folder coronatest: BSN-nummers voor contactonderzoek

[JRR]

Ook ik moest er afgelopen week aan geloven i.v.m. niet lekker zijn en ik heb maar wijselijk een coronatest laten afnemen. Gelukkig bleek het na het belletje na 48 uur geen corona te zijn. Na afloop van de test in de coronastraat krijg je dan een foldertje mee met informatie en daar viel me iets aan op...

De tekst die in het foldertje van de lokale GGD staat, wijkt af van de informatie in de folder die via de Rijksoverheid is gepubliceerd.

De lokale GGD vraagt mij om alvast de namen en BSN nummers te gaan inventariseren van de mensen met wie ik contact heb gehad voor een mogelijk contactonderzoek. Volgens de officiële folder van de Rijksoverheid wordt er alleen gevraagd om de namen van mensen met wie je contact hebt gehad.

Volgens mij is het BSN nummer iets persoonlijks en alleen voor mij om contact te hebben met de overheid, financiële instellingen en medische zorg. Het lijkt mij dat ik met het BSN nummer van een ander niks te maken heb. Zeker in combinatie met een volledige naam en het e-mailadres van die persoon zie ik hier een mogelijk privacy issue voor kwaadwillenden.

Mag de lokale GGD zo ver gaan om te vragen aan mensen die de test hebben ondergaan om BSN nummers bij anderen te gaan inventariseren? Ik snap best dat het voor de GGD op die manier makkelijker is om mensen op te sporen voor een contactonderzoek, maar ik vind het eerlijk gezegd wel een grijs gebied en ik vraag me af of dit mag.

Links de officiële tekst van de Rijksoverheid, rechts de tekst van de lokale GGD.

[Room42]

Nee, de BSN mag je absoluut niet vragen en zou ik zeker nooit afgeven. Bizar dat ze dat hier stimuleren!

Goed om te lezen:
AP: Burgerservicenummer (BSN)
Rijskoverheid: Welke organisaties mogen mijn burgerservicenummer (BSN) gebruiken?

[F_J_K]

Bovenstaande links zeggen expliciet dat de GGD het wel mag Via de Wpg bijvoorbeeld.

Maar afhankelijk van de situatie. Ze mogen het niet vragen voor de kerstkaarten-adressenlijst. In dit geval zal je 9 vd 10 keer de BSN niet eens weten. Dan kan de BSN niet als noodzakelijk worden gezien en zou ik verwachten dat het 'dus' ook niet mag. Wel lekker makkelijk voor de GGD, scheelt ze weer tijd. Ik zou zeggen: grijs gebied maar lichtgrijs als het verder wel netjes veilig wordt verwerkt.

Edit: ik kijk nu pas wat beter naar de volgorde. Vragen dat jij alvast BSN's gaat opvragen van iedereen die je hebt gesproken, nog voordat de uitslag bekend is. Dat gaat idd te ver zou ik zeggen.

[ Voor 17% gewijzigd door F_J_K op 03-08-2020 08:55 ]

[Room42]

@F_J_K De GGD mag misschien wel naar jouw BSN vragen maar wel alleen jouw eigen BSN. Niet die van anderen. Die mag jij namelijk niet weten.

[F_J_K]

Room42 schreef op maandag 3 augustus 2020 @ 09:12:
@F_J_K De GGD mag misschien wel naar jouw BSN vragen maar wel alleen jouw eigen BSN. Niet die van anderen. Die mag jij namelijk niet weten.

Ah dat bedoelde je. Nee inderdaad. Zodra jij andermans BSN gaat opvragen is dat niet puur huishoudelijk -> val je wel onder de AVG -> mag het niet. M.u.v. bijvoorbeeld zaakwaarneming, letterlijke bloedspoed, etc. Donkergrijs gebied

Hoe dan ook: gewoon niet doen. Geef ze -alleen bij besmetting- contactgegevens en dan kan de GGD verder.

