## Privacy

### Privacy en persoonsgegevens

Een groot goed in de samenleving is het recht op een privéleven, ook online. Een securityspecialist komt zeer regelmatig situaties tegen waar de wet op de privacy van toepassing is. Je kunt hierbij denken aan papier met persoonlijke informatie dat blijft liggen op de printer. Of iemand loopt weg bij zijn computer en je kunt zo de openstaande mail op zijn computer lezen. Maar ook zeer ingrijpende zaken als patiëntgegevens die op straat komen te liggen. Een voorbeeld hiervan is informatie die een medewerker van het Antoni van Leeuwenhoek (Nederlands Kanker Instituut) op een externe harde schijf had staan: 781 patiëntengegevens! In die gegevens staat de behandeling, voortgang en misschien wel prognose (hoe lang nog te leven?).

Dat de gegevens nooit op een harde schijf hadden mogen komen, blijkt uit het securitybeleid. In het krantartikel staat een zin uit het beveiligingsbeleid:

Het is medewerkers van het Antoni van Leeuwenhoek expliciet verboden om vertrouwelijke gegevens zoals patiënteninformatie op onbeveiligde computers, laptops, harde schijven of usb-sticks te zetten.

Privacy is diep in de Nederlandse samenleving verankerd. Er bestaat in Nederland niet één 'wet op de privacy' die alles regelt. Verschillende wetten bevatten allemaal een stukje van de privacywetgeving. De belangrijkste is de Wet Bescherming Persoonsgegevens (WBP). In deze wet wordt precies beschreven hoe met persoonsgegevens moet worden omgegaan. Strafbepalingen over communicatie aftappen of opnemen staan in de Wet Computercriminaliteit. Het briefgeheim is net zoals privacy vastgelegd in de Grondwet.

Een emailadres of MSN-account is ook een persoonsgegeven. Dus heeft deze wet ook gevolgen voor internetaanbieders en gebruikers. Het publiceren van persoonsgegevens van anderen op internet valt heel vaak onder de strenge regels van de WBP.

Ook beveiligingsmaatregelen moet je kunnen aantonen. Als je persoonsgegevens bewaart gelden ook daar eisen voor. De ernailadressen van sportclubleden hoeven minder streng beveiligd te worden dan bijvoorbeeld informatie over iemands strafblad in een politiedatabank. Je staat er waarschijnlijk niet bij stil, maar je IPadres is ook een persoonsgegeven, het kan direct naar jou leiden: een website mag IP-adressen wel bijhouden maar niet openbaar maken.

### Briefgeheim en privacy

De Grondwet garandeert dat 'telefoongesprekken, papieren post en telegraafberichten' geheim zijn. Het briefgeheim is niet van toepassing op vormen van elektronische communicatie, zoals email, chatten enzovoort. Hieronder zie je een aantal stellingen die te maken hebben met de wetgeving rond privacy. Lees de tekst zorgvuldig door en besluit welk antwoord jij juist vindt.

### Opdracht Privacy: de stellingen

Zijn de volgende stellingen goed of fout? Kies het juiste antwoord en weet dat er voor iedere situatie uitzonderingen kunnen zijn waarbij het antwoord complexer ligt dan hieronder beschreven.

- Als jij de beheerder (eigenaar) van een forum bent, kun je alle berichten naar eigen goeddunken verwijderen of laten staan. Het is tenslotte jouw toko, dat maak jij wel uit.
  - ​Waar. Als eigenaar van een forum ben jij verantwoordelijk voor de inhoud. jij krijgt problemen als er iets mis gaat, dus kun je dat zelf doen.
  - Niet waar. Alleen berichten die anderen kunnen schaden mag je verwijderen
- ​Als eigenaar van een bedrijf verbied je om privémail te lezen tijdens het werk. Het draagt niet bij tot de doelstelling van het bedrijf, dus het mag niet.
  - Waar. Op het werk kun je privégebruik van bedrijfsmiddelen verbieden. Het draagt niet bij tot de bedrijfsdoelstelling (winst) en daar betaal je voor.
  - Niet waar. Je hebt 'recht op privacy' op je werkplek en je mag je privézaken afhandelen.Het mag natuurlijk niet hinderlijk zijn voor anderen.
- Een technisch specialist die bij een internetprovider werkt mag absoluut niet in je mailbox kijken of je mail goed beveiligd is. Ook al is de reden dat hij jou dan informeert over mogelijke beveiligingszaken.
  - Waar. Om de functionaliteit van de systemen te verbeteren mag een specialist jouw instellingen niet nalopen.
  - Niet waar. Providers mogen alleen privéinformatie inzien met toestemming van justitie.
- Als securityspecialist heb je het recht om in het kader van het bedrijfsbelang werknemers te monitoren en hun internetgebruik te loggen. Je moet het veilig zien te houden en dat is hoe je dat doet.
  - Waar. De directie en de securityspecialist mogen besluiten om camera's te plaatsen en werknemers te monitoren. Beveiliging gaat boven de privacy van de werknemer.
  - Niet waar. Je mag niet zonder meer gaan loggen en monitoren, de privacy van de werknemer gaat boven beveiliging.

We eindigen dit hoofdstuk met een aantal tips om je privacy te beschermen. Deze lijst is afkomstig uit 'De wet op Internet' en met toestemming van de auteur overgenomen. De tips zijn algemeen van aard maar komen wel van een van de bekendste internetjuristen, Arnoud Engelfriet. Neem deze tips ter harte en houd altijd voorzichtigheid in het oog als je online bent.

###

### Hoe bewaak je je privacy op internet?

1. Besef goed wat je doet als je iets over jezelf publiceert op een forum of blog. Alles wat je schrijft, staat voor eeuwig op internet. In theorie kun je met de privacywet daar wat aan doen, maar de praktijk is anders.
2. Wees terughoudend met het invullen van naam en adresgegevens op websites. In veel gevallen heeft een site je adres en telefoonnummer nergens voor nodig.
3. Lees de privacyverklaring van een site voordat je je registreert. Als dan nog onduidelijk is wat een site gaat doen met je gegevens, vraag het ze dan eerst.
4. Gebruik een tijdelijk emailadres om je te registreren bij websites, en gebruik je 'echte' ernailadres alleen voor privécorrespondentie.
5. Let op wat voor cookies een site allemaal meestuurt. In de meeste browsers is het accepteren van cookies uit te zetten, of kan per cookie toestemming worden gegeven of geweigerd.
6. Ga ervan uit dat alles wat je op je Facebookprofiel, Linkedlnpagina, blog of homepage zet, voor de hele wereld toegankelijk is ook als je de site afschermt voor een beperkt groepje vrienden. Je weet immers nooit wat een van je vrienden met die informatie zal doen.
7. Als je iets publiceert over anderen, bijvoorbeeld een groepsfoto of een blogbericht, vraag je dan altijd af of die anderen het wel zo leuk vinden om met naam en gezicht op internet te komen.

### Tenslotte

In de komende hoofdstukken voer je een aantal opdrachten uit die (in het echte leven) of verboden zijn bij wet of op het randje balanceren van toelaatbaarheid. Je voert dit altijd uit in een gecontroleerde (meestal virtuele) omgeving. Voordat we dergelijke opdrachten uitvoeren staan we stil bij welke wetten van toepassing zijn op ons handelen. Informatie beveiligen is in heel veel gevallen de wet volgen.