Privacy  

Internetconsultatie besluit tot wijziging van het Besluit elektronische handtekeningen in verband met een meldingsplicht voor beiligheidsinbreuken en integriteitsverlies betreffende gekwalificeerde certificaten, 20 februari - 20 maart 2013.

Met dit besluit wordt een meldplicht ingevoerd voor certificatiedienstverleners ten aanzien van gekwalificeerde certificaten, in het geval er sprake is van een inbreuk op de veiligheid of een verlies van integriteit met aanzienlijke gevolgen voor de betrouwbaarheid of vertrouwelijkheid van de betreffende certificaten.

Concept regeling Besluit tot wijziging van het Besluit elektronische handtekeningen in verband met een meldingsplicht Versie consultatieversie | 62 kB

Doelgroepen die door de regeling worden geraakt
Certificatiedienstverleners t.a.v. gekwalificeerde certificaten.

Doel van de regeling
Doel van de regeling is de invoering van een meldplicht bij incidenten ten behoeve van de toezichthouder, zodat deze zijn taak beter kan uitoefenen omdat de impact sneller wordt onderkend en er effectiever kan worden opgetreden. Daarnaast kan melding leiden tot snelle hulp en ondersteuning om de gevolgen van een incident te beperken en op te lossen.

Verwachte effecten van de regeling
De invoering van een meldplicht zal leiden tot een betere taakuitoefening van de toezichthouder omdat de impact van inbreuken sneller wordt onderkend en er effectiever kan worden opgetreden. Daarnaast kan melding leiden tot snelle hulp en ondersteuning om de gevolgen van een incident te beperken en op te lossen.

Doel van de consultatie
Verwerven en in kaart brengen van reacties.

Op welke onderdelen van de regeling wordt een reactie gevraagd
De gehele regeling en de bijbehorende nota van toelichting

Publicatie reacties
Reacties worden gepubliceerd nadat de consultatie is gesloten. Alleen die reacties worden gepubliceerd waarvan is aangeven, door de inzender, dat deze openbaar mogen zijn.

Hof Arnhem-Leeuwarden, locatie Arnhem 12 februari 2013, LJN BZ0644 (Piketadvocaten tegen De Raad voor Rechtsbijstand)

Verwerking van persoonsgegevens. Geheimhoudingsplichten. Onrechtmatig handelen.

De zaak gaat over de vraag in hoeverre de Raad onrechtmatig handelt jegens de Piketadvocaten door van hen te verlangen om mee te werken aan het zogenaamde peer-reviewsysteem. Daarmee beoogt de Raad een kwaliteitsoordeel te verkrijgen over de gefinancierde rechtsbijstand, die de Piketadvocaten verlenen aan personen die op grond van de Wet bijzondere opnemingen in psychiatrische ziekenhuizen gedwongen worden opgenomen in psychiatrische ziekenhuizen.

De Piketadvocaten hebben in het onderhavige kort geding gesteld dat de Raad onrechtmatig jegens de Piketadvocaten handelt door het peer-reviewsysteem in te voeren. De Raad verlangt namelijk van de Piketadvocaten om hun cliëntdossiers over te leggen, terwijl zij als advocaat en tevens uit hoofde van de medische aard van de in die dossiers opgenomen gegevens, verplicht zijn tot geheimhouding daarvan. Het hof is voorts van oordeel dat de door de Raad voorziene peer-reviewprocedure, waarin is voorzien in de afgifte en doorzending van kopiedossiers, valt onder de definitie van verwerking van persoonsgegevens, gegeven in artikel 1 onder b. Wbp.

Het feit dat de secretaris en de Peer eveneens verplicht zijn tot geheimhouding neemt niet weg dat door de toezending aan hen van de kopiedossiers waarin (medische en andere) persoonsgegevens zijn opgenomen, de kring van personen die van die gegevens kennis dragen groter wordt, zodat het daarbij gaat om verspreiding van de gegevens. Het hof concludeert dat de Raad in het kader van het peer-reviewsysteem van de Piketadvocaten verlangt om geheimhoudingsplichten te schenden en dat dit onrechtmatig is. Het hof vernietigt het vonnis van de voorzieningenrechter en ontslaat de Piketadvocaten uit de verplichting om deel te nemen aan het peer-reviewproject.

