Vergroot contrast

Beveiliging van persoonsgegevens

Gemiddeld zit iemand met zijn gegevens in honderden tot duizenden bestanden, zowel van het bedrijfsleven als van de overheid. Iedereen moet erop kunnen vertrouwen dat zijn persoonsgegevens voldoende worden beveiligd. Slechte beveiliging kan leiden tot een datalek en vervolgens tot misbruik van deze gegevens. Bijvoorbeeld voor identiteitsfraude.

Maatregelen voor beveiliging

Bedrijven en overheden die persoonsgegevens gebruiken moeten deze volgens de Algemene verordening gegevensbescherming (AVG) beveiligen. Zo voorkomen ze datalekken.

Volgens de AVG moeten bedrijven en overheden hiervoor passende technische en organisatorische maatregelen nemen:

  • Organisaties moeten moderne techniek gebruiken om persoonsgegevens te beveiligen.
  • Verder moeten ze niet alleen naar de techniek kijken, maar ook naar hoe ze als organisatie met persoonsgegevens omgaan. Wie heeft er bijvoorbeeld toegang tot welke gegevens?

Organisaties die persoonsgegevens gaan verzamelen, moeten vooraf nadenken over de beveiliging hiervan. En beveiliging van persoonsgegevens moet binnen een organisatie een blijvend punt van aandacht zijn.

Als organisaties andere partijen inschakelen om persoonsgegevens te verwerken, dan moeten deze verwerkers voldoende maatregelen treffen om de gegevens te beveiligen. Organisaties die gegevensverwerking door een verwerker laten uitvoeren, blijven verantwoordelijk voor de naleving van de AVG.  

Meldplicht datalekken

Heeft een organisatie een ernstig datalek? Dan moeten de organisatie direct het datalek melden bij de Autoriteit Persoonsgegevens.

De AVG stelt strenge eisen aan de registratie van datalekken. Organisaties waar zich een datalek heeft voorgedaan, moeten alle datalekken documenteren.

De AP gebruikt deze documentatie om te kunnen controleren of een organisatie aan de meldplicht datalekken heeft voldaan.

Nieuws

Alle nieuwsberichten over het onderwerp 'Beveiliging van persoonsgegevens'

Alle antwoorden op mijn vragenVragen over beveiliging van persoonsgegevens

  • Wat moet een organisatie doen om mijn persoonsgegevens te beveiligen?

    Heeft een organisatie, bijvoorbeeld een webwinkel waar u iets heeft gekocht, uw persoonsgegevens? Dan is deze organisatie verplicht om passende maatregelen te nemen om uw gegevens te beschermen.

    Niet meer gegevens gebruiken dan nodig

    De organisatie moet ervoor zorgen dat deze niet méér persoonsgegevens verzamelt en verder gebruikt dan echt nodig is.

    Bijvoorbeeld door, waar mogelijk, uw naam en andere identificerende kenmerken uit uw gegevens te verwijderen.

    Ook heeft de organisatie lang niet altijd al uw persoonsgegevens nodig voor een bepaald doel, zoals het versturen van een rekening.

    Toegang tot gegevens beperken

    Ook moet de organisatie de toegang tot uw persoonsgegevens beperken.

    Hoe meer personen toegang hebben tot de gegevens, hoe groter de kans op misbruik.

    Zo moeten zorginstellingen, zoals ziekenhuizen, ervoor zorgen dat uitsluitend bevoegde medewerkers toegang hebben tot digitale patiëntendossiers.

    Moderne beveiligingstechniek gebruiken

    De organisatie moet uw persoonsgegevens beveiligen in overeenstemming met de stand van de techniek.

    Dit houdt in dat de organisatie geen verouderde techniek gebruikt om uw gegevens te beveiligen.

    Hierdoor krijgen bijvoorbeeld hackers geen of weinig kans om zich toegang te verschaffen tot uw persoonsgegevens.

  • Waar kan ik op letten als ik mijn persoonsgegevens online aan organisaties geef?

