donatieknop english

Column

Het accepteren van de Orwelliaanse Newspeak “nieuwe normaal anderhalve meter samenleving” leidt automatisch tot het accepteren van de absurde handhaving ervan. Aangezien dit niet overeenstemt met de Grondwet is de Raad van State geraadpleegd. Talloze ongrondwettelijke maatregelen dreigen nu in een noodwet te worden verankerd. De wereld op zijn kop. Hoe voorkomen wij dat we in een onmenselijke en niet vrije, ondemocratische samenleving terechtkomen? Hieronder diverse ongrondwettelijke maatregelen die in een noodwet dreigen te worden opgenomen op een rij:

  • Implementatie van een surveillance infrastructuur:
    - Ondersteund door Corona- en andere apps
    - Tracking en tracing van burgers middels telecomdata en smartphones
    - BOA’s die onzinnige maatregelen moeten handhaven uitrusten met wapens
    - Reizen op basis van checks en gezondheidsverklaringen

  • Lichamelijke integriteit:
    - Ondermijning en afschaffen van het medisch (beroeps)geheim
    - Verplichte medische behandeling en vaccinatie / biometrische registratie

  • Anonimiteit in de openbare ruimte:
    - 1,5 meter controle met linten, strepen, cirkels etc
    - Scan-auto’s voor parkeren om burgers te traceren
    - Registratie van alle vrijetijdsbesteding in horeca, sport, theater, musea etc
    - Strafblad bij overtredingen
    - Gezichtsbedekking in openbare gelegenheden
    - Ongefundeerde ondermijning van het gebruik van cash geld

  • Recht van samenkomst beperkt en onder druk:
    - Demonstraties effectief onmogelijk
    - Grote politieke bijeenkomsten onmogelijk
    - Geloofsbelijding en sociale structuren onder druk

  • Huisvredebreuk:
    - Ingrijpen achter de voordeur middels kliklijnen, BOA’s en politie-controles
  • Functioneren van democratische rechtsstaat:
    - Weigering om Wob-verzoeken in behandeling te nemen
    - Beperking van rechten van verdachten en advocaten
    - Beperking van openbare rechtszittingen 
    - Functioneren Eerste en Tweede Kamer onder druk
    - Censuur door (sociale) media bij afwijking van officiële narratives.

En als uitsmijter: een onderzoek naar het uitstellen van de verkiezingen…

Dit is volgens mij niet wat wij als burgers willen: een semi-rechtsstaat op basis van een dashboard, aangestuurd door technocraten. Van lockdown naar lockdown onder structurele noodwetgeving. Voor wat nu blijkt een klein percentage sterfgevallen, vaak met een multiple cause. Waar zijn we in vredesnaam mee bezig?

Privacy First gaat uit van eigen keuzes in een vrije omgeving. Wij zijn voor social responsability, niet voor structurele social distancing. Weg met de noodwet en terug naar een menselijke, open en vrije samenleving!


Bas Filippini,
voorzitter Privacy First

Gepubliceerd in Columns

Gisteren hield de Tweede Kamer een kritische hoorzitting ("rondetafelgesprek") over de inmiddels beruchte "Corona-app". De Tweede Kamer had voor deze gelegenheid diverse experts en organisaties (waaronder Privacy First) uitgenodigd om position papers in te dienen en aan de hoorzitting deel te nemen. Hieronder volgt de volledige tekst van onze position paper en spreektekst. Een video van de gehele hoorzitting staat HIER online. Klik HIER voor het programma, alle sprekers en position papers.

Geachte Kamerleden,

Dank voor uw uitnodiging om deel te nemen aan de rondetafelbijeenkomst inzake de zogeheten Corona-app. In de optiek van Stichting Privacy First vormt een dergelijke app een bedreiging voor ieders privacy. Hieronder zullen wij dit kort toelichten.

Gebrek aan noodzaak en effectiviteit

Met grote zorg heeft Privacy First kennisgenomen van het voornemen van de Nederlandse overheid om een contact-traceerapp te gaan inzetten ter bestrijding van het Corona-virus. De maatschappelijke noodzaak van een dergelijke app is tot op heden niet aangetoond. Ervaringen vanuit het buitenland laten bovendien zien dat aan het nut en de effectiviteit ervan ernstig kan worden getwijfeld. Mogelijk werken deze apps zelfs contra-productief, aangezien de inzet ervan tot schijnveiligheid leidt. Daarnaast wordt de meest kwetsbare doelgroep (ouderen) met dit middel nauwelijks bereikt. Alleen al om deze redenen zou van de inzet van “Corona apps” moeten worden afgezien.