4.17.  Uit de in artikel 1 onder a. en onder c. Wbp gegeven definities blijkt dat de cliëntendossiers, die de Raad wil laten inzien door de Peers, telkens aangemerkt moeten worden als onderdeel van een bestand in de zin van de Wbp. In elk van die dossiers bevindt zich namelijk een geheel van gegevens betreffende een geïdentifi¬ceerde of, na volledige anonimisering: identificeerbare natuurlijke persoon (de cliënt), zodat het daarbij om “persoonsgegevens” gaat. Het dossier maakt op zijn beurt deel uit van de verzameling van cliëntdossiers, die de betrokken advocaat heeft aangelegd en die in praktijk als één geheel wordt beschouwd en die, zoals de Raad ook niet heeft betwist, plegen te zijn gestructureerd en volgens bepaalde criteria toegankelijk zijn. Naar het oordeel van het hof is de Wbp daarom van toepassing op de door de Raad voorziene toezending van (geanonimiseerde) cliëntendossiers aan de secretaris van de CPR en aan de Peers.

4.21.  Het feit dat de secretaris en de Peer eveneens verplicht zijn tot geheimhou¬ding neemt niet weg dat door de toezending aan hen van de kopiedossiers waarin (medische en andere) persoonsgegevens zijn opgenomen, de kring van personen die van die gegevens kennis dragen groter wordt, zodat het daarbij gaat om verspreiding van de gegevens. Hetzelfde geldt voor het feit dat de dossiers binnen korte tijd moeten worden vernietigd: de persoonsgegevens zijn dan reeds verspreid.

4.23.  Op grond van het vorenstaande moet voorshands geconcludeerd worden dat de Raad in het kader van het Peer Reviewsysteem van de Piketadvocaten verlangt om geheimhoudingsplichten te schenden en dat dit onrechtmatig is. Het gevorderde verbod kan echter slechts tussen de Piketadvocaten en de Raad gelden, aangezien anderen dan partijen in de procedure aan de uitspraak geen rechten kunnen ontlenen. Dit leidt tot gedeeltelijke afwijzing van de vordering.

Op andere blogs:
SOLV (Peer Reviewsysteem voor advocaten in strijd met privacyregels)

Rechtbank Zeeland-West-Brabant, locatie Bergen op Zoom 13 februari 2013, LJN BZ 1215 (Artel, Inkoopcentrum voor beeldende kunstenaars B.V. tegen verweerster)

Als randvermelding. Rechtspraak.nl. Inbreuk op privé e-mailaccount werkgever (en meer) is te bestempelen als ernstig verwijtbaar handelen van werknemer. De werkgever heeft zich echter, gezien de inhoud van de desbetreffende e-mailberichten, ook niet onbetuigd gelaten. Hoewel het geheel van handelen van de werknemer als dringende reden voor ontbinding van de arbeidsovereenkomst zou kunnen worden gezien, voert het conflict tussen partijen de boventoon, zodat (voorwaardelijk) zal worden ontbonden op grond van gewijzigde omstandigheden, gelegen in een verstoorde arbeidsverhouding.

Op andere blogs:
Ius Mentis (Hacken van mailboxen tijdens een arbeidsconflict)

Antwoord vragen van het lid Schouw over het bericht dat Nederland overweegt haar steun aan de EU-privacyvoorstellen in te trekken, 13 februari 2013, Aanhangsel van de Handelingen II  nr.1296

Staatssecretaris Teeven geeft antwoord op de vraag op welke punten uit het privacyvoorstel op dit moment in de onderhandelingen een blokkerende minderheid dreigt te ontstaan? lid Schouw stelt tevens de vraag hoe Nederland zich verhoudt tot de kritiekpunten van landen als Duitsland en Groot-Brittannië die mogelijk een blokkerende minderheid zullen vormen? En indien staatssecretaris Teeven niet voornemens is de steun aan de privacyvoorstellen in te trekken, of expliciet kan worden bevestigt dat het steunen van een blokkerende minderheid niet aan de orde is?

