Onderzoek is belangrijk. Onderzoek gebruiken als dekmantel om ongecontroleerd toegang te krijgen tot gevoelige officiële gegevens is dat niet.
Begin juli diende de Oostenrijkse kanselier, Sebastian Kurz, een wetsvoorstel in dat een aardverschuiving zou veroorzaken in de manier waarop de overheid omgaat met de gegevens van haar burgers. EDRi's lid epicenter.works deelt dat het huidige wetsvoorstel vanuit privacy-oogpunt fundamenteel onjuist is en een enorme hoeveelheid gegevens over de hele bevolking blootstelt aan het risico van misbruik.
De voorgestelde wet heeft betrekking op alle gegevens die momenteel in het bezit zijn van het Oostenrijkse bureau voor de statistiek, alsmede op gegevens uit andere officiële registers die eerder door de verantwoordelijke overheidsdienst zijn goedgekeurd voor vrijgave aan onderzoekers. Momenteel wordt besproken of gezondheidsgegevens uit het ELGA-systeem kunnen worden vrijgegeven; dit zou alle patiëntendossiers en medicatie omvatten.
Veel soorten informatie van de belastingdienst zijn al in handen van het Oostenrijkse bureau voor de statistiek en zouden dus onmiddellijk worden opgenomen. Ook denkbaar is de vrijgave van gegevens van het gerechtelijk systeem, immigratiediensten of van het onlangs uitgebreide onderwijsdocumentatiesysteem, waarin nu de volledige onderwijsgeschiedenis van een persoon tot aan zijn pensionering wordt opgeslagen, van de lagere school tot de door het werkloosheidsagentschap (AMS) verplicht gestelde opleiding.
Het Oostenrijkse bureau voor de statistiek is in staat om zelfs dergelijke grote hoeveelheden gegevens grondig te anonimiseren alvorens ze aan derden vrij te geven. Maar vervanging door pseudoniemen is alleen toegestaan voor naam, adres en andere unieke identificatiegegevens, zoals het socialezekerheidsnummer.
Met deze aanpak wordt het bijna zeker dat bijna elk individu uniek identificeerbaar is aan de hand van de resterende gegevens, die dus persoonsgegevens zijn in de zin van de GDPR. Dat is niet alleen ons standpunt, maar ook dat van de Data Privacy Council in zijn kritische verklaring over het wetsvoorstel van kanselier Kurz.
Het wetsontwerp garandeert niet dat alleen erkende onderzoeksinstellingen toegang krijgen tot de gegevens. Er bestaat een niet-uitputtende lijst van instellingen, maar het Bureau voor de Statistiek van Oostenrijk kan verdere instellingen toevoegen op basis van losjes gedefinieerde criteria.
Dit is naar het voorbeeld van het EU-bureau voor de statistiek Eurostat. Bovendien wordt in de toelichting bij het wetsontwerp gesuggereerd dat ook banken en overheidsdiensten toegang tot de gegevens moeten kunnen krijgen, en is de toegang evenmin beperkt tot binnenlandse instellingen. Er is geen enkel criterium om bekend te maken of het voorgenomen onderzoek in het algemeen belang is of welke commerciële belangen ermee worden nagestreefd. De "voornaamste resultaten" moeten online worden gepubliceerd, maar alle andere resultaten kunnen geheim worden gehouden. Zodra een instelling toegang heeft gekregen tot de registergegevens, mag zij deze gebruiken voor andere onderzoeksdoeleinden die geen verband houden met het ingediende onderzoeksvoorstel.
Alles bij de bron; EDRI [vertaald met www.deepl.com/translator]
Het Sloveense voorzitterschap van de Raad wil vaart zetten achter de onderhandelingen over een enorme uitbreiding van de Eurodac-gegevensbank, die gevoelige gegevens zal bevatten over miljoenen asielzoekers en migranten in een onregelmatige situatie, door de voorgestelde regels "los te koppelen" van andere EU-wetten inzake asiel en migratie die momenteel worden besproken.
Het Sloveense voorzitterschap van de Raad is van plan de onderhandelingen over een enorme uitbreiding van de Eurodac-gegevensbank, waarin gevoelige gegevens over miljoenen asielzoekers en migranten in een onregelmatige situatie zullen worden opgeslagen, te versnellen door de voorgestelde regels "los te koppelen" van andere EU-wetten inzake asiel en migratie die momenteel worden besproken.
