SVB krijgt wegens gebrekkige identiteitscontrole AVG-boete van 150.000 euro
De Sociale verzekeringsbank (SVB) heeft van de Autoriteit Persoonsgegevens een boete van 150.000 euro gekregen omdat het tekort schoot in de identiteitscontrole van cliënten en daarmee de AVG overtrad. In een gemiddelde week staat de SVB twintigduizend mensen te woord die vragen hebben over socialezekerheidswetten, waaronder de AOW. Bovendien hebben de zo'n vijftienhonderd servicemedewerkers van de SVB allemaal toegang tot cliëntgegevens.
In 2019 kwamen gegevens van een SVB-cliënt in handen van iemand die die gegevens niet had mogen krijgen. De cliënt ontdekte dat iemand via de telefonische helpdesk van de SVB uitkeringsinformatie had weten op te vragen. Daarop diende de cliënt een klacht in bij de Autoriteit Persoonsgegevens (AP). Uit onderzoek van de privacytoezichthouder bleek dat de SVB te weinig deed om de privacyrisico’s van de telefonische dienstverlening in kaart te brengen.
"In de praktijk schoot het systeem voor het controleren van de identiteit van bellers tekort. Controlevragen gingen vaak over zaken die vrij eenvoudig zijn te achterhalen door buitenstaanders (zoals iemands voornaam, adres en postcode)", aldus de AP. Verder bleek dat de SVB onvoldoende controleerde of servicemedewerkers zich eigenlijk wel aan het controlebeleid hielden. De SVB maakte medewerkers ook onvoldoende bewust van het belang van een veilig beheer van persoonsgegevens. De overtredingen vonden plaats van mei 2018 tot mei 2022.
Na het onderzoek van de Autoriteit Persoonsgegevens voerde de SVB aanpassingen door. Zo is er een nieuwe werkinstructie die voorschrijft hoe servicemedewerkers precies de identiteit van bellers moeten controleren. De SVB gaat het nieuwe beleid elke twee jaar evalueren. "Instanties met telefonische hulplijnen kunnen hier van leren", aldus AP-bestuurder Katja Mur. "Privacybeleid gaat niet alleen over digitale dienstverlening, maar ook over telefonische dienstverlening."
'Need to know' kennen ze daar blijkbaar niet.
Maakt niet uit, het gaat maar over burgers. Boeit niet.
Nu maar hopen dat er ook geleerd is van fouten.
Het is wél van deze tijd dat een deel van uw gegevens op straat ligt en dat daarmee nog meer van uw gegevens kunnen worden opgevraagd die vervolgens ook weer op straat komen te liggen. Uw probleem, niet het onze. U kunt wel lekker lui op de bank blijven zitten - ook terwijl uw bankrekening geplunderd wordt.
Oplossing
Voor op afstand betrouwbaar authenticeren bestaan, op dit moment, helemaal geen middelen. En het is de vraag of die er ooit zullen komen.
We hebben duidelijk herkenbare (en zelden of nooit gespoofde) gebouwen, met daarin balies en daarachter levende medewerkers * (die, indien nodig, identiteitsbewijzen kunnen verifiëren), afgeschaft voordat we een fatsoenlijk alternatief hadden. Lang leve de ontmenselijking (= digitalisering).
* Niet alle medewerkers waren betrouwbaar. Maar de pakkans was wel een stuk groter, en het aantal incidenten klein en de aantallen slachtoffers waren laag. "Danzij" digitalisering kan een inhuurkracht in een oogwenk de gegevens van 30.000 mensen lekken (https://www.security.nl/posting/792862/Vattenfall+lekt+persoonlijke+gegevens+van+dertigduizend+klanten).
Het zou de AP sieren als de boete opgelegd wordt als verplichting om te besteden aan een betere beveiliging.
Dan pas zullen we verbetering zien.
'Need to know' kennen ze daar blijkbaar niet.
Maakt niet uit, het gaat maar over burgers. Boeit niet.
Nu de belastingdienst nog (ICT)
De politie, AIVD (gegevens opvragen met eerlijke feedback)
En het BSN veranderbaar maken
Eventuele ABCD assets uit Logius/RvIG ontslaan
Want het niet zo dat de AbCD onze privacy helpt cleanen of andere services... Helaas als het wel zo is neem ik dit terug
We moeten het allemaal maar zelf organiseren
En ook auditing... En steekproeven... Overal in de overheid kan in dossiers worden gekeken
Dus ook door andere landen , via een ambtenaar
En waarom verzamelt de nationals politie irrelevante info over burgers zonder dat deze op de hoogte zijn of optie tot delete van bullshit aangiftes door je ex/stalker op jouw naam enz enz
Ik heb zelf geen enkele beslissing van de AP mogen vernemen maar ze brengen die naar buiten.
Zoals ik ze al vaker erop geattendeerd heb. Ik ben nog geen AOW ontvanger! Ik heb de AP er ook op geattendeerd dat het niet om 5 miljoen burgers gaat maar om de AOW gegevens registratie van 27 miljoen burgers!!! Ook al krijg je nog geen AOW, je gegevens worden vermeld en het blijkt dat iedere sul de SVB kan bellen en zomaar van een ander alle info kan krijgen!!
Ik ervaar dit zeer kwalijk en heb de Ombudsman ook al benaderd!
Daarnaast kan natuurlijk een phiser ook gewoon zo'n gebouw inlopen en met gephiste gegevens toch iets lospeuteren, of jezelf als inhuurkracht binnensmokkelen en achter de computer zelf alles te lekken, al dan niet via je thuiswerkplek.
Nee, er moet een betere oplossing komen. Laat die telefoon-hel-desk gewoon terugbellen op het reeds bekende nummer, of iets met een mfa code sturen (desnoods per brief als er geen andere mogelijkheid is). Niet helemaal waterdicht, maar beter dan weer die burecratie waar je tussen 10u en 12u en tussen 14u en 16u ergens fysiek moet melden (meestal op een plek waar je niet zo handig kan komen en/of heel duur moet parkeren).
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