Antwoord op de vragen:
Ik heb geen concrete aanwijzingen van het bestaan of vormen van een blokkerende minderheid bij de onderhandelingen over de genoemde voorstellen. Van het zich al dan niet aansluiten bij een dergelijke minderheid is daarom ook geen sprake. Het is de Kamer bekend dat Nederland net als alle andere lidstaten over de privacyvoorstellen standpunten inneemt. Het is de Kamer eveneens bekend welke standpunten Nederland inneemt. Ik houd de Kamer daarvan periodiek op de hoogte. Ik span mij in om die standpunten zo goed mogelijk voor het voetlicht te krijgen, en zo veel mogelijk daarvan in het eindresultaat terug te kunnen zien.

Beantwoording van kamervragen door staatssecretaris Dekker (OCW) mede namens de minister van Economische Zaken over het bericht dat de cookiemuur van de Publieke Omroep niet rechtsgeldig is, Aanhangsel van de Handelingen II, nr.1299

Zie ook IT 980.

Reactie op artikel 'CBP tikt publieke omroep op vingers om cookiemuur'.
OPTA is belast met het toezicht op naleving van de cookiebepaling. Het is dus aan OPTA om een oordeel te vellen over de rechtmatigheid van de handelwijze van de NPO in het licht van de cookiebepaling. OPTA ziet daarbij toe op de eisen die volgen uit artikel 11.7a van de Telecommunicatiewet dat een ieder die cookies wenst te plaatsen hierover de gebruiker moet informeren en daartoe toestemming moet hebben verkregen. In het geval er tevens sprake is van de verwerking van persoonsgegevens is daarnaast het CBP als toezichthouder bevoegd, omdat dan ook de Wet bescherming persoonsgegevens van toepassing is. Hierbij speelt het in artikel 11.7a, eerste lid, van de Telecommunicatiewet opgenomen rechtsvermoeden een rol. Het CBP mag aannemen dat er bij de door de Ster geplaatste tracking cookies sprake is van de verwerking van persoonsgegevens, tenzij de NPO, respectievelijk de Ster aantoont dat er in dit geval geen sprake is van de verwerking van persoonsgegevens. Het rechtsvermoeden in de cookiebepaling brengt niet met zich mee dat er bij tracking cookies per definitie sprake behoeft te zijn van verwerking van persoonsgegevens. Het rechtsvermoeden blijft weerlegbaar, het legt alleen de bewijslast bij de cookieplaatser. Alleen als de NPO niet kan aantonen dat de verzamelde gegevens niet herleidbaar zijn tot een identificeerbaar natuurlijk persoon is sprake van verwerking van persoonsgegevens die aan de eisen van de Wet bescherming persoonsgegevens moet voldoen.

Websites beschikbaar maken voor bezoekers zonder cookies gezien de monopoliepositie van de NPO.
Het is belangrijk dat de websites van de NPO voor een breed publiek toegankelijk zijn. Daarnaast is het belangrijk dat de NPO voldoende inkomsten kan genereren om een interessant (digitaal) aanbod te kunnen doen zeker in tijden van bezuinigingen. Er zal daarom de komende maand met de NPO worden overlegd of een andere aanpak mogelijk is. Dit doet niet af aan het feit dat het aan de beide toezichthouders is, OPTA en CBP, om te beoordelen in hoeverre de Telecommunicatiewet, respectievelijk de Wet bescherming persoonsgegevens door de NPO wordt overtreden.

Voor basisfuncitonaliteiten van NPO-sites zijn geen tracking cookies nodig, voor mensen die hun privacy niet aangetast willen zien moet de sites dus gewoon bruikbaar zijn?
Ja, voor de basisfunctionaliteiten en het vastleggen van gegevens over het gebruik zijn geen tracking cookies nodig. Verder is het ook nadrukkelijk niet de bedoeling van de NPO om mensen in hun privacy aan te tasten. De NPO stelt dan ook dat de door de NPO en Ster gebruikte tracking cookies niet herleidbaar zijn tot individueel identificeerbare personen, en dat het gestelde rechtsvermoeden aldus kan worden weerlegd. De NPO heeft getracht bij de toepassing en het gebruik van cookies een goede balans te vinden tussen toegankelijkheid van publieke audiovisueel materiaal, privacy van gebruikers, de mediawettelijke verplichtingen en de commerciële exploitatie van de Ster op het internet. Gelet op de daaropvolgende maatschappelijke discussie en de verschillende methoden die in het mediaveld worden gebruikt, heeft de NPO na overleg aangegeven de mogelijkheden voor een gedifferentieerde toestemming uitgebreid te zullen onderzoeken.

