De gegevensverwerking van steden en gemeenten

COVID-19 gerelateerde klachten

Direct marketing (voornamelijk rond de cookiesproblematiek)

25% meer meldingen over gegevenslekken dan in 2019

4 keer zoveel klachten als in 2019

De top 3 van klachten waren

De Gegevensbeschermingsautoriteit ontving in 2020

Drie jaar geleden trad de GDPR in werking. Tijd genoeg om
de regels toe te passen, zou je denken. Maar de realiteit is ietwat anders: de bewustwording groeit, maar we zijn er nog niet.
“De bedrijven passen zich langzaam maar zeker aan. Bovendien kiezen ze vandaag massaal voor digitale tools en duiken er voortdurend nieuwe soorten gegevens op. Een continu proces dat heel wat vragen oproept. En daar willen wij een antwoord op bieden”, benadrukt Aurélie Waeterinckx, woordvoerster van
de Gegevensbeschermingsautoriteit (GBA).

De GBA ondersteunt bedrijven

Volgens Aurélie Waeterinckx kunnen hiervoor bestaande tools worden ingezet: “Te weinig organisaties doen een beroep op de gedragscode om aan te tonen dat de verplichtingen van de GDPR worden nageleefd. De gedragscode op zich is geen garantie voor de naleving van de regelgeving, maar wel een grote troef bij de beoordeling van die naleving. Ook hierin willen wij de bedrijven begeleiden.”

Maar wat zijn de voornaamste fouten die de bedrijven vandaag nog begaan? Volgens Aurélie staat marketing zonder voorafgaande toestemming op de eerste plaats, gevolgd door een meer algemeen gebrek aan transparantie. Gebruikers krijgen geen (of weinig) informatie over de verwerking van hun persoonsgegevens. “We merken ook dat er weinig belang wordt gehecht aan het werk van een DPO in een bedrijf of dat er amper vooraf wordt nagedacht. De GDPR-reflex moet ontstaan vóór de start van een project.”

De GBA deed een bevraging bij meer dan 250 kmo’s en detecteerde daarbij drie grote gebreken op het terrein. Het eerste heeft te maken met het (fundamentele) transparantiebeginsel. Het bedrijf is zich bewust van zijn informatieplicht over
de verwerking van de gegevens, maar communiceert niet of niet goed. “Het tweede gebrek heeft te maken met het principe van de impactanalyse. Een verplicht hulpmiddel voor verwerkingen die mogelijk een hoog risico inhouden. De meeste bevraagde kmo’s hebben daar wel weet van, maar gebruiken het daarom niet”, vult Aurélie Waeterinckx aan. Tot slot kent slechts de helft van de respondenten
de begrippen ‘verwerkingsverantwoordelijke’ en ‘verwerker’ binnen zijn organisatie.

Kmo’s blijven niet stilzitten als het gaat om de GDPR. Ze doorzoeken het internet op zoek naar advies, gaan te rade bij hun sectororganisatie … De GBA zag daarin een mooie opportuniteit. “Kmo’s staan bovenaan in ons prioriteitenlijstje. Daarom hebben we voor hen een echte toolbox ter beschikking gesteld. Ik raad hen deze twee publicaties aan:
de gids voor kmo’s en het 13-stappenplan. Deze concrete informatie wordt nog verder aangevuld met een FAQ-brochure. Kortom, een echt dashboard voor kleine en middelgrote ondernemingen.”

Micro-, kleine en middelgrote ondernemingen uit alle sectoren helpen bij de toepassing van de GDPR. Dat is het doel van het project BOOST, een initiatief van de GBA dat wordt gefinancierd door de Europese Unie. BOOST is naast een grote bewustmakingsactie ook een unieke bron van informatie. “We stellen onder meer modelbrieven ter beschikking, we geven begrijpelijke informatie aan de hand van filmpjes, publiceren een newsletter en organiseren webinars. Aan onze laatste webinar namen maar liefst 735 mensen deel! Dat bewijst nog maar eens dat onze acties relevant en echt nodig zijn op het terrein”, vertelt Aurélie Waeterinckx van de GBA.

De NIS-wet, het resultaat van de gelijknamige Europese richtlijn, is de eerste wet op het gebied van cyberbeveiliging in België. Drie jaar nadat de wet van kracht werd, is het Centrum voor Cybersecurity België globaal gesproken tevreden over
de naleving van de regels door ondernemingen. “Toch is het nog
te vroeg om de implementatie van de regels ten gronde
te evalueren. De eerste interne audits werden nog maar pas uitgevoerd en de eerste externe audits zijn gepland voor 2023”, legt Valéry Vander Geeten uit, juridisch verantwoordelijke van het Centrum voor Cybersecurity België.

