CBP: persoonsgegevens Suwinet niet goed beveiligd
Het UWV en de gemeente Den Bosch hebben onvoldoende maatregelen getroffen om ervoor te zorgen dat persoonsgegevens die met Suwinet worden uitgewisseld adequaat zijn beveiligd, zo blijkt uit onderzoek van het College bescherming persoonsgegevens (CBP).
Suwinet is een speciale database waarin instanties als de Belastingdienst, de IB-groep, Kadaster, Rijksdienst Wegverkeer en het UWV hun persoonsgegevens met gemeenten uitwisselen. Via Suwinet kan veel informatie over iemand worden verkregen. Dit kan bijvoorbeeld gaan om gegevens over arbeidsverleden, opleiding, alimentatie, uitkering of boetes.Volgens het CBP is het van groot belang dat deze gegevens goed zijn beschermd en dat alleen de daartoe bevoegde medewerkers bij deze gevoelige gegevens kunnen.
Zowel bij het UWV als bij de gemeente Den Bosch zijn de maatregelen niet toereikend om deze bescherming te kunnen bieden. Veel van de vereiste plannen of procedures zijn niet up to date, niet compleet of niet afgemaakt. Zowel het UWV, als beheerder van Suwinet, als Den Bosch als afnemer van Suwinet hebben geen beveiligingsplan specifiek gericht op Suwinet. Ook worden beveiligingsincidenten niet centraal geanalyseerd en afgewikkeld. Zo kan geen lering worden getrokken en kunnen geen adequate maatregelen worden genomen.
Bij het UWV wordt niet goed gelogd wie welke gegevens raadpleegt. Het CBP merkt op dat het juist van belang is en wettelijk verplicht om alle raadplegingen bij te houden, omdat daarmee onbevoegde toegang kan worden opgespoord en daartegen stappen kunnen worden ondernomen. Verder bleek dat gemeente Den Bosch onvoldoende maatregelen had getroffen om onbevoegde toegang tot Suwinet tegen te gaan. Zo was het mogelijk om voor een andere functie toegangsrechten te creëren.
Ierland
Het Ierse ministerie van Sociale Zaken had ook toegang tot Suwinet om gegevens in te zien van Ieren die in Nederland hebben gewerkt of hier een uitkering hebben ontvangen om te beoordelen of zij recht hebben op een uitkering in Ierland. Het Ierse ministerie bleek echter ten onrechte toegang te hebben tot persoonsgegevens van alle personen in Suwinet. Het UWV heeft naar aanleiding van het onderzoek de gegevensverstrekking aan Ierland via Suwinet stopgezet.
De gemeente Den Bosch en het UWV hebben naar aanleiding van het onderzoek laten weten maatregelen te gaan treffen om de persoonsgegevens beter te beschermen. Het CBP zal de komende tijd controleren of het UWV en Den Bosch de overtredingen hebben beëindigd en kan zo nodig handhavende maatregelen inzetten.
Oh die ambtenaren..
Paar vragen:
1. Welke gegevens zouden in theorie doorgegeven kunnen zijn aan Ierland? ALLES????
2. Welke straffen krijgen het UWV/Overheid hiervoor? Welke ambtenaar heeft dit goedgevonden? Wie kunnen we hier aansprakelijk voor stellen bij het UWV? (Namen graag; ik wil een proces starten! en een UWV medewerker is NIET beschermd door het bosman-arrest; is immers geen ambtenaar!)
3. Welke sancties zijn er uitgedeeld? Ik lees hier niets over; en in potentie is dus alle gegevens in deze dbase (en die is veels te uitgebreid! alle overheidsgegevens staan erin!) van 17 miljoen nederlanders gelekt..
Of komt het UWV er hier mee weg met een 'oops' ?
Ik begrijp dat het mogelijk is dat Ierland ALLE gegevens van NL heeft gedownload.... Hoe kunnen we hiervandaan die gegevens bekijken, en eventueel laten corrigeren als het niet blijkt te kloppen?
En waarom hebben we geen spoeddebat in de kamer hierover?? Neuuuu, niet nodig denkt men waarschijnlijk.. Maar dit is in potentie het grootste lek wat we ooit hebben gehad in NL.
Is er de mogelijkheid om een proces te starten tegen ierland om dit soort gegevens te laten invalideren/verwijderen?
Pffff.. Wat een typisch overheidspuinzooitje weer.... Lees me mee opstelten? Dit is het gevolg van alles maar lekker aan elkaar knopen; en niet snappen wie ergens in kan roeren.
.... of is het weer het zelfde liedje; het loont om te besparen op beveiligingskosten want als je controle krijgt, krijg je toch geen boete. Elke jaar dat het CBP niet expliciet komt controleren hou je de centen lekker in je zak....
Het CBP begint steeds meer op een grap te lijken die puur en alleen voor de bühne in het leven is geroepen ....
Wat denk je van alle gewone organisaties die zich met wel beperkte middelen een slag in de rondte werken? Om aan alle eisen te voldoen - van diezelfde overheid die voor zichzelf keer op keer uitzonderingen maakt. Zeer frustrerend en uiteindelijk gevaarlijk voor burgers.
Lees het rapport: http://www.cbpweb.nl/Pages/pb_20141203_beveiliging-suwinet.aspx
De incompetentie die werkelijk van elke pagina van dat rapport spat, wat een beschamende vertoning. Als bedrijf zou je dit niet overleven, einde verhaal. Bij de overheid is dit business as usual, iedereen blijft zitten waar ie zit en met z'n ontslagbescherming van 9-16 uur (en niet op vrijdag bellen hoor). En UWV zelf maar boetes opleggen aan anderen die zich niet aan hun regelwoud houden. Hoe scheef willen we het hebben. En dit is Nederland.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.