55 procent van de apps in de Google Play Store voldoet niet aan de AVG. Wat moet je als app-ontwikkelaar doen?

We maken op onze smartphones en tablets gebruik van diverse apps waarvan het merendeel niet rechtmatig persoonsgegevens verwerkt.

Volgens SafeDK – een softwarebedrijf die het gebruik van softwareontwikkelingskits (SDK’s) in mobiele apps controleert – voldoet 55 procent van de apps uit de Google Play Store momenteel (september 2018) niet aan de Algemene Verordening Gegevensbescherming.

Privacybeleid Apple appstore en Google Playstore

Apple en Google hebben aangekondigd binnenkort apps die niet aan de Algemene Verordening Gegevensbescherming (AGV) voldoen te willen gaan verwijderen.

Veel organisaties focussen zich bij het ontwikkelen van verplicht privacybeleid op social media apps als Whatsapp, Facebook, Twitter en Instagram.

De rest van de apps op smartphones en tablets wordt vaak vergeten. Terwijl ook veel van die apps voor datalekken kunnen zorgen.

PrivacyZone.nl beschrijft in dit artikel de risico’s voor de bedrijven die eigen apps hebben en de gebruikers van deze apps.

 

Veel apps verzamelen de volgende persoonsgegevens:

 

  • Gebruikersnaam
  • Wachtwoord
  • Emailadres
  • Mobiele telefoonnummer
  • IP adressen, Cookie ID ́s, IMEI nummer en andere elektronische identifyers
  • Contacten uit het adresboek
  • Bestanden die op het apparaat voorkomen zoals foto’s, video’s en andere bestanden
  • Informatie die de appgebruiker in de app invoert
  • Bestanden die de appgebruiker via de app verstuurt
  • Informatie over het gebruik van de app
  • Beelden die van de appgebruiker worden gemaakt via de camera
  • Stemopnamen die van de appgebruiker worden gemaakt via de microfoon
  • Log-in gegevens van social media accounts
  • Locatiegegevens

Laten we eerst eens naar deze apps kijken vanuit het blikpunt van de gebruiker.

Medewerkers die de apps gebruiken.

Mogen / kunnen deze medewerkers zelf apps installeren op hun smartphone of tablet?

Wie controleert of de apps voldoen aan de AVG?

Worden de apps ook vermeld in het verwerkingsregister?

Wordt er bij de AVG awareness training ook aandacht aan de risico’s van apps besteed?

Hoe zit het met privégebruik van de zakelijke telefoon? Mag dat? Is daar beleid voor ontwikkeld?

En hoe zit het omgekeerd met het zakelijk gebruik van privé smartphones en tablets. Hoe groot is de kans op zakelijke datalekken door deze privétoestellen?

Is er een Bring Your Own Device policy?

En laten we vervolgens eens vanuit het oogpunt kijken van organisaties die zelf een eigen app voor smartphones of tablets laten ontwikkelen.

Ben je een ontwikkelaar van apps? Dan is het in verband met de AVG van belang om te controleren of deze app niet te veel gegevens verzamelt.

Apps voor smartphones en tablets maken gebruik van verschillende privacygevoelige technische opties op deze apparaten. Ze hebben bijvoorbeeld toegang tot positiegegevens, de camera, de microfoon en het adresboek van de gebruiker.

Veel van de gegevens waar de app toegang tot heeft zijn echter helemaal niet nodig voor de functionaliteit het programma.

 

Ontwikkelaars van apps overtreden vaak bewust of onbewust de nieuwe Europese privacyregels.

Een van die regels is bijvoorbeeld ‘dataminimalisatie’. De app mag niet meer gegevens verwerken of vragen dan absoluut nodig is om goed te kunnen functioneren.

Sommige apps willen voortdurend toegang tot bestanden, media en foto’s. Of deze autorisaties echt nodig zijn voor de functionaliteit van de app is dan twijfelachtig.

 

Elke gebruiker die een applicatie installeert, geeft toestemming voor de bijbehorende gegevensverwerking.

Overtreding van wettelijke voorschriften kan leiden tot ongeldigheid van de gehele toestemming. Dit kan voor de ontwikkelaar leiden tot juridische problemen.

Apps moeten voordat ze voor de eerdte keer worden geactiveerd volgens de AVG expliciet toestemming vragen voor de verwerking van persoonsgegevens. Aan die eis wordt door veel apps niet voldaan.

Veel apps maken gebruik van Amerikaanse of Aziatische webservers. Datatransmissie naar deze servers wordt als onveilig beschouwd.

