donatieknop english

Onderstaande oproep verzond Privacy First vandaag aan de Tweede Kamer: 


Geachte Kamerleden, 

Met grote afkeuring heeft Stichting Privacy First kennisgenomen van de geplande invoering van coronatoegangsbewijzen voor de horeca, evenementen en culturele instellingen. Dit zal leiden tot een tweedeling in de samenleving, uitsluiting van kwetsbare groepen en een massale schending van ieders recht op privacy. Hieronder zal Privacy First dit kort toelichten.

Zware inbreuk op grondrechten

Het coronatoegangsbewijs (“coronapas”) vormt een zware inbreuk op talloze grondrechten en mensenrechten, waaronder het recht op bescherming van de persoonlijke levenssfeer, fysieke zelfbeschikking, lichamelijke integriteit en de vrijheid van beweging in combinatie met andere klassieke mensenrechten zoals het recht op deelname aan het culturele leven en diverse kinderrechten zoals het recht op recreatie. Iedere inperking van deze rechten dient strikt noodzakelijk, proportioneel en effectief te zijn. Bij de coronapas is dit tot op heden echter niet aangetoond en wordt de vereiste noodzakelijkheid in het algemeen belang simpelweg verondersteld. Privacyvriendelijker alternatieven om de maatschappij weer te kunnen openen en normaliseren lijken nooit serieus te zijn overwogen. Reeds om deze redenen kan de coronapas de mensenrechtelijke toets niet doorstaan en dient daarom te worden ingetrokken. In dit verband herinnert Privacy First u tevens graag aan landen zoals Engeland, België en Denemarken waar een vergelijkbare pas bewust niet is ingevoerd of inmiddels weer is afgeschaft. In Nederland is de laatste dagen een groot gebrek aan maatschappelijk draagvlak voor de coronapas gebleken en hebben vele duizenden ondernemers reeds laten weten hier niet aan te zullen meewerken. Privacy First verwacht dan ook dat invoering van de coronapas zal leiden tot massale burgerlijke ongehoorzaamheid en kansrijke rechtszaken tegen de Staat.

Sociale uitsluiting

De invoering van de coronapas is bovendien in strijd met het algemene verbod van discriminatie, aangezien hierdoor een breed maatschappelijk onderscheid wordt geïntroduceerd op basis van medische status. Dit zet het sociale leven onder druk en kan leiden tot grootschalige ongelijkheid, stigmatisering, maatschappelijke segregatie en zelfs mogelijke spanningen, aangezien grote groepen in de samenleving zich (om uiteenlopende redenen) niet (of niet stelselmatig) zullen willen of kunnen laten testen of vaccineren, of een digitaal test- of vaccinatiebewijs zullen kunnen bemachtigen. Reeds tijdens onze Nationale Privacy Conferentie begin 2021 nam Privacy First het standpunt in dat de invoering van een verplicht “coronapaspoort” een maatschappelijk ontwrichtende werking zou hebben.[1] Bij die gelegenheid nam o.a. de Autoriteit Persoonsgegevens nadrukkelijk stelling tegen de invoering van een coronapas. De genoemde maatschappelijke risico’s gelden des te sterker voor de vaccinatiedwang die het coronatoegangsbewijs impliceert. In dit verband herinnert Privacy First u graag aan het feit dat zowel uw Kamer als de Parlementaire Assemblée van de Raad van Europa zich tegen een directe of indirecte vaccinatieplicht hebben uitgesproken.[2] Daarnaast zal de coronapas precedentwerking kunnen krijgen voor andere medische aandoeningen en andere maatschappelijke sectoren, waardoor een veel breder scala aan sociaal-economische mensenrechten onder druk zal komen te staan. Om deze redenen roept Privacy First u op om de invoering van de coronapas te blokkeren.

Meervoudige privacyschending

Vanuit het perspectief van het recht op privacy gelden tevens een aantal specifieke bezwaren en vragen. Allereerst introduceert de coronapas een verplicht “gezondheidsbewijs” voor deelname aan een groot deel van het maatschappelijk leven, in flagrante strijd met het recht op privacy en de bescherming van persoonsgegevens. Middels het verplicht tonen van een ID-bewijs naast de coronapas wordt een geheel nieuwe identificatieplicht in openbare gelegenheden gecreëerd. De bestaande anonimiteit in de openbare ruimte wordt daardoor opgeheven, met alle gevaren en risico’s van dien. Bovendien roept deze nieuwe identificatieplicht vragen op over de bevoegdheid van een ondernemer om de identiteit van een persoon vast te stellen en de gezondheidstoestand door middel van de coronapas te beoordelen.

De onderliggende wetgeving resulteert daarnaast in inconsequente toepassing van bestaande wetgeving op dezelfde handeling, namelijk het testen, met verregaande gevolgen enerzijds voor een belangrijk goed als het medisch beroepsgeheim en het vertrouwen van de burger in dat beroepsgeheim, en anderzijds voor de praktische uitvoering van bewaartermijnen terwijl de verwerking niet verandert. Niet het resultaat van de test moet immers bepalend zijn of de registratie van het testen onder de Wet op de geneeskundige behandelingsovereenkomst (Wgbo) valt (met daarop een medisch beroepsgeheim en een bewaartermijn van 20 jaar) of juist onder de Wet publieke gezondheid (met een bewaartermijn van 5 jaar), maar de handeling van het testen zelf. Bovendien is het de vraag waarom er juist aansluiting is gezocht bij Wpg en/of Wgbo nu het gaat om het verkrijgen van een bewijs voor deelname aan de maatschappij en het niet een medische behandeling (Wgbo) noch publieke gezondheidstaak voor dat doel betreft. Hier zou de enige mogelijkheid voor verwerking van persoonsgegevens ten behoeve van het verkrijgen van een coronabewijs en voor doorbreking van het medisch beroepsgeheim de grondslag toestemming moeten zijn. In dit geval kan er echter geen sprake zijn van de wettelijk vereiste vrijelijk gegeven toestemming, nu het testen en vaccineren een dwingende voorwaarde zal zijn voor deelname aan de maatschappij.

Privacy vereist duidelijkheid

Veel andere zaken zijn en blijven voortdurend onduidelijk: welke gegevens zullen worden opgeslagen, waar, door wie en in welke systemen, in hoeverre vindt internationale en Europese uitwisseling van gegevens plaats, welke partijen met welke doelen hebben toegang of kopiëren gegevens of zetten die in enorme nieuwe, nationale databases met onze gezondheidsgegevens? In hoeverre zal er sprake kunnen zijn van persoonlijke localisering en identificatie, of slechts van incidentele verificatie en authenticatie? Waarom kunnen testuitslagen onnodig lang worden bewaard? Hoe groot zijn de risico’s op hacking, datalekken, fraude en vervalsing? In hoeverre is er überhaupt met enige serieuze aandacht nagedacht over decentrale, privacyvriendelijke technologieën en privacy by design, open source software, dataminimalisatie en anonimisering? Hoe lang zullen testbewijzen kosteloos blijven? Wordt er reeds gewerkt aan de introductie van een “alternatieve digitale drager” naast de CoronaCheck app, namelijk een chip(kaart), met alle bezwaren en risico’s van dien? Waarom is er geen sprake geweest van een onafhankelijke Privacy Impact Assessment (PIA)? Hoe vaak moet het land nog accepteren dat nood- en spoedwetten lekkende privacygaten dichten, als onze overbelaste en onderbezette Autoriteit Persoonsgegevens al opmerkt dat er geen wettelijke grondslag voor verwerking is? Hoe zullen onvoorzien gebruik en misbruik, doelverschuiving (function creep) en profilering worden voorkomen en hoe is het privacy-toezicht geregeld? Zullen er altijd niet-digitale, papieren alternatieven beschikbaar blijven? Waarom wordt het “gele boekje” niet geaccepteerd als privacyvriendelijk alternatief, zoals dat in andere landen wel gebeurt? Wat gebeurt er op de diverse testlocaties met het afgenomen testmateriaal, oftewel ieders DNA? En wanneer zal de coronapas weer worden afgeschaft? Met andere woorden: in hoeverre is dit daadwerkelijk "tijdelijk”?