Rb. Oost-Brabant 15 februari 2013, parketnr. 01/820892-12 (Henk Krol)

Uit 't persbericht: De rechtbank Oost-Brabant heeft een 62-jarige man uit Eindhoven veroordeeld tot een geldboete van 750 euro wegens het meerdere malen plegen van computervredebreuk. De man drong onbevoegd binnen bij cyberlab.diagnostiekvooru.nl en gebruikte daarbij inloggegevens die hij kreeg van een patiënt van het centrum. Die had die gegevens afgeluisterd van een psychiater die in het centrum werkt.

De Eindhovenaar heeft diverse medische dossiers en gegevens bekeken en geprint. Volgens hem was dit gerechtvaardigd omdat hij als journalist en Statenlid wilde aantonen dat deze gevoelige informatie over individuele patiënten door onbevoegden gemakkelijk is te raadplegen. Hij gaf aan dat het beschermen van de (gegevens van) patiënten zijn enige doel was.

De rechtbank stelt voorop dat elke inbreuk op een geautomatiseerd werk zonder toestemming van de rechthebbende strafbaar is. Alleen onder zeer bijzondere omstandigheden kunnen er hogere belangen zijn die zo’n inbreuk kunnen rechtvaardigen. De rechtbank is het met de verdachte eens dat het aantonen van gebreken bij de bescherming van vertrouwelijke, medische gegevens een wezenlijk maatschappelijk belang kan dienen.

De rechtbank acht het dan ook gerechtvaardigd dat de man, voordat hij verdere stappen ondernam, eerst zelf vaststelde of de bevindingen van zijn ‘tipgever’ juist waren. Het inloggen op de website en het vervolgens raadplegen van enkele dossiers acht de rechtbank in dit geval dan ook niet wederrechtelijk. Ook vindt de rechtbank het verdedigbaar dat er in deze situatie prints zijn gemaakt om de omvang van de tekortkoming en het gevaar daarvan te kunnen aantonen. De rechtbank oordeelt dat de man daarbij zorgvuldig heeft gehandeld door de prints te anonimiseren.

Dat de Eindhovenaar daarnaast nog meer gegevens van anderen heeft geraadpleegd en geprint, acht de rechtbank niet proportioneel. Hij had immers met de al verzamelde gegevens zijn punt kunnen maken. Daarnaast oordeelt de rechtbank dat de man niet meteen naar de media had moeten stappen. Hij had Diagnostiek voor U ruimer de kans moeten geven te reageren en het niet bij een poging moeten laten. De rechtbank stelt dat er in dit geval ook geen sprake was van een technisch gebrek aan het computersysteem van Diagnostiek voor U. Eén gebruiker was onzorgvuldig met zijn inloggegevens en wachtwoord omgegaan. De verdachte had dan ook geen concrete aanwijzingen dat andere personen over deze inloggegevens beschikten. Daarom was het probleem ook niet zo acuut dat onmiddellijke inschakeling van de media noodzakelijk was.

Straf
De rechtbank is van oordeel dat het plegen van computervredebreuk een ernstig misdrijf is, zeker als dit met de bedoeling is om schade toe te brengen. In deze zaak wilde de verdachte door het plegen van de feiten de tekortkomingen publiek bekend maken die hij in het computersysteem van Diagnostiek voor U signaleerde.

De rechtbank twijfelt bij dit alles niet aan de goede bedoelingen van de verdachte. De rechtbank is echter van oordeel dat hij daarbij wel de grenzen van proportionaliteit en subsidiariteit heeft overschreden. Er bestaat bij de rechtbank geen aanleiding te vrezen dat de Eindhovenaar dit strafbare feit nogmaals zal plegen en daarom wordt uitsluitend een onvoorwaardelijke geldboete opgelegd. In dit opzicht wijkt de rechtbank af van de eis van de officier van justitie.

