Gemeente eist bankafschriften via e-mail. Privacy schending?

[G.Shumway]

Beste Tweakers,

Nav een toeslag-aanvraag wil mijn gemeente (logischerwijs) een inkomenstoets doen. Maar mijn gemeente vraagt mij om mijn rekeningafschriften VIA DE MAIL op te sturen

Het was ook een korte e-mail. Niets over a) Uploaden via-een-beveiligde-verbinding, b) Wat er met de gegevens gebeurd, c) Waar worden mijn rekeningafschriften opgeslagen, d) Wat de bewaartermijn is, e) Een Inkomensverklaring v/d Belastingdienst, etc. etc.
Uiteindelijk maar mijn rekeningafschriften uitgeprint en op de fiets weggebracht naar het gemeentehuis

Ik vind dat rekeningafschriften privacy-gevoelige informatie bevatten en niet via een onbeveiligd kanaal (want: e-mail) verstuurd zouden mogen worden.

Op de site van de Autoriteit Persoonsgegevens staat o.a.: "privacy is een grondrecht...".

Ik overweeg klachten in te dienen bij de gemeente zelf en bij de Autoriteit Persoonsgegevens, maar gezien de expertise (danwel: logische-kijk) hier op Tweakers , wilde ik eerst jullie reactie afwachten.

Wat denken jullie? Is het eisen van rekeningafschriften via e-mail een Privacy overschrijding meldenswaardig bij de AP?
(Wellicht ten overvloede; ik heb geen probleem met het inzien, wél met opsturen!)

Dankjewel voor het meedenken

[joke_name]

Ik heb hetzelfde met de gemeente hilversum.

Toen mijn vriendin zich wilde inschrijven bij mij moest ik een kopie paspoort via de mail delen.

Dit heb ik geweigerd.
Geen probleem en was gewoon geregeld.

[internet4me]

Veel bedrijven maken er inderdaad een potje van. Alsof ze nog leven in 1999
Tip. Klacht indienen, melden bij [e-mail] en autoriteit persoonsgegevens.

https://autoriteitpersoon...klacht-indienen-bij-de-ap

[ Voor 31% gewijzigd door internet4me op 12-02-2024 13:16 ]

[jack zomer]

G.Shumway schreef op maandag 12 februari 2024 @ 13:02:

Uiteindelijk maar mijn rekeningafschriften uitgeprint en op de fiets weggebracht naar het gemeentehuis

G.Shumway schreef op maandag 12 februari 2024 @ 13:02:
Niets over a) Uploaden via-een-beveiligde-verbinding, b) Wat er met de gegevens gebeurd, c) Waar worden mijn rekeningafschriften opgeslagen, d) Wat de bewaartermijn is, e) Een Inkomensverklaring v/d Belastingdienst, etc. etc.

en heb je toen antwoord gehad op de bovenstaande vragen?
persoonlijk had ik het ook niet via mail gedaan, dus persoonlijk langs gebracht,
Maar alleen bij een antwoord op de bovenstaande vragen.
Nu heb je enkel 1 schakel van het probleem ontlopen.

[GarBaGe]

Helemaal eens met @G.Shumway .
Mijn gemeente (Den Haag) doet dit niet.
Vrijwel alles gaat via hun website, welke achter DigiD zit.
Ook het uploaden van attachments bij aanvragen.
Maar... gevoelige data over email is voor mij ook een grote no-no.

Sommige zorgverleners gebruik Zivver om beveiligde email naar mij te sturen, maar dit is maar 1 kant op.
Ik mag niet via hun Zivver een beveiligde email terug sturen.

[cedras]

Heb je ter plekke ook gevraagd wat er met de papieren versie gedaan wordt? Of denk je dat je papiertje niet gedigitaliseerd wordt en niet opgeslagen wordt in de systemen? Heb je het aan de betreffende ambtenaar afgegeven of gewoon bij een balie waar het zomaar kan verdwijnen in de grote massa?

[aljooge]

Offtopic. Je leest de vraag niet

[ Voor 81% gewijzigd door Outerspace op 12-02-2024 22:08 ]

[leejoow]

aljooge schreef op maandag 12 februari 2024 @ 15:16:
<knip>

Zeker terecht, maar wel op een correcte manier wat betreft privacy

[ Voor 183% gewijzigd door Outerspace op 12-02-2024 22:09 ]

[CH4OS]

aljooge schreef op maandag 12 februari 2024 @ 15:16:
<knip>

Al is het niet voor de bijstand, dan nog dient de gemeente een veilige manier te gebruiken om gegevens binnen te krijgen (privacy gevoelig of niet!), een e-mail is niet veilig.