In de optiek van Privacy First zal invoering van de coronapas slechts tot onwerkbare belasting van ondernemers, talloze wantoestanden en grote maatschappelijke kapitaalvernietiging leiden. Privacy First verzoekt u daarom om invoering van de coronapas te blokkeren. Bij gebreke hieraan behoudt Privacy First zich het recht voor om de wetgeving ter invoering van de coronapas aan internationaal en Europees recht te laten toetsen en door de rechter buiten werking te laten stellen. De voorbereidingen voor een dergelijke rechtszaak worden door ons en vele anderen reeds getroffen. 


Hoogachtend, 

Stichting Privacy First 

 

[1] Zie Nationale Privacy Conferentie 28 januari 2021, https://youtu.be/asEX1jy4Tv0?t=9378, vanaf 2u 36 min 18 sec.
[2] Zie Council of Europe, Parliamentary Assembly, Resolution 2361 (2021): Covid-19 vaccines: ethical, legal and practical considerations, https://pace.coe.int/en/files/29004/html, par. 7.3.1-7.3.2: “Ensure that citizens are informed that the vaccination is NOT mandatory and that no one is politically, socially, or otherwise pressured to get themselves vaccinated, if they do not wish to do so themselves; ensure that no one is discriminated against for not having been vaccinated, due to possible health risks or not wanting to be vaccinated.” Zie tevens o.a. Tweede Kamer, Motie van het lid Azarkan over geen coronavaccinatieplicht (28 oktober 2020), Kamerstuk 25295-676, https://zoek.officielebekendmakingen.nl/kst-25295-676.html: “De Kamer (...) spreekt uit dat er in de toekomst nooit sprake mag zijn van een directe of indirecte coronavaccinatieplicht”; Motie van het lid Azarkan over toegang tot publieke voorzieningen voor iedereen ongeacht vaccinatie- of teststatus (5 januari 2021), Kamerstuk 25295-864, https://zoek.officielebekendmakingen.nl/kst-25295-864.html: “De Kamer (...) verzoekt de regering om toegang tot publieke voorzieningen voor iedereen mogelijk te maken ongeacht vaccinatie- of teststatus.”

Een eerdere, vergelijkbare versie van dit commentaar verscheen reeds in maart 2021: 
https://www.privacyfirst.nl/aandachtsvelden/wetgeving/item/1224-standpunt-privacy-first-inzake-concept-wetsvoorstel-testbewijzen-covid-19.html.

Gepubliceerd in Wetgeving

Met grote zorg heeft Privacy First kennisgenomen van het concept-wetsvoorstel testbewijzen covid-19. Onder dit wetsvoorstel zal een negatief corona-testbewijs verplicht worden voor toegang tot openbare gelegenheden, waaronder horeca, evenementen, sport en jeugdactiviteiten, culturele instellingen en waarschijnlijk ook een deel van het (hoger) onderwijs, e.e.a. op straffe van hoge boetes. Dit zet ieders recht op privacy onder druk.

Zware inbreuk op grondrechten

Het concept-wetsvoorstel vormt een zware inbreuk op talloze grondrechten en mensenrechten, waaronder het recht op bescherming van de persoonlijke levenssfeer, de lichamelijke integriteit en de vrijheid van beweging in combinatie met andere relevante mensenrechten zoals het recht op deelname aan het culturele leven, het recht op onderwijs en diverse kinderrechten zoals het recht op recreatie. Iedere inperking van deze rechten dient strikt noodzakelijk, proportioneel en effectief te zijn. Bij het huidige concept-wetsvoorstel is dit echter niet aangetoond en wordt de vereiste noodzakelijkheid in het algemeen belang simpelweg verondersteld. Privacyvriendelijker alternatieven om de maatschappij weer te kunnen openen en normaliseren lijken niet te zijn overwogen. Reeds om deze redenen kan het voorstel de mensenrechtelijke toets niet doorstaan en dient daarom te worden ingetrokken.

Sociale uitsluiting

Het voorstel is daarnaast in strijd met het algemene verbod van discriminatie, aangezien hierdoor een breed maatschappelijk onderscheid wordt geïntroduceerd op basis van medische status. Dit zet het sociale leven onder druk en kan leiden tot grootschalige ongelijkheid, stigmatisering, maatschappelijke segregatie en zelfs mogelijke spanningen, aangezien grote groepen in de samenleving zich (om uiteenlopende redenen) niet (of niet stelselmatig) zullen willen of kunnen laten testen. Ook tijdens de recente Nationale Privacy Conferentie van Privacy First en ECP bleek dat de invoering van een verplicht “coronapaspoort” een maatschappelijk ontwrichtende werking kan hebben.[1] Bij die gelegenheid nam o.a. de Autoriteit Persoonsgegevens hier dan ook nadrukkelijk stelling tegen. Dergelijke maatschappelijke risico’s gelden des te sterker voor de indirecte vaccinatieplicht die in het verlengde van het corona-testbewijs ligt. In dit verband herinnert Privacy First graag aan het feit dat recentelijk zowel de Tweede Kamer als de Parlementaire Assemblée van de Raad van Europa zich tegen een directe of indirecte vaccinatieplicht hebben uitgesproken.[2] Daarnaast zal het onderhavige concept-wetsvoorstel precedentwerking kunnen hebben voor andere medische aandoeningen en andere maatschappelijke sectoren, waardoor een veel breder scala aan sociaal-economische mensenrechten onder druk zal komen te staan. Om al deze redenen adviseert Privacy First het kabinet met klem om dit concept-wetsvoorstel in te trekken.

Meervoudige privacyschending

Vanuit het perspectief van het recht op privacy gelden bovendien een aantal specifieke bezwaren en vragen. Allereerst introduceert het concept-wetsvoorstel een verplicht “gezondheidsbewijs” voor deelname aan een groot deel van het maatschappelijk leven, in flagrante strijd met het recht op privacy en de bescherming van persoonsgegevens. Ook introduceert het concept-wetsvoorstel een identificatieplicht “aan de voordeur” bij openbare gelegenheden, in strijd met het recht op anonimiteit in de openbare ruimte. Het wetsvoorstel resulteert daarnaast in inconsequente toepassing van bestaande wetgeving op dezelfde handeling, namelijk het testen, met verregaande gevolgen enerzijds voor een belangrijk goed als het medisch beroepsgeheim en het vertrouwen van de burger in dat beroepsgeheim, en anderzijds voor de praktische uitvoering van bewaartermijnen terwijl de verwerking niet verandert. Niet het resultaat van de test moet immers bepalend zijn of het dossier onder de Wgbo valt (met daarop een medisch beroepsgeheim en een bewaartermijn van 20 jaar) of juist onder de Wet publieke gezondheid (met een bewaartermijn van 5 jaar), maar de handeling van het testen zelf. Bovendien is het de vraag waarom er in het huidige concept-wetsvoorstel aansluiting wordt gezocht bij Wpg en/of Wgbo als het hier enkel gaat om het verkrijgen van een testbewijs met als doel deelname aan de maatschappij (en dus geen medische behandeling noch publieke gezondheidstaak voor dat doel). Hier zou de enige mogelijkheid voor verwerking en voor doorbreking van het medisch beroepsgeheim de grondslag toestemming moeten zijn. In dit geval kan er echter geen sprake zijn van de wettelijk vereiste vrijelijk gegeven toestemming, nu het testen een dwingende voorwaarde zal zijn voor deelname aan de maatschappij.

Privacy vereist duidelijkheid

Veel andere zaken zijn nog onduidelijk: welke gegevens zullen worden opgeslagen, waar, door wie en wat zal er kunnen worden uitgewisseld? In hoeverre zal er sprake zijn van persoonlijke localisering en identificatie, of slechts van incidentele verificatie en authenticatie? Waarom kunnen testuitslagen onnodig lang (5 of zelfs 20 jaar) worden bewaard? Hoe groot zijn de risico’s op hacking, datalekken, fraude en vervalsing? In hoeverre zal er sprake zijn van decentrale, privacyvriendelijke technologie en privacy by design, open source software, dataminimalisatie en anonimisering? Zullen testbewijzen kosteloos blijven en in hoeverre zal er sprake kunnen zijn van privacyvriendelijke diversiteit en keuzevrijheid bij test-applicaties? Wordt er reeds gewerkt aan de introductie van een “alternatieve digitale drager” i.p.v. de CoronaCheck app, namelijk een chip, met alle risico’s van dien? Hoe zullen doelverschuiving (function creep) en profilering worden voorkomen en hoe is het privacy-toezicht geregeld? Zullen er altijd niet-digitale, papieren alternatieven beschikbaar blijven? Wat gebeurt er met het afgenomen testmateriaal, oftewel ieders DNA? En wanneer zullen de corona-testbewijzen weer worden afgeschaft?

