Beveiliging van persoonsgegevens

In de Algemene verordening gegevensbescherming (AVG) staat niet expliciet dat het gebruik van deze diensten verboden is. Wel kan het in sommige gevallen als een ‘gebrek aan beveiliging’ worden gezien.

Bijvoorbeeld wanneer u gevoelige persoonsgegevens opslaat in een gratis clouddienst. En deze dienst gratis is omdat de aanbieder uw gegevens verkoopt aan onbekende derden voor marketingdoeleinden.

Of het gebruik van deze diensten in uw situatie passend is, is volledig afhankelijk van uw risicoanalyse en totale beveiligingsplan.

Zie ook

• Hoe kom ik tot een goed beveiligingsplan om datalekken te voorkomen?
• Praktijkgids ‘patiëntgegevens in de cloud’

In de Algemene verordening gegevensbescherming (AVG) staat niet expliciet dat het loggen van wie toegang heeft gehad tot persoonsgegevens verplicht is. Wel is het in de meeste gevallen een noodzakelijke beveiligingsmaatregel.

Inzicht in uw systemen

Als organisatie moet u de persoonsgegevens die u verwerkt passend beveiligen. Door middel van logging worden gebeurtenissen op uw systemen vastgelegd. Bijvoorbeeld, wie bepaalde gegevens heeft bekeken of aangepast. Maar ook pogingen om ongeautoriseerd toegang te krijgen.

Door de logbestanden regelmatig te controleren of automatisch te analyseren, kunt u bijvoorbeeld inbreuken op de beveiliging ontdekken. Ook kunt u datalekken signaleren. Of juist uitsluiten dat er een datalek is geweest.

Vervolgacties bepalen

Op basis van de verkregen informatie uit het loggen, kunt u efficiënter in actie komen bij een datalek. En/of bepalen welke aanvullende technische en organisatorische maatregelen u moet treffen.

Uitzonderingen

In sommige sectoren is logging wel verplicht. Het gaat dan om situaties waarin er met gevoelige persoonsgegevens wordt gewerkt. Zoals in de zorg.

Authenticatie is het proces waarbij de identiteit van een gebruiker wordt gecontroleerd. Meerfactorauthenticatie is een vorm van (toegangs)beveiliging waarbij de gebruiker zich met een combinatie van minimaal twee verschillende typen authenticatiefactoren moet authentiseren om toegang te krijgen tot een computer, (besturings)systeem of applicatie.

Authenticatiefactoren

Drie mogelijke authenticatiefactoren zijn:

• Iets wat de gebruiker weet. Bijvoorbeeld een wachtwoord, een pincode of de beantwoording op een beveiligingsvraag.
• Iets wat de gebruiker heeft. Bijvoorbeeld een telefoon of een token.
• Iets wat de gebruiker is. Bijvoorbeeld een biometrisch gegeven zoals een vingerafdruk, spraakherkenning of gezichtsherkenning.

Geen meerfactorauthenticatie

Een combinatie van hetzelfde type authenticatiefactor is géén meerfactorauthenticatie. Bijvoorbeeld wanneer er meerdere combinaties van gebruikersnamen en wachtwoorden nodig zijn om toegang te krijgen.

Gebruikersnamen en wachtwoorden vallen beide binnen het type authenticatiefactor ‘iets wat de gebruiker weet’, waardoor deze combinaties niet als meerfactorauthenticatie kwalificeren.

Over het algemeen zijn de volgende voorbeelden géén authenticatiefactoren voor het gebruik van een computer of applicatie:

• een toegangspas waarmee toegang wordt verkregen tot een ruimte waar meerdere mensen toegang hebben;
• een unieke telefoon of unieke computer (tenzij de mobiele telefoon een tijdelijk paswoord of wachtwoord genereert of gebruik maakt van een ingebouwde authenticatiefactor);
• een uniek IP-adres.