[ Voor 15% gewijzigd door Outerspace op 12-02-2024 22:09 ]

[sh4d0wman]

Hetzelfde bij de Rabobank, zowel een jaar geleden als begin dit jaar. De eerste was de KYC afdeling.... die werken met erg vertrouwelijke gegevens

Heb het toen versleuteld toegezonden (en het wachtwoord oob gegeven) Men zegt wel met een portal bezig te zijn maar deze is er na een jaar dus nog niet.

[The Eagle]

Zeker bij een gemeente is err gewoon beleid en tooling voor het delen van gevoelige gegevens over en weer. Deze sneer mag achterwege blijven je kunt daar gewoon om vragen en ze zullen dat ongetwijfeld hebben.

[ Voor 20% gewijzigd door ZieMaar! op 13-02-2024 20:15 ]

[President]

G.Shumway schreef op maandag 12 februari 2024 @ 13:02:
Ik overweeg klachten in te dienen bij de gemeente zelf en bij de Autoriteit Persoonsgegevens, maar gezien de expertise (danwel: logische-kijk) hier op Tweakers , wilde ik eerst jullie reactie afwachten.

Wat denken jullie? Is het eisen van rekeningafschriften via e-mail een Privacy overschrijding meldenswaardig bij de AP?
(Wellicht ten overvloede; ik heb geen probleem met het inzien, wél met opsturen!)

Dankjewel voor het meedenken

Klacht bij gemeente indienen: helemaal prima

Klacht bij de AP: waarom in vredesnaam? Spendeer je tijd aan nuttige dingen, vooral omdat je de gemeente nu al op de hoogte gaat brengen. Doen ze het over een jaar nog steeds op deze manier dan kan je wel een melding doen.

Overigens eisen ze niks, want je mocht ook gewoon langs gaan...

[5pë©ïàál_Tèkén]

Als fysiek post stuk opsturen ter attentie van de persoon/afdeling waar je mee in gesprek bent. Je kan het poststuk ook aan de balie afgeven en ter plekke een ontvangstbevestiging vragen.
Je kan de afschriften ook comprimeren, er een wachtwoord op zetten en erbij vermelden dat het wachtwoord je geboortedatum is (01-01-2000).

Het is niet ideaal maar er valt eem mouw aan te passen.

[aljooge]

leejoow schreef op maandag 12 februari 2024 @ 15:19:
[...]


Zeker terecht, maar wel op een correcte manier wat betreft privacy

Er is geen correcte manier met privacy. Iemand zal op een manier moeten checken of er extra inkomsten zijn gegenereerd. Wanneer je bijstand aanvraagt hoort daarbij dat je toestemming geeft inzage te verlenen in je financiële boekhouding.

Anders zou iedereen een uitkering kunnen aanvragen en wat bij kunnen verdienen zonder dat er enige controle meer mogelijk is vanwege de avg.

[President]

aljooge schreef op maandag 12 februari 2024 @ 16:47:
[...]

Er is geen correcte manier met privacy. Iemand zal op een manier moeten checken of er extra inkomsten zijn gegenereerd. Wanneer je bijstand aanvraagt hoort daarbij dat je toestemming geeft inzage te verlenen in je financiële boekhouding.

Anders zou iedereen een uitkering kunnen aanvragen en wat bij kunnen verdienen zonder dat er enige controle meer mogelijk is vanwege de avg.

Iedereen vindt het prima dat de gemeente de gegevens wil inkijken, ook TS zelf meldt dit.

Probleem is alleen dat de gemeente geen beveiligde omgeving heeft om deze gegevens te uploaden, daar zijn de bezwaren tegen :-)

[ybos]

cedras schreef op maandag 12 februari 2024 @ 14:57:
Heb je ter plekke ook gevraagd wat er met de papieren versie gedaan wordt? Of denk je dat je papiertje niet gedigitaliseerd wordt en niet opgeslagen wordt in de systemen? Heb je het aan de betreffende ambtenaar afgegeven of gewoon bij een balie waar het zomaar kan verdwijnen in de grote massa?

Dit, nu gaat het zo:

"Die kerel is echt raar, komt helemaal zn afschriften op de fiets hierheen brengen"
*jagen je afschriften door de scanner en mailen het naar het emailadres waar jij het ook naartoe had moeten mailen

[Ernemmer]

G.Shumway schreef op maandag 12 februari 2024 @ 13:02:
Beste Tweakers,

Nav een toeslag-aanvraag wil mijn gemeente (logischerwijs) een inkomenstoets doen. Maar mijn gemeente vraagt mij om mijn rekeningafschriften VIA DE MAIL op te sturen

Het was ook een korte e-mail. Niets over a) Uploaden via-een-beveiligde-verbinding, b) Wat er met de gegevens gebeurd, c) Waar worden mijn rekeningafschriften opgeslagen, d) Wat de bewaartermijn is, e) Een Inkomensverklaring v/d Belastingdienst, etc. etc.
Uiteindelijk maar mijn rekeningafschriften uitgeprint en op de fiets weggebracht naar het gemeentehuis

Ik vind dat rekeningafschriften privacy-gevoelige informatie bevatten en niet via een onbeveiligd kanaal (want: e-mail) verstuurd zouden mogen worden.