Zolang dergelijke bezwaren en vragen onbeantwoord blijven, heeft indiening van dit wetsvoorstel überhaupt geen zin en zal het corona-testbewijs slechts tot maatschappelijke kapitaalvernietiging leiden. Privacy First verzoekt u daarom nogmaals om het huidige voorstel in te trekken en dit niet bij het parlement in te dienen. Bij gebreke hieraan zal Privacy First zich het recht voorbehouden om e.e.a. door de rechter te laten toetsen en onrechtmatig te laten verklaren.


[1] Zie Nationale Privacy Conferentie 28 januari 2021, https://youtu.be/asEX1jy4Tv0?t=9378, vanaf 2u 36 min 18 sec.
[2] Zie Council of Europe, Parliamentary Assembly, Resolution 2361 (2021): Covid-19 vaccines: ethical, legal and practical considerations, https://pace.coe.int/en/files/29004/html, par. 7.3.1-7.3.2: “Ensure that citizens are informed that the vaccination is NOT mandatory and that no one is politically, socially, or otherwise pressured to get themselves vaccinated, if they do not wish to do so themselves; ensure that no one is discriminated against for not having been vaccinated, due to possible health risks or not wanting to be vaccinated.” Zie tevens o.a. Tweede Kamer, Motie van het lid Azarkan over geen coronavaccinatieplicht (28 oktober 2020), Kamerstuk 25295-676, https://zoek.officielebekendmakingen.nl/kst-25295-676.html: “De Kamer (...) spreekt uit dat er in de toekomst nooit sprake mag zijn van een directe of indirecte coronavaccinatieplicht”; Motie van het lid Azarkan over toegang tot publieke voorzieningen voor iedereen ongeacht vaccinatie- of teststatus (5 januari 2021), Kamerstuk 25295-864, https://zoek.officielebekendmakingen.nl/kst-25295-864.html: “De Kamer (...) verzoekt de regering om toegang tot publieke voorzieningen voor iedereen mogelijk te maken ongeacht vaccinatie- of teststatus.”

Gepubliceerd in Wetgeving

Nederlandse privacy-activist wint Finse zaak over elektronische sleutels

Bewoners van appartementen in een flatgebouw hebben in beginsel het recht om onbespied hun eigen woning te betreden. Dat heeft de Finse privacy-autoriteit op 29 juli 2020 bevestigd in een zaak die was aangespannen door de Arnhemse privacy-activist Michiel Jonker. De installatie van een elektronisch systeem dat monitort met welke adresgebonden en gechipte sleutel op welk tijdstip welke deur wordt geopend, is volgens de Finse privacywaakhond Tietosuojavaltuutettu (Finnish Data Protection Ombudsman) in strijd met de AVG.

Het gaat om een Fins gebouw met kleine appartementen waarin zowel huurders als eigenaren wonen. In 2018 had de Vereniging van Eigenaren (VvE) besloten om het elektronische bewakingssysteem te installeren op alle externe ingangen van het gebouw. Het voornemen was om ook alle individuele appartementen aan te sluiten op het systeem. Het systeem wordt beheerd door een ingehuurd bedrijf en zou alleen in opdracht van de politie worden geraadpleegd, al dan niet op verzoek van het bestuur van de VvE.

Aanleiding vormden enkele incidenten waaruit volgens het bestuur bleek dat zich voormalige bewoners in de kelder van het gebouw hadden bevonden en daar sporen hadden achtergelaten. Het vermoeden was dat zij gebruik hadden gemaakt van niet-ingeleverde sleutels. Volgens het bestuur van de VvE werden er geen persoonsgegevens verwerkt, omdat de nieuwe, elektronische sleutels weliswaar adresgebonden waren, maar niet persoonsgebonden.

Jonker maakte bezwaar tegen het systeem en stelde dat de noodzaak voor een dergelijke monitoring niet was aangetoond. De VvE had geen wettelijke grondslag gegeven voor de gegevensverwerking. Ook waren de huurders niet geraadpleegd, waardoor een grote groep bewoners geen toestemming had gegeven. Jonker achtte de verwerkte gegevens wel herleidbaar tot personen, in het bijzonder in het geval van eenpersoonshuishoudens.

De Finse privacy-autoriteit stelde Jonker op al deze punten in het gelijk, en wees erop dat de Finse wetgeving met betrekking tot de besluitvorming van VvE's geen vrijbrief vormt voor besluiten die in strijd zijn met de AVG. Ook wees de autoriteit erop dat een verhuurder niet namens een huurder toestemming kan geven voor de verwerking van persoonsgegevens. Voorts wees de autoriteit erop dat een toestemming voor de verwerking van persoonsgegevens door elke betrokkene (ongeacht of dat een huurder of een eigenaar is) op elk moment kan worden ingetrokken, conform de AVG.

De autoriteit benadrukte dat het belang van een derde (bijvoorbeeld de politie) geen rechtvaardiging kan vormen voor gegevensverwerking die onder verantwoordelijkheid van de VvE plaatsvindt. Ten slotte wees de autoriteit erop dat de VvE ten onrechte geen alternatieven had onderzocht die geen of een minder grote inbreuk op de privacy plegen, daarbij inbegrepen een vervanging van analoge sleutels door nieuwe analoge sleutels.

De privacy-autoriteit gaf de VvE opdracht de omgang met persoonsgegevens in overeenstemming te brengen met de AVG.

Jonker: "Het was voor mij een vreemde, nieuwe ervaring om door een privacy-autoriteit in het gelijk gesteld te worden zonder tussenkomst van een rechter. In Nederland heb ik dat met de Autoriteit Persoonsgegevens nog nooit meegemaakt. Ook in Finland ging het trouwens niet zonder slag of stoot. Na twee jaar wachten op de behandeling van mijn zaak, heb ik daar een klacht ingediend bij de zogeheten Parlementaire Ombudsman. Enkele dagen daarna ging de Finse privacy-autoriteit er alsnog mee aan de slag, en nam twee maanden later een beslissing. Ook in Finland is er bij de privacy-toezichthouder een tekort aan personele capaciteit, waardoor de beslistermijnen van de AVG structureel niet worden gehaald. Maar ik ben tevreden over de inhoud van deze beslissing. Natuurlijk is het nu zaak dat de VvE de opdracht van de privacy-autoriteit ook daadwerkelijk gaat uitvoeren."

Contactverzoeken voor dhr. Jonker kunnen worden ingediend via Stichting Privacy First.

Klik HIER voor de volledige uitspraak van de Finse privacy-autoriteit (in het Fins).

Media:
https://www.security.nl/posting/666564/Finse+toezichthouder+noemt+elektronisch+sleutelsysteem+flat+in+strijd+met+AVG
https://frontpage.fok.nl/nieuws/835884/1/1/50/nederlandse-privacy-activist-wint-zaak-over-elektronische-sleutels.html
https://www.is.fi/digitoday/tietoturva/art-2000006600839.html (grote Finse tabloid)
https://www.hs.fi/politiikka/art-2000006601066.html (grootste krant van Finland en Scandinavië) 
https://www.kotitalolehti.fi/sahkolukko-seuraa-liikkeitasi-kuka-tallentaa-tiedot/ (vergelijkbaar met Nederlands tijdschrift Eigen Huis van VEH)
https://www.hameensanomat.fi/kanta-hame/tietosuojavaltuutettu-sahkolukkojen-keraamat-ovenavaustiedot-ovat-henkilotietoja-1451149/
https://www.tivi.fi/uutiset/taloyhtio-asensi-sahkolukot-mutta-mokasi-gdprn-kanssa-nain-paatti-tietosuojavaltuutettu/a7401466-c107-43f3-a3e9-86514efd28d4
https://www.tekniikkatalous.fi/uutiset/onko-teillakin-sahkolukkojarjestelma-tietosuojavaltuutettu-antoi-maarayksen-lainvastaisesti-toimineelle-taloyhtiolle/c868846a-15f5-4903-a8e1-339c3a726747
https://www.is.fi/digitoday/tietoturva/art-2000006616790.html

