Bescherming persoonsgegevens en grote datalekken

Brontekst

Staatssecretaris Van der Burg: Voorzitter, ik vraag me af of we wel om 14.00 uur klaar zijn. Want nu ga ik even helemaal los. Nee hoor, ik heb nog twee vragen over. De ene was van de VVD over de zero-knowledgetechnologieën. Ja, daar moeten we zeker naar kijken. Zeker in het kader van dataminimalisatie is het juist heel erg goed dat niet de data worden gedeeld maar er een signaal wordt afgegeven, dus dat je niet de broninformatie krijgt maar wel een signaal. Denk bijvoorbeeld aan leeftijd. Dan kunnen we inderdaad zeggen: de heer Verkuijlen is boven de 18, en daarmee kan hij bij Gall & Gall zijn fles wijn bestellen, zonder dat we alle andere gegevens van de heer Verkuijlen delen. Dat geldt natuurlijk ook voor de overheid. Een mooi voorbeeld dat ik in het verleden heb genoemd, en dat hieraan raakt, is niet zozeer de encryptievariant, maar het feit dat de Sociale Verzekeringsbank nu gewoon een signaaltje krijgt van het SIS, zonder dat ze als het om een dubbele uitkering gaat meteen alle medische gegevens krijgen. Dan heb je ook nog de encryptievariant. Dus ja, dit kan zeker helpen. We moeten ons overigens natuurlijk niet rijk rekenen. Het is een onderdeeltje van het gehele complex om ervoor te zorgen dat we aan dataminimalisatie doen en datalekken beperken. Maar hoe minder data je deelt, en hoe minder data er dus bij verschillende partijen is, hoe kleiner de kans dat die data gedeeld wordt. Dat is dus een terechte vraag van de heer Verkuijlen. Tot slot alweer, voorzitter — zo snel kan het gaan — de vraag van het CDA. Mevrouw Zwinkels vroeg specifiek hoe het zat met overheidsorganisaties en de toegang tot gegevens en of die periodiek worden opgeschoond. Sorry, het CDA had meerdere vragen op dat punt. De overheid heeft natuurlijk een voorbeeldfunctie te vervullen. Uit de Algemene verordening gegevensbescherming blijken ook een aantal concrete normen. Eén. Persoonsgegevens dienen natuurlijk alleen verwerkt te worden op het moment dat het gaat om specifieke, welbepaalde doelen. Dat beperkt al de kring van medewerkers die er gebruik van mogen maken. De AVG, waar u het net over heeft gehad met mijn collega, heeft ook nog een aantal technische en organisatorische maatregelen getroffen om gegevens te beveiligen. Daarnaast moeten ze inderdaad periodiek worden opgeschoond. Dat betekent dat gegevens minimaal één keer per jaar moeten worden opgeschoond. Daar zeg ik nog bij: als het specifiek om de departementen gaat, dan is de Chief Information Security Officer verantwoordelijk voor het controleren of die toegangsrechten ook inderdaad worden en zijn opgeschoond.

Versie 79bd8b627a9c2401b61287a4bceafd4df006c6b70546691ac4d81d30a1990e95 · Voorlopig verslag; de tekst kan nog wijzigen.