Op de site van de Autoriteit Persoonsgegevens staat o.a.: "privacy is een grondrecht...".

Ik overweeg klachten in te dienen bij de gemeente zelf en bij de Autoriteit Persoonsgegevens, maar gezien de expertise (danwel: logische-kijk) hier op Tweakers , wilde ik eerst jullie reactie afwachten.

Wat denken jullie? Is het eisen van rekeningafschriften via e-mail een Privacy overschrijding meldenswaardig bij de AP?
(Wellicht ten overvloede; ik heb geen probleem met het inzien, wél met opsturen!)

Dankjewel voor het meedenken

En nu worden die gegevens door een stagiair ingescand op een USB stick en het papieren exemplaar in de vuilnisbak gegooid. Geen idee wat er veiliger is.

[Yaksa]

Lijkt mij redelijk normaal bij het aanvragen van bepaalde toeslagen.
Immers, sommige toeslagen zijn vermogensgebonden, dan zul je de gemeente inzage moeten geven wat er aan inkomen binnenkomt en wat er op je bankrekening(en) staat.
Wel enigszins vreemd om dat via de mail te doen, in mijn gemeente wordt gevraagd om kopieën in een envelop gericht aan de desbetreffende afdeling/persoon die de zaak behandeld.

[Honesty]

Hier kan je hét in het gemeentehuis scannen en uploaden

[99ruud99]

Vraag binnen de gemeente even naar de privacy officer, die kan je uitleggen wat de mogelijkheden zijn.
En anders vraag om de ensia van mail.

[ Voor 16% gewijzigd door 99ruud99 op 12-02-2024 18:22 ]

[psychodude]

Wat je bij gebrek aan beveiliging bij de ontvanger kan doen is een secure email met expiration versturen. Additioneel te overwegen om het bestand niet als attachment te leveren, maar een link met expiration via bijvoorbeeld Proton en eventueel beveiligd met wachtwoord waarbij een voor de gemeente te realiseren antwoord niet in de e-mail meegegeven hoeft te worden, e.g. straat van woonadres.

Hoe je het ook aanlevert, je hebt uiteindelijk nul controle over hoe er vervolgens met de informatie wordt omgegaan. Een watermerk toevoegen is dan ook iets dat ik persoonlijk bij alle persoonlijke informatie doe. Maakt één en ander minder eenvoudig herbruikbaar.

[NicoHF]

GarBaGe schreef op maandag 12 februari 2024 @ 13:24:
Helemaal eens met @G.Shumway .
Mijn gemeente (Den Haag) doet dit niet.
Vrijwel alles gaat via hun website, welke achter DigiD zit.
Ook het uploaden van attachments bij aanvragen.
Maar... gevoelige data over email is voor mij ook een grote no-no.

Sommige zorgverleners gebruik Zivver om beveiligde email naar mij te sturen, maar dit is maar 1 kant op.
Ik mag niet via hun Zivver een beveiligde email terug sturen.

Als het goed is zit er gewoon reageer knop bij Zivver.
Ik kan gewoon terug reageren, ik werk er regelmatig mee.

Nou weet ik niet of sommige kennelijk restricties hebben, maar ik zelf kan terug reageren en ook bijlages toevoegen.

[sOid]

Ik ben CISO bij een gemeente en zie eigenlijk 3 smaken voorbij komen voor dit soort dingen.

1. Aanleveren via onbeveiligde mail: is inderdaad absoluut niet de bedoeling. Helaas gebeurt het wel 'want makkelijk' en zien afdelingen de risico's niet.
2. Een tool als Zivver: werkt goed, ook voor grote bestanden (ik geloof tot een GB of 50) maar is qua gebruiksgemak voor de ontvangende partij niet bijzonder praktisch. Vooral minder digivaardige mensen kunnen hiermee niet uit de voeten.
3. Een 'mijn' omgeving, zoals je bijvoorbeeld ook van mijn.overheid.nl kent: werkt in principe prima (uiteraard met TLS encryptie enzo) maar is ook minder gebruiksvriendelijk dan gewoon mailen.

Daarnaast weet ik dat er veel mensen zijn die automatisch allemaal privacygevoelige informatie meesturen via de mail, maar bijvoorbeeld ook via webcarekanalen (waar ik WhatsApp ook onder reken).

Dus @G.Shumway je hebt absoluut gelijk hier een punt van te maken en fysiek inleveren is inderdaad de juiste keuze. Wat je mijns inziens het beste kan doen: contact opnemen met de afdeling informatiebeveiliging daar. Bijvoorbeeld via een vragenformulier op de website of kijken of je contactgegevens kan vinden op een CVD/responsible disclosure pagina (heet vaak iets als 'Kwetsbaarheid melden'). Als er een beetje serieus informatiebeveiligingsteam zit, dan zullen ze heel blij zijn met je signaal. Het geeft hun weer munitie om de betreffende manager aan te spreken.

