Gemeente stuurt kopie gevoelige gegevens per mail - datalek?

[Xzorby]

Na een aanvraag binnen de DigiD-omgeving van mijn gemeente kreeg ik tot mijn verbazing een e-mail terug met daarin een kopie van alle documenten die ik in de aanvraag had geüpload. Ik had onder andere bankoverzichten, loonstroken, huurcontract, kopie paspoort etc. toegevoegd in wat ik dacht dat een beveiligde omgeving zou zijn.

Mag de gemeente ongevraagd en onversleuteld een kopie van mijn gegevens terugsturen? Is dit onder de GDPR niet een datalek?

[Daniel.]

Voor zover ik weet mag e-mail nog zonder beveiliging/SSL. Dat is ook een dingetje op een website, heb je een contact formulier dan moet je website een certificaat hebben en heb je die niet en doen mensen het via e-mail dan mag het wel, maar iemand anders hier moet er meer van af weten dan ik. Zit er niet zo in maar ben wel benieuwd.

[MAX3400]

Ik probeer te zoeken hoe dit een datalek is: jij authenticeert je op Digi-D en komt terecht op een site met een HTTPS-slotje, je upload daar documenten (zonder eigen inzicht / wetenschap of jouw machine 100% schoon is van keyloggers, malware, Meltdown-blaat en andere zaken), daarna dien je de aanvraag in, heb je je sessie afgemeld, je cookies weggegooid etc. Daarna stuurt de gemeente (onverhoop met wat documenten erin) een 100% ge-target mailtje naar degene die de aanvraag heeft ingediend. Dus niet eens naar je partner, je advocaat of wat mij betreft de allerhoogste "entiteit" die jij aanbidt maar naar jou.

Tuurlijk, de gevoeligheid van de documenten zal best hoog kunnen liggen maar het principe wat ik schets is dus niet anders dan dat jij online een abonnement bij Tweakers neemt, kies voor Acceptgiro betaling en dus "onversleuteld" ervanuit moet gaan dat de postbode uiteindelijk de acceptgiro bij je bezorgd en ook "onversleuteld" het magazine door je brievenbus gooit.

[SeatRider]

MAX3400 schreef op woensdag 12 december 2018 @ 17:50:
Ik probeer te zoeken hoe dit een datalek is: jij authenticeert je op Digi-D en komt terecht op een site met een HTTPS-slotje, je upload daar documenten (zonder eigen inzicht / wetenschap of jouw machine 100% schoon is van keyloggers, malware, Meltdown-blaat en andere zaken), daarna dien je de aanvraag in, heb je je sessie afgemeld, je cookies weggegooid etc. Daarna stuurt de gemeente (onverhoop met wat documenten erin) een 100% ge-target mailtje naar degene die de aanvraag heeft ingediend. Dus niet eens naar je partner, je advocaat of wat mij betreft de allerhoogste "entiteit" die jij aanbidt maar naar jou.

Tuurlijk, de gevoeligheid van de documenten zal best hoog kunnen liggen maar het principe wat ik schets is dus niet anders dan dat jij online een abonnement bij Tweakers neemt, kies voor Acceptgiro betaling en dus "onversleuteld" ervanuit moet gaan dat de postbode uiteindelijk de acceptgiro bij je bezorgd en ook "onversleuteld" het magazine door je brievenbus gooit.

Het e-mailprotocol is niet 100% veilig. Lees maar eens iets over STARTTLS en downgrade attacks. Nog los van het feit dat een deel van de mailservers STARTTLS niet eens ondersteunt.

Toevoeging: dus als gegevens posten/versturen via HTTP(zonder S) als een datalek beschouwd kan worden, dan dit ook.

[ Voor 4% gewijzigd door SeatRider op 12-12-2018 17:57 ]

[MAX3400]

SeatRider schreef op woensdag 12 december 2018 @ 17:53:
[...]

Het e-mailprotocol is niet 100% veilig. Lees maar eens iets over STARTTLS en downgrade attacks. Nog los van het feit dat een deel van de mailservers STARTTLS niet eens ondersteunt.

I know... Maar daarmee raak je meteen een dubbel issue: de gemeente denkt (!!) dat de veiligheid van de identiteit van beide partijen bekend is want er is er versleuteld contact geweest via https/ssl. Dat daarna mail inderdaad niet van partij A naar partij B kan zonder "controle" of veiligheid, staat volledig vast.