Het voorstel van het voorzitterschap komt een week nadat 31 mensenrechtenorganisaties het Europees Parlement hadden opgeroepen "het wetgevingsproces tijdelijk uit te stellen om voldoende tijd te geven voor een grondige bestudering van de gevolgen voor de grondrechten van de voorgestelde Eurodac-hervorming"
Volgens de Eurodac-voorstellen zouden meer persoonsgegevens van asielzoekers kunnen worden verzameld, en zouden de autoriteiten ook gegevens over illegale migranten kunnen opslaan.
Volgens de nieuwe Eurodac-regels kunnen de gegevens in het systeem ook aan elkaar worden gekoppeld, waardoor het mogelijk wordt de reizen van personen binnen de EU te volgen (in het officiële taalgebruik bekend als "secundaire bewegingen"), en kunnen de gegevens ook worden gebruikt voor controles van visum- en reisaanvragen.
Sommige van de in het kader van de Eurodac-regels verzamelde gegevens zouden worden opgeslagen in de nieuwe "Common Identity Repository", een enorme biometrische databank die tot 300 miljoen individuele gegevens van niet-EU-onderdanen zal kunnen bevatten, en die momenteel wordt aangelegd in overeenstemming met het "interoperabiliteits"-initiatief van de EU.
Alles bij de bron; EDRI [Vertaald uit het Engels met www.DeepL.com/Translator (gratis versie)]
Stalking, bedreigingen, thuis commercieel lastiggevallen worden, zzp’ers met kantoor aan huis hebben ermee te maken doordat hun gegevens via de Kamer van Koophandel op straat liggen. Zolang het kabinet niet ingrijpt, is de zzp’er vogelvrij. ‘Grondrechten zijn geen handelswaar.’
Haar stalker was jarenlang zo aanhoudend, dat ze uiteindelijk maar is verhuisd. Zijn eenmanszaak was amper in de lucht of hij kreeg aan huis ongewenst bezoek van louche verkopers.
Wat deze twee zelfstandig ondernemers gemeen hebben? Bij het verkrijgen van hun privégegevens putten hun belagers uit dezelfde bron: het Handelsregister van de Kamer van Koophandel (KvK). Deze openbaar toegankelijke database bevat alle woonadressen van zzp’ers die hun bedrijf op hun privéadres hebben gevestigd. Gegevens die de KvK zelfs verstrekt aan partijen die commerciële plannen hebben met deze ondernemers, zoals stroomcontracten aansmeren.
Waarom doet de – gekscherend – ‘Kamer van Verkoophandel’ dit? In tijden waarin de privacy toch al onder druk staat en het de veiligheid niet ten goede komt in een toenemend gepolariseerde samenleving. Het is niet nieuw dat de KvK irritatie wekt bij ondernemers – die zich daar verplicht moeten inschrijven – door de omgang met hun persoonsgegevens. Ook de halsstarrigheid van de politiek verantwoordelijke er iets aan te doen, voedt de wrevel....
...Dit kan zo niet langer, liet de Autoriteit Persoonsgegevens staatssecretaris Mona Keijzer van Economische Zaken al voor haar antwoorden aan de Tweede Kamer weten. Voorzitter Aleid Wolfsen begrijpt niet waarom de bewindsvrouw doof is voor die oproep. ‘Er is gewoonweg geen noodzaak dat jan en alleman zonder reden bij privégegevens van zzp’ers kan’, zegt hij.
Wolfsen wil een systeem waarbij zzp’ers alleen een registratieplicht hebben bij de KvK, maar dat hun persoonsgegevens vervolgens afgeschermd blijven. Behalve voor deurwaarders, advocaten en notarissen, mocht een onderneming bijvoorbeeld worden aangeklaagd.
De staatssecretaris zegt hierop dat Europese regelgeving haar niet toestaat de uitgaande stroom adresgegevens dicht te draaien. Dit klopt niet volgens Wolfsen. ‘Die regelgeving geldt echt alleen voor rechtspersonen, niet voor zzp’ers.’
Zich verschuilen achter Europese regelgeving kan Keijzer niet als het gaat over het op grote schaal verstrekken van de privégegevens van zelfstandigen. De basis hiervoor werd gelegd in 2013. Met het samenvoegen van veertien verschillende KvK-organisaties werd ook de regionale ondernemersheffing afgeschaft. Deze stabiele stroom van inkomsten voor de KvK werd vervangen door een veel lagere rijksbijdrage, waardoor de directe inkomsten nu grofweg eenderde lager liggen dan in 2013.
