donatieknop english

Tijdens het Nationaal Congres Dataprotectie & Privacy 2016 worden de jaarlijkse Nationale Privacy Innovatie Awards uitgereikt. Deze Awards belonen de meest originele, innovatieve en kansrijke privacyprojecten van Nederland.

IIR en Privacy First belichten met deze Awards organisaties die privacy-innovatie zien als kans om zich positief te onderscheiden en privacyvriendelijk te ondernemen. Dit in lijn met de missie van Privacy First: Nederland Privacy Gidsland.

Uit de vele inzendingen heeft de vakjury de volgende genomineerden per categorie bepaald:

Bedrijfsoplossingen

Consumentenoplossingen

Overheid

     Start-ups

Pseudonimiseer

Qiy

(onvoldoende inzendingen)

     Soverin

TomTom Identity/CDDN        ZIVVER


Jury IIR Nationale Privacy Innovatie Awards
De jury bestaat uit privacy experts uit verscheidene branches en sectoren:
• Bas Filippini, oprichter en voorzitter, Privacy First (juryvoorzitter)
• John Borking, Of Counsel, CMS, lid van Advisory Board van EuroPriSe GmbH
• Paul Korremans, Data Protection & Security Professional, Comfort Information Architects
• Jaap Henk Hoepman, Scientific Director, Privacy & Identity Lab.

De verkiezing
Tijdens het congres worden de zes genomineerde projecten aan het publiek gepresenteerd. De vakjury bepaalt wie de winnaars worden van de IIR Nationale Privacy Innovatie Awards 2016. Daarnaast stemt het publiek live mee voor de publieksprijs, die naast de Awards wordt uitgereikt.

Op woensdag 14 september 2016 tijdens het Nationaal Congres Dataprotectie & Privacy wordt bekendgemaakt wie deze prestigieuze prijzen in de wacht sleept.

Lees HIER meer over de IIR Nationale Privacy Innovatie Awards.

Gepubliceerd in Evenementen

Deze week heeft de Rechtbank Gelderland uitspraak gedaan over de vraag of de Autoriteit Persoonsgegevens (AP; voorheen College Bescherming Persoonsgegevens) zonder onderzoek mag weigeren om te handhaven wanneer treinreizigers met een voordeeluren-abonnement door NS worden gedwongen extra te betalen als zij hun privacy willen behouden.

Twee jaar geleden schafte NS de papieren treinkaartjes af en verplichtte alle reizigers voortaan een OV-chipkaart te gebruiken. Het bleek dat reizigers die omwille van hun privacy voor een anonieme OV-chipkaart kozen, van NS geen voordeelurenkorting krijgen – ook niet als zij al vele jaren in het bezit zijn van een voordeelurenabonnement. Arnhemmer Michiel Jonker maakte hiertegen bezwaar. Na een procedure bij de Geschillencommissie-OV deed hij in april 2015 een handhavingsverzoek bij de AP (toen nog: CBP). De AP weigerde echter in te grijpen. Daarop stapte Jonker naar de rechter.

In de uitspraak, ECLI:NL:RBGEL:2016:4553, stelt de rechter dat het handhavingsverzoek voor de AP op zijn minst aanleiding had moeten zijn om de zaak op een aantal door Jonker genoemde punten te onderzoeken:

- Naar het oordeel van de rechtbank heeft de AP onvoldoende onderzocht of de gegevensverwerking voldoet aan het proportionaliteits- en subsidiariteitsbeginsel. Het subsidiariteitsbeginsel vereist dat als er een mogelijkheid bestaat om een bepaald doel te bereiken op een manier waarbij de privacy behouden blijft, of minder wordt aangetast, er dan ook voor die manier moet worden gekozen.

- De rechtbank merkt tevens op dat de mogelijkheid om anoniem te reizen, een aspect van het systeem van de OV-chipkaart is. Jonker: “Hieruit leid ik af dat de rechtbank, net als ik, vindt dat een monopolie op een basisvoorziening zoals het openbaar vervoer, niet misbruikt mag worden om mensen hun privacy zonder noodzaak afhandig te maken.”

- De rechtbank is van oordeel dat, mede gezien het principiële karakter van de voorliggende vraag, er in ieder geval sprake is van zwaarwichtige gronden om een onderzoek in te stellen als bedoeld in de Beleidsregels voor handhaving door de AP. Jonker: “Ik ben blij dat de rechtbank dit onderdeel van mijn argumentatie in zijn uitspraak expliciet onderschrijft.”

Jonker geeft aan verheugd te zijn dat de rechtbank duidelijk heeft gemaakt dat zijn verzoek om onderzoek en handhaving serieus moet worden genomen door de Autoriteit Persoonsgegevens, en niet zomaar van tafel mag worden geveegd. “Ik hoop dat dit bij de AP tot een nieuwe houding zal leiden, waarbij de AP zijn in naam onafhankelijke positie ook echt gaat waarmaken en zijn werk gaat doen.”

Gevraagd of hij overweegt om in hoger beroep te gaan, zegt Jonker: “Ik heb op zich een goed gevoel bij de uitspraak, maar wil hem nog wel nader bestuderen, voordat ik daarover een beslissing neem. Het feit dat de rechtbank nog niet meteen geoordeeld heeft dat er gehandhaafd moet worden, maar dat er eerst nog meer onderzoek moet plaatsvinden, brengt een vertraging teweeg, waardoor ik als abonnementhouder door NS voorlopig nog gediscrimineerd kan worden. In ieder geval vind ik het van groot belang dat het onderzoek van de AP grondig, transparant en inzichtelijk zal zijn. Gezien de eerdere houding van de AP is dat geen vanzelfsprekendheid. Dus dat ga ik nauwlettend volgen.”

Privacy First steunt het doel van deze rechtszaak: anoniem reizen met korting, zonder privacydiscriminatie. Privacy is immers een universeel mensenrecht. Voor dat recht dienen mensen niet extra te hoeven betalen.

De zaak geniet brede steun onder de Nederlandse bevolking, zo bleek de afgelopen weken uit talloze positieve reacties bij Privacy First en op social media. 81% van de mensen is het dan ook eens met de stelling "Het is belachelijk dat je alleen korting krijgt in de trein met een persoonsgebonden OV-chipkaart", zo blijkt uit een actuele opiniepoll bij dagblad De Gelderlander. De website Treinreiziger.nl heeft Michiel Jonker inmiddels zelfs voorgedragen voor de jaarlijkse Blije Reizigersprijs.

Lees HIER de hele uitspraak van de rechtbank en klik HIER voor achtergrondinformatie en eerdere media over de zaak.

Hieronder een actueel media-overzicht (in chronologische volgorde):

Persbericht rechtbank Gelderland, 17 augustus 2016: Autoriteit Persoonsgegevens moet meer onderzoek doen naar registratie reisgegevens door de NS

Security.nl, 17 augustus 2016: Toezichthouder moet registratie reisgegevens NS onderzoeken

Rechtennieuws.nl, 17 augustus 2016: Autoriteit Persoonsgegevens moet meer onderzoek doen naar registratie reisgegevens door de NS

Omroep Gelderland, 17 augustus 2016: Treinreiziger uit Arnhem krijgt gelijk: meer onderzoek naar registratie reisgegevens door NS

De Gelderlander, 17 augustus 2016: Extra onderzoek naar registratie reisgegevens

NU.nl, 17 augustus 2016 (inclusief reactie NS): Privacywaakhond moet registratie reisgegevens door NS beter onderzoeken

Tweakers.net, 17 augustus 2016: Privacytoezichthouder moet onderzoek doen naar anoniem reizen met korting

OV-Magazine, 17 augustus 2016: Rechter: onderzoek naar anonieme korting.

Treinreiziger.nl, 18 augustus 2016: Reiziger krijgt gelijk: onderzoek naar privacy NS

Treinreiziger.nl, 18 augustus 2016: Opinie: Michiel Jonker verdient reizigersprijs.

