Wetgeving omtrent online beveiliging
Het is verplicht om het verzenden van persoonsgegevens via internet te beveiligen. Dit is vastgelegd in de Algemene verordening gegevensbescherming (AVG), maar toch beschermen nog steeds veel websites hun bezoekers niet tegen misbruik van hun persoonsgegevens en fraude met bijvoorbeeld hun creditcardgegevens. De meest beproefde manier om persoonlijke gegevens of inlogcodes te ontfutselen is door gebruik te maken van professioneel en authentiek ogende websites. Criminelen stelen zo een ‘digitale identiteit’ en gaan op naam van de slachtoffers financiële verplichtingen aan. De schade als gevolg van deze vorm van diefstal nam zulke grote vormen aan dat de overheid de noodzaak van nieuwe wetgeving erkende. Om twijfel over de authenticiteit en betrouwbaarheid van een website én het bedrijf erachter te voorkomen, adviseert de Autoriteit Persoonsgegevens (AP) dan ook het gebruik van een SSL-certificaat.
SSL-certificaat
Er zijn maar weinig websites die geen persoonsgegevens verzenden. Niet alleen bij online aankopen of banktransacties worden vertrouwelijke gegevens verzonden: ook een eenvoudig contactformulier vereist volgens de AVG al extra aandacht voor de veiligheid van de identiteit van de bezoekers. Een SSL-certificaat is de ideale manier om aan bezoekers te tonen én te bewijzen dat de website authentiek is en dat de verbinding waarover de gegevens worden verzonden veilig en versleuteld is.
Verplicht
Dat de overheid de veiligheid van internetgebruikers serieus neemt, blijkt uit het feit dat het niet naleven van de regels streng wordt bestraft. De Autoriteit Persoonsgegevens ziet nauwlettend toe op de naleving van de wetgeving over de beveiliging van informatie die via websites wordt verzonden en mag boetes opleggen die, afhankelijk van de overtreding, kunnen oplopen tot 20 miljoen euro. Hoe fors deze bedragen ook zijn, ze staan in schril contrast met de schade die de bedrijven achter de websites oplopen wanneer deze als onbetrouwbaar en onveilig te boek komen te staan.
Zijn er bepalingen in de wet opgenomen waarin staat waaraan de beveiliging van een website moet voldoen?
Ja, elke website is verplicht om persoonsgegevens en vertrouwelijke informatie te beveiligen tegen verlies of enige vorm van misbruik. De AVG bepaalt dat de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen moet nemen om persoonsgegevens te beveiligen tegen verlies en onrechtmatige verwerking. Daarbij mag rekening worden gehouden met de stand van de techniek en de uitvoeringskosten, maar het beveiligingsniveau moet passen bij de risico’s die de verwerking en de aard van de te beschermen gegevens met zich meebrengen.
De aansprakelijkheid voor de beveiliging heeft betrekking op alle onderdelen van het verwerken van gegevens. De volledige tekst van de AVG is online vrij te raadplegen.
Wat zijn de consequenties dan wel de sancties voor mijn website of bedrijf als mijn website niet voldoet aan de wettelijke bepalingen zoals geformuleerd in de AVG?
De AVG wordt gehandhaafd door de Autoriteit Persoonsgegevens. Wanneer de AP constateert dat de wettelijke verplichtingen niet worden nageleefd, kan zij een boete opleggen die, afhankelijk van de overtreding, kan oplopen tot 20 miljoen euro. Daarnaast kunnen slachtoffers van internetcriminaliteit als gevolg van een slecht beveiligde website u aansprakelijk stellen en een schadevergoeding eisen. Deze wordt niet zelden toegekend wanneer kan worden aangetoond dat persoonlijke gegevens via uw website gemakkelijk te onderscheppen zijn.
Zijn er, naast het installeren van een SSL-certificaat, nog andere manieren om volledig te voldoen aan de bepalingen in de AVG?
Nee. De Autoriteit Persoonsgegevens (voorheen het College Bescherming Persoonsgegevens) adviseert de installatie van een SSL-certificaat wanneer er persoonsgegevens via het internet worden verzonden. Verantwoordelijken moeten zich daarbij, gegeven de huidige stand van de techniek en eerdere uitspraken van de toezichthouder, bij publicaties op internet aan de volgende vijf verplichtingen houden:
- Voorkom de onnodige publicatie van persoonsgegevens.
- Scherm specifieke pagina’s met persoonsgegevens af voor zoekmachines.
- Gebruik wachtwoorden of een andere passende methode om de doelgroep af te bakenen.
- Beveilig het gegevenstransport door middel van het SSL-protocol.
- Beveilig machines en achterliggende databases tegen onbevoegde toegang door derden.
Moet ik ook aan de strenge wettelijke veiligheidseisen voldoen als ik alleen maar een contactformulier op mijn website heb staan?
Ja. De AVG eist van elke website dat de verwerking van persoonsgegevens behoorlijk en zorgvuldig wordt uitgevoerd. Ook als bezoekers een contactformulier invullen, worden er dus vertrouwelijke gegevens verzonden en moet u alle noodzakelijke maatregelen treffen om deze gegevens tegen enige vorm van misbruik te beveiligen.
Is de AVG ook van toepassing op websites die op een server buiten Nederland draaien?
Ja. Het is uw website, dus u bent volgens de AVG te allen tijde verantwoordelijk voor de beveiliging van de gegevens die via uw website worden verzonden. Het verwerken van gegevens via een website op een server in het buitenland vereist overigens extra nauwlettendheid: u mag alleen gegevens op een buitenlandse server verwerken wanneer het beschermingsniveau afdoende is. Binnen de EU wordt verondersteld dat er een adequaat beschermingsniveau is.
Bepaalt de gevoeligheid van de informatie op mijn website en van de informatie die tussen mijn website en mijn bezoekers wordt verzonden de eisen ten aanzien van het type certificaat dat ik installeer op mijn website?
Ja. Hoe gevoeliger de informatie en hoe waardevoller deze informatie is voor criminele derden, hoe strenger de eisen aan de beveiliging. In de AVG is een duidelijk verband opgenomen tussen de inspanningen voor de beveiliging en de gevoeligheid dan wel de waarde van de informatie. Voor websites die veel gevoelige of waardevolle informatie verzenden adviseren wij te allen tijde een Extended Validation SSL-certificaat.
