Minister: CBR nog bezig om aan de AVG te voldoen
Het Centraal Bureau Rijvaardigheidsbewijzen (CBR) is nog bezig om gevonden privacyrisico's in de systemen van de organisatie te verhelpen en aan de AVG te voldoen, zo heeft minister minister Van Nieuwenhuizen van Infrastructuur laten weten naar aanleiding van recent ontdekte datalekken.
Onlangs werd bekend dat in de eerste zes maanden van dit jaar 71 keer medische gegevens van een bepaalde cliënt in het dossier van een andere cliënt raadpleegbaar waren. Het probleem kwam aan het licht bij steekproeven, door meldingen van cliënten en door CBR-personeel dat de medische dossiers behandelt, zo liet het AD vorige maand weten. Naar aanleiding van de onthulling stelden het CDA, de ChristenUnie, D66 en de VVD vragen aan de minister. Van Nieuwenhuizen laat daarop weten dat vorig jaar vijf van dergelijke datalekken zijn geconstateerd.
In mei van dit jaar meldde de minister dat het CBR voor het einde van dit jaar aan de Algemene verordening gegevensbescherming (AVG) voldoet. In juni kwam het onderwerp nog eens tijdens een plenair overleg in de Tweede Kamer aan bod. "Het CBR is bezig om de activiteiten zoals opgenomen in het plan van aanpak, uit te voeren. Het heeft mij verzekerd dat het die activiteiten eind 2019 volledig heeft afgerond. De doorlooptijd tot het einde van het jaar wordt mede veroorzaakt omdat het CBR het eigenlijk nog over de volle breedte moest oppakken", aldus Van Nieuwenhuizen (pdf).
De minister voegde toe dat ze "not amused" was toen ze erachter kwam dat het nog niet klaar was. "Ik hoop dus echt dat het dit jaar wel op orde komt. Want u hebt helemaal gelijk: het gaat over kwetsbare, privacygevoelige informatie. Ik moet er ook echt niet aan denken dat daar iets mis mee zou gaan." Naar aanleiding van deze opmerking wilden Kamerleden van CDA, de ChristenUnie, D66 en de VVD weten wat de minister heeft gedaan om mogelijke problemen te voorkomen.
"Het CBR heeft een plan van aanpak opgesteld om de risico’s aan te pakken die uit de uitgevoerde privacy impact assessments van de bedrijfskritische Iict-systemen zijn gekomen. De betreffende activiteiten zijn in uitvoering. Via periodieke overleggen van mijn medewerkers met de CIO en de functionaris gegevensbescherming van het CBR wordt mijn ministerie door het CBR geïnformeerd over de voortgang van de uitvoering van het plan van aanpak", zo laat Van Nieuwenhuizen in haar antwoord weten (pdf).
https://www.computable.nl/artikel/nieuws/security/6779712/250449/cbr-voegt-medische-data-toe-aan-verkeerde-dossiers.html
Dat is een ernstige inbreuk op de privacy van degenen die daar schade van ondervinden.
Als daarvan de oorzaak bij het ap ligt, gast het ap die privacy schade dan financieel compenseren?
Wel effe geduld hebben hè, want het wil maar niet goed lukken...
Als daarvan de oorzaak bij het ap ligt, gast het ap die privacy schade dan financieel compenseren?
Niet aan de vraag naar rijexamens en gezondheidsverklaringen kunnen voldoen is een probleem dat echt niet door de AP veroorzaakt wordt. En zelfs al zou het capaciteitsprobleem vervolgschade zijn van de inspanning die voldoen aan de AVG vergt, dan nog is het de geldende wetgeving waar alle organisaties aan moeten voldoen, is er een overgangsperiode van twee jaar geweest om de zaken op orde te krijgen en moesten organisaties al gedurende een kleine 17 jaar daarvoor aan vergelijkbare wetgeving voldoen. Als een organisatie aanpassing aan de AVG niet trekt dan ligt dat niet aan de toezichthouder maar aan hun eigen onoplettendheid en slechte voorbereiding.
Dat is een ernstige inbreuk op de privacy van degenen die daar schade van ondervinden.
Als daarvan de oorzaak bij het ap ligt, gast het ap die privacy schade dan financieel compenseren?
Wat staat hier gast?
Veel problemen bij uitvoeringsorganisaties doen mij een beetje denken aan bevers. Er staat een grote boom, je knaagt er wat af, geen probleem. Je knaagt er nog wat af, weer geen probleem. Goh, dus je kunt prima stukken van zo'n boom afknagen en en gebeurt helemaal niks. Dat is goed om te weten! Lees voor bevers politici en voor boom een willekeurige uitvoeringsorganisatie.
En waarom ook niet? Ze komen er keer op keer mee weg. Het is een bureaucratische moloch waar niemand de handen aan durft te branden.
Wat staat hier gast?
Het ap , autoriteit persoonsgegevens, is zo verblind in het uitdragen dat als iemand wat van een overheidsadministratie ziet dat zoiets een privacyinbreuk is en tot identiteitsfraude zou kunnen leiden dat ze veroorzaker worden in het lamleggen van die verwerkingen.
Als gevolg daarvan ontstaat er nogal wat privacy gerelateerde schade. De schade verhalen bij de veroorzaker brengt dan mee dat het ap voor die gevallen een schadevergoeding als claim zou moeten kunnen krijgen.
Inderdaad een goeie.
Procesproblemen kunnen tot governance-problemen leiden, en die weer tot compliance-problemen.
Feitelijk elementair Business Risks Management, dat bij CBR dus aantoonbaar afwezig was én is.
In ieder geval heeft de AVG bij het CBR nu min of meer accuut - sinds begin 2016 - tot een compliance-issue geleid. In risicomanagement-termen : de 'proximity' is van 'verre toekomst' plotseling 'mei 2018' geworden.
Dan nóg geldt dat het CBR kennelijk al niet aan de WBP voldeed. En dan nóg geldt dat het CBR méér dan 2 jaar de tijd had om compliant te worden, en nu nog steeds meer tijd nodig zegt te hebben.
Dat heeft niets of nauwelijks iets met IT te maken.
Eenvoudigweg falend duurbetaald CBR-management.
Vraag is dus waarom de minister niet heeft ingegrepen.
En waarom de AP niet optreedt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
