Nieuws
Verzekeraar Duinzicht verwerkte persoonsgegevens zonder grondslag
Illustratie bij dit bericht.
Verzekeraar Duinzicht heeft persoonsgegevens verwerkt zonder dat daarvoor een geldige grondslag bestond, zo blijkt uit onderzoek van het Nationaal Cyberbureau.
Er was geen toestemming gevraagd en een beroep op gerechtvaardigd belang ging volgens de toezichthouder niet op.
Gevolgen voor gebruikers
Bij herhaling kan een dwangsom worden opgelegd.
De organisatie moet de verwerking staken en betrokkenen informeren over wat er is gebeurd.
11 reacties
Gerechtvaardigd belang wordt gebruikt als toverformule voor alles.
Eens, met een kanttekening: In een kleine omgeving lukt dat prima, met duizend werkplekken wordt het een ander verhaal.
Het probleem is niet de techniek maar het beheer. Als niemand eigenaar is van een systeem, patcht ook niemand het.
Het is te makkelijk om de beheerder de schuld te geven. Als je geen budget en geen tijd krijgt, gebeurt het gewoon niet.
Voor wie het zoekt: de release notes staan onder het versienummer van vorige week, niet onder de securitypagina. Slordig.
Vraag me af of de AVG hier ook een rol speelt. Er zijn duidelijk persoonsgegevens mee gemoeid.
Wat ik hier mis is een fatsoenlijke risicoanalyse. Nu is het weer paniek op basis van één score.
Dat is te kort door de bocht. In een kleine omgeving lukt dat prima, met duizend werkplekken wordt het een ander verhaal.
Bij ons stond dit systeem gelukkig achter een VPN met MFA. Toch maar even de logs nagelopen op verdachte sessies.
Klassieke fout: de client controleert de rechten, de server niet. Zie je nog verrassend vaak.
Goed punt, maar Zolang het budget bij een andere afdeling ligt, verandert er niets aan.
Reageren kan na registratie.
Inloggen
Meer nieuws