Oppassen met automatische inlog van Google Chrome bij andere Google-diensten

Google Chrome is de meest populaire browser. Maar door de automatische koppeling met andere Google diensten is Google Chrome voor de AVG ook een browser met veel risico’s.

In de meest recente versie van Chrome worden gebruikers die inloggen bij Google-diensten als YouTube, Gmail of Google Drive, ook automatisch ingelogd in de browser.

Dat levert grote risico’s op als je onderweg gebruik maakt van computers van anderen. Bijvoorbeeld in hotels of bij bekenden.

Ongemerkt wordt er dan op de achtergrond ingelogd op jouw Google accounts. Naderhand zouden derden dan zonder problemen toegang kunnen hebben tot jouw gegevens.

Er zijn veel klachten geuit over dit risico met Chrome.

Google biedt gebruikers in een aankomende versie van Chrome de mogelijkheid om deze optie uit te schakelen.

Gebruikers die inloggen bij een Google-dienst, worden dan niet automatisch ingelogd in Chrome.

De volgende versie van de internetbrowser wordt in oktober uitgebracht.

Zorgverleners en patiënten versturen vaak patiëntinformatie via onbeveiligde mail. Project Veilig Mailen in de Zorg moet daar verandering in brengen

Het Informatieberaad Zorg, een samenwerking tussen zorgkoepels en het het ministerie van Volksgezondheid Welzijn en Sport (VWS), komt met het project Veilig Mailen in de zorg.

Halverwege 2019 moet er een implementatie-toolkit beschikbaar zijn voor zorgaanbieders en moet er een toetsingskader liggen voor de Autoriteit Persoonsgegevens (AP).

Zorgverleners en patienten mailen onveilig

Zorgverleners en patiënten versturen nu nog vaak via e-mail patiëntinformatie zonder dat die gegevens goed beveiligd zijn.

Het Informatieberaad Zorg ontwikkelt samen met de normcommissie Nen een standaard voor het beveiligen van e-mails met medische gegevens tussen zorgverleners en patiënten, zorgverleners onderling en tussen patiënten en hun omgeving, bijvoorbeeld in het geval van mantelzorg.

Op 10 oktober 2018 is de eerste bijeenkomst bij Nen.

Het doel is om veilig mailen in de zorg sneller te realiseren.

In sommige gevallen moeten zorgorganisaties via de mail patiëntgegevens uitwisselen. Bijvoorbeeld op het moment dat een specialist nog enige vragen heeft over de gezondheid van een verpleeghuisbewoner, die opgenomen is in het ziekenhuis.

Veilige e-mail na consult

Ook komt het regelmatig voor dat een patiënt na een consult bij thuiskomst toch nog een paar vragen heeft voor de behandelaar. Veilige mail kan helpen bij deze vormen van communicatie.

Het plan is om de norm begin 2019 vast te stellen. In de loop van 2019 moet duidelijk zijn in hoeverre bestaande oplossingen van ict-partijen daaraan kunnen voldoen en welke stappen leveranciers moeten zetten om te voldoen aan de norm.

Daarbij is interoperabiliteit ook een belangrijk onderdeel zodat patiënten en zorgverleners de keuzevrijheid hebben om verschillende oplossingen te kiezen.

Iemand stuurt je een e-mailbericht met in de cc diverse e-mailadressen. Is dat een datalek?

Dit bericht is ook verzonden naar Jantje, Pietje en Klaasje en de chef. De namen en e-mailadressen staan in de cc van het mailbericht. Herkenbaar.

Tot 25 mei 2018 vonden we het soms irritant als we mail kregen met een lange lijst adressen in de cc, maar we wisten niet anders. Iedereen deed het bijna.

Klantenlijst concurrent in de schoot geworpen

En soms was het ook best praktisch. Je kreeg klantenlijsten van concurrenten als het ware in de schoot geworpen. Daar kon je soms wel iets mee. Dat was misschien niet netjes, maar het gebeurde wel…

Na 25 mei veranderde de Algemene Verordening Gegevensbescherming (AVG) de wereld, denken we.

De AVG is niet nieuw. De regels bestonden al

Opeens mag er heel veel niet meer. Vrezen we. Maar in werkelijkheid bestonden deze regels al. En ze konden ook worden gehandhaafd. Met hoge boetes.