    Soms moet u op een website inloggen of persoonlijke informatie achterlaten. Bijvoorbeeld bij internetbankieren, veilingsites en webwinkels. Vraagt een website om uw persoonsgegevens? Let dan op dat de website gebruik maakt van een beveiligde internetverbinding.

    Bij een beveiligde internetverbinding staat er https:// in de adresbalk van uw browser in plaats van het normale http://. Met https:// voorkomt een website dat onbevoegden mee kunnen lezen met de gegevens die u invult.

    Maakt een website geen gebruik van een beveiligde verbinding? Denk dan goed na of u uw via die website wel uw persoonsgegevens wilt delen.

    Meer weten? Op de website Veilig internetten vindt u uitgebreide informatie over hoe u veilig kunt internetbankieren en online winkelen.

  • Wat kan ik doen als ik een vraag of klacht heb over de beveiliging van mijn persoonsgegevens door een organisatie?

    Ga met uw vragen of klachten altijd eerst naar de organisatie zelf. Heeft u een klacht en komt u er samen met de organisatie niet uit? Dan kunt u een privacyklacht indienen bij de Autoriteit Persoonsgegevens.

Alle antwoorden op mijn vragenVragen van organisaties over beveiliging

  • Hoe kan ik veilig persoonsgegevens via e-mail versturen?

    Aan het verzenden van informatie via e-mail zitten risico’s. Dus wilt u persoonsgegevens via e-mail versturen? Bijvoorbeeld gegevens over uw klanten, burgers of andere relaties? Dan bent u er als organisatie verantwoordelijk voor dat u die gegevens veilig verstuurt.

    U moet voor e-mail maatregelen treffen om te voorkomen dat onbevoegden toegang krijgen tot de informatie. In de wet staat niet precies omschreven welke maatregelen u moet treffen. Wel dat deze passend moeten zijn. Wij geven u hieronder twee voorbeelden van passende maatregelen.

    1. Het versleutelen van de persoonsgegevens in een e-mailbijlage.
    2. Het versleutelen van het e-mailverkeer tussen mailservers met een of meerdere moderne internetstandaard(en). Voorbeelden van moderne internetstandaarden zijn STARTTLS, SPF, DKIM, PGP en S/MIME.

    Meer informatie van het NCSC

    Meer informatie over veilige internetstandaarden vindt u op de website van het Nationaal Cyber Security Centrum (NCSC):

    E-mailtest

    Wilt u weten of uw e-mailvoorziening de moderne internetstandaarden ondersteunt? Doe dan de e-mailtest op de website van internet.nl.

  • Wat is pseudonimiseren?

    Pseudonimiseren is een beveiligingsmaatregel waarbij persoonsgegevens worden verwerkt zonder dat daarbij duidelijk wordt over welke personen de gegevens gaan. Bij pseudonimiseren van persoonsgegevens kunnen gegevens alleen nog herleidbaar zijn tot een specifiek persoon als er gebruik wordt gemaakt van aanvullende gegevens.

    Pseudonimisering van persoonsgegevens is een verwerking van persoonsgegevens waarbij u zich nog steeds moet houden aan de Algemene verordening gegevensbescherming (AVG).

    Bij pseudonimisering moet u technische en organisatorische maatregelen nemen om ervoor te zorgen dat onbevoegden de koppeling met het bestand met aanvullende gegevens niet kunnen maken.  

    Houd rekening met externe bronnen

    Bij pseudonimisering moet u rekening houden met informatie uit externe bronnen als de Basisregistratie Personen, de Kamer van Koophandel, het Kadaster, de Telefoongids, Facebook en Twitter. En met de ontwikkeling van nieuwe databronnen en -methoden.

    Bevatten de gepseudonimiseerde gegevens een locatie, datum en tijd? Dan kan er mogelijk een koppeling worden gemaakt met bijvoorbeeld beschikbare camerabeelden of pintransacties.

    Ook moet u als verwerkingsverantwoordelijke rekening houden met de ontwikkeling van nieuwe databronnen en -methoden waarmee pseudonieme gegevens alsnog te herleiden kunnen zijn.

