Woningcorporatie kijkt mee met internet goede vriend

[HarryHaver]

Dag,

Een goede vriend van mij is student en huurt een studentenwoning bij een Nederlandse woningcorporatie in een studentencomplex. In zijn kamer staat een wifi-modem. Soms werkt het internet niet. Het lijkt erop dat er dan iets is geblokkeerd. Dit moet dan telefonisch worden gemeld waarna het internet weer wordt gedeblokkeerd.

Tijdens het laatste telefoontjes zei de medewerker dat er iets van 50 meldingen waren binnengekomen over het herhaaldelijk bezoeken van bepaalde onveilige buitenlandse websites en dat er daarom een blokkade in werking was getreden. Mijn vriend heeft die websites niet bezocht maar hij denkt dat het misschien om software op zijn computer gaat.

Hoe dan ook, ik schrok nogal toen hij het me vertelde, omdat ik twijfel of het niet een grove schending van zijn privacy is dat 1. internet wordt geblokkeerd wegens het bezoek van bepaalde sites en 2. dat medewerkers van de woningcorporatie blijkbaar kunnen zien welke websites hij bezoekt en dit telefonisch ook nog eens met hem delen.

Is dit wettelijk toegestaan? Ik kan me voorstellen dat een een provider het internet van een klant in extreme gevallen kan blokkeren wanneer er bijv. DOS-aanvallen plaatsvinden vanaf zijn IP, maar het 50x bezoeken van 1 adres zou daar toch niet toe moeten leiden?

[Verwijderd]

vpn nemen

[corporalnl]

Wat staat er in de voorwaarden van de woningcomplex waar hij voor getekend heeft?
Daarnaast wellicht is het een automatisch systeem waardoor het geblokkeerd is?

[Ruben279]

Als er in de voorwaarden staat dat er gemonitord mag worden, kan je er niks tegen doen.
In principe zou je een VPN client kunnen gebruiken zodat het verkeer op de computer, laptop, telefoon o.i.d. al op dat apparaat wordt versleuteld en dus niet ingezien kan worden door de woningcorporatie of ISP bijv.

Op GoT staan genoeg topics over VPN's, vast wel iets te vinden wat voor jouw gebruik goed gaat werken.
zoeken naar 'vpn'

[MarcoC]

Uiteraard kan de ISP zien welke IP-adressen worden benaderd over het netwerk. Als de DNS-provider van de ISP gebruikt wordt kunnen ze ook zien welke URL's er worden opgevraagd.

Ik zou me eerder zorgen maken over mogelijke malware op apparaten van jouw vriend. Overigens stel jij nu 50 meldingen gelijk aan 50 bezoeken van 1 website, dat zijn twee verschillende dingen natuurlijk. Niet elk websitebezoek leidt tot een melding.

[Aikon]

HarryHaver schreef op maandag 3 april 2023 @ 12:07:
Dag,

Een goede vriend van mij is student en huurt een studentenwoning bij een Nederlandse woningcorporatie in een studentencomplex. In zijn kamer staat een wifi-modem. Soms werkt het internet niet. Het lijkt erop dat er dan iets is geblokkeerd. Dit moet dan telefonisch worden gemeld waarna het internet weer wordt gedeblokkeerd.

Tijdens het laatste telefoontjes zei de medewerker dat er iets van 50 meldingen waren binnengekomen over het herhaaldelijk bezoeken van bepaalde onveilige buitenlandse websites en dat er daarom een blokkade in werking was getreden. Mijn vriend heeft die websites niet bezocht maar hij denkt dat het misschien om software op zijn computer gaat.

Hoe dan ook, ik schrok nogal toen hij het me vertelde, omdat ik twijfel of het niet een grove schending van zijn privacy is dat 1. internet wordt geblokkeerd wegens het bezoek van bepaalde sites en 2. dat medewerkers van de woningcorporatie blijkbaar kunnen zien welke websites hij bezoekt en dit telefonisch ook nog eens met hem delen.

Is dit wettelijk toegestaan? Ik kan me voorstellen dat een een provider het internet van een klant in extreme gevallen kan blokkeren wanneer er bijv. DOS-aanvallen plaatsvinden vanaf zijn IP, maar het 50x bezoeken van 1 adres zou daar toch niet toe moeten leiden?

Dit soort acties zou je (mogen) verwachten als op je werk op school aan het internetten bent. Niet als je in je eigen huis bent. Ik kan me eigenlijk totaal niet voorstellen dat dit is toegestaan, zeker niet dat de medewerkers daadwerkelijk de websites zien die zijn bezocht. Ook al lijkt het een soort gedeelde verbinding voor het hele studentenhuis te zijn.

