Vergroot contrast

Beveiliging van persoonsgegevens

Gemiddeld zit iemand met zijn gegevens in honderden tot duizenden bestanden, zowel van het bedrijfsleven als van de overheid. Iedereen moet erop kunnen vertrouwen dat zijn persoonsgegevens voldoende worden beveiligd. Slechte beveiliging kan leiden tot een datalek en vervolgens tot misbruik van deze gegevens. Bijvoorbeeld voor identiteitsfraude.

Maatregelen voor beveiliging

Om datalekken te voorkomen, moeten bedrijven en overheden die persoonsgegevens gebruiken deze volgens de Wet bescherming persoonsgegevens (Wbp) beveiligen. De Wbp geeft aan dat ze hiervoor passende technische en organisatorische maatregelen moeten nemen.

Dit houdt in dat organisaties moderne techniek moeten gebruiken om persoonsgegevens te beveiligen. En dat ze niet alleen naar de techniek kijken, maar ook naar hoe ze als organisatie met persoonsgegevens omgaan. Wie heeft er bijvoorbeeld toegang tot welke gegevens?

Organisaties die persoonsgegevens gaan verzamelen, moeten vooraf nadenken over de beveiliging hiervan. En beveiliging van persoonsgegevens moet binnen een organisatie een blijvend punt van aandacht zijn.

Meldplicht datalekken

Sinds 1 januari 2016 geldt de meldplicht datalekken. Deze meldplicht houdt in dat organisaties (zowel bedrijven als overheden) direct een melding moeten doen bij de Autoriteit Persoonsgegevens zodra zij een ernstig datalek hebben.

Nieuws

Alle nieuwsberichten over het onderwerp 'Beveiliging van persoonsgegevens'

Alle antwoorden op mijn vragenVragen over beveiliging van persoonsgegevens

  • Wat moet een organisatie doen om mijn persoonsgegevens te beveiligen?

    Heeft een organisatie, bijvoorbeeld een webwinkel waar u iets heeft gekocht, uw persoonsgegevens? Dan is deze organisatie verplicht om passende maatregelen te nemen om uw gegevens te beschermen.

    Niet meer gegevens gebruiken dan nodig

    De organisatie moet ervoor zorgen dat deze niet méér persoonsgegevens verzamelt en verder gebruikt dan echt nodig is. Bijvoorbeeld door, waar mogelijk, uw naam en andere identificerende kenmerken uit uw gegevens te verwijderen. Ook heeft de organisatie lang niet altijd al uw persoonsgegevens nodig voor een bepaald doel, zoals het versturen van een rekening.

    Toegang tot gegevens beperken

    Ook moet de organisatie de toegang tot uw persoonsgegevens beperken. Hoe meer personen toegang hebben tot de gegevens, hoe groter de kans op misbruik. Zo moeten zorginstellingen, zoals ziekenhuizen, ervoor zorgen dat uitsluitend bevoegde medewerkers toegang hebben tot digitale patiëntendossiers.

    Moderne beveiligingstechniek gebruiken

    De organisatie moet uw persoonsgegevens beveiligen in overeenstemming met de stand van de techniek. Dit houdt in dat de organisatie geen verouderde techniek gebruikt om uw gegevens te beveiligen. Hierdoor krijgen bijvoorbeeld hackers geen of weinig kans om zich toegang te verschaffen tot uw persoonsgegevens.

  • Waar kan ik op letten als ik mijn persoonsgegevens online aan organisaties geef?

    Soms moet u op een website inloggen of persoonlijke informatie achterlaten. Bijvoorbeeld bij internetbankieren, veilingsites en webwinkels. Vraagt een website om uw persoonsgegevens? Let dan op dat de website gebruik maakt van een beveiligde internetverbinding.

    Bij een beveiligde internetverbinding staat er https:// in de adresbalk van uw browser in plaats van het normale http://. Met https:// voorkomt een website dat onbevoegden mee kunnen lezen met de gegevens die u invult.

    Maakt een website geen gebruik van een beveiligde verbinding? Denk dan goed na of u uw via die website wel uw persoonsgegevens wilt delen.

    Meer weten? Op de website Veilig internetten vindt u uitgebreide informatie over hoe u veilig kunt internetbankieren en online winkelen.

  • Wat kan ik doen als ik een vraag of klacht heb over de beveiliging van mijn persoonsgegevens door een organisatie?

    Ga met uw vragen of klachten altijd eerst naar de organisatie zelf. Heeft u een klacht en komt u er samen met de organisatie niet uit? Dan zijn er vervolgstappen die u kunt zetten.

Alle antwoorden op mijn vragenVragen van organisaties over beveiliging

  • Hoe kan ik veilig persoonsgegevens via e-mail versturen?

