Nationale Privacy Conferentie 2024: lichtpuntjes en succesverhalen

Door Henk Boeke 

Nieuwe voorzitter

In de afgeladen Glazen Zaal in Den Haag, met gewapende marechaussees voor de deur, startte de Nationale Privacy Conferentie 2024 met het introduceren van de nieuwe voorzitter van Privacy First. Aftredend voorzitter Paul Korremans gaf het stokje door aan Sander Klous, hoogleraar Big Data Ecosystems for Business and Society aan de UvA en partner bij KPMG.

Presentaties

Vijf top-deskundigen lieten hun licht schijnen over het thema ‘onderwijs en privacy’. Hieronder een korte samenvatting van hun presentaties.

Katja Mur (Autoriteit Persoonsgegevens) schetste een aantal positieve ontwikkelingen, waaronder het initiatief voor een kinder-AP, het opzetten van een nationaal FG-register, en de gestandaardiseerde overeenkomsten van SIVON en SURF om scholen en instellingen voor hoger onderwijs veel werk uit handen te nemen.

Vooral die kinder-AP trok onze aandacht. Omdat er – vooral ook in het onderwijs – zo ontzettend veel gevoelige gegevens van kinderen worden vastgelegd, zoals gegevens over de thuissituatie (waaronder armoedegegevens), medische gegevens, gedragsgegevens en leerresultaten. Wat ingrijpende gevolgen kan hebben. (Zie bijvoorbeeld: Een vechtpartijtje in de zandbak kan je tot het HBO blijven achtervolgen, wat al in 2004 door de website Ouders Online gesignaleerd werd.) We zullen dit initiatief voor een kinder-AP op de voet blijven volgen.

Sjoera Nas (Privacy Company) vertelde enthousiast en gedreven over de successen die zij met haar organisatie inmiddels behaald heeft bij het onder druk zetten van tech-giganten als Microsoft en Google om privacy echt serieus te nemen. Waarbij haar organisatie onconventionele middelen niet schuwt. Ook opmerkelijk: door toedoen van Nas is Zoom nu de privacy-vriendelijkste videovergadertool.

Wat die onconventionele middelen betreft: Nas vertelde meeslepend over haar DPIA’s in het onderwijs, die ook toegepast kunnen worden als handhavingsinstrument. De problemen die je constateert, kun je meteen gebruiken om de leveranciers onder druk te zetten. (“En als je er niets aan doet, dan gaan we ermee in de publiciteit.”) Google en Microsoft zijn daar inmiddels voor gezwicht. En Zoom reageerde sneller dan het licht op Nas’ verbetervoorstellen.

Ook leuk: de truc om data-slurpers te voeden met nonsens-data, zodat je kunt bewijzen dat ze niet ál jouw gegevens hebben verschaft, als je om inzage vroeg.

José van Dijck (universiteitshoogleraar Universiteit Utrecht) concentreerde zich op privacy in het hoger onderwijs. Onder andere naar aanleiding van de problemen die in de corona-periode ontstonden met de digitale surveillance bij online-tentamens, en de recente problematiek bij het massaal implementeren van ChatGPT/GPT3 in allerlei systemen, variërend van leerversnellers tot chat-applicaties.

Dit alles heeft geleid tot een vruchtbare discussie over ‘publieke waarden in het onderwijs’ (autonomie, rechtvaardigheid en menselijkheid), en tot de zogenaamde Waardenwijzer van SURF en Kennisnet.

Van Dijck brak ook een lans voor het gebruik van opensource software, en het ontwikkelen van techniek in eigen beheer (door universiteiten), om minder afhankelijk te worden van aanbieders als Google en Microsoft. Hoewel ze erkende dat die bedrijven wél zeer goede producten leveren. Waarvan het nog maar de vraag is of je zelf dat niveau kunt halen, als je ze in eigen beheer gaat ontwikkelen. Ook hebben universiteiten problemen met het gebruik van opensource software, omdat dat enorme capaciteitsproblemen geeft.

Larissa Zegveld en Sabrina van Miltenburg (2x Kennisnet) bespraken digitale veiligheid in het funderend onderwijs, waarbij opnieuw de Waardenwijzer een belangrijke rol bleek te spelen. Onder andere als handig instrument voor ontwikkelaars.

Daarnaast lieten zij zien hoe onmisbaar onderwijs in digitale geletterdheid is: de gemiddelde leerling draait zijn hand niet om voor het misleiden van de algoritmes van TikTok en Instagram, maar heeft geen flauw benul van de gevaren van gezichtsherkenning, die afgelopen zomer op allerlei vakantieparken gebruikt werd.

Onderwijs in digitale geletterdheid is nodig om burgers, te beginnen bij leerlingen in het funderend onderwijs, te leren hoe ze ook in de digitale wereld kunnen participeren en meepraten, net als in de fysieke wereld. Het onderdeel ‘veiligheid’ is inmiddels gereed (zie: digitaalveiligonderwijs.nl); het onderdeel ‘privacy’ is nog in de maak.

