image

Juridische vraag: Is er voor het uitvoeren van een pentest ook een verwerkersovereenkomst nodig?

woensdag 5 februari 2020, 11:21 door Arnoud Engelfriet, 15 reacties

Heb jij een interessante vraag op het snijvlak van privacy, cybersecurity en recht? Stuur je vraag naar juridischevraag@security.nl. Elke week geeft ict-jurist Arnoud Engelfriet in deze rubriek antwoord.

Vraag: Ik ben zelfstandig security-onderzoeker en doe veel pentests, ook ongevraagd (maar wel altijd ethisch). Nu las ik dat ik dat niet meer mag doen van de AVG tenzij ik een verwerkersovereenkomst sluit met mijn klanten? Maar ik heb al een waiver met geheimhouding, is dat niet genoeg?

Antwoord: Wie penetration testing oftewel securityonderzoek naar binnendringmogelijkheden uitvoert, moet een verwerkersovereenkomst sluiten met zijn opdrachtgever. Dat bepaalde althans de Saksische Autoriteit Persoonsgegevens onlangs. Wat natuurlijk enige onrust gaf bij professionele pentesters, want je hébt al zo’n papierwinkel voordat je aan de slag kan en moet er dan ook nog een verwerkersovereenkomst bij voor het geval je persoonsgegevens tegenkomt? Nou ja, formeel wel maar er zijn trucjes.

Bij een pentest ga je bij een klant aan de slag om zwakheden in zijn systeem te vinden. Je probeert binnen te dringen, zeg maar wat je anders computervredebreuk zou noemen. Vandaar die papierwinkel: je wilt dat je klant een pentest waiver of toestemmingsverklaring tekent waarin duidelijk vaststaat dat je niets tegen zijn wil doet, en dus niets dat wederrechtelijk en daarmee strafbaar kan worden.

Dat is voor klanten dan weer spannend, want wat als je nu iets stukmaakt tijdens dat onderzoek of verder kwam dan ingeschat en daar raak je iets dat echt niet de bedoeling was? Dat geeft dus de nodige onderhandeling vaak.

Sinds de AVG is daar een extra risico bij gekomen. Het is natuurlijk mogelijk dat je bij je security-onderzoek persoonsgegevens tegenkomt, denk aan een database met klantgegevens waar je bij kunt. Als je die database dan vervolgens downloadt ("het zal toch niet waar zijn") dan ben je persoonsgegevens aan het verwerken, in het AVG-jargon.

En dat is dan even lastig, want hoezo mág jij dat van de AVG? Als zelfstandig ingehuurd onderzoeker heb je daar geen grondslag voor, je hebt geen toestemming van de betrokken klanten en je hebt ook geen contract met ze. Vandaar het advies: werk als verwerker, als hulpje van je opdrachtgever. Dan is wat je doet met die gegevens zijn probleem (althans; waarom dat mág dat onderzoek). Alleen zit je dan met de tegenpool dat je niet meer mag doen met die gegevens dan hij je toestaat.

Nu zou dat in de praktijk wel mee moeten vallen, want wat je gaat doen is normaliter niet meer dan een kopie maken, vastleggen wat je gevonden hebt en dan vernietigen (of teruggeven). En dat is precies wat een verwerker ook zou doen.

Het wordt alleen op formele gronden ingewikkeld: oh jee we hebben een verwerker jongens, dus hier is de standaard verwerkersovereenkomst die de boekhouder ook moet tekenen. En daarin staan dan vele dingen zoals een passend securitybeleid (met auditclausule, dus de klant komt bij jou, securityonderzoeker, kijken of je wel veilig bent – de meest hilarische case die ik had was dat de verwerker verklaarde periodiek pentests op zichzelf uit te voeren), medewerking aan inzage- en verwijderverzoeken en ga zo maar door dat echt zwaar over de top is voor zo’n onderzoek. Zeker omdat het ook nog eens aan onbeperkte aansprakelijkheid gekoppeld is.

Wat mij betreft mag je dát dus afwijzen. Je kunt in je pentest waiver of AV volstaan met een verklaring dat je verwerker bent, dat je de AVG zult naleven en dat je alle kopieën van data na logging van de gebeurtenis zult wissen, behalve eventuele kopieën die nodig zijn voor de gewenste rapportage.

