De Autoriteit Persoonsgegevens wil dat het ministerie van Volksgezondheid de privacyproblemen met de CoronaMelder-app zo snel mogelijk oplost. Als dat niet lukt, moet de app er tijdelijk uit.
Door een fout in software van Google zijn gegevens van corona-apps toegankelijk voor de voorgeïnstalleerde apps op Android-toestellen. Beveiligingsonderzoekers waarschuwden Google hier op 19 februari al voor, maar de bug is nog steeds aanwezig. Het gaat om een fout in het zogeheten Google-Apple Exposure Notification (GAEN) framework, dat de corona-apps van overheden, zoals de Nederlandse CoronaMelder, mogelijk maakt.
"Het gaat hier om gezondheidsgegevens, zeer gevoelige informatie van heel veel mensen," zegt voorzitter Aleid Wolfsen van de Autoriteit Persoonsgegevens (AP). "Het ministerie van VWS is er verantwoordelijk voor dat gebruik van de app helemaal veilig is. Het ministerie heeft ervoor gekozen de software van Google te gebruiken."
In het advies dat de AP in augustus 2020 uitbracht aan het ministerie van VWS over de corona-app was het Google Apple Exposure Notification framework al de grootste zorg. Wolfsen: "Helaas lijken onze zorgen nu terecht te zijn geweest."
De CoronaMelder is in totaal 4,8 miljoen keer gedownload. De app houdt met bluetooth anoniem in de gaten of gebruikers langer dan een kwartier dicht bij andere mensen zijn geweest. Als zij vervolgens positief worden getest, kunnen ze andere gebruikers van de app waarschuwen.
Onlangs bleek uit een onderzoek dat meer dan 144.000 mensen zo'n melding van de app hebben gekregen.
Alles bij de bron; RTL
D66 heeft kamervragen gesteld over de samenwerking met het omstreden databedrijf Palantir bij Fieldlabs. Kamerlid Van Ginneken wil onder andere van de minister weten tot welke data Palantir toegang had in de samenwerking met Fieldlab Zuid6.
In een brief aan de demissionair minister van Justitie en Veiligheid Ferd Grapperhaus vraagt Van Ginneken opheldering over met wie Palantir een contract heeft getekend voor de opdracht. De D66-er wil daarnaast weten of er een Data Protection Impact Analyse is uitgevoerd en tot welke informatie het bedrijf toegang heeft.
Ook wil Van Ginneken weten of de minister op de hoogte was van de reputatie van Palantir voordat het contract werd gesloten. Zo wordt de software van het bedrijf ingezet in de Verenigde Staten door de immigratiedienst om ongedocumenteerden op te sporen. Ook heeft Palantir banden met Cambridge Analytica.
De kamervragen van D66 zijn een reactie op een blog en een video die Palantir in februari publiceerde. In de video zegt het bedrijf gebruik te hebben gemaakt van "publiek toegankelijke bronnen, zoals demografische en economische informatie, gegevens over toerisme en verkeer en covid-19 data van het RIVM". Volgens het bedrijf worden de datasets gebruikt om realtime informatie op te vragen over bijvoorbeeld een uitbraak van het virus.
Alles bij de bron; Tweakers
De ministerraad is vandaag akkoord gegaan met het wetsvoorstel dat digitale gegevensuitwisseling in de zorg verplicht. Zorgverleners zullen straks medische gegevens verplicht elektronisch moeten uitwisselen.
Het is de bedoeling dat zorgverleners, ook al werken ze met verschillende systemen, gegevens over en weer kunnen uitwisselen. "De systemen die huisartsen en ziekenhuizen gebruiken moeten beter met elkaar gaan communiceren - vergelijkbaar met een wereldstekker die verbinding mogelijk maakt met andersoortige stopcontacten", zo laat het ministerie van Volksgezondheid weten.
Er zal worden begonnen met vier gegevensuitwisselingen, namelijk de Basisgegevensset Zorg, Beelduitwisseling, Digitaal Receptenverkeer en Verpleegkundige Overdracht. Tijdens deze processen worden gegevens uitgewisseld zoals informatie over allergieën of bloeddruk, MRI- of hartscans en medicatiegegevens.
Het wetsvoorstel gaat nu naar de Tweede Kamer.
