MOTIE VAN HET LID KLAVER C.S. Voorgesteld 19 januari 2021 De Kamer, gehoord de beraadslaging, […]

verzoekt de regering, voorts een algoritmeregister op te zetten waarin beschreven wordt welke algoritmen de overheid gebruikt, voor welk doel en op basis van welke datasets opdat iedereen toezicht kan houden op al dan niet discriminerende algoritmen, en gaat over tot de orde van de dag.

]]> http://floort.net/afpersers_zijn_te_vertrouwen/ Sat, 28 Feb 2026 17:15:00 +0200 Floor Terra http://floort.net/afpersers_zijn_te_vertrouwen/ Het datalek bij Odido maakt een hoop discussie en emotie los bij mensen. Hackers hebben een grote Salesforce-database van Odido leeggeroofd en houden de data gegijzeld voor losgeld. Odido heeft besloten om de criminelen niet te betalen en de criminelen publiceren nu stukje bij beetje de gestolen data. Dat doen ze vrij slim in stukjes om de ophef in de media maximaal te benutten. De media werken daar ook vrij goed aan mee. Het is nieuws, dus terecht dat ze daar verslag van doen, maar al die aandacht helpt de criminelen ook.

]]> http://floort.net/belgium-unsafe-for-cvd/ Sun, 06 Jul 2025 00:44:00 +0200 Floor Terra http://floort.net/belgium-unsafe-for-cvd/ This post is about the reason I will probably never try to warn any organisation in Belgium about any vulnerability again. Recently I have been dealing with an attempt at coordinated vulnerability disclosure (CVD) with an organisation in Belgium. This post is not about that, because I’m not allowed to write about it. This post explains why I believe Belgium is unsafe for people trying to do CVD. I believe it’s important to warn others so that they know what to expect and can decide for themselves.

]]> http://floort.net/vimeo_en_google_analytics_cookies_op_ap_vacature_site/ Fri, 21 Mar 2025 17:10:00 +0100 Floor Terra http://floort.net/vimeo_en_google_analytics_cookies_op_ap_vacature_site/ Op 22 januari heeft de Autoriteit Persoonsgegevens met de lancering van een nieuwe vacature-website een vertrouwde traditie van het crowdsourcen van compliance controles voortgezet. De nieuwe vacaturewebsite van de AP maakt namelijk gebruik van cookies van Google Analytics en Vimeo/Cloudflare. Ik heb direct dezelfde dag de FG gemaild met deze observatie.

Vandaag heeft de AP het mogelijk gemaakt voor betrokkenen om een pagina op te zoeken op de website van de AP om te achterhalen wat er is gebeurd. Dat beschrijf ik bewust wat omslachtig omdat de informatie best lastig te vinden is als je niet al weet dat de AP deze fout heeft gemaakt.

]]> http://floort.net/handleiding_google_analytics_ap/ Sat, 21 Dec 2024 00:10:00 +0100 Floor Terra http://floort.net/handleiding_google_analytics_ap/ Ik krijg af en toe vragen over het gebruik van Google Analytics. Mag dat wel (zonder toestemming) onder de AVG? De Autoriteit Persoonsgegevens heeft in het verleden een handleiding gepubliceerd. Deze handleiding is een paar keer bijgewerkt. Maar op een gegeven moment zijn alle handleidingen zonder uitleg van de website van de AP verdwenen. Ook het archief van de AP is onvolledig. De AP geeft ook tot nu toe ook geen uitleg waarom het archief onvolledig is. Omdat ik al meerdere maanden wacht op de AP die me zou terugbellen over het archief heb ik maar een Woo-verzoek ingediend voor de Google Analytics handleiding. Dat is in ieder geval binnen vier weken geregeld. Ik denk dat het efficiënter kan.

]]> http://floort.net/supply_chains_in_gdpr_enforcement/ Wed, 04 Sep 2024 10:40:00 +0200 Floor Terra http://floort.net/supply_chains_in_gdpr_enforcement/ Supervisory authorities should view supply chains as an asset to use in their enforcement activities instead of an obstacle in their investigations. Let’s use two examples by the Dutch data protection authority (AP) as an example: Locatefamily.com and Clearview AI.

Locatefamily.com

On December 10 2020 the AP fined the website Locatefamily € 525.000,- for violations of the GDPR. Locatefamily.com did not end the violation and bluntly refused to provide information about the identity of the controller and refused to pay the fine. In an interview dated August 26 2024, the AP explained that it made an effort to find out who hosted the website in order to find out the address of the company behind Locatefamily.com but failed in its effort and the AP, practically admitting defeat, closed the case.

