De een zoekt naar een zorgplicht, de ander zoekt naar een excuus om drempels op te werpen voor betrokkenen die hun rechten willen uitoefenen.

Wie is verantwoordelijk voor de beveiliging van jouw mailbox. Ben je dat wellicht zelf ? Indien je een vertrouwelijke brief op papier krijgt, dan verwacht je na ontvangst toch ook niet dat iemand anders dan jijzelf de verantwoording draagt voor de vertrouwelijkheid van jouw post, na ontvangst ?

Daar zit (denk ik) een groot verschil in.
Voor papieren mail hebben we het briefgeheim, voor zover ik weet is dat bij e-mail (nog) niet het geval.
Daarnaast kan de email wel op een eigen apparaat komen, maar staat er mogelijk nog een kopie op de mail-server van de provider.
Een beveiligde download lijkt mij dan ook een makkelijkere en betere manier.

Niet alle mail is point to point. Typisch gaat het ook door een of meerdere relays tegenwoordig ten minste een anti-spam filter.

Dus data in transit is uitsluitend beschermd TIJDENS de transmissie, niet op een relay.
Dus er is een wezenlijk verschil tussen download vanuit beveiligde omgeving en mail.
De link kan via mail, een evt ww. Of pincode voor download zal al bekend moeten zijn of op een andere manier verzonden moeten worden.

Daarnaast kunnen relays hun eigen beperkingen aan omvang stellen.. 10, 20 of 40 MB komen vaak voor.
Content kan dan maximaal 0.6 maal die omvang zijn ivm codering van binaire bestanden over mail.

Btw niet encrypted verzenden naar een mail provider als microsoft, google, ... Zijn al een datalek op zichzelf door de scanning die dergelijke bedrijven doen voor advertentie en KP scanning die ze al doen

In (IT) theorie is dat wel zo, maar in de praktijk zal een bedrijf die "beveiligde omgeving waar het met goede authenticatie
het bestand via een TLS verbinding kunt downloaden" ook al gauw te moeilijk vinden om zelf te realiseren, en dus
uitbesteden aan een externe partij. En dan wordt je overgeleverd aan de externe partij die dat bedrijf daar voor gekozen
heeft. Als het via mail gaat heb je tenminste zelf nog in de hand wie die mailbox (voor je) beheert.

Als jij een zorgcontract beeindigt bijvoorbeeld door overstap naar een andere arts of kliniek of je tandarts of apotheek opzegt dan begint de verjaringstermijn.

Sommigen nemen de volledige 20 jaar.

Dus bezoekjes aan de ggz worden lang bewaard. Statelijke actoren, inlichtingendiensten kunnen er (via medewerkers) zo bij. Ik lees in de krant dat 50% van onze kinderen door de pandemie aankloppen voor psychologische hulp.

Zijn deze wetten nog van de tijd?

De WGBO zegt 5 jaar maar een klant/patient kan verzoeken dit eerder te laten wijzigen. De wet op geneesmiddelen zegt 20 jaar. Er zijn regels voor "goede zorgverlening" en voor mensen die zelf niet bij het bewustzijn zijn zelfstandige beslissingen te nemen. Er zijn geen regels voor een "zorgplicht" wat data bewaren betreft. Wel is er een angst bij zorgverleners een boete te krijgen van een nog nooit zichtbaar geweest autoriteit mochten zij hun eigen belang (bewaren want handig) over het belang van de patient (wet AVG) stellen. In de regel kiest men voor hun eigen zekerheid en niet het patientbelang.

De AVG is ook in strijd met enkele zorgwetten en de zorgsector loopt achter op de moderne tijd (denk aan datalekken). Ik ken een bedrijf welke zorgdata niet wil verwijderen maar toevallig ben ik pentester en heb ik al gezien hoe ik aan alle data van iedereen kan komen.. het is dat ik geen kwade bedoelingen heb....

Privacy is een mensenrecht. Het EVRM heeft hier ook nog iets over te zeggen. Een belang dat boven het belang van het winstbejag van de instelling moet gaat, of deze nou zorgverlener is , overheid , of bedrijf.

En mocht een dienstverlener met "handig om 20+ data te bewaren" instelling er anders over denken... kan deze nog altijd gehackt worden als punt voor Zorg Nederland BV om er leering van te trekken. Niet om deze ene de tent te laten sluiten maar soms is er gewoon een precedent nodig, iets groots, iets in de media, voordat de politiek wakker wordt en gaat denken over nieuwe wetten om de kinderen/jongere generaties wel beter te beschermen.