Weblog SOLV Advocaten, 19 augustus 2016: Privacy een gepasseerd station voor de NS? (met commentaar Michiel Jonker)

Gepubliceerd in Mobiliteit

"De zwarte doos in auto's slaat het rijgedrag minutieus op. De politie wil die gegevens graag hebben, want die zeggen veel meer dan sporen op het wegdek.

In 2009 maakte de Rotterdamse politie voor het eerst gebruik van de Event Data Recorder, de zwarte doos. (...) Na een proef in Rotterdam gaan zeven van de tien politieregio's nog dit jaar aan de slag met de techniek. In moderne auto's zit een Event Data Recorder (EDR) ingebouwd, vergelijkbaar met een zwarte doos van een vliegtuig. (...)

De EDR registreert tijd, locatie, remgedrag, snelheid, stand van de pedalen, werking van de airbags enzovoorts. Bij de ernstige ongevallen waarbij de afdeling Verkeers Ongevallen Analyse van de politie onderzoek doet, kunnen de laatste vijf seconden voor het ongeluk in de EDR geraadpleegd worden. (...)

Resultaten
De techniek is er al, maar werd nog maar mondjesmaat gebruikt. De politie Rotterdam heeft de afgelopen drie jaar bij 21 ongevallen de EDR geraadpleegd. (...) De politieregio's Oost-Nederland, Midden-Nederland, Amsterdam, Limburg , Oost-Brabant, Den Haag en Rotterdam zijn nu in het bezit van de EDR-apparatuur en hun mensen bij de dienst Verkeers Ongevallen Analyse worden opgeleid om er gebruik van te maken.

Zwarte doos
De verwachting is dat het gebruik van de EDR als getuige een grote vlucht gaat nemen. In de Verenigde Staten is de zwarte doos sinds 2014 verplicht in alle nieuwe auto's. (...) EDR is, in tegenstelling tot in de VS, nog niet verplicht in Nederland en de rest van Europa. Branchevereniging RAI weet niet welke auto's data opslaan. Volgens schattingen beschikt 70 procent van de nieuw verkochte auto's over een soort zwarte doos. Van een uniforme opslag is nog geen sprake. Vaak is de data alleen door de autofabrikant uit te lezen. Niet alle autofabrikanten staan toe dat de EDR door derden wordt uitgelezen. Als de fabrikant wordt gevraagd om de zwarte doos uit te lezen worden er bovendien hoge kosten gemaakt. Bij de proef in Rotterdam, waarbij de hulp van de fabrikant of importeur werd ingeroepen, varieerden de kosten tussen de 800 en 2000 euro. (...)

Privacy
Er zijn ook zorgen. Wat wel en niet mag met de data die een auto verzamelt is nog schimmig terrein. Autobrancheorganisatie Bovag en de ANWB pleiten al langer voor betere wetgeving om te bepalen hoe er met de data moet worden omgegaan. Privacyorganisatie Privacy First vindt het prima als mensen data wíllen delen. ,,Maar er moet encryptie zijn van de data en het moet mogelijk zijn om de zwarte doos uit te zetten. Jij als automobilist moet kunnen bepalen wat er wordt opgeslagen. Want het gaat niemand wat aan hoe jij je beweegt in de openbare ruimte'', zegt directeur Vincent Böhre van Privacy First.
(...)
De volgende toepassing waarbij data uit de auto wordt aangewend is eCall, een verplicht Europees systeem waarbij de auto zélf 112 belt als de computer in de auto berekent dat snelheid en impact dusdanig waren dat er wel een ernstig ongeluk met gewonden móet hebben plaatsgevonden. Naar verwachting wordt eCall in 2018 verplicht voor nieuwe auto's."

Bron: Algemeen Dagblad 9 augustus 2016, voorpagina en pp. 8-9. Volledige artikelen online: http://www.ad.nl/binnenland/zwarte-doos-helpt-politie-na-autocrash~a4456e34/ & http://www.ad.nl/nieuws/digitaal-remspoor-beter-dan-verbrand-rubber-op-de-weg~ab81ca38/ . Tevens gepubliceerd in AD/Rotterdams Dagblad, AD/De Dordtenaar, AD/Haagsche Courant, AD/Groene Hart, AD/Utrechts Nieuwsblad, AD/Rivierenland, AD/Amersfoortse Courant, BN/DeStem, Brabants Dagblad, Dagblad de Limburger, Limburgs Dagblad, Twentsche Courant Tubantia, De Gelderlander, De Stentor, Eindhovens Dagblad, Leeuwarder Courant & Provinciale Zeeuwse Courant (9 augustus 2016) en geciteerd in de Volkskrant (10 augustus 2016, p. 8) en Nederlands Dagblad (13 augustus 2016, pp. 18-19).

Lees hieronder de eerdere reactie van Privacy First voorzitter Bas Filippini in dagblad Spits op plannen voor invoering van de zogeheten "Crashcube" (zwarte doos/EDR) in 2011: 

"Privacywaakhonden maken zich zorgen over de introductie van een 'zwarte doos' in personenauto's. De politie Rotterdam-Rijnmond presenteert vanmiddag deze zogeheten Crashcube in de hoop dat deze technologie een bijdrage gaat leveren aan de afwikkeling van verkeersongevallen. Maar de Stichting Privacy First waarschuwt voor mogelijk misbruik.

Naast vliegtuigen krijgen nu ook auto's een zwarte doos. Het apparaat heet de Crashcube en moet de politie helpen bij het analyseren van ongevallen.

Met de Crashcube kunnen forensisch experts ter plekke informatie uitlezen over ongevallen, zoals de snelheid en de g-kracht van de betrokken auto, meldt de politie Rotterdam Rijnmond in een persverklaring.

De data uit de box is onomstotelijk en zal dus in de rechtszaal sterk bewijs leveren van wie schuldig is aan het ongeluk, zegt de Rotterdamse politie die samen met het Nederlands Forensisch Instituut (NFI), Rijksdienst voor Wegverkeer (RDW) en Rijkswaterstaat de Crashcube heeft ontwikkeld.

Voorzitter Bas Filippini van Stichting Privacy First ziet het nut niet van een cube in de rechtspraak. „Het is in de rechtszaal vrijwel altijd duidelijk wie de schuldige is, en om nou voor die paar gevallen dat het niet zo is je privacy op te geven. Dat gaat mij veel te ver." Volgens de stichting tast het apparaat de persoonlijke vrijheid aan. „Een bestuurder moet zelf kunnen beslissen of hij een Crashcube in zijn auto wil, maar je zult altijd zien dat dit soort dingen op een gegeven moment verplicht worden. Dit past niet bij onze grondwettelijke vrijheid om vrij en blij te zijn in de openbare ruimte." Filippini vreest dat de Cube misbruikt gaat worden. „Het begint bij ongevalanalyse, maar al snel zet de politie je aan de kant en lezen ze je Crashcube af waarop ze je een boete geven omdat je gisteren 150 hebt gereden.""

Bron: Spits 30 november 2011, https://www.privacyfirst.nl/in-de-media/item/477-spits-30-nov-2011-twijfel-over-zwarte-doos-in-auto.html.

Lees HIER ook de eerdere reactie van Privacy First op de Europese invoering van eCall.

Bij verplichte Nederlandse invoering van zowel zwarte dozen/EDR als eCall in auto's zal Privacy First dit bij de rechter aanvechten met als doel vrijwillige i.p.v. verplichte invoering en eigen regie van de automobilist over zijn/haar data. 

Update 10 augustus 2016: zie ook het bericht vandaag bij RTL Nieuws, Politie wil zwarte doos in auto's kunnen uitlezen: http://www.rtlnieuws.nl/nederland/politie-wil-zwarte-doos-autos-kunnen-uitlezen-zit-die-jouw-auto.