Het cc-vak in mailberichten was altijd al een risicogebied. Het cc-veld levert datalekken op.

Wanneer is iets een datalek?

Heel simpel gezegd is iets een datalek als de informatie bij een persoon terecht komt die deze informatie niet zou mogen hebben.

Als je nu nog mailberichten met een riks van andere namen en mailadressen in de cc ontvangt zou je moeten weten dat de afzender een groot probleem heeft (gecreeerd).

Jouw mailadres is onrechtmatig gedeeld

Jouw mailadres is ongevraagd gedeeld met mensen die jij mogelijk niet kent of die wat jou betreft niet hoeven te weten dat jij ook op de hoogte bent. Jij – en anderen in de maillijst – hebben daar geen toestemming voor gegeven.

Degene die de mail naar cc-adressen heeft verzonden heeft een datalek gecreeerd. Er zijn zonder toestemming, zonder grondslag, contactgegevens gedeeld met derden.

De fout wordt waarschijnlijk gezien als een zware overtreding van de Algemene Verordening Gegevensbescherming (AVG). Dat kan de veroorzaker duur komen te staan.

Waarschijnlijk een zware overtreding? Dat is dus nog niet zeker…

Nee, er is nog steeds weinig duidelijk over de manier waarop de Autoriteit Persoonsgegevens overtredingen van de AVG beoordeelt.

Dat betekent niet organisaties zich voorlopig nog niet druk hoeven te maken over fout gebruik van het cc-veld door hun medewerkers.

Schelden op de AVG lijkt logisch, maar is onterecht

Ook voor de AVG mocht het cc-veld al niet zonder grondslag gebruikt worden. En er was ook al een boetelijst vastgesteld.

Het verwerken van gegevens zonder grondslag of het hergebruiken voor niet toegestane doelen viel onder de oude privacywetgeving in de categorieën middel of zwaar.

120.000 Euro boete

De boete lag in beginsel op zijn minst op 120.000 euro, de ondergrens van de bandbreedte van categorie twee (middel). De omvang van de inbreuk weegt mee, dus hoe meer adressen hoe hoger de boete.

Boetelijst Autoriteit Persoonsgegevens (AP)

De Autoriteit Persoonsgegevens heeft voor de AVG nog geen boetelijst gepublieerd. Helaas. Niemand weet waar hij aan toe is.

Maar het ligt in de lijn van de verwachtingen dat de boetes zeker niet lager zullen worden dan onder de oude privacywetgeving.

Hoe voorkom je het risico op een boete? Mag je helemaal geen cc gebruiken?

De eerste logische maatregel die je kunt treffen is voortaan het cc-vak standaard niet meer te gebruiken. Dan loop je zeker geen risico.

Het cc-veld zou dus net zo goed kunnen worden afgeschaft, kun je denken. Misschien gaat dat ook nog wel gebeuren.

CC is soms best praktisch

Er zijn mensen die het praktisch vinden om binnen de eigen organisatie in de mail wel duidelijk te vermelden naar wie het bericht ook is gestuurd. Bijvoorbeeld bij uitnodigingen voor managementoverleg. In dat geval is het geen probleem om het cc-vak te gebruiken.

Je moet oppassen met externe mailadressen. Zodra er een extern adres bij komt kun je beter bcc gebruiken.

Je mag van de AVG niet zonder grondslag persoonsgegevens van derden gebruiken. Wat betekent dat?

Een verwerking zonder grondslag wil zeggen, je doet iets met persoonsgegevens maar je treedt buiten de gegeven toestemming of je kunt geen rechtvaardiging geven onder je dringend eigen belang of onder een overeenkomst die je hebt.

Door het cc-veld te gebruiken in plaats van bcc, het vakje dat de adressen van anderen onzichtbaar maakt, valt daar onder.

Hoe ga je ermee om als een persoon (al dan niet vanuit een organisatie) een mailtje stuurt met verschillende e-mailadressen in de cc? Is dit een datalek?

Officieel gezien is dit een datalek. Als je er op de juiste manier mee om wilt gaan, moet dit in beginsel gemeld worden bij de Autoriteit Persoonsgegevens. En je moet het zeker vermelden in je verwerkingsregister als een incident.

Gelet op de enorme boetebedragen waarmee gedreigd wordt hebben veel organisaties waarschijnlijk de neiging om het cc-datalek niet te melden. Die reactie lijkt logisch, maar is niet slim.

