Demissionair minister van Justitie en Veiligheid Ferd Grapperhaus had het datalek met de applicatie van NL-Alert eerder moeten melden bij de Autoriteit Persoonsgegevens. Tevens concludeert de toezichthouder dat de beveiliging van de app niet op orde was. Ook de Auditdienst Rijk constateert tekortkomingen in de aansturing en beheersing van het project en het toezicht daarop. De minister zegt dat de casus een ‘belangrijk leerpunt’ is geweest en inmiddels in de werkwijze van het ministerie is verankerd.
Dat schrijft minister Grapperhaus in een brief aan de Tweede Kamer. Daarin licht hij het parlement in over de conclusies van de verschillende onderzoeken die hij heeft laten uitvoeren na het datalek.
Applicatie NL-Alert heeft meerdere beveiligingslekken
In april 2020 gingen alle alarmbellen af op het ministerie van Justitie en Veiligheid. Medewerkers hadden een beveiligingslek ontdekt in de applicatie van NL-Alert. Daardoor belandden de locatiegegevens en gegevens over het toestel (besturingssysteem, geïnstalleerde apps) bij een externe notificatiedienst. Minister Grapperhaus adviseerde iedereen die de app op zijn of haar smartphone had staan, om deze te verwijderen en te wachten op de eerstvolgende update.
Nadat het eerste beveiligingslek aan het licht was gekomen, ontdekte de NOS nog een tweede lek. Met een unieke gebruikerscode of beveiligingstoken was het mogelijk om de locatie van een gebruiker te controleren. Kwaadwillenden konden hierdoor, in theorie, iedere beweging van een willekeurig persoon vastleggen.
Minister Grapperhaus meldde dit bij de Autoriteit Persoonsgegevens (AP), Chief Information Officer (CIO) van het Rijk en het Nationaal Cyber Security Centrum (NCSC). Tevens gaf hij Fox-IT de opdracht om de app onder de loep te nemen om te kijken of hij niet nog meer beveiligingslekken had.
Toezichthouder: ‘Minister heeft te laat aan de bel getrokken’
Heeft de minister goed gehandeld in deze kwestie? Om een antwoord op deze vraag te krijgen beloofde Grapperhaus om een onderzoek naar het datalek in te stellen. Hij beloofde de Tweede Kamer om de bevindingen van het onderzoek kenbaar te maken zodra deze beschikbaar waren.
Direct na het datalek startte de Landsadvocaat een onderzoek naar het mogelijke datalek. Hij concludeerde dat er geen sprake was van een datalek dat bij de toezichthouder gemeld had moeten worden. “Omdat er fysieke toegang tot het toestel van de gebruiker nodig was, gebruik van de kwetsbaarheid de nodige technische kennis vereist, de kwetsbaarheid niet publiekelijk bekend was en er geen indicaties zijn dat er misbruik is gemaakt van de kwetsbaarheid, is de conclusie van het extern juridisch advies dat er geen sprake is van een meldingsplichtig datalek”, schreef Grapperhaus afgelopen jaar aan de Tweede Kamer. Die conclusie staat nog altijd overeind.
De Autoriteit Persoonsgegevens stelt dat de minister “bij de eerste signalen van een mogelijke inbreuk” melding had moeten doen bij de toezichthouder. Dat op dat moment niet alle feiten boven tafel waren, doet er niet toe. Verder concludeert de privacywaakhond dat de beveiliging van de NL-Alert app niet op orde was. Een Data Protection Impact Assessment (DPIA) of gegevensbeschermingseffectbeoordeling op de laatste versie van de app had deze tekortkomingen kunnen identificeren.
ADR: ‘Medewerkers misten de noodzakelijke kennis’
De Auditdienst Rijk (ADR) zegt dat ‘een projectmatige aanpak’ de privacy van gebruikers beter had kunnen waarborgen. Bij de ontwikkeling van de app hadden de betrokken medewerkers naar eigen zeggen ‘weinig ervaring met projectmanagement en inkooptrajecten’. Ook misten ze ‘inhoudelijk technische kennis’ die voor dit soort ontwikkeltrajecten noodzakelijk is. “De medewerkers zijn hierdoor onvoldoende in staat geweest om de risico’s te inventariseren en te mitigeren”, aldus de ADR.
Fox-IT heeft de app onder een microscoop gelegd en geen verdere kwetsbaarheden aangetroffen die “ongeautoriseerde toegang of ongewenste verspreiding van persoonsgegevens mogelijk maakten”. De eerder ontdekte beveiligingslekken zijn door het bedrijf verholpen.
Meer bewustwording en toetsmomenten
Minister Grapperhaus zegt dit als ‘een belangrijk leerpunt’ te zien. Hij belooft dat de voorgestelde werkwijze inmiddels is verankerd bij zijn ministerie. Zo is er een actueel Stappenplan Meldplicht Datalekken voor medewerkers en leidinggevenden ingevoerd. Daarin staat onder meer dat bij twijfel een voorlopige melding bij de Autoriteit Persoonsgegevens gedaan moet worden. Tevens biedt de minister zijn medewerkers een verplichte e-learning aan. Daarin wordt uitgebreid aandacht besteed aan datalekken om privacybewustzijn te creëren.
Verder neemt de minister maatregelen om de kennis van zijn medewerkers over DPIA’s te vergroten. Ook laat Grapperhaus onderzoek uitvoeren naar eerder verrichte DPIA’s. Op die manier wil hij te weten komen of de inhoud van de gegevensbeschermingseffectbeoordeling overeenkomt met de praktijk van gegevensverwerking.
Tot slot belooft de minister dat vergelijkbare producten in de toekomst volgens een projectmatige aanpak plaatsvinden. Daarbij wordt de nadruk gelegd op informatiebeveiliging en privacy en worden ervaren projectleiders en -medewerkers ingezet. Tevens belooft Grapperhaus voldoende toetsmomenten in te bouwen in het ontwikkelproces. Dat mag hij binnenkort al gaan bewijzen. De minister schrijft dat hij een nieuwe app laat ontwikkelen om NL-Alerts mee te ontvangen.
Dit moet je weten over NL-Alert
NL-Alert is het alarmeringssysteem van de overheid dat burgers waarschuwt als er zich een calamiteit in hun omgeving voordoet. Denk aan een grote brand, gaslekkage, terroristische aanslag of incident met explosiegevaar. Alle zendmasten die bereik hebben, zenden een NL-Alert uit naar onze smartphones. De berichten worden tevens getoond op digitale reclamezuilen en op vertrekborden in het openbaar vervoer. Naast een waarschuwing krijgen ontvangers tevens instructies wat ze op dat moment moeten doen (naar binnen gaan, ramen en deuren sluiten, radio en tv aanzetten). De overheid test regelmatig het systeem door een controlebericht te versturen.
De applicatie waar het in deze kwestie over gaat is een aanvulling op NL-Alert. Deze heb je niet nodig om een NL-Alert te ontvangen. De app is voor twee doelgroepen ontwikkeld. De eerste groep bestaat uit mensen die een communicatieve beperking hebben en zodoende een regulier NL-Alert mogelijk niet goed ontvangen (burgers met een visuele of auditieve beperking). De tweede doelgroep wordt gevormd door mensen die in een van de grensregio’s wonen en waarvan de smartphone niet altijd met een Nederlands netwerk is verbonden. Dat is noodzakelijk om een NL-Alert te ontvangen.