Een app moet worden ontwikkeld in overeenstemming met de regelgeving inzake gegevensbescherming. In de toekomst zullen daar ook de bepalingen van de ePrivacy Verordening nog bij komsn. Deze ePrivacyregelgeving vervangt de bepalingen van de Telecomwet, die nu nog van toepassing is.

De oude en de nieuwe privacyregels bepalen dat er op een begrijpelijke en gemakkelijk toegankelijke manier toestemming moet worden gevraagd voor het verwerken van persoonsgegevens.

Aansprakelijkheid ontwikkelaar app

Als je een eigen app in de Google Play Store of de Apple App Store hebt moet je te allen tijde aan de toezichthouder kunnen aantonen dat je voldoet aan de bepalingen van de AVG.

De bewijsplicht strekt zich ook uit tot de beveiliging van gegevensverwerking, de bescherming van de rechten van betrokkenen en de naleving van de algemene gegevensbeschermingsbeginselen.

Je bent verplicht een verwerkingsregister bij te houden en effectbeoordelingen op het gebied van gegevensbescherming op te stellen.

Privacy by design & privacy by default

De Europese privacyrichtlijnen schrijven voor dat een interne strategie moet worden ontwikkeld voor de tenuitvoerlegging van de vereisten inzake gegevensbescherming.

Enerzijds moet de eigenaar van een app ervoor zorgen dat de Europese pivacyregels worden nageleefd.

Anderzijds moet hij de gebruiker de mogelijkheid bieden om het gebruik van zijn persoonsgegevens te controleren of te wijzigen.

Elke app moet zo worden geprogrammeerd dat hij alleen de gegevens verzamelt en opslaat die nodig zijn voor de gegevensverwerking.

AVG Awareness veiligheidsmaatregel: contactloze autosleutelsysteem laten uitschakelen. Zeer onveilig systeem

Kun jij je auto openen en starten met een contactloze autosleutel? Dan zou je die optie volgens verzekeraars en de keuringsinstantie voor autobeveiliging Kiwa SCM door de garage moeten laten uitschakelen.

Auto’s met de ‘keyless entry’ blijken zo vaak gestolen of opengebroken te worden dat verzekeraars en de keuringsinstantie er per volgend jaar vanaf willen. Auto’s met contactloze sleutels zijn dan dus niet meer verzekerd.

AVG awareness maatregel contactloze sleutels

De ingrijpende conclusie van de verzekeraars en de keuringsinstantie is voor organisaties ook van belang voor het veiligheidsmaatregelen die zij op basis van de AVG moeten treffen om er voor te zorgen dat persoonsgegevens niet in verkeerde handen kunnen vallen.

De AVG verplicht organisaties om maatregelen te treffen waarmee onnodig risico kan worden voorkomen. Die maatregelen moeten worden genomen op het moment dat het risico bekend is. Omdat de verzekeraars en het keuringsinstituut er nu melding van hebben gemaakt moeten organisaties nu ook meteen matregelen treffen.

Iedereen die met een auto van de zaak of eigen auto zakelijk onderweg is en daarbij een laptop, tablet of dossiers met persoonsgegevens bij zich heeft loopt groot risico op een autoinbraak of autodiefstal als gebruik wordt gemaakt van contactloze sleutels.

Wanneer wordt jouw auto gestolen?

Volgens deskundigen zijn vrijwel alle auto’s van 2017 en ouder met zo’n systeem simpel te jatten.

,,Het is geen kwestie of je auto gehackt wordt, maar wanneer”, zegt Wouter Verkerk van het Verzekeringsbureau Voertuigcriminaliteit (VbV).

Het VbV is een initiatief van alle Nederlandse schadeverzekeraars om voertuigcriminaliteit te bestrijden.

Laat de contactloze sloten uitschakelen

Verkerk heeft maar één advies aan autobezitters: ,,Laat de keyless entry gewoon uitzetten.”

Er zijn volgens hem een hoop mensen die denken: ‘ik merk het wel’. ,,Maar op het moment dat je auto gestolen wordt, ben je erg onthand, hoe goed je ook verzekerd bent.”

PrivacyZone adviseert het contactloze autosleutelsysteem uit te laten schakelen door de autodealer of garage en dat schriftelijk te laten bevestigen in de factuur of een brief. Deze bevestiging moet dan worden gemeld in het verwerkingsregister.