20 jaar is een generatie. Je hebt ook een archiefwet. Bij sommige mensen wordt deze toegepast. Dan wordt je data 100 jaar bewaard.

Maar ja... @precentje... het is wachten. Ik weet zeker dat er grote dingen staan te gebeuren in 2023 maar misschien niet op zeer korte termijn. Wij moeten volgens minister Hoekstra nog minstens een paar weken wachten om te zien hoe de vlag er bij gaat hangen (rood boven of blauw boven)

De democratie komt later...

Vreemde vraag. De meeste bedrijven en instellingen weten hun basic IT Niet eens op orde te krijgen. Dan moet je niet verwachten dat ze verregaande gespecialiseerde kennis hebben over hoe een eSMTP server in te richten met TLS of een bedrijf weten te vinden die dit (en andere zaken) voor hun toetst.

Beter is een download pagina aanbieden op de bedrijfsserver (htps) met link en expiry datum en wachtwoordje (klantnummer)

Nog beter is gewoon de data uitprinten en opsturen. De AVG staat het toe kosten te vragen voor printouts. Voor een paar honderd pagina mag je enkele tientje tellen, maar het hoeft niet. De max kosten zijn ook vastgelegd.D

Het lijkt mij een non-issue, deze vraag.

Er zijn veel prangende vragen zoals bewaartermijnen. Maar daarvoor moeten politici worden aangespoord. Mij bekend is dat alleen de Piratenpartij zich hier actief voor inspant.

Privacy zou eigenlijk verzorgd moeten worden door de overheid.... maar wij worden gereageerd door kleptocraten

Jouw mailbox van een grote cloudprovider is als een postbedrijf. Een versleutelde bijlage is als een vertrouwelijke brief in een envelop. Een onversleulde bijlage is als een vertrouwelijke brief zonder envelop.

Edward Snowden waarschuwde ons daarvoor: https://en.wikipedia.org/wiki/PRISM

Ik verbaas me dat de regels niet wat strenger zijn. TLS lijkt me flink ondermaats. Het is een soort geblindeerde raam op de trein, maar je staat nog steeds in je blote kont tijdens het overstappen. Gmail bijvoorbeeld wordt niet door alle overheden als vertrouwelijk beschouwd. Daarom heeft de Duitse overheid, althans het Duitse Bundesamt für Sicherheit in der Informationstechnik (BSI), FlowCrypt mede gefinancierd. En de ontwikkeling van OpenPGP.js, waar Mailvelope voor webmail als Gmail gebruik van maakt, is van 2014 tot 2020 medegefinancierd door de EU. En nu is TLS voldoende om je heftig vertrouwelijke informatie te ontvangen? Ik vind dat wat tegenstrijdig.

Daarbovenop worden relays steeds populairder om spam, datalekken en verkoop van gegevens klein te houden. Drie voorbeelden die recent in de media zijn geweest zijn de duckduckgo proxy duckmail, de firefox relay, en proton simplelogin.

In de IT praktijk kost je dat pakweg een uurtje of 2 voor inrichten van een compleet systeem met Nextcloud HUB... In eigen beheer dus.

@anoniem 15:51,
AVG tov andere belangen is redelijk duidelijk...
Als er wettelijke zaken geregeld zijn m.b.t. tot persoonlijke data dan gaan die voor AVG.

Ik denk dat het allemaal ook wat afhangt van de inhoud van de gegevens. Gaan die er bijvoorbeeld over dat ik pillen slik om van dw cholera en de ebola af te komen, bij een ggz instelling loop wegens kans dat ik flip (met alle gevolgen van dien), en het communicatie met een advocaat betreft, dan mail je me dat beter niet ie. Dan hoort dat over de post te gaan en aangetekend. Want dat briefgeheim gaat grondwetdiep. Maar gewoon NAW gegevens en bestellingen voor tarzanslips, dat mag gewoon over de email. Ook als de verzender denkt TLS, wat is dat nou weer.

Alles zo veilig als de bank is ook een utopie. Je moet gewoon zo net mogelijk met mensen omgaan. En je kunt ook gewoon vragen of het erg is heel de zooi te mailen zonder TLS. Toch?

We communiceren steeds minder. Allemaal een whatsappnek. Soms krijg ik gewoon zin om al mijn privedata gewoon op een forum te gooien. Want dan hebben dat in elk geval gehad.

Als er genoeg gedumpt wordt bijv medische data van half Den Haag op Usenet of torrents dan zullen die wetten vanzelf herzien worden.