Gepubliceerd in Woning en slimme meters

Deze week behandelt de Tweede Kamer een "tijdelijke" Corona-noodwet waardoor de bewegingen van iedereen in Nederland voortaan "anoniem" in kaart gebracht kunnen worden. Eerder uitte Privacy First reeds kritiek op dit plan in een uitzending van Nieuwsuur. In vervolg hierop verzond Privacy First vandaag onderstaande brief aan de Tweede Kamer:


Geachte Kamerleden,

Met grote zorg heeft Stichting Privacy First kennisgenomen van het “tijdelijke” wetsvoorstel informatieverstrekking RIVM i.v.m. COVID-19. Privacy First adviseert u om dit wetsvoorstel te verwerpen wegens de volgende fundamentele bezwaren en risico’s:

Strijdig met fundamentele bestuurlijke en privacy principes

- De maatschappelijke noodzaak voor dit wetsvoorstel ontbreekt. Het Corona-virus ebt momenteel immers weg uit de Nederlandse samenleving. Andere vormen van monitoring zijn reeds voldoende effectief gebleken. De noodzaak voor dit wetsvoorstel is niet aangetoond, en net zomin bestaan er voorbeelden uit het buitenland waar toepassing van vergelijkbare technieken een wezenlijke bijdrage leverde.
- Het wetsvoorstel is volstrekt disproportioneel, want het omvat alle telecom-locatiedata in heel Nederland. Van enige differentiatie is geen sprake. Hetzelfde geldt voor dataminimalisatie: een steekproef zou kunnen volstaan.
- Het wetsvoorstel werkt met terugwerkende kracht vanaf 1 januari 2020. Dit is in strijd met de rechtszekerheid en het legaliteitsbeginsel, zeker omdat deze datum ver vóór de Nederlandse ‘start’ van de pandemie ligt (11 maart).
- De in het wetsvoorstel gekozen systematiek van nadere aanwijzingen door de Minister is ronduit ondemocratisch. Het holt de democratische rechtsstaat en toezicht door de volksvertegenwoordiging verder uit.
- In het wetsvoorstel wordt niet gerept over privacy-by-design of hoe dit toegepast zal worden, terwijl dat juist bij dit wetsvoorstel aan de orde zou moeten zijn.

Alternatieven zijn minder invasief: subsidiariteit

- Privacyvriendelijker alternatieven zijn door de staatssecretaris onvoldoende onderzocht. Heeft zij hierin wel interesse?
- Data bij telecomproviders worden gepseudonimiseerd met een uniek ID-nummer en als zodanig aangeleverd bij het CBS. Massale aantallen gevoelige persoonsgegevens worden hierdoor enorm kwetsbaar. Anonimisering door het CBS gebeurt pas in een later stadium.
- De data worden bij gebruik gefilterd op geografische herkomst. Dit creëert een risico van verboden discriminatie naar nationaliteit.
- Onduidelijk is of men de gebruikte data bij CBS of RIVM zal willen “verrijken” met andere data, met function creep (doelverschuiving) en mogelijk data-misbruik tot gevolg.

Transparantie en onafhankelijk toezicht ontbreken

- De Privacy Impact Assessment (PIA) bij het wetsvoorstel is vooralsnog niet openbaar.
- Onafhankelijk toezicht op de maatregelen en effecten (door een rechter of onafhankelijke commissie) ontbreekt.
- De AVG is wellicht slechts deels op het wetsvoorstel van toepassing, aangezien anonieme data en statistieken van de werking van de AVG uitgezonderd zijn. Dit veroorzaakt nieuwe risico’s op data-misbruik, slechte beveiliging, datalekken etc. Algemene privacy-beginselen zouden daarom in elk geval van toepassing verklaard moeten worden.

Structurele wijzigingen en chilling effect

- Dit wetsvoorstel lijkt nu formeel tijdelijk, maar de geschiedenis rond dergelijke wetgeving leert dat het hoogstwaarschijnlijk permanent zal worden.
- Ongeacht de “anonimiteit” van e.e.a. zullen veel mensen zich door dit wetsvoorstel gemonitord gaan wanen en zich onnatuurlijk gaan gedragen. Het risico van een maatschappelijk chilling effect is enorm.

Gebrekkige methode met grote impact

- De effectiviteit van het wetsvoorstel is onbekend. Het wetsvoorstel vormt in wezen dus een massaal experiment. De Nederlandse maatschappij is echter niet bedoeld als levend laboratorium.
- Anonieme data kunnen middels koppeling alsnog herleidbaar blijken. Ook bij de gekozen drempelwaarde van minimaal 15 eenheden per datapunt is het risico van unieke “singling out” en identificatie waarschijnlijk nog steeds te groot.
- Het wetsvoorstel leidt tot valse signalen en blinde vlekken door mensen met meerdere telefoons, kwetsbare groepen zonder telefoon etc.
- Er is een groot risico op function creep (doelverschuiving), heimelijk gebruik en misbruik van data door andere overheidsdiensten (waaronder AIVD), toekomstige overheden, internationale uitwisseling etc.
- Naast het recht op privacy komen ook andere mensenrechten door dit wetsvoorstel onder druk te staan, waaronder de vrijheid van beweging en het recht op demonstratie. Dit wetsvoorstel kan gemakkelijk leiden tot structurele crowd control die niet past in een democratische samenleving.

Specifieke toestemming vooraf

Naast bovenstaande bezwaren en risico’s betwijfelt Privacy First of het gebruik van telecomdata zoals door dit wetsvoorstel beoogd voor telecom-providers überhaupt rechtmatig is. In de optiek van Privacy First zou daartoe tenminste sprake moeten zijn van expliciete, specifieke toestemming vooraf (opt-in) door de klant in kwestie, danwel van de mogelijkheid van een opt-out achteraf en het individuele recht op verwijdering van alle data.

Het is aan u als Kamerleden om onze maatschappij voor dit wetsvoorstel te behoeden. Bij gebreke daarvan behoudt Privacy First zich het recht voor om juridische stappen inzake deze wet te nemen.

Voor nadere informatie of vragen met betrekking tot bovenstaande is Privacy First te allen tijde bereikbaar op telefoonnummer 020-8100279 of per email: Dit e-mailadres wordt beveiligd tegen spambots. JavaScript dient ingeschakeld te zijn om het te bekijken..

Hoogachtend,

Stichting Privacy First

Gepubliceerd in Wetgeving

Column

Het accepteren van de Orwelliaanse Newspeak “nieuwe normaal anderhalve meter samenleving” leidt automatisch tot het accepteren van de absurde handhaving ervan. Aangezien dit niet overeenstemt met de Grondwet is de Raad van State geraadpleegd. Talloze ongrondwettelijke maatregelen dreigen nu in een noodwet te worden verankerd. De wereld op zijn kop. Hoe voorkomen wij dat we in een onmenselijke en niet vrije, ondemocratische samenleving terechtkomen? Hieronder diverse ongrondwettelijke maatregelen die in een noodwet dreigen te worden opgenomen op een rij:

  • Implementatie van een surveillance infrastructuur:
    - Ondersteund door Corona- en andere apps
    - Tracking en tracing van burgers middels telecomdata en smartphones
    - BOA’s die onzinnige maatregelen moeten handhaven uitrusten met wapens
    - Reizen op basis van checks en gezondheidsverklaringen

  • Lichamelijke integriteit:
    - Ondermijning en afschaffen van het medisch (beroeps)geheim
    - Verplichte medische behandeling en vaccinatie / biometrische registratie

  • Anonimiteit in de openbare ruimte:
    - 1,5 meter controle met linten, strepen, cirkels etc
    - Scan-auto’s voor parkeren om burgers te traceren
    - Registratie van alle vrijetijdsbesteding in horeca, sport, theater, musea etc
    - Strafblad bij overtredingen
    - Gezichtsbedekking in openbare gelegenheden
    - Ongefundeerde ondermijning van het gebruik van cash geld

  • Recht van samenkomst beperkt en onder druk:
    - Demonstraties effectief onmogelijk
    - Grote politieke bijeenkomsten onmogelijk
    - Geloofsbelijding en sociale structuren onder druk

  • Huisvredebreuk:
    - Ingrijpen achter de voordeur middels kliklijnen, BOA’s en politie-controles
  • Functioneren van democratische rechtsstaat:
    - Weigering om Wob-verzoeken in behandeling te nemen
    - Beperking van rechten van verdachten en advocaten
    - Beperking van openbare rechtszittingen 
    - Functioneren Eerste en Tweede Kamer onder druk
    - Censuur door (sociale) media bij afwijking van officiële narratives.