]]> http://floort.net/social-media-monitoring-politie/ Thu, 27 Jun 2024 20:48:00 +0200 Floor Terra http://floort.net/social-media-monitoring-politie/ Meer dan een jaar geleden heb ik een blogpost geschreven over twee bedrijven die veel gebruikt worden voor het monitoren van sociale media. Daarin heb ik beschreven dat het gebrek aan transparantie een probleem is. Ik wil meer schrijven over het monitoren van mensen op het internet, maar mede vanwege het gebrek aan transparantie heeft het zo lang geduurt om met een update te komen. Hieronder wil ik het hebben over OBI4wan (tegenwoordig Spotler Engage), de Belgische en Nederlandse Politie.

]]> http://floort.net/hth2023-cvd-deel-3/ Fri, 08 Mar 2024 21:30:00 +0100 Floor Terra http://floort.net/hth2023-cvd-deel-3/ Deze blogpost is deel vier van een serie en de derde over specifieke issues met betrekking tot Hâck The Hague 2023 en dat geeft gelijk al een hint over het verloop van het CVD proces: langdurig en moeizaam. Dat is niet te wijten aan individuele medewerkers van de gemeente die ik heb gesproken. Zeker als ik ze buiten e-mail om spreek, zijn het stuk voor stuk vriendelijke mensen die dit goed willen oplossen. Maar zodra er iets moet worden afgestemd is dat bijna een garantie voor miscommunicatie, vertraging en het verbreken van afspraken.

]]> http://floort.net/politieke_e-mail_pixels-2023/ Sat, 18 Nov 2023 20:35:00 +0200 Floor Terra http://floort.net/politieke_e-mail_pixels-2023/ Nadat ik de websites van politieke partijen heb bekeken zijn nu ook de nieuwsbrieven van de partijen aan de beurt. Ik heb tracking pixels in de nieuwsbrieven van de volgende partijen aangetroffen:

1. VVD
2. D66
3. GROENLINKS / Partij van de Arbeid (PvdA)
4. PVV (Partij voor de Vrijheid)
5. SP (Socialistische Partij)
6. Forum voor Democratie
7. Partij voor de Dieren
8. ChristenUnie
9. Volt
10. JA21
11. BBB

Deze tracking pixels gaan niet altijd samen met cookies. Maar ook tracking pixels zonder cookies vallen onder wat (onterecht) de ‘cookiewet’ wordt genoemd. Geheel toevallig heeft de EDBP eergisteren de Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive gepubliceerd ter publieke consultatie waarin hoofdstuk 3.1 wat meer achtergrond geeft hierover.

]]> http://floort.net/tracking-verkiezingen-2023/ Sat, 11 Nov 2023 21:00:00 +0200 Floor Terra http://floort.net/tracking-verkiezingen-2023/ Net als vorige Tweede Kamerverkiezingen houdt ik in de gaten of politieke partijen onrechtmatig mensen volgen op hun websites.

De tijdlijn ziet er op hoofdlijnen als volgt uit:

23 oktober 2023

Eerste reproduceerbare scan van de websites van de 26 partijen die meedoen.

26 oktober 2023

Ik vul het tipformulier van de AP in met een samenvatting van mijn bevindingen uit de eerste scan.

1 november 2023

De AP publiceert de waarschuwingsbrief aan politieke partijen. Deze brief is gedateerd 12 oktober 2023 en is aangetekend verzonden. Dat betekent dat de partijen op het moment van de eerste scan bijna twee weken gehad hebben om iets te doen met de waarschuwing.

3 november 2023

Ron Roozendaal publiceert een blogpost, mede op basis van mijn scanresultaten.

8 november 2023

De NOS publiceert een artikel waarin mijn onderzoek deels gereproduceert is door Joost schellevis en Rob van Eijk. In het artikel geeft de autoriteit aan geschrokken te zijn dat de partijen na de waarschuwingsbrief nog zonder toestemming volgcookies gebruiken. De AP was hierover op 26 oktober al voor gewaarschuwd. In het 8 uur journaal (vanaf 7:07) gaat het ook over dit onderwerp. In die uitzending geeft Aleid Wolfsen aan de partijen (verder ongespecificeerd welke) om opheldering te vragen.

In onderstaande tabel heb ik voor de verschillende partijen aangegeven wanneer ik welke trackers voor het laatst heb gezien bij elke partij. Dikgedrukte velden geven nog niet opgeloste problemen op. Uitleg over het verwijderen van de verzamelde persoonsgegevens en het informeren van betrokkenen is hier te vinden.

]]> http://floort.net/stripchat_data_breach/ Sun, 05 Nov 2023 21:00:00 +0100 Floor Terra http://floort.net/stripchat_data_breach/ What happened?

Stripchat is a website owned by Technius Ltd. in Cyprus that hosts a large amount of adult webcam operators. The owner has been reprimanded by the Cyprus data protection authority for a breach of over 64 million user accounts and not informing them properly about the breach. I didn’t know the website before, but on Oktober 22 2019 I get an e-mail from the website that an account has been created on this website. These kinds of e-mails are relatively common for me so I don’t pay any attention to the e-mail.