    Pseudonimisering is geen anonimisering

    Zijn de gegevens volledig geanonimiseerd? Dan is de AVG niet meer van toepassing. 

    Geanonimiseerde gegevens zijn gegevens die helemaal geen betrekking meer hebben op individuen. Er mogen bij anonimisering dus géén aanvullende gegevens beschikbaar zijn waarmee iemand alsnog een koppeling kan maken met een specifiek persoon.

  • Moet ik registreren (loggen) wie toegang heeft gehad tot gegevens?

    Ja. Als organisatie moet u de persoonsgegevens die u verwerkt goed beveiligen. Daar bent u voor verantwoordelijk. Een van de maatregelen hiertoe is te registreren (loggen) wat uw medewerkers met de gegevens doen.

    In de logbestanden legt u ook andere relevante gebeurtenissen vast. Bijvoorbeeld pogingen om ongeautoriseerd toegang te krijgen tot gegevens. Of verstoringen die kunnen leiden tot verminking of verlies van persoonsgegevens.

    U controleert de logbestanden periodiek op indicaties van onrechtmatige toegang of onrechtmatig gebruik van de persoonsgegevens. Als het nodig is, onderneemt u vervolgens actie.

  • Moet ik betrokkenen laten weten wie toegang heeft gehad tot hun gegevens?

    Ja. Een betrokkene (degene van wie u als organisatie persoonsgegevens verwerkt) heeft het recht om te vragen wie binnen uw organisatie toegang heeft gehad tot zijn gegevens.

    Vraagt een betrokkene, zoals een patiënt van uw zorginstelling of een inwoner van uw gemeente, wie toegang heeft gehad tot zijn gegevens? Dan verstrekt u een overzicht van (categorieën van) medewerkers die toegang hebben gehad. U stelt dit overzicht samen op basis van uw logbestanden.

  • Wat is meerfactorauthenticatie?

    Authenticatie is het proces waarbij de identiteit van een gebruiker wordt gecontroleerd. Meerfactorauthenticatie is een vorm van (toegangs)beveiliging waarbij de gebruiker zich met een combinatie van minimaal twee verschillende typen authenticatiefactoren moet authentiseren om toegang te krijgen tot een computer, (besturings)systeem of applicatie.

    Authenticatiefactoren

    Drie mogelijke authenticatiefactoren zijn:

    • Iets dat de gebruiker weet. Bijvoorbeeld een wachtwoord, een pincode of de beantwoording op een beveiligingsvraag.
    • Iets dat de gebruiker heeft. Bijvoorbeeld een telefoon of een token.
    • Iets dat de gebruiker is. Bijvoorbeeld een biometrisch gegeven zoals een vingerafdruk, spraakherkenning of gezichtsherkenning.

    Geen meerfactorauthenticatie

    Een combinatie van hetzelfde type authentiecatiefactor is géén meerfactorauthenticatie. Bijvoorbeeld wanneer er meerdere combinaties van gebruikersnamen en wachtwoorden nodig zijn om toegang te krijgen.

    Gebruikersnamen en wachtwoorden vallen beide binnen het type authenticatiefactor ‘Iets dat de gebruiker weet’, waardoor deze combinaties niet als meerfactorauthenticatie kwalificeren.

    Over het algemeen zijn de volgende voorbeelden géén authenticatiefactoren voor het gebruik van een computer of applicatie:

    • een toegangspas waarmee toegang wordt verkregen tot een ruimte waar meerdere mensen toegang hebben;
    • een unieke telefoon of unieke computer (tenzij de mobiele telefoon een tijdelijk paswoord of wachtwoord genereert of gebruik maakt van een ingebouwde authenticatiefactor);
    • een uniek IP-adres.