Alles bij de bron; Security
De slagkracht van de geheime diensten AIVD en MIVD staat onder druk, stelt de Algemene Rekenkamer in een donderdag verschenen onderzoeksrapport. Bij de voorbereiding van de nieuwe Wet op de inlichtingen- en veiligheidsdiensten, in de volksmond bekend als de sleepwet, is niet goed gekeken hoeveel tijd en geld de uitvoering van deze wet kost. De diensten hebben daardoor minder tijd voor hun hoofdtaak: onderzoek doen naar de nationale veiligheid.
De bedoeling van de wet was juist de diensten efficiënter te maken en dat is volgens de Rekenkamer nog niet gelukt.
Zo is een belangrijk onderdeel van de nieuwe wet – de kabelinterceptie waarmee de diensten zeer grote hoeveelheden data kunnen onderscheppen – nog nooit gebruikt. Deze sleepfunctie kreeg bij invoering veel kritiek. De diensten kunnen dan een tap zetten op een internetkabel en zo alle dataverkeer binnenslepen. In dat ‘sleepnet’ zit ook enorm veel informatie van in principe onschuldige burgers. Dat kan een inbreuk op hun grondrechten vormen.
De toezichthouder CTIVD constateerde een halfjaar geleden nog dat de diensten bij het opvragen van grote bulkdatasets zich niet goed aan de nieuwe wet houden. Dan gaat het bijvoorbeeld om passagiersgegevens van vliegtuigmaatschappijen of gegevens over belverkeer van telecomproviders. Deze gegevens moeten na analyse anderhalf jaar later vernietigd worden, maar de diensten halen uit tijdgebrek vaak allerlei kunstgrepen uit om de bewaartermijn te verlengen. Dat is onrechtmatig. Gegevens uit kabelinterceptie mogen drie jaar bewaard blijven, maar dat is dus nog nooit toegepast.
Alles bij de bron; Trouw
De beveiliging van de NL-Alert-app was vorig jaar niet op orde. Dat concluderen de Autoriteit Persoonsgegevens (AP) en de Auditdienst Rijk na onderzoek naar een kwetsbaarheid in de app. Ook had het ministerie van Justitie en Veiligheid het gevonden lek eerder moeten melden, vindt de AP.
Eind april werd een mogelijk datalek in de app gevonden, waardoor locatiegegevens van gebruikers onterecht bij een externe partij waren aangekomen. Dat lek werd op 30 april gemeld bij de AP, toen minister Grapperhaus van Justitie en Veiligheid het lek ook met de Tweede Kamer deelde...
...Hoewel de Landsadvocaat na onderzoek concludeert dat er geen sprake was van een meldplichtig datalek, moest het mogelijke lek volgens de AP wel eerder gemeld worden dan nu gebeurd is. Die melding had al moeten komen bij de eerste signalen van een mogelijke inbreuk, "ongeacht of in dat stadium voldoende informatie voorhanden was over de aard en omvang van de mogelijke inbreuk".
Grapperhaus zegt in zijn brief dat hij dit als belangrijk leerpunt ziet dat nu in de werkwijze verankerd is.
Alles bij de bron; AGConnect
Nederlanders die zich hebben laten vaccineren en gebruik willen maken van het coronapaspoort hoeven hun gegevens niet in de centrale vaccinatiedatabase van het RIVM te laten registreren. Het is echter nog onbekend welke opties deze mensen hebben, aangezien het ministerie van Volksgezondheid hier nog aan werkt.
Gegevens van Nederlanders die zich hebben laten vaccineren en hiervoor toestemming geven zullen minimaal twintig jaar door het RIVM in de centrale vaccinatiedatabase worden bewaard. Van mensen die geen toestemming geven worden ook gegevens vastgelegd, maar zal het uitsluitend om geanonimiseerde data gaan, zo liet de minister eerder weten. Het gaat dan om vaccinatiegegevens (vaccin, batchnummer, prikdatum, eerste of tweede prik), herkomst (Nederland, BES-eilanden en CAS-landen) en leeftijdscohort (drie cohorten).
Gevaccineerden die hun gegevens in het COVID-vaccinatie Informatie- en Monitoringsysteem (CIMS) laten registreren kunnen straks via de CoronaCheck-app een vaccinatiestatus genereren die gebruikt kan worden bij internationaal reizen.
Voor mensen die zijn gevaccineerd maar geen toestemming hebben gegeven om hun gegevens in de centrale database te registreren of voor een andere reden niet geregistreerd staan in een van de bronsystemen, worden ook opties uitgewerkt. De Jonge zal de Tweede Kamer hier op een later moment over infomeren.