Update 13 augustus 2016: vandaag publiceerde het Reformatorisch Dagblad enig nader commentaar door Privacy First, zie http://www.rd.nl/vandaag/binnenland/auto-kan-straks-een-rijdende-spion-worden-1.1117073 (tevens gepubliceerd in papieren editie, p. 9). Hieronder enkele fragmenten:

"Privacy First zegt niet per se tegen de invoering van een zwarte doos te zijn, maar dan wel op vrijwillige basis en met wettelijk gereguleerde toepassingen. Want volgens directeur Vincent Böhre van de stichting die de anonimiteit van mensen in het publieke domein wil beschermen, liggen de gevaarlijke toepassingen op de loer. Hij verwijst naar leasemaatschappijen, verzekeraars en andere belanghebbenden die graag meer willen weten over rijgedrag, slijtage en schaderisico.

„Het lijken onschuldige gegevens te zijn, maar uit het rijgedrag van iemand kun je zelfs een persoonlijkheidsanalyse halen, die interessant kan zijn voor een werkgever of voor de overheid”, zegt Böhre. „Het moet duidelijk zijn dat de autogegevens eigendom zijn van de automobilist.”

(...) Volgens een deze week vrijgegeven document van de nationale politie is tot dusver in 21 gevallen in de periode 2013-2015 onderzoek uitgevoerd met behulp van de zwarte dozen. Aangezien de officier van justitie in die gevallen beslag had gelegd op de auto, kon de eigenaar dit niet weigeren. De onderzoeken zijn wel kostbaar: tussen de 800 en 2000 euro per keer.

In dat beperkte aantal gevallen waarin gegevens zijn uitgelezen, ziet de stichting Privacy First nog een reden om voorlopig van een verplichte invoering van de zwarte doos af te zien. „Het is met 21 onderzoeken in drie jaar tijd in feite schieten met een kanon op een mug”, zegt directeur Böhre. „Het is werkelijk de vraag of het inbouwen van zo’n zwarte doos wel proportioneel en maatschappelijk noodzakelijk is.”

Hij voorspelt daarnaast dat die ene toepassing van de zwarte doos omwille van ongevallenonderzoek leidt tot misschien wel twintig ongewenste bijproducten, zoals hogere premies voor automobilisten die vaak hard remmen en te snel rijden of extra toeslagen voor leaserijders met een agressieve rijstijl. Böhre: „Het is zaak om nu goed na te denken over de negatieve gevolgen, want dit gaat straks in heel Europa spelen.”"

Update 25 augustus 2016: lees ook http://www.rd.nl/opinie/zwarte-doos-in-auto-wapen-tegen-wegpiraat-1.1119248. Privacy First juicht dit maatschappelijke debat van harte toe en hoopt dat het tot een uitkomst zal leiden die zowel recht doet aan ieders privacy als aan andere relevante belangen.

Gepubliceerd in Mobiliteit

NS laat reiziger extra betalen voor privacy. Abonnementhouder stapt naar rechter.

Op 7 juli 2016 zal een meervoudige kamer van de Rechtbank Gelderland zich buigen over de vraag of de Autoriteit Persoonsgegevens (voorheen College Bescherming Persoonsgegevens) mag weigeren om te handhaven wanneer treinreizigers met een voordeelurenabonnement door NS worden gedwongen om extra te betalen als zij hun privacy willen behouden.

Twee jaar geleden schafte NS de papieren treinkaartjes af en verplichtte alle reizigers voortaan een OV-chipkaart te gebruiken. Het bleek dat reizigers die omwille van hun privacy voor een anonieme OV-chipkaart kozen, van NS geen voordeelurenkorting krijgen – ook niet als zij al vele jaren in het bezit zijn van een voordeelurenabonnement. Arnhemmer Michiel Jonker maakte hiertegen bezwaar. Na een procedure bij de Geschillencommissie-OV deed hij in februari 2015 een handhavingsverzoek bij het CBP (thans: AP). Het CBP weigerde echter in te grijpen.

Met ingang van 9 juli 2014 heeft NS Reizigers BV het voor abonnementhouders onmogelijk gemaakt om een papieren kaartje te kopen dat in de trein samen met hun abonnementskaart wordt gecontroleerd. Wie in de voordeeluren met korting wil reizen, mag dat van NS alleen als hij in- en uitcheckt met een persoonsgebonden OV-chipkaart waarop ook zijn identiteit staat vermeld. Het gevolg hiervan is dat reizigers alleen nog voordeelurenkorting krijgen als zij al hun reisbewegingen via de persoonsgebonden OV-chipkaart door NS laten registreren. Als zij hun privacy wensen te behouden, verliezen zij hun voordeelurenkorting.

Jonker ervaart het feit dat een reiziger met privacy in de voordeeluren meer moet betalen dan een reiziger zonder privacy, als een vorm van discriminatie. “Ik wil net als vroeger het openbaar vervoer kunnen gebruiken zonder dat een bedrijf of de overheid precies kan bijhouden waar ik op welk moment geweest ben. Daarvoor is de anonieme OV-chipkaart ook bedoeld. Maar die wordt op deze manier ontmoedigd. Er wordt een ongerechtvaardigd onderscheid gemaakt tussen mensen met privacy en mensen zonder privacy. Mensen die hun privacy willen houden, moeten meer betalen. Dat is discriminatie.”

Volgens Jonker is discriminatie extra kwalijk wanneer die wordt ingezet als drukmiddel. “NS probeert me ertoe te dwingen mijn privé-reisgegevens voor commerciële doelen ter beschikking te stellen.” Het Europees Verdrag voor de Rechten van de Mens verbiedt alle discriminatie, maar de Nederlandse wet verbiedt alleen discriminatie op twaalf specifieke punten. Eén daarvan is iemands levensovertuiging. Jonker: “Ik heb het College voor de Rechten van de Mens uitgelegd dat respect voor ieders privé-sfeer bij mijn levensovertuiging hoort. Maar volgens hen is verlicht humanisme geen levensovertuiging. Dat vind ik absurd.”

Ook heeft Jonker bezwaar tegen de wijze waarop NS zijn persoonsgegevens heeft overgedragen aan Trans Link Systems (TLS). “NS zegt dat ik een contract met TLS heb, maar dat is onzin. Ik heb nooit zo’n contract afgesloten; dat heeft geen enkele treinreiziger. NS heeft zijn algemene voorwaarden veranderd. Maar NS kan niet rechtmatig in zijn algemene voorwaarden opnemen dat ik opeens een contract over mijn persoonsgegevens afgesloten zou hebben met een derde. Je ziet hier hoe de zogenaamde privatisering van een publieke voorziening, het OV, leidt tot onrechtmatige praktijken.”

Jonker wordt in deze rechtszaak ondersteund door Stichting Privacy First en Maatschappij voor Beter OV.


Update Privacy First, 5 juli 2016: de rechtszitting vindt plaats op donderdag 7 juli as. om 10.40u bij de rechtbank Gelderland (locatie Arnhem), klik HIER voor een routebeschrijving. Zaaknummer: ARN 15 / 5542 (Jonker vs. CBP; afwijzing handhavingsverzoek OV-chipkaart). De Nederlandse Spoorwegen (NS) en Trans Link Systems (TLS) zijn door de rechtbank vooralsnog als belanghebbenden aangemerkt en zullen in die hoedanigheid aan de rechtszitting deelnemen.