[Tukkertje-RaH]

F_J_K schreef op maandag 3 augustus 2020 @ 09:29:
[...]

Ah dat bedoelde je. Nee inderdaad. Zodra jij andermans BSN gaat opvragen is dat niet puur huishoudelijk -> val je wel onder de AVG -> mag het niet. M.u.v. bijvoorbeeld zaakwaarneming, letterlijke bloedspoed, etc. Donkergrijs gebied

Even reageren op de komma en de punt: AVG geldt voor zover ik weet voor elektronisch opgeslagen informatie. De GGD vraagt je de namen & BSN nummers op te schrijven - niet elektronisch dus. Dan zou AVG niet van toepassing zijn dus...

Blijft de uiteindelijke conclusie staan dat het inderdaad niet verstandig is van alle mensen die je in de afgelopen tijd tegen bent gekomen het BSN op te gaan vragen. Ikzelf zou er in ieder geval niet aan meewerken...

Edit:
Publiceert u persoonsgegevens van andere mensen op internet? Dan heeft u volgens de Algemene verordening gegevensbescherming (AVG) een wettelijke grondslag nodig. Bijvoorbeeld toestemming van de mensen om wie het gaat. Maar is uw publicatie uitsluitend bedoeld voor persoonlijk of huishoudelijk gebruik? Dan is de AVG niet van toepassing. En heeft u dus ook geen grondslag nodig voor publicatie.

https://www.autoriteitper...uishoudelijk-gebruik-6433

[ Voor 48% gewijzigd door Tukkertje-RaH op 03-08-2020 11:02 ]

[Jeroenneman]

Aparte gang van zaken. Je geeft de namen door van de mensen met wie je contact hebt gehad, en mogelijk een telefoonnummer, en dan belt de GGD zelf de mensen op, en vraagt dan om het BSN ter verificatie.

[T.C]

Tukkertje-RaH schreef op maandag 3 augustus 2020 @ 10:04:
[...]


Even reageren op de komma en de punt: AVG geldt voor zover ik weet voor elektronisch opgeslagen informatie. De GGD vraagt je de namen & BSN nummers op te schrijven - niet elektronisch dus. Dan zou AVG niet van toepassing zijn dus...

GDPR gaat niet enkel over digitale persoonsgegevens, het gaat over alle persoonsgegevens.
Daarbij gaat het niet alleen over de verzameling en de verwerking, maar ook over de opslag en retentie.

Een van de doelen is af te dwingen dat bedrijven maatregelen nemen om te voorkomen dat ze onnodig veel informatie over jou opslaan/verwerken.
Een ander doel is af te dwingen dat bedrijven maatregelen nemen om te voorkomen dat persoonsgegevens in verkeerde handen komen.

De verantwoordelijkheid voor die keten is degene die de persoonsgegevens verzamelt, als je deze gegevens vervolgens met de GGD deelt, ben jij degene die dus verantwoordelijk is voor de wijze waarop de GGD met de gegevens omgaat.

Ik denk dat het (heel) formeel zo is dat jij die mensen zelfs (schriftelijk) om toestemming moet vragen om deze infromatie te delen met de GGD.

Namen en contactgegevens? Die zou ik inderdaad geven aan de GGD.
Maar de BSN van iedereen? Nee.

Nu denk ik dat mensen waarmee jij contact hebt gehad blij zullen zijn dat ze op de hoogte worden gebracht en getest. Dus ze zullen waarschijnlijk niet echt stappen nemen vanwege het delen van contactgegevens.

[Tom-Z]

T.C schreef op maandag 3 augustus 2020 @ 10:50:
[...]


GDPR gaat niet enkel over digitale persoonsgegevens, het gaat over alle persoonsgegevens.
Daarbij gaat het niet alleen over de verzameling en de verwerking, maar ook over de opslag en retentie.

