Is privacy lastig? Of uit de tijd? (4/5): De rol van de overheid

Door | privacy | Geen reacites

Het is me de afgelopen tijd een aantal keer overkomen. Een IT architect/ontwerper/engineer die begeesterd praat over alle mooie mogelijkheden die beschikbare nieuwe techniek biedt, en vervolgens en passant zegt dat de privacyregels eigenlijk maar lastig zijn. ‘We mogen wel iets minder privacybewust zijn, want we moeten door’.

Is privacy werkelijk achterhaald? En zijn het dan de techneuten die bepalen wat mag?

Dit is het vierde deel van een privacy vijfluik. In deel 1 keek ik naar de persoonlijke kant van dit vraagstuk. Deel 2 ging dieper in op wat een slimme data-analist zoal kan met grote hoeveelheden persoonsgegevens. Deel 3 ging over de taken en verantwoordelijkheden van persoonsgegevens verzamelende en verwerkende organisaties. Dit deel 4 behandelt de rol van de overheid. In deel 5 zal ik proberen een conclusie te formuleren.

De rol van de overheid

De overheid heeft drie petten op als het gaat om de bescherming van de privacy van haar 16,8 miljoen aandeelhouders, namelijk als wetgever, als beschermheer en als grootverzamelaar. Soms komen deze rollen met elkaar in conflict.

De overheid als wetgever en toezichthouder

De EU en in het verlengde daarvan Nederland zijn in beweging op het privacyvlak. De noodzaak om privacygevoelige informatie te beschermen is erkend, zowel op Europees niveau als in Nederland wordt de wet aangescherpt. Als onderdeel hiervan krijgt de toezichthouder College Bescherming Persoonsgegevens (CBP) scherpere tanden. Recente acties van Amerikaanse (cloud) providers bewijzen dat dit effectief is. De Amerikaanse wet schrijft relatief beperkte privacyregels voor. Bovendien vindt de Amerikaanse overheid dat zij onbegrensd in de informatie mag rondsnuffelen, ook als de data in Europa is opgeslagen. Daardoor hebben de providers een minder goede business propositie dan hun Europese collega’s. Ze komen nu in verzet omdat ze bang zijn voor omzetderving.

De paradox is dat momenteel aan de ene kant scherpere regels die het verzamelen en verwerken van persoonsgegevens door organisaties inperken ontstaan, terwijl aan de andere kant burgers zelf met groot genoegen hun complete doopceel ‘op Internet gooien’. Alles beschermen is een uitdaging die we waarschijnlijk gaan verliezen. Wat nodig is, is een debat over wat we als privacygevoelig materiaal beschouwen. Een kleine(re) set aan persoonsgegevens waar we ons met z’n allen echt druk om maken is in mijn ogen beter.

Mijn advies aan de overheid: beperk de privacywetgeving tot het doel en vermijd het vermelden of verbieden van techniek. De cookie wetgeving is hierbij het slechte voorbeeld. Die is zijn doel ver voorbij geschoten door de techniek in de wet te benoemen en niet het doel. De verplichting om toestemming te vragen bij het plaatsen van cookies is functioneel onhandig en lost helaas slechts een deel van het probleem op. Alle andere mogelijkheden om gebruikers te volgen blijven buiten schot. De wet raakt bovendien de kern niet, want de vraag ‘ik wil een cookie plaatsen, mag dit?’ laat de achterliggende bedoeling ‘ik wil jouw gegevens doorverkopen, mag dit?’ volledig buiten schot. Een privacylabel naar analogie van het energielabel, of naar analogie van het ‘roken kan dodelijk zijn’ op een pakje sigaretten, werkt misschien beter. Dit moet natuurlijk ook afgedwongen worden voor niet-EU partijen. Zou Facebook net zo populair blijven als het een dieprode “G” zou scoren als privacylabel? Of Instagram als het verplicht wordt een boodschap te tonen in de trant van “gebruik van deze website is dodelijk voor uw privacy”?

