Bescherming persoonsgegevens en grote datalekken

Brontekst

Mevrouw Zwinkels (CDA): Dank u wel, voorzitter. Stel je voor: iemand zoekt online naar informatie over schulden, bezoekt een gezondheidswebsite, klikt op een advertentie voor kinderopvang, logt in bij de gemeente, sluit een telefoonabonnement af en gebruikt een gratis app. Op zich lijken dat losse, normale handelingen. Maar digitaal laten mensen vooral overal kruimels achter. Die kruimels worden verzameld door websites, apps, advertentienetwerken, databedrijven, platforms en ook soms door organisaties die helemaal niet scherp genoeg nadenken over wat ze bewaren. Uit die losse gegevens ontstaat dan een profiel: waar woont iemand, wat verdient iemand, waar is iemand bang voor, heeft iemand kinderen, is iemand ziek, heeft iemand schulden, is iemand beïnvloedbaar of zit iemand net in een kwetsbare periode? Als zulke gegevens uitlekken, blijven ze niet netjes in één mapje liggen. Nee, ze kunnen worden gecombineerd met andere lekken. En dan wordt een phishingbericht opeens heel erg persoonlijk, met de juiste naam, provider, woonplaats of zelfs een verwijzing naar een overheidsdienst. Met een kopie van een identiteitsbewijs kunnen criminelen proberen om een rekening te openen, een lening aan te vragen of een telefoonabonnement af te sluiten. Met gedragsgegevens kunnen bedrijven mensen volgen, sturen en soms manipuleren, zonder dat mensen echt weten wat er gebeurt. Voorzitter. Dat is de kern van dit debat: persoonsgegevens zijn niet zomaar data; ze zijn de toegangspoort tot iemands leven. Te vaak zijn ze ook handelswaar geworden. We zijn ons als samenleving nog onvoldoende bewust daarvan. Dat komt ook tot uitdrukking in de cultuur van bedrijven en andere organisaties en in de beperkte naleving van regels in de praktijk, zowel in de directie als op de werkvloer. Wij maken ons zorgen en willen ingrijpen. Daarom heb ik vier punten. Eén. Pak de datahonger aan, en ook het verdienmodel erachter. Het Rathenau Instituut laat zien dat gratis internet vaak helemaal niet gratis is. Mensen betalen met hun gedrag, aandacht en persoonsgegevens. Dat geldt voor volwassenen, maar zeker ook voor kinderen en jongeren, die vaak nauwelijks begrijpen hoever die tracking gaat. Is de staatssecretaris het met het CDA eens dat het huidige systeem van onlinetracking te veel uitgaat van doorklikken en toestemming en te weinig van echte bescherming? Gaat het kabinet in Europa actief pleiten voor privacyvriendelijke alternatieven, zoals contextueel adverteren, waarbij advertenties worden gebaseerd op de inhoud van een pagina in plaats van op het profiel van een persoon? Wil de staatssecretaris specifiek voor minderjarigen onderzoeken hoe onlinetracking verder kan worden teruggedrongen, juist omdat kinderen geen verdienmodel mogen zijn? Twee. Verzamel minder, bewaar korter en geef niet iedereen toegang. Bij datalekken kijken we vaak naar de hacker van buitenaf, maar de kwetsbaarheid zit ook vaak binnen organisaties zelf. Te veel gegevens worden te lang bewaard en te veel mensen kunnen erbij. In veel organisaties kan een medewerker die voor zijn werk maar een klein deel van het dossier nodig heeft, toch bij grote hoeveelheden gevoelige informatie, niet uit kwade wil, maar omdat systemen zo zijn ingericht, omdat rechten ooit ruim zijn toegekend en daarna nooit meer zijn opgeschoond, omdat gemak het wint van veiligheid. Bij de Odidohack onderzoeken toezichthouders ook of gegevens niet te lang zijn bewaard. Dat is belangrijk, want wat je niet bewaart, kan ook niet gehackt worden. Is de staatssecretaris bereid om bewaartermijnen veel harder te laten handhaven, zeker bij organisaties die gegevens van miljoenen mensen beheren? Drie. Zoek de samenwerking bij het adequaat reageren op datalekken. Gelet op de toename van AI-gedreven cyberaanvallen voorzien wij dat de uitdaging in de toekomst groter en groter wordt. Na een datalek krijgen burgers vaak tips: let op phishing, klik niet zomaar op links, wees alert. Dat is nuttig, maar ook wrang, want de burger heeft het lek niet veroorzaakt. De hacker is de boosdoener en bedrijven en organisaties dienen hun kwetsbaarheden goed in beeld te hebben en continu kennis op te doen, ook door hun ervaringen met datalekken beter uit te wisselen, zodat we het taboe eraf halen en de verbeteringen in de praktijk volgen. Komt er dan ook een landelijke standaard voor hulp aan slachtoffers van grote datalekken, zodat mensen niet verdwalen tussen gemeente, bedrijf, politie, bank en toezichthouder? Ook hier kan vast worden voortgebouwd op de opgedane kennis. Vier. De overheid moet zelf de hoogste norm hanteren en het toezicht moet kunnen leveren. De overheid vraagt van burgers om hun meest gevoelige gegevens, bijvoorbeeld over schulden, gezin, zorg, veiligheid en rechtspraak. Burgers moeten erop kunnen vertrouwen dat de overheid daar zuiniger en zorgvuldiger mee omgaat dan wie dan ook. Daarom is het extra pijnlijk als juist bij overheidsorganisaties datalekken ontstaan of kwetsbaarheden worden misbruikt. Mijn vraag aan de staatssecretaris is: welke concrete norm stelt zij aan overheidsorganisaties voor toegang tot persoonsgegevens? Mag een medewerker alleen zien wat nodig is voor zijn of haar werk of accepteren we nog steeds de systemen waarin veel te veel mensen bij veel te veel gegevens kunnen? Hoe gaat de staatssecretaris ervoor zorgen dat ministeries en uitvoeringsorganisaties hun toegangsrechten periodiek opschonen, zodat oude rechten en oude bestanden niet jarenlang blijven rondzwerven? Voorzitter. Dan de Autoriteit Persoonsgegevens. De AP moet onafhankelijk haar werk kunnen doen; daar moeten we niet doorheen gaan lopen. Het kabinet is echter wel verantwoordelijk voor de randvoorwaarden: middelen, evaluatie, opdrachtgeverschap en het bredere stelsel. De Autoriteit Persoonsgegevens krijgt ook steeds meer op haar bord. Kan de staatssecretaris eerlijk aangeven of de AP voldoende capaciteit heeft om haar taken goed te kunnen uitvoeren? Als die capaciteit niet voldoende is, welke keuzes worden dan gemaakt? Welke risico's krijgen prioriteit en welke blijven daardoor liggen? Dank u wel.

Versie 79bd8b627a9c2401b61287a4bceafd4df006c6b70546691ac4d81d30a1990e95 · Voorlopig verslag; de tekst kan nog wijzigen.