Het datalek is geen onderschept email adres, het is een menselijke fout, met gegevens uit een database.
Dat je je email adres niet-versleuteld naar een HTTP site stuurt heeft geen relatie met deze fout.

Als je in het systeem staat, kan deze fout optreden.

Als je je email adres versleuteld naar een site stuurt, wordt nog steeds het email adres opgeslagen aan de andere kant. Van daaruit treedt de fout op.

duuuus...
Als jij je eigen mailadres aan een ander doorgeeft middels een email is dat geen datalek, maar een data doorgifte.
Een ijsje kopen is ook geen diefstal.
Dat iemand je mail onderweg kan onderscheppen is ook geen datalek, maar een mogelijk datalek. Als jij je data niet beveiligd verstuurt, dan is ook dat geen datalek, omdat het je eigen data is. Vergelijk het met je creditcard fotograferen en samen met je dinges-code op Facebook zetten. Dom, maar geen lek. Een colafles leeggieten is ook dom, maar de fles is niet lek.

Slaat een ander je data op (bekertje cola), en laat die het weglekken, dan is er wel een lek.

Definitie datalek:

We spreken van een datalek als persoonsgegevens in handen vallen van derden die geen toegang tot die gegevens zouden mogen hebben. Een datalek is het gevolg van een beveiligingsprobleem. In de meeste gevallen gaat het om uitgelekte computerbestanden, al kan een gestolen geprinte klantenlijst evengoed een datalek vormen.
Illegaal verkregen bedrijfsgegevens over een productieproces of marktstrategie betreffen kostbare informatie, maar vallen niet onder de gangbare definitie van datalek.

Bron: http://www.justitia.nl/privacy/datalekken.html

Uit de zin
(https://www.security.nl/posting/465759/AP+adviseert+fysiotherapeuten+over+beveiligen+contactformulier), en dan vooral het stukje 'bijzondere persoonsgegevens' haal ik eigenlijk het antwoord: e-mailadres kan wel over http.

Als dat niet zou mogen zouden ook alle smtp verbindingen verplicht versleuteld moeten zijn. (zou trouwens geen gek idee zijn)

en
Onzin.

Uit http://wetten.overheid.nl/BWBR0011468/, artikel 13:
Spammers misbruiken hun kennis van (deels evident op onrechtmatige wijze verkregen) e-mail adressen, door -naast irritante (tijd en energieverspillende, dus geld kostende) spam- o.a. ransomware e-mails te verzenden. Het gaat hierbij dus onmiskenbaar om onrechtmatige verwerking van persoonsgegevens, met potentieel ernstige consequenties voor gebruikers.

De verantwoordelijke dient derhalve passende technische en organisatorische maatregelen ten uitvoer te leggen om dergelijke persoonsgegevens te beveiligen.

Onderbouwing: veel mensen maken, bij het bezoeken van websites, gebruik van onveilige WiFi verbindingen e/of onveilige (thuis) routers). Daarbij hebben verreweg de meeste van deze mensen onvoldoende mogelijkheden en/of kennis om betrouwbaar vast te stellen of zij gebruikmaken van een veilige verbinding.

In verreweg de meeste gevallen geldt echter, dat e-mail die wordt uitgewisseld tussen het door die mensen gebruikte device en mail server, wel veilig wordt uitgewissel, ook indien van onveilige WiFi en/of home router gebruik gemaakt wordt, omdat nagenoeg alle webmail en IMAP servers tegenwoordig slechts nog geauthenticeerde en versleutelde verbindingen gebruiken. Het gaat dus uitdrukkelijk om de uitwisseling van persoonsgegevens, waaronder e-mail adressen, met websites.

Het is juist dat slechts weinig mailservers onderling gebruik maken van betrouwbare authenticatie en versleuteling, maar dat aantal neemt toe. Het aantal dat gebruik maakt van "opportunistic encryption", d.w.z. slechts optionele versleuteling (zonder fatsoenlijke authenticatie), neemt vermoedelijk nog veel sneller toe (o.a. doordat GMail mailservers die dat niet doen, aan de schandpaal nagelt; zie https://www.security.nl/posting/460529/Gmail+waarschuwt+gebruikers+voor+onversleutelde+berichten). Los van dit alles vindt die communicatie (van mail servers onderling dus) zelden of nooit plaats via WiFi en/of lekke home routers, maar via de "backbone" van het internet. De mogelijkheden voor cybercriminelen om e-mail adressen te verzamelen direct op mail servers of de onderlingen communicatie daarvan, schat ik veel kleiner in dan het kunnen vergaren van e-mail adressen "dicht bij de gebruiker" en/of "dicht bij de leverancier".

Als argument zou je ook nog kunnen noemen dat veel gebruikers zelf uitermate slordig omspringen met hun eigen persoonsgegevens (of, erger, die van familie, vrienden en bekenden). Er zijn echter gebruikers (waaronder ondergetekende) die weloverwogen en zorgvuldig omspringen met zijn of haar persoonsgegevens, en de wet ondersteunt die mensen daarbij.

