In 2006 besloot de overheid het sofinummer, bedoeld voor sociale verzekeringen en de belastingdienst, op te waarderen tot een burgerservicenummer. Dat BSN zou je voortaan ‘overheidsbreed’ kunnen gebruiken, ‘met het oog op een meer klantgerichte, geïntegreerde dienstverlening’. Dus tegenwoordig vraagt Jan en alleman je om je BSN, en is dat het snoer geworden waarmee je persoonlijke informatie overal aan elkaar wordt geregen.
Het lastige van die gekoppelde persoonsinformatie is dat die zich ongebreideld voortplant en soms losgekoppeld doorleeft, als een afgehouwen staart waaraan een nieuwe salamander groeit. Dat merken de slachtoffers van de toeslagenaffaire keer op keer: het label ‘fraudeur’ dat de Belastingdienst ooit ten onrechte aan hun BSN heeft gekoppeld, heeft zich over tal van datanetwerken verspreid en leeft daar ongebreideld verder. Steeds stuiten ze op nieuwe instanties bij wie ze als fraudeur te boek staan. Dat label heeft zich overal ingevreten.
Vandaar dat een aantal toeslagenslachtoffers nu een nieuw BSN eist. Ze willen met een schone lei kunnen beginnen, en eindelijk van die administratieve laster verlost zijn. Vandaar dat ze in een rechtszaak tegen de staat wijziging van hun BSN eisen.
Inmiddels kunnen circa 5 miljoen Nederlanders zich in deze zaak als belanghebbende voegen. Hun BSN is gecompromitteerd, doordat de GGD inzake corona met brakke software werkte om testafspraken en de resultaten van bron- en contactonderzoek te documenteren. RTL Nieuws ontdekte dat er grootschalig is gehandeld in miljoenen adresgegevens, telefoonnummers en BSN’s. Zeker in die combinatie zijn dat hoogst aantrekkelijke gegevens voor criminelen: het maakt identiteitsfraude – toch al flink in opkomst – een stuk eenvoudiger.
De schandalige nonchalance van de GGD werd verergerd door hun bewaarzucht en eenmaal gestolen en in schurkenhanden is het goud waard.
Op Twitter legde Martijn Leisink het goed uit. ‘Het echte schandaal is dat je je eigen identiteit moet beschermen door een nummer geheim te houden dat je tegelijkertijd volgens de wet te pas en te onpas moet afgeven.’ Een oplossing had hij ook: via je DigID zou iedereen beperkt geldige BSN’s kunnen aanmaken, gebonden aan een instantie, zodat het elders niet werkt.
Alles bij de bron; Sargasso
We worden een web ingezogen dat we zelf hebben geweven en het is de vraag of we ooit nog loskomen, want dit web is een digitaal ding en niemand weet of er wel een webmaster is. Ik bedoel dat we als samenleving welhaast ongemerkt veranderen in een dataverzameling en dat niet duidelijk is wie de eigenaar is. De toeslagenaffaire, die voortkwam uit data-analyse via algoritmes, was een waarschuwing van wat ons te wachten kan staan. Pieter Omtzigt meldt dat niet alleen de afdeling toeslagen, maar de hele Belastingdienst werkte met een geautomatiseerd ‘fraudestempel’. Wellicht is de affaire nog groter dan we weten.
Een ander verontrustend voorbeeld is het datalek bij de GGD, dat deze week aan het licht kwam. De nonchalance waarmee gevoelige persoonlijke informatie binnen bereik kwam van duizenden, al dan niet tijdelijke medewerkers, verraadt hoe weinig wordt beseft dat persoonsgegevens goud zijn: telefoonnummers, burgerservicenummers en mailadressen kwamen bij criminelen terecht die ze voor veel geld aanbieden op internet...
...Nu hebben criminelen per definitie slechte bedoelingen, dat maakt hen gevaarlijk. Maar ze bepalen niet het gehele reilen en zeilen van de maatschappij. Dat geldt wel voor de overheidsorganen, instellingen en bedrijven die ons hele hebben en houden op legale wijze in bestanden proppen, min of meer te goeder trouw. Soms vinken we daarvoor een hokje aan, veel andere keus hebben we niet. Maar vaak weten we van niks en zijn het allerlei instanties die onderling hun gegevens – dat wil zeggen: onze gegevens – uitwisselen.
In deze krant werd de afgelopen weken het nodige geschreven over het Inlichtingenbureau, een stichting die in het leven werd geroepen om ‘informatieproducten’ te leveren aan gemeenten en het ministerie van sociale zaken en werkgelegenheid.