Ben je proactief zelfstandig opererend pentester (lees: je probeert ongevraagd andermans security te kraken binnen ethische / responsible disclosure beginselen) dan ben je geen verwerker want dan bepaal je zelf wat je doet en wat je met de gegevens van plan bent. Het is daar echt onzin achteraf een verwerkersovereenkomst te tekenen - ook omdat je als verwerker niet mag publiceren over je verwerkingen, wat toch precies ingaat tegen het principe van responsible disclosure.

Arnoud Engelfriet is Ict-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.

Reacties (15)
05-02-2020, 11:58 door Anoniem
Ik ben zelfstandig security-onderzoeker en doe veel pentests, ook ongevraagd (maar wel altijd ethisch).

Gatverdamme daar heb je weer zo'n zelfverklaarde ethische hacker! Straks gaan we weer lezen dat het een studie
of onderzoek is. Hou daar toch eens mee op man, en ga iets nuttigs doen met je leven.
05-02-2020, 12:10 door Anoniem
Het is altijd noodzakelijk om bij pentesten in opdracht passende afspraken te maken en deze vast te leggen in een overeenkomst, niet noodzakelijk een verwerkersovereenkomst. In SANS NewsBites Vol. 22 Num. 010 wordt verslag gedaan van pentesters (weliswaar in de USA) die wel waren ingehuurd, maar kennelijk e.e.a. niet goed contractueel hadden geregeld, betrapt en opgepakt werden en bloot stonden aan verdere vervolging totdat deze werd ingetrokken.
Dit wil je liever niet meemaken omdat je gedurende deze vervolging geregistreerd staat en dit allerlei beperkingen oplevert.
05-02-2020, 12:47 door Anoniem
Ik kan me absoluut niet vinden in het antwoord van Arnoud. Je hebt een verwerkingsovereenkomst nodig als je informatie gaat verwerken in opdracht van de verantwoordelijke. Bij een pentest zal geen enkele opdrachtgever de opdracht geven om iets te gaan doen met de in het systeem opgeslagen gegevens. Het doel van de pentest is niet het verwerken van persoonsgegevens. Dat je dat soort gegevens bij je onderzoek tegenkomt staat daar los van. Een verwerkingsovereenkomst is dus niet nodig. Een geheimhoudingsverklaring is voldoende.

Onthoud, niet iedere aanraking met persoonsgegevens is direct een verwerking zoals bedoeld in de AVG en dus niet iedere aanraking met persoonsgevens heeft een grondslag nodig. Er zijn een paar uitzonderingen, waar dit er een van is. Als ik als adviseur voor een bepaald stuk software een klant met wat vragen / probleme help en meekijk op zijn scherm, dan kan ik mogelijk ook daarin opgeslagen persoonsgegevens zien. Een verwerkingsovereenkomst is dan niet nodig, slechts een geheimhoudingsverklaring. Ook daar geldt, de verwerking (inzien) van persoonsgegevens is niet het doel / opdracht.
05-02-2020, 13:11 door Anoniem
Ketenaansprakelijkheid?
05-02-2020, 14:09 door Arnoud Engelfriet
niet iedere aanraking met persoonsgegevens is direct een verwerking zoals bedoeld in de AVG en dus niet iedere aanraking met persoonsgevens heeft een grondslag nodig.
Dat lijkt me onjuist, de definitie van 'verwerking' is volgens mij zo breed dat juist wél iedere aanraking eronder valt. Kun je een voorbeeld noemen van een aanraking die geen verwerking is?
05-02-2020, 14:38 door Anoniem
Door Arnoud Engelfriet:
niet iedere aanraking met persoonsgegevens is direct een verwerking zoals bedoeld in de AVG en dus niet iedere aanraking met persoonsgevens heeft een grondslag nodig.
Dat lijkt me onjuist, de definitie van 'verwerking' is volgens mij zo breed dat juist wél iedere aanraking eronder valt. Kun je een voorbeeld noemen van een aanraking die geen verwerking is?