[sOid]

joke_name schreef op maandag 12 februari 2024 @ 13:14:
Ik heb hetzelfde met de gemeente hilversum.

Toen mijn vriendin zich wilde inschrijven bij mij moest ik een kopie paspoort via de mail delen.

Dit heb ik geweigerd.
Geen probleem en was gewoon geregeld.

Hoe lang is dit geleden? Ik spreek de gegevensbeveiligers van Hilversum regelmatig en als dit recent is zal ik het aan ze doorgeven.

[sOid]

99ruud99 schreef op maandag 12 februari 2024 @ 18:21:
Vraag binnen de gemeente even naar de privacy officer, die kan je uitleggen wat de mogelijkheden zijn.
En anders vraag om de ensia van mail.

ENSIA heeft niets te maken met e-mail. Dat gaat, plat gezegd, over DigiD-aansluitingen en Suwinet.

Daarnaast weet een PO vaak (te) weinig over de mogelijkheden. Je kan beter naar een CISO of ISO vragen. Maar in alle eerlijkheid moet dat niet nodig zijn; een burgerzakenmedewerker of medewerker sociale dienst moet voldoende getraind zijn om de veilige opties te kennen.

[ Voor 8% gewijzigd door sOid op 12-02-2024 20:03 ]

[Kurkentrekker]

Toen ik ging trouwen moest ik ook onze paspoorten inclusief die van de getuigen mailen naar ‘[e-mail]’. Dus ook nog een gedeelde mailbox. Compleet niet van deze tijd.

Maar nu gaat het om rekeningafschriften. Ook niet ok, maar wees eerlijk: wat staat daar op waar een kwaadwillende iets mee kan? Je rekeningnummer? Kun je weinig mee. Je naam? Als ze je mail kunnen onderscheppen dan weten ze ook wel hoe je heet. Hoeveel geld je hebt? Met alle respect, maar als je een toeslag aanvraagt dan kan het dus niet heel veel zijn, in ieder geval niet genoeg om de hoogte ervan geheim te willen houden voor een oplichter.

Soms moet je ook een beetje pragmatisch zijn. Blur even de gegevens die je echt niet wil delen en niet relevant zijn, en stuur het gewoon op. Ja, bij die gemeente weten ze heus wel dat ze een beveiligde mijn-omgeving met DigiD moeten optuigen maar ja, dat kost geld en gemeente hebben dat niet sinds ze gefuckt zijn door het rijk, dus tsja, wat ga je doen? Klagen bij de AP leidt er wellicht toe dat er na een beetje druk alsnog geld naar zo’n project gaat, en dat gaat dan weer niet naar andere dingen. Of jouw gemeentelijke belastingen gaan gewoon weer wat omhoog, want digitalisering is duur en bleek tegen te vallen.

Overigens, los daarvan, waarom moet elke gemeente, van Amsterdam tot KleinDorp, dit helemaal zelf regelen? Waarom stellen we als rijk dat niet beschikbaar? Hier heb je een gratis website met alle basis dienstverlening waar jij aan moet voldoen en hier kun je je logo en een sfeerfoto van jouw dorpsplein uploaden. Joehoe!

[joke_name]

sOid schreef op maandag 12 februari 2024 @ 19:57:
[...]

Hoe lang is dit geleden? Ik spreek de gegevensbeveiligers van Hilversum regelmatig en als dit recent is zal ik het aan ze doorgeven.

Dit is 2,5 jaar geleden.

[sOid]

Kurkentrekker schreef op maandag 12 februari 2024 @ 20:06:


Overigens, los daarvan, waarom moet elke gemeente, van Amsterdam tot KleinDorp, dit helemaal zelf regelen? Waarom stellen we als rijk dat niet beschikbaar? Hier heb je een gratis website met alle basis dienstverlening waar jij aan moet voldoen en hier kun je je logo en een sfeerfoto van jouw dorpsplein uploaden. Joehoe!

Op een bepaalde manier wordt daar op Europees niveau wel aan gewerkt, in de vorm van Single Digital Gateway. Daarnaast is er de Gemeentelijke Model Architectuur (GEMMA). Maar dat is absoluut niet zaligmakend. Eén website voor 'basisdienstverlening' is dat ook niet. Hoewel veel processen (wettelijk) zijn gestandaardiseerd, zijn er ook genoeg verschillen tussen gemeenten in de uitvoering en lokale verordeningen.