Nou zal de verzendende mailserver wel enige kennis / veiligheid hebben maar zodra het de deur uit is ben je per definitie overgeleverd aan de goden van het internet totdat een mailtje (met een maximale duur van 48 uren) ooit eens aankomt op de receiving mailserver waar het terecht moet komen.

/edit: ik vind het een interessante casus; het is dus nu de vraag of "een instantie" uberhaupt nog "onversleuteld" iets naar je mag opsturen wat "herleidbaar" naar jou is ondanks dat het initiele contact door jou geinitieerd is en je je digitaal / analoog geidentificeerd hebt? Ongeacht het gekozen medium. Nou, dan ga ik maar aandelen TPG en SANDD inslaan; dat worden me toch dure postzegels de komende jaren

[ Voor 18% gewijzigd door MAX3400 op 12-12-2018 18:01 ]

[Xzorby]

MAX3400 schreef op woensdag 12 december 2018 @ 17:59:
[...]

/edit: ik vind het een interessante casus; het is dus nu de vraag of "een instantie" uberhaupt nog "onversleuteld" iets naar je mag opsturen wat "herleidbaar" naar jou is ondanks dat het initiele contact door jou geinitieerd is en je je digitaal / analoog geidentificeerd hebt?

Je mist nog een stukje: in dit geval doen ze het dus ongevraagd. Ik heb geen toestemming gegeven om de gevoelige documenten die ik in een beveiligde omgeving heb geüpload onversleuteld naar een e-mailadres te sturen, ook niet die van mijzelf.

[anboni]

MAX3400 schreef op woensdag 12 december 2018 @ 17:50:
Tuurlijk, de gevoeligheid van de documenten zal best hoog kunnen liggen maar het principe wat ik schets is dus niet anders dan dat jij online een abonnement bij Tweakers neemt, kies voor Acceptgiro betaling en dus "onversleuteld" ervanuit moet gaan dat de postbode uiteindelijk de acceptgiro bij je bezorgd en ook "onversleuteld" het magazine door je brievenbus gooit.

Die vergelijking gaat natuurlijk niet helemaal op. Post valt in principe onder briefgeheim, e-mail niet. Daarnaast heb je bij e-mail mogelijk te maken met data-hongerige providers zoals gmail (en TS gaat er wellicht van uit dat de gemeente alleen notificaties naar het opgegeven e-mail adres stuurt dat er iets klaar staat in de beveiligde portal, dus heeft er geen moeite mee om een gmail adres op te geven)

[Jester-NL]

Klik

Tegenwoordig wordt er steeds meer met elektronische post (e-mail) gecommuniceerd. Het briefgeheim voor papieren post is geregeld in de Grondwet. Dit geldt niet voor e-mail. Voor het afluisteren van elektronische communicatie zijn wel aparte regels in het Wetboek van Strafrecht opgenomen, als onderdeel van de wetten over computercriminaliteit.

Ehrm... ik ga mee met @MAX3400 hier. Daarnaast kun je de verzender niet kwalijk nemen dat de ontvanger er op enig moment voor heeft gekozen om een mailprovider te kiezen die het meelezen en indexeren van de mail als onderdeel van het verdienmodel heeft (waarbij het een terzijde is dat die provider waarschijnlijk het grootste deel van de informatie allang in bezit had), in plaats van voor een paar euro op jaarbasis een mailadres dat NIET per definitie wordt geindexeert.

Daarbij komt dat jij vervolgens een aanname poneert, over wat TS aangenomen zou kunnen hebben over hoe de gemeente in casus had kunnen handelen... en nu mag je mij uitleggen op basis van welke ervaring jij van een gemeente (een stukje overheid) verwacht dat ze een portaal inrichten waar je als klant op moet inloggen om gegevens op te vragen/halen. Zolang dat niet een wettelijke verplichting is, is het een extra kostenpost... niet alleen qua inrichting, maar ook qua beheer en gebruik.