De overheid als beschermheer

De overheid heeft de unieke opdracht om ons te beschermen tegen (digitaal) onheil. Nu opnieuw na de aanslagen in Parijs is de roep om op grote schaal verkeersgegevens te verzamelen, en om de inhoud van al onze berichten op het Internet in te kunnen zien weer sterker geworden. Het lijkt wel geregisseerd hoe ministers uit Engeland, België en de VS (om er een paar te noemen) allemaal te keer gaan tegen de encryptie die tegenwoordig steeds vaker door communicatieprogramma’s standaard zijn ingebouwd. Blijkbaar is het massaal afluisteren van intercontinentale glasvezelkabels, radio of satellietverkeer en binnenkort ook vaste verbindingen, kabel en glasvezel niet meer effectief (genoeg). Nu kan ik me bij de wens iets voorstellen als er gericht naar bepaalde boeven wordt gespeurd. Maar zodra de rechter hier niet meer aan te pas hoeft te komen, zoals nu het geval is bij Justitieel Aftappen van telefoonverkeer, worden deze geïnstitutionaliseerde backdoors al snel Weapons of Mass Surveillance. Daarnaast zullen die backdoors al snel een gewild doelwit worden voor het boevengilde.

monitoring

Een beetje schizofreen is onze reactie weer wel. Aan de ene kant juichen we de stappen van Whatsapp, Facebook en Google toe om net als banken het verkeer naar hun datacentra te encrypten (https, groen slotje). Maar waarom zou je het verkeer naar zo’n dienst beschermen als diezelfde dienst aan de achterkant ongestoord en op grote schaal commercieel met jouw gegevens aan de haal kan gaan, vaak met jouw onbewuste toestemming. Blijkbaar mogen de Apple’s en Facebook’s van deze wereld ‘meer’ van ons dan de veiligheidsdiensten.

De overheid als grootverzamelaar van persoonsgegevens

Zonder twijfel zijn de dataverzamelingen van de overheid de grootste die in ons land te vinden zijn. Het privacygevaar schuilt hem in de mogelijkheid om gegevens voor iets anders te gebruiken dan in eerste aanleg de bedoeling was. Nederland heeft hierin een niet al te best track record. Zo gebruikt de overheid camerabeelden voor trajectsnelheidscontrole of verkeersveiligheid nu ook om te bewijzen dat bepaalde personen op moment X op plaats Y zijn geweest. En vonden opsporingsinstanties de centrale opslag van vingerafdrukken op het paspoort, die bedoeld zijn voor identificatie aan de grens, ook heel handig om de ‘eigenaar’ van ‘onbekende’ vingerafdrukken op een Plaats Delict te bepalen. De centrale opslag is uiteindelijk door de Tweede Kamer afgewezen.

Door combinatie van gegevens tussen verschillende overheidsinstanties kan een zeer nauwkeurig beeld van burgers worden opgebouwd. Denk aan de koppeling van datasets van belastingdienst, uitkeringsinstanties, etc. om fraude op te sporen (project SyRi). Maar ander afwijkend gedrag valt er net zo goed uit te halen, of dit nu gaat om strafbare feiten of om volstrekt legitiem gedrag dat anders is dan de norm. En wie bepaalt die norm dan?

En als je de semipublieke sector hier bij betrekt wordt het beeld nog donkerder. Denk aan woningbouwverenigingen die een inkomenstoets moeten uitvoeren, en de verkregen broninformatie vast wel ergens opslaan. Denk aan het Elektronisch Patiënten Dossier, dat vanwege privacy gerelateerde problemen niet door de Tweede Kamer kwam, maar nu als Landelijk Schakel Punt min of meer onder water en onder regie van de zorgaanbieders alsnog wordt ingevoerd. Je moet persoonlijk toestemming geven voordat jouw gegevens met andere zorgaanbieders ‘gedeeld’ mogen worden. Maar die toestemming wordt een beetje een farce als je bij de apotheek wordt gevraagd ‘Meneer van Wijk, wilt u dit formuliertje even ondertekenen, want dat is handig voor het delen van uw informatie’, zonder dat daarbij de nadelen en reserves van de Kamer worden vermeld.