]]> http://floort.net/hth2023-cvd-deel-2/ Sat, 04 Nov 2023 09:00:00 +0200 Floor Terra http://floort.net/hth2023-cvd-deel-2/ Op 31 juli heb ik bij de gemeente Den Haag een aantal issues gemeld. Het hele proces is nogal moeizaam verlopen. Elke keer als ik telefonisch of persoonlijk contact heb met medewerkers van de gemeente heb ik het gevoel dat we elkaar begrijpen, maar van de geschreven communicatie krijg ik het idee dat er gigantische miscommunicatie is of dat de gemeente terugkomt op toezeggingen. Pogingen om in te gaan op de uitnodiging om te overleggen over wat er fout gaat en hoe het beter kan worden door de gemeente genegeerd. Dit is de tweede keer dat ik wat heb proberen te melden bij de gemeente Den Haag en de tweede keer dat het (volgens mij wederzijds) bijzonder slecht is bevallen. Het oplossen van kwetsbaarheden lijkt al lastig genoeg, maar het degelijk herstellen van onrechtmatige verwerkingen is schijnbaar een recept voor conflict.

]]> http://floort.net/oeps-cookies-wat-nu/ Fri, 03 Nov 2023 23:51:43 +0200 Floor Terra http://floort.net/oeps-cookies-wat-nu/ Vandaag heeft Ron Roozendaal een blogpost geschreven over politieke partijen die onrechtmatig allerlei tracking cookies gebruiken op hun websites. En ik moet eerlijk bekennen dat ik er een beetje moe van wordt. Alleen al bij politieke partijen blijft de AP keer op keer op keer op keer bezig met zelfs een waarschuwingsbrief tot gevolg. Zelfs als hele concrete overtredingen worden aangereikt is handhaving door de AP niet zichtbaar aanwezig. En het speelt heus niet alleen bij politieke partijen, maar die politieke context maakt de verwerkingen natuurlijk wel extra gevoellig. Bovendien, als partijen door middel van onrechtmatige verwerkingen een oneerlijk voordeel behalen tijdens een verkiezing is de uitslag onomkeerbaar. Geen wonder dat als je zelfs met welwillende partijen praat je terug kan krijgen dat het oneerlijk is omdat de concurenten het wel zo doen.

]]> http://floort.net/hth2023-cvd/ Mon, 02 Oct 2023 09:00:00 +0200 Floor Terra http://floort.net/hth2023-cvd/ “Wij zullen jouw gegevens niet aan derden verstrekken zonder jouw voorafgaande toestemming, …” jokt de gemeente Den Haag in het privacybeleid van de 2023 editie van Hâck The Hague. Tijdens de 2021 editie van het evenement van de gemeente Den Haag heb ik een paar issues gemeld waarbij de (partner van de) gemeente juist wel zonder toestemming persoonsgegevens aan derden verstrekte en dat proces is behoorlijk slecht bevallen. Dit jaar wilde ik controleren of er geleerd is van de vorige melding. Helaas gaat het nog steeds niet goed.

]]> http://floort.net/are-bug-bounties-harmful/ Wed, 09 Aug 2023 23:20:00 +0200 Floor Terra http://floort.net/are-bug-bounties-harmful/ TLDR: It depends.

People who discover bugs and security vulnerabilities and want to improve security by publishing about their findings generally have a substantial task managing competing interests in the process. Publishing your findings can help others learn from that single mistake by installing a known patch, learning what mistakes not to make when building systems, knowing what vendors to avoid or taking other measures. However publishing can also introduce risks by informing people how to abuse vulnerabilities. It’s generally considered good practice to inform those who you know are vulnerable before publication to allow them to take steps to prevent harm. That process can be more time consuming than finding the bugs themselves and can even present a risk for the one reporting the bugs, for example by companies threatening legal action.

]]> http://floort.net/sociale_media_id_plicht/ Wed, 14 Jun 2023 17:00:00 +0200 Floor Terra http://floort.net/sociale_media_id_plicht/ Op sociale media zijn allerlei mensen te vinden die uit frustratie, met kwaadaardgie bedoelingen, of anderszins allerlei misinformatie en haat verspreiden. Omdat dat behoorlijk ernstige vormen kan aannemen door zowel de ernst van indivuduele berichten als de soms constante stroom aan berichten kan de impact enorm zijn. Het is dan ook volkomen begrijpelijk dat mensen hier iets aan willen doen. Daarbij komt opvallend vaak de gedachte langs dat omdat mensen denken dat mensen anoniem zijn op sociale media ze daarom ander gedrag tonen en misdragingen niet aangepakt kunnen worden. Met die gedachte is het ook niet vreemd dat de oplossing ook in die anonimiteit wordt gezocht.