Zie tevens de volgende nieuwsbronnen:

Security.nl, 1 juli 2016: https://www.security.nl/posting/476407/Treinreiziger+die+korting+en+privacy+bij+NS+wil+naar+rechter 

Nederlands Dagblad, 2 juli 2016: https://www.nd.nl/nieuws/nederland/rechtszaak-om-schending-privacy-met-ov-chipkaart.1848969.lynkx?s=XZIXsSB2lB-7eer9r0xlqg== (tevens in papieren editie, p. 2)

NOS, 7 juli 2016: http://nos.nl/op3/artikel/2115951-ik-wil-met-een-anonieme-ov-chipkaart-met-korting-reizen.html

Omroep Gelderland, 7 juli 2016: http://www.omroepgelderland.nl/nieuws/2112922/Arnhemmer-strijdt-voor-anonieme-voordeelurenkaart-NS

RTL Nieuws, 7 juli 2016: http://www.rtlnieuws.nl/nederland/arnhemmer-naar-rechter-ns-laat-je-meer-betalen-voor-je-privacy

TROS Radar, 7 juli 2016: http://radar.avrotros.nl/nieuws/detail/ook-met-een-anonieme-ov-chipkaart-wil-ik-korting-bij-ns-krijgen/

Telegraaf, 8 juli 2016: http://www.telegraaf.nl/dft/geld/consument/26170823/___NS_benadeelt_anonieme_reiziger___.html (tevens in papieren editie, sectie Binnenland, p. 12)

Maatschappij voor Beter OV, 4 en 11 juli 2016: http://voorbeterov.nl/goedemaandagmorgen

Radio:

Interview met Michiel Jonker bij Amsterdam FM, 5 juli 2016: http://www.amsterdamfm.nl/ns-laat-reizigers-betalen-voor-privacy/

Interview bij Radio Gelderland, 7 juli 2016:


Interview bij Radio 1 (NOS), 7 juli 2016:

Update Privacy First, 7 juli 2016: de rechtszitting verliep vandaag relatief grondig en duurde bijna 3 uur (drie keer langer dan door de rechtbank was gepland). De NS werd door de rechtbank aan het begin van de zitting toegelaten om als belanghebbende partij aan de procedure deel te nemen. Trans Link Systems (TLS, het 'bedrijf achter de OV-chipkaart') werd door de rechtbank echter alsnog (terecht) niet-ontvankelijk verklaard. Klik HIER voor de pleitnota van Michiel Jonker (pdf). Het vonnis van de rechtbank staat vooralsnog gepland voor 18 augustus as., maar zal wellicht worden uitgesteld wegens de complexiteit van de zaak.

Update 16 augustus 2016: vandaag heeft de rechtbank Gelderland een positieve uitspraak gedaan, klik HIER voor ons nieuwsbericht en eerste commentaar door Michiel Jonker.

Gepubliceerd in Mobiliteit
woensdag, 15 juni 2016 18:20

Privacy First jaarverslag 2015

Hierbij presenteert Stichting Privacy First u graag haar jaarverslag 2015: klik HIERpdf om de pdf-versie te downloaden! In ons jaarverslag leest u alles over de dagelijkse strijd van Privacy First ter behoud en bevordering van ieders recht op privacy. Om deze strijd te kunnen voortzetten is Privacy First grotendeels afhankelijk van individuele donateurs. Hoe meer donateurs, hoe effectiever Privacy First kan opereren middels politieke lobby, gerichte acties en campagnes, publieksevenementen en rechtszaken. Klik HIER om donateur van Privacy First te worden!

Gepubliceerd in Publicitaire downloads

"De Vereniging van Praktijkhoudende Huisartsen (VPHuisartsen) is deze week bij de Hoge Raad in cassatie gegaan tegen de invoering van het Landelijk Schakelpunt (LSP), de infrastructuur voor het uitwisselen van vertrouwelijke medische patiëntgegevens.

Volgens VPHuisartsen is er een gigantisch groot en duur systeem opgezet zonder van te voren adequaat onderzoek te doen. Niet naar het doel ervan, niet welke vragen het eigenlijk oplost en niet naar de risico’s die deze landelijke infrastructuur met zich meebrengt. De organisatie maakt zich vooral zorgen over de privacy-impact. Door het LSP zou de vertrouwelijkheid en de privacy in de spreekkamer namelijk eindigen.

"Het zijn niet meer de dokter en de patiënt die samen bepalen wie welke gegevens in mag zien. Eenmaal ja gezegd tegen het LSP betekent dat een derde partij kan bepalen, zonder toestemming van de huisarts en patiënt, met wie nog meer het patiëntendossier van de huisarts gedeeld mag worden. Je digitale dossierkast staat open, je weet niet wie er informatie uithaalt, je weet niet welke informatie er gezien wordt en je weet niet wat er met die informatie gebeurt", zo liet een aangesloten huisarts eerder tegenover de rechter weten.

Rechtsgang

Bij de rechtbank Midden-Nederland en in hoger beroep bij het gerechtshof Arnhem-Leeuwarden trok VPHuisartsen aan het kortste eind. Daarmee leek voor de Vereniging van Praktijkhouders de kous af, ondanks het feit dat er een aantal principiële rechtsvragen onbeantwoord bleven. "Maar de bescherming van het beroepsgeheim, de privacy van patiënten en daarmee de vraag naar de rechtmatigheid van het LSP blijft voor VPHuisartsen vanuit principiële en professionele redenen de drijfveer voor de gang naar de Hoge Raad", zo laat de organisatie op de eigen website weten.

Mede op aandringen van VPH-leden en enkele maatschappelijke organisaties zoals Privacy First heeft de projectgroep Pro Bono Connect van het Nederlands Juristen Comité van de Mensenrechten, de mogelijkheid van cassatie onderzocht. Pro Bono Connect is een organisatie van advocaten die vrijwillig en onbetaald hun expertise inzetten bij mensenrechtenvraagstukken, ten dienste van maatschappelijke organisaties. Mocht de Hoge Raad de zaak behandelen dan kan het nog anderhalf jaar duren voordat er een uitspraak komt. Eind maart werd bekend dat 10 miljoen Nederlanders inmiddels toestemming hebben gegeven om hun medische gegevens via het LSP uit te laten wisselen."

Bron: https://www.security.nl/posting/473981/Huisartsen+in+cassatie+tegen+invoering+van+LSP, 10 juni 2016.

Gepubliceerd in Medische privacy

Opslag vingerafdrukken in strijd met recht op privacy

In navolging van het Hof Den Haag heeft de Raad van State vandaag geoordeeld dat de gemeentelijke ("decentrale") opslag van vingerafdrukken onder de Paspoortwet onrechtmatig is wegens strijd met het recht op privacy. De Raad van State kwam tot dit oordeel in een zevental bestuursrechtelijke zaken van individuele burgers (gesteund door Burgerrechtenvereniging Vrijbit). Begin 2014 kwam het Hof Den Haag reeds tot een vergelijkbaar oordeel in het civielrechtelijke Paspoortproces van Stichting Privacy First en 19 (andere) burgers. Vervolgens werd ons Paspoortproces door de Hoge Raad echter alsnog niet-ontvankelijk verklaard en naar de bestuursrechter verwezen. Privacy First heeft vervolgens het complete civielrechtelijke procesdossier bij de Raad van State ingediend ter versterking van de daar lopende paspoortzaken. Als hoogste bestuursrechter oordeelt de Raad van State nu op soortgelijke wijze als eerder het Hof Den Haag. Ondanks de latere niet-ontvankelijkheid bij de Hoge Raad staat het verbod op de opslag van ieders vingerafdrukken in databanken daarmee opnieuw als een paal boven water.

Gebrekkig oordeel en procesgang

Evenals bij de eerdere uitspraak van het Hof Den Haag betreurt Privacy First het echter dat de Raad van State de opslag niet onrechtmatig heeft willen verklaren op zuiver principiële gronden (namelijk wegens gebrek aan maatschappelijke noodzaak, proportionaliteit en subsidiariteit), maar 'slechts' op basis van technische ondeugdelijkheid. Privacy First zal de betreffende burgers dan ook adviseren om door te procederen richting het Europees Hof voor de Rechten van de Mens (EHRM) in Straatsburg. Op basis van bestaande Straatsburgse jurisprudentie is de kans immers groot dat Nederland vervolgens alsnog principieel zal worden veroordeeld wegens schending van het recht op privacy (art. 8 EVRM). Daarnaast verwacht Privacy First een Straatsburgse veroordeling wegens schending van het recht op toegang tot de rechter en een effectief rechtsmiddel (art. 6 en 13 EVRM). Civielrechtelijk procederen tegen de Paspoortwet bleek immers onmogelijk, en bestuursrechtelijk was dit slechts indirect mogelijk na afwijzing van een individuele aanvraag voor een nieuw paspoort of identiteitskaart (wegens weigering om vingerafdrukken te laten afnemen). Om de huidige "overwinning" bij de Raad van State te kunnen behalen hebben de betreffende burgers daardoor jarenlang zonder paspoort of identiteitskaart door het leven moeten gaan, met alle problemen en risico's van dien.