Voorbeelden meerfactorauthenticatie

Voorbeelden van meerfactorauthenticatie zijn:

• de combinatie van het gebruik van een wachtwoord én een eenmalig te gebruiken paswoord of wachtwoord (token) per sms;
• de combinatie van een vingerafdruk én een wachtwoord;
• de combinatie van een irisscan én een smartcard als token;
• het gebruik van een app of hardwaretoken die wisselende wachtwoorden genereert in combinatie met een wachtwoord of pincode.

Meer informatie

• Dossier Biometrie van de Autoriteit Persoonsgegevens.
• Factsheet Gebruik tweefactorauthenticatie van het Nationaal Cyber Security Centrum.

Pseudonimiseren is een beveiligingsmaatregel waarbij persoonsgegevens worden verwerkt zonder dat daarbij duidelijk wordt over welke personen de gegevens gaan. Bij pseudonimiseren van persoonsgegevens kunnen gegevens alleen nog herleidbaar zijn tot een specifiek persoon als er gebruik wordt gemaakt van aanvullende gegevens.

Pseudonimisering van persoonsgegevens is een verwerking van persoonsgegevens waarbij u zich nog steeds moet houden aan de Algemene verordening gegevensbescherming (AVG).

Bij pseudonimisering moet u technische en organisatorische maatregelen nemen om ervoor te zorgen dat onbevoegden de koppeling met het bestand met aanvullende gegevens niet kunnen maken.  

Houd rekening met externe bronnen

Bij pseudonimisering moet u rekening houden met informatie uit externe bronnen als de Basisregistratie Personen, de Kamer van Koophandel, het Kadaster, de Telefoongids, Facebook en Twitter. En met de ontwikkeling van nieuwe databronnen en -methoden.

Bevatten de gepseudonimiseerde gegevens een locatie, datum en tijd? Dan kan er mogelijk een koppeling worden gemaakt met bijvoorbeeld beschikbare camerabeelden of pintransacties.

Ook moet u als verwerkingsverantwoordelijke rekening houden met de ontwikkeling van nieuwe databronnen en -methoden waarmee pseudonieme gegevens alsnog te herleiden kunnen zijn.

Pseudonimisering is geen anonimisering

Zijn de gegevens volledig geanonimiseerd? Dan is de AVG niet meer van toepassing. 

Geanonimiseerde gegevens zijn gegevens die helemaal geen betrekking meer hebben op individuen. Er mogen bij anonimisering dus géén aanvullende gegevens beschikbaar zijn waarmee iemand alsnog een koppeling kan maken met een specifiek persoon.

Dat is niet aan te raden. Testen is een complex proces, waarvoor zorgvuldigheid en meerdere gescheiden omgevingen nodig zijn. Het testen met persoonsgegevens brengt namelijk risico’s met zich mee.

Aparte grondslag

De mensen van wie u persoonsgegevens verwerkt, verwachten niet dat u hun gegevens ook voor testdoeleinden gaat gebruiken. Dat betekent onder meer dat u voor het testen een aparte grondslag moet hebben.

Niet noodzakelijk

Verder is het vaak niet noodzakelijk om te testen met persoonsgegevens, omdat er meestal alternatieven mogelijk zijn. Dat is een van de redenen dat testen met persoonsgegevens moeilijk in overeenstemming te brengen is met de AVG.

Eind van het proces

Pas aan het einde van een ontwikkel- en testproces kunt u, bij de transitie of conversie, persoonsgegevens in het nieuwe systeem inlezen. En ook die verwerking moet zeer zorgvuldig gebeuren.

Hashing is het toepassen van een berekening (cryptografische hashfunctie) om gegevens van verschillende omvang te veranderen naar gegevens met dezelfde omvang.

Hashing kan een tabel met grote en kleine gegevens veranderen in een tabel met gegevens met dezelfde lengte, bijvoorbeeld 64 karakters. Dit proces kan makkelijk de ene kant op (naar de hashwaardes), maar is bedoeld om het moeilijker te maken de andere kant op te gaan (naar de oorspronkelijke waardes).

Cryptografische hashfuncties (zoals SHA en MD5) zijn zo ontworpen dat er voor verschillende invoergegevens zo min mogelijk dubbeling ontstaat van dezelfde hashwaarden.