Neem eens contact op met Autoriteit Persoonsgegevens of BITS ofzo om een gedegen antwoord te krijgen.

MarcoC schreef op maandag 3 april 2023 @ 12:22:
Uiteraard kan de ISP zien welke IP-adressen worden benaderd over het netwerk. Als de DNS-provider van de ISP gebruikt wordt kunnen ze ook zien welke URL's er worden opgevraagd.

Logisch, en het wordt ook gelogd. Maar dat is van een totaal andere orde dan het ook daadwerkelijk (niet-anoniem) (kunnen) inzien zonder gerechtelijk bevel of wat er precies voor nodig is.

[ Voor 11% gewijzigd door Aikon op 03-04-2023 12:42 ]

[stomley]

Aikon schreef op maandag 3 april 2023 @ 12:40:
[...]

Dit soort acties zou je (mogen) verwachten als op je werk op school aan het internetten bent. Niet als je in je eigen huis bent. Ik kan me eigenlijk totaal niet voorstellen dat dit is toegestaan, zeker niet dat de medewerkers daadwerkelijk de websites zien die zijn bezocht. Ook al lijkt het een soort gedeelde verbinding voor het hele studentenhuis te zijn.

Neem eens contact op met Autoriteit Persoonsgegevens of BITS ofzo om een gedegen antwoord te krijgen.


[...]

Logisch, en het wordt ook gelogd. Maar dat is van een totaal andere orde dan het ook daadwerkelijk (niet-anoniem) (kunnen) inzien zonder gerechtelijk bevel of wat er precies voor nodig is.

Ligt er volledig aan wie de afnemer van de verbinding is. Indien ze gebruik maken van het netwerk van iemand anders mag deze persoon ook bepalen wat er wel of niet getoond wordt (veiligheid van andere gebruikers op het zelfde netwerk?).

Dit is dus niet specifiek meekijken, maar waarschijnlijk een aantal websites, buitelandse domains etc geblacklist in een guest service.

[MarcoC]

Aikon schreef op maandag 3 april 2023 @ 12:40:
[...]

Dit soort acties zou je (mogen) verwachten als op je werk op school aan het internetten bent. Niet als je in je eigen huis bent. Ik kan me eigenlijk totaal niet voorstellen dat dit is toegestaan, zeker niet dat de medewerkers daadwerkelijk de websites zien die zijn bezocht. Ook al lijkt het een soort gedeelde verbinding voor het hele studentenhuis te zijn.

Neem eens contact op met Autoriteit Persoonsgegevens of BITS ofzo om een gedegen antwoord te krijgen.


[...]

Logisch, en het wordt ook gelogd. Maar dat is van een totaal andere orde dan het ook daadwerkelijk (niet-anoniem) (kunnen) inzien zonder gerechtelijk bevel of wat er precies voor nodig is.

Er worden snel allerlei conclusies getrokken. Het kan best zijn dat de ISP een gerechtvaardigd belang heeft om misbruik van de internetverbinding te voorkomen. Er is geen gerechtelijk bevel of expliciete toestemming nodig om de continuïteit van de dienstverlevering op peil te houden.

[fopjurist]

Richtlijn 2002/58/EG stelt regels voor openbare elektronische communicatiediensten en -netwerken. Openbaar wil zeggen beschikbaar voor het publiek. SURFnet is bijvoorbeeld niet openbaar omdat er een afgebakende kring van potentiële afnemers is. Het internet in een studentenwoning is niet openbaar omdat het alleen voor huurders beschikbaar is. Dat betekent dat je niet de bescherming geniet van Richtlijn 2002/58 tegen het aftappen, afluisteren of anderszins onderscheppen of controleren van de communicatie zonder uitdrukkelijke toestemming of specifieke noodzaak (zie art. 11.2a Tw).

Wel geldt de AVG ten aanzien van het bijhouden en/of controleren van de websites die je bezoekt. Onder de AVG zijn verschillende grondslagen mogelijk waaronder die van de uitvoering van een overeenkomst en het hebben van een legitiem belang. Voor het uitvoeren van de internetovereenkomst moeten de verkeersgegevens worden verwerkt (de datapakketjes moeten immers naar de juiste bestemming worden verstuurd), maar is het niet nodig dat die gegevens worden gecontroleerd. Die grondslag kan dus niet worden gebruikt. De Woningcorporatie heeft mogelijk wel een legitiem belang. Als ik zou speculeren dan worden verkeersgegevens korte tijd bijgehouden en wordt gekeken of je computer een gevaar is voor het netwerk, bijvoorbeeld doordat verbinding is gemaakt met een botnetserver wat erop zou duiden dat je computer is besmet. Onder de AVG denk ik dat dit is toegestaan zolang de gegevens niet te lang worden bewaard en niet voor een ander doel worden gebruikt.

