Vodafone heeft van de Rijksinspectie Digitale Infrastructuur (RDI) een boete van 2,25 miljoen euro gekregen wegens het onvoldoende beveiligen van de aftapvoorziening. De beveiliging voldeed op meerdere onderdelen niet aan de wettelijke eisen. De vastgestelde tekortkomingen zijn inmiddels verholpen.

Een aftapsysteem bevat informatie over personen of organisaties die ‘getapt’ worden. Het gaat dan bijvoorbeeld om het meeluisteren met telefoongesprekken of het lezen van berichten die via sms, chat of e-mail worden verstuurd. De inzet van een tap gebeurt onder strikte voorwaarden en alleen op last van de Officier van Justitie, AIVD of MIVD, zo laat de RDI weten.

Aangezien een aftapsysteem staatsgeheime of strafrechtelijke informatie kan bevatten zijn er strenge eisen gesteld aan de beveiliging. Dat geldt zowel voor de fysieke ruimte waarin het systeem staat als voor de toegang tot de geautomatiseerde systemen. Ook moeten organisatorische maatregelen genomen worden om te voorkomen dat de informatie in het aftapsysteem bij onbevoegden terecht komt.

De RDI deed onderzoek naar de beveiliging van het aftapsysteem van Vodafone en ontdekte dat die op meerdere onderdelen tekortschoot. Aanbieders moeten over een beveiligingsplan beschikken waarin staat hoe de beveiligingsplicht wordt uitgevoerd. Bij Vodafone was dit plan niet volledig en bovendien sterk verouderd. Verder bleek dat Vodafone onderdelen van het aftapproces aan derden heeft uitbesteed, waarbij de vereiste afspraken niet afdoende volledig en concreet met alle leveranciers waren gemaakt.

Het onderzoek liet ook zien dat het personeel dat toegang had tot het aftapsysteem niet goed was gescreend. Bij een groot deel van hen ontbrak een adequate functieomschrijving, een ondertekende geheimhoudingsverklaring en een Verklaring Omtrent het Gedrag. Ook bleek dat de fysieke beveiliging van de ruimte waarin aftapgegevens aanwezig waren onvoldoende was. Zo konden onbevoegden eenvoudig toegang tot de ruimte krijgen. Als laatste was de toegangsbeveiliging tot geautomatiseerde systemen waarin aftapgegevens worden verwerkt onvoldoende.

"Deze overtredingen acht ik niet alleen afzonderlijk, maar zeker ook in onderlinge samenhang bezien ernstig. Een adequate beveiliging bestaat namelijk uit een combinatie van maatregelen op het gebied van preventie en detectie alsook administratieve en personele maatregelen", zo stelt de RDI in het boetebesluit. Volgens de toezichthouder is niet gebleken dat er ongeautoriseerd kennis is genomen van aftapgegevens.

Vodafone is het in essentie niet eens met de vastgestelde overtredingen en vindt het opleggen van een boete niet opportuun, zo stelde het in een reactie aan de RDI. Daarnaast noemt de provider de boetehoogte disproportioneel. Tevens wilde Vodafone dat de RDI het boetebesluit niet zou publiceren. De toezichthouder besloot daarop het boetebesluit gedeeltelijk te publiceren, omdat volledige publicatie de staatsveiligheid zou kunnen schaden.