Bestuurskundige Gerrit Dijkstra hekelde het gebrek aan democratische controle – handig, zo’n stichting – en de onmogelijkheid aan te kloppen bij de Nationale Ombudsman. En Aleid Wolfsen, voorzitter van de Autoriteit Persoonsgegevens, wil weten of het Inlichtingenbureau zich wel aan de wet houdt. Overheidsinstanties spelen ‘balletje-balletje’ voor burgers, zei hij.
Het web is groter, er zijn vele inlichtingenbureaus onder andere namen. Mij bekruipt het gevoel dat we veel vaster zitten dan we weten.
Alles bij de bron; Trouw
Hof 's-Hertogenbosch oordeelt in hoger beroep dat de Belasting zware motorrijtuigen niet in strijd met het EU-recht is geheven, omdat van inmenging in het privéleven van X bv geen sprake is. Haar vrachtauto wordt namelijk uitsluitend gebruikt voor goederenvervoer over de weg...
... Hof 's-Hertogenbosch (V-N 2019/52.1.4) oordeelt dat de BZM niet in strijd met het EU-recht is geheven, omdat van inmenging in het privéleven van X bv geen sprake is. X bv is houder van de vrachtauto die uitsluitend wordt gebruikt voor goederenvervoer over de weg. Bij de BZM-heffing vindt daarom geen inmenging in haar privéleven plaats.
Alles bij de bron; TaxLive
Langs de Vlaamse wegen verschenen de afgelopen jaren steeds meer camera’s voor trajectcontroles. Wie over het traject gemiddeld sneller rijdt dan toegelaten is, wordt geflitst en krijgt via een systeem van automatische nummerplaatherkenning een boete.
Dat is althans de bedoeling, want van de 298 trajectcontroles die Vlaanderen de laatste jaren heeft geplaatst, zijn er vooralsnog maar 86 operationeel. Dat heeft vooral te maken met de lang aanslepende problemen met de beloofde nationale databank.
Maar nu is het federale systeem dus klaar en kunnen de gegevens van overtreders nu doorgestuurd worden voor verwerking en kunnen de regionaal bevoegde Gewestelijke Verwerkingscentra de verkeersovertredingen automatisch verwerken en omzetten in processen-verbaal.
Alles bij de bron; VRTNieuws
De AVG kreeg cookies eronder, maar geeft nu voeding aan technieken die de privacy nog meer bedreigen. Maak kennis met walled gardens, ommuurde tuinen.
‘Wij verzamelen zoveel mogelijk intieme gegevens van u, en verkopen de resulterende inzichten aan de hoogste bieder. Stemt u toe?’ Waarschijnlijk niet. Toch accordeerden 400 miljoen Europese Facebook-leden een gebruiksovereenkomst die ongeveer hier op neerkomt. Daarmee ‘omzeilt’ het sociale netwerk volgens privacyactivisten de Algemene Verordening Gegevensbescherming (AVG).
Desalniettemin oordeelde het Weense Oberlandesgericht in een rechtszaak van privacyactivist Max Schrems dat Facebook met de aangepaste overeenkomst aan de AVG voldoet. Verwerken van persoonlijke data zou bovendien cruciaal zijn voor de ‘persoonlijke ervaring’ die leden wordt beloofd, waaronder gericht adverteren. Wie ermee instemt, kan volgens dit gerecht achteraf geen bezwaar maken....
....Dagelijks slokken Facebook en Google terabytes aan persoonsdata op. In een database worden vervolgens patronen gelegd, identity graphs die voorspellen of iemand in de markt is voor een nieuwe telefoon, maar soms ook iemands financiële situatie of politieke voorkeur blootleggen. Adverteerders zijn er dol op. Om hun positie verder te verstevigen, trokken Facebook en Google een muur op rond hun gebruikers. Binnen die walled gardens hebben ze het alleenrecht op het volgen van hun leden en exploiteren van de inzichten die dat oplevert.
Miljoenen andere websites op het ‘open’ internet kunnen niet wat Facebook en Google kunnen, al helemaal niet op zo’n grote schaal. Om hun adverteerders toch gericht te laten adverteren, ontstond aan de achterzijde van het web een ecosysteem van duizenden technologisch zeer geavanceerde ‘ad-tech’-firma’s. Samen maken zij het mogelijk advertentieruimte realtime te veilen aan de hoogst bieder. Vanwege de personalisatie kan elke advertentieruimte voor elke nieuwe bezoeker opnieuw worden geveild. Om internetters en hun interesses tijdens deze automatisch gestuurde veiling te identificeren, gebruiken de aangesloten sites en ad-tech-specialisten tracking cookies....