Systeem niet zelf uitschakelen

Je kunt het systeem waarschijnlijk ook zelf uitschakelen, maar in dat geval heb je geen bewijs voor de Autoriteit Persoonsgegevens of de verzekering als er toch nog eens in de auto wordt ingebroken of de auto wordt gestolen.

De passieve autosleutel is ontwikkeld om het leven gemakkelijker te maken, alleen daarmee braken ook gouden tijden aan voor criminelen. De rfid-chip blijkt namelijk te kraken.

Inbraakgolf in auto’s

In Den Haag vond eerder een inbraakgolf plaats in auto’s. De inbraken gebeurden zonder braakschade, doordat dieven autosleutels hackten. De politie vroeg toen al om de keyless entry van de slimme autosleutel te deactiveren.

Autodieven gebruiken over apparatuur waarmee ze signalen van autosleutels kunnen opvangen en kopieren. Ze kunnen bijvoorbeeld bij huizen langslopen en signalen van autosleutels die in de hal op een kastje liggen of zich in een jaszak aan de kapstok bevinden kopieren als ze met de apparatuur voor het huis gaan staan. Ze kunnen dan zonder sporen achter te laten in de auto inbreken of hem stelen.

De meest gestolen auto’s met contactloze sleutels

Bij deze auto’s is de kans het grootst dat je nieuwe auto binnen drie jaar na aankoop wordt gestolen:

  • Nummer 1: Toyota RAV4

Dit is momenteel met afstand het meest gewilde model onder autodieven in Nederland. De kans dat deze fonkelnieuwe auto van Japanse makelij binnen drie jaar wordt gestolen is maar liefst 1 op 18.

  • Nummer 2: Citroën C4

Het risico dat het dievengilde er met je nieuwe Citroën C4 vandoor gaat is groot. Binnen drie jaar zijn 1 op 22 autobezitters van het Franse automerk hem alweer ongewild kwijt.

  • Nummer 3: Land Rover Evoque

Ook de compacte SUV van het Britse automerk Land Rover is in trek bij autodieven. Bij 1 op de 35 eigenaren van de Range Rover Evoque werd de auto binnen drie jaar gestolen.

  • Nummer 4: Lexus NX

De hybride NX van Lexus – de luxe tak van het Japanse automerk Toyota – is populair als het om diefstal gaat. Tussen 2015 en 2018 werden er 1 op de 39 gestolen.

  • Nummer 5: Lexus IS

De Lexus IS, dat staat voor Intelligent Sport, scoort met 1 op 44 gestolen wagens sinds 2015 hoog.

  • Nummer 6: Range Rover Sport van Land Rover

Van het sportieve model van Land Rover, de Range Rover Sport, zijn er in drie jaar tijd 1 op de 49 ontvreemd.

  • Nummer 7: De A-Klasse van Mercedes-Benz

Van de A-Klasse van het Duitse Mercedes zijn er 1 op de 66 binnen drie jaar na aanschaf gestolen.

  • Nummer 8: XF van Jaguar

Het sportieve model van het Britse Jaguar, de XF, is sinds 2015 bij 1 op de 74 van de bezitters gestolen.

Deze tools helpen controleren en evalueren of je ICT-omgeving echt voldoet aan de AVG

De Algemene Verordening Gegevensbescherming (AVG) schrijft voor dat organisaties de effectiviteit van beveiligingsmaatregelen regelmatig moeten controleren en evalueren.

Hoe staat het met de beveiliging van de ICT in jouw organisatie?

Veel mensen denken dat het wel goed zit, maar helemaal zeker weten ze het niet.

Waar moet je nou precies op letten? Hoe controleer je eigenlijk of het wel goed zit?

Je zou natuurlijk een ethical hacker kunnen inhuren die je bedrijf doorlicht. Maar er zijn ook diverse tools die kunnen helpen.

ICT-beveiliging vaak niet op orde

Uit onderzoek blijkt dat de ICT-beveiliging bij veel organisaties niet op orde is.

De AVG verplicht bedrijven ervoor zorgen dat beveiligingsmaatregelen hypermodern zijn. Het is verplicht om ze regelmatig te actualiseren.

De AVG verplicht ook uitdrukkelijk dat er procedures worden vastgesteld waarmee de doeltreffendheid van de maatregelen regelmatig wordt getoetst en geëvalueerd (artikel 32 van het AVG).

Organisatorische maatregelen in verwerkingsregister vastleggen

De organisatorische maatregelen moeten worden vastgelegd in het verwerkingsregister. Bij een controle moet uit dit register blijken wanneer de organisatie welke maatregelen heeft gecontroleerd en geevalueerd. Dat kan bijvoorbeeld worden onderbouwd met checklists die regelmatig worden nagelopen.