Er kwamen eigen inkomsten voor terug. Ondernemerspleinen, voorlichtingsavonden en samenwerkingsverbanden. En datahandel dus. Tussen 2014 en 2020 groeide de tak ‘KvK Dataservice’ van 14 naar 33 miljoen uitgeleverde dataproducten. Toch is volgens de KvK geen sprake van ‘handel’, omdat ze naar eigen zeggen alleen de kostprijs rekenen voor uittreksels uit het handelsregister.
Alles bij de bron; Volkskrant
Privacy was lange tijd een ondergeschoven kindje in marketing. En niet alleen voor marketeers, ook consumenten leken lange tijd meer geïnteresseerd in de voordelen van een product of dienst, dan dat ze zich druk maakten over of hun persoonsgegevens wel in veilige handen waren.
De laatste tijd zien we hier echter een kentering. Verschillende ontwikkelingen hebben hiervoor gezorgd. Zo veroorzaakte de Europese privacywet GDPR een ware stortvloed aan e-mails waarin allerhande dienstverleners en verkooppartijen toestemming vroegen aan hun (ooit) klanten om hun gegevens te mogen bewaren. Ongetwijfeld heeft dit tot meer bewustzijn geleid onder consumenten over hoeveel partijen weten wie ze zijn, en wat ze over hen weten.
Maar denk ook zeker aan de discussie rondom privacy en social media. Wat weet Mark Zuckerberg allemaal van ons en, nog belangrijker, wie heeft er nog meer toegang tot deze persoonlijke informatie? Het schandaal rond Cambridge Analytica heeft in ieder geval als positief effect gehad dat het privacybewustzijn van consumenten is vergroot....
...Het lijken simpele voorbeelden, maar ze veranderen de essentie van hoe organisaties omgaan met persoonlijke gegevens. Niet alleen ligt de regie bij de gebruiker (en dus de eigenaar van de gegevens), het dwingt organisaties ook om nog beter na te denken over welke gegevens ze van hun klanten nodig hebben om tot een betere dienstverlening te komen.
Wat vervolgens weer invloed heeft op hoe de marketingstrategie wordt ingericht. Want wanneer keuzes worden gemaakt met betrekking tot de gegevens die van klanten worden gevraagd, betekent dat automatisch dat klantprofielen minder specifiek zijn.
Is dat erg? Nee, in mijn optiek niet. Want het dwingt marketeers om scherp te zijn op welke informatie ze nodig hebben om hun klanten goed van dienst te kunnen zijn. Bovendien, het één (jezelf profileren als privacybewuste onderneming) kan niet zonder het ander (kritisch zijn op welke data van klanten en gebruikers wordt gevraagd). Practice what you preach, in goed Nederlands. Hoog tijd dus dat de P van Privacy wordt toegevoegd aan de marketingmix.
Alles bij de bron; MarketingFacts
Zo'n 95 procent van de mensen die zich bij de huisarts liet vaccineren heeft er bewust voor gekozen om hun gegevens met de centrale vaccinatiedatabase van het RIVM te delen, waar de data voor een periode van minimaal twintig jaar wordt opgeslagen. Dat heeft demissionair minister De Jonge van Volksgezondheid in een brief aan de Tweede Kamer laten weten.
De data wordt verzameld in het COVID-vaccinatie Informatie- en Monitoringsysteem (CIMS). In de database worden burgerservicenummer (BSN), geboortedatum, naam, adresgegevens, reden van vaccinatie zoals medische indicatie, beroep of leeftijd, datum en plaats van vaccinatie en naam vaccin en serienummer voor een periode van minimaal twintig jaar opgeslagen.
Van mensen die geen toestemming geven worden ook gegevens vastgelegd, maar gaat het om een "anonieme set van gegevens", namelijk vaccinatiegegevens (vaccin, batchnummer, prikdatum, eerste of tweede prik), herkomst (Nederland, BES-eilanden en CAS-landen) en leeftijdscohort (drie cohorten).
Alles bij de bron; Security
De organisaties SIVON en SURF bereikten enkele weken geleden een overeenkomst met Google over manieren om privacyrisico’s binnen de onderwijsdiensten van Google weg te nemen. Daarmee werd een algeheel afscheid van Google afgewend.
Nu blijkt dat hiermee nog niet alles in kannen en kruiken is. Uit een blogpost van Privacy Company wordt namelijk duidelijk dat er voorlopig toch nog het nodige moet worden gedaan door scholen om risico’s weg te nemen. In Nederland gebruikt iets meer dan de helft van de basisscholen en ruim een derde (36%) van de middelbare scholen Google Workspace for Education.