Bewust niet melden datalek is vergelijkbaar met doorrijden na een ongeval

De Autoriteit Gegevensbescherming zou het bij ontdekking vergelijkbaar kunnen opvatten als doorrijden na een ongeval. De straf zal dan zeker hoger uitpakken, omdat je je doelbewust niet aan de wet hebt gehouden.

De kans dat je een boete krijgt als je netjes volgens de AVG-regels een datalekmelding doet is juist kleiner. Waarschijnlijk blijft het bij een berisping als je kunt aantonen dat je maatregelen hebt getroffen.

Leg de e-mailetiquette uit

Bijvoorbeeld door een mail aan het personeel te sturen met uitleg over e-mailetiquette op basis van de AVG of door een AVG Awareness training te organiseren. PrivacyZone kan daarbij helpen.

In de mail aan het personeel over e-mailetiquette kun je overigens een link naar dit artikel van PrivacyZone plaatsen.

Je hoeft met die mail natuurlijk niet te wachten tot het is misgegaan. Wie verstandig is houdt het personeel regelmatig op de hoogte met voor hen en klanten relevante aandachtspunten over privacybeleid binnen je organisatie.

PrivacyZone kan helpen bij het opstellen van een interne of externe AVG Communicatie Strategie voor jouw organisatie

De AVG verlangt van organisaties dat ze kunnen aantonen voortdurend consequent beleidsmatig met privacybeleid bezig te zijn.

Hoe groot is de pakkans?

Veel organisaties denken dat de pakkans klein is en denken dat het risico daarom verwaarloosbaar is.

De Autoriteit Persoonsgegevens heeft te weinig menskracht om proactief te gaan controleren. Dat klopt deels.

AP moet iedere klacht behandelen

Maar wat dan vergeten wordt is dat de Autoriteit Persoonsgegevens op basis van de AVG verplicht is om binnen 30 dagen iedere klacht in behandeling te nemen en bij het constateren van een overtreding dan ook op te treden.

Op dit moment merken we daar misschien nog niet veel van, maar dat zou de bekende stilte voor de storm kunnen zijn. We leggen uit waarom.

Steeds meer mensen zijn op de hoogte van de rechten en plichten die ze dankzij de AVG hebben. Rechten en plichten die voor iedereen gelden.

Iedereen kan aangifte tegen jou doen

Iedereen kan nu op basis van de AVG een organisatie aansprakelijk stellen als de regels niet nageleefd worden.

Het risico om gepakt te worden komt dus niet noodzakelijk rechtstreeks van de Autoriteit Persoonsgegevens. Iedereen kan de vinger op de zere plek leggen.

• Er zijn mensen die streng in de leer zijn en vinden dat iedereen zich aan de wet moet houden. Alleen daarom dienen zij een klacht in bij de Aitoriteit Persoonsgegevens.

• Er kunnen concurrenten zijn die denken er baat bij te hebben om jouw organisatie aan te geven bij de Autoriteit Persoonsgegevens.

• Er kunnen consumentenorganisaties zijn die bij de Autoriteit Persoonsgegevens over jouw organisatie aan de bel trekken.

Neem geen risico.

Pas je privacybeleid aan. De AVG is een feit. Zal niet meer verdwijnen. Heeft voordelen en nadelen. En ach, als je de cc niet meer gebruikt heb je al een van de grootste risico’s op een datalek onder controle.

Welke technische en organisatorische eisen stelt de AVG aan e-mail?

De mailbox vormt het grootste risico op datalekken. Om aan de AVG te voldoen dienen er daarom technische en organisatorische maatregelen genomen te worden waarmee op een veilige manier e-mail verzonden en ontvangen kan worden.

Naast de inhoudelijke gegevens (de tekst van de mail en eventuele bijlagen) bevatten e-mailberichten ook metadata zoals afzender en ontvanger, datum en onderwerp.

Zowel de inhoud als metadata kunnen persoonsgegevens bevatten. Daarom moeten beide soorten gegevens volgens de AVG beveiligd worden.

Er moeten passende maatregelen worden genomen om de veiligheid van de verwerking van persoonsgegevens en dus ook de vertrouwelijkheid ervan te waarborgen.