Zoals ik in mijn post verder al benoemde: Stel, ik ben consultant bij een softwarebedrijf, een klant heeft een probleem met de software en ik ga helpen. We kruipen samen achter de PC en bekijken het softwareprobleem. Daarbij zie ik opeens persoonsgegevens op het scherm verschijnen (die dus in de software zitten). Het doel van mijn acties is niet het inzien van die gegevens, maar van het verhelpen van het probleem. Een verwerkingsovereenkomst is dan niet nodig, slechts een geheimhoudingsverklaring. Niets uit een verwerkingsovereenkomst (behalve de geheimhouding) zal hier van toepassing zijn. Zo'n overeenkomst is dus volslagen onzinnig.
05-02-2020, 14:43 door Anoniem
@Arnoud, in deze blogpost op Privacy Friendly wordt dit onderwerp ook besproken: https://www.privacy-friendly.nl/opinie/14
05-02-2020, 15:19 door Anoniem
Door Anoniem:
Door Arnoud Engelfriet:
niet iedere aanraking met persoonsgegevens is direct een verwerking zoals bedoeld in de AVG en dus niet iedere aanraking met persoonsgevens heeft een grondslag nodig.
Dat lijkt me onjuist, de definitie van 'verwerking' is volgens mij zo breed dat juist wél iedere aanraking eronder valt. Kun je een voorbeeld noemen van een aanraking die geen verwerking is?

Zoals ik in mijn post verder al benoemde: Stel, ik ben consultant bij een softwarebedrijf, een klant heeft een probleem met de software en ik ga helpen. We kruipen samen achter de PC en bekijken het softwareprobleem. Daarbij zie ik opeens persoonsgegevens op het scherm verschijnen (die dus in de software zitten). Het doel van mijn acties is niet het inzien van die gegevens, maar van het verhelpen van het probleem. Een verwerkingsovereenkomst is dan niet nodig, slechts een geheimhoudingsverklaring. Niets uit een verwerkingsovereenkomst (behalve de geheimhouding) zal hier van toepassing zijn. Zo'n overeenkomst is dus volslagen onzinnig.
Ik denk dat inderdaad zoals Arnoud in zijn stukje al aangeeft bij een pentest, of bij consultancy zoals jij in jouw voorbeeld aangeeft een verwerkersovereenkomst onnodig is.

Máár als je voor een andere partij een opdracht doet waarbij op relatief grote schaal persoonsgegevens worden verwerkt, maar die verwerking daarvan is niet het doel van de opdracht zal je volgens mij toch een verwerkersovereenkomst af willen sluiten.
Stelt dat je een leverancier vraagt om je eerstelijns-servicedesk voor jou in te richten en te beheren. Het doel van de opdracht is niet persoonsgegevens verwerken, maar je klanten helpen en/of doorverwijzen.
Toch zal die leverancier toegang nodig hebben tot je volledige klantenbestand en wil je op papier zetten dat zij die gegevens alléén zullen gebruiken in lijn met het doel (klanten helpen en doorverwijzen) en niet op eigen houtje die gegevens voor marketingdoeleinden gaan gebruiken bv.
05-02-2020, 15:33 door Anoniem
Wat nu als een interne afdeling van het bedrijf zonder toestemming een pentest uitvoert? Gewoon om zwakheden aan het licht te brengen (omdat dit bijvoorbeeld een netwerk afdeling is die inzicht wil krijgen in de security van het bedrijf).
Zou je in zulk geval nog steeds een verklaring moeten hebben dat je als bedrijf bij jezelf een pentest uitvoert?
05-02-2020, 16:15 door Anoniem
Door Anoniem:
Door Arnoud Engelfriet:
niet iedere aanraking met persoonsgegevens is direct een verwerking zoals bedoeld in de AVG en dus niet iedere aanraking met persoonsgevens heeft een grondslag nodig.
Dat lijkt me onjuist, de definitie van 'verwerking' is volgens mij zo breed dat juist wél iedere aanraking eronder valt. Kun je een voorbeeld noemen van een aanraking die geen verwerking is?