Maar checklists zijn niet altijd afdoende. Om echt zeker te weten of de technische systemen waterdicht zijn is het eigenlijk ook noodzakelijk om technische hulpmiddelen in te zetten. Tools die de ICT-systemen op de proef stellen.

Gegevensverwerkingsprocedures testen

Als een bedrijf bijvoorbeeld de mate van versleuteling van persoonsgegevens wil controleren, zijn speciale hulpmiddelen nuttig om de effectiviteit van versleuteling in de individuele gegevensverwerkingsprocedures te testen.

Met behulp van sommige tools kan een overzicht worden gegenereerd of en in hoeverre de gegevens voor de verschillende gegevensverwerkingslocaties versleuteld zijn.

SSL Server Test

Een tool die de versleuteling van webservers controleert is bijvoorbeels Qualys’ SSL check (SSL Server Test). Deze tool controleert niet alleen of encryptie wordt gebruikt, maar ook hoe sterk de encryptie is.

Bij de toetsing van het vermogen om de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de bij de verwerking betrokken systemen en diensten op de lange termijn, speelt het een rol of er beveiligingslacunes zijn die juist deze punten in gevaar brengen.

Beveiligingslacunes kunnen worden gedetecteerd door scansoftware. Er zijn diverse oplossingen op de markt:

Er is dus geen excuus voor bedrijven als kwetsbaarheden heel laat of helemaal niet zijn ontdekt. Bedrijven die hun ICT-systemen niet regelmatig professioneel (laten) lopen risico. Bij hen bestaat het gevaar dat datadieven of de toezichthouder de kwetsbaarheden wel zullen vinden. Met alle nadelige gevolgen van dien.

Hulpmiddelen die regelmatig en automatisch zwakke punten scannen helpen risico’s tijdig te onderkennen.

Bij de loodgieter thuis lekt het het meest. Hoe zit dat met datalekken bij juristen?

Bij de loodgieter thuis lekt het vaak het meest… De verklaring is simpel. Goede loodgieters zijn schaars. Ze hebben het zo druk dat ze thuis nergens aan toe komen. Of er gewoon geen energie meer voor hebben.

Bij een lekke kraan is dat de eigen keuze en het eigen probleem van de loodgieter. Al zal hij waarschijnlijk de schade die ontstaan is door de waterlekkage niet kunnen verhalen op zijn verzekering als blijkt dat hij zelf als vakman erger had kunnen voorkomen.

Sinds 25 mei 2018 denken we bij lekkages niet alleen meer aan water-, gas- of olielekken. We denken ook aan datalekken. En dat levert een mooi bruggetje op richting advocaten en juristen die zich bezig houden met de Algemene Verordening Gegevensbescherming.

Als het bij de loodgieter thuis het meeste lekt, hoe zit dat dan eigenlijk als het om datalekken gaat bij juristen? Hoe goed hebben AVG-specialisten hun zaken zelf voor elkaar?

AVG Cloud Register, de Groninger producent van handige en praktische AVG software waarmee ook PrivacyZone werkt, deed daar ruim een maand na het ingaan van de nieuwe privacywetgeving AVG onderzoek naar.

Uit het onderzoek van AVG Cloud Register blijkt dat slechts 14 procent van de websites van 50 onderzochte juristenkantoren, die berichten of adviseren over de AVG, zélf voldoen aan deze nieuwe wet.

De websites behoren toe tot juridische bureau’s die actief zijn op het gebied van privacy & ICT Recht, AVG workshops geven, FG is of via twitter of de bedrijfswebsite over de AVG heeft bericht. Deze juridische bureau’s liepen qua omvang uiteen van zelfstandigen tot partijen met 100+ werknemers.

Veel (technische) misverstanden

AVG Cloud Register signaleert op Twitter dat er nog veel misverstanden en onwetendheid is omtrent de AVG en privacy. De implementatie van technische aspecten die erbij komen kijken, blijkt zelfs voor de partijen die bekend zijn met de wet- en regelgeving, alsnog een struikelblok te zijn. Ook PrivacyZone komt tot die conclusie op basis van praktijkervaring en gesprekken met diverse ondernemers na AVG presentaties.

Uit onderzoek van de Consumentenbond blijkt ook dat 69% van de grote Nederlandse websites niet voldoen aan de AVG.