Met de zoekfunctie van Google is weinig mis volgens privacyonderzoekers, omdat onderwijsgebruikers automatisch worden uitgelogd wanneer ze de marktdominante zoekdienst gebruiken. Dit omschakelen van ingelogd onderwijsaccount naar uitgelogde gewone gebruiker gebeurt echter niet over de hele linie. Bij aanvullende diensten van Google wordt deze privacybeschermende maatregel echter niet geboden. "Daarom moeten scholen en universiteiten gebruik maken van de mogelijkheid om eindgebruikers technisch te verbieden toegang te krijgen tot de aanvullende diensten", schrijven de onderzoekers van Privacy Company.
Wanneer gebruikers die toegang toch willen hebben kan dit, maar alleen na het aanmaken van een tweede privé-account; op persoonlijke titel en dus niet verbonden aan het onderwijsaccount dat via de onderwijsinstelling wordt geboden. Deze uitwijk moet de verantwoordelijkheid van de school of de universiteit wegnemen.
Privacy Company roept scholen verder op om, totdat de verwerkersversie beschikbaar is én is getest, een andere standaardbrowser te gebruiken, Google Search uit te schakelen als standaardzoekmachine en cookies en trackers van derde partijen in de Chrome-browser te blokkeren.
Alles bij de bron; AGConnect
Google Workspace for Education, een pakket online-diensten vergelijkbaar met Microsoft Office, blijft geschikt voor het Nederlandse onderwijs. Ook de laatste belemmeringen voor het gebruik van deze Google-dienst zijn weggenomen.
Het techbedrijf is hard bezig een groot aantal technische en organisatorische maatregelen te treffen om aan de AVG te voldoen. Google wordt, net als Microsoft, verwerker voor de diagnostische gegevens. Dat wil zeggen dat Google gegevens over het individuele gebruik alleen nog maar voor drie doelen mag verwerken, namelijk het leveren, beveiligen en up-to-date houden van zijn diensten.
Google mag de gegevens van de scholieren en studenten niet verwerken voor reclame, marketing, profilering of big-data-analyses. Google gaat voor zakelijke en educatieve klanten ook een verwerkersversie ontwikkelen van de Chromebooks en de Chrome-browser.
Alles bij de bron; Computable
Het Centraal Bureau voor de Statistiek gaat beter controleren wie toegang krijgt tot zijn data. Het gaat om data die het CBS ter beschikking stelt via een beveiligde portal.
Dat zijn 'administratieve data' van Nederlandse burgers en bedrijven. De gegevens zijn afkomstig uit overheidsdatabanken. Het CBS anonimiseert die gegevens en gebruikt ze voor eigen onderzoeken, maar stelt ze ook beschikbaar voor wetenschappelijk onderzoek.
Het CBS liet onlangs een onafhankelijke commissie onderzoeken of die toegang voldeed aan regels rondom privacy en informatiebeveiliging, omdat er geanonimiseerde gegevens van Nederlanders in worden opgenomen.
Uit het eindrapport blijkt dat het beleid op dit moment voldoet. Wel deed de onderzoekscommissie verschillende aanbevelingen voor de toekomst. Die draaien vooral om wie toegang krijgt tot de gegevens.
Het CBS zegt dat voortaan alleen nog 'universiteiten, kennisinstellingen en organisaties uit landen die eenzelfde niveau van privacybescherming kennen als de AVG' toegang mogen krijgen tot CBS-data. "Organisaties uit landen die geen dergelijk niveau van privacybescherming hebben, mogen hun huidige machtiging uitdienen maar komen dus niet meer voor een nieuwe machtiging in aanmerking", schrijft de dienst.
Ook moeten wetenschappelijke instellingen 'voldoen aan wetenschappelijke normen' voordat ze toegang tot de data kunnen krijgen. Dat betekent vooral dat ze hun onderzoeksresultaten openbaar moeten maken. Die wijzigingen gaan per 1 augustus van dit jaar in.
Alles bij de bron; Tweakers
Beijing wil maximale greep op persoonlijke en bedrijfsdata. Taxi-app Didi werd al het doelwit van speciaal aangestelde cybersecurity-inspecteurs...
Didi’s kun je net als een Uber niet van de straat plukken. Je downloadt eerst de Didi-app, je voert al je persoonlijke gegevens in en je koppelt de app aan een bankkaart of een betaalapp. Daarna gaat alles moeiteloos. Tenminste: tot begin juli was dat zo. Maar toen bepaalde de Chinese overheid opeens dat Chinese appstores de Didi-app niet meer mochten aanbieden. Als je de app al had, mocht je hem wel blijven gebruiken. Dat is in de praktijk lastig. Betaaldiensten zegden hun samenwerking met Didi op, en veel chauffeurs en klanten liepen meteen weg.
