Wet- en regelgeving bij informatiebeveiliging-privacy

Informatiebeveiliging wordt door veel organisaties gezien als een hoeveelheid opgelegde  bureaucratie vanuit Den Haag, waaraan je maar hebt te voldoen om niet geconfronteerd te worden met torenhoge boetes. En juist die boetes halen de pers en worden als dreigement gebruikt, door Den Haag en ook door allerlei adviseurs, opdat toch vooral maar voldaan zal worden aan de wet- en regelgeving. Precies hierzit nu het grote misverstand. In dit artikel houden we de privacy wetgeveing tegen het licht.

Honderd procent veiligheid bestaat niet

Als het gaat om veiligheid, dan weten we dat 100% veilig niet bestaat. Je kunt maatregelen treffen waardoor het moeilijker wordt om inbreuk op jouw beveiliging te maken, maar daardoor wordt hooguit het aantal beveiligingsincidenten teruggedrongen.
U kunt het vergelijken met de verkeersveiligheid. Door allerlei maatregelen te treffen, neemt het aantal verkeersslachtoffers af, maar het wordt nooit echt veilig in het verkeer. Je krijgt ook nooit een boete voor het in gevaar brengen van de verkeersveiligheid. Je kunt een boete krijgen voor te snel rijden, voor een te hoog alcohol promillage in jouw bloed of voor fout parkeren, maar als de overheid als best practice de suggestie aanreikt om twee seconden afstand te houden van jouw voorligger, dan krijgt je nog geen boete als je zich niet aan die twee seconden houdt. Met informatiebeveiliging is het niet anders.
Er zijn wetten en regels die je moet naleven. De Wet Bescherming Persoonsgegevens (WBP) is één van die wetten. In die wet staat een aantal dingen die je moet doen, maar nog veel meer dingen die je zelf naar eigen inzichten moet regelen.
Zorginstellingen hebben de verplichting om NEN 7510 in te voeren. NEN 7510 is net als ISO 27002 een set van doelstellingen en een aantal best practices die worden aangereikt om die doelstellingen te realiseren. Als je echter andere keuzes maakt op bijvoorbeeld bedrijfseconomische gronden of omdat je een bepaald risico acceptabel vindt, is dat ook goed. Natuurlijk zal een auditor daar wel een opmerking over maken, maar een boete kunt je er niet voor krijgen. En niemand anders dan uzelf kan je dwingen meer maatregelen te nemen.
Laat je dus niet imponeren door verbaal geweld. je stelt jouw eigen normen vast, rekening houdend met wat wettelijk is vereist. En daarop kunt je worden gecertificeerd. je bent daarmee in één keer van het gezeur af. 

De WBP nader bekeken

Laten we de Wet Bescherming Persoonsgegevens eens nalopen in de versie die het College Bescherming Persoonsgegevens (CBP), dat verantwoordelijk is voor het toezicht op de naleving van de privacy-wetgeving.

“De belangrijkste bepalingen uit de WBP over het rechtmatig omgaan met persoonsgegevens kunnen als volgt worden samengevat:

1. Persoonsgegevens mogen alleen in overeenstemming met de wet en op een behoorlijke en zorgvuldige manier worden verwerkt.
2. Persoonsgegevens mogen alleen voor welbepaalde, vooraf uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en vervolgens alleen verder worden verwerkt voor doeleinden die daarmee verenigbaar zijn.
3. Degene over wie gegevens worden verwerkt moet ten minste op de hoogte zijn van de identiteit van de verantwoordelijke en van het doel van de verwerking waarvoor de gegevens zijn bestemd.
4. De gegevensverwerking moeten op een passende manier worden beveiligd. Voor bijzondere gegevens, zoals over ras, gezondheid en geloofsovertuiging, gelden extra strenge regels.”

Rechtmatigheid

In de inleidende zin wordt gesproken over het ‘rechtmatig’ omgaan met persoonsgegevens. Rechtmatigheid betekent niet zorgvuldigheid, eerlijkheid of redelijkheid. De definitie luidt:

“Rechtmatigheid is een juridische term, die aangeeft dat een (voorgenomen) handelwijze in overeenstemming is met de geldende regels en besluiten. Het is het tegengestelde van onrechtmatigheid”.

