BSN nummer invullen onbeveiligde site

[Maarten2212]

Gisteren had ik een sollicitatiegesprek bij een uitzendbureau. Tijdens de sollicitatie moest ik mijn gegevens invullen op een onbeveiligde website. De gegevens waren o.a.: adres, volledige naam, IBAN, BSN-nummer, documentnummer ID-kaart, vervaldatum ID-kaart en telefoonnummer. Op het moment van sollicitatie heb ik er niks over gezegd en gewoon ingevuld. Nu twijfel ik of ik het toch beter had kunnen aangeven. Het is een groot uitzendbureau dat ook al velen jaren bestaat.

Ben benieuwd wat jullie in een soortgelijke situatie hadden gedaan of nu achteraf zouden doen.

[RaZ]

Weet je zeker dat het geen intranet site was dan?

[MAX3400]

Sterker nog; bepaalde bedrijven zijn al bezig om hernieuwde contracten te schrijven ondat BSN erin staat en dat mag niet meer.

Sowieso, maar dat horen we graag; was het een inschrijving bij het uitzendbureau of was het een sollicitatie? In het laatste geval zijn die gegevens namelijk nergens relevant voor.

[wildhagen]

Dat soort gevoelige info als BSN etc moet je nooit via een onbeveiligde site doorgeven, waar dan ook.

Dingen als adres, volledige naam, telefoonnummer etc is allemaal niet zo spannend, maar BSN etc is dat zeker wel.

Beste was dus geweest om je gegevens helemaal niet in te vullen, en het probleem te melden aan het bedrijf in kwestie.

[Maarten2212]

MAX3400 schreef op zaterdag 14 april 2018 @ 11:26:
Sterker nog; bepaalde bedrijven zijn al bezig om hernieuwde contracten te schrijven ondat BSN erin staat en dat mag niet meer.

Sowieso, maar dat horen we graag; was het een inschrijving bij het uitzendbureau of was het een sollicitatie? In het laatste geval zijn die gegevens namelijk nergens relevant voor.

Het was een sollicitatiegesprek en er is ook een contract getekend.

RaZ schreef op zaterdag 14 april 2018 @ 11:25:
Weet je zeker dat het geen intranet site was dan?

Ik was in de veronderstelling van niet. Maar hoe zou ik dit nu kunnen checken of destijds gecheckt kunnen hebben?

wildhagen schreef op zaterdag 14 april 2018 @ 11:27:
Beste was dus geweest om je gegevens helemaal niet in te vullen, en het probleem te melden aan het bedrijf in kwestie.

Tijdens de sollicitatie wilde ik er geen probleem van maken omdat dat mijn kansen zou verkleinen. Achteraf was het wellicht wel beter geweest om het probleem in ieder geval te benoemen.

[sig69]

Als je daar aan de slag wil is het niet vreemd om die gegevens te geven natuurlijk. Maar tijdens je sollicitatie zijn je BSN en rekeningnummer niet belangrijk, pas als je aangenomen bent.

[Maarten2212]

sig69 schreef op zaterdag 14 april 2018 @ 11:42:
Als je daar aan de slag wil is het niet vreemd om die gegevens te geven natuurlijk. Maar tijdens je sollicitatie zijn je BSN en rekeningnummer niet belangrijk, pas als je aangenomen bent.

Tijdens het sollicitatiegesprek ben ik direct aangenomen, dus contract is ook direct getekend.

[sig69]

Dan nog: vroegen ze je BSN etc voor of nadat je aangenomen bent? Niet dat het in dit geval heel veel uit maakt, maar toch.

[Guy Treepbush]

Een werkgever is wettelijk verplicht om je indentiteit te controleren en moet verplicht je bsn registreren. Geld overigens ook voor externen.

Via een onbeveiligde site is natuurlijk niet oké en daar zou ik achteraf nog wel mijn verbazing over uit spreken naar ze.

[AtleX]

RaZ schreef op zaterdag 14 april 2018 @ 11:25:
Weet je zeker dat het geen intranet site was dan?

Ook dan is een TLS verbinding toch wel noodzakelijk hoor. Net of alles en iedereen aan de eigen kant van de gateway te vertrouwen is.

[Hmmbob]

En dan is er nog verschil of de eerste pagina niet via TLS geserveerd werd, of de verzonden gegevens. De pagina waarop je het invult kan prima buiten https om geladen worden (of je dat moet willen is een 2e), het gaat erom dat het versturen (de POST) via een TLS beveiligde verbinding moet gaan.

[AtleX]

Hmmbob schreef op zaterdag 14 april 2018 @ 13:33:
En dan is er nog verschil of de eerste pagina niet via TLS geserveerd werd, of de verzonden gegevens. De pagina waarop je het invult kan prima buiten https om geladen worden (of je dat moet willen is een 2e), het gaat erom dat het versturen (de POST) via een TLS beveiligde verbinding moet gaan.

Dat is best wel een bad practice, want er is niets wat een MITM tegenhoud dat eerste formulier dan aan te passen en wat nuttige Javascript toe te voegen of zelfs het target waar het formulier heen gaat aan te passen.

[DiedX]

Ik vraag mij af of de BSN op dit moment al vastgelegd mag worden. Er ís nog geen overeenkomst, en daarvoor mag een BSN niet vastgelegd worden...