Dat de Big Brother Awards in 2014 voor de zoveelste keer aan minister Ivo Opstelten zijn toegekend maken mij niet geruster op het inherent betrouwbare karakter van ‘mijn’ overheid.

Dus overheid: houd je aan je eigen regels en luister naar de toezichthouder!

Davos 2015

Door | BCM, Security | Geen reacites

De samenstelling van uw Risk Panel bepaalt uw blik op dreigingen

Vandaag is het congres 2015 van het World Economic Forum van start gegaan. Zoals ieder jaar een bijeenkomst met veel captains of industry, politici, royals en een enkel staatshoofd in de sneeuw van Davos. Vorige week publiceerde het Forum een update van haar Global Risk Report. Dit rapport is op een aantal punten interessant, ook al omdat je het nu heel eenvoudig op je eigen site kunt embedden. Bij dezen:

Er worden geen nieuwe risico’s geïdentificeerd ten opzichte van vorig jaar, wat toch een soort van geruststellend is. De Business Continuity en Security relevante risico’s *) worden echter wel vrijwel zonder uitzondering met een hogere impact, een hogere kans of beide ingeschat. Het totale risicobeeld wordt dus volgens deze knappe koppen wel zorgwekkender. Veel organisaties voeren traditioneel in het eerste kwartaal Business Impact Analyses en Risk Assessments uit om hun security en continuity programma’s te eiken. Er is dus nog tijd om dit gratis advies te integreren.

Nog interessanter vind ik de filter mogelijkheden die in bovenstaand profiel geboden worden en wat daar uit af te leiden valt:

  • Over de hele linie schatten vrouwen kans en impact hoger in dan mannen;
  • Over de hele linie schatten jongeren kans en impact hoger in dan ouderen;
  • Experts en niet-experts zijn het niet met elkaar eens, maar als de verschillen groot zijn zien de experts een grotere impact en hogere kans dan niet-experts;
  • Over de hele linie schatten commerciële partijen kans en impact lager in dan overige sectoren als overheid en non profit organisaties.

Ik heb geen mening over welke inschatting van de geïdentificeerde risico’s de juiste is. Maar dit is natuurlijk wel een boodschap voor alle organisatoren van impact en risico analyse workshops: zorg er voor dat er diversiteit bestaat in de groep deelnemers. Dat zorgt voor een brede kijk op het impact- en risicolandschap van de organisatie en voorkomt tunnelvisie. En daarmee zorgt u ervoor dat budgetten worden gealloceerd voor de juiste dingen.

Een laatste opvallend punt is wat mij betreft het feit dat er tegenover de vele continuïteits gerelateerde dreigingen eigenlijk maar twee security / cyber gerelateerde dreigingen in de lijst staan. Ik wil dit laatste niet bagatelliseren, maar de praktijk bij veel Nederlandse organisaties is toch dat er een grote nadruk op security ligt, en veel minder aandacht naar BCM gaat. Is hier sprake van een tunnelvisie?

Het hele rapport (pdf) kan van de site van het WEF gedownload worden, een interactieve variant vindt u hier.

*) De BCM gerelateerde dreigingen zijn:

  • extreem weer
  • (verdroging?)
  • infectieziekten (pandemie)
  • kritieke infrastructuur breakdown (impact heel hoog) & failure (impact veel lager)
  • terroristische aanslagen
  • natuurlijke catastrophe
  • man made natural catastrophe

Security en cyber gerelateerd:

  • data fraud/theft
  • cyber attack

Is privacy lastig? Of uit de tijd? (3/5)

Door | privacy | Geen reacites

Is privacy lastig? Of uit de tijd? (3/5)

Het is me de afgelopen tijd een aantal keer overkomen. Een IT architect/ontwerper/engineer die begeesterd praat over alle mooie mogelijkheden die beschikbare nieuwe techniek biedt, en vervolgens en passant zegt dat de privacy regels eigenlijk maar lastig zijn. ‘We mogen wel iets minder privacybewust zijn, want we moeten door’.