En als uitsmijter: een onderzoek naar het uitstellen van de verkiezingen…

Dit is volgens mij niet wat wij als burgers willen: een semi-rechtsstaat op basis van een dashboard, aangestuurd door technocraten. Van lockdown naar lockdown onder structurele noodwetgeving. Voor wat nu blijkt een klein percentage sterfgevallen, vaak met een multiple cause. Waar zijn we in vredesnaam mee bezig?

Privacy First gaat uit van eigen keuzes in een vrije omgeving. Wij zijn voor social responsability, niet voor structurele social distancing. Weg met de noodwet en terug naar een menselijke, open en vrije samenleving!


Bas Filippini,
voorzitter Privacy First

Gepubliceerd in Columns

Gisteren hield de Tweede Kamer een kritische hoorzitting ("rondetafelgesprek") over de inmiddels beruchte "Corona-app". De Tweede Kamer had voor deze gelegenheid diverse experts en organisaties (waaronder Privacy First) uitgenodigd om position papers in te dienen en aan de hoorzitting deel te nemen. Hieronder volgt de volledige tekst van onze position paper en spreektekst. Een video van de gehele hoorzitting staat HIER online. Klik HIER voor het programma, alle sprekers en position papers.

Geachte Kamerleden,

Dank voor uw uitnodiging om deel te nemen aan de rondetafelbijeenkomst inzake de zogeheten Corona-app. In de optiek van Stichting Privacy First vormt een dergelijke app een bedreiging voor ieders privacy. Hieronder zullen wij dit kort toelichten.

Gebrek aan noodzaak en effectiviteit

Met grote zorg heeft Privacy First kennisgenomen van het voornemen van de Nederlandse overheid om een contact-traceerapp te gaan inzetten ter bestrijding van het Corona-virus. De maatschappelijke noodzaak van een dergelijke app is tot op heden niet aangetoond. Ervaringen vanuit het buitenland laten bovendien zien dat aan het nut en de effectiviteit ervan ernstig kan worden getwijfeld. Mogelijk werken deze apps zelfs contra-productief, aangezien de inzet ervan tot schijnveiligheid leidt. Daarnaast wordt de meest kwetsbare doelgroep (ouderen) met dit middel nauwelijks bereikt. Alleen al om deze redenen zou van de inzet van “Corona apps” moeten worden afgezien.

Surveillance maatschappij

Privacy First ziet het gebruik van dergelijke apps als een gevaarlijke ontwikkeling, aangezien dit kan leiden tot talloze onterechte verdenkingen, stigmatisering, onnodige onrust en paniek. Zelfs “geanonimiseerd” kunnen de gegevens uit dergelijke apps via koppeling alsnog tot individuele personen herleid worden. Bij grootschalig gebruik leidt dit tot een surveillance maatschappij waarin iedereen geobserveerd en geregistreerd wordt en men zich voortdurend gemonitord waant, met een maatschappelijk chilling effect tot gevolg.

Risico’s op misbruik

Groot risico is dat de verzamelde data voor meerdere doelen zullen worden gebruikt en misbruikt door bedrijven en overheden. Het risico van heimelijke toegang, hacking, datalekken en misbruik is met name groot bij centrale i.p.v. decentrale (persoonlijke) opslag en bij gebrek aan open source software. Tegelijkertijd biedt ook louter persoonlijke opslag geen enkele garantie tegen misbruik, afhankelijk van technische kwetsbaarheden of aanwezige malware en spyware. In handen van criminele organisaties vormen de verzamelde data bovendien een goudmijn voor criminele activiteiten.

Voor Privacy First wegen deze risico’s van “Corona apps” niet op tegen de veronderstelde voordelen. Dus adviseert Privacy First uw Kamer om er bij het kabinet op aan te dringen niet tot de inzet van dergelijke apps over te gaan.

Testen i.p.v. appen

Vanuit de beginselen van proportionaliteit en subsidiariteit in de strijd tegen het Corona-virus bestaat volgens Privacy First een betere en effectievere oplossing, namelijk het grootschalig testen van de bevolking op het virus en op immuniteit. De benodigde testcapaciteit dient daartoe zo spoedig mogelijk beschikbaar te zijn.

Haastige spoed, zelden goed

Mocht ondanks bovenstaande bezwaren alsnog besloten worden tot de inzet van “Corona apps”, dan kan dit pas gebeuren na een zorgvuldig maatschappelijk en democratisch proces met voldoende kritische, objectieve en onafhankelijke toetsing. Tot op heden is hier geen sprake van geweest, getuige de ontwikkelingen de afgelopen dagen. Privacy First adviseert uw Kamer in dit verband om het kabinet een pas op de plaats te laten maken en een moratorium op de inzet van “Corona apps” in te stellen.

Privacy by design

Het recht op anonimiteit in de openbare ruimte is een klassiek grondrecht en cruciaal voor het functioneren van onze democratische rechtsstaat. Een democratisch besluit tot opheffing hiervan is onacceptabel. Mocht alsnog besloten worden tot grootschalige inzet van “Corona apps”, dan dient dit dus strikt anoniem, tijdelijk en op zuiver vrijwillige basis te gebeuren. Met individuele toestemming vooraf zonder enige vorm van druk, volledig geïnformeerd en voor een legitiem, specifiek doel. Privacy by design (het inbouwen van privacybescherming in de techniek) dient daarbij leidend te zijn. Voor Privacy First zijn dit harde juridische voorwaarden die niet onderhandelbaar zijn. Mocht hier niet aan voldaan worden, dan zal Privacy First dit bij de rechter aanvechten.

Hoogachtend,

Stichting Privacy First
(...)


Geachte kamerleden,

U heeft onze position paper, hierbij onze mondelinge toelichting.

Allereerst: Privacy First is fel tegen iedere surveillance infrastructuur, met of zonder app.

Wij kijken hierbij naar drie juridische principes:

  •  Legitieme doelbinding.
    - Wat is het probleem?
    - Hoe groot is het probleem?
    - Wat zijn mogelijke doelstellingen en hoe kunnen we deze meten en bereiken?

    De eerste vraag kunnen we al niet beantwoorden, we meten namelijk onvolledig en selectief. De totaal geïnfecteerde populatie is onbekend, de mensen die genezen zijn niet bekend en worden niet gerapporteerd. Wel worden we angst aangejaagd vanuit emotie en selectieve rapportages: sterfgevallen (met daarin multiple oorzaken) en IC-opnames.

    Laat ons punt duidelijk zijn, we zullen eerst het probleem in kaart moeten brengen voordat we het over conclusies en oplossingen hebben. Niet alleen de IT’ers en virologen, maar juist filosofen, rechtswetenschappers, sociologen, ondernemers en een brede vertegenwoordiging van onze samenleving moeten hierin betrokken zijn.

  • Noodzaak en proportionaliteit. Feitelijk hebben we een capaciteitsprobleem in de zorg inzake IC-capaciteit, materialen, mensen en testcapaciteit. Dan lijkt het ons duidelijk waar we de aandacht op moeten richten, ook voor toekomstige uitbraken. Test de gehele bevolking op besmetting en immuniteit zodat we het echte probleem kunnen vaststellen. 97% van de bevolking heeft helemaal niets. Zorg voor scheiding en verzorging van de kwetsbare groepen. Stop met crisis-communicatie en start met crisis-management. En neem alle behandelmethoden serieus, ook die waar niets aan verdiend kan worden door Big Pharma of Big IT.

  • Subsidiariteit. Als we het probleem kennen, wat zijn dan de oplossingen? Extra handjes tijdelijk bij de GGD? Bouwen van een IC-ziekenhuis speciaal voor deze situaties? Testcapaciteit verhogen om door cijfers onderbouwde beslissingen te kunnen nemen? Dit kan allemaal binnen ons huidige zorgsysteem, met de huisarts als aanspreekpunt.

