Tijd voor namen & shamen?

Een datalek kan iedereen overkomen. Bedrijven, overheden, instanties, personen. Zij kunnen allemaal 'dader' en slachtoffer zijn van een datalek. Doordat ze data lekken of dus voorkomen in data die uitlekt. Waarbij een datalekkende partij eigenlijk ook lijdend voorwerp is. En terwijl we moeten niet doen aan 'victim blaming' kan misschien een beetje naming & shaming als er AP-boetes zijn opgelegd geen kwaad?

Lees ook: Informatiebeveiliging en privacy: mis, misser hoogmis

Jasper BakkerredacteurMeer van deze auteur

illustratie van computer die data lekt — datalek

CC BY 2.0 - Flickr

Ik ben wat verdeeld, in mijn mening over het voorstel om opgelegde AP-boetes voortaan verplicht openbaar te maken. Een voorstel gedaan door Tweede Kamerlid Jesse Six Dijkstra van NSC (Nieuw Sociaal Contract), om de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) wat aan te passen. Nu is het namelijk zo dat een beboete partij daar bezwaar tegen maken, inclusief geheim houden van zo'n boete.

Lektober, meer dan 10 jaar terug

Natuurlijk, in beroep gaan kan nuttig of zelfs gerechtvaardigd zijn. Ook de Autoriteit Persoonsgegevens (AP) is niet onfeilbaar. Een opgelegde boete kan dus onterecht zijn, of onterecht blijken te zijn. Maar om een financiële straf voor een datalek - zeker als die eenmaal 'uitgeprocedeerd' is - nou stil te houden. Dan blijven gevallen van gebrekkige databescherming zeg maar stilgehouden.

Stilhouden van zulke zaken tast weer de afschrikkende werking van toezicht en boetes aan. En dat vermindert dan de druk om data beter te beschermen. Wat weer een ondermijning is van de beweging om gevoelige informatie nu toch echt eens beter te beschermen. Ik mompel wat over de geruchtmakende Lektober-actie van ICT-nieuwssite Webwereld, waar ik me toen eind 2011 flink mee bezig heb gehouden (zie pagina 51 van deze leestip).

Met de billen bloot

Toen was het met de billen bloot voor vele datalekkende bedrijven, organisaties en instanties. Wel nadat die 'lekkers' waren geïnformeerd en ze hun fouten hadden gefixt. Naming & shaming van datalekken moet wel ethisch verantwoord gebeuren, vind ik. Én het moet mensen de gelegenheid bieden om verbetering te tonen. Misschien dat verplichte openbaarheid van AP-boetes dat ook kan bewerkstelligen?