AP komt met keuzehulp privacy bij videobel-apps

Dit artikel delen:

De Autoriteit Persoonsgegevens (AP) heeft een keuzehulp samengesteld die dertien veelgebruikte apps vergelijkt op basis van de belangrijkste privacyaspecten. Bekeken is welke gegevens de app verzamelt, wat de app daarmee doet en of de communicatie beveiligd is.

Aanleiding tot de keuzehulp zijn de vele vragen die de AP hierover krijgt. Nu we massaal zijn gaan videobellen tijdens de coronacrisis, is ook de discussie hierover verhevigd. Vooral Zoom is in opspraak vanwege problemen met de privacy. In een aantal landen wordt deze app afgeraden of is zelfs verboden voor gebruik voor regeringsdoeleinden. De AP maant tot voorzichtigheid bij het gebruik van Zoom omdat die app nog volop in ontwikkeling is. 

Overigens heeft de AP geen uitgebreid, technisch onderzoek kunnen doen naar de apps. De AP gaat af op wat bedrijven zelf zeggen over wat hun videobel-apps met uw gegevens doen, bijvoorbeeld in hun privacyverklaring. Vergeleken zijn onder meer Teams, FaceTime, Hangouts, Houseparty, Messenger, Skype, WhatsApp en Zoom. Cisco WebEx en AdobeConnect ontbreken in het overzicht.

De AP keek naar wat de app te bieden heeft. Welke app valt aan te bevelen, hangt vooral af van wat de gebruiker ermee wilt. Verder is belangrijk hoe gevoelig de informatie is die wordt besproken. Veel apps zijn geschikt om even gezellig mee te videobellen met een familielid. Maar het wordt anders als je een vertrouwelijk gesprek moet voeren met een patiënt of cliënt. Hoe gevoeliger de informatie des te hoger de eisen aan onder meer de beveiliging van de app.

Goed nadenken

Organisaties die een videobel-app willen gebruiken, moeten goed nadenken over de privacyaspecten. Kijk ook naar de mogelijkheden van de app die je wilt gebruiken. Ga na of een verwerkersovereenkomst valt af te sluiten. Ook kan het handig zijn om een betaalde versie te nemen als die meer (privacy)opties biedt.

Een app die end-to-end versleuteling ondersteunt, is gewenst bij vertrouwelijke gesprekken. Bij zo'n app kan niemand de inhoud van de communicatie zien, zelfs de aanbieder van de app niet. End-to-end-versleuteling is een techniek die ervoor zorgt dat alleen de verzender en de ontvanger de inhoud van het gesprek kunnen zien. Bij groepsgesprekken wordt dit soort versleuteling niet ondersteund. Of alleen met een beperkt aantal deelnemers.

Bij gevoelige een-op-een-gesprekken is het van belang dat de app geen gegevens verwerkt over het gesprek (metadata) zoals wie met wie belt. Aangeraden worden apps die dat zo min mogelijk doen, zoals Jitsi, Signal en Talk.

De AP adviseert zorginstellingen ook te kijken naar de tips voor beeldbellen van de NEN, KNMG en LVVP. 

Het overzicht staat hier.

x

Om te kunnen beoordelen moet u ingelogd zijn:

Dit artikel delen:

Reacties

dag Computable

Goed artikel en fijn dat AP dit in kaar heeft gebracht.

Alleen kan ik nergens vinden waar te lezen is dat AP maant tot voorzichtigheid bij het gebruik van Zoom. Is dat een eigen conclusie?

Ik verwijs u graag naar de opmerking die AP heeft geplaatst onder de voetnoten bij de tabel in het document. Hierin wordt opgeroepen tot voorzichtigheid.

Jitsi FTW! deployen in een container op eigen infrastructuur.

Henri,
Eens! Alleen als ik de berichten in de community lees dan denk ik dat het opzetten van veilige communicatie iets meer is dan een container neerzetten:

https://docs.easyjitsi.com/docs/docker

Maar dat geldt voor alles wat met IT te maken heeft. Goed en veilig werk leveren vergt expertise, ervaring en doorzetten.
Nothing is ever easy...