De AVG noemt daarbij “pseudonimisering” en “encryptie” als voorbeelden van standaardmaatregelen. Als het gebruik ervan mogelijk en passend is, moeten deze maatregelen in beginsel worden toegepast.

Maar hoe doe je dat?

Bij het verzenden van e-mails moet een fundamenteel onderscheid worden gemaakt tussen versleuteling op inhoudsniveau en versleuteling op verzendniveau.

End-to-end versleuteling

Om de tekst van een e-mail en bijlagen te versleutelen wordt vaak gebruik gemaakt van S/MIME- en OpenPGP-standaarden. Beide standaarden ondersteunen ook digitale handtekeningen om manipulaties op het transmissiepad op te sporen.

Met met S/MIME en OpenPGP is end-to-end versleuteling mogelijk. Het bericht wordt dan versleuteld op het systeem van de verzender en ontsleuteld op het systeem van de ontvanger en is nooit beschikbaar in platte tekst op het verzendpad.

De metadata worden echter niet vastgelegd door de inhoudsversleuteling, maar zijn in platte tekst beschikbaar op de servers die betrokken zijn bij de overdracht.

Contentcodering

De uitgebreide beveiliging van e-mailcommunicatie vereist het gebruik van zowel transport- als contentcodering. Bij bijzondere persoonsgegevens moet ook rekening gehouden worden met de inhoud van de mail.

Omdat e-mailmetadata niet beschermd worden door end-to-end encryptie, moet ervoor worden gezorgd dat ze geen gegevens bevatten die een hoog of zeer hoog niveau van bescherming vereisen. In het bijzonder moet het onderwerp neutraal zijn, bijvoorbeeld “Ons gesprek op 01.02.” in plaats van “Uw bloedwaarden”.

Bij de overdracht van persoonsgegevens met normale beschermingseisen is het mogelijk dat in individuele gevallen wordt afgezien van end-to-end encryptie van de inhoudgegevens.

Er moet echter altijd rekening worden gehouden met de uitdrukkelijke wens van de ontvanger om end-to-end encryptie te gebruiken.

Als minimumnorm is ook transportcodering vereist voor de overdracht van persoonsgegevens met normale beschermingseisen.

Bij het opzetten van een eigen e-mailinfrastructuur is het verplicht om rekening te houden met de technische en organisatorische maatregelen die in dit artikel zijn beschreven.

Afhankelijk van het type en de omvang van de gegevens die per e-mail worden verzonden, kan in individuele gevallen een voorafgaande effectbeoordeling, DPIA, vereist zijn.

IT-experts ontdekken lek in versleuteling voor beveiligde e-mail

IT-experts van de Hogeschool Münster en Hogeschool Bochum in Duitsland en de Leuvense Universiteit in België hebben lekken ontdekt in twee gangbare versleutelingsmethoden voor e-mail. Het zwakke punt kan aanvallers toegang hebben gegeven tot versleutelde berichten.

OpenPGP- en S/MIME

 

E-Mailberichten die zijn gecodeerd met de OpenPGP- en S/MIME-standaarden blijken op twee verschillende manieren zo te kunnen worden gemanipuleerd, dat aanvallers de inhoud gewoon kunnen lezen.

De onderwijsinstellingen hebben hun bevindingen gemeld aan het Federaal Bureau voor Informatiebeveiliging (BSI) in Duitsland.

Hack is niet eenvoudig

 

Het blijkt overigens niet eenvoudig om de versleutelde mail te kraken.

Volgens het BSI moet een aanvaller toegang hebben tot de verbindingen, mailserver of e-mailinbox van de ontvanger om de kwetsbare versleutelingsoftware te kunnen uitbuiten.

Daarnaast moet actieve content aan ontvangende zijde worden toegestaan, zoals het uitvoeren van HTML-code en in het bijzonder het laden van externe content.

De producenten van e-mailclients hebben inmiddels updates van hun producten aangekondigd of reeds beschikbaar gesteld. Een veilige configuratie beschermt ook tegen speciale beveiligingsupdates.

Het BSI geeft daarnaast het volgende advies:

  • Actieve inhoud in de e-mailclient moet worden gedeactiveerd. Dit omvat het uitvoeren van HTML-code en het herladen van externe content, wat vaak om ontwerptechnische redenen is toegestaan.
  • E-mailservers en e-mailclients moeten tegen pogingen van onbevoegden worden beveiligd.