Is privacy werkelijk achterhaald? En zijn het dan de techneuten die bepalen wat mag?

In deel 1 van mijn privacy reeks keek ik naar de persoonlijke kant van dit vraagstuk. Deel 2 ging dieper in op wat een slimme data-analist zoal kan met heel veel persoonlijke data. Dit deel 3 heeft de taken en verantwoordelijkheden van de verantwoordelijke en de verwerker van persoonsgegevens als onderwerp. Deel 4 kijkt naar de overheid en in het laatste deel probeer ik een conclusie te formuleren.

Wat is er aan de hand?

Organisaties verzamelen, bewaren en bewerken steeds vaker steeds grotere hoeveelheden persoonsgegevens. En niet altijd bewust. Een deel van deze dataverzamelingen zijn nodig voor de directe dienstverlening: een zorgverzekeraar moet bijhouden bij welke arts je bent geweest, een telecom operator moet weten via welke radiomasten een telefoontoestel contact heeft en hoeveel belminuten er zijn gebruikt, een webshop heeft naam en adres nodig om aangekochte spulletjes te kunnen versturen.

Van een ander deel van de vergaarde informatie is de noodzaak minder duidelijk of niet rechtstreeks gekoppeld aan de geadverteerde initiële doelstelling. Denk aan cameragegevens voor trajectcontrole op de snelweg. Denk aan de grote database waarin alle vingerafdrukken van onze paspoorten zouden worden opgeslagen (ging uiteindelijk niet door).

Soms wordt deze informatie zonder expliciete toestemming verzameld. Denk aan klantvolgsystemen in winkels of zelfs gemeentes. Een ander goed bijvoorbeeld zijn alle trackers op websites waarmee ons surfgedrag vrijwel volledig te monitoren is.

Dat deze informatie zeer interessant is en commerciële waarde vertegenwoordigt maakt PostNL dochter Cendris duidelijk met de wijze waarop de welbekende ‘verhuisdienst’ ook aan de ‘achterkant’ te gelde wordt gemaakt.

Soms wordt de informatie alleen maar verzameld ‘omdat het kan’ (vooral mobiele apps zijn hier berucht om) en er niet wordt stil gestaan bij de impact voor de gebruiker. Welke hotelketen bewaart geen verzameling ‘kopietje identiteitsbewijs’ van iedere bezoeker hoewel dat wettelijke niet is toegestaan?

index

bron: http://www.dilbert.com

De waarde voor de verzamelende organisatie zelf is duidelijk. Maar ook voor kwaadwillenden is zo’n berg persoonsgegevens een mooi doelwit. En dat laadt een bijzondere verantwoordelijkheid op de schouders van iedere organisatie die persoonsgegevens ontvangt, verzamelt en verwerkt. Deze verantwoordelijkheid is wettelijk vastgelegd (Wet bescherming persoonsgegevens, Telecom wet). De strakke regels en hoge boetes uit de Telecom wet, zoals de meldplicht datalekken, worden nu op Europees niveau vastgelegd en zullen op termijn voor alle organisaties gaan gelden. Maar lang niet iedere organisatie is zich hier van bewust, en bereid zich hier dus ook niet op voor.

Wat moet ik doen?

Verzamelingen met persoonsgegevens moeten volgens de wet adequaat worden beschermd. Dit werd vroeger gevat in de termen ‘gepaste technische en organisatorische maatregelen’, tegenwoordig geven de Richtsnoeren beveiliging van persoonsgegevens van het College Bescherming Persoonsgegevens een handreiking. Maar het gaat nog al eens mis. In de afgelopen jaren zijn in een schier eindeloze rij met inbraken en ongelukken grote hoeveelheden privacygevoelige informatie vrijgekomen [link1] [link2]. Dat Nederland niet is vergeten door het boevengilde bewijzen de inbraak bij KPN en de Nederlandse Publieke Omroep. Soms blijven gevolgen uit omdat de ‘vinder’ van de informatie de door hem/haar getroffen organisatie inlicht zoals bij De Hogeschool van Amsterdam en de Nederlandse Zorgautoriteit (NZa). Maar altijd zijn de gevolgen voor de betrokken personen groot, net als de reputatieschade voor getroffen organisaties.