@Henri Zat ik ook al aan te denken jitsi server via docker, aan de andere kant voor het incidentele video gedoe is het zo wat. Onlangs via Jitsie gevideood, iedereen via de browsers (chrome, firefox). Werkte niet soepel, het gesprek ging meer over krakend geluid en verdwenen verbindingen. Gewoon clients van Jitsi gebruiken, dat zal een hoop verbeteren maar vroeg me af: kun je ook video conferencen met de eigen jitsi clients?

En nu is er weer iemand die heeft het over discord. Nooit van gehoord, eens kijken.

Discord is voor kinderen en slechte UX.

Zie hier een aantal NL partijen die Jitsi hebben ingezet op NL infrastructuur: https://vc4all.nl/

Als het niet lekker loopt is er overbelasting of hebben de clients geen goed internet. Maar in dat geval zal Google Meet, Teams, etc niet beter functioneren.

@Henri Ha ha, ik zal het doorgeven over Discord. Voor kinderen en een slechte UX.

Ik heb met Jitsi begrepen, even zoeken, dat via browser er een mogelijkheid is dat het niet soepel loopt. Overigens, er was een server van die lijst gebruikt. Daarom dat ik ook dacht, de eigen Jitsi clients zal vast beter zijn. En omdat ik niet achter kwam was mijn vraag: kun je ook videoconferencen via de eigen Jitsi clients ipv via de browser?

Je bent overgeleverd aan diegene die de server draait, vind Jitsi nog het meest sympathiek klinken.

Jitsi heeft in principe alleen een browser client met WebRTC. De client die Jitsi heeft die installeerbaar is, is oude meuk en moet genegeerd worden.

Tja, dat geldt voor alle software dat die mogelijk soms niet soepel loopt.

Als je via de NL lijst en slechte ervaring: Het kan natuurlijk dat iemand even een okkiepokkie server deelt met het grote internet. Op Jitsi.org zelf heb ik nog geen enkele slechte ervaring gehad.

Maar Jitsi is in principe via de browser. Wel hebben ze voor Jitsi zelf ook een App op IOS en Android. Die werken ook uitstekend.

Ben groot fan van Jitsi en momenteel bouwen we er zelfs een live streaming event mee.

"Jitsi FTW! deployen in een container op eigen infrastructuur."

Zo is dat. Zelf hosten ipv afnemen als cloudservice is de toekomst.
Ineens ... :-P


ik heb jitsi geïnstalleerd zonder container, dan verbaas je je over de hoeveelheid configuratie-bestanden.
Echt soepel loopt zo'n installatie niet, zelfs niet op een server waar geen enkele andere webapplicatie op staat behalve de broodnodige apache.
Documentatie is typisch open source, bijna niets.
Daar lijkt "BigBlueButton" beter maar vraagt wel erg veel resources.

Dino.. VPC op AWS zie ik ook als "eigen" infrastructuur, dat had je moeten weten :-)

Jan, Jitsi gebruikt nogal wat Java en Java is wat je noemt "verbose".

Als je je verder verdiept in OBS / WebRTC / XMPP dan ontkom je niet aan een hele hoop frameworks en libs bij elkaar trekken. Er komt echt heel veul bij kijken.

Jitsi is gewoon een aardige mogelijkheid als je toch aan videoconferencing wilt doen maar ook een beetje compliant wilt blijven.



Henri,
Van 'even' een container in de ochtend naar 'heel veul' in de avond is als het huidige beleid in de crisis, we springen van probleem naar probleem en vergeten in vervolgens waarom we dat doen. Een beetje compliant of toch maar niet?

@Jan
Open source heeft als nadeel dat er wel enige kennis verwacht wordt, documentatie van Jitsi is niet slecht maar op sommige punten niet altijd compleet omdat er een zelfredzaamheid verwacht wordt. Verder had ik op basis van het architectuur ontwerp al een idee over wat er aan resources nodig is, het oodschappenlijstje is niet schokkend.

