Grote lekken bij webwinkels vragen om datavernietigingsbeleid

Het is hoog tijd dat webwinkels opgeslagen data als bijvoorbeeld klantgegevens na een bepaalde tijd wissen. Persoonlijke gegevens van een consument die jaren geleden online een product heeft gekocht, hoeven helemaal niet tot in de eeuwigheid vastgelegd te worden.

De Wet bescherming persoonsgegevens (Wbp) kent de algemene regel dat persoonsgegevens niet langer bewaard mogen worden dan noodzakelijk is voor de doeleinden waarvoor zij zijn verzameld of worden gebruikt. Wat noodzakelijk is, dat is natuurlijk multi-interpretabel. Er is bijna geen enkele webwinkel die voor het bewaren van gegevens regels heeft opgesteld, buiten wat wettelijk is vastgesteld.

En dat terwijl hackpogingen en identiteitsdiefstal inmiddels onderdeel zijn van het leven. Alles wat gehackt kan worden, wordt gehackt. Dat wordt weer eens pijnlijk duidelijk nu RTL Nieuws toegang heeft gekregen tot de database achter de online schappen van Perry Sport. Met een simpele handeling werden 95.776 online klantgegevens inzichtelijk.

Perry Sport is overigens geen lid meer van Thuiswinkel.org, de brancheverenigingen die aangesloten webwinkels op veiligheid test. Maar zelfs een dergelijke test is schijnveiligheid. Het is te vergelijken met het opmeten van de bloeddruk, zonder de levensstijl aan te passen. Er liggen nog genoeg gevaren op de loer, als de veiligheid niet wordt aangescherpt na zo’n test. Er is een internationale norm (ISO 15489) met aanbevelingen voor records management. De vraag is of het niet aan Thuiswinkel.org is om hier uit te putten.

Digitale informatie heeft een eeuwige levensduur. Vroeger ging alles in een archief en werd het na een aantal jaar vernietigd: het ging door de papierversnipperaar. Organisaties, vooral webwinkels, moeten eens goed bij zichzelf ten rade gaan en zich afvragen waarom data al die tijd bewaard wordt.

Het hoge je-weet-maar-nooit-gehalte dat een webwinkel kent bij het bewaren van klantgegevens, mag overboord. Het is tijd voor een scherper datavernietigingsbeleid nu datalekken aan de orde van de dag zijn.

Blogpost geschreven door Ludo Baauw, Directeur Operations Intermax Managed Hosting.