    Voorbeelden meerfactorauthenticatie

    Voorbeelden van meerfactorauthenticatie zijn:

    • de combinatie van het gebruik van een wachtwoord én een eenmalig te gebruiken paswoord of wachtwoord (token) per sms;
    • de combinatie van een vingerafdruk én een wachtwoord;
    • de combinatie van een irisscan én een smartcard als token;
    • het gebruik van een app of hardwaretoken die wisselende wachtwoorden genereert in combinatie met een wachtwoord of pincode.

    Meer informatie

  • Hoe weet ik of moderne internetstandaarden goed geconfigureerd zijn voor mijn website?

    Dat kunt u zelf controleren via www.internet.nl.

    Voer uw website-adres in op deze site. U krijgt onmiddellijk een analyse van de verbeterpunten.

    Zo kunt u eenvoudig controleren of uw internetverbinding, e-mail en website wel voldoen aan moderne internetstandaarden. Bijvoorbeeld aan de internetstandaard https.

    Internet.nl is een initiatief van de Internetgemeenschap en de Nederlandse overheid.

  • Moet ik altijd https gebruiken voor mijn website?

    Als u persoonsgegevens verzamelt via uw website, moet u in ieder geval https gebruiken. Zo voorkomt u dat onbevoegde derden mee kunnen lezen met het verkeer naar uw website.

  • Mag ik persoonsgegevens gebruiken om een informatiesysteem te testen?

    Nee, dat mag niet. Als organisatie mag u de persoonsgegevens die u heeft niet gebruiken voor een ander doel.

    Het testen van informatiesystemen mag alleen met fictieve (verzonnen) gegevens of met persoonsgegevens die weinig risico met zich meebrengen. Dat zijn bijvoorbeeld openbare gegevens, zoals van publieke websites.

Toon meer vragen en antwoorden-  Toon minder vragen en antwoorden

Alle antwoorden op mijn vragenVragen van organisaties over hashing

  • Wat is hashing?

    Hashing is het toepassen van een berekening (cryptografische hashfunctie) om gegevens van verschillende omvang te veranderen naar gegevens met dezelfde omvang.

    Hashing kan een tabel met grote en kleine gegevens veranderen in een tabel met gegevens met dezelfde lengte, bijvoorbeeld 64 karakters. Dit proces kan makkelijk de ene kant op (naar de hashwaardes), maar is bedoeld om het moeilijker te maken de andere kant op te gaan (naar de oorspronkelijke waardes).

    Cryptografische hashfuncties (zoals SHA en MD5) zijn zo ontworpen dat er voor verschillende invoergegevens zo min mogelijk dubbeling ontstaat van dezelfde hashwaarden.

    Als je één hashwaarde ziet, kun je niet raden wat de invoer was. Behalve door verschillende invoergegevens te proberen, net zo lang totdat je de gezochte hashwaarde tegenkomt.

    Gebruik hashing

    Organisaties kunnen hashing gebruiken als methode om persoonsgegevens te pseudonimiseren. Gegevens als BSN, telefoonnummer, IP-adres of e-mailadres vervangen zij dan door een hash.

  • Zijn gehashte persoonsgegevens anoniem?

    Gehashte persoonsgegevens zijn meestal niet anoniem. Cryptografische hashmethoden zijn ontworpen om het zo moeilijk mogelijk te maken om van een hashwaarde terug te rekenen naar het oorspronkelijke gegeven. Maar in de praktijk blijkt dat het toch mogelijk is om gehashte persoonsgegevens te herleiden naar een individu.

    Dat betekent dat u zich als verwerkingsverantwoordelijke ook bij hashing aan de Algemene verordening gegevensbescherming (AVG) moet houden.

    Dit zijn de drie meest voorkomende redenen waarom gehashte persoonsgegevens vaak niet anoniem zijn:

    1. Oorspronkelijke gegevens vaak nog beschikbaar

    Ten eerste zijn gegevens niet anoniem zolang de oorspronkelijke gegevens nog beschikbaar zijn. Door alle oorspronkelijke gegevens opnieuw te hashen en de pseudoniemen naast de oorspronkelijke gegevens op te slaan, is een koppeltabel te maken. 