Het is een offer voor wie toegang heeft tot bepaalde info en soms moet je offeren voor het grote goed.

Als er nu een sysadmin anoniem data van patienten dumpt ligt dit toch echt aan 20 jaar wanbeleid overheid.

Ik wil niemand op ideen brengen....:)

https://nos.nl/artikel/2469354-datalek-treft-ook-vodafoneziggo-gegevens-700-000-klanten-op-straat

Binnenkort de data op straat van diegenen die geen gehoor geven aan AVG ?;)


Want soms moeten ze het eerst zelf voelen.............

Ik heb geleerd dat ze het moeten aanleveren in het format/via het communicatiemiddel dat de aanvrager gebruikt. Dus stuur je een email, kan je een email terug ontvangen. Stuur je een brief, kan je het op papier via post terug ontvangen. etc.

Je bent zelf verantwoordelijk. Als je het wilt kan je een eigen email server inrichten (zeg maar: de brievenbus in je huis).
Omdat dat digitaal voor de meesten niet te doen is, kan je de afhandeling uitbesteden naar een dienstverlener (zeg maar een postbus bij het postkantoor waar jij een sleuteltje van hebt).
Of je nu kiest voor een eigen oplossing, of je email afhandeling uitbesteedt, je blijft steeds verantwoordelijk voor de data. Je kan dus niet een goedkope slecht beveiligde dienstverlener kiezen en dan bij problemen de schult bij de dienstverlener leggen.

Zo werkt het ook bij bedrijven en de AVG: in principe kan een bedrijf alle gegevens zelf verwerken, maar eigenlijk altijd wordt dit uitbesteedt. Maar het bedrijf zelf blijft verantwoordelijk, en die moet dus een betrouwbare partij kiezen, en garanties afdwingen

Ja voor een HOBBYIST is het gemakkelijk! Maar denk je nou echt dat er een security officer is die bij de vraag "hoe kunnen we regelen dat data van inzageverzoeken veilig naar de aanvragers gaat" op de proppen komt met "laten we onze IT'ers zelf een datakluis laten optuigen op een server hier in het pand"?
Wat als er een lek in blijkt te zitten? Dan wordt je inzageverzoek ineens een datalek.
En dan nog, er zal wellicht een klein percentage van de bedrijven in staat zijn om dit in de bestaande infrastructuur goed te regelen, maar als je over het geheel kijkt dan zal dit zeker iets zijn wat ergens "in de cloud" komt en uitbesteedt wordt.
En dan heb je er dus minder controle over dan als ze het gewoon naar je mailen.

Ik zal dit doorgeven aan mijn oma

De poster hierboven had al eeM Ultra geheime tip gegeven dagen voor het leK... Blauw of Rood boven?

Het is dus Blauw geworden..... Yep been baby jongetje deze data leak plug...

https://www.nu.nl/tech/6257419/gegevens-duizenden-bezoekers-vrienden-van-amstel-live-op-straat-door-datalek.html#nujij

Dus de volgende plug worst rood? Zelf moet ik dan aan tomatensoep politiek leden beestand denken maar het is sleghts mijn brein op zoek naar patronen.

07 - all is code. Everything has meaning

Blauw was heel snel in het nieuws na jouw post. Perfecte timing.

Saus: https://www.nu.nl/tech/6257515/data-van-2-miljoen-nederlanders-gelekt-softwareleverancier-voor-rechter-gesleept.html

Ook moet de overheid iets aan de BSN doen maar dat komt pas wanneer ze het zelf voelen. Vrees ik.

Heb je wel eens van the Confused Internet Army gehoord?


Rickey

Ik weet toevallig dat dat hackerscollectief een heel klein groepje is. Ze kwamen wel vaker bijeen in Geldermalsen waar twee van hen wonen.

Wel sneu dat ze nu alleen nog DDoS tools maken.

Maar interessant om te horen dat ze terug zijn op het toneel. Dacht dat ze inmiddels wel volwassen zouden zijn en een baan hebben.

Het maakt ook uit hoe je je inzage verzoek doet. Als dat op papier in een dubbele enveloppe gemarkeerd als "vertrouwelijk" is gedaan, is antwoord per e-mail uit den boze, ook met TLS voor transit. Is je verzoek een mailtje vanaf een ikgeefnietomprivacy@gmail.com adres is antwoord per e-mail prima. De Autoriteit persoongegevens werkt zelf ook op die manier.

Dit dus, denk dat er niet veel organisaties een internet-facing platform gaan bouwen met alle risico's en bijkomend beheer, terwijl encrypted mail ook kan.