Nederlandse Privacy Awards 2024

De genomineerden presenteerden zichzelf met pakkende video’s. Dit waren de uiteindelijke winnaars:

Privacy Simulatie was winnaar in de categorie Bewustmaking. ‘Privacy Simulatie’ is een spelvorm waarmee je collega’s op een leuke wijze passend leren omgaan met informatie van personen. Zij leren hoe een organisatie zich kan wapenen tegen datalekken en crisissituaties kan herkennen.

De jury formuleerde het belang van ‘bewustmaking’ als volgt: “Veel mensen die niet dagelijks met privacy werken, zijn geneigd om privacy te associëren met ingewikkelde regels. Het bekende struisvogelgedrag is dan niet ver weg. Maar in de praktijk vormen mensen de belangrijkste schakel bij een adequate omgang met persoonsgegevens.” En over Privacy Simulatie: “De winnaar is een game die op speelse en interactieve wijze bewustwording over privacy in organisaties vergroot en dat verbindt aan twee kennisniveaus. De game biedt ruime mogelijkheden om vanuit je eigen organisatie content aan te vullen en met volwassenheidsniveaus te werken […] Hier is geen sprake van automatisch doorklikken van vragen, zoals bij een standaard e-learning, maar echte interactie en een mooie interface.”

Jet-Stream was winnaar in de categorie Techniek. ‘Jet-stream’ is een streamingsdienst die van privacybescherming een verdienmodel heeft gemaakt. De adverteerders krijgen geen persoonlijke data van de kijkers, maar alleen geanonimiseerde data en gegevens over de context van de bekeken stream. Er worden zelfs geen cookies gebruikt.

Intrigerend! Want hoe zorg je er zónder cookies voor dat een gebruiker een stream weer kan oppakken waar hij gebleven is, als hij die tijdelijk gepauzeerd heeft? Een technisch alternatief daarvoor zou werkelijk wereldnieuws zijn. Maar navraag bij de makers leerde ons dat er zonder cookies ook geen bijbehorende functionaliteiten zijn. Na een pauze start de stream gewoon weer van voren af aan. (Waarna de gebruiker met de hand nog even vooruit kan spoelen.) Oftewel: dat privacy gewoon een keuze is. Met alle gevolgen van dien.

Publiek Vervoer Groningen Drenthe was winnaar in de categorie Toepassing. In samenwerking met ‘Roseman Labs’ heeft ‘Publiek Vervoer Groningen Drenthe’ zich ingezet om de best beschikbare privacybescherming te vinden voor het analyseren van het reisgedrag van mensen met een WMO-indicatie, zonder inzage in hun persoonsgegevens. Met het doel om die mensen vanuit het WMO-vervoer het OV in te krijgen. Maar daar heb je dus wel data voor nodig…

De jury zei: “Vooral in de complexe wereld van zorg- en overheidssamenwerkingsverbanden ontstaat een vraag en honger om zoveel mogelijk persoonsgegevens te delen, waarbij niet zelden te veel wordt gedeeld, met alle gevolgen van dien. […] ‘De patiënt en client centraal’, zou ook hier het credo moeten zijn. De patiënt en zijn directe zorginstelling moeten de volledige regie over de datastromen hebben en behouden. […] Publiek Vervoer Groningen Drenthe heeft in een samenwerking met 22 gemeenten een modus gevonden om gedrag van reizigers met een WMO-indicatie te volgen, zonder hun persoonsgegevens openbaar te maken. Hiermee heeft Publiek Vervoer Groningen Drenthe het voortouw genomen en het voorbeeld gegeven om de best beschikbare privacybescherming te vinden voor het analyseren van reisgedrag van WMO-geïndiceerden.”

Oasys Now ontving de Aanmoedigingsprijs. ‘Oasys Now’ heeft een privacy-vriendelijk platform ontwikkeld waarop patiënten wereldwijd veiliger en sneller kunnen meedoen aan clinical trials.

De jury zei: “Oasys Now zet de vertrouwelijkheid van patiënten-data voorop. De patiënt bepaalt zelf wat hij of zij deelt, en voert zijn of haar profiel in op het platform van Oasys Now. Dit platform is ontwikkeld zodat patiënten wereldwijd veiliger en sneller kunnen zien welke clinical trials voor hun aandoening beschikbaar zijn.”

Nog wel een puntje van aandacht is dat ‘Oasys Now’ claimt dat de patiënt de eigenaar is van zijn eigen (medische) gegevens. Dat klinkt aantrekkelijk, maar heeft ook een keerzijde. Omdat medici wel een beroepsgeheim hebben, maar  privé-personen niet. Waardoor de risico’s veel groter zijn als die gegevens in het bezit zijn van de patiënt, dan wanneer ze in het bezit zijn van de behandelend arts. Maar voor het initiatief op zich, om privacy-vriendelijk deel te kunnen nemen aan clinical trials, maakt dat natuurlijk niet uit.

Een korte versie van dit verslag werd eerder ook gepubliceerd bij PONT Data & Privacy: Nationale Privacy Conferentie 2024: lichtpuntjes en succesverhalen – Data&Privacyweb (privacy-web.nl). Een video van de gehele conferentie verschijnt spoedig.