    Aan het verzenden van informatie via e-mail zitten risico’s. Dus wilt u persoonsgegevens via e-mail versturen? Bijvoorbeeld gegevens over uw klanten, burgers of andere relaties? Dan bent u er als organisatie verantwoordelijk voor dat u die gegevens veilig verzendt.

    U moet voor e-mail maatregelen treffen om te voorkomen dat onbevoegden toegang krijgen tot de informatie. In de wet staat niet precies omschreven welke maatregelen u moet treffen. Wel dat deze passend moeten zijn. Wij geven u hieronder twee voorbeelden van passende maatregelen.

    1. het versleutelen van de persoonsgegevens in een e-mailbijlage;
    2. het versleutelen van het e-mailverkeer tussen mailservers met behulp van een of meerdere moderne internetstandaard(en). Voorbeelden van moderne internetstandaarden zijn STARTTLS, SPF, DKIM, PGP en S/MIME.

    Meer informatie van het NCSC

    Meer informatie over veilige internetstandaarden vindt u op de website van het Nationaal Cyber Security Centrum (NCSC):

    E-mailtest

    Wilt u weten of uw e-mailvoorziening de moderne internetstandaarden ondersteunt? Doe dan de e-mailtest op de website van internet.nl.

  • Wat is pseudonimiseren?

    Pseudonimiseren is een beveiligingsmaatregel waarbij identificerende gegevens vervangen worden door andere gegevens. Pseudonimisering van persoonsgegevens is een verwerking van persoonsgegevens waarbij u zich nog steeds moet houden aan de huidige Wet bescherming persoonsgegevens (Wbp). En vanaf 25 mei 2018 aan de Algemene verordening gegevensbescherming (AVG). 

    Het pseudonimiseren van persoonsgegevens is een methode om met persoonsgegevens te werken zonder daarbij te weten over welke personen de gegevens gaan. Het pseudonimiseren van persoonsgegevens zorgt er namelijk voor dat gegevens alleen nog herleidbaar zijn tot een specifiek persoon als er gebruik wordt gemaakt van aanvullende gegevens.

    Bij pseudonimisering moet u technische en organisatorische maatregelen nemen om ervoor te zorgen dat onbevoegden de koppeling met het bestand met aanvullende gegevens niet kunnen maken.  

    Houd rekening met externe bronnen

    Bij pseudonimisering moet u rekening houden met informatie uit externe bronnen. Zoals de Basisregistratie Personen, de Kamer van Koophandel, het Kadaster, de Telefoongids, Facebook en Twitter. En met de ontwikkeling van nieuwe databronnen en -methoden. Als de gepseudonimiseerde gegevens een locatie, datum en tijd bevatten, kan er mogelijk een koppeling worden gemaakt met bijvoorbeeld beschikbare camerabeelden of pintransacties.

    Ook moet u als verantwoordelijke rekening houden met de ontwikkeling van nieuwe databronnen en -methoden waarmee pseudonieme gegevens alsnog te herleiden kunnen zijn.

    Pseudonimisering is geen anonimisering

    De Wbp (en straks de AVG) zijn alleen niet meer van toepassing wanneer de gegevens volledig geanonimiseerd zijn.

    Geanonimiseerde gegevens zijn gegevens die helemaal geen betrekking meer hebben op individuen. Er mogen bij anonimisering dus géén aanvullende gegevens beschikbaar zijn op basis waarvan iemand alsnog een koppeling kan maken met een specifiek persoon.

  • Moet ik registreren (loggen) wie toegang heeft gehad tot gegevens?

    Ja. Als organisatie (verantwoordelijke) moet u de persoonsgegevens die u verwerkt goed beveiligen. Een van de maatregelen hiertoe is te registreren (loggen) wat uw medewerkers met de gegevens doen.

    In de logbestanden legt u ook andere relevante gebeurtenissen vast. Bijvoorbeeld pogingen om ongeautoriseerd toegang te krijgen tot gegevens. Of verstoringen die kunnen leiden tot verminking of verlies van persoonsgegevens.

    U controleert de logbestanden periodiek op indicaties van onrechtmatige toegang of onrechtmatig gebruik van de persoonsgegevens. Als het nodig is, onderneemt u vervolgens actie.

    Meer informatie over logging en controle vindt u op p. 22 van de beleidsregels Beveiliging van persoonsgegevens.

  • Wat is meerfactorauthenticatie?

    Authenticatie is het proces waarbij de identiteit van een gebruiker wordt gecontroleerd. Meerfactorauthenticatie is een vorm van (toegangs)beveiliging waarbij de gebruiker zich met minimaal twee factoren moet authentiseren om toegang te krijgen tot een computer of applicatie.