Waar ik wél heil zie: dat we voor basisdienstverlening (paspoort aanvragen, uitkering, heffen belastingen etc) vanuit de VNG/Rijksoverheid een goed systeem krijgen die voldoet aan alle relevante normenkaders. Het is bezopen dat we 1 keer per X jaar een aanbesteding moeten doen voor dit soort systemen, terwijl er maar een paar leveranciers zijn die dit soort producten leveren. Dat kost klauwen vol geld, ook qua mensuren voor zo'n aanbesteding en bij de implementatie.

[sOid]

joke_name schreef op maandag 12 februari 2024 @ 20:09:
[...]


Dit is 2,5 jaar geleden.

Ik ga het doorgeven. Namens hun alvast bedankt!

Toevallig woon ik zelf ook in Hilversum (nee, ik werk hier niet ) sinds 2018 en ik kon 't gewoon allemaal op een veilige manier doen. Heb ook helemaal geen kopie van paspoort moeten aanleveren. Ging via DigiD.

Komt je vriendin toevallig uit het buitenland waardoor ze geen DigiD had?

[eamelink]

Email hoeft niet onveilig te zijn. Als je gemeente MTA-STS aanbiedt kan je email daar beveiligd afleveren. Wat er daarna gebeurt weet je natuurlijk niet.

Het lijkt me niet teveel gevraagd als je gemeente in ieder geval uitlegt hoe ze jouw gegevens beschermen.

[Kurkentrekker]

sOid schreef op maandag 12 februari 2024 @ 20:24:
[...]

Op een bepaalde manier wordt daar op Europees niveau wel aan gewerkt, in de vorm van Single Digital Gateway. Daarnaast is er de Gemeentelijke Model Architectuur (GEMMA). Maar dat is absoluut niet zaligmakend. Eén website voor 'basisdienstverlening' is dat ook niet. Hoewel veel processen (wettelijk) zijn gestandaardiseerd, zijn er ook genoeg verschillen tussen gemeenten in de uitvoering en lokale verordeningen.

Waar ik wél heil zie: dat we voor basisdienstverlening (paspoort aanvragen, uitkering, heffen belastingen etc) vanuit de VNG/Rijksoverheid een goed systeem krijgen die voldoet aan alle relevante normenkaders. Het is bezopen dat we 1 keer per X jaar een aanbesteding moeten doen voor dit soort systemen, terwijl er maar een paar leveranciers zijn die dit soort producten leveren. Dat kost klauwen vol geld, ook qua mensuren voor zo'n aanbesteding en bij de implementatie.

Natuurlijk, de waarheid ligt veel genuanceerder dan ik voorstelde, maar als burger maak ik me er wel kwaad om dat er 342 gemeenten zijn die 342 keer het wiel moeten uitvinden op bepaalde ICT aspecten. Als rijksambtenaar met toch wel enige kennis op dit vlak denk ik dan weer: mwoah, ik weet niet of één oplossing van bovenaf nu echt gaat helpen, maar ergens kan ik het gevoel niet onderdrukken dat het slimmer kan. Je ziet het aan de communicatie via mijn.overheid, daar kunnen gemeenten gewoon aansluiten. Waarom is dat eenweg? Stukken veilig terugsturen via datzelfde portaal is technisch toch niet heel ingewikkeld? Wel voor gemeente Madurodam, maar niet voor de Rijksoverheid met dito budget.

[joke_name]

sOid schreef op maandag 12 februari 2024 @ 20:29:
[...]

Ik ga het doorgeven. Namens hun alvast bedankt!

Toevallig woon ik zelf ook in Hilversum (nee, ik werk hier niet ) sinds 2018 en ik kon 't gewoon allemaal op een veilige manier doen. Heb ook helemaal geen kopie van paspoort moeten aanleveren. Ging via DigiD.

Komt je vriendin toevallig uit het buitenland waardoor ze geen DigiD had?

Nee, was een andere situatie.
Voor mij ging het ook gewoon via DigiD.
Ze komt verder niet uit het buitenland.

Ik heb je de situatie even via een PB gedeeld inclusief de namen van de formulieren.

[Royeboi]

Als je een e-mail verstuurd naar een ontvanger, hoe kan dit dan worden onderschept door anderen? Per e-mail is toch niet per definitie onbeveiligd en/of openbaar?

[marcelcee]

Royeboi schreef op maandag 12 februari 2024 @ 23:51:
Als je een e-mail verstuurd naar een ontvanger, hoe kan dit dan worden onderschept door anderen? Per e-mail is toch niet per definitie onbeveiligd en/of openbaar?

Kweenie, maar leeg jij je sent-box na elk mailtje? Ik niet en dan is de informatie maar 1 wachtwoord buiten bereik van iedereen.

[Nadinarama]

GarBaGe schreef op maandag 12 februari 2024 @ 13:24:
Helemaal eens met @G.Shumway .
Mijn gemeente (Den Haag) doet dit niet.
Vrijwel alles gaat via hun website, welke achter DigiD zit.
Ook het uploaden van attachments bij aanvragen.
Maar... gevoelige data over email is voor mij ook een grote no-no.