De beleggingen van diverse Nederlandse provincies en gemeenten bij IceSave bijvoorbeeld waren dom en weinig zorgvuldig, maar niet onrechtmatig. De ophef die aanvankelijk ontstond in de pers kreeg dan ook in het geheel geen vervolg.
Deze inleidende zin beschrijft dus exact wat in het vorige hoofdstuk is betoogd. Als je niet expliciet een wet of regel overtreedt, dan handelt je rechtmatig. Onder punt 1 wordt dit in feite nog eens herhaald, want termen als zorgvuldig en behoorlijk hebben juridisch gezien geen betekenis.

Aanmelding registratie

Wat in deze samenvatting niet genoemd wordt, is de plicht om een persoonsregistratie aan te melden, tenzij hiervoor een vrijstelling kan worden verkregen. De site van CBP biedt een uitgebreid schema waarmee bepaald kan worden of je voor de vrijstelling in aanmerking komt.  En dat is al snel.
Zo is bijvoorbeeld Kader vrijgesteld van deze meldingsplicht. Wij mogen bij wijze van spreken al jouw gegevens verkopen aan terroristen en criminelen, mits wij maar voldoende duidelijk maken dat wij dat doen. We kunnen daarvoor dus geen boete krijgen. Zeer waarschijnlijk heb je niet ons reglement 'disclaimer, algemene voorwaarden en privacy statement‘ gelezen, waarmee je wel heeft ingestemd toen je zich registreerde op de site. Zou daarin staan dat wij inderdaad jouw gegevens aan terroristen en criminelen verkopen, dan hebt je daarmee ingestemd en kunt je ons daardoor geen medeplichtigheid aan misdaad verwijten. Maar maakt je zich geen zorgen, het staat niet in ons reglement en dus mogen we die gegevens ook niet doorspelen.

Doel van de verwerking van persoonsgegevens

Los van de woorden die geen juridische betekenis hebben, staat onder het tweede punt dat aangeven moet worden voor welk doel gegevens worden verzameld en hoe je ze gebruikt gaan worden. De term gerechtvaardigde doeleinden betekent niets meer dan dat, als je gegevens verzamelt, je moet kunnen uitleggen met welk doel je dat doet. Zelfs onrechtmatige doelen kunnen gerechtvaardigd zijn, want ze kunnen vast wel worden uitgelegd. je bent slechts strafbaar als je niet duidelijk communiceert waarvoor je de gegevens gebruikt of als je gegevens voor niet genoemde doelen gaat gebruiken. De meeste rechtszaken gaat er dan ook over of men daarover wel of niet duidelijk genoeg is geweest.
Daarnaast moet ook duidelijk zijn, wie kunnen beschikken over de gegevens (derde punt).

Beveiliging van de persoonsregistratie

Het laatste punt: ‘De gegevensverwerking moeten op een passende manier worden beveiligd’, is natuurlijk boterzacht. Want wat is passend? Is dat beveiligd met een user-id en password, is dat extra beveiligd met een token of houdt dat volledige encryptie in? Zelfs een stapeling van deze beveiligingsmaatregelen hoeft niet afdoende te zijn. Het is maar net wat de ‘crimineel’ ervoor over heeft. Dat is wel gebleken uit de vele voorvallen van pinpasfraude.
100% beveiliging bestaat dus niet.  Als we weten dat op internet identiteitsgegevens inclusief creditcard gegevens voor ca € 4 worden aangeboden, dan is duidelijk dat de identificerende gegevens zonder creditcardgegevens slechts enkele centen waard zijn. Rechtvaardigt dit investeringen van vele duizenden euro’s of meer om deze gegevens te beschermen? Dat lijkt me niet. Niemand is dus verplicht om zijn persoonsgegevens beter te beschermen dan met user-id en password. Tenzij daarvoor aanvullende regels zijn gemaakt, zoals bijvoorbeeld voor de GBA. Dan moet dit wel. Maar besef wel, dat de GBA en de audits hierop eigenlijk niets te maken hebben met informatiebeveiliging of de privacy wetgeving. De GBA is een aparte entiteit met haar eigen wetten.
Dat passende beveiliging niets te maken heeft met echte veiligheid is ook wel gebleken bij het vastgelegde bankgeheim in o.a. Zwitserland. Ondanks dat dit bankgeheim een wettelijke basis heeft in een aantal landen, worden de banken die onvoldoende maatregelen hebben getroffen om gegevens van klanten te beschermen tegen nieuwsgierige medewerkers, niet aangepakt. Terwijl hierdoor toch mensen voor miljoenen worden gedupeerd en de Duitse regering er zelfs belastingcenten voor over heeft om via heling de gegevens te kopen. Misschien terecht, daar gaat het niet om, maar er blijkt wel weer uit dat privacy slechts een wet is in de hiërarchie van wetten.

