DPE-register

Data Protection Exposures: 48 foutpatronen met een vast nummer. Niet een lijst van incidenten, maar van de manieren waarop het misgaat. Komt hetzelfde nummer terug bij een andere organisatie, dan is het aantoonbaar dezelfde fout, en geen toeval.

Een patroon zegt wat er kapot is, niet wie het is. Wat een nummer niet vaststelt staat er expliciet bij, net als de weerlegging die het onderuit zou halen.

Keten10

Fouten die ontstaan doordat partijen data aan elkaar doorgeven.

DPE-2026-0008Formulier bij een derdeEen formulier dat bij de site lijkt te horen, staat bij een derde die voor eigen rekening profileert.DPE-2026-0009Externe bron inladenEen bron die rechtstreeks van een derde wordt geladen, maakt van elke paginaweergave een doorgifte.DPE-2026-0015Biedverzoek naar veel partijen tegelijkEen paginaweergave gaat tegelijk naar veel biedende partijen, elk met de context en een identifier.4 zakenDPE-2026-0016Identificatiemerken uitwisselenTwee partijen wisselen elkaars identifier uit, zodat hun aparte dossiers over dezelfde persoon te koppelen zijn.1 zaakDPE-2026-0020Derde partij onder een eigen subdomeinEen subdomein van de site zelf wijst naar een derde, zodat diens verzameling leest als die van de site.3 zakenDPE-2026-0025Transactiegegevens buiten de betaalketenGegevens over een betaling bereiken partijen die geen rol spelen in het uitvoeren ervan.1 zaakDPE-2026-0031E-mailadres als sleutel tussen dienstenEen adres dat voor contact is gegeven, gaat door naar andere partijen, plat of als hashwaarde, zodat zij dezelfde persoon herkennen.DPE-2026-0032Account gekoppeld aan het volgprofielBij het inloggen gaat de accountaanduiding van de dienst naar een partij die al een profiel van dezelfde browser had.DPE-2026-0043Registraties gekoppeld op persoonsnummerGegevens die voor de ene wettelijke taak zijn verzameld, worden op het persoonsnummer gekoppeld aan die van een andere instantie.DPE-2026-0046Locatie uit een app die wordt doorverkochtLocatie die een onderdeel in een app verzamelt, duikt op als dataset bij een partij die de gebruiker nooit koos.1 zaak

Gegevens19

Fouten in wat er wordt verzameld en hoe herleidbaar dat is.