@Dino
Je vergeet één belangrijk punt waar AP op wijst, een niet onbelangrijk punt als we overwegen dat de Amerikanen meekijken in onderzoeken naar Corona nu dit als nummer één op de lijst van bedreigingen staat. De cloud is zoals Edward Snowden het al stelde een business model voor spionage.

Ja, die IaaS is een speciale XaaS.
De hardware en beheerinterface wordt geleverd als dienst.
En het configureren van de infra doe je weer zelf.
Het shared responsibility model.

Maar als ik de reacties samenvat heb je een oplossing die
- Niet eenvoudig te maken is en slecht gedocumenteerd.
- Wel de beheerlast heeft van het inrichten van de hele infra-software stack.
- Regeringen mee kunnen kijken.
Compliant aan Okkiepokkie as a Service ?

@oudlid
https://bigbluebutton.org/
dat is geen jitsi, en vraagt een bare-metal server om te funktioneren.
Dat bij FOSS "wel enige kennis verwacht wordt" is voor mij niets nieuws, ik werk hoofdzakelijk met FOSS.

@henri
Inderdaad er komt veel bij kijken als je zelf grip wilt houden op de frameworks. Gezien de gemelde veiligheidsrisiko's bij jitsi leek me dat beter.

Dino, het is net wat je wilt lezen.

- De techniek is complex en Jan vind de documentatie minder. Het is wel degelijk eenvoudig in te richten, aanpassingen en maatwerk vergt wel inzicht en moeite, maar dat geldt voor iedere technologie met veel componenten.
- Een container beheren is geen last, prima te isoleren en te recoveren of te verplaatsen.
- Of regeringen mee kunnen kijken is zeer suggestief en niet anders dan dat je een ander bedrijf gebruikt die de spullenboel voor je host.

Als we al mijn en jouw input naast elkaar leggen... waarmee bereik je dan het meeste? Kritiek leveren is geen activisme.

Henri,
Beheer van diensten is meer dan techniek, het omvat ook de zorg voor compliance. En compliance betekent dat je werkt in overeenstemming met geldende wet- en regelgeving. En het is inderdaad wat je wilt lezen in de privacy verklaringen van de Amerikaanse dienstverleners, ik lees dat ze aan een wettelijke derde verstrekking doen.

Suggestief of niet, de conclusie van Computable expertsessie Infosecurity 2012 waaraan jij ook deelname ging om controle op service providers. Want vertrouwelijkheid tot aan de voordeur maar niet weten wat er achter de gesloten deuren gebeurt voedt de angst voor achterdeurtjes. Dino is kritisch maar vertrouwen als marketing gaat vooral om de antwoorden die je geeft of hoe deze te interpreteren zijn.

Hactivisme als het nieuwe ondernemen gaat om kritische vragen stellen want als (meta)data van diensten gebruikt kan worden om mensen te identificeren of te localiseren dan klinkt het als persoonsgegevens. En hiervoor gelden regels over de verwerking en opslag ervan. Betreffende laatste is het de vraag of de achterliggende opslag van een dienst versleuteld is en wie allemaal de sleutels hiertoe hebben.

Virtuele appliances (VPC) kunnen gebruikt worden voor deployment naar één van de vele multi-tenant datacentra in Nederland. Daar zijn veelal beter contractuele afspraken mee te maken dan Amerikaanse olifanten die voorwaarden opleggen welke nog weleens wijzigen omdat je uiteindelijk geen portabiliteit hebt.

Oudlid, wat is nu je punt?

Even voor de duidelijkheid, jitsi is met docker wellicht eenvoudig in te richten.
Wil je de configuratie-bestanden van de diverse frameworks beheren (system management) dan blijkt dat ook zonder maatwerk en aanpassingen een ingewikkeld komplex, uit oogpunt van beheer geen highlight.
Het verbaast me dan niet dat er gerapporteerde "security vulnerabilities zijn (in XMPP).

