Organisaties die persoonsgegevens verwerken zijn wettelijk verplicht zorg te dragen voor goede beveiliging van die data. Welke maatregelen exact moeten worden genomen is echter onduidelijk. Een organisatie moet 'passende technische en organisatorische maatregelen' nemen, rekening houdend met 'de stand van de techniek'. De publicatie van het College bescherming persoonsgegevens (CBP) heeft nu `Richtsnoeren beveiliging van persoonsgegevens' gepubliceerd die hierin duidelijkheid moeten scheppen.
De richtsnoeren leggen uit hoe het CBP bij het onderzoeken en beoordelen van beveiliging van persoonsgegevens de beveiligingsnormen uit de Wet bescherming persoonsgegevens (Wbp) toepast. De richtsnoeren vormen de verbindende schakel tussen het juridisch domein, met daarbinnen de eisen uit de Wbp, en het domein van de informatiebeveiliging, waarin de noodzakelijke kennis en kunde aanwezig is om daadwerkelijk aan die eisen te voldoen. De richtsnoeren treden 1 maart 2013 in werking.
Een gemiddelde burger in Nederland zit met zijn gegevens in honderden tot duizenden bestanden, zowel in de publieke als de private sector. Iedereen moet er op kunnen vertrouwen dat zijn persoonsgegevens voldoende worden beveiligd. Onvoldoende beveiliging kan leiden tot verlies en diefstal van persoonsgegevens en vervolgens tot misbruik van persoonsgegevens, zoals identiteitsfraude. Bedrijven en overheden die persoonsgegevens verwerken moeten deze volgens de Wet bescherming persoonsgegevens (Wbp) beveiligen en hiervoor passende technische en organisatorische maatregelen nemen. "Verantwoord omgaan met persoonsgegevens staat of valt met een adequate beveiliging. Denk na over beveiliging vóórdat je persoonsgegevens gaat verzamelen en laat het een blijvend punt van aandacht zijn", aldus Wilbert Tomesen, collegelid van het CBP.
?Lees de richtsnoeren `Beveiliging van persoonsgegevens' (5,5 MB)
Lees de samenvatting van de Richtsnoeren `Beveiliging van persoonsgegevens' (55 KB)
?Onderzoeken datalekken
Het CBP heeft in 2012 28 beveiligings- en datalekken onderzocht. De meeste van die onderzoeken zijn inmiddels afgerond. Bij de beveiligingslekken ging het vaak om webformulieren waar de betrokkenen allerlei persoonsgegevens moesten invullen die vervolgens onbeveiligd via het internet werden verstuurd. Regelmatig ging het daarbij ook om medische of fraudegevoelige persoonsgegevens. Bij de datalekken ging het vaak om twee veel voorkomende vormen van hacking: SQL-injectie en cross site scripting. De persoonsgegevens die met deze vormen van hacking werden verkregen waren in veel gevallen niet versleuteld, zodat ze vervolgens nog verder konden worden misbruikt voor bijvoorbeeld de toezending van frauduleuze e-mails.
Bedrijven en overheden zijn nog niet verplicht datalekken te melden. Er is wetgeving in de maak die een meldplicht datalekken invoert.