Het gaat heel specifiek om de gestructureerde verwerking van persoonsgegevens. Er moet sprake zijn van een "bestand" (digitaal of bijvoorbeeld iets als een kaartenbak) waarin die gegevens opgeslagen worden en toegankelijk zijn. Als de GGD de gegevens dus niet gestructureerd opslaat maar alleen een medewerker aan de hand van jouw lijstje die mensen laat bellen, is er volgens mij niets aan de hand.

[Iv00w]

T.C schreef op maandag 3 augustus 2020 @ 10:50:
[...]

De verantwoordelijkheid voor die keten is degene die de persoonsgegevens verzamelt, als je deze gegevens vervolgens met de GGD deelt, ben jij degene die dus verantwoordelijk is voor de wijze waarop de GGD met de gegevens omgaat.

Voor zover ik weet, kan de GDPR alleen maar van toepassing zijn op instanties, nooit op particulieren. Dat neemt niet weg dat dit feitelijk tegen een hoop andere regels/wetten ingaat, maar jij als persoon hebt hier in ieder geval niets mee te maken, wat de GDPR betreft.

[F_J_K]

Tukkertje-RaH schreef op maandag 3 augustus 2020 @ 10:04:
Even reageren op de komma en de punt: AVG geldt voor zover ik weet voor elektronisch opgeslagen informatie.

Nee expliciet niet alleen geautomatiseerde verwerking, zie AVG art4.

Iv00w schreef op maandag 3 augustus 2020 @ 12:09:
[...]
Voor zover ik weet, kan de GDPR alleen maar van toepassing zijn op instanties, nooit op particulieren.

Soms welles, AVG art 2. (Zoals in dit geval: niet een zuiver persoonlijke of huishoudelijke activiteit).

Misschien bij 'voor zover ik weet ' eerst even de tekst zelf lezen

Ik begrijp de reacties trouwens wel goed: vaak is het zo. Het gaat erg om grijstinten.

[PetervdM]

JIJ mag alles vragen aan de mensen met wie je contact hebt gehad, ook hun BSN nummer. als die mensen vervolgens goed hebben opgelet weten ze dat JIJ daar niks mee te maken hebt en zullen ze je dat niet geven. probleem opgelost.

[keesdewit]

Altijd dat gedoe met privacy wat ook de goede dingen in de weg staat. Het is toch juist mooi dat er een efficiente manier bestaat om mensen ter herleiden via hun BSN? Die privacy meuk van tegenwoordig maakt ook een heleboel dingen met goede intenties onmogelijk.

[Room42]

keesdewit schreef op maandag 3 augustus 2020 @ 13:10:
Altijd dat gedoe met privacy wat ook de goede dingen in de weg staat. Het is toch juist mooi dat er een efficiente manier bestaat om mensen ter herleiden via hun BSN? Die privacy meuk van tegenwoordig maken ook een heleboel dingen met goede intenties onmogelijk.

Sterkte als straks jouw identiteit gestolen is en misbruikt wordt. Dan niet lopen klagen, hè!

[keesdewit]

Room42 schreef op maandag 3 augustus 2020 @ 13:13:
[...]

Sterkte als straks jouw identiteit gestolen is en misbruikt wordt. Dan niet lopen klagen, hè!

Uit welke cijfers blijkt dat identiteitsfraude is afgenomen na de invoering van de wet ter bescherming van persoonsgegevens?

[Room42]

keesdewit schreef op maandag 3 augustus 2020 @ 13:15:
[...]

Uit welke cijfers blijkt dat identiteitsfraude is afgenomen na de invoering van de wet ter bescherming van persoonsgegevens?

Die zoek je lekker zelf op. Ik ben in ieder geval heel blij dat er een wet achter mij staat als ik mijn gegevens niet te pas en te onpas af wil moeten staan. Dat is nu redelijk opgelost. Dat daarvoor wat extra hoepels genomen moeten worden vind ik geen probleem.