Daarnaast... (en dat is aan TS) het gaat hier om bestanden die je zelf hebt ge-upload, en bestanden die ik met enige regelmaat zakelijk opvraag bij mijn klanten.
Daarnaast is het al JAREN zo dat je - om mail veilig te gebruiken - met 3rd party oplossingen qua encryptie moet gaan werken. En omdat dat voor overheden, en de meerderheid van de bevolking een aantal bruggen te ver is, zal mail onveilig worden verzonden.
Zolang 'de overheid' je mailadres heeft, kan dat op deze manier misgaan. En nee. dat is niet makkelijk te voorkomen.
Overigens maakt een groot deel van de Nederlandse gemeenten (want verplicht) al gebruik van zaken als SPF, DMARC en DKIM, waarmee het in ieder geval duidelijker is dat de verzending inderdaad van de gemeente en niet van [random gehackt domein] afkomstig is.

Is het een datalek? Nee... dit is een aan jouw gericht mailtje, met jouw gegevens, en - naar ik begrijp - op jouw verzoek (zij het dat je vragen hebt over het gekozen medium). Als het ongevraagd de gegevens van [random onbekende] zijn... DAN is het een datalek.

[F_J_K]

Het is niet relevant of de TS de bestanden zelf ooit aan de gemeente heeft gegeven.

Verwerken dient passend beveiligd te gebeuren rekening houdend met de stand van de techniek (AVG art32). Vraag is of een e-mail sturen met bijlagen passend beveiligd is als er betere veiligere manieren zijn. Ik zou zeggen van niet.

Er is als gemeente nul reden om zoiets per mail te doen. Iedere gemeente had al lang alternatieven kunnen hebben. Veel meer dan 10 jaar geleden al laat staan nu. Een mailtje hoeft niet meer te zijn dan verwijzing naar een fatsoenlijk beveiligd portal. In 2003 was je als gemeente misschien voorloper als je dat deed, in 2010 liep je achter laat staan in 2019. Het actieprogramma Elektronische Overheid is potverdorie al van 1999. Ook versleuteld mailen kan prima en vrij gebruiksvriendelijk. Iets als ZorgMail is behoorlijk ingeburgerd. De stand van de techniek is veel verder dan onversleutelde mail.

Dat terzijde. De gemeente kan dat anders hebben ingeschat, voor dit soort gegevens.

Het zou ook een datalek zijn geweest als de bijlagen te groot waren of in een spamfilter bleven steken, en de mail dus niet aan kwam. Maar dat is niet het geval.

Vraag is dan wat het beleid is van de betreffende gemeente. Dat zou je kunnen opvragen, zonodig via WOB-verzoek. Als het beleid is dat het niet via mail gaat, dan is het wel een datalek omdat er sprake is van onbedoelde toegang tot persoonsgegevens (door de mail provider en alle eventuele tussenliggende servers). Als het beleid is dat dergelijke persoonsgegevens worden gemaild is het een ander verhaal. Dan kan je ze op dat beleid aanspreken. Als je zelf vind dat het een datalek is, bijvoorbeeld omdat Gmail meeleest terwijl de gemeente dat niet van te voren wist (en het dus een datalek kan zijn) dan kan je een melding doen bij de autoriteit persoonsgegevens.

Ik zou dat overkill vinden trouwens, ondanks dat ik het belachelijk vind dat het gewoon wordt gemaild. Volgende keer simpelweg geen mailadres opgeven

[anboni]

Jester-NL schreef op woensdag 12 december 2018 @ 19:21:
en nu mag je mij uitleggen op basis van welke ervaring jij van een gemeente (een stukje overheid) verwacht dat ze een portaal inrichten waar je als klant op moet inloggen om gegevens op te vragen/halen.

Wel eens van https://mijn.overheid.nl/ gehoord? Ook gemeentes maken daar steeds meer gebruik van...

[Frogmen]

Bedenk wel dat email nog niet onder het briefgeheim valt maar wel door andere wetten al beschermt wordt. Dus email lezen die niet voor jouw bestemd is, is gewoon verboden. Snap het bovenstaande ongewenst is, en waarom zou je stukken die iemand zelf eerst upload nog weer als bijlage mailen? Maar verder bedenk wel dat het ook nog door oma met een iPad allemaal te doen moet zijn. Je kan het allemaal prachtig beveiligen maar als dat tot gevolg heeft dat iedereen weer met papieren naar de gemeente gaan verplaats je het probleem.
Soms iets minder kort door de bocht denken is wel eens handig.