Bedrijfsprocessen

Om te weten hoe je de persoonsgegevens die je verzamelt moet beschermen, moet je eerst weten wat je verzamelt, en welke systemen daarbij een rol spelen. Het begint dus bij een analyse van de bedrijfsprocessen. Veel organisaties zullen hun automatisering hebben aangepakt als een 1-op-1 vervanging van bestaande papieren processen.

Dat daarbij de plank kan worden misgeslagen bewijst een grote verzekeraar.
Bij de aanvraag voor een arbeidsongeschiktheidsverzekering moet de aanvrager een uitgebreide vragenlijst over de gezondheid invullen, die volgens de richtlijnen van het verbond van verzekeraars alleen door bevoegd medisch personeel mag worden beoordeeld. Vroeger ging die vragenlijst in een envelop via de post (briefgeheim!). Tegenwoordig word hij echter opgestuurd naar de tussenpersoon (wel vertrouwelijk maar niet medisch bevoegd), die hem vervolgens digitaliseert (en dus de inhoud kan bekijken, als bijvangst staat het bestand nu bij de tussenpersoon op de/een harde schijf, of in de cloud) en via de email bij de verzekeraar bezorgt (geen briefgeheim, wie weet op welke servers allemaal wel geen kopietje achterblijft). Hier is in mijn optiek geen sprake van gepaste maatregelen ter bescherming van deze informatie. Een betere analyse van het proces had deze misser kunnen voorkomen.

Systemen en applicaties

Als het proces in kaart is gebracht, dan zullen de betrokken systemen op een goede manier beveiligd moeten worden. Het hele scala van patchen, hardening, autorisatiebeheer, netwerksegmentering, die samen eigenlijk een basis beschermingsniveau vormen, zal ingericht moeten worden. Ook hier gaat het wel eens mis, zoals bijvoorbeeld het Groene Hart Ziekenhuis bewees. Daarnaast zal er aandacht moeten zijn voor detectie en response op ongewenste activiteiten in het netwerk of op de systemen en applicaties. Dit zal zeker in een wereld waarbij (grote) delen van het applicatie- en systeemlandschap bij derde partijen in beheer zijn (cloud, outsourcing) geen vanzelfsprekendheid zijn. Maar de wet is duidelijk: de organisatie die persoonsgegevens verzamelt (verantwoordelijke in WBP termen) houdt ten alle tijde de eindverantwoordelijkheid en zal dus in contracten met leveranciers (verwerkers in WBP termen) bescherming van persoonsgegevens expliciet moeten benoemen.

Ontwikkelen van applicaties en systemen

“Ik wil ook een app”. In hoeveel directiekamers zijn deze woorden het afgelopen jaar niet voorbij gekomen? Op zich een goed teken dat de moderne tijd ook hier zijn intrede doet. Maar die app ontwikkeling zal wel zorgvuldig moeten gebeuren, want anders wordt de organisatie potentieel opgescheept met een privacy- en securityprobleem. Hetzelfde speelt natuurlijk ook bij ‘normale’ applicatie- en systeemontwikkeling onder eigen verantwoordelijkheid. Helaas moeten ook commerciële off the shelf producten beoordeeld worden. Hard- en softwareleveranciers brengen momenteel spullen met securitygaten op de markt. Het is zo erg dat Jaya Baloo, CISO van KPN, oproept om regels te maken die dit moeten voorkomen. Haar Red Team met “knuffel hackers” vindt blijkbaar zoveel zaken die niet in orde zijn dat een noodkreet op zijn plaats is.