....Eén van die ad-tech’s is Infutor. Een Amerikaans bedrijf dat samenwerkt met clouddataplatform Snowflake. Een recente beursgang waardeerde Snowflake op 68 miljard dollar. Net als Google, analyseert Snowflake terabytes aan persoonsdata.
In de identity graphs ‘verrijkt’ Infutor de klantprofielen van opdrachtgevers met zoveel mogelijk extra data. „Mensen gaan schuil achter een groot aantal digitale identiteiten”, vertelt marketingdirecteur David Dague. „Ze communiceren met verschillende emailadressen en socialmediaprofielen en zitten op allerlei apparaten. Dat maakt het lastig om ze volledig in beeld te krijgen en dus ook om met ze te communiceren. Onze technologie koppelt al je online identiteiten aan één uniek klantprofiel.” Om die profielen verder te verrijken, verricht Infutor dagelijks 100 miljoen ‘data transacties’ met datahandelaren als Acxiom. Dit bedrijf koopt al sinds de jaren zestig persoonsdata op. Van basisadministraties en telefoonboeken tot aankoopdata van supermarkten. Het gaat hier dus ook om offline data, zoals kentekenplaten en serienummers van wasmachines....
....Maar hoe ‘target’ je deze interessante consumenten online zonder identificerende cookies op hun computer of telefoon? Daarvoor kloppen adverteerders aan bij LiveRamp. Deze datahandelaar beheert een database met ruim 250 miljoen consumentprofielen. Om die aan de juiste internetter te koppelen, werkt de firma nauw samen met duizenden drukbezochte websites en veelgebruikte apps.
Ook die zoeken verwoed naar alternatieven voor de met regelgeving bedreigde advertentieveilingen. In plaats van cookies gebruikt LiveRamp de emailadressen die consumenten afstaan aan deze sites. Steeds meer websites vragen bezoekers om hun emailadres en toestemming voor datagebruik in ruil voor toegang tot premium content en nieuwsbrieven.
„Bij LiveRamp versleutelen wij emailadressen met encryptie”, vertelt Tim Geenen van LiveRamp. „Zo ontstaat een combinatie van cijfers en letters die niet meer tot de consument in kwestie kan worden herleid. Omdat het klikgedrag van de consument is opgeslagen onder diezelfde encryptie, kunnen we consument en advertentie koppelen, zonder dat er herleidbare persoonsgegevens aan te pas komen. Wij houden als het ware de sleutel tussen deze partijen.”
Weliswaar verplicht de AVG partijen als LiveRamp en Infutor tot optimale transparantie over afkomst en gebruik van hun data. De controle ontbreekt echter en mogelijk soebatten juristen nog jaren over de interpretatie van de nieuwe wet. Het op persoonsdata draaiende ad-tech-ecosysteem draait ondertussen op volle toeren door.
Alles bij de bron; NRC [lang-artikel]
De Autoriteit Persoonsgegevens (AP) wil dat het Inlichtingenbureau (IB) binnen een maand opheldering geeft over hoe het met gegevens van burgers omgaat. De gegevensbeschermingsautoriteit vreest dat burgers mogelijk opnieuw slachtoffer kunnen worden van onrechtmatig overheidshandelen, net als in de toeslagenaffaire.
Het IB, die gemeenten onder meer helpt met fraudeopsporing bij uitkeringen, moet toelichten hoe het met gegevens van burgers omgaat. Het gaat om welke gegevens er worden verwerkt, op welke manier dat gebeurt en welke wettelijke grondslag daarvoor bestaat.
De AP heeft grote vraagtekens of het IB voor de verwerking van al die data wel altijd bevoegd is volgens de Algemene verordening gegevensbescherming (AVG). Ook twijfelt de autoriteit of er na het combineren van allerlei data nog wel te achterhalen valt waarom mensen op bepaalde lijstjes terecht komen.
"Het is een dataoceaan waar veel instanties gebruik van maken, maar waarvan niemand weet wat er nu precies gebeurt", zegt AP-voorzitter Aleid Wolfsen.
Alles bij de bron; NU
De menselijke maat is een goede maat. Hij wordt vaak vergeten. Mensen die hem hadden moeten bewaken zeggen dan: ‘De menselijke maat is uit het oog verloren.’ Ze beloven beterschap. Terwijl ze dat doen wordt de menselijke maat elders weer uit het oog verloren. Je blijft bezig......