    Drie mogelijke authenticatiefactoren zijn:

    • Iets dat de gebruiker weet. Bijvoorbeeld een wachtwoord, een pincode of de beantwoording op een beveiligingsvraag;
    • Iets dat de gebruiker heeft. Bijvoorbeeld een telefoon of een zogenaamde token;
    • Iets dat de gebruiker is. Bijvoorbeeld een biometrisch gegeven zoals een vingerafdruk, spraakherkenning of gezichtsherkenning.

    Over het algemeen zijn de volgende voorbeelden géén authenticatiefactoren voor het gebruik van een computer of applicatie:

    • Een toegangspas waarmee toegang wordt verkregen tot een ruimte waar meerdere mensen toegang hebben;
    • Een unieke telefoon of unieke computer (tenzij de mobiele telefoon een tijdelijk paswoord of wachtwoord genereert of gebruik maakt van een ingebouwde authenticatiefactor);
    • Een uniek IP-adres.

    Voorbeelden van meerfactorauthenticatie zijn:

    • De combinatie van het gebruik van een wachtwoord én een eenmalig te gebruiken paswoord of wachtwoord (token) per sms;
    • De combinatie van een vingerafdruk én een wachtwoord;
    • De combinatie van een irisscan én een smartcard als token;
    • Het gebruik van een app of hardware token die wisselende wachtwoorden genereerd in combinatie met een wachtwoord of pincode.

    Meer informatie

  • Is mijn website veilig?

    Dat kunt u zelf controleren via www.internet.nl. Voer uw website-adres in op deze site. U krijgt onmiddellijk een analyse van de sterke en zwakke punten van de toegangsbeveiliging. Zo kunt u eenvoudig checken of uw internetverbinding, e-mail en website wel voldoen aan moderne internetstandaarden.

    Internet.nl is een initiatief van de Internetgemeenschap en de Nederlandse overheid.

  • Moet ik altijd https gebruiken voor mijn website?

    Als u persoonsgegevens verzamelt via uw website, moet u in ieder geval https gebruiken. Zo voorkomt u dat onbevoegde derden mee kunnen lezen met het verkeer naar uw website.

  • Mag ik persoonsgegevens gebruiken om een informatiesysteem te testen?

    Nee, dat mag niet. Als organisatie mag u de persoonsgegevens die u heeft niet gebruiken voor een ander doel.

    Het testen van informatiesystemen mag alleen met fictieve (verzonnen) gegevens of met persoonsgegevens die weinig risico met zich meebrengen. Dat zijn bijvoorbeeld openbare gegevens, zoals van publieke websites.

Toon meer vragen en antwoorden-  Toon minder vragen en antwoorden

Alle antwoorden op mijn vragenVragen van organisaties over hashing

  • Wat is hashing?

    Hashing is het toepassen van een berekening (cryptografische hashfunctie) om gegevens van verschillende omvang te veranderen naar gegevens met dezelfde omvang. Organisaties kunnen hashing gebruiken als methode om persoonsgegevens te pseudonimiseren.

    Hashing kan een tabel met grote en kleine gegevens veranderen in een tabel met gegevens met dezelfde lengte, bijvoorbeeld 64 karakters. Dit proces kan makkelijk de ene kant op (naar de hashwaardes), maar is bedoeld om het moeilijker te maken de andere kant op te gaan (naar de oorspronkelijke waardes). Organisaties gebruiken dit om persoonsgegevens zoals BSN, telefoonnummer, IP-adres of e-mailadres te vervangen door een hash.

    Cryptografische hashfuncties (zoals SHA en MD5) zijn zo ontworpen dat er voor verschillende invoergegevens zo min mogelijk dubbeling ontstaat van dezelfde hashwaarden. Als je één hashwaarde ziet, kun je niet raden wat de invoer was. Behalve door verschillende invoergegevens te proberen, net zo lang totdat je de gezochte hashwaarde tegenkomt.

  • Zijn gehashte persoonsgegevens anoniem?

    Gehashte persoonsgegevens zijn meestal niet anoniem.

    Cryptografische hashmethoden zijn ontworpen om het zo moeilijk mogelijk te maken om van een hashwaarde terug te rekenen naar het oorspronkelijke gegeven. Maar in de praktijk blijkt dat bij gehashte persoonsgegevens het herleiden naar een individu toch mogelijk is. Dat betekent dat u zich als verantwoordelijke ook bij hashing aan de huidige Wet bescherming persoonsgegevens (Wbp) moet houden. En vanaf 25 mei 2018 aan de Algemene verordening gegevensbescherming (AVG). 