Uitzondering voor gewetensbezwaarden

De Raad van State heeft vandaag tevens bepaald dat de verplichte afname van twee vingerafdrukken voor een nieuw paspoort voor iedereen gelijkelijk geldt en dat hierop geen uitzonderingen kunnen worden gemaakt voor mensen die wegens gewetensbezwaren geen vingerafdrukken willen afstaan. Privacy First betwijfelt of dit oordeel van de Raad van State stand zal houden in Straatsburg. Naast schending van het recht op privacy lijkt hier immers ook sprake van strijd met de vrijheid van geweten (art. 9 EVRM). Dat de Europese Paspoortverordening een dergelijke uitzondering niet bevat is in dit kader irrelevant, aangezien deze verordening ondergeschikt is aan het EVRM.

RFID-chips en gezichtsscans

Privacy First betreurt het dat de Raad van State niet kritisch heeft willen oordelen over de risico's van de op-afstand-uitleesbare RFID-chips (met gevoelige persoonsgegevens) in paspoorten en identiteitskaarten. Hetzelfde geldt voor de verplichte opslag van gezichtsscans in gemeentelijke databanken. Ook deze aspecten zullen in Straatsburg alsnog kunnen worden aangevochten.

Eigen verantwoordelijkheid van gemeenten

Lichtpuntje in het oordeel van de Raad van de State over identiteitskaarten is vooral dat gemeenten en burgemeesters een eigen verantwoordelijkheid hebben om zelfstandig de mensenrechten (inclusief het recht op privacy) na te leven, ook als dit betekent dat zij daartoe zelfstandig nationale wetgeving buiten toepassing dienen te laten wegens strijd met hoger internationaal of Europees recht: 

"Voor zover de burgemeester betoogt dat voor hem geen mogelijkheid openstaat af te wijken van het in [nationale wetgeving] bepaalde, overweegt de [Raad van State] dat ingevolge artikel 94 van de Grondwet binnen het Koninkrijk geldende wettelijke voorschriften geen toepassing vinden, indien deze toepassing niet verenigbaar is met een ieder verbindende bepalingen van verdragen en van besluiten van volkenrechtelijke organisaties." (Bron, rechtsoverweging 6.)

Dit oordeel van de Raad van State geldt op alle domeinen en kan in de toekomst verstrekkende gevolgen hebben.

Gratis nieuwe identiteitskaart

Uit het oordeel van de Raad van State volgt dat bij de aanvraag van identiteitskaarten sinds 2009 massaal vingerafdrukken zijn afgenomen (en opgeslagen) zonder geldige rechtsbasis. Privacy First adviseert eenieder die over een identiteitskaart met vingerafdrukken beschikt dan ook om deze (desgewenst) bij zijn/haar gemeente in te ruilen voor een gratis nieuw exemplaar zónder vingerafdrukken. Mochten gemeenten deze service niet willen bieden, dan behoudt Privacy First zich het recht voor om daartoe nieuwe juridische stappen te zetten.

 

Klik HIER voor het persbericht van de Raad van State, tevens gepubliceerd op Rechtspraak.nl (met verwijzing naar de volledige uitspraken). Klik HIER voor een eerste reactie van Privacy First bij RTL Nieuws. Zie tevens het nieuwsbericht van NRC Handelsblad.

Gepubliceerd in Rechtszaken

IIR Privacy Innovatie Awards 2016 banner


Tijdens de conferentie Dataprotectie & Privacy op 14 september 2016 in Amsterdam (Westcord Fashion Hotel) worden de IIR Nationale Privacy Innovatie Awards 2016 uitgereikt. “De winnaars zijn belangrijke voorlopers in een nieuwe industrie waarin Nederland internationaal Privacy Gidsland kan worden”, aldus Privacy First oprichter Bas Filippini, voorzitter van de onafhankelijke jury. Evenals in 2015 steunt Privacy First de IIR Nationale Privacy Innovatie Awards 2016 van harte en verwacht dat de uitreiking ook dit jaar een groot succes zal worden.  

Er zijn 4 categorieën waarvoor inschrijvingen genomineerd kunnen worden:

1. categorie Bedrijfsoplossingen

2. categorie Consumentenoplossingen

3. categorie Overheidsdiensten

4. categorie Start-ups

De Awards geven een podium aan bedrijven en overheden die Privacy Innovatie zien als kans om zich positief te onderscheiden. Maximaal 8 bedrijven/overheden die werken met privacy-innoverende projecten mogen gratis naar het congres komen en maken kans op één van de titels!

Maak kans op gratis congreskaarten

IIR zoekt originele, innovatieve en kansrijke Privacy Innovatie Projecten (een product, proces, procedé of dienst). Het is een voorwaarde dat u met uw innovatie aan de slag bent. U bent de idee-fase voorbij en kunt al iets van het project in uitvoering laten zien. U zorgt met uw project voor inspiratie bij andere bedrijven waardoor Privacy niet alleen wordt gezien als belemmering, maar vooral als kans!

De eerste selectie bestaat uit een screening waarop met de volgende zaken wordt omgegaan:

a) Het hebben van een privacy verantwoordelijke (FG, PO) in de organisatie

b) Toepassen van een privacy policy

c) Toepassen van risico analyse(s)

d) Privacy awareness in de organisatie

e) Een inzichtelijk privacybeleid en communicatie hiervan

Vervolgens worden de deelnemers die genomineerd worden, gescreend op zaken als:

f) Innovatief vermogen: het product, proces, procedé of dienst biedt een noviteit op privacygebied en heeft zich in de markt nog niet technisch en/of commercieel bewezen;

g) Maatschappelijke impact: de innovatie levert een bijdrage aan privacy en komt de bescherming van persoonsgegevens en het individu ten goede;

h) Focus: het product, proces, procedé of dienst levert in grote mate toegevoegde waarde aan de markt/consument;

i) Zelfredzaamheid: het product, proces, procedé of dienst is binnen een reële termijn (ca 3 jaar) economisch realiseerbaar. Er is een businessmodel.

Daarnaast bestaat de mogelijkheid dat de jury een aangekondigd bedrijfsbezoek aan de genomineerde zal brengen.

Bepalen van de winnaar

Organisaties kunnen zich t/m 31 juli 2016 aanmelden voor de Privacy Innovatie Awards door een email met korte toelichting over het Privacy Innovatie Project en antwoord op bovengenoemde punten a) t/m i) te sturen naar Jasper Savenije (IIR) via Dit e-mailadres wordt beveiligd tegen spambots. JavaScript dient ingeschakeld te zijn om het te bekijken.. Na 1 augustus 2016 hoort u of u een plaats heeft bemachtigd voor de Awardsuitreiking. Vervolgens ontvangt u van IIR een uitnodiging om een korte pitch tijdens het congres voor te bereiden.

Voorschriften pitchIIR Privacy Innovatie Awards

●  Maximaal 3 minuten

●  U gebruikt een Powerpoint presentatie (maximaal 3 sheets)

●  De presentatie bevat in ieder geval de volgende onderdelen:

    o Bedrijfsnaam

    o Privacy project omschrijving

    o Doel en behaalde resultaten.

