Op 25 januari 2021 meldde journalist Daniël Verlaan van RTL Nieuws dat er bij de GGD sprake was van een datalek. Er zou op grote schaal worden gehandeld in persoonsgegevens van personen die getest werden wegens coronaverschijnselen. In de berichtgeving bleek snel dat in feite alle persoonsgegevens in de systemen CoronIT en HPZone Lite niet langer als beschermd beschouwd kunnen worden. En om welke gegevens gaat het? Het betreft zowel de testresultaten als informatie vanuit Bron- en Contactonderzoeken. En het gaat dan om alle mogelijke persoonsgegevens, zoals Naam, Adres, Woonplaats, e-mailadressen, telefoonnummers en, jawel, het BSN.
Dit was overigens niet het eerste of enige datalek dat in verband kan worden gebracht met Corona. Ook in de voorgaande wek bleek sprake van een datalek bij een commercieel testcentrum, U-Diagnostics, waarbij medewerkers via WhatsApp vertrouwelijk patiëntgegevens deelden.
Inmiddels bleek dat de GGD-kwetsbaarheden al langer bekend waren en dat er zelfs al eerder sprake was van misbruik van de kwetsbaarheden.
Gezien de aard van de incidenten zijn forse onderzoeken gestart, o.a. door de Autoriteit Persoonsgegevens.
Snel na het bekend worden van de incidenten werd al gespeculeerd over de gevolgen met betrekking tot misbruik van de gelekte gegevens. Verheugend was de nadruk niet kwam te liggen op het lekken van het BSN, maar dat vooral duidelijk werd dat de combinatie van gelekte persoonsgegevens een bedreiging zou kunnen vormen, met name doordat phishers misbruik kunnen maken van de gegevens door vanwege de combinatie van ooit vertrouwelijke gegevens een vertrouwensbasis zou kunnen worden gecreëerd, waardoor kwestbare mensen eerder geneigd zouden zijn om meer informatie te delen.
1) Het BSN vervangen is een regelmatig geopperde oplossing. Verschillende twitter-gebruikers melden dat ze een verzoek om wijziging van het BSN indienen. Maar het wijzigen van een BSN is niet eenvoudig. Het BSN is binnen zoveel verschillende systemen en processen van de overheid en aangrenzende instanties in gebruik (denk aan zorg, onderwijs, pensioenen), dat de aanpassing ervan feitelijk ondoenlijk is. Een BSN-wijziging moet in alle systemen worden doorgevoerd om te voorkomen dat informatie niet meer gekoppeld is aan de originele persoon.
2) Een pseudoniem wordt vaak gebruik om te refereren aan een individu. Refereren aan een individu betekent wel dat er een 1 op 1 relatie bestaat tussen een pseudoniem en de betreffende individu. Voordelen van het gebruik van een pseudoniem zijn o.a. dat
Maar er zijn ook nadelen:
Per saldo is het gebruik van een pseudoniem wel een optie, maar alleen in afgesloten omgevingen, waarbinnen het BSN wordt omgezet in een pseudoniem en dat vervolgens verder wordt gebruikt. Wanneer in achtereenvolgende processen of ketens aan dezelfde persoon moet worden gerefereerd, is een pseudoniem niet praktisch.
3) een alternatief voor het BSN is een bijzonder idee, maar geen goed idee. Het gaat voorbij aan het karakter van een identiteit of digitale identiteit en het gebruiksdoel ervan.
Misschien is het meest opvallende nieuws wel dat een instantie als de Rijksdienst voor Ideniteitsgegevens meldt dat er maar een kleine kans op identiteitendiefstal bestaat:
Dat is misschien wel een prettige ontwikkeling, er is nagedacht over de waarde van de persoonsgegevens... #freethebsn