Sommige zorgverleners gebruik Zivver om beveiligde email naar mij te sturen, maar dit is maar 1 kant op.
Ik mag niet via hun Zivver een beveiligde email terug sturen.

Toevallig onlangs nog uit mijn plaat gegaan richting Gemeente Den Haag, voor een soortgelijk geval als TS. Alleen stuurde zij mijn hele levenswandel via email.

Er gaat nog teveel mis. Juist voor alles wat via email gaat in plaats van het online portaal. En het is goed om te melden en alert te blijven.

'De meest voorkomende oorzaken van datalekken in de gemeente Den Haag zijn dat persoonlijke informatie via de mail naar een verkeerde externe ontvanger gestuurd wordt'

[tuinïnen]

Nadinarama schreef op dinsdag 13 februari 2024 @ 06:23:
[...]


Toevallig onlangs nog uit mijn plaat gegaan richting Gemeente Den Haag, voor een soortgelijk geval als TS. Alleen stuurde zij mijn hele levenswandel via email.

Is dat niet heel veel verspilde energie om niets?

Je zou het constructief kunnen terugkoppelen naar personen die er verstand van hebben en invloed hebben op het beleid.

Zelf begrijp ik dat het beter kan, maar hier wordt het wel als een enorm vergrijp gezien als er alleen maar om gevraagd wordt. Bij alle gemeenten waar ik contact mee heb kan je het ook aan de balie afgeven of opsturen eventueel per aangetekende post. Legio alternatieven.

[NicoHF]

tuinïnen schreef op dinsdag 13 februari 2024 @ 08:30:
[...]


Is dat niet heel veel verspilde energie om niets?

Je zou het constructief kunnen terugkoppelen naar personen die er verstand van hebben en invloed hebben op het beleid.

Zelf begrijp ik dat het beter kan, maar hier wordt het wel als een enorm vergrijp gezien als er alleen maar om gevraagd wordt. Bij alle gemeenten waar ik contact mee heb kan je het ook aan de balie afgeven of opsturen eventueel per aangetekende post. Legio alternatieven.

Juist voor overheid instelling mag de normale burger verwachten dat de data op een veilige manier wordt opgevraagd.
Als de gemeente het vraagt om het per email toe te sturen dan mag een burger er vanuit gaan dat het de veilige manier is, wat dus helaas niet zo is.
De gemeente faalt hier in.

Je kan niet verwachten dat een normale burger weet wat veilig en onveilig kan zijn onwillen van de privacy.
Wij hier op Tweakers weten dat wel maar het grootste gedeelde heeft daar geen enkele verstand van.

[Nadinarama]

tuinïnen schreef op dinsdag 13 februari 2024 @ 08:30:
[...]


Is dat niet heel veel verspilde energie om niets?

Je zou het constructief kunnen terugkoppelen naar personen die er verstand van hebben en invloed hebben op het beleid.

Zelf begrijp ik dat het beter kan, maar hier wordt het wel als een enorm vergrijp gezien als er alleen maar om gevraagd wordt. Bij alle gemeenten waar ik contact mee heb kan je het ook aan de balie afgeven of opsturen eventueel per aangetekende post. Legio alternatieven.

Ik heb niet gescholden, hoor. Het is geen verspilde energie. Ik heb het constructief teruggekoppeld en onderdelen van ISO27001 laten vallen en de impact van hun nalatigheid duidelijk gemaakt.

Het gaat niet alleen om mijn geval, maar om alle soortgelijke scenario's (circa 130K woningen) Het was geen vraag van hun kant, maar wat zij mij met email toestuurde, ipv het beveiligde portaal te gebruiken.

Sorry als ik wat ferm klink, maar er gaat gewoon net te vaak iets verkeerd en zie graag dat bescherming van persoonsgegevens serieuzer genomen wordt.

[Thom2289]

The Eagle schreef op maandag 12 februari 2024 @ 15:40:
Zeker bij een gemeente is err gewoon beleid en tooling voor het delen van gevoelige gegevens over en weer. Ik snap dat een ambtenaar meestal niet het meest helder lampje is in dat aspect, maar je kunt daar gewoon om vragen en ze zullen dat ongetwijfeld hebben.

Mag ik even vragen of je niet zo denigrerend wil doen? Het ligt er nogal behoorlijk aan of een gemeente wel de juiste voorzieningen heeft getroffen voor wat betreft veilig kunnen verzenden. Vaak is het voor een ambtenaar roeien met de riemen die ze hebben. Dat er vanuit beleid onvoldoende aandacht is voor dit aspect, is niet aan een ambtenaar te wijten. Zij volgen gewoon de werkinstructies op. Bij de gemeente waar ik werk zijn er pas 3 jaar geleden voldoende tools verstrekt om veilig te kunnen versturen. Tot die tijd was het echt knoeien om het zo veilig mogelijk te kunnen doen.

