GDPR? Waar maakt iedereen zich zorgen over?

Mens als verwerker van persoonsgegevens blijft zwakste schakel

3 april 2017 09:23 | Eddy Van der Stock | 1

'Altijd interessant om artikels te lezen over GDPR. Enkel jammer dat er niet in staat dat dit in essentie niet echt veel verandert ten opzichte van vroegere wetgeving en dat gezond boerenverstand en slim en efficiënt omgaan met persoonsgegevens (en andere gevoelige data) nog altijd primeert.' Met deze opmerking becommentarieerde computerwetenschapper Marc Vael het zoveelste artikel op de dagelijkse lijst rond GDPR.

De kop klopt. Betrokkenen die al jaren de regelgeving volgen en toepassen, vragen zich af waarover iedereen zich eigenlijk druk maakt. Hebben we dan al die jaren op een andere planeet geleefd, op een plek waar de bescherming van persoonsgegevens geen enkel belang had? Het lijkt alsof we pas belang aan iets hechten als het 'duur' wordt.
Duur in eerste instantie omdat iedereen die de vier karakters GDPR nog maar net kan uitspreken aan het einde van het gesprek een torenhoge factuur op tafel mag leggen – wat ook nog eens aanvaard wordt. Maar vooral duur omdat er met een zware boetehamer wordt gezwaaid. Weliswaar nog niet gedefinieerd, maar 'het zal zwaar zijn', vertelde een consultant mij toen ik onwetend de vraag stelde.
Net zoals in het verkeer of bij het betalen van belastingen, komen we als goede kinderen van ons speciaal landje pas in beweging als er gedreigd wordt met sancties. Dus GDPR krijgt aandacht, want die gaat ons bij overtreding 'geld kosten'. Niet zozeer de eis dat de gegevens van een persoon (en bij uitbreiding sociale, medische, juridische en andere persoonlijke gegevens) niet zomaar op de straatstenen mag terechtkomen, houdt ons wakker, wel dat het geld zal kosten als het gebeurt.

Informatieveiligheid

Eén van de redenen waarom de openbare centra voor maatschappelijk welzijn in België sneller informatieveiligheid hebben omarmd dan hun moederorganisaties – steden en gemeenten – is net deze. De dreiging om afgesneden te worden van de kruispuntbank sociale zekerheid en het mogelijk afsnijden van bepaalde subsidiekanalen, zette hen collectief aan om te luisteren naar personen die iets hadden te vertellen over de bescherming van persoonsgegevens.
Gemeenten echter die in datzelfde kader maar binnen het domein van het gebruik van het rijksregister al langer een aantal maatregelen dienden te treffen, bleven onbeweeglijk. Waarom zouden ze ook? Wat was de kans dat er iets gebeurde?
Maar de ergste vraag die permanent opdook, was hoeveel kost het aan boetes als men niet voldeed? Het antwoord was niks, dus kwam er weinig schot in de zaak.
Zo bleef onder meer het aanstellen van een informatieveiligheidsconsulent jarenlang uit. De persoon die de interne verwerking van de persoonsgegevens mee bewaakte, werd op papier aangeduid; cumulfuncties voor tijdens de koffiepauzes, of extern, waarbij diezelfde figuur pakweg twintig andere entiteiten een generiek plan aanreikte.
De jarenlange pleidooien aan belangenverenigingen om informatieveiligheid door de organisatie en zijn verantwoordelijken te laten adopteren in een cel werden slechts mondjesmaat toegepast, maar staan nu wel hoog op de agenda.
GDPR versterkt de integratie van specialisten in de organisatie, door de aan te wijzen 'data protection officer' - een persoon met 'expert knowledge' over privacy en databeveiliging – te verplichten kennis van de bedrijfsspecifieke dataprocessen te hebben. In het wilde weg aanduiden van een Chinese vrijwilliger is niet langer voldoende, maar evenmin de externe begeleiding die op een vrijdagmiddag vier uurtjes aan 'veiligheid' in de organisatie komt werken.

Persoonsgegevens

De verantwoordelijkheid ligt zowel bij diegene die de persoonsgegevens gaat bewaren als bij diegene die ze gaat verwerken; accentverschillen die totaal uiteenlopende situaties creëren bij wat de kern van de GDPR is. Die kern namelijk – en voor mijn part het enige belangrijkste versterkt aandachtspunt – is de manier waarop de gebruiker toestemming moet verlenen voor de verwerking van zijn of haar data, en de manier waarop deze geïnformeerd moet worden bij datalekken.
Technologieverkopers en juristen zullen aan deze verordening en haar uitvoering nog een vette kluif hebben, maar net zoals Marc sluit ik me aan bij de groep die dit dossier onder de categorie 'gezond boerenverstand' wil blijven plaatsen.