Als je één hashwaarde ziet, kun je niet raden wat de invoer was. Behalve door verschillende invoergegevens te proberen, net zo lang totdat je de gezochte hashwaarde tegenkomt.

Gebruik hashing

Organisaties kunnen hashing gebruiken als methode om persoonsgegevens te pseudonimiseren. Gegevens als BSN, telefoonnummer, IP-adres of e-mailadres vervangen zij dan door een hash.

Gehashte persoonsgegevens zijn meestal niet anoniem. Cryptografische hashmethoden zijn ontworpen om het zo moeilijk mogelijk te maken om van een hashwaarde terug te rekenen naar het oorspronkelijke gegeven. Maar in de praktijk blijkt dat het toch mogelijk is om gehashte persoonsgegevens te herleiden naar een individu.

Dat betekent dat u zich als verwerkingsverantwoordelijke ook bij hashing aan de Algemene verordening gegevensbescherming (AVG) moet houden.

Dit zijn de drie meest voorkomende redenen waarom gehashte persoonsgegevens vaak niet anoniem zijn:

1. Oorspronkelijke gegevens vaak nog beschikbaar

Ten eerste zijn gegevens niet anoniem zolang de oorspronkelijke gegevens nog beschikbaar zijn. Door alle oorspronkelijke gegevens opnieuw te hashen en de pseudoniemen naast de oorspronkelijke gegevens op te slaan, is een koppeltabel te maken. 

Met deze koppeltabel kan iemand alsnog een link leggen tussen de pseudonieme gegevens en de oorspronkelijke gegevens. In de praktijk blijkt dat dit vaak mogelijk is. Er is dan sprake van pseudonimisering en niet van anonimisering.

2. Hashwaardes zijn te reproduceren

Ten tweede kunt u de oorspronkelijke gegevens herleiden uit een nieuwe berekening van de hashwaardes van alle mogelijke oorspronkelijke gegevens, een zogenoemde brute force attack. Net zo lang totdat u een match heeft. Ieder uniek gegeven heeft namelijk een eigen unieke hashwaarde die onveranderlijk is.

Ter illustratie: u heeft een lijst met een aantal gehashte Nederlandse mobiele telefoonnummers. Iemand zou dan alle mobiele telefoonnummers in Nederland kunnen hashen en de hashwaardes vergelijken met uw lijst. Gelet op de rekenkracht van computers is dit ook een risico voor gegevens zoals BSN’s en IP-adressen.

3. Beschikbaarheid van aanvullende informatie

Ten derde slaan organisaties pseudoniemen vaak op in combinatie met aanvullende informatie. Wanneer deze aanvullende informatie onderscheidend genoeg is, is het mogelijk om deze informatie te gebruiken om gepseudonimiseerde gegevens te herleiden naar individuele personen.

Een geboortedatum in combinatie met de vier cijfers van een postcode is bijvoorbeeld vaak uniek genoeg om een persoon te herleiden met  informatie uit de Basisregistratie Personen.

Houd rekening met externe bronnen

U moet bij de herleidbaarheid ook rekening houden met beschikbare informatie uit externe bronnen. Zoals de Basisregistratie Personen, de Kamer van Koophandel, het Kadaster, de Telefoongids, Facebook en Twitter.

Als de gepseudonimiseerde gegevens een locatie, datum en tijd bevatten, kan er mogelijk een koppeling worden gemaakt met bijvoorbeeld beschikbare camerabeelden of pintransacties.

Ook moet u als verwerkingsverantwoordelijke rekening houden met de ontwikkeling van nieuwe databronnen en -methoden waarmee pseudonieme gegevens alsnog te herleiden kunnen zijn.

Afknippen van hashes

Wilt u persoonsgegevens anonimiseren door de gegevens te hashen en vervolgens af te knippen? Let dan op dat u voldoende afknipt.

Te weinig afknippen van hashwaardes laat namelijk unieke identificatoren achter. En dan is er dus géén sprake van geanonimiseerde gegevens.