Wij hebben deze regering vanuit vertrouwen 6 weken de tijd gegeven hun zaakjes op orde te krijgen en wat krijgen we terug? Wantrouwen en controlemiddelen. En nog steeds tekorten in middelen! Dus fix the fundamentals, regel behandel- en testcapaciteit en stop met het bouwen van technische speeltjes en draconische apps uit dictatoriale regimes in Azië. En haal Nederland zo snel mogelijk uit deze verlengde lockdown. Voor Privacy First geen 1,5-meter-samenleving als nieuwe normaal, maar een gezond-verstand-samenleving. Vanuit vertrouwen in een volwassen burger.

Gepubliceerd in Medische privacy
zaterdag, 11 april 2020 16:54

Corona app: zegen of vloek?

Opiniestuk Telegraaf

Horror-app leidt tot meer angst en wantrouwen

Vanuit Privacy First zijn wij fel tegen iedere surveillance-app en al zeker niet een die het medisch beroepsgeheim ondermijnt. Een mobiel EPD (elektronisch patiëntendossier) waarin iedere burger een potentiele verdachte is en tevens en masse alle bewegingen worden nagegaan, levert in onze ogen schijnverdenkingen en -zekerheden op, verdachtmakingen, stigmatisering en zelfcensuur. Dit vormt een enorme inbreuk op ieders bewegingsvrijheid, om nog maar niet te spreken van datalekken en hacking. Tevens zal het niet bij deze app blijven: er zijn meer (toekomstige) ziekten en gedrag in kaart te brengen. En waarom dan niet meteen het hele dossier, gekoppeld aan triage? De geschiedenis leert dat dit soort maatregelen nooit worden teruggedraaid en alleen maar worden uitgebreid.

In ons rechtssysteem is het heel simpel. We gaan uit van legitieme doelbinding, oftewel: wat is het probleem, wat is het doel en hoe kunnen we dit bereiken? De eerste vraag kunnen we al niet beantwoorden; we meten namelijk vrijwel niet. De bevolking wordt dagelijks angst aangejaagd op basis van zeer selectieve cijfers inzake intensivecare-opnames en sterfgevallen. De totale besmette populatie is onbekend en het aantal mensen dat geneest wordt niet gerapporteerd. Wat we hier zien is een crisis aangejaagd door emotie bij gebrek aan cijfers. En dan is een app de oplossing? Waarvoor precies?

Naast doelbinding zijn noodzaak en proportionaliteit (is er een redelijke verhouding tussen het middel en het doel?) cruciaal. In deze crisis is het grootste probleem een capaciteitsprobleem in de gezondheidszorg. Dan lijkt me duidelijk waar de aandacht naartoe moet gaan: capaciteitsuitbreiding met man en macht. Mensen, ic-bedden, mondkapjes, kleding, beademingsapparatuur et cetera. En natuurlijk testcapaciteit voor de gehele bevolking, zowel op infectie als op antilichamen. Zo komen we tot feiten en het vaststellen van het echte probleem. Volgens de laatste schattingen heeft 95% van onze bevolking helemaal niets en die zou nu continu met een app gecontroleerd moeten worden?

Een ander vereiste is subsidiariteit: wat zijn de alternatieve oplossingen voor een dergelijke horror-app, die alleen maar leidt tot meer angst en wantrouwen? Welke privacyvriendelijke alternatieven zijn er? Onze overheid krijgt nu vanuit vertrouwen zes weken de tijd om zijn zaakjes op orde te krijgen en de burger heeft daarom het recht om iets terug te krijgen. Welke behandelmethoden en testmiddelen zijn reeds voorhanden die de burger weer vertrouwen kunnen geven?

Alle opties dienen te worden onderbouwd met cijfers. En testen kan gewoon via ons huidige gezondheidssysteem, dus via de huisarts. Niks nieuws onder de zon. Indien iemand besmet getest wordt, kan die in overleg met de huisarts of wellicht de GGD zelf actie ondernemen. Via dezelfde huisarts kan een burger natuurlijk altijd op basis van vrijwilligheid medische gegevens delen (eventueel via een privacyvriendelijke app) om anderen te helpen in het vinden van de beste behandelmethode. Uit onze analyse blijkt echter dat anonieme apps vrijwel onmogelijk zijn.

Dus fix the fundamentals, test en los het echte probleem op in plaats van apps te bouwen. Dan kunnen we op 28 april weer aan het werk en applaudiseren voor alle ondernemende Nederlanders die deze operatie uiteindelijk financieren.

Bas Filippini,
voorzitter Privacy First

Gepubliceerd in de zaterdageditie van De Telegraaf, 11 april 2020: https://www.telegraaf.nl/watuzegt/805422902/de-kwestie-zijn-corona-apps-een-zegen-of-een-vloek.

Gepubliceerd in Columns

Met grote zorg heeft Privacy First gisteren kennisgenomen van het voornemen van de Nederlandse overheid om speciale apps te gaan inzetten ter bestrijding van de Corona-crisis. Privacy First ziet het gebruik van dergelijke apps als een gevaarlijke ontwikkeling, aangezien dit kan leiden tot talloze onterechte verdenkingen, stigmatisering, onnodige onrust en paniek. Zelfs “geanonimiseerd” kunnen de gegevens uit dergelijke apps via koppeling alsnog tot individuele personen herleid worden. Bij grootschalig gebruik leidt dit tot een surveillance maatschappij waarin iedereen geobserveerd en geregistreerd wordt en men zich voortdurend gemonitord waant, met een maatschappelijk chilling effect tot gevolg. Groot risico is dat de verzamelde data voor meerdere doelen zullen worden gebruikt en misbruikt door bedrijven en overheden. In handen van criminele organisaties vormen deze data bovendien een goudmijn voor criminele activiteiten. Voor Privacy First wegen deze risico’s van “Corona apps” niet op tegen de veronderstelde voordelen.

Het recht op anonimiteit in de openbare ruimte is een klassiek grondrecht en cruciaal voor het functioneren van onze democratische rechtsstaat. Een democratisch besluit tot opheffing hiervan is onacceptabel. Mocht alsnog besloten worden tot grootschalige inzet van “Corona apps”, dan dient dit dus strikt anoniem en op zuiver vrijwillige basis te gebeuren. Met individuele toestemming vooraf zonder enige vorm van druk, volledig geïnformeerd en voor een legitiem, specifiek doel. Privacy by design (het inbouwen van privacybescherming in de techniek) dient daarbij leidend te zijn. Voor Privacy First zijn dit harde juridische voorwaarden die niet onderhandelbaar zijn. Mocht hier niet aan voldaan worden, dan zal Privacy First dit bij de rechter aanvechten.

Gepubliceerd in Wetgeving

Autoriteit Persoonsgegevens weigert te onderzoeken of te handhaven

Op 6 maart jl. heeft OV-reiziger Michiel Jonker hoger beroep ingediend bij de Raad van State inzake de afwijzing van twee handhavingsverzoeken door de Autoriteit Persoonsgegevens (AP). In juli 2018 verzocht Jonker in twee handhavingsverzoeken de AP om onderzoek en handhaving inzake:

  1. Het weigeren van de terugbetaling van resterend saldo op anonieme OV-chipkaarten als de houder zijn NAW-gegevens niet aan Nederlandse Spoorwegen (NS) verstrekt;
  2. Het weigeren van internationale treintickets door NS-medewerkers aan stationsbalies als kopers hun NAW-gegevens niet aan NS verstrekken;
  3. Het in rekening brengen, sinds 2 juli 2018, van extra “servicekosten” als houders van anonieme OV-chipkaarten contant betalen voor het opwaarderen van het saldo op deze kaarten.
  4. De weigering door vervoerbedrijf Connexxion van privacyvriendelijke, contante betaling voor eenmalige buskaartjes in de bus.

De AP weigerde deze inbreuken op de privacy serieus te onderzoeken, omdat volgens de AP een "globaal (bureau)onderzoek" reeds uitwees dat er geen sprake was van enige overtreding. Jonker bestrijdt dat, omdat er ofwel zonder aangetoonde noodzaak persoonsgegevens worden verwerkt (1, 2, 4), ofwel zonder aangetoonde noodzaak reizigers die hun privacy willen behouden, worden gediscrimineerd ten opzichte van reizigers die hun persoonsgegevens afstaan (3).