    Dit zijn de drie meest voorkomende redenen waarom gehashte persoonsgegevens vaak niet anoniem zijn:

    1. Oorspronkelijke gegevens vaak nog beschikbaar

    Ten eerste zijn gegevens niet anoniem zolang de oorspronkelijke gegevens nog beschikbaar zijn. Door alle oorspronkelijke gegevens opnieuw te hashen en de pseudoniemen naast de oorspronkelijke gegevens op te slaan, is een koppeltabel te maken. Met deze koppeltabel kan iemand alsnog een link leggen tussen de pseudonieme gegevens en de oorspronkelijke gegevens. In de praktijk blijkt dat dit vaak mogelijk is. Er is dan sprake van pseudonimisering en niet van anonimisering.

    2. Hashwaardes zijn te reproduceren

    Ten tweede kunt u de oorspronkelijke gegevens herleiden uit een nieuwe berekening van de hashwaardes van alle mogelijke oorspronkelijke gegevens, een zogenoemde brute force attack. Net zo lang totdat u een match heeft. Ieder uniek gegeven heeft namelijk een eigen unieke hashwaarde die onveranderlijk is.

    Ter illustratie: u heeft een lijst met een aantal gehashte Nederlandse mobiele telefoonnummers. Iemand zou dan alle mobiele telefoonnummers in Nederland kunnen hashen en de hashwaardes vergelijken met uw lijst. Gelet op de rekenkracht van computers is dit ook een risico voor gegevens zoals BSN’s en IP-adressen.

    3. Beschikbaarheid van aanvullende informatie

    Ten derde slaan organisaties pseudoniemen vaak op in combinatie met aanvullende informatie. Wanneer deze aanvullende informatie onderscheidend genoeg is, is het mogelijk om deze informatie te gebruiken om gepseudonimiseerde gegevens te herleiden naar individuele personen. Een geboortedatum in combinatie met de vier cijfers van een postcode is bijvoorbeeld vaak uniek genoeg om een persoon te herleiden met behulp van informatie uit de Basisregistratie Personen.

    Houd rekening met externe bronnen

    U moet bij de herleidbaarheid ook rekening houden met beschikbare informatie uit externe bronnen. Zoals de Basisregistratie Personen, de Kamer van Koophandel, het Kadaster, de Telefoongids, Facebook en Twitter. Als de gepseudonimiseerde gegevens een locatie, datum en tijd bevatten, kan er mogelijk een koppeling worden gemaakt met bijvoorbeeld beschikbare camerabeelden of pintransacties.

    Ook moet u als verantwoordelijke rekening houden met de ontwikkeling van nieuwe databronnen en -methoden waarmee pseudonieme gegevens alsnog te herleiden kunnen zijn.

  • Hoe werkt hashing met salt?

    Hashing is een techniek die u kunt gebruiken om persoonsgegevens te pseudonimiseren. Door het toevoegen van een salt kunt u het herleiden van een hashwaarde moeilijker maken voor personen die geen kennis hebben van de gebruikte salt.

    Een salt is een waarde die u toevoegt aan de berekening van elke afzonderlijke hash. Onbevoegden die de oorspronkelijke persoonsgegevens willen herleiden, moeten dan niet alleen de hashwaarde achterhalen maar ook nog eens de salt. Het toevoegen van een goede salt is een beveiligingsmaatregel die voorkomt dat onbevoegden zomaar data kunnen koppelen aan individuele personen.

    Een goede salt

    Een goede salt bestaat uit een lange reeks karakters die willekeurig zijn samengesteld. Bijvoorbeeld met hulp van een zogenoemde cryptografische random number generator. Want als de salt voorspelbaar is, kunnen de gegevens alsnog te herleiden zijn. Bijvoorbeeld als de salt heel kort is of gebaseerd is op de datum.

    Salts vernietigen en vervangen

    Wanneer u de salt vernietigt of vervangt door een andere salt, leidt de overgebleven hashwaarde niet meer tot dezelfde pseudoniemen. Heeft u als verantwoordelijke het recht om bepaalde persoonsgegevens gedurende 24 uur te verwerken? Dan kunt u kiezen voor een rotating salt. U vernietigt dan elke 24 uur de saltwaarde en vervangt deze door een nieuwe waarde.

    Let op: ook met gebruik van een salt is er vaak nog steeds sprake van pseudonimisering en niet van anonimisering. U verwerkt dan dus nog steeds persoonsgegevens en moet zich dus aan de huidige Wet bescherming persoonsgegevens (Wbp) houden. En vanaf 25 mei 2018 aan de Algemene verordening gegevensbescherming (AVG).

Hulpmiddelen voor professionals