.....De Toeslagenaffaire was een ongeluk met datakoppeling waar je op kon wachten. Rutte III mag erdoor gevallen zijn, met de nieuwe Wet Gegevensverwerking Samenwerkingsverbanden (WGS) die nu bij de Eerste Kamer ligt, wordt opnieuw een onbeheersbaar risicoprofileringssysteem opgetuigd. Nog omvattender dan het Systeem Risico Indicatie (SyRI) ditmaal, dat begin vorig jaar door de rechter verboden werd wegens ongeoorloofde inbreuk op het privéleven.
Bij de WGS worden niet alleen gegevens gekoppeld die de overheid van ons bezit, maar ook alles wat we delen met bijvoorbeeld bedrijven, banken en verzekeringsmaatschappijen. De gekoppelde servers van die partijen zullen als altijd draaien op discriminerende algoritmes en zich voeden zich met onbetrouwbare data. Met de WGS krijgt de overheid opnieuw een machtig en hoogst feilbaar instrument in handen om burgers te profileren op basis van geheime dataprofielen. De excuses voor de ene ramp zijn nog niet gemaakt of de volgende dienen zich alweer aan.
‘De regering is iets dat boven de mens hangt als de hemel boven de aarde. Wat van de regering komt kan goed of slecht zijn, maar altijd is het groot en oppermachtig’, schrijft Joseph Roth in Rebellie. Ergens oefent iemand alvast zachtjes op de woorden ‘menselijke maat’.
Alles bij de bron; NRC
Op allerlei manieren lijkt de overheid fraudeurs in de bijstand te willen opsporen. Via het Inlichtingenbureau, maar tot voor kort ook via een ‘fraudescorekaart’.
Tot halverwege vorig jaar maakten 158 gemeenten gebruik van een systeem genoemd de ‘fraudescorekaart’ om bij bijstandsaanvragen te kijken of er sprake was van een potentieel frauderisico. Een computerprogramma verzamelde gegevens en liet weten of er risico was.
Maar na vijftien jaar verdween het systeem in augustus plots. Volgens de Gemeente Haarlem en de ontwikkelaar van de fraudescorekaart was het eerdere rechterlijke verbod op het omstreden fraudedetectiesysteem SyRI (Systeem Risico Indicatie) de oorzaak.
SyRI koppelde allerlei burgergegevens aan elkaar om mogelijke fraudeurs aan te wijzen. De rechter oordeelde begin 2020 dat dit in strijd was met de mensenrechten, omdat de werking niet transparant was en veel te diep ingreep op privélevens van Nederlanders. De overheid haalde vervolgens ook de fraudescorekaart stilletjes uit alle gemeentesystemen.
Kenniscentrum Stimulansz ontwikkelde het systeem in 2004 samen met onder meer de gemeenten Utrecht, Oss, Ede en Hilversum. Elke Nederlandse gemeente kon tussen 2004 en 2020 gebruikmaken van de fraudescorekaart, maar niet elke gemeente deed dat. Tussen december 2019 en juni 2020 waren het er 158, waarvan 25 op maandelijkse basis.
Volgens Stimulansz was de fraudescorekaart oorspronkelijk niet primair bedoeld om potentiële fraudeurs boven water te krijgen. “We wilden controleren effectiever maken”, zegt teammanager innovatie en strategie Evelien Meester, “zodat niet elke aanvraag door dezelfde mengelmoes van strenge controles hoefde te gaan.”
Door bijstandsaanvragen vooraf te screenen op twintig variabelen, zoals postcode en beroep, zou de overgrote groep niet-fraudeurs makkelijker herkend kunnen worden, wat uren uitgebreid handmatig onderzoek kon besparen. Maar volgens Meester ging het systeem bij sommige gemeenten al snel een eigen leven leiden, omdat het stigmatiserend werd.
Problematisch, omdat het vervolgens vaak niet lukte om de vlaggetjes van ‘potentieel frauderisico’ uit gemeentedossiers van bijstandsaanvragers te wissen. “Ook niet nadat was gebleken dat ze niet fraudeerden.”
Alles bij de bron; Trouw
Vraag 2.
Hoe staat het met de ontwikkeling van het registratiesysteem van vaccinatiegegevens en wanneer denkt u dat dit systeem gerealiseerd zal zijn?
Antwoord vraag 2.