[NicoHF]

Thom2289 schreef op dinsdag 13 februari 2024 @ 18:46:
[...]

Mag ik even vragen of je niet zo denigrerend wil doen? Het ligt er nogal behoorlijk aan of een gemeente wel de juiste voorzieningen heeft getroffen voor wat betreft veilig kunnen verzenden. Vaak is het voor een ambtenaar roeien met de riemen die ze hebben. Dat er vanuit beleid onvoldoende aandacht is voor dit aspect, is niet aan een ambtenaar te wijten. Zij volgen gewoon de werkinstructies op. Bij de gemeente waar ik werk zijn er pas 3 jaar geleden voldoende tools verstrekt om veilig te kunnen versturen. Tot die tijd was het echt knoeien om het zo veilig mogelijk te kunnen doen.

Idd de medewerkers die dit doen zijn ook alleen maar uitvoerders van beleid en hebben meestal niet zoveel invloed op dat beleid.

[StevenK]

G.Shumway schreef op maandag 12 februari 2024 @ 13:02:
Beste Tweakers,

Nav een toeslag-aanvraag wil mijn gemeente (logischerwijs) een inkomenstoets doen. Maar mijn gemeente vraagt mij om mijn rekeningafschriften VIA DE MAIL op te sturen

Het was ook een korte e-mail. Niets over a) Uploaden via-een-beveiligde-verbinding, b) Wat er met de gegevens gebeurd, c) Waar worden mijn rekeningafschriften opgeslagen, d) Wat de bewaartermijn is, e) Een Inkomensverklaring v/d Belastingdienst, etc. etc.
Uiteindelijk maar mijn rekeningafschriften uitgeprint en op de fiets weggebracht naar het gemeentehuis

Ik vind dat rekeningafschriften privacy-gevoelige informatie bevatten en niet via een onbeveiligd kanaal (want: e-mail) verstuurd zouden mogen worden.

Op de site van de Autoriteit Persoonsgegevens staat o.a.: "privacy is een grondrecht...".

Ik overweeg klachten in te dienen bij de gemeente zelf en bij de Autoriteit Persoonsgegevens, maar gezien de expertise (danwel: logische-kijk) hier op Tweakers , wilde ik eerst jullie reactie afwachten.

Wat denken jullie? Is het eisen van rekeningafschriften via e-mail een Privacy overschrijding meldenswaardig bij de AP?
(Wellicht ten overvloede; ik heb geen probleem met het inzien, wél met opsturen!)

Dankjewel voor het meedenken

Pfff. Je hebt toch niets via e-mail gedeeld, dus er iets niets geschonden. Niet zo hoog van de toren blazen, contact opnemen en vragen om een veilig kanaal om die gegevens te verstrekken.

[G.Shumway]

Op jullie advies contact gezocht met de Functionaris Gegevensbescherming (fg@<gemeente>.nl).
Wat al snel resulteerde in oa dit schrijven van de FG:

Als de gemeente (per mail) gegevens opvragen bij de burger dan dient het aanleveren daarvan middels Veilig Mailen te gaan; dit is inmiddels nogmaals onder de aandacht gebracht bij de betreffende medewerker alsook het gehele team Aanvragen.
Dank voor uw opmerkzaamheid, het is voor ons een kans om blijvend de bescherming van persoonsgegevens op niveau te houden.

Dat "Veilig Mailen" blijkt een online toepassing te zijn genaamd "Zivver".

Blijkbaar had de FG het team snel bezocht, want vanmorgen viel mijn mond open van verbazing toen ik via "Veilig Mailen" een bericht kreeg; mijn toeslag-aanvraag was opeens goedgekeurd. Geen "Sorry", geen "Uw bezorgde rekeningafschriften waren wel/niet voldoende", geen "De later gevraagde bewijsstukken hoeven ook niet meer", alleen de goedkeuring

Ik heb er een vreemd gevoel aan overgehouden; net alsof de plotselinge goedkeuring dient om geen contact meer te hoeven met een kritische burger. Of zou ik gepaaid worden in de hoop dat ik geen klacht ga indienen bij de Autoriteit Persoonsgegevens

Allen bedankt voor het meedenken

[NicoHF]

G.Shumway schreef op vrijdag 16 februari 2024 @ 17:24:
Op jullie advies contact gezocht met de Functionaris Gegevensbescherming (fg@<gemeente>.nl).
Wat al snel resulteerde in oa dit schrijven van de FG:


[...]


Dat "Veilig Mailen" blijkt een online toepassing te zijn genaamd "Zivver".