Governance

Het hier boven beschreven bouwwerk is net zo stevig als de governance structuur van de organisatie. Als de verantwoordelijkheid voor persoonsgegevens die een organisatie verzamelt en verwerkt niet op het hoogste niveau ‘geleefd’ wordt, dan wordt het erg moeilijk om informatiebeveiliging goed te implementeren in de organisatie. Bescherming van persoonsgegevens kost geld, moeite en menskracht, en kan gemakkelijk sneuvelen in het geweld van snelheid, budgetten en onkunde. In mijn ogen is dit wat er bij het Groene Hart Ziekenhuis is gebeurd: we doen wat (we denken dat) voorgeschreven is (pdf, pagina 18). Impliciet zegt de directie van het GHZ hier dat zij zich niet heeft gerealiseerd dat zij hier ook een eigen verantwoordelijkheid heeft om risico’s te beoordelen en om maatregelen te implementeren.

Nieuwe EU regels verplichten middelgrote en grote ondernemingen om een een Data Protection Officer aan te stellen. Als deze functionaris echter ‘te diep wordt weggestopt in de organisatie’, zal hij/zij weinig invloed kunnen uitoefenen en worden de doelen voor de organisatie mogelijk niet gehaald.

Is privacy lastig? Of uit de tijd? (2/5)

Door | privacy | Geen reacites

Het is me de afgelopen tijd een aantal keer overkomen. Een IT architect/ontwerper/engineer die begeesterd praat over alle mooie mogelijkheden die beschikbare nieuwe techniek biedt, en vervolgens en passant zegt dat de privacy regels eigenlijk maar lastig zijn. ‘We mogen wel iets minder privacybewust zijn, want we moeten door’.

Is privacy werkelijk achterhaald? En zijn het dan de techneuten die bepalen wat mag?

In deel 1 van een privacy vierluik keek ik naar de persoonlijke kant van dit vraagstuk. Dit deel 2 gaat dieper in op wat een slimme data-analist zoal kan met heel veel persoonlijke data. Deel 3 zal de taken en verantwoordelijkheden van de bewerker en de ‘eigenaar’ van de gegevens als onderwerp hebben. Deel vier kijkt naar de rol van de overheid. En omdat ik teveel te zeggen heb (‘Kill your darlings’ blijft moeilijk voor me 😉 ) is er nu een vijfde deel voor een aantal conclusies.

Wat is er aan de hand?

Big Data is mooi man. De meest fantastische analyses en presentaties kunnen worden gemaakt met alle informatie die we bewust of onbewust op het net slingeren. Neem bijgaand kaartje van Mapbox. Het laat bijna tot op de meter nauwkeurig zien waar de afgelopen jaren Tweets met geotagging (GPS coordinaten worden met de Tweet meegestuurd, een vinkje in je telefoon zet het aan of uit) zijn geplaatst. In totaal zijn ca. 3 miljard Tweets gebruikt vanaf 2011. Het systeem dekt de hele wereld, en er kan eindeloos ingezoomd worden.

Het is toch meer dan geweldig dat je van alles en nog wat van ons kikkerlandje herkent? Zoals de grachtenstructuur in Amsterdam, de plattegrond van aankomst- en vertrekhallen van Schiphol. Ons gehele snel- en spoorwegennetwerk is zo’n beetje terug te vinden.

Het wordt al een klein beetje eng als je gaat kijken naar de informatie achter deze geweldige plaat. Wat doen bijvoorbeeld al die Tweets op onze snelwegen? Ook in 2011 was het toch al niet meer toegestaan om al rijdend aan te telefoon te zitten?

Of waarom twitteren ze in Vlissingen en Middelburg minder vaak dan in Groningen en Leeuwarden? Twitteren Duitsers beduidend minder dan Nederlanders of zijn ze privacybewuster en staat het betreffende vinkje gewoon uit?

Het punt is niet zozeer dat deze analyses gemaakt kunnen worden, maar wel dat er ‘ergens’ een dataset bestaat waarin alle individuele Tweets zijn terug te vinden. In hun eigen onnavolgbare stijl brengt Geenstijl de boodschap thuis: al die tweets zijn ook naar de individuele twitteraar te herleiden.