Jury

De jury bestaat uit onafhankelijke privacy-experts uit diverse sectoren:

> Bas Filippini, oprichter en voorzitter Privacy First (jury-voorzitter)
> John Borking, Of Counsel, CMS, lid van Advisory Board van EuroPriSe GmbH
> Paul Korremans, Data Protection & Security Professional, Comfort Information Architects
> Jaap-Henk Hoepman, Scientific Director, Privacy & Identity Lab.

Om te garanderen dat de verkiezing van de Awards objectief verloopt, is het niet toegestaan dat de jury een deelname beoordeelt van de eigen organisatie.

 

Lees HIER over de winnaars van de IIR Nationale Privacy Innovatie Awards 2015 en bekijk ook onderstaande video-impressie! 

Gepubliceerd in Evenementen

In hoeverre bestaat er een recht op contante of anderszins anonieme betaling? Hoe kan dit recht juridisch worden versterkt en technisch worden gerealiseerd?

Op donderdagavond 7 april 2016 vond op de kantoorlocatie van Privacy First (Volkshotel, Amsterdam) een enerverend publieksdebat plaats over het recht op anonieme betaling. Privacy First organiseerde dit debat omdat anoniem betalen steeds meer onder druk komt te staan. Contant betalen wordt uitgebannen, zonder dat daar anonieme digitale alternatieven voor in de plaats komen.

Privacy First voorzitter Bas Filippini opende de avond en het debat werd geleid door moderator Ancilla Tilia (columnist FD). Voor het debat waren een viertal gastsprekers uitgenodigd: Vincent Jansen (Innopay – Payments & Digital Identity), Bram Scholten (DNB), Eric Verheul (KeyControls/Radboud Universiteit Nijmegen) en Olivier Oosterbaan (Leopold Meijnen Oosterbaan Advocaten).

Publieksdebat onder leiding van Ancilla Tilia

Ancilla Tilia begon de avond met haar column voor het Financieel Dagblad ‘Ik ben niet mijn bankrekening’, waarin zij zich afvraagt: ‘Wie komt er op voor het behoud van contant geld?’


Bas Filippini – voorzitter Privacy First

Vervolgens was het woord aan Privacy First voorzitter Bas Filippini. In zijn voorwoord benadrukte Filippini dat privacy niet alleen zij aan zij staat met veiligheid, maar dat het een basisprincipe is van onze democratische rechtsstaat. Het is een fundamenteel recht om anoniem te kunnen zijn in de openbare ruimte. Het recht op anonieme betaling vormt hier een belangrijk onderdeel van. We zijn de laatste jaren echter gegaan van ‘Cash is King naar Cash is Crimineel’. Filippini is benieuwd of er privacyvriendelijke alternatieven bestaan voor bankbiljetten en klinkende munten, en om te kijken of technologie het principe van anoniem betalen kan ondersteunen in plaats van ondermijnen.

Cash is king


Olivier Oosterbaan – Leopold Meijnen Oosterbaan Advocaten

Olivier Oosterbaan zet zich onder meer in voor privacy en tegen identiteitsdiefstal. Tijdens het publieksdebat legt hij een paar mogelijke verwerkingsgrondslagen uit in het kader van de Wet bescherming persoonsgegevens en de balans met de bescherming van de persoonlijke levenssfeer. Zo vertelt hij wie er mogelijk allemaal bij een parkeertransactie betrokken zijn en welke gegevens er worden gedeeld. Daarnaast laat je hiermee de gemeente weten dat je op een bepaalde plek gedurende een bepaalde periode bent geweest. Maar ook bij sommige winkels kan je alleen nog met pin betalen en laat je de bank daardoor weten dat je op een bepaalde plek bent geweest.


Vincent Jansen – InnoPay en Digital Identity

Vincent specialiseert zich in innovatief betalen en dat heeft in zijn kader weinig met cash geld te maken. Hij geeft een inleiding over context: hoe meer context je geeft aan een betaling, hoe minder anoniem je zult zijn.

Cash geld
In deze context: hoe vaker je bij een winkel komt, hoe meer informatie je deelt met de ontvangende partij, bijvoorbeeld wanneer je elke week bij je lievelingskoffietentje komt: op den duur weet men dat je daar elke week een lekkere latte macchiato komt halen. Door meer context te geven verdwijnt een deel van je anonimiteit.

Pinnen
Wanneer je gaat pinnen, krijgt de ontvangende partij informatie: op het bonnetje staan bijvoorbeeld de laatste cijfers van je bankrekeningnummer en je pasnummer. Hierdoor kan de ontvangende partij weten dat je een terugkerende klant bent. Als klant krijg je niet veel meer informatie dan wanneer je contant betaalt: je weet bijvoorbeeld de naam van de winkel en waar deze gevestigd is. Het verschil tussen pinnen en contant betalen is dus voornamelijk dat er een betaaldienstverlener tussen zit, die moet weten wie er wil betalen en aan wie er betaald moet worden. Hierbij dient de betaaldienstverlener te weten op welke tijd en bij welke vestiging je bijvoorbeeld bent en daarbij ontstaat een hele hoop data.

Overschrijving
Hoe zit het dan bij betaling door middel van overschrijving? Hierbij heb je indien je geld wilt overmaken veel informatie nodig van de begunstigde. Wat opmerkelijk is, is dat de begunstigde ook veel informatie krijgt, zoals het rekeningnummer, de tenaamstelling en ook de adresgegevens en woonplaats van de verzender.

Trends

  • Crypto-currency als trend, het fenomeen dat je eigenlijk een soort van online cash kunt hebben. Dit is niet anoniem, maar een zekere vorm van pseudonimiteit waar geen bank tussen zit en waar we met zijn allen vaststellen wie het geld heeft en waar het zich bevindt. Het is een trend die relatief jong is, maar waar veel potentie in zit, in de vorm van het hebben van 'digitaal cash'.

  • Een ander fenomeen is om reguliere transacties in de huidige betaalstructuur te pseudonimiseren. Dit is een generieke trend, waarbij gegevens niet meer te relateren zijn en waarbij er minder statische gegevens met de transactie worden meegegeven.

  • Een andere trend vanuit de Europese Commissie is de Payment Service Directive die in 2018 van kracht zal zijn. Hierbij krijgen banken de opdracht om, als de klant dat wil, een rekening open te stellen voor betaaldiensten en informatiediensten. Anders gezegd: ik moet een provider vertellen dat jij namens mij naar mijn afschriften kunt kijken, in al mijn bankrekeningen, om bijvoorbeeld mijn budgetcoach te worden. Wat er echter waarschijnlijk gaat gebeuren is dat bankgegevens elders geraadpleegd kunnen worden en zullen worden opgeslagen.

  • De laatste trend die benoemd wordt is Social Payments, voornamelijk in de peer-to-peer sfeer dat betalen steeds meer een onderdeel wordt van interactie en dat het juist heel 'cool' en leuk kan zijn om een betaling te verrijken met context. Zodat het gaat leven in de bankomgeving, door te vermelden waarom je betaalt, waar het was en hierbij bijvoorbeeld een leuke foto te plaatsen. Een ander fenomeen is dat IBANS (wat lastige dingen zijn) mogelijk vervangen zullen worden door 06-nummers en e-mailadressen, die ook weer extra herleidbaarheid met zich meebrengen.

Wie komt er op voor contant geld

Bram Scholten – De Nederlandsche Bank

Sinds 2012 maakt De Nederlandsche Bank (DNB) zich zorgen over de druk op contant geld. In de jaarverslagen van DNB wordt het belang van contant geld dan ook onderstreept. Bram Scholten stelt dat contant geld een bescherming van privacy geeft. Hij citeert uit het DNB jaarverslag van 2012: ‘In deze tijd waarin de samenleving langs elektronische weg steeds meer de persoonlijke levenssfeer binnendringt blijft daaraan behoefte bestaan’. De Nederlandsche Bank heeft zich ingezet om met marktpartijen zoals Detailhandel Nederland en de Nederlandse Betaalvereniging, die de banken vertegenwoordigd, in november 2015 in het Maatschappelijk Overleg Betalingsverkeer (MOB) in eigen kring uit te dragen dat voor toonbankbetalingen (betalingen buiten de deur) contant betalen mogelijk blijft. Daarmee wordt dus afstand genomen van het feit dat er soms geen contante betalingen meer mogelijk zouden zijn. De Nederlandsche Bank heeft gemeten dat de helft van alle betalingen nog met contant geld wordt gedaan.

