Onvolledige berichtgeving over datalek klachtenwebsite Schiphol

Een website waar omwonenden van Schiphol klachten kunnen registreren over geluidshinder werd in oktober plotseling uit de lucht gehaald omdat deze onveilig bleek te zijn. De luchthaven Schiphol schrijft in een persbericht dat er  geen aanwijzingen zijn dat persoonsgegevens onttrokken zijn. Maar klopt dat ook?

Het gaat om de website Bewoners Aanspreekpunt Schiphol (BAS). Cyberveiligheidsonderzoeker Wouter van Dongen constateerde op 22 oktober dat de beveiliging van BAS onvoldoende was en lichtte de luchthaven in via een responsible disclosure formulier op de site van Schiphol. De website bevat gegevens van ongeveer 58.000 omwonenden.

NRC publiceerde op 25 oktober een artikel over dit lek in de beveiliging. De krant schrijft onder meer:

Van Dongen kreeg op „zeer eenvoudig wijze” toegang tot de klachtendatabase, waarin gegevens van onder meer werknemers van Schiphol, luchtverkeersleiders, wethouders en burgemeesters waren opgeslagen.

BAS is volgens Schiphol een onafhankelijk orgaan. Opvallend is wel dat Schiphol de communicatie in deze crisis verzorgt.

„Het BAS is ooit ontstaan op ons initiatief maar heeft eigen medewerkers, een eigen directeur en produceert onafhankelijke reportages.”

Voor de registratie van een klacht via de website van BAS moet de melder naam, adresgegevens (straat, huisnummer, postcode en plaats) en e-mail adres invullen. Deze gegevens vallen onder de persoonsgegevens zoals bepaald in de  Algemene verordening gegevensbescherming (AVG). De onderzoeker had toegang gekregen tot de klachtendatabase waar deze gegevens werden opgeslagen.

Er is hier dus sprake van een ernstig datalek volgens de definitie van de Autoriteit Persoonsgegevens. Dat wordt omschreven als:

Bij een datalek gaat het om toegang tot of vernietiging, wijziging of vrijkomen van persoonsgegevens bij een organisatie zonder dat dit de bedoeling is van deze organisatie.

Het persbericht van Schiphol noemt het woord datalek niet maar baggatelliseert het tot ‘er zijn geen aanwijzigingen dat persoonsgegevens zijn ontrokken’. Wat het zegt is dat de melder van het lek de persoonsgegevens niet ergens buiten de database van BAS heeft opgeslagen. De slechte beveiliging van de website wijst op behoorlijke onkunde van de ICT-ers die de BAS-website hebben gebouwd. De kans dat er een mogelijkheid bestaat om te kunnen constateren dat anderen, hackers met slechte bedoelingen, wel persoonsgegevens hebben onttrokken is daarom klein. De website werd in 2007 opgericht. De kans is dus aanwezig dat tussen 2007 en 2019 onbevoegden toegang hebben gekregen tot de persoonsgegevens van duizenden omwonenden.

Het persbericht dat Schiphol publiceerde helpt niet in het toch al beperkte vertrouwen van veel omwonenden in Schiphol.

Update: in een eerdere versie van dit artikel stond dat de gegevens van 11.000 personen in de klachtendatabase stond. Dat blijken er echter 58.000 te zijn.