Tot slot geldt er in Nederland een wettelijke regeling tegen lichtvaardig afsluiten (zie art. 7.6a Tw). Deze regeling geldt ook voor netwerken die niet openbaar zijn. Bezoek aan een torrentwebsite mag er nooit toe leiden dat je wordt afgesloten. Als je computer is besmet is volledige afsluiting wel toegestaan omdat er geen lichter middel beschikbaar is dat het gevaar voor het netwerk wegneemt (zoals blokkade van uitgaand mailverkeer als je computer wordt gebruikt om spam te versturen).

Al met al zie ik dus niet direct juridische problemen, maar een en ander hangt af van welke website er is bezocht, hoelang gegevens worden bewaard, en hoe de controles worden uitgevoerd.

stomley schreef op maandag 3 april 2023 @ 12:59:
[...]

Ligt er volledig aan wie de afnemer van de verbinding is. Indien ze gebruik maken van het netwerk van iemand anders mag deze persoon ook bepalen wat er wel of niet getoond wordt (veiligheid van andere gebruikers op het zelfde netwerk?).

Iedereen op het internet maakt wel gebruik van het netwerk van iemand anders. Het gaat erom of het netwerk openbaar is.

[stomley]

nvm

[ Voor 105% gewijzigd door stomley op 03-04-2023 15:55 ]

[Joris748]

HarryHaver schreef op maandag 3 april 2023 @ 12:07:
Dag,

Een goede vriend van mij is student en huurt een studentenwoning bij een Nederlandse woningcorporatie in een studentencomplex. In zijn kamer staat een wifi-modem. Soms werkt het internet niet. Het lijkt erop dat er dan iets is geblokkeerd. Dit moet dan telefonisch worden gemeld waarna het internet weer wordt gedeblokkeerd.

Tijdens het laatste telefoontjes zei de medewerker dat er iets van 50 meldingen waren binnengekomen over het herhaaldelijk bezoeken van bepaalde onveilige buitenlandse websites en dat er daarom een blokkade in werking was getreden. Mijn vriend heeft die websites niet bezocht maar hij denkt dat het misschien om software op zijn computer gaat.

Hoe dan ook, ik schrok nogal toen hij het me vertelde, omdat ik twijfel of het niet een grove schending van zijn privacy is dat 1. internet wordt geblokkeerd wegens het bezoek van bepaalde sites en 2. dat medewerkers van de woningcorporatie blijkbaar kunnen zien welke websites hij bezoekt en dit telefonisch ook nog eens met hem delen.

Is dit wettelijk toegestaan? Ik kan me voorstellen dat een een provider het internet van een klant in extreme gevallen kan blokkeren wanneer er bijv. DOS-aanvallen plaatsvinden vanaf zijn IP, maar het 50x bezoeken van 1 adres zou daar toch niet toe moeten leiden?

Is het een modem? Of is het een acces point?
Heeft hij wel een eigen IP? Of maakt hij gebruik van een netwerk van het studentencomplex (dat zou je kunnen vergelijken met een bedrijfsnetwerk)?

Als er via de computer van die goede vriend verdachte sites bezocht worden, gaat dat via de IP van het netwerk. Dat kan dus gevolgen hebben voor het hele netwerk, niet alleen voor jouw vriend.

[Ora et Labora]

Er zijn routers met ingebouwde deep-inspection.
Eventueel wordt veelvuldig verkeer naar een malafide bestemming geblokkeerd en het apparaat dat dit verstuurd, op basis van MAC, automatisch in een quarantaine-VLAN geplaatst waardoor internet-access geblokkeerd wordt. Dat verklaard ook wat je zegt, dat je vriend moet bellen en het dan weer open gezet kan worden.
Er is dan voor de beheerder zichtbaar, welk apparaat naar malafide bestemmingen gaat en wat deze malafide bestemming is. Deze malafide bestemmingen kunnen uit een standaard security-database komen.

Ik neem aan dat je vriend gebruikt maakt van de faciliteit van de verhuurder en niet zelf een internet-abbo heeft afgesloten want KPN/Ziggo doet dit niet zomaar, een goed netwerk van een een studentencomplex, wel.

Volgens mij is dat standaard beveiliging toch?