Medeverdachte
De rechtbank legt de man die de inloggegevens aan de Eindhovenaar verstrekte en hielp bij het inloggen een geheel voorwaardelijke geldboete op van 250 euro.

Op andere blogs:
Ius Mentis (Henk Krol krijgt pluim en boete voor journalistieke hack EPD)
Webwereld (Rechtbank geeft Henk Krol pluim en boete)

OPTA, Veelgestelde vragen over de cookiebepaling, advies 7 februari 2013, opta.nl

OPTA ontvangt regelmatig vragen van bedrijven en (overheids)instellingen over de cookiebepaling. De antwoorden op veelgestelde vragen publiceert OPTA op haar website om duidelijkheid te bieden aan partijen die de wet willen naleven. OPTA vult dit document regelmatig aan met nieuwe veelgestelde vragen en antwoorden. Deze publicatie is een update van de versie van 30 juli 2012.

OPTA geeft geen juridisch advies. Bedrijven en websitebeheerders zijn zelf verantwoordelijk voor de wijze waarop zij praktische invulling geven aan de nieuwe cookiebepaling. Consumenten die meer willen weten over cookies, kunnen terecht op ConsuWijzer.

CBP, Hogescholen verbeteren beveiliging studentgegevens na onderzoek CBP, cbpweb.nl 7 februari 2013.

Uit't persbericht: Hogeschool Utrecht (HU) en Hogeschool van Arnhem en Nijmegen (HAN) hebben onvoldoende beveiligingsmaatregelen getroffen om de studentgegevens in interne informatiesystemen te beveiligen tegen verlies of onrechtmatige verwerking. Dat concludeert het College bescherming persoonsgegevens (CBP) na onderzoek. De hogescholen overtreden hiermee de Wet bescherming persoonsgegevens (Wbp). De beveiliging van studentgegevens zoals studieresultaten, foto's, informatie over leningen of notities van decanen is juist van groot belang. Studenten moeten erop kunnen vertrouwen dat hun persoonsgegevens bij hun school in goede handen zijn en dat hun privacy is gewaarborgd. Scholen moeten voorkomen dat onbevoegden persoonsgegevens zoals cijfers kunnen wijzigen in het systeem. Beide hogescholen hebben naar aanleiding van het CBP-onderzoek maatregelen genomen om de informatiesystemen beter te beveiligen. Bij de HU missen nog meerdere beveiligingsmaatregelen. De HAN heeft nog één overtreding openstaan.

Lees het rapport van definitieve bevindingen mbt Stichting Hogeschool Utrecht (370 KB)

Lees het rapport van definitieve bevindingen mbt Stichting Hogeschool Arnhem en Nijmegen (386 KB)

Raad van State 30 januari 2013, LJN BY9910 (appellante tegen college B&W Zevenaar)

Bij besluit van 23 december 2009 heeft het college aan [appellante] medegedeeld dat haar betreffende persoonsgegevens worden verwerkt in het kader van haar voormalig dienstverband bij de gemeente Zevenaar en kopieën van documenten met haar betreffende persoonsgegevens uit de personeels- en salarisadministratie verstrekt.

Bij besluit van 23 december 2009 heeft het college aan [appellante] medegedeeld dat haar betreffende persoonsgegevens worden verwerkt in het kader van haar voormalig dienstverband bij de gemeente Zevenaar en kopieën van documenten met haar betreffende persoonsgegevens uit de personeels- en salarisadministratie verstrekt.

Bij besluit van 1 juli 2010 heeft het college het door [appellante] daartegen gemaakte bezwaar, voor zover gericht tegen het niet toevoegen van enkele documenten aan haar personeelsdossier, gegrond verklaard en afschriften van die documenten toegevoegd aan het personeelsdossier van [appellante] en deze alsnog aan [appellante] verstrekt. Bij dat besluit is het bezwaar voor het overige ongegrond verklaard.