Het omzetten van een http server in https is betaalbaar en kan door een kundige systeembeheerder worden uitgevoerd (die had je sowieso al nodig om de beveiliging van de server met persoonsgegevens up-to-date te houden).M.a.w., het slechts bieden van de mogelijkheid om persoonsgegevens via een ongeauthenticeerde en onversleutelde verbinding op een website in te voeren, en/of in te zien, is allang niet meer van deze tijd.

En dus is het ondersteunen van http voor het uploaden en opvragen van persoonsgegevens laakbaar (in de woorden van SecOff: het mag niet).

Met die argumentatie (waar ik het overigens mee eens ben) zou toch ook het gebruik van onversleutelde smtp verbindingen "laakbaar" moeten zijn?

Dergelijke zaken hebben wel degelijk alles te maken met datalekken. Indien een online winkel bijvoorbeeld HTTP gebruikt, en wanneer dat tot gevolg heeft dat je credit card gegevens in handen van derden komen, noem je het dan nog steeds geen ''datalek'' ? ;)

Nee, en een intelligent antwoord bedenken, wat relevant is, is ook moeilijk.

Wat heeft de vraag of een ijsje kopen een diefstal is te maken met de vraag of er sprake is van een datalek, wanneer je gegevens via een niet-beveiligde verbinding op straat komen te liggen ? Helemaal niets.

Weleens gehoord over zaken als PCI compliancy ? Weleens nagedacht over de juridische verantwoordelijkheid van online shops, waarbij ze verplicht zijn betalingen op een veilige manier te regelen ? Jij bepaalt niet de beveiligingsmaatregelen van de desbetreffende shop. En ja, men heeft daarin weldegelijk een juridische verantwoordelijkheid.

Indien je uitgaat van jouw redenatie, dan kan de hele meldplicht datalekken weg. Want indien een bedrijf jouw gegevens niet veilig opslaat, waarna deze op straat komen te liggen, dan was het toch je eigen keuze om je gegevens naar dit bedrijf te sturen.

Die kant gaat het wel op; GMail versnelt dat proces.

Echter, zoals ik al schreef, zijn de risico's bij non-TLS SMTP kleiner dan bij gebruik van http websites voor het uitwisselen van persoonsgegevens. Bovendien kent de gangbare "oplossing" voor SMTP (opportunistic encryption) flinke beperkingen:

1) Het is geen end-to-end encryption, dus mensen met toegang tot mailservers kunnen bij persoonsgegevens (ook historisch uit logging en zelfs mogelijkerwijs toekomstig doordat ze de mailserverconfiguratie kunnen wijzigen, bijv. bij verzenden voortaan relayen via een extra server; en dat kan zelfs door de instelling van DNS server(s) op die mailserver te wijzigen);

2) Opportunistic encryption beschermt je niet tegen MitM (Man in the Middle) aanvallen.

E-mail wordt pas serieus veiliger bij wijdverspreid toegepaste end-to-end encryption met betrouwbare authenticatie. En dat hebben we nog niet. En daarbij is het zo dat in elk geval het e-mail adres van de ontvanger onversleuteld bekend moet zijn, anders kan de e-mail niet via SMTP worden afgeleverd. Je hebt een ander protocol nodig om dit veiliger te krijgen.

Zolang er geen echt veilig alternatief bestaat, verwacht ik niet dat rechters het beheerders van mailservers zullen aanrekenen als zij opportunistic encryption niet aanzetten. Voor http daarentegen bestaat wel een wijdverbreid en redelijk veilig alternatief.

P.S. De NL overheid heeft niet voor niets een "berichtenbox" (geen SMTP, wel https) gerealiseerd.

U bedoelt: "Gebruikmaken van http is allesbehalve nog state-of-the-art?

Kip en ei vraagstuk wat je ook met post (brengen) probeert, de bestemming moet op een andere manier bekend zijn. Een vergeten paradox https://en.wikipedia.org/wiki/Two_Generals%27_Problem. Het zelf ophalen heeft dat niet.

Je IP-adres eigenlijk elk gegeven wat herleidbaar is tot een persoon is een persoonsgegeven. Emails adressen vallen daaronder als ze tot een persoon leiden https://autoriteitpersoonsgegevens.nl/nl/over-privacy/wetten/wbp-naslag/hoofdstuk-1-algemene-bepalingen-art-1-tm-5/artikel-1-sub-wbp. Verkeersgegevens zijn ook persoonsgegevens. Het betekent niet dat je er niet mee mag werken. https://autoriteitpersoonsgegevens.nl/nl/over-privacy/wetten/wet-bescherming-persoonsgegevens
"Persoonsgegevens mogen alleen voor welbepaalde, vooraf uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld. En vervolgens alleen verder worden verwerkt voor doeleinden die daarmee verenigbaar zijn."

