NSC-bestuur: interne groep heeft ledenbestand onrechtmatig gebruikt voor werving

Als het ledenbestand zonder toestemming is gebruikt, dan is dat niet zomaar een intern meningsverschil maar gewoon een serieus datalek. NSC moet nu snel duidelijk maken welke gegevens zijn benaderd en wat ze eraan doen, anders blijft vooral hangen dat de interne organisatie een rommeltje is.

Dit laat vooral zien dat een politieke partij geen gezellige actiegroep meer kan runnen met gedeelde mailboxen en losse lijstjes. Ledenbestand, toegangsrechten en mandaat moeten gewoon professioneel geregeld zijn; intern debat prima, maar data kapen is geen strategie maar amateur hour.

Dit is precies waarom ik huiverig ben voor centrale ledenbestanden bij politieke partijen: één interne groep met toegang kan in één klap duizenden mensen benaderen alsof het bestuur spreekt. Los van wie er gelijk heeft, wil ik nu weten wie toegang had, hoe lang dit speelde en of de leden zelf worden geïnformeerd; transparantie geldt blijkbaar alleen tijdens verkiezingstijd niet!!!

De verzonden mail is niet automatisch een datalek; dat hangt ervan af of onbevoegden toegang hadden tot het bestand en welke persoonsgegevens precies zijn gebruikt. Maar voor de leden maakt dat onderscheid weinig uit: zij moeten weten namens wie ze zijn benaderd en of hun gegevens opnieuw worden gebruikt, anders is hun toestemming voor het lidmaatschap de facto uitgehold.

ja maar als je als partij al ruzie maakt over wie namens de leden mag praten, dan moet je niet verbaasd zijn dat zo’n mailtje meer wantrouwen oplevert dan stemmen, eerst de tent op orde en dan pas weer campagne voeren hè, tis geen buurtapp van de voetbalclub zeg

Een ledenbestand is geen eigendom van een bestuur of interne actiegroep. Mensen geven hun mailadres omdat ze lid zijn, niet om in een machtsstrijd als publiek te worden gebruikt. Benieuwd of die leden straks ook persoonlijk excuses krijgen, of alleen een vaag berichtje over “verwarring”.

Wat me hier vooral dwarszit: gewone leden worden zo ongevraagd onderdeel van een interne machtsstrijd, terwijl zij daar niet voor getekend hebben. In de zorg noemen we dat verlies van vertrouwen, en dat krijg je niet terug met alleen een technische uitleg over mailboxen.

Ach, los van die mail: wie binnen een partij toegang heeft tot duizenden leden kan dus blijkbaar zonder fatsoenlijke controle namens iedereen gaan zenden, dat is geen politiek debat meer maar een autorisatieprobleem тамам

Het probleem is niet alleen wie die mail heeft verstuurd, maar dat de authenticiteit blijkbaar niet direct controleerbaar was: een ledenmail hoort cryptografisch of via een zichtbaar partij-kanaal verifieerbaar te zijn. De oplossing is een audit van accounts, logging en autorisaties, plus een vaste procedure waarbij leden kunnen zien welke communicatie officieel is; anders kan straks elke interne werkgroep met een nette huisstijl de infrastructuur kapen.

Een mail namens een politieke partij kan leden ook op het verkeerde been zetten als de inhoud medisch of maatschappelijk advies lijkt te geven; mensen vertrouwen zo’n afzender sneller dan een willekeurige nieuwsbrief. Daarom moeten niet alleen de technische toegang en privacy worden uitgezocht, maar ook duidelijk worden gemaakt welke boodschap precies is verspreid en wie daarvoor verantwoordelijk was.

Een politieke partij die leden werft met hun eigen gegevens zonder helder mandaat, maakt van die leden feitelijk pionnen in een bestuursconflict. Dat is niet alleen een privacykwestie, maar ook een governanceprobleem: wie kan namens de partij mailen, wie controleert dat en wie wordt persoonlijk verantwoordelijk gehouden als het misgaat? Bij een luchtvaartmaatschappij zou je zo’n systeem geen dag laten draaien, maar in de politiek heet het ineens een intern akkefietje.

Wat ik nog mis is hoe zo’n interne groep überhaupt aan die adressen en verzendmogelijkheid kwam. Bij een partij hoort na zoiets niet alleen de mail ingetrokken te worden, maar ook de toegangsrechten opnieuw bekeken en tijdelijk dichtgezet tot duidelijk is wat er precies is gebeurd.

De kernvraag is niet alleen wie die mail verstuurde, maar ook waarom ontvangers hem geloofden. Als een interne groep vanaf een officieel NSC-adres kan mailen, is dat een beveiligingsprobleem; kwam het vanaf een lookalike-adres, dan is het vooral een controleprobleem bij de lezers. Even rekenen: één afzendernaam is nog geen mandaat, hoe officieel die ook oogt.

De interessante vraag is ook wat er met die mailinhoud gebeurt: wordt dit straks gebruikt als bewijs dat “de leden” achter een interne groep staan? Een adressenlijst geeft je bereik, geen mandaat. Als NSC dit netjes wil oplossen, moeten bestuur én dissidenten hun achterban via een controleerbare ledenraadpleging spreken, niet via wie toevallig bij een mailbox kan.