TRANSPARANTIERAPPORT 2022 BIT B.V. – VERSIE 2023-02-03

In 2012 bracht BIT voor het eerst een transparantierapport uit. Het doel was om inzicht te geven in hoe vaak we verzoeken krijgen om persoonsgegevens van onze klanten, hoe vaak we ’notice-and-take-down’-verzoeken ontvangen en verwerken, en hoeveel Responsible Disclosure-meldingen we binnenkrijgen. Dit rapport bevat informatie over het jaar 2022.

We delen deze informatie om open te zijn naar onze relaties en geïnteresseerden, aangezien privacy steeds belangrijker wordt. Om trends zichtbaar te maken, hebben we cijfers van 2018 tot en met 2022 opgenomen in dit rapport. Op verzoek kunnen we ook cijfers van voor 2018 beschikbaar stellen.

Hieronder vindt u per categorie het aantal ontvangen klachten/verzoeken/meldingen en de wijze waarop deze afgehandeld zijn.

Verstrekking van persoonsgegevens

In de tabel hieronder ziet u hoeveel verzoeken BIT heeft ontvangen om persoonsgegevens (ook wel: NAW- gegevens) van klanten aan opsporingsinstanties te verstrekken. Ook kunt u hier zien of BIT wel of niet aan de verzoeken heeft voldaan.

NAW-bevragingen

Het aantal NAW-bevragingen hebben we in onderstaande grafiek geplaatst zodat u een duidelijk overzicht heeft van de jaarlijkse ontwikkelingen.

Melding van inbreuk in verband met persoonsgegevens

BIT is wettelijk verplicht om melding te maken bij geval van inbreuk in verband met persoonsgegevens. In 2022 was er geen reden voor BIT om melding te maken.

De eerdere meldingen van inbreuken in verband met persoonsgegevens in 2018 was het gevolg van verlies van een telefoon van een medewerker waarop toegang was tot de zakelijke e-mailaccount van de betreffende medewerker. De telefoon was voorzien van een wachtwoord en encryptie.

Tapbevelen

Het is mogelijk voor de Nationale Politie, FIOD-ECT, Nederlandse Arbeidsinspectie, IOD, AID, AIVD en MIVD om een bevel bij een provider neer te leggen tot (af)tappen. Dat kan een e-mail- of IP-tap zijn. De tabel hieronder toont hoeveel tapbevelen BIT heeft ontvangen.

Take-down-verzoeken

Onderstaand een overzicht van de verschillende take-down-verzoeken die BIT ontvangen heeft en hoe deze afgehandeld zijn.

Take-down-verzoeken inzake malware

Onderstaande tabel toont hoeveel take-down-verzoeken BIT ontvangen heeft vanwege het (vermeend) hosten van malware en hoe deze afgehandeld zijn.

Het aantal take-down-verzoeken inzake malware hebben we in onderstaande grafiek geplaatst zodat u een duidelijk overzicht heeft van de jaarlijkse ontwikkelingen.

Take-down-verzoeken inzake copyright schending

In het Transparantierapport van 2013 meldde BIT voor het eerst het aantal notice-and-take-down-verzoeken wegens vermeende copyrightschending. De aantallen van de afgelopen vijf jaar zijn te vinden in de onderstaande tabel.

Het aantal take-down-verzoeken inzake copyrightschending hebben we in onderstaande grafiek geplaatst zodat u een duidelijk overzicht heeft van de jaarlijkse ontwikkelingen.

Tot 2020 werd het merendeel van de niet in behandeling genomen klachten geautomatiseerd ingediend door een klein aantal partijen namens de film- en muziekindustrie. Dit voldeed toendertijd niet aan onze notice-and-take-down-procedure.

Sinds 2021 meldt BIT klachten van deze partijen wel door, wat de grote stijging verklaart in het aantal doorgemelde klachten.

Take-down-verzoeken inzake phishing

Onderstaande tabel toont aan hoeveel klachten BIT ontvangen heeft over phishingsites en hoe deze afgehandeld zijn.

Het aantal take-down-verzoeken inzake phishing hebben we in onderstaande grafiek geplaatst zodat u een duidelijk overzicht heeft van de jaarljikse ontwikkelingen.

Kinderporno

Onderstaande tabel toont hoeveel take-down-verzoeken BIT ontvangen heeft over kinderporno en hoe deze afgehandeld zijn.

Terroristische content

Vanaf juni 2022 is er een Europese verordening van toepassing die regels vaststelt om de verspreiding van online terrorisch materiaal tegen te gaan. In Nederland worden deze regels gehandhaafd door de ATKM.

In 2022 heeft BIT geen take-down-verzoeken inzake terroristische content ontvangen.

Responsible Disclosure

In onderstaande tabel wordt aangegeven hoeveel Responsible Disclosure meldingen er bij BIT zijn gedaan. In dit overzicht hebben we onderscheid gemaakt in afgewezen meldingen, reeds bekende kwetsbaarheden en nog niet bij ons bekende kwetsbaarheden.

Het aantal Responsible Disclosure meldingen dat BIT heeft ontvangen hebben we in onderstaande grafiek geplaatst zodat u een duidelijk overzicht heeft van de jaarlijkse ontwikkelingen.

Conclusies en opmerkingen

BIT levert geen diensten aan particuliere klanten en dit is de reden waarom het aantal bevragingen van persoonsgegevens en het aantal tapbevelen laag blijft. In 2022 hebben we wederom geen tapbevelen ontvangen.

Het aantal gerapporteerde malwarebesmettingen is sterk afgenomen in 2021 en 2022. Dit komt mogelijk door de melding van deze besmettingen via andere classificaties, zoals RBL-listings.

Het aantal meldingen van schendingen van auteursrechten (copyrightmeldingen) is wederom gedaald. Sinds 2021 meldt BIT echter wel klachten van partijen die namens de film- en muziekindustrie meldingen doen door, wat verklaart dat het aantal doorgemelde klachten gestegen is.

Sinds 2019 hebben we besloten om geen vergoeding meer te vermelden in ons Responsible Disclosure-beleid. Daardoor is het aantal meldingen na 2018 lager. Wel krijgen we nog relatief veel meldignen over zaken die bewust openbaar zijn en waar bewuste keuzes zijn gemaakt voor instellingen, of waar kwetsbaarheden zijn vastgesteld uit versienummers terwijl er bijvoorbeeld backports zijn gebruikt. Daarnaast krijgen we ook meldingen over systemen die zijn uitgesloten in ons Responsible Disclosure-beleid, zoals klantsystemen. Deze meldingen sturen we wel door naar de betreffende klant.