Ik heb daar configuratie-files voor php, java, javascript met bergen uitgekommenteerde instellingen.
Vergeleken met komplexe ERP's zoals OpenBravo of een systeem als Moodle, kommt dit tamelijk onrijp over.

Henri,
Ik heb eigenlijk niet één punt maar vele punten maar zal me beperken tot het punt van vertrouwen, hoe denk je dit te gaan krijgen? Aan wie geeft een gebruiker zijn vertrouwen en waarom? Wat zijn de consequenties als dit vertrouwen geschaadt wordt? Dino stelde vragen, ik heb de antwoorden alleen wil je ze niet horen want ze passen niet in je agenda.

@Dino Onder onze ogen gaat de economie volledig ten gronde dus uiteindelijk draait het uit op een eigen moestuin en een eigen server.

Mijn overweging zou hoogop zijn, een manier om een soepele videobijeenkomst te houden. Zonder enorme bakken te moeten neertellen. Vandaar dat het even door het hoofd schoot: zelf een jitsi docker neerpoten. Was ook weer snel klaar, nog maar 2 video bijeenkomsten gehad en dat is wel weer genoeg dat arremoedige gepruts. Zoom is de beste tot nu toe die ik gezien heb. De Jitsi server die ik gebruikte was van bit.nl. Waar het nou aan lag weet ik niet, maar het gesprek ging alleen maar over slecht geluid, dubbele schermpjes, verdwijnende verbindingen. Stilstaande beelden. Vroeg me nu toen af: waar zit dat nou in?

@Jan Java waar begin je aan! Verbose is een understatement, logs per strekkende Mb. Nooit iets van begrepen dat Java. Doe dan een dockertje.

Oudlid, argumenteren met jou loopt zelden ergens op uit. Als ik zeg; cloud is goed want.. dan weet je altijd weer een uitzondering te bedenken. Je kunt niet alles tot op de laatste komma uitkauwen in een reactie.De wereld is wat te complex daarvoor. Daarnaast wil je altijd en overal het laatste woord en kom je vroeg of laat weer aanzetten met het bonnetje van Teeven.

"Aan wie geeft een gebruiker zijn vertrouwen en waarom?" Alleen daarop kun je al boeken vullen en nog steeds niet compleet zijn. Van Zoom wordt gehakt gemaakt en het is mateloos populair. Er is dus geen binair antwoord. Als ik zeg dat Jitsi open source is en dit kan helpen met vertrouwen, dan stel je de provider weer ter discussie.

Dan sluit je uit met het suggestieve " ik heb de antwoorden alleen wil je ze niet horen want ze passen niet in je agenda."

Dat bij elkaar opgeteld zorgt er voor dat ik geen tijd meer aan jou wil verdoen en negeer ik je reacties. Duidelijk zo?

Dus als je mijn reactie wilt: Wees to the point en concreet zonder die verkapte beledigingen.

@Henri
als je voor klanten in de service werkt, dan wordt je geconfronteerd met allerlei software, ook Java.
Jitsi, jicofo en xmpp is allemaal java dus als je jitsi gebruikt, dan gebruik je java.

Docker is aardig voor experimenten, een beheersbare omgeving opzetten, die ik zelf vorm wil geven, doe ik niet met docker.

En Henri, Zoom? Heb je de persberichten niet gelezen?

Jan: Zoom gebruikte ik als voorbeeld in reactie op Oudlid.

"Aan wie geeft een gebruiker zijn vertrouwen en waarom? "

Zoom is onbetrouwbaar, deelt veel gegevens, maar krijgt blijkbaar van veel gebruikers vertrouwen. Gebruikers is een brede term. Een CSO is ook een gebruiker.

@Henry
ik dacht al, zo ken ik je niet, verkeerd begrepen sorry.
Nadat ik de bril gepoetst had zag ik dat ik Louis' uitspaak jou toegedicht had m.b.t. java.

@redaktie, de schrift van de website mg ook wat groter . . . . wcag

@Jan Ha ha, ik dacht het al toen ik jouw reactie las. Ctrl-+ wil helpen.