    Met deze koppeltabel kan iemand alsnog een link leggen tussen de pseudonieme gegevens en de oorspronkelijke gegevens. In de praktijk blijkt dat dit vaak mogelijk is. Er is dan sprake van pseudonimisering en niet van anonimisering.

    2. Hashwaardes zijn te reproduceren

    Ten tweede kunt u de oorspronkelijke gegevens herleiden uit een nieuwe berekening van de hashwaardes van alle mogelijke oorspronkelijke gegevens, een zogenoemde brute force attack. Net zo lang totdat u een match heeft. Ieder uniek gegeven heeft namelijk een eigen unieke hashwaarde die onveranderlijk is.

    Ter illustratie: u heeft een lijst met een aantal gehashte Nederlandse mobiele telefoonnummers. Iemand zou dan alle mobiele telefoonnummers in Nederland kunnen hashen en de hashwaardes vergelijken met uw lijst. Gelet op de rekenkracht van computers is dit ook een risico voor gegevens zoals BSN’s en IP-adressen.

    3. Beschikbaarheid van aanvullende informatie

    Ten derde slaan organisaties pseudoniemen vaak op in combinatie met aanvullende informatie. Wanneer deze aanvullende informatie onderscheidend genoeg is, is het mogelijk om deze informatie te gebruiken om gepseudonimiseerde gegevens te herleiden naar individuele personen.

    Een geboortedatum in combinatie met de vier cijfers van een postcode is bijvoorbeeld vaak uniek genoeg om een persoon te herleiden met  informatie uit de Basisregistratie Personen.

    Houd rekening met externe bronnen

    U moet bij de herleidbaarheid ook rekening houden met beschikbare informatie uit externe bronnen. Zoals de Basisregistratie Personen, de Kamer van Koophandel, het Kadaster, de Telefoongids, Facebook en Twitter.

    Als de gepseudonimiseerde gegevens een locatie, datum en tijd bevatten, kan er mogelijk een koppeling worden gemaakt met bijvoorbeeld beschikbare camerabeelden of pintransacties.

    Ook moet u als verwerkingsverantwoordelijke rekening houden met de ontwikkeling van nieuwe databronnen en -methoden waarmee pseudonieme gegevens alsnog te herleiden kunnen zijn.

  • Hoe werkt hashing met salt?

    Hashing is een techniek die u kunt gebruiken om persoonsgegevens te pseudonimiseren. Door een salt toe te voegen, kunt u het herleiden van een hashwaarde moeilijker maken voor personen die geen kennis hebben van de gebruikte salt.

    Een salt is een waarde die u toevoegt aan de berekening van elke afzonderlijke hash. Onbevoegden die de oorspronkelijke persoonsgegevens willen herleiden, moeten dan niet alleen de hashwaarde achterhalen maar ook nog eens de salt.

    Het toevoegen van een goede salt is een beveiligingsmaatregel die voorkomt dat onbevoegden zomaar data kunnen koppelen aan individuele personen.

    Een goede salt

    Een goede salt bestaat uit een lange reeks karakters die willekeurig zijn samengesteld. Bijvoorbeeld met een cryptografische random number generator

    Want als de salt voorspelbaar is, kunnen de gegevens alsnog te herleiden zijn. Bijvoorbeeld als de salt heel kort is of gebaseerd is op de datum.

    Salts vernietigen en vervangen

    Wanneer u de salt vernietigt of vervangt door een andere salt, leidt de overgebleven hashwaarde niet meer tot dezelfde pseudoniemen.

    Heeft u als verwerkingsverantwoordelijke het recht om bepaalde persoonsgegevens gedurende 24 uur te verwerken? Dan kunt u kiezen voor een rotating salt. U vernietigt dan elke 24 uur de saltwaarde en vervangt deze door een nieuwe waarde.

    Let op: ook met gebruik van een salt is er vaak nog steeds sprake van pseudonimisering en niet van anonimisering. U verwerkt dan dus nog steeds persoonsgegevens en moet zich aan de Algemene verordening gegevensbescherming (AVG) houden.