Servicepagina's: wat dip laat zien
Elke website die persoonsgegevens verwerkt of cookies plaatst, moet dit duidelijk laten zien. En bij voorkeur ook hoe kwetsbaarheden gemeld kunnen worden.
Elke website die persoonsgegevens verwerkt of cookies plaatst, moet daar transparant over zijn. Steeds meer organisaties worden ook geacht een duidelijke manier te bieden om kwetsbaarheden te melden. In dip zijn deze drie verplichtingen samengebracht onder servicepagina's: privacyverklaring, cookie-informatie en kwetsbaarheid melden.
Het overzicht Servicepagina's (beta) combineert inventarisatie en compliance voor alle drie tegelijk. Je hebt het overzicht nodig om uiteindelijk te kunnen zeggen: dit is op orde.
Servicepagina's in dip?
| Servicepagina | Waar komt de verplichting vandaan? |
|---|---|
| Privacyverklaring | Wettelijke verplichting vanuit de AVG, voor elke website die persoonsgegevens verwerkt. |
| Cookie-informatie | Wettelijke verplichting vanuit de Telecommunicatiewet (art. 11.7a), zodra een website niet-functionele cookies plaatst. |
| Kwetsbaarheid melden | Geen algemene wettelijke plicht, maar staand overheidsbeleid: het NCSC adviseert elke overheidswebsite een "coordinated vulnerability disclosure"-pagina te bieden zodat onderzoekers veilig kwetsbaarheden kunnen melden. |
Dip laat je per website zien of deze pagina's aanwezig zijn, waar ze staan en of de link nog werkt, zodat je in één overzicht kunt zien waar actie nodig is.
Privacyverklaring
Wat moet erin staan?
Een goede privacyverklaring bevat ten minste:
- Identiteit en contactgegevens: van de verwerkingsverantwoordelijke: de organisatie die de persoonsgegevens verwerkt
- Verwerkingsdoelen: de doelen waarvoor de persoonsgegevens worden verwerkt
- Categorieën persoonsgegevens: welke soorten gegevens worden verwerkt
- Ontvangers: de organisaties of personen aan wie de persoonsgegevens worden verstrekt
- Rechten van betrokkenen: de rechten die een bezoeker heeft over diens persoonsgegevens
Wat laat dip zien?
- Of er een privacyverklaring is
- Waar de verklaring te vinden is (URL)
- Of de link bereikbaar is
Let op: dip beoordeelt niet of de privacyverklaring juridisch inhoudelijk correct is. Het overzicht laat zien of de randvoorwaarden kloppen, zodat je weet waar je actie kunt ondernemen.
Cookie-informatie
Wat moet erin staan?
Cookie-informatie legt uit welke cookies een website plaatst en waarom. Ten minste relevant:
- Welke cookies worden geplaatst (functioneel, analytisch, marketing)
- Doel van elke cookie of cookiecategorie
- Bewaartermijn van de cookies
- Derde partijen die via cookies gegevens ontvangen
- Keuzemogelijkheid voor de bezoeker (toestemming geven of weigeren, met name bij niet-functionele cookies)
Wat laat dip zien?
- Of er cookie-informatie is gekoppeld aan de website
- Waar deze te vinden is (URL)
- Of de link bereikbaar is
Net als bij de privacyverklaring geldt: dip controleert of de pagina aanwezig en bereikbaar is, niet of de inhoud juridisch volledig is. Voor een inhoudelijk beeld van welke cookies daadwerkelijk gevonden zijn op een website, gebruik je het cookie-detailoverzicht (zie verwante artikelen).
Kwetsbaarheid melden
Wat moet erin staan?
Een pagina voor het melden van kwetsbaarheden (ook wel responsible disclosure of coordinated vulnerability disclosure genoemd) beschrijft doorgaans:
- Scope: welke systemen wel/niet onder het beleid vallen
- Manier van melden: contactgegevens of formulier, bij voorkeur met de mogelijkheid om versleuteld te melden
- Wat wel/niet mag tijdens onderzoek naar een kwetsbaarheid
- Reactietermijn: wanneer een melder een reactie mag verwachten
- Vrijwaring: toezegging dat een melder die zich aan de regels houdt, niet wordt aangesproken
Wat laat dip zien?
- Of er een pagina voor kwetsbaarheid melden is gekoppeld aan de website
- Waar deze te vinden is (URL)
- Of de link bereikbaar is
Dit onderdeel staat, net als het bredere servicepagina's-overzicht, nog in beta. Waar bij privacyverklaring automatische detectie plaatsvindt, wordt cookie-informatie en kwetsbaarheid melden op dit moment vooral handmatig vastgelegd bij de website. Vandaar dat je hier vaker de status "Leeg" tegenkomt totdat dit is ingevuld.
Hoe bepaalt dip de status?
Dip werkt met een combinatie van automatische detectie en handmatige correctie:
- Voor de privacyverklaring zoekt dip automatisch naar een pagina op de website (bijvoorbeeld via herkenbare privacy-URL's).
- Wordt er niets gevonden, maar is er wel een pagina? Dan kun je die handmatig invullen of corrigeren bij de website. Dit geldt voor alle drie de servicepagina's.
- Dip controleert vervolgens periodiek of de ingestelde link nog werkt.
Mogelijke statussen
| Status | Betekenis |
|---|---|
| 🟢 Aanwezig | Er is een pagina gevonden of ingesteld en de link is bereikbaar. |
| 🔴 Ontbreekt | Er is geen pagina gevonden en er is ook geen link ingesteld. |
| 🟠 Ongeldige URL | Er was ooit een link ingesteld, maar deze werkt niet meer. |
| ⚪ Leeg | Voor deze servicepagina is nog niets vastgelegd bij de website. |
| ⚪ n.v.t. | Je hebt expliciet aangegeven dat deze verplichting niet van toepassing is op deze website. |
De signalen zijn geen score, maar een aandachtssignaal. Net als bij andere onderdelen in dip: rood betekent "hier moet je even kijken".
Waarom ontbreekt dit zo vaak?
Uit de praktijk blijkt dat het ontbreken van servicepagina's zelden een technisch probleem is. Het is meestal een governancevraagstuk.
Typische oorzaken:
- Niemand voelt zich eigenaar van de website
- Er is wel een basismodel of centraal beleid, maar dit is nooit toegepast op alle websites
- SaaS-oplossingen of projectwebsites vallen "tussen wal en schip"
- Kwetsbaarheid melden wordt vaak organisatiebreed geregeld (bijvoorbeeld op één centrale website), maar niet gekoppeld aan alle losse kanalen
Een ontbrekende servicepagina zegt dus vaak meer over verantwoordelijkheid dan over techniek. Je kunt dit probleem pas oplossen als je eerst weet welke websites je allemaal hebt en wie waarvoor verantwoordelijk is.
Hoe gebruik je dit overzicht in de praktijk?
Dit onderdeel gebruik je om:
- Snel te zien welke websites aandacht nodig hebben, per type servicepagina
- Het gesprek te voeren met website-eigenaren of leveranciers
- Notities toe te voegen over inhoudelijke beoordeling (bijvoorbeeld na overleg met een jurist of security officer)