Met betrekking tot de verkoop van internationale treintickets (2) heeft Jonker in februari 2020 geconstateerd dat NS ter zitting van de rechtbank (op 16 december 2019) heeft gezwegen over het feit dat er bij veel internationale tickets die NS aan klanten verkoopt, sinds november 2019 wel degelijk van klanten geëist wordt dat zij hun naam en soms ook hun geboortedatum door NS laten verwerken in een digitaal systeem. Het eerdere "ATB-systeem" waarmee voorheen anoniem tickets konden worden verstrekt is toen uitgeschakeld, en nu moeten klanten verplicht met het zogeheten "Atlantis"-systeem een "Homeprint" aanschaffen.

Jonker: "NS vindt van zichzelf dat NS daar niet verantwoordelijk voor is, omdat dit in opdracht zou gebeuren van buitenlandse vervoerbedrijven. Maar NS is als verwerker wel mede-verantwoordelijk en moet zich aan de AVG houden. De AP heeft zichzelf eerst ten onrechte onbevoegd verklaard op dit punt. Toen ik dat had ontzenuwd, vond de AP opeens dat mijn handhavingsverzoek hier niet over ging. En de rechtbank zei vervolgens dat mijn handhavingsverzoek "te onbepaald" was, hoewel ik aan de AP specifiek materiaal had aangeleverd waaruit bleek dat het anonieme systeem zou worden uitgeschakeld. Ze draaien zich in duizend bochten om redenen te vinden om mijn handhavingsverzoek af te wijzen."

Om het risico te verminderen dat het ATB-systeem niet technisch ontmanteld wordt voordat de AP alsnog onderzoek heeft gedaan, heeft Jonker bij de Raad van State tevens een verzoek om voorlopige voorziening ingediend (een soort kort geding). Hij wil dat de rechter de AP opdraagt om de privacyvriendelijke infrastructuur van het ATB-systeem te beschermen zolang er nog geen onderzoek is gedaan. Het verzoek zal vooralsnog op 30 april 2020 door de Raad van State worden behandeld.

Bij Connexxion is volgens Jonker ten eerste niet aangetoond dat de "sociale veiligheid" op buslijnen in zijn regio gevaar loopt, en ten tweede is er volgens hem ook niet aangetoond dat het weigeren van contante betaling, als één maatregel in een pakket van 23 maatregelen, op die lijnen effect heeft op de veiligheid. Jonker: "Ze roepen het woord 'veiligheid' en vinden dat ze dan voor alle buslijnen in heel Nederland iets hebben aangetoond. Maar dan kan ik net zo goed gaan roepen dat alle CV-ketels gevaarlijk zijn en daarom moeten worden afgeschaft. Deze quasi-paranoia van een club van overheden en vervoerbedrijven die al onze persoonlijke OV-data in handen wil krijgen, wordt door de AP en de Rechtbank Gelderland klakkeloos geaccepteerd. Dat is in strijd met artikel 5 AVG, waarin staat dat er een noodzaak en een welbepaald doel moeten worden aangetoond."

Het volledige hoger-beroepschrift van Jonker staat HIER online (getiteld "Lof der individualiteit - privacy, connectiviteit en autoritair denken", 191 pp).

Jonker wordt in beide zaken gesteund door Privacy First en Maatschappij Voor Beter OV (www.voorbeterov.nl).

(door omstandigheden is dit bericht met vertraging gepubliceerd)

Update 26 juni 2020: de voorzieningenrechter bij de Raad van State heeft op 12 juni jl. uitspraak gedaan en Jonkers verzoek afgewezen. Voor de uitspraak, zie https://uitspraken.rechtspraak.nl/inziendocument?id=ECLI:NL:RVS:2020:1379. Jonker: "Het is jammer, maar in ieder geval heeft mijn verzoek om voorlopige voorziening ertoe geleid dat de voorzieningenrechter vragen aan NS heeft gesteld die de AP nooit wilde stellen. Uit het antwoord van NS blijkt dat er al in 2018 door NS en andere vervoerbedrijven een besluit is genomen om het privacyvriendelijke ATB-systeem voor ticketverkoop te gaan afschaffen. Vanwege het door mij betaalde griffierecht is het wel erg duur om als burger op die manier aan waarheidsvinding te moeten doen, omdat de AP haar taak op dat punt niet wil vervullen. Maar nu dit feit bekend is, kan ik dat meenemen in de bodemprocedure."

In de bodemprocedure heeft Jonker naar aanleiding van de uitspraak van de voorzieningenrechter op 22 juni jl. een nadere motivering ingediend, waarin de reikwijdte van zijn handhavingsverzoek centraal staat. Voor de tekst van die motivering, klik HIER (pdf).

Update 26 november 2020: de Afdeling bestuursrechtspraak van de Raad van State heeft aangekondigd drie hoger beroepen van Jonker inzake privacy in het openbaar vervoer ter zitting te zullen behandelen op maandag 8 februari 2021. Het betreft de volgende zaken:

- Contante betaling in de bus; AP en Connexxion (zaaknr. 2020-01625)
aanvang: 9:30u.

- Aanschaf internationale treintickets, restsaldo OV-chipkaart, servicekosten OV-chipkaart; AP, NS en mogelijk anderen (zaaknr. 2020-01629)
aanvang: 10:30u.

- Privacy-discriminatie bij OV-chipkaart; de-anonimisering van "anonieme" OV-chipkaart (zaaknr. 2019-07478)
aanvang: 11:30u.

Alle drie de zaken worden behandeld in het gebouw van de Afdeling bestuursrechtspraak aan de Kneuterdijk 22 in Den Haag.

Update 26 januari 2021: op 15 januari jl. heeft Jonker de motivering van zijn hoger beroepen aangevuld vanwege recente ontwikkelingen. In zijn aanvulling, getiteld "Bewegingscontrole en bewegingsbeperking", brengt Jonker naar voren dat een combinatie van attitudes bij vervoerbedrijven, de Nederlandse staat en sommige Nederlandse rechters het grondrecht van Nederlandse burgers dreigt uit te schakelen op bewegingsvrijheid met behoud van privacy, ook in situaties waar het niet nodig is dat grondrecht aan te tasten. Hij pleit voor een onafhankelijke rechterlijke toetsing waarbij de bedoeling van geldende wetten en verdragen wordt gerespecteerd.

Als gevolg van persoonlijke omstandigheden die verband houden met Covid-19, is Jonker verhinderd voor de geplande zittingen op 8 februari 2021. Hij heeft zich bereid verklaard om vragen van de Afdeling bestuursrechtspraak schriftelijk te beantwoorden.

Jonker: "Het is vervelend, maar het is niet anders. Ik hoop dat de Afdeling zelf naar wegen zoekt om het proces toch op een faire manier te laten plaatsvinden, mede met het oog op het maatschappelijke belang ervan."

Update 15 februari 2021: vanwege een falende video-verbinding op 8 februari jl. heeft de Raad van State de behandeling van Jonkers hoger beroepen tot nader orde uitgesteld.

Jonker: "Het is voor alle betrokkenen heel frustrerend. Ik begrijp het belang van een zitting waarin live van gedachten kan worden gewisseld. Als dat technisch niet lukt, ben ik persoonlijk bereid om, gezien de uitzonderlijke omstandigheden, schriftelijk te reageren op eventuele vragen van de Afdeling bestuursrechtspraak van de Raad van State, en op inbreng van andere partijen ter zitting, zoals die in de zittingsaantekeningen is vastgelegd. Het is in het belang van alle OV-reizigers dat de zaak niet voor onbepaalde tijd wordt aangehouden. Het is aan de Afdeling bestuursrechtspraak om te bepalen hoeveel uitstel de zaak kan verdragen, met andere woorden: op welk moment de rechtszekerheid van OV-reizigers vereist dat de behandeling op enige wijze wordt voortgezet. Zoals het gezegde luidt: justice delayed is justice denied..."

Update 8 juli 2021: de Afdeling bestuursrechtspraak van de Raad van State heeft op 5 juli jl. de drie hoger beroepen van Jonker over privacy in het OV behandeld in drie opeenvolgende zittingen. In elke zitting ging het over de weigering van de AP om (voldoende) onderzoek te doen en de weigering van de AP om handhavend op te treden:

Zitting 1: de weigering van contante betaling in de bus door Connexxion.

Zitting 2: drie inbreuken op de privacy door NS:
a) verwerking persoonsgegevens bij teruggave van restsaldo op "anonieme" OV-chipkaarten aan de eigenaar;
b) NS eist persoonsgegevens van reizigers die aan de balie een internationaal treinkaartje binnen de EU willen aanschaffen;
c) NS brengt extra service-kosten in rekening aan reizigers die aan de balie privacy-vriendelijk (en dus contant) willen betalen voor het opladen van hun "anonieme" OV-chipkaart.