[ Voor 15% gewijzigd door Ora et Labora op 03-04-2023 16:04 ]

[eltweako]

Ik vermoed dat er sprake is van een gezamenlijke internetverbinding die door de woningcorporatie of een door hun ingehuurde firma opgesplitst wordt.
Dergelijke constructies zijn ook gebruikelijk bij bedrijfsverzamelgebouwen waar de internetverbinding bij de huur ingegrepen zit.

Om iedereen een eigen "privé" deel te geven wordt het netwerk simpelweg opgedeeld in segmenten. Probleem is echter dat als iemand misbruik maakt van de verbinding je kans hebt dat de gehele verbinding geblokkeerd wordt.

Een oplossing die vaker toegepast wordt is om een overeenkomst met de internetprovider te sluiten dat je op netwerkniveau filtering toepast. Dit is eigenlijk in alle gevallen d.m.v. volledig automatische software. Dat kan iets eenvoudigs zijn als een commerciële firewall van bijv. Sophos die op basis van blocklists en IDS/IPS bijhoudt hoeveel overtredingen een segment maakt, te veel overtredingen en je segment wordt disabled.

De overeenkomst tussen de internetprovider is noodzakelijk omdat als hun een overtreding merken (abuse melding) dan zullen ze niet meteen je internetverbinding afsluiten maar contact opnemen met de technisch contactpersoon van de verbinding zodat deze passende maatregelen kan nemen. Voorwaarde hiervoor is dus dat je een technische oplossing tussen je verbinding plaatst.

Wat betreft het kunnen meekijken, dat beperkt zich tot hostnames omdat HTTPS verkeer versleuteld is. Wil je dat niet, dan kun je een VPN nemen, dan kan de provider of woningcorporatie niet meer zien, maar de VPN-provider die je gekozen hebt wel.
Het is even kiezen wie je het meest vertrouwt, het pakken van een VPS en daar een privé-VPN opzetten kan ook, dan moet je je VPS-provider wel vertrouwen.

[Aikon]

MarcoC schreef op maandag 3 april 2023 @ 13:22:
[...]

Er worden snel allerlei conclusies getrokken.

Goed dat je het van jezelf aangeeft Ik adviseer juist om even navraag te doen bij een autoriteit op dit gebied, want elke tweaker heeft weer z'n eigen idee hierover.

[Johnny]

eltweako schreef op maandag 3 april 2023 @ 16:13:
Wat betreft het kunnen meekijken, dat beperkt zich tot URL's omdat HTTPS verkeer versleuteld is.

De volledige URL is niet zichtbaar, enkel de hostmame/domein. Het pad, dus het deel wat daar achter komt is ook versleuteld. Dus behalve dat je op een bepaald tijdstip verbinding maakt met een bepaald domein kan er niet worden gezien via welke applicatie je dat doet of welke pagina's of bestanden je daar benaderd.

[Real]

fopjurist schreef op maandag 3 april 2023 @ 14:53:
Onder de AVG denk ik dat dit is toegestaan zolang de gegevens niet te lang worden bewaard en niet voor een ander doel worden gebruikt.

Ik denk het ook, maar er moet wellicht wel een gegevensbeschermingseffectbeoordeling (data protection impact assessment of DPIA) zijn verricht. Zie onder (13) op de website van de autoriteit persoonsgegevens:

https://autoriteitpersoon...on-impact-assessment-dpia

Verder was het denk ik beter geweest als de verhuurder de huurders zelf vooraf had geïnformeerd over de monitoring, zodat de huurders zich daarvan bewust zijn.

[markisoke]

Ik denk dat ik weet over welke partij we het hier hebben, en daar worden inderdaad meerdere manieren gebruikt om kwaadaardige software op te sporen. 1 van die manieren is, welke jij hier omschrijft is DNS logging. Daarbij word het DNS verzoek langs een lijst kwaadaardige URL's gehaald. Als deze op de lijst voorkomt zal je bij herhaaldelijk het verzoeken van deze URL's worden afgesloten, om de gebruiker te beschermen, maar ook andere gebruikers op het netwerk.

Ook worder er in het netwerk honeypots geplaatst welke in de gaten houd of gebruikres bijvoorbeeld geen port scans doen, via SSH proberen te bruteforcen of bijvoorbeeld een router niet goed aansluiten en een roque DHCP server op het netwerk creëren.

De DNS verzoeken waar het hier om gaat worden niet opgeslagen, tenzij ze voorkomen in de lijst zodat het makkelijker is uit te zoeken wat de reden is van de blokkade.