Bewustwording

Als iedereen zichzelf verplaatst in de huid van de persoon van wie ze de gegevens verwerken of bewaren - met de kernvraag 'hoe zou ik hiermee omgaan als dit mijn gegevens waren?' - dan zijn we al een heel eind. Want hoe sterk ook het technologisch Fort Knox gebouwd mag zijn, hoe groot ook de juridische expertkennis in de organisatie, de mens als verwerker van die gegevens blijft de zwakste schakel.
Daarom blijft het belangrijk om medewerkers in de organisaties die persoonsgegevens verwerken permanent bewust te houden van de mogelijke valkuilen. Met simpele instrumenten en bewustmakingscampagnes rond een goed paswoordbeleid, het niet laten rondslingeren of onnodig uitwisselen van lijsten met persoonsgegevens, et cetera, bereik je veel meer dan met de zoveelste ingewikkelde en duurbetaalde 'GieDiePieaaR'-uiteenzetting.
Maar hoe wapenen we ons dan tegen die dreiging waarbij de wereld lijkt te vergaan? Zorg vooral dat de organisatie nadenkt over informatieveiligheid. Creëer een cel met gelijkgestemden, ondersteun bij voorkeur de interne veiligheidsspecialist die de juiste kennis mag opdoen en bouw samen stapsgewijs aan een gezond beleid rond de bescherming van persoonsgegevens en aanverwante informatie. Voor de publieke sector blijven de richtsnoeren een zeer mooie en begrijpbare set en kan je met de risico- en maturiteitsmeting al flink aan de slag.
Eddy Van der Stock, voorzitter bij de Vlaamse ICT organisatie (V-ICT-OR)

http://www.computable.be/artikel/opinie/security/5990440/5682740/gdpr-waar-maakt-iedereen-zich-zorgen-over.html

March 31, 2017

Encryption to come under renewed fire from European Commission in June

This article originally appeared on SC Magazine UK.

Encryption will face a make it or break it moment in June when the European Commission lays out new options for forcing internet companies to hand over the keys.

European Commission

D-Day for encryption may be here sooner than you think. The EU justice commissioner Věra Jourová said this week that the European Commission will propose in June new measures to enable police to access data from encrypted apps.

Jourová said there will be three or four options proposed including binding legislation and voluntary agreements with companies.

The goal is to enable police to demand access to encrypted data and get a “swift, reliable response”, according to the website euractiv.com.

The announcement follows comments from UK home secretary Amber Rudd at the weekend that law enforcement should be empowered to break encryption on demand.

Speaking on BBC One's Andrew Marr show, Rudd spoke of an era when law enforcement would “steam open envelopes, or just listen in on phones, when they wanted to find out what people were doing”, adding: “We need to make sure that our intelligence services have the ability to get into encrypted situations like WhatsApp.”

Rudd suggested that such encrypted communication apps “give terrorists a place to hide”.

However, the shadow digital economy minister, Louise Haigh MP, speaking in the House of Commons, asked whether the government wasn't breaking a promise it made during the debate on the Investigatory Powers Act last year.

Haigh said: “The Lord Howe said back in October, ‘The assertion that the Government are opposed to encryption or would legislate to undermine it is fanciful.'”

Commenting afterwards, Haigh told SC Media UK: “This represents a step change from the settlement agreed just four months ago in the Investigatory Powers Act and it raises serious questions about privacy and user security. Cyber-security is a national priority and our digital sector depends on it being guaranteed. Weakening that would be a mistake and Ministers must urgently clarify their proposals.”

From a European perspective, the objectives, at least, seem very clear.

German interior minister Thomas de Maizière and French minister of the interior Matthias Fekl see nothing special about encrypted communications, telling MEPs that forcing internet service providers to break encryption is no different than laws requiring telecom operators to facilitate wiretapping, subject to the usual safeguards.

Technology firms take this to mean weakening encryption by installing ‘backdoors', but de Maizière rejected suggestions that it would be necessary to install backdoors in the products to achieve this, claiming other solutions may be available.

Proposed changes to the EU ePrivacy law would extend the laws from telecoms services to including internet services and allow national governments to ignore some privacy rules in the interests of national security. However, the changes don't cover encryption and some countries are complaining they have no power to compel internet providers to divulge secure data.

Meanwhile, intelligence agencies and law enforcement appear to be targeting devices as a way to intercept data before it's encrypted, raising the possibility that encryption backdoors will become a moot point.