Contant geld is positief

Contant betalen is natuurlijk een mogelijkheid om anoniem te betalen. Als wij een recht zouden hebben om contant te betalen, dan zouden wij ook een rechtmatige mogelijkheid hebben om anoniem te betalen. In wezen is het zo dat in het Burgerlijk Wetboek contant betalen als de gewone manier van betalen wordt beschreven. Er moeten in principe nadere afspraken gemaakt worden om af te wijken van de wet om contant te betalen. In het rapport van het MOB is dan ook gesteld dat met name in situaties waarin er sprake is van een lokaal monopolie, zoals een apotheek in een gebied waar geen andere apotheken zijn, als je daar niet contant zou kunnen betalen, dan zou dit bepaalde mensen kunnen duperen, omdat mensen niet meer kunnen krijgen wat ze nodig hebben. Het MOB ziet dit als onwenselijk en vraagt zich ook af of het rechtmatig is om contant geld te weigeren. Dit is een open vraag en in wezen ook een vraag op het gebied van Europees recht, omdat op Europees niveau is vastgelegd dat contant geld een wettig betaalmiddel is. Er bestaat echter nog geen jurisprudentie van het Europees Hof van Justitie hoe dit moet worden toegepast en wat het begrip 'wettig betaalmiddel' precies inhoudt. Dat leent zich dus wellicht voor een proefproces.

Contant is anoniem

Eric Verheul – Radboud Universiteit Nijmegen & Digital Security Group

Eric hield een presentatie over online betalen en online aanloggen. Wat gebeurt er precies wanneer je iets afrekent in een webshop? Bijvoorbeeld: Jan Jansen koopt iets in een webshop, wat hij precies aanschaft kan iets zeggen over hem als persoon, misschien is het wel iets waarvoor hij zich schaamt en waarvan hij niet wil dat iedereen het weet. Het zou ook kunnen dat die informatie bijzondere persoonsgegevens bevat. Wanneer je online betaalt, dan weet de bank wie jij bent en aan wie je betaalt. Dit kan vanuit privacy-oogpunt nadelig zijn, maar qua veiligheid prettig zijn. Hierdoor kan een bank bijvoorbeeld zien dat een betaling frauduleus is en deze betaling stopzetten. Daarnaast kan het voor de webshop handig zijn om je rekeningnummer te weten, wanneer zij bijvoorbeeld geld terug willen storten.

Dit staat in relatie met een online applicatie: je hebt bijvoorbeeld DigiD om te kunnen inloggen bij de Belastingdienst. Daarbij geldt dezelfde problematiek als met online betalingen, omdat je hierbij jezelf identificeert met bijvoorbeeld je naam of in sommige gevallen een pseudoniem. Zo’n toegangsdienst weet jouw identiteit en tot welke website jij toegang zoekt. En zo’n toegangsdienst zou bijvoorbeeld gehackt kunnen worden. Steeds meer zorginstellingen gaan werken met DigiD, maar hoe wenselijk is het dat DigiD weet dat jij een GGZ-instelling bezoekt? En wat als bijvoorbeeld een bank zo’n toegangsdienst verleent, hoe wenselijk is het dat zo’n partij dat allemaal weet? In de parallel met de fysieke wereld: dan weet iemand welke fysieke winkels jij allemaal bezoekt. Digitaal is het momenteel heel vanzelfsprekend dat dat allemaal zo gaat.

In 2014 hebben we een nieuwe techniek ontwikkeld: polymorfe pseudonimisering. Het werkt eigenlijk op dezelfde manier als bijvoorbeeld DigiD of een andere toegangsdienst, je moet alleen een speciale kaart laten zien en het bijzondere van die kaart is dat de toegangsdienst die die kaart leest niet je identiteit kan achterhalen, maar alleen versleutelde pseudoniemen kan aflezen. Hiermee verleent de toegangsdienst wel toegang tot een website, de website die je bezoekt weet met wie hij te maken heeft, maar de toegangsdienst heeft niet meer jouw (persoons)gegevens. Deze dienst zou je ook kunnen gebruiken voor online betalen, door bijvoorbeeld een encrypted e-wallet te vullen met geld. Met een bank kun je wel geld overmaken naar die e-wallet, maar de bank weet niet meer met wie hij precies te maken heeft, omdat de e-wallet is gepseudonimiseerd.


Na afloop van de inleidingen en presentaties volgde een publieksdebat, waarbij diverse vragen werden beantwoord en enkele aanbevelingen werden gegeven:

Aanbevelingen:

  • Kijk naar het digitale betalingsverkeer en hoe dit privacyvriendelijker gemaakt kan worden.
  • Contant betalen moet mogelijk blijven voor toonbankbetalingen (betalingen buiten de deur).

Een greep uit de vragen vanuit het publiek aan de gastsprekers:

In hoeverre is een prepaid creditcard een anoniem betaalmiddel?

  • Voor een prepaid creditcard wordt identificatie gevraagd.
  • Vaak moet ook een prepaid creditcard worden geactiveerd voor specifieke betalingen.

Hoe staan jullie er tegenover dat het briefje van 500 euro wordt uitgefaseerd?

  • Het zal niet nuttig zijn in het kader van terrorismebestrijding.

 

Klik HIER voor de uitnodiging (pdf) die Privacy First voor dit evenement aan haar netwerk verzond. Wilt u voortaan ook een uitnodiging voor onze evenementen ontvangen? Stuur ons dan een bericht, dan zetten wij u op onze mailinglist!

Gepubliceerd in Evenementen

De nieuwe EPD-wet van minister Schippers schept al een jaar verwarring in de Eerste Kamer. Voor patiënt noch arts is het duidelijk wie straks na het geven van toestemming medische gegevens kan raadplegen. Na twee jaar troebele discussie, wil de minister de patiënt het allemaal zelf laten regelen. Daarmee gaat ze ten onrechte de fundamentele privacydiscussie uit de weg.

Het wetsvoorstel dat de juridische basis moet gaan vormen voor het privaat doorgestarte Elektronisch Patiëntendossier (wetsvoorstel 33509) wordt inmiddels al een jaar aangehouden door de Eerste Kamer. De Senaat heeft gegronde twijfels bij het wetsvoorstel, dat onder meer moet gaan regelen hoe een vertrouwelijke behandelrelatie moet worden gewaarborgd bij het digitaal toegankelijk maken van medische gegevens. Begin april jl. nodigden Eerste Kamerleden voor de tweede maal een panel met deskundigen uit die hun commentaar op het wetsvoorstel mochten leveren. SpecifiekeToestemming.nl was één van de genodigden bij deze recente expert-meeting en leverde voorafgaand aan de bijeenkomst schriftelijke input (PDF).

SpecifiekeToestemming.nl

SpecifiekeToestemming.nl is een onafhankelijke campagne die na de indiening van het wetsvoorstel in 2014 werd gelanceerd op initiatief van Stichting Privacy First en het Platform Bescherming Burgerrechten. Kern van deze campagne is dat specifieke toestemming (weer) het leidende beginsel moet worden bij de uitwisseling van medische gegevens. De campagne wordt gesteund door talrijke maatschappelijke organisaties, zorgverleners en andere professionals. 