Ruwe onderzoeksresultaten

AVG Cloud Register keek voor zijn onderzoek naar de websites van juristen naar de volgende punten:

  • De aanwezigheid van een privacy statement
    74% voldeed hieraan, bij 26% ontbrak het privacystatement volledig, hoewel er wel persoonsgegevens middels bijvoorbeeld een contactformulier konden worden ingevuld;
  • De juistheid van het privacy statement
    67% van de eerder genoemde 74% waren correct, de overige 50% had onwaarheden of hiaten in hun privacystatement;
  • Google IP-adres anonimisering
    Binnen de AVG is het opslaan van een ip-adres een gegevensverwerking. Elke website die (veelal) Google Analytics gebruikt moet daarom hiervoor òf aan de websitebezoeker toestemming vragen middels een cookiemelding òf deze IP-adressen anonimiseren.
    Van de onderzochte partijen had 30% deze juist ingesteld en anonimiseerde 60% de ip-adressen van hun bezoekers niet. Vier procent leek geen bezoekersgedrag te volgen, voor de overige zes procent was het niet te achterhalen of ze aan de correcte of incorrecte kant zaten omtrent ip anonimisering voor Google Analytics;
  • Cookie implementatie
    Ondanks de reeds geldende Telecommunicatiewet, bleek de implementatie van cookies de grootste struikelblok voor juridische bureau’s: Slechts 26% deed dit conform AVG en Telecommunicatiewet.
    Van de 50 onderzochte websites, hanteerden 18 websites onterecht geen cookie-venster. Door gebruik van bijvoorbeeld niet privacy vriendelijke Youtube maar vooral social media widgets, was dit wel op zijn plaats.
  • Versleuteling persoonsgegevens
    Van gegevensversleuteling middels SSL certificaat, waarmee https en het groene slotje wordt bemachtigd, was in 76% van de onderzochte websites sprake. Aanvullend had 8% een certificaat, maar was dit incorrect geïmplementeerd.

Het percentage partijen die alle bovenstaande aspecten juist hebben uitgevoerd kwam op slechts 14%. Daarnaast ontbrak het bij 12% slechts aan één van bovenstaande zaken en kwamen ze daarmee in de buurt van AVG en privacy compliance.

De overige 74% voldoen op cruciale of meerdere vlakken niet aan de wetgeving. Hetgeen dat hieruit geconcludeerd kan worden, is dat kennis veelal bij de deur lijkt te stoppen op het gebied van privacy.

Voor organisaties is het noodzaak om de juiste partij aan te wijzen voor een verlengstuk op theoretische of juist praktische kennis.

Voor privacy compliance blijkt samenwerking  tussen juristen, programmeurs en security-experts buiten “ingewikkelde” informatiesystemen voor bijvoorbeeld zorg om, ook reeds noodzakelijk voor websites of webshops.

Conclusie van het onderzoek van AVG Cloud Register: bij AVG specialisten is de kans op datalekken net zo groot als bij andere ondernemingen. Bij de juristen ‘lekt’ het thuis net als bij de loodgieters.

Organisaties die hun zaken nog niet op orde hebben hoeven zich kortom niet te schamen. Maar zij moeten net als de AVG juristen langzamerhand wel beginnen een plan van aanpak te maken.

PrivacyZone weet uit ervaring dat het handig en verstandig is om daarvoor een externe privacymanager in te schakelen. Iemand van buiten die met een kritische blik professioneel jouw organisatie kan doorlichten en dan een gefundeerd plan van aanpak kan voorstellen. Een plan dat niet alleen goed is voor je AVG-verplichtingen, maar ook voor managers die wel eens op een andere manier naar hun organisatie willen laten kijken.

Natuurlijk, er zijn diverse goede AVG-werkboeken in omloop en wij weten dat veel bedrijven privacyverklaringen en verwerkingsovereenkomsten van collegas kopieren (foei, dat mag niet!), maar de kans dat er dan belangrijke zaken vergeten worden is reeel, blijkt uit de praktijk. Of er worden foute voorbeelden gekopieerd, van een bedrijf dat zelf weer fout van een ander had gekopieerd.

PrivacyZone kent de valkuilen en werkt samen met diverse specialisten. Privacymanagement is te ingewikkeld om het er in je eentje even bij te doen aan de hand van een handboek. Zelfs gespecialiseerde juristen tonen dat aan met hun websites.

En zeg nou zelf: als de auto een onderhoudsbeurt nodig is koop je toch ook geen handboek zodat je het er even zelf bij kunt doen?

Je administratie laat je – over het algemeen – toch ook door een accountant of administratiekantoor doen?