Het centrale registratiesysteem is in de eerste week van januari in gebruik genomen.
Vraag 3.
Kunt u nader toelichten hoe het registratiesysteem eruit zal gaan zien?
Antwoord vraag 3.
Het uitgangspunt is “registratie aan de bron”. Dat wil zeggen dat de toediener van vaccins verantwoordelijk is voor de juistheid en compleetheid van de registratie in het decentrale systeem, het verkrijgen van toestemming van de cliënt ten behoeve van aanleveren van vaccinatiedata aan het RIVM, en voor het tijdig aanleveren van de data.
Het RIVM heeft de specificaties van de voor het centrale registratiesysteem benodigde vaccinatiedata beschikbaar gemaakt, evenals aansluitvoorwaarden. Voor elke fase in de vaccinatiestrategie worden de betreffende decentrale systemen gekoppeld aan het landelijk systeem. Toedieners van vaccins die niet over een eigen registratiesysteem beschikken dat geautomatiseerd gegevens kan doorleveren aan het centrale registratiesysteem, kunnen gebruik maken van een daartoe ontwikkelde invoerapplicatie.
Vraag 6.
Kunt u nader toelichten welke juridische haken en ogen er aan de ontwikkeling van het registratiesysteem zitten?
Antwoord vraag 6.
De zorgverlener heeft, om de benodigde gegevens te mogen verstrekken en het beroepsgeheim te doorbreken, uitdrukkelijke toestemming nodig van de gevaccineerde.
In het geval van wilsonbekwamen is uitdrukkelijk toestemming nodig van de wettelijk vertegenwoordiger. De zorgverlener moet deze toestemming verkrijgen van de te vaccineren cliënten of hun wettelijk vertegenwoordiger voordat gegevens aan het RIVM worden verstrekt. Bij de oproep/uitnodiging tot vaccinatie wordt de burger daarom via een toestemmingsformulier, of als het niet mogelijk is om schriftelijke toestemming te realiseren in het proces, via een met kwaliteitswaarborgen omgeven mondelinge procedure geïnformeerd, waarom de centrale registratie belangrijk is in het individuele en collectieve gezondheidsbelang en wordt om actieve instemming gevraagd. Tevens wordt uitgelegd wat met de verzamelde data gebeurt en wordt aangegeven dat de burger altijd later de mogelijkheid heeft zijn/haar vaccinatiegegevens bij het RIVM te laten verwijderen en hoe men dit kan doen.
Van mensen die ofwel niet opkomen voor vaccinatie ofwel wel komen maar geen toestemming geven voor het delen van de vaccinatiedata, worden alleen anonieme data op geaggregeerd niveau met het RIVM gedeeld. Het al dan niet toestemming geven voor het delen van data heeft overigens natuurlijk geen gevolgen voor de vaccinatie zelf. Ook als mensen geen toestemming geven, kunnen zij gewoon gevaccineerd worden. De boven beschreven aanpak past binnen het juridisch kader van de Algemene Verordening Gegevensbescherming (AVG) en de Wet op de Geneeskundige Behandelingsovereenkomst (WGBO).
Alles bij de bron; RijksOverheid
Aanvulling; Vraag & Antwoordpagina Vaccinatie tegen het coronavirus
Eneco heeft een datalek bij de Autoriteit Persoonsgegevens gemeld nadat aanvallers door middel van hergebruikte wachtwoorden op de accounts van zo'n 1700 klanten wisten in te loggen. Het gaat om de Mijn Eneco-accounts van zowel particulieren als klein zakelijke klanten.
Na ontdekking van de aanval werd de toegang tot Mijn Eneco tijdelijk afgesloten om onderzoek te doen. Inmiddels is de omgeving weer toegankelijk.
"De getroffen klanten hebben een email ontvangen waarin zij zijn geïnformeerd over het datalek, hoe zij een nieuw account aan kunnen maken en het risico dat zij lopen met het wachtwoord dat eerder is gebruikt voor Mijn Eneco", aldus de energieleverancier.
Naast de 1700 klanten van wie het Mijn Eneco-account is gecompromitteerd waarschuwde Eneco ook een groep van zo'n 47.000 klanten. De energieleverancier zegt geen aanwijzingen te hebben dat de accounts van deze groep zijn ingezien. "Maar omdat zij in dezelfde periode hebben ingelogd worden zij geadviseerd om uit voorzorg hun wachtwoord te wijzigen", zo stelt Eneco.
Alles bij de bron; Security