5.3 (...) De rechtbank heeft het college terecht en op goede gronden gevolgd in zijn standpunt dat de hierboven onder 1, 3 tot en met 13 en 15 vermelde documenten geen deel uitmaken van een bestand als bedoeld in de Wbp. [appellante] heeft niet aannemelijk gemaakt dat de in die documenten opgenomen persoonsgegevens op grond van meer dan één kenmerk een onderlinge samenhang vertonen dan wel dat die persoonsgegevens met de in de personeels- en salarisadministratie verwerkte persoonsgegevens een gestructureerd geheel vormen. Dat het college de onder 8 tot en met 11 vermelde besluitadviezen, onder anonimisering van de daarin vervatte persoonlijke beleidsopvattingen, naar aanleiding van een verzoek op grond van de Wet openbaarheid van bestuur aan [appellante] heeft verstrekt, maakt niet dat de daarin vermelde persoonsgegevens behoren tot een bestand en daarmee onder de Wbp vallen.

De rechtbank heeft de onder 16 vermelde digitale mappen terecht niet aangemerkt als een gestructureerd geheel van persoonsgegevens. Die digitale mappen zijn aangemaakt, gevuld en van informatie voorzien door individuele ambtenaren op de server van de gemeente Zevenaar in het kader van hun dagelijkse werkzaamheden. [appellante] heeft niet aannemelijk gemaakt dat in die mappen opgenomen persoonsgegevens een gestructureerd geheel van persoonsgegevens vormen dat volgens bepaalde criteria toegankelijk is. Gelet hierop wordt [appellante] niet gevolgd in haar standpunt dat de rechtbank voor het geven van haar oordeel gehouden was kennis te nemen van de inhoud en toegankelijkheid van die mappen.

Op andere blogs:
DirkzwagerIEIT

Reactie CBP op gebruik cookies door Nederlandse Publieke Omroep, 31 januari 2013, kenmerk z2013-0056.

Onlangs zijn Kamervragen gesteld en beantwoord over het gebruik van cookies op de websites van de Nederlandse Publieke Omroep (NPO). Als reactie hierop geeft het College bescherming persoonsgegevens (CBP) in een brief een toelichting op het toepasselijke wettelijke kader. Het CBP merkt op dat de NPO bezoekers niet de toegang mag weigeren als zij geen toestemming geven voor het laten volgen van hun surfgedrag.

(...)

Analytische cookies
In de beantwoording van de Kamervragen staat dat de NPO analytische cookies, net als functionele cookies, nodig heeft voor het optimaal uitoefenen van zijn mediawettelijke taak. Dit maakt het gebruik van analytische cookies echter niet noodzakelijk in de zin van de Tw en daarom blijft hiervoor toestemming vereist.

Cookies voor reclamedoeleinden en sociale media
Cookies voor reclamedoeleinden en sociale media zijn niet-functionele cookies waarvoor op grond van de Tw toestemming moet worden gevraagd. Sinds 1 januari 2013 geldt bovendien het rechtsvermoeden dat de gegevens die cookies verzamelen, persoonsgegevens zijn. Daarom is ook op grond van de Wbp toestemming vereist voor het verzamelen en verwerken van deze gegevens.

Wat betreft de tracking cookies voor sociale media is er bovendien een eenvoudig alternatief voor de werkwijze van de NPO. Een veelgebruikte publieks- en privacyvriendelijke oplossing is het werken met niet-actieve, ‘grijze’ knoppen voor sociale media. Als een bezoeker met de muis over de knoppen gaat wordt specifieke informatie getoond. Pas nadat een bezoeker actief op een dergelijke knop heeft geklikt, kan het sociale netwerk een cookie plaatsen.

Toestemming voor gebruik cookies
De NPO biedt bezoekers geen andere keuze dan (in een keer) toestemming te geven voor alle soorten cookies, inclusief tracking cookies. Wie deze toestemming weigert, krijgt geen toegang tot de - met publiek geld verspreide - informatie en uitzendingen van de publieke omroepen. Er is echter geen (digitaal) alternatief beschikbaar, waardoor kan worden gesteld dat de NPO een situationele monopoliepositie heeft. Door het afdwingen van toestemming voor tracking cookies betalen bezoekers feitelijk bij elk bezoek met hun persoonsgegevens. Van in vrijheid gegeven, rechtsgeldige toestemming is daarom geen sprake.