Bescherming bijzondere gegevens

Dan is er nog de registratie van bijzondere gegevens, zoals gegevens over ras, gezondheid en geloofsovertuiging. Hiervoor gelden extra strenge regels en daar heeft je zich aan te houden. Doet je dat niet, dan overtreedt je de wet en riskeert je een boete. Daarom gelden hier een tweetal vuistregels:

1. Sla dergelijke gegevens niet op als dat niet strikt noodzakelijk is en als dit wel nodig is (bijvoorbeeld creditcard gegevens tot de betaling is ontvangen), verwijder deze gegevens dan onmiddellijk als zij niet meer nodig zijn.
2. Als je toch genoodzaakt bent om dergelijke bijzondere gegevens op te slaan, houdt deze dan gescheiden van de overige persoonsgegevens en maak ze alleen toegankelijk via een aparte unieke sleutel via een eigen autorisatiesysteem. En zorg ervoor, dat iedere raadpleging van deze bijzondere gegevens wordt gelogd en dat deze logfile daadwerkelijk wordt gecontroleerd.

Als je op deze manier omgaat met zeer gevoelige gegevens, dan realiseert je een hoge veiligheid tegen lage kosten. Natuurlijk geen 100%, maar dat is nu eenmaal  onmogelijk.

Informatiebeveiliging en privacy moet je scheiden

Informatiebeveiliging is een zaak die iedere organisatie aangaat. Informatiebeveiliging vormt een bedrijfsrisico dat ‘in control’ moet zijn. Risico’s op dit gebied moeten worden onderkend en er moet bepaald worden in hoeverre zulke risico’s afgedekt moeten worden met maatregelen. Vaak is het handig om hiervoor een niet-normatief normenkader te gebruiken zoals ISO 27002. Hierin worden meer dan 1000 best practices aangereikt, die je al dan niet kunt implementeren. (Zie ‘ISO 27001 of 27002 ‘lean en mean’ implementeren als security management systeem’). Maar als je eenmaal gekozen heeft voor een eigen norm, dan dient je die vanzelfsprekend ook na te leven.
Daarnaast heeft je bij informatiebeveiliging als randvoorwaarde te maken met wet- en regelgeving zoals de WBP. Die bevat een aantal harde eisen, waaraan je heeft te voldoen als je geen boete wilt riskeren. Het is echter zaak om dergelijke regelgeving kritisch te lezen. Vaak bevatten dergelijke teksten allerlei intenties, die echter geen harde norm zijn. Deze intenties kunt je gewoon negeren. Op deze manier hebben we ook de WBP tegen het ligt gehouden.
Het is goed om bij informatiebeveiliging niet blind te varen op de adviezen van externe adviseurs. Zij overdrijven vaak de ernst van de situatie. (Zie ook ‘Professionele informatiebeveiligers maken zich vaak ongeloofwaardig’.) In jouw organisatie gaat het om jouw normen, en die kies je zelf. Het is zaak om voor jouw organisatie een optimum te zoeken, met misschien een beperkt aantal door wet- en regelgeving opgelegde randvoorwaarden.