[xh3adshotx]

keesdewit schreef op maandag 3 augustus 2020 @ 13:10:
Altijd dat gedoe met privacy wat ook de goede dingen in de weg staat. Het is toch juist mooi dat er een efficiente manier bestaat om mensen ter herleiden via hun BSN? Die privacy meuk van tegenwoordig maakt ook een heleboel dingen met goede intenties onmogelijk.

Wat is het probleem met het niet willen afstaan van BSN? Waarom heeft de GGD mijn BSN nodig? Ik ga die echt niet verstrekken als iemand erom vraagt voor contactonderzoek. Ze kunnen mijn telefoonnummer krijgen en mogen best bellen, bespaart ze een extra stap (opvragen/zoeken telefoonnummer).

[keesdewit]

xh3adshotx schreef op maandag 3 augustus 2020 @ 13:31:
[...]


Wat is het probleem met het niet willen afstaan van BSN? Waarom heeft de GGD mijn BSN nodig? Ik ga die echt niet verstrekken als iemand erom vraagt voor contactonderzoek. Ze kunnen mijn telefoonnummer krijgen en mogen best bellen, bespaart ze een extra stap (opvragen/zoeken telefoonnummer).

Who cares. Ik geef gewoon mijn BSN. Wat wil je er mee doen dan?

[Room42]

keesdewit schreef op maandag 3 augustus 2020 @ 13:36:
[...]

Who cares. Ik geef gewoon mijn BSN. Wat wil je er mee doen dan?

Rekeningen openen, leningen aanvragen, een huis kopen, etc., etc.

[xh3adshotx]

keesdewit schreef op maandag 3 augustus 2020 @ 13:36:
[...]


Who cares. Ik geef gewoon mijn BSN. Wat wil je er mee doen dan?

quote: https://www.hekkelman.nl/...uik-bsn-wees-voorzichtig/

Omdat het BSN uniek is zijn de privacy risico’s groot. Persoonsgegevens uit verschillende overheidsbestanden kunnen via het BSN eenvoudig worden gekoppeld. Bij onzorgvuldig gebruik van BSN’s is het gevaar voor misbruik van gegevens en identiteitsfraude groot. In de Wet bescherming persoonsgegevens (Wbp) is daarom bepaald dat het BSN uitsluitend mag worden gebruikt ter uitvoering van de wet. Dat betekent dat bedrijven, werkgevers of andere organisaties het BSN alleen mogen gebruiken als zij daartoe op basis van een wettelijke regeling verplicht zijn. Het gebruik moet ook strikt beperkt zijn tot het doel van die betreffende wet.

quote: https://radar.avrotros.nl...n-uw-burgerservicenummer/

Dat ondervond Muserref Karasülük. Een jaar geleden vergat haar zoon haar rijbewijs bij het kopieerapparaat in de supermarkt. Het rijbewijs wordt teruggevonden, maar het kwaad is al geschied. Met het kopietje worden een aantal telefoonabonnementen afgesloten. Een jaar lang wordt mevrouw Karasülük geteisterd door deurwaarders en daar blijft het niet bij.

quote: https://www.consumentenbo...privacy/identiteitsfraude

Sommige criminelen shoppen bij meerdere winkels en laten een andere persoon voor de rekening opdraaien. Ze gebruiken dan zijn of haar gegevens. Criminelen misbruiken het burgerservicenummer, de geboortedatum en het adres.

[keesdewit]

Room42 schreef op maandag 3 augustus 2020 @ 13:37:
[...]

Rekeningen openen, leningen aanvragen, een huis kopen, etc., etc.