Zie verder: Techblogpost: Praktische problemen bij het afknippen van hashes.

Hashing is een techniek die u kunt gebruiken om persoonsgegevens te pseudonimiseren. Door een salt toe te voegen, kunt u het herleiden van een hashwaarde moeilijker maken voor personen die geen kennis hebben van de gebruikte salt.

Een salt is een waarde die u toevoegt aan de berekening van elke afzonderlijke hash. Onbevoegden die de oorspronkelijke persoonsgegevens willen herleiden, moeten dan niet alleen de hashwaarde achterhalen maar ook nog eens de salt.

Het toevoegen van een goede salt is een beveiligingsmaatregel die voorkomt dat onbevoegden zomaar data kunnen koppelen aan individuele personen.

Een goede salt

Een goede salt bestaat uit een lange reeks karakters die willekeurig zijn samengesteld. Bijvoorbeeld met een cryptografische random number generator. 

Want als de salt voorspelbaar is, kunnen de gegevens alsnog te herleiden zijn. Bijvoorbeeld als de salt heel kort is of gebaseerd is op de datum.

Salts vernietigen en vervangen

Wanneer u de salt vernietigt of vervangt door een andere salt, leidt de overgebleven hashwaarde niet meer tot dezelfde pseudoniemen.

Heeft u als verwerkingsverantwoordelijke het recht om bepaalde persoonsgegevens gedurende 24 uur te verwerken? Dan kunt u kiezen voor een rotating salt. U vernietigt dan elke 24 uur de saltwaarde en vervangt deze door een nieuwe waarde.

Let op: ook met gebruik van een salt is er vaak nog steeds sprake van pseudonimisering en niet van anonimisering. U verwerkt dan dus nog steeds persoonsgegevens en moet zich aan de Algemene verordening gegevensbescherming (AVG) houden.

Een legacy-systeem, ook wel onderhoudsversie genoemd, is een ICT-voorziening die zeer lange tijd in gebruik is. Bijvoorbeeld legacy-software of een legacy-applicatie.

Vaak zijn er bij het ontwikkelen van legacy-systemen hulpmiddelen of technieken gebruikt die nu niet meer gangbaar zijn. Ook is niet altijd goed beschreven in documentatie hoe legacy-systemen precies werken.

Daardoor is een legacy-systeem soms lastig aan te passen. Of is het moeilijk om persoonsgegevens uit het systeem te exporteren of te verwijderen.

De functionaliteit die sommige legacy-systemen bieden, is soms cruciaal voor de bedrijfsvoering. Daarom blijven sommige organisaties deze systemen toch gebruiken. Maar daardoor lopen zij het risico niet te voldoen aan de privacywetgeving.

Meer informatie

• Mag u als verwerkingsverantwoordelijke een legacy-systeem of onderhoudsversie gebruiken?
• Mag u als verwerker een legacy-systeem of onderhoudsversie blijven leveren?

Ja, mits u aan de Algemene verordening gegevensbescherming (AVG) voldoet. Maar dat kan lastig zijn bij een legacy-systeem (ook wel onderhoudsversie genoemd). U loopt al snel het risico niet aan de AVG te voldoen. In dat geval moet u stoppen met het gebruik van het systeem.

Regels uit de AVG

Bij het verwerken van persoonsgegevens moet u voldoen aan regels uit de AVG. Dat geldt ook als u een legacy-systeem gebruikt, zoals legacy-software of een legacy-applicatie. De AVG maakt daar geen uitzondering voor.

Dat betekent onder meer dat:

• U de persoonsgegevens die u in uw legacy-systeem verwerkt, voldoende moet beveiligen. Hierbij moet u rekening houden met de huidige stand van de techniek.
• U moet zorgen dat betrokkenen (de mensen van wie u gegevens verwerkt) hun rechten kunnen uitoefenen. Betrokkenen kunnen u bijvoorbeeld vragen om hun persoonsgegevens te wissen. U moet dus onder meer nagaan of het mogelijk is om gegevens uit uw legacy-systeem te verwijderen.
• U moet voldoen aan de algemene principes uit de AVG, zoals privacy by design en by default.