Ga dan eens door de vrijstellingen heen.https://autoriteitpersoonsgegevens.nl/nl/afnemers-en-leveranciers-van-goederen-en-diensten-en-cli%C3%ABnten-en-gastenadministraties Bij een klant/leverancier verhouding zul je elkaar toch moeten zien te kennen. Zorgvuldigheid van opslag en verwerking is aan de orde. Maar wat is nog reeël en werkbaar?

Nee, met "allesbehalve nog state-of-the-art" bedoel ik dat https ondertussen gangbare technologie is (geen rocket science dus - hoewel veel mensen, en ook veel beheerders, er geen barst van lijken te snappen). Ik heb dit, toegegeven, wat omslachtig omschreven en heb mijn bijdrage bijgewerkt. Dank voor de opmerking!

Ik reageer toch ook nog maar op de TS, omdat anderen dat ook weer zijn gaan doen.

Vooraf: ik ben geen jurist en werk niet voor de AP (Autoriteit Persoonsgegevens, voorheen CBP), dit is mijn interpretatie.

1) Als ongeautoriseerden toegang kunnen krijgen tot persoonsgegevens (doch niet van die mogelijkheid gebruik maken), is dat geen datalek. Het antwoord is dus nee. Echter:

2) Als ongeautoriseerden toegang krijgen tot persoonsgegevens, maar daar geen misbruik van maken, is dat vaak ook geen datalek. Voorbeelden:
- Een reclame e-mail naar veel personen die niets met elkaar te maken hebben, waarbij alle e-mail adressen per ongeluk (lees: door onkunde) voor iedereen zichtbaar in To: en/of Cc: velden zijn opgenomen;
- Een of meer mensen in de rij achter jou bij de apotheek horen je jouw naam en geboortedatum noemen, zien daarna welke medicijnen je krijgt, horen de instructies etc.
Als hier door niemand misbruik van wordt gemaakt is hetb discutabel of het om een datalek gaat; immers er is hooguit sprake van emotionele schade ("wat zou er kunnen gebeuren"). Lastig is vaak wel dat je niet weet op welke wijze cybcercriminelen aan informatie, waaronder persoonsgegevens, zijn gekomen. Dit is een grijs gebied. Advies: blijf er uit de buurt als je kunt.

3) Als ongeautoriseerden toegang krijgen tot persoonsgegevens en daar misbruik van maken, is er zeker sprake van een datalek.

Als cybercriminelen, misbruik makend van gehackte servers, gehackte routers, gehackte of "evil-twin" (public) WiFi access points, allerlei via http uitgewisselde persoonsgegevens verzamelen, is dus zeker sprake van een datalek.

Iemand die dit ontkent (notabene op een site als security.nl), heeft vermoedelijk zijn eigen zaakjes niet voor elkaar.

@ Erik van Straten, n.a.v. 21:11 door Erik van Straten
en bijgewerkte Gisteren, 14:08 door Erik van Straten - Bijgewerkt: Gisteren, 21:06

Excuseer, maar uit uw wikipedia link "https://en.wikipedia.org/wiki/State_of_the_art":

State-of-the-art: "It also refers to the level of development (as of a device, procedure, process, technique, or science) reached at any particular time as a result of the common methodologies employed."


Volgens mijn taalgevoel is daarom https met sha256 certificaten anno 2016 nog wel state-of-the-art.
(state-of-the-art: "conform de laatste algemeen toegepaste (of: gangbare = "common") stand van de techniek" )

Zie ook het eerste voorbeeld waarin "state-of the art" is vertaald met "gangbaar" in:
http://www.linguee.nl/engels-nederlands/vertaling/is+state+of+the+art.html
"... that the production of newsprint from waste paper is a state-of-the-art technique", wordt:
"... vervaardiging van krantenpapier uit oud papier een thans gangbare techniek is

Dus uw zinsnede dat https "allesbehalve state-of-the-art" zou zijn
(u zegt hiermee dat https zeer zeker niet state-of-the-art is, d.w.z.: niet gangbaar), verwart mij nog steeds.
Want het is nu juist dat http allesbehalve state-of-the-art is.
Https daarentegen zou ik nog wel enigszins "state-of-the-art" durven noemen.

Allee, inmiddels begrijp ik waarschijnlijk wel wat u bedoelt. Dat is het belangrijkst.
Maar ietwat verwarrend is het nog steeds, ook na uw aanpassing.
Mogelijk kunt u de term "state-of-the-art" beter schrappen, omdat deze term te dubbelzinnig is.

Dankuwel-alstublieft

Je hebt gewoon gelijkt. Ik heb de tekst nogmaals aangepast, nu (hopelijk) zonder woordspelingen. Dank voor jouw vasthoudendheid!