Alles bij de bron; Security
Hoe kan een overheidsafdeling jarenlang burgers in de gaten houden zonder dat iemand ingrijpt? NRC onthulde dit weekend dat de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) gevoelige gegevens van burgers verzamelt, verspreidt en voor onbepaalde tijd opslaat. Daarbij volgen analisten met nepaccounts op sociale media honderden activisten, predikers, politici. Volgens deskundigen gaat de coördinator te ver. Ook intern waarschuwden juristen.
Maar wie had moeten ingrijpen? Het kostte afgelopen weken nogal wat mailtjes en telefoontjes om daarachter te komen. Niet de minister. De NCTV is gewoon een afdeling op het ministerie en niet, zoals veel mensen denken, een geheime dienst. De minister van Justitie en Veiligheid is direct verantwoordelijk voor alles wat de coördinator doet. Maar opeenvolgende ministers blijken geen idee te hebben van hoe de coördinator precies aan informatie over de nationale veiligheid komt.
De Inspectie Justitie en Veiligheid onderzoekt als toezichthouder „de kwaliteit van de taakuitvoering door organisaties werkzaam op het terrein van justitie en veiligheid”. Maar de inspectie verwijst door naar de Autoriteit Persoonsgegevens (AP). „Die gaat over het verwerken van persoonsgegevens.”
Ook de antwoorden van de Autoriteit Persoonsgegevens zijn niet hoopgevend. De toezichthouder heeft nog nooit onderzocht hoe de NCTV aan informatie komt. Op vragen over wat de coördinator mag als het gaat om de verzameling en opslag van persoonsgegevens, verwijst de Autoriteit consequent naar de wet die voorschrijft wat inlichtingendiensten mogen, de Wet op de inlichtingen- en veiligheidsdiensten (Wiv). Alleen: de coördinator valt daar niet onder. De NCTV valt gewoon onder de wet Algemene verordening gegevensbescherming (AVG) – dat betekent dat een NCTV-medewerker niet veel meer mag dan een willekeurige gemeenteambtenaar.
Daar komt bij dat Autoriteit Persoonsgegevens geen toegang heeft tot staatsgeheime informatie. De database waarin de coördinator analyses en berichten bewaart – met daarin gegevens over iemands woonplaats, activiteiten, gedachtengoed, aantal kinderen en religie – bevat ook geheime informatie.
Alles bij de bron; NRC [Thnx-2-Niek]
Het onderzoek van NRC naar de Nationaal Coördinator Terrorismebestrijding en Veiligheid (Onmin en uitglijders bij de club die het land moet beschermen, 10/4) bevestigt waar ik als advocaat in terrorismezaken al jaren tegenaan loop: de NCTV is een rechtsstatelijke black box die zich door zijn ongedefinieerde positie boven de wet verheven voelt. Maar net hoe het uitkomt profileert de NCTV zich als ‘slechts’ een groepje ambtenaren, een doorgeefluik of juist een deskundig analyse-orgaan.
Wordt er een zaak aangespannen over onjuiste informatie in het dreigingsbeeld? Dan is het slechts een ambtenarenstuk voor de minister om de Kamer te informeren, en dus immuun voor rechterlijke toetsing. Wordt er informatie opgevraagd op grond van de Wet openbaarheid van bestuur (Wob), zoals gebruikelijk bij ministeries? Dan is de NCTV slechts een informatie-ontvanger en hoeven stukken dus niet openbaar te worden gemaakt. Maar neemt een gemeente een nadelige beslissing op grond van informatie van de NCTV? Dan is het opeens een zwaarwegend advies waar een gemeente moeilijk omheen kan.
En is er echt geen ontkomen meer aan? Dan is er altijd nog het argument van staatsveiligheid om informatie geheim te houden en effectieve tegenspraak van de burger of diens advocaat te beletten.
De rechter krijgt dan ook nauwelijks grip op deze organisatie. En dat betreft dan nog alleen maar de zaken waarin het in ieder geval duidelijk is dát de NCTV een rol speelde. In verreweg de meeste gevallen heeft de burger niet eens door dat de NCTV betrokken is. Het is dan ook te makkelijk van de NCTV om te zeggen dat in rechtszaken zou zijn gebleken dat de werkwijze niet in strijd met de wet is: een effectieve rechterlijke toetsing – met effectieve tegenspraak – wordt immers vakkundig omzeild.