Dat gaat echt niet met een BSN. Financieele instellingen (waar jij denk ik op doelt) zien identiteitsfraude als integriteitsrisico en moeten daarvoor van hun toezichthouder beheersmaatregels bedenken die het risico op identiteitsfraude mitigeren. Die beheersmaatregels zijn dermate sterk dat het bijna onmogelijk is om financieele producten af te nemen onder een valse identiteit. Voor alle zaken die jij noemt is een fysieke identificatie en verificatie nodig (zoals bedoeld met clientenonderzoek in context van de wet ter voorkoming van witwassen en financieren van terrorisme Wwft). Er komt iets wat meer bij kijken dan een simpel profiel van iemand en een BSN.

[Brent]

Room42 schreef op maandag 3 augustus 2020 @ 13:37:
[...]

Rekeningen openen, leningen aanvragen, een huis kopen, etc., etc.

Het is hier geen VS. Met enkel een BSN kun je niets, je moet ook een handtekening zetten, ID overleggen, e.d.

Nouja, dat is toch zo? Zijn er instanties die vragen om een BSN, deze niet verifiëren, en toch gewoon kunnen 'gebruiken'?

[xh3adshotx]

Brent schreef op maandag 3 augustus 2020 @ 13:45:
[...]

Het is hier geen VS. Met enkel een BSN kun je niets, je moet ook een handtekening zetten, ID overleggen, e.d.

Nouja, dat is toch zo? Zijn er instanties die vragen om een BSN, deze niet verifiëren, en toch gewoon kunnen 'gebruiken'?

Bijvoorbeeld bij Bunq kon je (in het begin) een rekeningnummer openen door simpelweg een id-kaart te scannen. Stickertje erover met ander BSN in zelfde lettertype afgedrukt werkte ook. Weet niet of het nog steeds werkt.

[Delakhan]

Ik heb ook zo'n folder... en hierin staat:"Je hoeft alleen de namen op te schrijven van de mensen met wie je samen bent geweest 2 dagen voordat je klachten begonnen, tot het moment dat je thuis bent gebleven"

Dus er zijn verschillende versies in omloop...


Wel leuk detail is dat ik min of meer verbaasd was dat ze telefonisch (afspraak maken) wisten wie ik was daar ik mijn persoonsgegevens heb laten afschermen bij het BRP. Echter aangekomen bij de teststraat konden ze me idd niet meer vinden. Ook mijn streepjescode was voor hun niet inscanbaar en konden ze me alleen op naam terugvinden.

[Brent]

xh3adshotx schreef op maandag 3 augustus 2020 @ 13:47:
[...]


Bijvoorbeeld bij Bunq kon je (in het begin) een rekeningnummer openen door simpelweg een id-kaart te scannen. Stickertje erover met ander BSN in zelfde lettertype afgedrukt werkte ook. Weet niet of het nog steeds werkt.

Hmm, moest je daar niet ook een foto laten maken (voor en zijkant)? Ik snap dat bunq de controle na openen pas uitvoert, maar dan zou er nog geen schade zijn toch? Of is dit echt een ding, dit soort fraude?

[xh3adshotx]

Brent schreef op maandag 3 augustus 2020 @ 13:52:
[...]

Hmm, moest je daar niet ook een foto laten maken (voor en zijkant)? Ik snap dat bunq de controle na openen pas uitvoert, maar dan zou er nog geen schade zijn toch? Of is dit echt een ding, dit soort fraude?

Kanttekening dat ik een van de eerste met Bunq was, weet niet of het inmiddels aangepast is. Heb het namelijk bij Bunq gemeld destijds maar geen feedback op gekregen. Enige wat gebruikt wordt/werd was de foto van BSN. Misschien dat ze bij misbruik zouden kijken naar de rest van de kaart maar zou er niet vanuit gaan. Heb een "valse" rekening 2 maanden kunnen gebruiken voor ze op mijn bug report reageerde (toen had het ineens wel urgentie, als feedback niet) en de rekening sloten. Verder behalve een gesloten rekening niets meer gehoord. In die tijd had ik bijvoorbeeld IS kunnen financieren op jouw naam.

