Etten-Leur stuurt brief naar mogelijke slachtoffers van datalek Nebu
De gemeente Etten-Leur heeft naar meer dan tweehonderd inwoners die mogelijk slachtoffer zijn geworden van het datalek bij softwarebedrijf Nebu een brief gestuurd. Het is nog altijd onduidelijk van wie er gegevens zijn gestolen, maar de gemeente wil niet langer wachten en het datalek afhandelen. Dat blijkt uit de openbare besluitenlijst die gisteren door de gemeente werd gepubliceerd.
Eind maart werd bekend dat aanvallers toegang tot systemen van Nebu hadden gekregen en dat daarbij mogelijk ook gegevens van klanten van marktonderzoekers zijn buitgemaakt. Eerder dit jaar heeft een externe partij voor de gemeente Etten-Leur een klantentevredenheidsonderzoek uitgevoerd. Hierbij heeft deze partij gebruikgemaakt van de software van Nebu. Door het datalek bij Nebu zijn mogelijk ook gegevens van 210 inwoners van Etten-Leur gelekt.
"Deze personen hebben een brief ontvangen. Daarin staan de mogelijke gevolgen en de manier waarop deze kunnen worden beperkt", aldus de gemeente. Die wilde niet langer wachten totdat er meer duidelijk is. "Het is landelijk onduidelijk wat er achter de schermen allemaal gebeurt, wie er verantwoordelijkheid wil nemen. Dat kan wel twee jaar duren en daar willen we niet op wachten", aldus een woordvoerder tegenover streekomroep ZuidWest. “Dus we hebben gezegd: we gaan de mensen in kennis stellen."
In juni maakte de gemeente Woerden bekend dat Nebu niet weet welke gegevens er zijn gestolen en van welke klanten. "Nebu (het bedrijf dat daadwerkelijk is gehackt) heeft een onderzoek laten doen naar het datalek. Uit dat onderzoek blijkt hoe de cyberaanval ongeveer is verlopen. Het is uiteindelijk niet bekend geworden welke data is gestolen en van wie", zo stelde de gemeente.
En als er overduidelijk bewijs is dat er data gestolen is; maar de scope niet bekend, is de oplosrichting heel simpel: zonder gegronde redenen kun je niet anders aannemen dat ALLE persoonsgegevens gestolen zijn en dien je dus IEDEREEN te informeren. Dat willen ze niet toegeven wegens de financiele & juridische consequenties, maar zo simpel ligt de aansprakelijkheid & verantwoordelijkheid wel. En zelfs na afloop denkt met dus nog niet eens om de gedupeerde klanten; walgelijke vertoning van zowel NS, Nebu als die bloedzuigers die achter het moederbedrijf zitten !
NS heeft dan ook weinig op met privacy. Zie ook hun recente site met aanbiedingen, zonder het toestaan van scripts van Google opent deze niet.
Eens.
Je moet sowieso nooit meedoen aan marktonderzoeken, die zijn niet in jouw belang. Je wordt ingeschakeld als werkpaard.
Doe je dit als gemeente, dan weet je al op voorhand dat je fout zit. Je hebt geen markt. Je moet de burgers dienen. Niet gegevens over inkomens verzamelen, etc.
Doe je dit als gemeente, dan weet je al op voorhand dat je fout zit. Je hebt geen markt. Je moet de burgers dienen. Niet gegevens over inkomens verzamelen, etc.
Ik vind dat een vreemd verhaal. Ik ben niet anders gewend in dit soort situaties dat de opdrachtgever (de gemeente dus in dit geval) de contactgegevens doorgeeft aan de uitvoerder van de enquête en dat die vervolgens namens de opdrachtgever die mensen benadert met een uitnodiging om de enquête in te vullen.
En hoe dat ook gegaan is, Etten-Leur blijft de opdrachtgever die een verwerking van persoonsgegevens aan een andere partij heeft uitbesteed. Als de deelnemers al zelf hun gegevens bij dat inkoopbureau hebben achtergelaten (wat mij onwaarschijnlijk lijkt) dan is nog altijd de gemeente als opdrachtgever de verwerkingsverantwoordelijke. Het doet er helemaal niet toe dat de deelnemers heel goed weten dat ze met een andere partij te maken hadden, het was namens de gemeente en daar rust de verantwoordelijkheid.
De gemeente moet dus niet alleen vanuit een zorgplicht maar ook vanuit de wettelijke verplichting volgens de AVG de betrokkenen informeren, en dat moeten ze niet pas ruim vier maanden na dato doen, maar "onverwijld" (AVG art. 34 lid 1) als de inbreuk waarschijnlijk een hoog risico voor de rechten en vrijheden van de betrokkene oplevert. Als dat nu zo is was dat vier maanden geleden ook al zo.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