Zoals ik in mijn post verder al benoemde: Stel, ik ben consultant bij een softwarebedrijf, een klant heeft een probleem met de software en ik ga helpen. We kruipen samen achter de PC en bekijken het softwareprobleem. Daarbij zie ik opeens persoonsgegevens op het scherm verschijnen (die dus in de software zitten). Het doel van mijn acties is niet het inzien van die gegevens, maar van het verhelpen van het probleem. Een verwerkingsovereenkomst is dan niet nodig, slechts een geheimhoudingsverklaring. Niets uit een verwerkingsovereenkomst (behalve de geheimhouding) zal hier van toepassing zijn. Zo'n overeenkomst is dus volslagen onzinnig.
Hoe zie je dit in het licht van artikel 29: https://www.privacy-regulation.eu/nl/29.htm

Hieruit lijkt onder een verwerker ook iedereen te vallen die 'onder het gezag van de verwerkingsverantwoordelijke of van de verwerker handelt en toegang heeft tot persoonsgegevens'. Je hebt toegang en je doet dat onder gezag van, dan zou je imho moeten spreken over een verwerker en met een verwerker sluit je een (verwerkers)overeenkomst.

Verwerkers tussen haakjes daar er slechts gesproken wordt over een overeenkomst of andere rechtshandeling krachtens het Unierecht of het lidstatelijke recht die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt. (art 28 lid a).
05-02-2020, 17:23 door Anoniem
Door Anoniem:
Hoe zie je dit in het licht van artikel 29: https://www.privacy-regulation.eu/nl/29.htm

Hieruit lijkt onder een verwerker ook iedereen te vallen die 'onder het gezag van de verwerkingsverantwoordelijke of van de verwerker handelt en toegang heeft tot persoonsgegevens'. Je hebt toegang en je doet dat onder gezag van, dan zou je imho moeten spreken over een verwerker en met een verwerker sluit je een (verwerkers)overeenkomst.

Verwerkers tussen haakjes daar er slechts gesproken wordt over een overeenkomst of andere rechtshandeling krachtens het Unierecht of het lidstatelijke recht die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt. (art 28 lid a).
Ik denk dat je 'toegang' moet lezen als 'toegang gegeven door de verantwoordelijke' en dat heb je niet. De toegang die je je mogelijk zelf verschaft is niet het doel. Het mogelijk inzien van de gegevens is een bijzaak, het vinden van een kwetsbaarheid is de hoofdzaak van de werkzaamheden. Dat is waar je ook over rapporteert, niet de gegevens zelf.

En nogmaals, niets in een verwerkersovereenkomst anders dan de geheimhouding, is van toepassing. Noem iets uit een verwerkingsovereenkomst anders dan geheimhouding waar een pentester rekening mee moet houden. Een goede pentester verwijdert (wipen) direct gegevens die hij kan downloaden. In een rapport beschrijf je namelijk hoe je een kwetsbaarheid kan misbruiken, om het te kunnen reproduceren. De gegevens zelf heb je echt niet nodig als bewijs daarvoor.
06-02-2020, 11:49 door Anoniem
Door Anoniem: Ik kan me absoluut niet vinden in het antwoord van Arnoud. Je hebt een verwerkingsovereenkomst nodig als je informatie gaat verwerken in opdracht van de verantwoordelijke. Bij een pentest zal geen enkele opdrachtgever de opdracht geven om iets te gaan doen met de in het systeem opgeslagen gegevens. Het doel van de pentest is niet het verwerken van persoonsgegevens. Dat je dat soort gegevens bij je onderzoek tegenkomt staat daar los van. Een verwerkingsovereenkomst is dus niet nodig. Een geheimhoudingsverklaring is voldoende.

Onthoud, niet iedere aanraking met persoonsgegevens is direct een verwerking zoals bedoeld in de AVG en dus niet iedere aanraking met persoonsgevens heeft een grondslag nodig. Er zijn een paar uitzonderingen, waar dit er een van is. Als ik als adviseur voor een bepaald stuk software een klant met wat vragen / probleme help en meekijk op zijn scherm, dan kan ik mogelijk ook daarin opgeslagen persoonsgegevens zien. Een verwerkingsovereenkomst is dan niet nodig, slechts een geheimhoudingsverklaring. Ook daar geldt, de verwerking (inzien) van persoonsgegevens is niet het doel / opdracht.

