Juridische vraag: mag je kopie paspoort via e-mail versturen?
Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet. Arnoud geeft elke week in een artikel antwoord op een interessante vraag. Vanwege het grote aantal inzendingen kunnen niet alle vragen beantwoord worden.
Vraag: Steeds vaker word ik gevraagd om een kopie van mijn identiteitsbewijs te mailen. Ik snap dat men wil weten wie ik ben, maar mag dit soort informatie wel per e-mail worden verstuurd? Er zit immers geen versleuteling op.
Antwoord: Persoonsgegevens moeten inderdaad worden beveiligd, maar de wet noemt geen harde beveiligingscriteria. Verder dan "adequaat gezien de omstandigheden en aard van de gegevens" komt artikel 13 van de Wet bescherming persoonsgegevens niet. Je moet dus zelf bedenken wat adequaat is.
Bij een webwinkel is het bijvoorbeeld zeer eenvoudig om SSL toe te passen in het bestelproces. Daar ontkom je in de praktijk dus niet aan, hoewel het strikt gesproken niet letterlijk móet van de wet.
E-mail is onversleuteld, dus dat biedt een risico. Gezien de aard van de gegevens (met name het BSN dat op het identiteitsbewijs kan staan) zou versleuteling eigenlijk wel gepast zijn. Hoewel je je kunt afvragen hoe groot het risico is dat de e-mail onderschept en misbruikt wordt.
Belangrijker hier is echter: hoezó moeten zij een kopie van het identiteitsbewijs hebben? En wat gaan ze daarmee doen? Op zijn minst moet gemeld worden hoe dat wordt verwerkt en beveiligd opgeslagen (en dan bedoel ik dus niet, het staat in de Outlookmap 'Bestellingen' van Henk en daar zit een wachtwoord op). Maar ik zou ook wel willen weten wat ze hébben aan zo'n kopie. Ik kan immers zo andermans kopie ID insturen. En dan?
Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.
"Persoonsgegevens moeten inderdaad worden beveiligd, maar de wet noemt geen harde beveiligingscriteria."
Zijn deze regels daadwerkelijk van toepassing op de burger, wanneer het het eigen identiteitsbewijs betreft ? Het lijkt mij onverstandig om deze gegevens niet te beveiligen, maar het lijkt mij geen juridische verplichting ?
http://www.cbpweb.nl/pages/pb_20120712_gebruik-kopie-identiteitsbewijs.aspx
Het probleem is dan ook dat iemand anders jou verplicht dat te doen, want anders doen ze niet wat jij graag zou willen dat je doet, en dat kan nare repercussies hebben. Bijvoorbeeld omdat je dan geacht wordt niet aan d'ene of d'andere verplichting om onduidelijke redenen opgelegd door d'ene of d'andere overheid te hebben voldaan.
Dus of jij dat mag is niet interessant. Dat jij dat moet is dat wel. Met welk recht eisen anderen dat van jou?
Zoals Arnoud geheel terecht opmerkt moet de vraag allereerst zijn, wat moeten ze met die informatie, garandeert dat wat ze ervan verwachten (als ze al iets concreets verwachten) en welke garanties heb je dan dat er zorgvuldig mee omgegaan wordt? Dat laatste is meestal al zo onduidelijk dat we dat eerste al helemaal vergeten te vragen. Ten onrechte.
Maar daarmee is het plaatje niet af. De volgende vraag is namelijk: Welke middelen biedt men jou om veilig die informatie te overhandigen? Hebben ze bijvoorbeeld een PGP sleutel die je zou kunnen gebruiken? En/of een mogelijkheid om een scan versleuteld aan een webformulier mee te geven. En/of want waarom zou je iedereen aan precies een enkele invoermogelijkheid vastpinnen? Niet aan jou om te bepalen wat handig is voor je klanten. Maar aangezien die eerste vraag meestal al te moeilijk is, is het niet gek dat ze niet verder komen.