DPE-2026-0005SessieopnameDe sessie zelf wordt opgenomen, niet alleen de paginaweergave.1 zaakDPE-2026-0006Invoer naar derdenWat de bezoeker intypte of zocht, bereikt een derde partij.DPE-2026-0007ApparaatherkenningHet apparaat wordt herkend aan zijn kenmerken, zonder dat er iets is opgeslagen.DPE-2026-0017Wettelijk persoonsnummer naar een derdeEen nummer dat de overheid toekent voor identificatie gaat naar een partij zonder wettelijke taak die het vraagt.2 zakenDPE-2026-0018Document verder uitgelezen dan de controleEen identiteitscontrole legt het hele document vast waar de vraag aan een fractie genoeg had.2 zakenDPE-2026-0019Bijzondere gegevens in een gebeurtenisEen gebeurtenis naar een derde verraadt gezondheid, geloof of seksualiteit via zijn naam, pad of parameters.2 zakenDPE-2026-0021Aftasten van het apparaat van de bezoekerEen pagina tast de eigen machine of het thuisnetwerk van de bezoeker af om te zien wat daar draait.1 zaakDPE-2026-0023Aanwezigheid via een automatisch antwoordEen systeem antwoordt uit zichzelf op een ongevraagd signaal, en dat antwoord verraadt of er iemand is.DPE-2026-0030Openen van een bericht wordt gemetenEen bericht meldt terug wanneer het geopend is, via een bron die bij het weergeven wordt opgehaald en de ontvanger aanwijst.DPE-2026-0033Inloggen vraagt meer dan inloggen nodig heeftInloggen via een andere partij geeft in dezelfde handeling toegang tot gegevens die voor het inloggen niet nodig zijn.DPE-2026-0034Logboek met inhoud in plaats van gebeurtenissenEen logboek bewaart wat iemand invulde of te zien kreeg, terwijl vastleggen dat er iets gebeurde volstaat.DPE-2026-0036Productiviteitsmeting per medewerkerWerksoftware legt activiteit per persoon per tijdvak vast en maakt daar een cijfer over die persoon van.DPE-2026-0037Schermopname op het werkapparaatWerksoftware neemt het scherm zelf op, met vaste tussenpozen of op een signaal, zonder dat de medewerker dat start.DPE-2026-0038Dienstvoertuig gevolgd buiten werktijdEen volgsysteem blijft posities vastleggen als het voertuig buiten dienst is, zonder werkende manier om privegebruik aan te geven.DPE-2026-0039Examentoezicht met gedragsscoresExamensoftware kijkt naar lichaam, geluid en scherm, en houdt per student een verdenkingsregistratie over na de uitslag.DPE-2026-0041Invoer wordt standaard trainingsmateriaalWat iemand in een dienst typt, wordt bewaard om een model te verbeteren, tenzij hij een instelling vindt en uitzet.DPE-2026-0042Uitbreiding vraagt meer rechten dan haar functieEen uitbreiding claimt toegang tot alle paginas terwijl de functie die zij beschrijft over een handvol sites gaat.DPE-2026-0047Camera die verder kijkt dan het eigen terreinEen camera die voor het eigen terrein is opgehangen, legt ook de openbare weg of de grond van een ander vast.DPE-2026-0048Interne toegang ruimer dan de functieIedereen met een account kan elk dossier openen, omdat de toegang het systeem volgt en niet de taak.

Methode5

Fouten in de meting of de bewijsvoering zelf.

DPE-2026-0011Afwezig in de broncode telt als verwijderdEen bevinding concludeert dat de tracking weg is omdat de identifier niet meer in de broncode staat.DPE-2026-0026Ontvanger toegeschreven op een spoofbare headerEen bevinding wijst de veroorzakende pagina aan op basis van een header die iedereen kan zetten.DPE-2026-0027Land bepaald met een verouderde databaseEen doorgifteclaim rust op een adres-naar-landtabel die niet meer klopt met de toewijzing.DPE-2026-0028Aanwezigheid in de binary telt als verzendingEen bevinding ziet een onderdeel in een pakket aan voor bewijs dat het ook verzendt.DPE-2026-0029Mislukte meting telt als schoon resultaatEen meting die niet werkte, wordt gerapporteerd als een onderwerp dat niets doet.

Bewaring3

Fouten in hoe lang gegevens blijven staan.

DPE-2026-0024Herkenning van elke passantEen herkenningssysteem legt iedereen vast die het ziet, terwijl het doel alleen over de gezochten gaat.DPE-2026-0035Wissen dat de back-up niet bereiktEen op verzoek gewist gegeven blijft in de back-up staan en komt bij een herstel weer in het systeem terug.DPE-2026-0045Serverlogboek zonder bewaartermijnLogbestanden met adressen en opgevraagde pagina's blijven staan omdat er nooit een termijn is ingesteld.

Telemetrie3

Fouten in meetverkeer dat buiten het zicht van de gebruiker loopt.

DPE-2026-0012Telemetrie zonder functieEen apparaat zoekt uit zichzelf contact met servers zonder functie die de eigenaar vroeg.2 zakenDPE-2026-0013Meeliftende componentEen meegeleverd onderdeel verzamelt voor eigen rekening, naast wat de app zelf doet.1 zaakDPE-2026-0022Meetinterval dat aanwezigheid verraadtEen apparaat rapporteert zo vaak en zo herkenbaar dat de reeks laat zien wanneer het huis leeg is.1 zaak

Transparantie1

Fouten in wat een organisatie over haar eigen verwerking vertelt.

DPE-2026-0010Niet-vermelde ontvangerEen ontvanger van persoonsgegevens ontbreekt in de eigen privacyverklaring van de partij.1 zaak