyRI-coalitie in haar brief.
De WGS biedt vergeleken met SyRI nog ruimere mogelijkheden om grootschalige datasurveillance toe te passen op burgers, teneinde schaduwadministraties aan te leggen voor uiteenlopende doelen. In de SyRI-wetgeving was dit beperkt tot overheidsdatabases, onder de WGS kunnen alle data die bij publieke en private partijen liggen opgeslagen worden gekoppeld en geanalyseerd.
Tijmen Wisman, voorzitter van het Platform Burgerrechten: “Werkelijk alle her en der opgeslagen persoonsgegevens worden met dit wetsvoorstel fair game voor massasurveillance. Deze data kan voortaan zonder verdachtmaking of concrete aanleiding tegen burgers worden gebruikt in heimelijke analyses met ingrijpende gevolgen. In onze ogen vormt dit voorstel een gevaar voor het functioneren van de rechtsstaat.”
Vooralsnog lijkt vanuit de kabinetspartijen te worden ingezet op haast bij de invoering van het voorstel in de Kamer. Nog voordat het bij de Kamergriffier binnenkwam, verzocht het CDA al om een zo spoedig mogelijke behandeling op 15 mei; dit verzoek haalde het op één stem na niet. De eerste behandeling van het wetsvoorstel staat nu gepland op 27 mei.
Deze gang van zaken is onacceptabel, licht Wisman toe: “Niet alleen blijkt het kabinet zich niets gelegen te laten liggen aan de oorzaken van het SyRI-debacle, de publiek-private opvolger moet ook nog eens in hoog tempo door het parlement worden geloodst. De uitspraak van de rechtbank over SyRI was een streep in het zand. Daar gaat men nu met een bulldozer overheen.” Lees hier de brief (PDF)die de maatschappelijke coalitie tegen SyRI aan het kabinet stuurde.
Alles bij de bron; PlatformBurgerrechten