Zitting 3: drie inbreuken op de privacy door NS:
a) ontbrekende anonimiteit van de tot voor kort als "privacy-vriendelijk" verkochte "anonieme" OV-chipkaart, en het bedrog van NS daarover totdat het uitkwam;
b) privacy-discriminatie van houders van een voordeelurenabonnement (VDU): zij krijgen geen voordeelurenkorting als zij reizen met een "anonieme" OV-chipkaart;
c) privacy-discriminatie bij de uitvoering van de regeling Geld Terug Bij Vertraging (GTBV): houders van "anonieme" OV-chipkaarten krijgen alleen hun geld terug als zij hun OV-chipkaart feitelijk de-anonimiseren, waardoor niet alleen de vertraagde reis, maar ook alle andere reizen door NS en/of TLS geregistreerd kunnen worden.

Jonker: "De zeven inbreuken op de privacy die in deze drie zittingen werden behandeld, geven een beeld hoe Nederlandse vervoerbedrijven gezamenlijk aan alle kanten proberen om de reisgegevens (plaatsen en tijden van de privé-reizen van mensen) buit te maken, en om het reizigers die hun privacy proberen te behouden, zo moeilijk mogelijk te maken. Dit wordt gestimuleerd door verschillende ministeries, andere overheidsinstanties (bijvoorbeeld het CBS) en allerlei en gremia uit het zogenoemde "maatschappelijke middenveld" (de polder). De Autoriteit Persoonsgegevens weigert ertegen op te treden. De data-roof is in volle gang. Het lijkt of ook rechters die niet willen stoppen. Mijn analyse van oktober 2019 dat er in Nederland sprake is van een conglomeraat van overheden en bedrijven dat reële privacy in het openbaar vervoer wil afschaffen, wordt op deze manier opnieuw bevestigd.

Als de Raad van State gaat oordelen dat deze willekeur van vervoerbedrijven bij het verwerken van persoonsgegevens is toegestaan, en die willekeur daarmee gaat legaliseren, dan is het duidelijk dat privacy in Nederland in rechte niet meer wordt beschermd en daarmee in de praktijk wordt afgeschaft. Het grondrecht op privacy is er dan niet meer. In plaats daarvan is privacy dan alleen nog een gunst die in sommige gevallen aan sommige mensen wordt verleend, met willekeur en op instrumentele gronden, bijvoorbeeld politieke of relationele gronden - maar aan andere mensen niet. De overheid en grote bedrijven mogen dan, zonder onze toestemming, ongehinderd tot diep in ons privé-leven doordringen en ons via die weg aansturen, belonen en straffen."

Een interview met Jonker, video-samenvattingen van de drie zittingen en de integrale video-opnamen van de zittingen zijn te vinden op de site van Potkaars: https://potkaars.nl/blog/2021/7/7/de-veronderstelling-dat-je-het-recht-hebt-anoniem-door-het-leven-te-gaan-ter-discussie-gesteld-door-de-ns

Media:
Volkskrant verslaggeverscolumn 6 juli 2021: Privacy bestaat niet meer, en dat lieten we zelf gebeuren

Gepubliceerd in Mobiliteit

Michiel Jonker: "Contante betaling waarborgt de privacy van bioscoopbezoekers."

De Arnhemse privacy-activist Michiel Jonker heeft bij de Rechtbank Gelderland beroep ingediend tegen de weigering van de Autoriteit Persoonsgegevens (AP) om handhavend op te treden tegen de weigering van arthouse-bioscoop Focus Filmtheater in Arnhem om contante betaling te accepteren. De bioscoop eist sinds de verhuizing naar een pand dat miljoenen heeft gekost, pinbetaling bij aankoop van filmkaartjes aan de kassa. Daarmee dwingt de bioscoop bezoekers tot het laten verwerken van hun persoonsgegevens.

Jonker is het daar niet mee eens en heeft om die reden in augustus 2018 een handhavingsverzoek bij de AP ingediend. De AP heeft dat verzoek in november 2019 afgewezen omdat volgens de AP niemand verplicht is om contant geld als wettig betaalmiddel te accepteren. Ook stelt de AP dat de bioscoop middels haar algemene voorwaarden een "contract" met de bioscoopbezoekers tot stand brengt, waaruit een noodzaak zou voortvloeien om persoonsgegevens van de bioscoopbezoekers te verwerken.

Volgens Jonker is er in geval van toonbankbetalingen in een aantal gevallen echter wel degelijk een plicht om contant geld te accepteren. Hij beroept zich daarbij op informatie van een expert van de Nederlandsche Bank. "Focus Filmtheater is een arthouse-bioscoop die films vertoont over gevoelige onderwerpen, en wordt nota bene voor een deel met gemeenschapsgeld gefinancierd," zegt Jonker. "Het gaat hier om de maatschappelijke participatie van mensen. Het moet niet mogelijk zijn dat achteraf door middel van profilering wordt achterhaald voor welke films iemand in de loop der tijd belangstelling heeft getoond. Als deze bioscoop privacyvriendelijke contante betaling mag weigeren, dan is dat het signaal dat iedereen afhankelijk mag worden gemaakt van niet-anonieme methoden om betalingen te doen - via pin of via internet. Dan moet je gaan nadenken wat andere mensen, autoriteiten of geautomatiseerde systemen voor conclusies kunnen trekken over jouw keuze om wel of niet bepaalde films te zien. Dat geeft aan deze zaak een grote lading."

In de documenten die Jonker in de bezwaarprocedure heeft opgevraagd, heeft hij ook aanwijzingen aangetroffen dat er onvoldoende waarborgen zijn met betrekking tot de persoonsgegevens die via de website van de bioscoop worden verzameld. "Als je een bioscoopkaartje koopt, kunnen je gegevens worden verwerkt door op zijn minst zeven bedrijven in vijf landen. Eén van die bedrijven is Google, en de kleine lettertjes in de algemene voorwaarden van Google geven dat bedrijf zeer veel vrijheid om de verzamelde gegevens met derden te delen in zo'n beetje alle landen ter wereld. Het is niet duidelijk of er tijdige en adequate anonimisering plaatsvindt. Zoals het er nu staat, is het een vrijbrief voor privacy-aantasting."

Voor de volledige tekst van Jonkers beroepschrift, klik HIER (pdf, 94 pp).

Privacy First steunt Jonker in deze zaak.

Media:
Security.nl, 7 januari 2020: Rechtszaak over Arnhemse bioscoop die contant geld weigert
Privacyweb, 7 januari 2020: Rechtszaak tegen weigering van contant geld door bioscoop
Sargasso.nl, 8 januari 2020: Rechtszaak tegen weigering contant geld door bioscoop
FOK Nieuws, 8 januari 2020: Rechtszaak tegen weigering van contant geld door bioscoop
AVROTROS Radar, 8 januari 2020: Niet contant kunnen betalen: inbreuk op je privacy? (inclusief opiniepoll)
Potkaars.nl, 8 januari 2020: Michiel Jonker - War on Cash in de Bioscoop (video-interview en podcast) 
Café Weltschmerz, 8 januari 2020: Profileren op basis van bioscoopbezoek – Rico Brouwer en Michiel Jonker (video-interview)
Emerce, 10 januari 2020: Rechtszaak tegen weigering van contant geld door bioscoop
De Gelderlander, 16 januari 2020: Privacystrijder blijft vechten voor betalen met contant geld bij filmhuis in Arnhem
FOK Nieuws, 17 januari 2020: Q&A met privacy-activist Michiel Jonker.
Tweakers, 6 februari 2020: Interview met Michiel Jonker - privacyactivist uit idealisme en irritatie.

Gepubliceerd in Financiële privacy & PSD2
Pagina 1 van 16

Onze Partners

logo Voys Privacyfirst
logo greenhost
logo platfrm
logo AKBA
logo boekx
logo brandeis
 
banner ned 1024px1
logo demomedia
 
 
 
 
 
Pro Bono Connect logo 100
Control Privacy
Procis

Volg ons via Twitter

twitter icon

Volg onze RSS-feed

rss icon

Volg ons op LinkedIn

linked in icon

Volg ons op Facebook

facebook icon