Ik heb Java-vrees dan is zo een docker image een uitkomst voor me. Niet bij jitsi nu, wel eerder bij een andere toepassing. Elastic. Vond het toen toch wel handig zo een docker image, je hoeft je alleen druk te maken over de configuratie en het bleek nog handig ook toen ik een verkeerde versie te pakken had. Zie het voordeel er wel van.

Zoom, ik heb het uiteraard meegekregen, stel alleen vast dat het prima werkte die ene keer dat ik het gebruikt heb. Na die verhalen wilde niemand het meer gebruiken en begon een zoektocht. Toen jitsi, en of het nu aan de server lag, of aan jitsi, vond het heel moeizaam. Telefoneren vind ik heel handig!

Best grappig dat Zoom onbetrouwbaar is omdat het veel gegevens deelt, ik heb dat gevoel bij oplossingen die een verdienmodel hebben op basis van gepersonaliseerde advertenties: "Als je niet betaald voor het product dan ben je het product."

Zoom heeft leuke virtuele backgrounds dus het zal vooral populair zijn door functionaliteiten. Het schijnt dat je met TensorFlow iets gelijks kunt doen, je kunt daarmee je achtergrond weghalen. Maar je kunt met cognitieve AI framework, zowel real-time als met opgeslagen beelden, nog meer doen. Lang leve de cloud want ik heb leuk zitten spelen met TensorFlow en de object herkenning scoort nu nog beter dan gezichtsherkenning maar dat is alleen maar een kwestie van trainen.

Zeggen wat je gaat doen en doen wat je zegt te zullen doen zijn vaak twee verschillende dingen, weggooien of toch alleen maar verplaatsen? Wat zouden sommige providers bijvoorbeeld bedoelen met het verbeteren (trainen) van hun product? Of stel ik nu te suggestieve vragen over een technologie waarvan sommige het potentieel onderschatten en anderen misschien niet eens het bestaan van weten?

@een oudlid
Zoom is niet alleen onbetrouwbaar omdat het je gegevens deelt, maar ook omdat de beveiliging zo ongeveer afwezig is. Hackers kunnen gegevens van pc's van Zoom-gebruikers buitmaken, zoals accountinfo met wachtwoorden. Dat is erger dan jouw gegevens lekken naar Facebook, wat bv in de iOS en Android Zoom apps zat.

TensorFlow is inderdaad verrassend krachtig met de juiste use case!

Frank Heikens,
Ik gebruik ondertussen 7 to 8 verschillende oplossingen en Zoom is daar één van omdat deze zich bewezen heeft bij webinars. Ik laat het open of je de voorkant invult met Zoom, Jitsi of een andere oplossing. Dat is namelijk het mooie van alle framewerken in de achterkant waarmee je een heleboel leuke dingen kunt doen.

Misschien moeten we nieuwe Corona-app als Pokemon Go maken, een gamificatie van de 1,5 meter maatschappij. Als je de camera van je telefoon op iemand richt die besmet is dan veranderd deze in monster;-)

Uw reactie

LET OP: U bent niet ingelogd. U kunt als gast reageren maar dan wordt uw reactie pas zichtbaar na goedkeuring door de redactie. Om uw reactie direct geplaatst te krijgen moet u eerst rechtsboven inloggen of u registreren

Vul uw naam in
Vult u een geldig e-mailadres in
Vult u een reactie in
Jaarbeurs b.v. gaat zorgvuldig en veilig om met uw persoonsgegevens. Meer informatie over hoe we omgaan met je data lees je in het privacybeleid
Als u een reactie wilt plaatsen moet u akkoord gaan met de voorwaarden
Vacatures bij AP

Stuur dit artikel door

Uw naam ontbreekt
Uw e-mailadres ontbreekt
De naam van de ontvanger ontbreekt
Het e-mailadres van de ontvanger ontbreekt

×
×
article 2020-04-16T09:11:00.000Z Alfred Monterie
Wilt u dagelijks op de hoogte worden gehouden van het laatste ict-nieuws, achtergronden en opinie?
Abonneer uzelf op onze gratis nieuwsbrief.