Zelfs alle plannen tot verbetering zijn vooralsnog voorspelbaar erger dan de kwaal. Gewoon wegens chronisch gebrek aan nadenken over noodzaak en inperking van informatieoverdracht.
http://www.cbpweb.nl/pages/pb_20120712_gebruik-kopie-identiteitsbewijs.aspx
Ik moet nog een keer bij de ANWB langs voor die mallen waarmee niet-relevante gegevens niet mee worden gekopieerd. Daarnaast gebruik ik al langer "Watermark Image" om een duidelijke tekst op de kopie te zetten waarin ik datum en toegestaan doel van het gebruik specificeer.
Peter
Je mag je eigen persoonsgegevens behandelen zoals je wilt. Alleen, ik zie "wilt u uw paspoort even mailen naar ons" niet als een vrijwillige actie vanuit de klant maar als een opdracht vanuit het bedrijf. En het bedrijf moet persoonsgegevens van klanten adequaat beveiligen. Ook als ze de klant zelf het werk laten doen.
Ik heb begrepen dat de mal de foto ook afschermt.
https://www.respectprivacy.org/#solutions:
Peter
http://www.cbpweb.nl/pages/pb_20120712_gebruik-kopie-identiteitsbewijs.aspx
Ik moet nog een keer bij de ANWB langs voor die mallen waarmee niet-relevante gegevens niet mee worden gekopieerd. Daarnaast gebruik ik al langer "Watermark Image" om een duidelijke tekst op de kopie te zetten waarin ik datum en toegestaan doel van het gebruik specificeer.
Peter
Ouder progje maar werkt ook prima en gratis:
http://www.pmnet.info/watermark/
Het probleem is dan ook dat iemand anders jou verplicht dat te doen, want anders doen ze niet wat jij graag zou willen dat je doet, en dat kan nare repercussies hebben. Bijvoorbeeld omdat je dan geacht wordt niet aan d'ene of d'andere verplichting om onduidelijke redenen opgelegd door d'ene of d'andere overheid te hebben voldaan.
Dus of jij dat mag is niet interessant. Dat jij dat moet is dat wel. Met welk recht eisen anderen dat van jou?
Zoals Arnoud geheel terecht opmerkt moet de vraag allereerst zijn, wat moeten ze met die informatie, garandeert dat wat ze ervan verwachten (als ze al iets concreets verwachten) en welke garanties heb je dan dat er zorgvuldig mee omgegaan wordt? Dat laatste is meestal al zo onduidelijk dat we dat eerste al helemaal vergeten te vragen. Ten onrechte.
Maar daarmee is het plaatje niet af. De volgende vraag is namelijk: Welke middelen biedt men jou om veilig die informatie te overhandigen? Hebben ze bijvoorbeeld een PGP sleutel die je zou kunnen gebruiken? En/of een mogelijkheid om een scan versleuteld aan een webformulier mee te geven. En/of want waarom zou je iedereen aan precies een enkele invoermogelijkheid vastpinnen? Niet aan jou om te bepalen wat handig is voor je klanten. Maar aangezien die eerste vraag meestal al te moeilijk is, is het niet gek dat ze niet verder komen.
Zelfs alle plannen tot verbetering zijn vooralsnog voorspelbaar erger dan de kwaal. Gewoon wegens chronisch gebrek aan nadenken over noodzaak en inperking van informatieoverdracht.
Tot op heden heeft nooit iemand daarove rgeklaagd :)
Met gecategoriseerde kenmerken (w.o. BSN en pasfoto) moet worden afgewogen of de verwerking proportioneel is en er geen alternatieven zijn. Dit laatste lijkt mij duidelijk wel (al eens gehoord van DigiD?) want ik meen dit artikel te herkennen van de discussie gisteren over het stemmen vanuit het buitenland, waarbij een copie paspoort wordt gevraagd.
Kortom: wáárom dit soort middelen überhaupt willen inzetten...
Wat mij verbaast is dat er nog bar weinig gebruik wordt gemaakt van PGP sleutels door mensen. Ik heb weliswaar een sleutelpaar laten registreren, waarmee ik emails ondertekend kan verzenden en waarmee iedereen die mijn public key heeft mail kan versleutelen naar mij toe. Echter, ik ken vrijwel niemand met ook zo'n sleutelpaar. Met andere woorden: zolang vrijwel niemand PGP gebruikt, is email dus inderdaad onversleuteld.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