Geheimzinnig, in het belang van de staatsveiligheid, met grote impact op burgers: het werk van de NCTV heeft veel weg van dat van de inlichtingendiensten. Ik roep de Kamer en het nieuwe kabinet daarom op de NCTV mee te nemen in de lopende wetgevingsplannen voor wijziging van de Wet op de inlichtingen- en veiligheidsdiensten (WIV), en het toezicht op de NCTV bij de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD) te leggen. Dat is een onafhankelijke commissie die precies weet hoe analisten horen te werken en zowel op eigen initiatief als na een klacht het noodzakelijke onderzoek kan doen naar het optreden van de NCTV.
Alles bij de bron; NRC
De medische gegevens van 6,5 miljoen Nederlanders die nog geen keuze hebben gemaakt of ze hun informatie via het Landelijk Schakelpunt (LSP) willen delen zijn via de Corona Opt-in toch toegankelijk voor zorgpersoneel. De Corona Opt-in is een gedoogconstructie die nog altijd zonder juridische basis is.
"Wij kregen signalen uit de praktijk dat er iets fout ging met deze maatregel. Uit een klein onderzoek naar de uitvoering van de Corona opt-in werd duidelijk dat niet één van de ondervraagden op de hoogte was van deze maatregel", liet burgerrechtenbeweging Bits of Freedom afgelopen december weten. "Ook had ruim de helft geen keuze gemaakt om wel of niet toestemming te verlenen voor het delen van hun medisch dossier."
De Partij voor de Dieren vroeg demissionair minister Van Ark voor Medische Zorg om opheldering waarom de Corona Opt-in nog altijd van kracht is. "Kunt u onderbouwen waarom op dit moment geen einde gemaakt kan worden aan deze onwettige gedoogconstructie en waarom terug naar de wettelijke procedure zoals die bestond vóór het instellen van de Corona Opt-in niet mogelijk zou zijn?", vroeg Kamerlid Van Esch.
Volgens Van Ark is de Corona Opt-in nog steeds nodig. "De druk op de zorg is onverminderd groot, vanwege de aanhoudend grote stroom (acute) Covid-patiënten en ook omdat tegelijkertijd de reguliere acute en geplande zorg zoveel mogelijk doorgang moet vinden. Dit maakt dat snelle triage en behandeling op de HAP en SEH nog steeds van het grootste belang is", zo stelt de minister.
De minister wil de gedoogmaatregel omzetten in een tijdelijke algemene maatregel van bestuur (AMvB). "De desbetreffende AMvB is ter advisering voorgelegd aan de Autoriteit Persoonsgegevens (AP). Momenteel beraad ik mij op de verwerking van het recente advies van de AP. Ik kom hier in een aparte brief aan de Kamer op terug", laat ze weten. Oorspronkelijk was het plan om de AMvB deze winter naar de Tweede Kamer te sturen.
Alles bij de bron; Security
Half december zei de minister van Justitie en Veiligheid "het effect van encryptie op de opsporing nader te onderzoeken." Dat is een belangrijke stap, want tot nu toe kon de minister niet goed uitleggen wat "het probleem van encryptie" precies is. En politie en Openbaar Ministerie weten dat net zo min.
De afgelopen jaren hebben we hen al meerdere keren gevraagd documenten openbaar te maken "die iets zeggen over het aantreffen van versleutelde informatie in strafrechtelijke onderzoeken." Maar wat blijkt elke keer weer: die documenten zijn er helemaal niet. En je zou verwachten: als iets écht een probleem is, dan zijn er al tal van rapporten, evaluaties en beleidsnotities over geschreven.
En de kans dat je met een gebrekkige probleemstelling maatregelen voorstelt die ook echt een probleem oplossen, is bijzonder klein. Tegelijkertijd loop je wel een enorm risico dat je talloze ongewenste en negatieve bijwerkingen introduceert. Als met name de encryptie van informatie op harde schijven een probleem is, dan lost een wet die de encryptie verzwakt bij communicatiediensten precies niets op. Maar door het verzwakken van de beveiliging, brengt zo'n maatregel wel de veiligheid van elke gebruiker in gevaar. Een slecht omschreven probleemstelling is dus een recept voor slechte wetgeving.
Daarnaast is er nog iets anders van belang: de context. Je kunt eigenlijk niet veel zeggen over "het effect op de opsporing" als je niet ook de ontwikkelingen erom heen meeneemt. We hopen dat de onderzoekers van het ministerie met een brede blik die vraag aanvliegen. Wat ons betreft kijken de onderzoekers daarbij in ieder geval ook naar de volgende vijf punten;
Alles bij de bron; Bits-of-Freedom