Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet en maak kans op zijn boek
"De wet op internet".

Arnoud is van alle markten thuis, maar vindt vooral in technische / hacking vragen een uitdaging. Vragen over licenties worden niet behandeld, aangezien die geen raakvlak met beveiliging hebben. De Juridische vraag is een rubriek op Security.nl, waar wetgeving en security centraal staan. Elk kwartaal kiest Arnoud de meest creatieve vraag, die dan zijn boek zal ontvangen.

Vraag: Mijn werkgever heeft een nieuw systeem ingevoerd voor de salarisadministratie. Echter, nadat ik het systeem een keer had gebruikt ging ik me flinke zorgen maken. Het lijkt erop dat het systeem uit het pre-internet tijdperk komt en snel even een likje verf heeft gekregen. Zo werkt het systeem alleen met Internet Explorer 6 en kun je na 22:00 niet inloggen "omdat de server dan opnieuw opgestart wordt". Mag mijn werkgever wel met zo'n onveilig systeem salarisgegevens verwerken?

Antwoord: Helaas komt het regelmatig voor dat bedrijven applicaties of tools invoeren die bepaald onprettig werken. Of het nu is omdat het antieke systemen zijn met een semi-moderne interface, omdat het bedieningsgemak nul is of omdat het gewoon een lomp groot stuk software is. Op zich is daar weinig aan te doen, als werknemer heb je je er maar naar te schikken.

Wanneer het gaat om persoonlijke informatie dan mag je iets meer verwachten. Persoonsgegevens moeten adequaat beveiligd worden tegen misbruik en ongeautoriseerde toegang, zo bepaalt de Wet bescherming persoonsgegevens. Wat adequaat is, staat echter niet in de wet. Dit omdat ‘adequaat’ afhankelijk is van de situatie: een lijst e-mailadressen voor een nieuwsbrief is onvergelijkbaar met een server met elektronische patiëntendossiers in een ziekenhuis. Het Cbp heeft een handreiking Achtergrond Studies en Verkenningen 23 gepubliceerd met daarin een methodiek voor het bepalen van passende beveiligingsmaatregelen in verschillende toepassingsgebieden. Deze handreiking is formeel niet bindend.

Diverse branches hebben hun eigen normen ontwikkeld. Ook deze normen zijn formeel niet bindend, maar wie algemeen aanvaarde normen negeert, heeft wel wat uit te leggen in het geval zijn database met gegevens gekraakt of misbruikt wordt. Zo gelden in de zorg diverse NEN-normen (met name NEN 7510) als algemeen aanvaard en in veel gevallen dankzij andere wet- en regelgeving zelfs als verplicht.

Voor bedrijfsadministraties zijn zulke normen er niet. Je kunt je dus niet concreet benoemen op een norm of regel die wordt geschonden, alleen maar omdat het systeem onprettig werkt of niet verklaart ISO/IEC 27002 compliant te zijn. Meer dan navragen of het wel veilig ís, zit er niet in.

(Overigens kun je niet verbieden dat jouw gegevens in zo'n systeem worden gebruikt of dat je een elektronische loonstrook krijgt uit dat systeem. In principe moet een loonstrookje schriftelijk, zo blijkt uit artikel 7:626 BW.

Maar als de loonstrook hetzelfde is als de vorige maand, dan mag men volstaan met een elektronische strook.)

Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. In 2008 verscheen zijn boek "De wet op internet".