Rest van de kaart is overigens prima bij elkaar te Google als je eenmaal de naam + BSN hebt. Facebook/LinkedIn etc. Gewoon afdrukken op stevig papier en beetje wazige foto maken en niet van echt te onderscheiden. Pas als er dan goed naar het watermerk en andere kenmerken gekeken wordt zal het opvallen. Probleem is dat je dan al wel een redelijk groot probleem kan hebben als er echt misbruik van de rekening gemaakt is.

[ Voor 24% gewijzigd door xh3adshotx op 03-08-2020 14:02 ]

[DataGhost]

Wmb is dat meer een dingetje van Bunq, dat ze veel te laks zijn met de controles die ze wettelijk moeten uitvoeren. Hoe enorm echt je het gefakete rijbewijs of paspoort laat lijken, als de shit de fan hit kunnen ze geen kopie van een document overleggen waarbij het documentnummer in kwestie in de overheidssystemen gekoppeld is aan het BSN in kwestie. Dat wordt volgens mij al heel gauw het probleem van Bunq.

Net als de verdere implementatie van BSN in Nederland, je zou met het nummer op zich niet zoveel moeten kunnen (dat is gelukkig in de meeste gevallen ook zo). Zeker nu DigID een ding is lijkt het me veel makkelijker om een soort authenticatie te vereisen. Vergeet niet dat ZZP-ers hun BSN op elke factuur moesten vermelden, dus echt geheim kan je het nummer niet noemen.

Juist in dit geval kan een BSN "handig" zijn, als je Jan Jansen opschrijft op je contactonderzoek-ding kunnen ze daar nog steeds niet zoveel mee natuurlijk. Aan de andere kant weet jij die nummers doorgaans niet dus moet je min of meer zelf je contactonderzoek doen (aan iedereen vragen) voordat de GGD ermee aan de slag kan.

[ Voor 15% gewijzigd door DataGhost op 03-08-2020 14:10 ]

[JRR]

Thanks,

Aan de discussie te zien, zag ik dus geen spoken en zijn er meer mensen die moeite hebben met de passage in de coronafolder.

Omgekeerd, als iemand mij zou vragen om mijn BSN-nummer zou ik dat nooit geven. Mijn naam en 06-nummer mogen ze hebben en dan weten ze genoeg.

[JRR]

Even terug komen op het draadje van eerder deze week.

Maandag heb ik contact opgenomen met de lokale GGD en hen gewezen op deze rare passage in de folder.

Na lang wachten is er dan vandaag een reactie gekomen dat de folders die eerst uitgedeeld werden, vernietigd worden en dat er nieuwe folders zijn besteld conform het beleid van de overheid.

[Killjoy]

Tom-Z schreef op maandag 3 augustus 2020 @ 10:57:
[...]

Het gaat heel specifiek om de gestructureerde verwerking van persoonsgegevens. Er moet sprake zijn van een "bestand" (digitaal of bijvoorbeeld iets als een kaartenbak) waarin die gegevens opgeslagen worden en toegankelijk zijn. Als de GGD de gegevens dus niet gestructureerd opslaat maar alleen een medewerker aan de hand van jouw lijstje die mensen laat bellen, is er volgens mij niets aan de hand.

Op de GGD's is de Archiefwet 1995 van toepassing en dus moet er neerslag zijn van handelingen. Dergelijke lijstjes worden onderdeel van een dossier. En dus is de AVG van toepassing.

Iv00w schreef op maandag 3 augustus 2020 @ 12:09:
[...]


Voor zover ik weet, kan de GDPR alleen maar van toepassing zijn op instanties, nooit op particulieren. Dat neemt niet weg dat dit feitelijk tegen een hoop andere regels/wetten ingaat, maar jij als persoon hebt hier in ieder geval niets mee te maken, wat de GDPR betreft.

Zodra particulieren persoonsgegevens gaan verwerken voor een ander doel dan 'huishoudelijk gebruik' is ook op hen de AVG van toepassing.