En Didi’s problemen nemen toe. Een week terug vielen zeven Chinese overheidsinstanties het hoofdkantoor van Didi in Beijing binnen voor een ‘cybersecurity-inspectie’. Het betrof de eerste inspectie van dat soort ooit in China.
In dit nieuwe fenomeen speelt het nog vrij jonge Bestuursorgaan voor Cyberspace een leidende rol. Dat is belast met de regulering, de censuur en de controle van internet. Het bestaat sinds 2014, en valt onder het Centrale Comité voor Cyberspace. Niemand minder dan de Chinese president Xi Jinping zelf staat aan het hoofd van dat comité.
Dat is niet zomaar: cybersecurity is een van de hoogste prioriteiten van de huidige regering. Andere prioriteiten zijn kunstmatige intelligentie en surveillancetechnologie, zoals gezichts- en stemherkenning.
Xi bouwt daarmee aan wat al een „digitale dictatuur” is genoemd. Data zijn daarvoor de brandstof, en daarover beschikt een bedrijf als Didi ruimschoots. Dat geldt ook voor internetgigant Alibaba, dat eerder al de Chinese overheid tegenover zich trof toen het met zijn fintechdivisie Ant naar de beurs wilde. Ook Alibaba’s belangrijkste concurrent Tencent, eigenaar van WeChat, kwam met de overheid in botsing vanwege monopolistisch gedrag.
Bij Didi gaat het niet alleen om persoonsgegevens, maar bijvoorbeeld ook om gedetailleerde kaarten van China. De app gebruikt die om te navigeren. Vandaar dat ook ambtenaren van het ministerie van Natuurlijke Hulpbronnen zijn betrokken bij het onderzoek dat naar het bedrijf is begonnen. Dit ministerie is verantwoordelijk voor cartografie.
Voor de techbedrijven is deze ontwikkeling wrang. Zij hebben de overheid altijd geholpen, bijvoorbeeld met de ontwikkeling van gezondheidsapps om corona onder controle te brengen. Dan is er ook nog het veelbesproken sociale kredietsysteem. Daarbij is het de bedoeling dat alle burgers een persoonlijke score toebedeeld krijgen. Die is niet alleen gebaseerd op wat ze met hun geld doen, maar ook op ‘moreel juist’ gedrag. Dit systeem is eveneens ontwikkeld in samenwerking met particuliere bedrijven als Alibaba.
De overheid heeft nu al wettelijk recht alle informatie die techbedrijven verzamelen in te zien, dit met het oog op de staatsveiligheid. Daar komt geen rechter aan te pas en daar ziet geen externe toezichthouder op toe.
Het gaat dan bijvoorbeeld over wie wanneer welke winkel bezoekt, welke trein iemand neemt, maar ook om gesprekken via apps en om al het betalingsverkeer. Een mensenrechtenadvocaat vertelde eerder aan deze krant dat hij dergelijke informatie regelmatig terugziet bij de bewijsvoering in de rechtbank.
Alles bij de bron; NRC
Een coalitie van techbedrijven heeft Amerikaanse en Europese toezichthouders een open brief gestuurd waarin ze vragen om een verbod op surveillance-gebaseerde advertenties. Het gaat hierbij om het gebruik van allerlei trackingmethodes om internetgebruikers over het web te volgen en zo gerichte advertenties te kunnen tonen.
Naast de privacyproblemen van surveillance-gebaseerde advertenties stellen de bedrijven dat het ook schadelijk is voor het bedrijfslandschap. Door het surveillance-gebaseerde advertentiemodel kunnen een paar spelers een concurrentievoordeel behalen door data van allerlei websites en diensten te verzamelen en kunnen dominante platformen hun positie misbruiken door hun eigen diensten een voorkeursbehandeling te geven.
De bedrijven erkennen dat advertenties een belangrijke inkomstenbron zijn voor online makers en uitgevers, maar dat dit niet grootschalige commerciële surveillancesystemen rechtvaardigt om "de juiste mensen de juiste advertentie" te kunnen tonen. Er bestaan namelijk andere vormen van advertentietechnologieën die niet afhankelijk zijn van het bespioneren van internetgebruikers, zo merken ze op.
De brief is ondertekend door Vivaldi, Fastmail, Conva Ventures, Proton Technologies, Tutanota, DuckDuckGo, Disconnect, Mojeek, Ecosia, Startpage & StartMail, Nextcloud, Kobler, Strossle International en Mailfence.
Alles bij de bron; Security