Een journalist vond zijn eigen paspoortnummer

Hofer, journalist, bekeek een politiedashboard voor surveillance en trof zichzelf erin aan. De vermelding bevatte een foto die Chinese immigratiebeambten aan de grens hadden gemaakt, een paspoortnummer en het mobiele nummer dat in het land was gebruikt. Het was geen lek in de gewone zin, en niemand hoefde iets open te breken om het te zien. Het dashboard was bereikbaar en onbeveiligd.

Het systeem was gebouwd voor het Bureau voor Openbare Veiligheid van Zhangjiakou, een stad in de provincie Hebei niet ver van Peking. Het is een onopvallende plek voor een volledig platform om buitenlanders te volgen, en juist dat maakt de zaak een uur aandacht waard. Niets aan Zhangjiakou wijst erop dat het als etalage is uitgekozen.

Wat het dashboard werkelijk bevatte

Het platform droeg in totaal bijna 12.000 vermeldingen, over voortvluchtigen, mensen uit Hongkong en Taiwan, ruim 700 buitenlandse inwoners van de stad en meer dan 300 buitenlandse journalisten. Elke persoon was ingedeeld naar nationaliteit en had een gestructureerd profiel: geboortedatum, geslacht, burgerlijke staat, adres, beroep en in sommige gevallen religie.

Aan die profielen hingen waarnemingen. Personen verschenen in camerabeelden op kruispunten, op markten, in winkelcentra en in ten minste één geval bij een moskee. Het onderscheid dat u moet vasthouden is dat tussen een lijst en een dossier. Een lijst legt vast dat iemand aanwezig is. Wat dit systeem voortbracht was een doorlopend bijgewerkt leefpatroon, samengesteld uit identiteitsdocumenten en openbare camera's en samengebracht in één beeld van een met naam genoemde persoon.

De leverancier is de bevinding, niet de stad

Eén stad met een ongewoon grondig systeem zou een curiositeit zijn. Het onderzoek traceerde verbanden tussen het platform en Origin Dynamic, een bedrijf uit Peking dat politiediensten voorziet van robotica, surveillancediensten en apparatuur. Datzelfde bedrijf diende in 2023 een octrooiaanvraag in voor een vergelijkbaar systeem, omschreven als een informatie-interface voor niet-Chinese burgers.

Lees beide feiten samen en de gedaante van de zaak verandert. Een octrooiaanvraag is wat een leverancier indient die iets herhaaldelijk wil verkopen en het ontwerp intussen beschermd wil zien. Dit is een tot product gemaakte capaciteit met een benoemde leverancier en rechten erachter, dus de verstandige planningsaanname is niet dat Zhangjiakou ongewoon is. Het is dat Zhangjiakou een installatie is, en installaties hebben zusters.

Twee risico's, en vrijwel geen beleid benoemt het tweede

Elk deugdelijk reis- en uitzendbeleid veronderstelt al verzameling door de staat. Bedrijven briefen over schone apparaten, over wat mee te nemen en wat te zeggen, en verdisconteren dat een buitenlandse autoriteit een registratie kan bijhouden. Dat risico is oud, begrepen en grotendeels beheerst. Het is niet wat hier nieuw is.

Nieuw is de toegangscontrole, of liever het ontbreken ervan. Een samengevoegd dossier over uw werknemer, in een systeem dat iedereen die het wist te vinden kon lezen, ligt bloot voor een veel bredere kring dan de autoriteit die het bouwde: gewone criminelen, commerciële datahandelaren en ieder die concurrentie-inlichtingen tegen u bedrijft. Een profiel dat paspoortnummer, huisadres, werkgever, bewegingen en religie combineert is precies de grondstof voor gerichte fraude, dwang of een poging tot identiteitsmisbruik tegen uw financiële afdeling. De staat was de bedoelde lezer. Door het beveiligingsfalen was dat niet de enige mogelijke.

Drie wijzigingen die dit kwartaal de moeite waard zijn

Informeer de betrokkenen, en doe dat nauwkeurig. Wie naar China wordt uitgezonden of er reist, hoort te weten dat een gestructureerd profiel wordt samengesteld, dat het immigratiefotografie en bewegingsgegevens zal bevatten, en dat het blijkens deze zaak mogelijk niet veilig wordt bewaard. Die laatste bijzin verandert gedrag, want hij zet een abstract politiek risico om in een gewoon risico van gegevensblootstelling waarmee mensen al weten om te gaan.

Beperk vervolgens wat u zelf aan de stapel toevoegt. Houd in uw lokale entiteit het minimum aan persoonsgegevens over uitgezondenen dat de lokale wet vereist, en lever niets extra's uit eigen beweging. Maak ten slotte de vastlegging eerlijk: als persoonsgegevens van werknemers voorzienbaar in een buitenlands overheidssysteem terecht kunnen komen, hoort dat in uw verwerkingsregister en in uw risicobeoordeling over doorgiften, niet in een ongeschreven aanname. Europese werkgevers hebben verplichtingen jegens hun personeel over wat er met hun gegevens gebeurt, en een gedocumenteerde beoordeling weegt zwaarder dan een informeel begrip wanneer iemand er ooit naar vraagt.

Lees hierna: De crawler blokkeren publiceerde uw gesprekken  |  De fiscale dossiers vertrokken via de helpdesk