]]> http://floort.net/tracking_without_consent_at_zerocopter/ Sun, 21 May 2023 17:00:00 +0200 Floor Terra http://floort.net/tracking_without_consent_at_zerocopter/ A common theme when trying to report unlawful tracking on websites and apps is that it can be ambiguous whether CVD is meant for these kinds of issues. Is it really a security vulnerability or even a breach of security? My assumption is that generally security policies dictate that security measures are in place to protect against unauthorised and unlawful disclosures of personal data. If that’s the case, when I find unlawful disclosure of personal data I assume there has been a breach of security policy or even technical measures and that it’s fair to report under CVD to allow the organisation to stop the breach and take appropriate measures to prevent further breaches.

]]> http://floort.net/transparancy-in-social-media-monitoring/ Thu, 19 Jan 2023 21:04:00 +0100 Floor Terra http://floort.net/transparancy-in-social-media-monitoring/ Op sociale media zijn er allerlei partijen die meelezen. Dat is precies waar het voor bedoeld is. Maar wie er meelezen is vaak niet zichtbaar en dat levert soms onzekerheid en discussie op. Zo volgt de NCTV volgens de NRC verschillende mensen op Twitter. Maar ook overheidsinstellingen die niet direct aan het werk van inlichtingendiensten en Politie raken lezen mee blijkt uit een rapportage van AG Connect en Trouw.

Vanuit een AVG-perspectief is de maatschappelijke discussie erg ongemakkelijk. Een belangrijk uitgangspunt van de AVG is dat iedereen in principe kan weten wie hun persoonsgegevens verwerken en waarom. Bijvoorbeeld omdat het in de wet staat dat het gebeurt of omdat je zelfs de persoonsgegevens hebt afgegeven of omdat organisaties actief informeren over de persoonsgegevens die verzameld worden. Toch zou ik niet zo makkelijk kunnen vertellen welke organisaties bijvoorbeeld mijn Twitter-berichten verwerken. Ik grap wel eens dat de Politie mij stelselmatig volgt op Twitter.

]]> http://floort.net/coordinated-vulnerability-disclosure-at-the-dutch-dpa/ Mon, 21 Nov 2022 17:00:00 +0200 Floor Terra http://floort.net/coordinated-vulnerability-disclosure-at-the-dutch-dpa/ While discussing Coordinated Vulnerability Disclosure I often experience that people strongly focus on coordinating the vulnerability information with organizations, while the disclosure part is often ignored or even actively discouraged. The last blog I wrote here was actually about a company that argued I had agreed to an enforceable non-disclosure agreement just by visiting their website and reporting a breach. Like my other CVD-related posts, this too is mainly focussed on lessons about the disclosure process. To better understand the decisions I made I feel like it will help if I discuss multiple issues I have reported to the Dutch DPA in the past. While this post lacks an explicit central message, it serves mainly as a brain-dump so people can pick and choose specific points to learn from.

]]> http://floort.net/hth2021-rd/ Fri, 05 Nov 2021 11:00:00 +0100 Floor Terra http://floort.net/hth2021-rd/ Op 27 september 2021 heeft de gemeente Den Haag samen met Cybersprint het evenement Hack the Hague georganiseerd. Hackers van over de hele wereld konden zich inschrijven en onder gecontroleerde omstandigheden de beveiliging van verschillende systemen testen zodat de gemeente en de leveranciers van de gemeente de beveiliging kunnen verbeteren. Dat zorgt voor goede PR voor de gemeente, lost de (meeste) gemelde beveiligingsproblemen op, laat de gemeente en de leveranciers oefenen met het snel oplossen van problemen en is voor de hackers een leuk evenement met een kans op prijzen.

]]> http://floort.net/my-cookie/ Wed, 18 Aug 2021 20:19:43 +0200 Floor Terra http://floort.net/my-cookie/ Recently I have investigated online tracking on the websites of Dutch Political Parties. Read more about that investigation here: Dutch English

Included in that investigation is my request to remove the unlawfully collected personal data. Today I received a response stating that the platform is ‘unable to action a request without verifying the identity of the requester’. While that response is more than three months too late and doesn’t request any further identification, I will assist the identification effort through this blogpost.

]]> http://floort.net/de-volkskrant-waarom-vragen-websites-steeds-opnieuw-welke-cookies-je-toestaat/ Mon, 21 Jun 2021 17:49:55 +0200 Floor Terra http://floort.net/de-volkskrant-waarom-vragen-websites-steeds-opnieuw-welke-cookies-je-toestaat/ Pieter Sabel van de Volkskrant heeft een kort artikel gepubliceert waarin ik uitleg hoe toestemming voor online tracking werkt.

]]>