Risico legacy-systeem

Gebruikt u een legacy-systeem, dan loopt u het risico dat u niet voldoet aan de AVG. Bijvoorbeeld doordat het systeem verouderde technologie gebruikt die leidt tot beveiligingsrisico’s.  Het is daarom noodzakelijk verouderde systemen aan te passen aan de eisen van de AVG.

Databeveiliging bij de digitale overheid is een van de aandachtspunten van de Autoriteit Persoonsgegevens (AP) de komende jaren. De AP kan optreden tegen ICT die niet aan de AVG voldoet.

Ja, mits u aan de Algemene verordening gegevensbescherming (AVG) voldoet. Maar dat kan lastig zijn bij een legacy-systeem (ook wel onderhoudsversie genoemd). U loopt al snel het risico niet aan de AVG te voldoen. In dat geval moet u stoppen met het gebruik van het systeem.

Regels AVG voor verwerkers

Zowel u zelf als uw opdrachtgevers moeten bij het verwerken van persoonsgegevens voldoen aan de AVG. De AVG kent echter een aantal verplichtingen die direct of indirect gericht zijn tot verwerkers.

U moet onder meer, voor zover dat gezien uw invloedssfeer passend is:

• De persoonsgegevens die u verwerkt voldoende beveiligen. Hierbij moet u ook rekening houden met de huidige stand van de techniek en actuele dreigingen.
• Zorgen dat betrokkenen (de mensen van wie gegevens worden verwerkt) hun rechten kunnen uitoefenen. Betrokkenen kunnen bijvoorbeeld vragen om hun persoonsgegevens te wissen. U moet dus onder meer nagaan of het mogelijk is om gegevens te verwijderen uit het legacy-systeem dat u levert.
• Voldoen aan de algemene principes uit de AVG, zoals privacy by design en by default.

Uiteraard moet u de verwerking uitvoeren volgens de afspraken in de verwerkersovereenkomst.

Risico legacy-systeem

Gebruikt u een legacy-systeem, dan loopt u het risico dat u niet voldoet aan de AVG. Bijvoorbeeld doordat het systeem verouderde technologie gebruikt die leidt tot beveiligingsrisico’s.  Het is daarom noodzakelijk verouderde systemen aan te passen aan de eisen van de AVG. 

Databeveiliging bij de digitale overheid is een van de aandachtspunten van de Autoriteit Persoonsgegevens (AP) de komende jaren. De AP kan optreden tegen ICT die niet aan de AVG voldoet.

Niet meer gegevens gebruiken dan nodig

De organisatie moet ervoor zorgen dat deze niet méér persoonsgegevens verzamelt en verder gebruikt dan echt nodig is.

Bijvoorbeeld door, waar mogelijk, uw naam en andere identificerende kenmerken uit uw gegevens te verwijderen.

Ook heeft de organisatie lang niet altijd al uw persoonsgegevens nodig voor een bepaald doel, zoals het versturen van een rekening.

Toegang tot gegevens beperken

Ook moet de organisatie de toegang tot uw persoonsgegevens beperken.

Hoe meer personen toegang hebben tot de gegevens, hoe groter de kans op misbruik.

Zo moeten zorginstellingen, zoals ziekenhuizen, ervoor zorgen dat uitsluitend bevoegde medewerkers toegang hebben tot digitale patiëntendossiers.

Moderne beveiligingstechniek gebruiken

De organisatie moet uw persoonsgegevens beveiligen in overeenstemming met de stand van de techniek.

Dit houdt in dat de organisatie geen verouderde techniek gebruikt om uw gegevens te beveiligen.

Hierdoor krijgen bijvoorbeeld hackers geen of weinig kans om zich toegang te verschaffen tot uw persoonsgegevens.

Ga met uw vragen of klachten altijd eerst naar de organisatie zelf. Heeft u een klacht en komt u er samen met de organisatie niet uit? Dan kunt u een privacyklacht indienen bij de Autoriteit Persoonsgegevens.