Jouw hele twittergeschiedenis is dus ergens opgeslagen. En kan geraadpleegd worden. Twitter biedt heel gedienstig goed gedocumenteerde toegang tot deze informatie. En schijnbaar zonder dat daar enige vorm van restrictie op zit: wie mag wat zien en waarom? Maar ja, al die Tweets zijn tenslotte wel door de gebruiker zelf geplaatst, met de wetenschap dat het publiek zou zijn. Voor de eeuwigheid naar nu blijkt. Twitter wordt in ieder geval niet geplaagd door Europese regels bij de bescherming van deze gegevens.

Dat leidt aan de ene kant tot het mooie kaartje hierboven. Aan de andere kant biedt het ongekende mogelijkheden als deze informatie wordt gekoppeld met andere grote dataverzamelingen. Bijvoorbeeld die van de Nederlandse overheid. Die is weliswaar op dit moment nog vooral bezig met de koppeling van de verschillende verzamelingen die zij zelf beheert. Deels tegen protesten van de Raad van State en het College Bescherming Persoonsgegevens in. Maar stel dat ze daar mee klaar is, dan is het technisch zeker mogelijk om al die tweets op de Nederlandse snelwegen te koppelen aan het bestand van de politie (camerabeelden, trajectcontrole) en de Rijksdienst voor het Wegverkeer. Die koppeling is behoorlijk hard: leg maar eens uit aan het Centraal Justitieel Incasso Bureau dat het je tweelingbroer was die op die bewuste dag op de passagiersstoel van jouw auto met jouw telefoon op jouw Twitteraccount bezig was. De opsporingsdiensten bij monde van generaal-majoor bd Cobelens bereiden ons al voor op deze toekomst.

Een ander voorbeeld. In New York rijden alle taxi’s met een gemeentelicentie rond met een GPS volgkastje, voor de veiligheid van passagier en chauffeur. Gegevens van iedere rit, met begin- en eindcoördinaten worden opgeslagen. Na een WOB-verzoek is deze data, volgens de regels der kunst geanonimiseerd, publiek gemaakt. Onderzoekers van Neustar, de organisatie die (mobiele) nummerportabiliteit in de Verenigde Staten regelt, beschrijven hoe op basis van uitsluitend publiek toegankelijke informatie, vanuit deze berg met anonieme taxiritinformatie een koppeling is te leggen naar privépersonen. En wat het inkomen van de taxichauffeur zal zijn geweest. Of de klant een fooi heeft gegeven. Wat een waarschijnlijk doel van de afgelegde rit was. En de patronen die te herkennen zijn in de ritten van bepaalde personen.

En de macht en kracht van Facebook kennen we allemaal wel. Maar dat dat zover gaat dat FB na 10 likes een beter inzicht in je heeft dan je collega’s, na 70 likes je vrienden verslaat, na 150 je familie en na 300 zelfs je partner vind ik toch wel weer verrassend. Lees het hele artikel in de Volkskrant.

Nou en?

Pretty scary stuff in mijn ogen. Grote verzamelingen van persoonlijke gegevens zijn als een honingpot waar de bijen op afkomen. Naast het -meestal eerzame- beoogde doel van de verzameling, zijn er over het algemeen ook andere mogelijkheden om deze data te gebruiken. Zoals boven aangetoond soms met onvermoede gevolgen. Daarnaast zijn deze dataverzamelingen ook nog eens een prachtig doelwit voor hackers. En we weten dat het beschermen ervan niet altijd even gemakkelijk of vanzelfsprekend is.

Aan iedere ontwikkelaar / engineer / architect van apps tot big data analyses die persoonsgegevens opslaan pof verwerken heb ik een verzoek: wees je bewust van de maatschappelijke context, probeer bij elke nieuwe techniek en mogelijkheid die software biedt na te denken over de gevolgen van het verzamelen en koppelen van persoonlijke data. En beperk dit tot het hoogst noodzakelijke. Verifieer bij de Legal of Compliance afdeling van je organisatie of wat je wilt in lijn met de wet is.