EPD alsnog van wettelijke basis voorzien

Het huidige wetsvoorstel van minister Schippers is in de eerste plaats bedoeld om het LSP-systeem (Landelijk Schakelpunt) waarvoor de Eerste Kamer de wetgeving in 2011 unaniem verwierp, alsnog van een wettelijke basis te voorzien. SpecifiekeToestemming.nl woordvoerder Vincent Böhre stelde tijdens de expert-meeting: “De infrastructuur van het EPD werd door private partijen doorgestart in de vorm van het Landelijk Schakelpunt. Zo zagen wij het destijds en zo zien wij het nog steeds grotendeels, met alle manco’s die destijds in de infrastructuur zaten en nog steeds zitten. In onze optiek is de infrastructuur te grootschalig en inherent onveilig, met generieke, ongerichte en onbepaalde toestemming.”

SpecifiekeToestemming.nl wijst sinds de indiening van het wetsvoorstel op de onoverzichtelijke toestemming die patiënten volgens de nieuwe EPD-wet kunnen geven. Mede onder druk van deze campagne werd het geven van generieke (brede, ongerichte) toestemming in 2014 door de Tweede Kamer uit de wet gehaald. Een stap in de goede richting.

Gegoochel met termen

Sinds de Tweede Kamer generieke toestemming schrapte, werd de wet echter alleen maar ingewikkelder. Minister Schippers introduceerde een nieuwe vorm van toestemming genaamd “gespecificeerde toestemming”, die veel vragen opriep tijdens de behandeling in de Senaat en de aldaar gehouden expert-meetings. Wie het wetsartikel (15a) over "gespecificeerde toestemming" nauwkeurig bekijkt, moet concluderen dat dit nog steeds een zeer brede, onoverzichtelijke toestemming kan betekenen die de oorspronkelijke bezwaren tegen generieke toestemming niet wegneemt.

Bovendien, zo moest minister Schippers later zelf ook vaststellen, zijn huidige systemen (lees: het LSP) in hun ontwerp niet uitgerust om iets anders dan generieke toestemming mogelijk te maken – zo ook haar eigen “gespecificeerde toestemming”. Totdat dat zover is, wil de minister dat “gedurende een driejarige overgangsperiode een generiek ‘ja’ of ‘nee’ volstaat”, zo schreef ze in december 2015 aan de Eerste Kamer. Met andere woorden: als het aan de minister ligt, wordt generieke toestemming alsnog de standaard wijze van toestemming geven.

Gevoelig punt geraakt

SpecifiekeToestemming.nl schreef hierover een brief aan de Eerste Kamer, waarin ze erop wees dat generieke toestemming, ook voor drie jaar, onacceptabel was, daarbij verwijzend naar het amendement van de Tweede Kamer dat generieke toestemming uit het wetsvoorstel schrapte. In reactie daarop stelde de minister juist weer dat het helemaal niet de bedoeling was dat er generieke toestemming werd gevraagd: “Het is niet zo dat de toestemmingsvraag generiek is. [...] Wel kan het antwoord op de toestemmingsvraag generiek zijn,” aldus de minister. Volgens SpecifiekeToestemming.nl is dit een onbegrijpelijke redenering, die illustreert in welke bochten de uitleg van dit wetsvoorstel moet worden gewrongen om de onoverzichtelijke toestemming die minister Schippers wil invoeren, alsnog te legitimeren. Een generiek antwoord op een specifieke vraag is immers een contradictio in terminis. SpecifiekeToestemming.nl woordvoerder Vincent Böhre zei hierover tijdens de expert-meeting: “Met alle respect, haar brief komt op mij over als gegoochel met termen, waardoor het alleen maar onduidelijker wordt. Wij vinden het standpunt van de minister hierover onbegrijpelijk. We hadden met onze brief aan de Eerste Kamer blijkbaar een gevoelig punt geraakt.”

Volgens minister Schippers is de vraag “mag ik uw medische gegevens toegankelijk maken voor alle op het systeem aangesloten zorgverleners?” overigens een specifieke vraag, zo blijkt uit haar brief. SpecifiekeToestemming.nl is het hier volstrekt mee oneens. Als een patiënt een dergelijke vraag met “ja” beantwoordt, geeft deze immers een brede, ongerichte toestemming waarbij op voorhand niet duidelijk is wie voor welke reden toegang kan krijgen tot welke gegevens – kortom, weinig specifiek.

Overhaast patiëntportaal ingevoerd

De hele discussie over generiek, gespecificeerd en specifiek toestemming vragen of geven wordt door minister Schippers echter gelaten voor wat ze is. In haar laatste uitgebreide brief slaat ze een nieuwe richting in als het gaat om het uiteindelijke doel van deze wet: in de toekomst moet de patiënt de volledige regie krijgen over wie toegang heeft tot welke medische gegevens. Dit moet gaan gebeuren via een online patiëntportaal, zo blijkt uit het voorstel van de minister.

“Wij vinden dat een onverantwoorde verschuiving van de verantwoordelijkheid en ook van de aansprakelijkheid in sommige gevallen”, stelde Böhre hierover tijdens de expertmeeting. De regie over de inhoud en de toegang van het zorgdossier dient volgens SpecifiekeToestemming.nl in de eerste plaats bij arts en patiënt gezamenlijk te blijven, zoals het medisch beroepsgeheim en de wetgeving rondom patiëntprivacy voorschrijven. Als de patiënt dit allemaal zelf moet gaan regelen, krijgt deze een (te) grote verantwoordelijkheid die in de praktijk snel fout kan uitpakken – zowel wat betreft de toegankelijkheid van gegevens, maar ook het niet toegankelijk zijn van gegevens terwijl dat wel nodig is.

De huidige wetgeving regelt dat de arts de patiënt gericht toestemming vraagt, en dat zou het uitgangspunt moeten blijven volgens SpecifiekeToestemming.nl. De zorgverlener is vrijwel altijd beter op de hoogte van welke gegevens relevant zijn voor een zorgvraag, en is bovendien wettelijk en tuchtrechtelijk aansprakelijk voor de kwaliteit en vertrouwelijkheid van deze informatie. Dit is een verantwoordelijkheid die je niet zomaar kunt overdragen aan een patiënt – zeker niet iedere patiënt. Door een portaal met eigen beheer niet als extra mogelijkheid maar als norm te stellen, worden de voordelen van patiënten die hier baat bij hebben ondergesneeuwd door de risico’s van een onverantwoord beheer.

Bovendien ontwijkt Schippers, door volledig in te zetten op eigen regie, de fundamentele discussie over de reikwijdte en overzichtelijkheid van de toestemming, die overigens ook bij de invoering van een patiëntenportaal noodzakelijk is. Voor zo’n toepassing, die plaatsvindt buiten de directe zorg, zou alleen al een apart wetsvoorstel moeten worden geschreven. Het wetsvoorstel zoals minister Schippers dat nu heeft voorgelegd bevat immers geen beschermend kader voor het ontwikkelen van een “patiëntgeheim” en alle kwesties omtrent verantwoordelijkheid en aansprakelijkheid die voor een dergelijk systeem noodzakelijk zijn.

Documenten:

Schriftelijke input SpecifiekeToestemming.nl t.b.v. expert-meeting Eerste Kamer 5 april 2016

Woordelijk verslag expert-meeting Eerste Kamer 5 april 2016

Brief en begeleidend schrijven van minister Schippers d.d. 8 maart 2016 aan Tweede Kamer ter reactie op brief SpecifiekeToestemming.nl aan Eerste Kamer d.d. 18 januari 2016.

Gepubliceerd in Medische privacy
Pagina 9 van 72

Onze Partners

logo Voys Privacyfirst
logo greenhost
logo platfrm
logo AKBA
logo boekx
logo brandeis
 
banner ned 1024px1
logo demomedia
 
 
 
 
 
Pro Bono Connect logo 100
IIR banner

Volg ons via Twitter

twitter icon

Volg onze RSS-feed

rss icon

Volg ons op LinkedIn

linked in icon

Volg ons op Facebook

facebook icon