Blijkbaar had de FG het team snel bezocht, want vanmorgen viel mijn mond open van verbazing toen ik via "Veilig Mailen" een bericht kreeg; mijn toeslag-aanvraag was opeens goedgekeurd. Geen "Sorry", geen "Uw bezorgde rekeningafschriften waren wel/niet voldoende", geen "De later gevraagde bewijsstukken hoeven ook niet meer", alleen de goedkeuring

Ik heb er een vreemd gevoel aan overgehouden; net alsof de plotselinge goedkeuring dient om geen contact meer te hoeven met een kritische burger. Of zou ik gepaaid worden in de hoop dat ik geen klacht ga indienen bij de Autoriteit Persoonsgegevens

Allen bedankt voor het meedenken

Goed dat je contact opgenomen had.
Gelukkig is het bij jou gemeente kennelijk wel op orde maar zijn de medewerkers niet goed op de hoogte.
Vind ik eigenlijk wel een kwalijke zaak, hopelijk pakken ze dit hoog op.

[Duinkonijn]

Royeboi schreef op maandag 12 februari 2024 @ 23:51:
Als je een e-mail verstuurd naar een ontvanger, hoe kan dit dan worden onderschept door anderen? Per e-mail is toch niet per definitie onbeveiligd en/of openbaar?

offtopic:
SMTP verkeer is in de basis niet gecodeerd e.d. en kan gewoon afgetapt worden.
Als iemand op je wlan zit, kan dit vrij eenvoudig worden afgeluisterd Wikipedia: Simple Mail Transfer Protocol

[cedras]

G.Shumway schreef op vrijdag 16 februari 2024 @ 17:24:
Op jullie advies contact gezocht met de Functionaris Gegevensbescherming (fg@<gemeente>.nl).
Wat al snel resulteerde in oa dit schrijven van de FG:


[...]


Dat "Veilig Mailen" blijkt een online toepassing te zijn genaamd "Zivver".

Blijkbaar had de FG het team snel bezocht, want vanmorgen viel mijn mond open van verbazing toen ik via "Veilig Mailen" een bericht kreeg; mijn toeslag-aanvraag was opeens goedgekeurd. Geen "Sorry", geen "Uw bezorgde rekeningafschriften waren wel/niet voldoende", geen "De later gevraagde bewijsstukken hoeven ook niet meer", alleen de goedkeuring

Ik heb er een vreemd gevoel aan overgehouden; net alsof de plotselinge goedkeuring dient om geen contact meer te hoeven met een kritische burger. Of zou ik gepaaid worden in de hoop dat ik geen klacht ga indienen bij de Autoriteit Persoonsgegevens

Allen bedankt voor het meedenken

Sluit gewoon positief af met de gedachte dat je uiteindelijk goed gehandeld hebt. Laat die negatieve/cynische gedachtegang achterwege. De betreffende afdeling is weer op scherp gesteld. Een mooi resultaat.

[laurens0619]

Duinkonijn schreef op vrijdag 16 februari 2024 @ 20:31:
[...]

offtopic:
SMTP verkeer is in de basis niet gecodeerd e.d. en kan gewoon afgetapt worden.
Als iemand op je wlan zit, kan dit vrij eenvoudig worden afgeluisterd Wikipedia: Simple Mail Transfer Protocol

HTTP verkeer is in de basis ook niet gecodeerd en kan gewoon afgetapt worden.
In de praktijk is het meeste https net bij email het meeste TLS doet. Een mitm aanval bij email verkeer komt dus niet zoveel voor. Hacks op email boxen wel.

Dat komt niet zozeer door het protocol maar wel omdat het een heel interessant doelwit is en er vaak bakken met informatie heel eenvoudig in gevonden kan worden.

+ mail toegang geeft je vaak eindeloze mogelijkheden om op andere portals in te loggen dmv password/mfa resets...

[thoma-s]

Je kan het wel via mail versturen! Echter is dit aan te raden om niet via Gmail te doen, maar via een beveiligd provider als StartMail. Ik gebruik het ook en je kan mails versleutelen waardoor deze niet kan worden getackeld door overheden of andere partijen. Scheelt je weer een fietstocht de volgende keer

[Boudewijn]

thoma-s schreef op maandag 24 februari 2025 @ 17:00:
Je kan het wel via mail versturen! Echter is dit aan te raden om niet via Gmail te doen, maar via een beveiligd provider als StartMail. Ik gebruik het ook en je kan mails versleutelen waardoor deze niet kan worden getackeld door overheden of andere partijen. Scheelt je weer een fietstocht de volgende keer

Je reanimeert een topic van een jaar oud om een link te pliggen. Waarom doet startmail dit beter? Dat is een claim die je best even mag funderen.

Gmail is prima veilig als je accepteert dat google (en dus de vs overheid) bij je data kan.

[Zr40]

Modbreak:

Hier hoeft geen jaar oud topic voor gekicked te worden.