CBP: cafés schonden privacywet met ID-scanner
Verschillende cafés in Hoorn hebben door het gebruik van ID-scanners om identiteitsbewijzen te scannen de wet overtreden, zo stelt het College bescherming persoonsgegevens (CBP). Met de ID-scanner scanden de cafés de digitale gegevens op de chip in identiteitsbewijzen van bezoekers.
Op de chip staan onder meer het burgerservicenummer (BSN) en een foto. Dit zijn gevoelige persoonsgegevens waarvoor extra wettelijke eisen gelden vanwege het risico op identiteitsfraude. Deze manier van verzamelen en opslaan van persoonsgegevens door cafés is niet toegestaan, aldus het CBP. De onderzochte horecagelegenheden zijn naar aanleiding van de geconstateerde overtredingen door de toezichthouder gestopt met het inscannen van identiteitsbewijzen en hebben de eerder verzamelde persoonsgegevens vernietigd.
Horecaontzegging
Eén van de redenen voor horecaondernemers om ID’s te scannen is om, samen met andere cafés, gegevens uit te wisselen voor een collectieve horecaontzegging. Dit is een maatregel die wordt opgelegd aan horecabezoekers die in ernstige mate overlast veroorzaken. Cafés die horecaontzeggingen onderling willen uitwisselen zijn wettelijk verplicht dit eerst bij het CBP te melden en een voorlopig onderzoek aan te vragen. Dit was in het geval van de onderzochte Hoornse cafés niet gebeurd.
Verder stelt het CBP dat cafés het BSN niet mogen verwerken. Het BSN is een persoonsnummer dat in de eerste plaats bedoeld is voor het contact tussen burgers en de overheid. Organisaties buiten de overheid mogen het BSN alleen gebruiken als dat wettelijk is bepaald. Met het BSN kan gemakkelijk een koppeling worden gemaakt tussen informatie uit verschillende bestanden.
"Bedrijven moeten uiteraard kunnen controleren of hun klanten zijn wie ze zeggen dat ze zijn. Het scannen en verwerken van ID-bewijzen brengt echter privacyrisico’s met zich mee bijvoorbeeld misbruik van persoonsgegevens en identiteitsfraude. Dit kan grote financiële en maatschappelijke gevolgen hebben voor burgers", aldus de toezichthouder.
Ben ik nou weer de enige die dit aan zag komen?
Volgens mij ben je voor harde kopieën van je paspoort/id zelf verantwoordelijk voor het verbergen van je BSN en een watermerk. (dus m.a.w. zelf een printje maken die je kan inleveren)
In de horeca en supermarkt hoeft men alleen te weten of iemand tot de juiste doelgroep behoort om alhocol aan te mogen verkopen, de rest is totaal niet relevant voor de verkoop. Alles wat er nu, door o.a. de horeca en supermarkten, wordt verzameld, zonder toestemming van de betrokkenen, is volstrekt onrechtmatig. Indien er tegen de wil van een betrokkene een kopie van de gegevens wordt gemaakt zou er aangifte wegens privacy schending gedaan kunnen worden. Bij een enkele aangifte zal de Politie niets ondernemen maar als het regent van de aangiften dan zal het OM er toch iets mee moeten doen.
Je kunt in Nederland dus naar hartenlust de wet overtreden wanneer op de privacy van de burger aankomt. Als ze je dan pakken, dan beloof je het plechtig niet meer te doen. Niets geen boete, geen straf. Inmiddels heb je voldoende materiaal verzameld om identiteitsfraude te plegen.
Deze reprimande zal vast een afschrikkende werking hebben op andere bedrijven die ook dergelijke overtredingen begaan. Het bewijst eens te meer hoe slap ons land optreedt tegen identiteitsfraude en alles dat met privacy heeft te maken.
Ze krijgen daarvoor niet de mogelijkheden aangereikt.
Met een loktiener kan het zo maar zijn dat je stevige boetes opgelegd krijgt of de boel moet sluiten.
Zijn die opgelegde verplichtingen ook niet een inbreuk op de privacy? Zolang er iemand anders geen last van heeft waarom dan al die regeltjes?
Volgens mij ben je voor harde kopieën van je paspoort/id zelf verantwoordelijk voor het verbergen van je BSN en een watermerk. (dus m.a.w. zelf een printje maken die je kan inleveren)
Maar de werkelijke oplossing is het terugdringen enerzijds van het risico van identiteitsfraude en anderzijds van de gevolgschade. In het eerste is een belangrijk middel het terugdringen van het ronduit frivool te noemen gebruik van identificatieplicht in het algemeen en kopieën paspoort (in plaats van opschrijven of zelfs maar inzien van het minimum aan gevevens dat relevant is - ja, de geboortedatum is meer dan 18 jaar geleden) in het bijzonder.
In het laatste is het van kritisch belang dat slachtoffers van identiteitsfraude net zo snel weer uit de problemen kunnen worden geholpen als ze er momenteel in worden geblunderd. Dat dit bakken belastinggeld en winst kost is betreurenswaardig, maar misschien ook wel een nuttig lesje in frivool gebruik van ... je raadt het.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