Europa breidt de NIS-regelgeving uiT

Tot nog toe hadden de regels betrekking op de sectoren transport, energie, financiën, gezondheidszorg, drinkwatervoorziening, digitale infrastructuren en leveranciers van digitale services. NIS 2, de nieuw voorgestelde richtlijn, zal het type van operatoren in bepaalde bestaande sectoren uitbreiden en nieuwe sectoren toevoegen: telecomoperatoren, overheden, leveranciers van elektronische uitrusting, voeding en chemie maken er deel van uit. “Ook belangrijk om te vermelden is dat de voorafgaande identificatie door de bevoegde sectorautoriteit niet meer vereist is. Als u aan de wettelijke voorwaarden beantwoordt, dient u de richtlijn te respecteren”, onderstreept Valéry.

Een strengere wetgeving komt elke organisatie ten goede, ongeacht de omvang.
De energiesector is uiteraard cruciaal voor alle andere sectoren en de beveiliging van haar industriële systemen is een belangrijke uitdaging. Hetzelfde geldt voor de openbare sector, getuige daarvan de recente incidenten. “In het NIS 2-voorstel zijn micro-ondernemingen en kleine ondernemingen uitgesloten, met tal van uitzonderingen voor entiteiten die een risico vormen voor de openbare veiligheid en volksgezondheid. Toch ben ik van mening dat iedereen betrokken partij is. Cybersecurity is geen kwestie van IT, maar is in de eerste plaats een bedrijfscultuur.”

"Cybersecurity is geen kwestie van IT,
maar is in de eerste plaats een bedrijfscultuur.”

Uitbreiding van het toepassingsgebied om meer sectoren en diensten op te nemen als essentiële of belangrijke entiteiten.

NIS 2

De EU-lidstaten verbeteren hun capaciteit op het gebied van cyberveiligheid.

NIS

Capaciteiten

Er wordt een lijst van administratieve sancties opgesteld, met inbegrip van boetes voor inbreuken op de verplichtingen inzake cyberveiligheidrisicobeheer en rapportageverplichtingen.

Strengere toezichts- en handhavingsmaatregelen worden ingevoerd.

NIS 2

Meer informatie-uitwisseling en samenwerking van de autoriteiten van de lidstaten met een grotere rol voor de samenwerkingsgroep.

Oprichting van een Europees netwerk van verbindingsorganisaties voor cybercrises (EU-CyCLONe) om het gecoördineerde beheer van grootschalige cyberbeveiligingsincidenten en -crises op EU-niveau te ondersteunen.

NIS 2

Verantwoordingsplicht van het bedrijfsmanagement voor de naleving van risicobeheersmaatregelen inzake cyberveiligheid.

Gestroomlijnde incidentenrapportage-verplichtingen met preciezere bepalingen inzake
het rapportageproces, inhoud en tijdschema.

Cyberveiligheid van toeleveringsketen voor belangrijke informatie- en communicatietechnologieën zal worden versterkt.

Versterkte veiligheidseisen met een lijst van gerichte maatregelen, waaronder incidentrespons en crisisbeheer, omgaan met kwetsbaarheden, behandeling en openbaarmaking, testen van cyberveiligheid en het doeltreffend gebruik van encryptie.

NIS 2

Intensievere samenwerking
op EU-niveau.

NIS

Samenwerking 

Aanbieders van essentiële diensten (Operators of Essential Services, OES) en digitale dienstverleners (Digital Service Providers, DSP) moeten risicobeheerspraktijken invoeren en belangrijke incidenten aan hun nationale autoriteiten melden.

NIS

Cybersecurity - risicobeheer

Gezondheidszorg 

Transport

Bankwezen, infrastructuur van de financiële markt

Digitale infrastructuur

Drinkwatervoorziening

Energie

Digitale dienstverleners

NIS

Certificering biedt dan een praktische manier om het databeveiligingsniveau van een organisatie objectief weer te geven. Een internationaal erkend certificaat voor databeveiliging is ISO 27001. Proximus trad daarbij als trusted advisor naar voren: de partner die UBench International doorheen het initiële ISO-traject begeleidde.
“Het gaat om een raamwerk van vereisten waaraan een systeem voor databeveiliging moet voldoen”, zegt Bart Tollebeek, databeveiligingsconsulent bij Proximus. “Eenvoudig gesteld: de organisatie gaat stap voor stap na waar zich mogelijke risico’s bevinden. De inschatting van de beveiligingsrisico’s leidt daarna tot de implementatie van proportionele maatregelen." Slaagt de organisatie voor de doorlichting door een geaccrediteerde auditor, dan mag ze het ISO 27001-certificaat drie jaar voeren. “Tijdens die periode vindt er een jaarlijkse controle plaats”, legt Bart uit. “Het certificaat steunt op het principe van continue verbetering.” 

“Databeveiliging is essentieel voor ons”, zegt projectmanager Brigitte Van Gerven. “We behandelen op ons platform heel wat confidentiële data.” Het volume van die data is sinds de start van UBench International in 2003 uiteraard sterk gegroeid.
“Om daarbij het overzicht te bewaren, is een systematische, holistische aanpak een noodzaak. Zeker wanneer je, zoals wij, tegelijk ook een continue verbetering van de databeveiliging nastreeft.” Het is een ingesteldheid die in de markt meer en meer als een basisprincipe geldt. “Heel wat aanbestedingen stellen strenge eisen op het vlak van databeveiliging.”

CASE