Om even terug te komen over wat nu 'verwerking' inhoudt, de GDPR heeft hier definiets waar de volgende zaken ondervallen: "such as collection, recording, organisation, structuring, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, restriction, erasure or destruction;".

Hier staat duidelijk vermeld dat 'consultation', dus ook het meekijken naar persoonsgegevens, wel zeker als verwerking wordt gezien door de AVG en dan zul je dus ook als verwerker worden aangemerkt, ongeacht of deze raadpleging bijzaak is of niet. Het doel voor de verwerking stelt je niet vrij van het zijn van een verwerker.
06-02-2020, 12:40 door Arnoud Engelfriet
Zoals ik in mijn post verder al benoemde: Stel, ik ben consultant bij een softwarebedrijf, een klant heeft een probleem met de software en ik ga helpen. We kruipen samen achter de PC en bekijken het softwareprobleem. Daarbij zie ik opeens persoonsgegevens op het scherm verschijnen (die dus in de software zitten). Het doel van mijn acties is niet het inzien van die gegevens, maar van het verhelpen van het probleem. Een verwerkingsovereenkomst is dan niet nodig, slechts een geheimhoudingsverklaring. Niets uit een verwerkingsovereenkomst (behalve de geheimhouding) zal hier van toepassing zijn. Zo'n overeenkomst is dus volslagen onzinnig.
Je had het in je vorige post over dat dit geen verwerking zou zijn. Dat is het zeer zeker wel, dus de AVG is van toepassing op dit meekijken. Wat je doel is met de persoonsgegevens is niet relevant bij de vraag of de AVG op je van toepassing is (tenzij je doel strikt huishoudelijk is of je de politie/opsporingsdiensten bent).

Of je een verwerker bent, is een heel andere vraag. Dat ben je als niet jij maar de klant mag bepalen wat jij doet met die gegevens. In de situatie die jij schetst, twijfel ik of je verwerker bent omdat ik denk dat jij als consultant zelf bepaalt wat je doet. Maar als je zegt, ik mag die gegevens echt niet overschrijven en mee naar huis nemen want dat heeft mijn klant me verboden, dan ben je verwerker want dan bepaalt je klant wat je mag.

(Het criterium over verwerkerschap dat "het doel is niet het inzien van persoonsgegevens" staat niet in de AVG.)
06-02-2020, 12:41 door Arnoud Engelfriet
Door Anoniem: Wat nu als een interne afdeling van het bedrijf zonder toestemming een pentest uitvoert? Gewoon om zwakheden aan het licht te brengen (omdat dit bijvoorbeeld een netwerk afdeling is die inzicht wil krijgen in de security van het bedrijf).
Zou je in zulk geval nog steeds een verklaring moeten hebben dat je als bedrijf bij jezelf een pentest uitvoert?
Nee. Die verklaring is nodig omdat je als buitenstaander niet ineens een aangifte of civiele rechtszaak tegen je wil hebben omdat de opdrachtgever achteraf bedenkt dat hij je onderzoek niet leuk vindt. Die verklaring pareert dan het strafbare of onrechtmatige karakter.

Bij een interne pentest speelt dat niet, je kunt moeilijk aangifte tegen jezelf doen (het is één bedrijf, allemaal) wegens computervredebreuk. Je eigen systemen kun je niet hacken.
13-02-2020, 00:46 door Anoniem
Wat is dat toch, een pentester? Het doet me denken aan een Microsoft Certified Engineer met een opfriscurus van een maatschappelijk werkster.

Dat het nergens over kan gaan blijkt wel uit de vele vragen, opmerkingen en commentaren, dat men in het algemeen ook niet weet wat een pentester is.

Het zal wel weer zo een soort van consultant zijn die achteraf enkel komt bevestigen dat je zelf stom was geweest met iets van updaten of ergens stekkers uit trekken of zo. Of om uit te komen leggen dat gemakkelijk te raden passwords gemakkelijk te raden zijn. Of een rapport schrijft dat na het morsen van koffie over je toetsenbord het wel is gebleken hoe gevaarlijk het is om koffie over je toetsenbord te morsen. Iemand met een bril en een lease auto. Maar wel duur want anders denk je gelijk dat het onzin is allemaal. Zo een beeld heb ik daarbij.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.