16 februari 2012

Boetes voor niet voldoende beveiligen van persoonsgegevens: “dat lossen we zelf wel op”

Tijdens mijn dagelijkse treinreis naar kantoor in Den Haag las ik het volgende artikel op de voorpagina van de krant de Spits: “Boete voor lekken” Daarnaast viel mijn oog op het volgende artikel op nu.nl: “CBP wil boete voor slechte beveiliging klantgegevens”.

Het is reeds bekend nieuws dat de persoonsgegevens van 100.000 Bavaria klanten op straat liggen.  De internetdienstverlener Creation Point was gehackt. De hacker stelde de beveiliging buiten werking, waardoor de gegevens vrij simpel benaderbaar waren.

Nu gaan er geluiden vanuit de politiek op om hiertegen maatregelen te nemen.  Het Tweede Kamerlid Arjan El Fassed van GroenLinks vindt dat het College bescherming persoonsgegevens (Cbp) boetes zou moeten kunnen uitdelen aan bedrijven die laks omspringen met de beveiliging van persoonsgegevens. Hij wordt in het aangehaalde artikel  in de Spits als volgt aangehaald: “Ik wil graag dat de straf een percentage van de omzet beslaat, zodat elk bedrijf, van kleine webshop tot de grote jongens, het voelt als ze niks doen.”. Er zou geen financiële prikkel zijn om de gegevens goed te beveiligen. En zoals uit het tweede aangehaalde artikeltje blijkt, roept het Cbp zelf ook op tot het verkrijgen van de bevoegdheid om bestuursrechtelijke boetes op te kunnen leggen.

Deze mening lijkt te worden gesteund door de digitale burgerrechtenorganisatie Bits of Freedom en door de journalist Brenno de Winter. Brenno de Winter wil zelfs verder gaan en de bedrijven die slordig omgaan met persoonsgegevens strafrechtelijk vervolgen, wat ik een ridicuul voorstel vind. Welke bestuurder van een ICT-bedrijf die persoonsgegevens verwerkt kan dan nog veilig gaan slapen terwijl hij weet dat hij gehackt kan worden en daarvoor strafrechtelijk zal worden vervolgd. Een hack is immers altijd mogelijk, hoe goed de beveiliging ook is.

Over het algemeen kan ik mij natuurlijk wel vinden in een betere beveiliging van persoonsgegevens, maar naar mijn mening vergeten De Winter en El Fassed hier dat het gaat om bedrijven waar met het civiele recht tegen opgetreden kan worden, mits dit contractueel goed is geregeld. Er hoeft mijns inziens helemaal geen gebruik gemaakt te worden van bestuursrechtelijke boetes en strafrechtelijke sancties. Om het huidige speelveld even te schetsen; artikel 13 van de Wet bescherming persoonsgegevens (Wbp) stelt momenteel reeds dat de verantwoordelijke passende technische en organisatorische maatregelen moet treffen tegen het verlies of tegen enige vorm van onrechtmatig gebruik, maar wanneer dit niet gebeurt kan het Cbp geen boete uitdelen, wat mijns inziens geen slechte zaak is.

Het heeft namelijk de voorkeur dat partijen dit in de civielrechtelijke sfeer oplossen zonder tussenkomst van een door de overheid ingesteld orgaan. Zoals in het hierboven genoemde voorbeeld, waarin de persoonsgegevens van Bavaria op straat kwamen te liggen, was het Bavaria die een derde partij inhuurde om haar internetactiviteiten te verrichten. In dit geval was Creation Point dus een leverancier van Bavaria. Van een professionele partij als Bavaria mag verwacht worden dat er een contract is met Creation Point. In dat contract kan Bavaria harde afspraken maken over wat er gebeurt wanneer haar klantgegevens op straat komen te liggen. Een bedrijf als Bavaria lijdt hierdoor imagoschade en zal deze schade willen verhalen op de internetprovider. Dat dit een procedure zal zijn met een groot aantal haken en ogen staat vast; immers hoe bepaal je de hoogte van de imagoschade?

Daarom is het sterk aan te raden om, wanneer een partij door een derde persoonsgegevens laat verwerken, altijd een boetebeding in het contract op te laten nemen. Allereerst moet de hoogte van de boete een stimulans geven, opdat de persoonsgegevens adequaat worden beveiligd. Met andere woorden, de boete moet wel hoog genoeg zijn. Wanneer de boete dusdanig laag is, kan het zo zijn dat het betalen van een boete goedkoper is dan een goede beveiliging. Daarnaast zal dit beding inhouden dat de persoonsgegevens verwerkt dienen te worden conform de Wbp en dat er passende technische beveiligingsmaatregelen zijn genomen.

Daarbij stuit ik op een kritiek punt ten opzichte van de huidige wetgeving. Wat is immers een passende technische maatregel? Dit kan van alles zijn. Bij een vorige hack inzake BabyDump, welke aandacht van de media kreeg, kwamen ook de gegevens van personen op straat te liggen. Babydump had het Thuiswinkel Keurmerk. Het Thuiswinkel Keurmerk oordeelde dat er wel degelijk beveiligingsmaatregelen waren genomen, waardoor babydump het Thuiswinkel Keurmerk kan behouden. Wellicht is dit oordeel terecht, wellicht onterecht. Deze informatie heb ik niet voorhanden. Vast staat mijns inziens wel dat wanneer iemand iets wil hacken dat over het algemeen mogelijk zal zijn. Een goede beveiliging zorgt er enkel voor dat het lastiger zal zijn en langer zal duren, waardoor de hacker wellicht wordt afgeschrikt voor het plegen van de hack. Omdat de definitie van passende technische beveiligingsmaatregelen altijd subjectief zal zijn, raad ik aan om hier contractueel altijd harde normen voor op te nemen.

Wanneer je contractueel vastlegt dat de verwerker van persoonsgegevens moet voldoen aan deze beveiligingsstandaarden en hieraan een boete koppelt wanneer hij dit niet doet, kan je als bedrijf rustiger gaan slapen. Een garantie dat door deze beveiliging niet heen valt te komen, kan niemand geven, maar wat je wel zeker weet is, dat je kan toetsen of of de persoonsgegevens voldoende zijn beschermd.

Uit het bovenstaande blijkt mijns inziens dat het helemaal niet in het belang is dat een overheidsorganisatie oordeelt en boetes kan uitdelen wanneer er niet voldoende technische beveiligingsmaatregelen worden genomen. Bedrijven kunnen dit heel goed onderling oplossen. Wat mij betreft is deze roep om meer bevoegdheden een fraai staaltje van incidentpolitiek.

Advocaat Sietse Zeijlmaker

Tel. 070 381 92 81 | info@wisemen.nl



ARCHIEF

Interesse in onze dienstverlening?

e-mail

sandra@wisemen.nl

sandra@wisemen.nl

of bel

070 - 381.92.81

070 - 381.92.81


© 2011 - WiseMen Advocaten

Sitemap|Disclaimer