Surveillance maatschappij

Privacy First ziet het gebruik van dergelijke apps als een gevaarlijke ontwikkeling, aangezien dit kan leiden tot talloze onterechte verdenkingen, stigmatisering, onnodige onrust en paniek. Zelfs “geanonimiseerd” kunnen de gegevens uit dergelijke apps via koppeling alsnog tot individuele personen herleid worden. Bij grootschalig gebruik leidt dit tot een surveillance maatschappij waarin iedereen geobserveerd en geregistreerd wordt en men zich voortdurend gemonitord waant, met een maatschappelijk chilling effect tot gevolg.

Risico’s op misbruik

Groot risico is dat de verzamelde data voor meerdere doelen zullen worden gebruikt en misbruikt door bedrijven en overheden. Het risico van heimelijke toegang, hacking, datalekken en misbruik is met name groot bij centrale i.p.v. decentrale (persoonlijke) opslag en bij gebrek aan open source software. Tegelijkertijd biedt ook louter persoonlijke opslag geen enkele garantie tegen misbruik, afhankelijk van technische kwetsbaarheden of aanwezige malware en spyware. In handen van criminele organisaties vormen de verzamelde data bovendien een goudmijn voor criminele activiteiten.

Voor Privacy First wegen deze risico’s van “Corona apps” niet op tegen de veronderstelde voordelen. Dus adviseert Privacy First uw Kamer om er bij het kabinet op aan te dringen niet tot de inzet van dergelijke apps over te gaan.

Testen i.p.v. appen

Vanuit de beginselen van proportionaliteit en subsidiariteit in de strijd tegen het Corona-virus bestaat volgens Privacy First een betere en effectievere oplossing, namelijk het grootschalig testen van de bevolking op het virus en op immuniteit. De benodigde testcapaciteit dient daartoe zo spoedig mogelijk beschikbaar te zijn.

Haastige spoed, zelden goed

Mocht ondanks bovenstaande bezwaren alsnog besloten worden tot de inzet van “Corona apps”, dan kan dit pas gebeuren na een zorgvuldig maatschappelijk en democratisch proces met voldoende kritische, objectieve en onafhankelijke toetsing. Tot op heden is hier geen sprake van geweest, getuige de ontwikkelingen de afgelopen dagen. Privacy First adviseert uw Kamer in dit verband om het kabinet een pas op de plaats te laten maken en een moratorium op de inzet van “Corona apps” in te stellen.

Privacy by design

Het recht op anonimiteit in de openbare ruimte is een klassiek grondrecht en cruciaal voor het functioneren van onze democratische rechtsstaat. Een democratisch besluit tot opheffing hiervan is onacceptabel. Mocht alsnog besloten worden tot grootschalige inzet van “Corona apps”, dan dient dit dus strikt anoniem, tijdelijk en op zuiver vrijwillige basis te gebeuren. Met individuele toestemming vooraf zonder enige vorm van druk, volledig geïnformeerd en voor een legitiem, specifiek doel. Privacy by design (het inbouwen van privacybescherming in de techniek) dient daarbij leidend te zijn. Voor Privacy First zijn dit harde juridische voorwaarden die niet onderhandelbaar zijn. Mocht hier niet aan voldaan worden, dan zal Privacy First dit bij de rechter aanvechten.

Hoogachtend,

Stichting Privacy First
(...)


Geachte kamerleden,

U heeft onze position paper, hierbij onze mondelinge toelichting.

Allereerst: Privacy First is fel tegen iedere surveillance infrastructuur, met of zonder app.

Wij kijken hierbij naar drie juridische principes:

  •  Legitieme doelbinding.
    - Wat is het probleem?
    - Hoe groot is het probleem?
    - Wat zijn mogelijke doelstellingen en hoe kunnen we deze meten en bereiken?

    De eerste vraag kunnen we al niet beantwoorden, we meten namelijk onvolledig en selectief. De totaal geïnfecteerde populatie is onbekend, de mensen die genezen zijn niet bekend en worden niet gerapporteerd. Wel worden we angst aangejaagd vanuit emotie en selectieve rapportages: sterfgevallen (met daarin multiple oorzaken) en IC-opnames.

    Laat ons punt duidelijk zijn, we zullen eerst het probleem in kaart moeten brengen voordat we het over conclusies en opossingen hebben. Niet alleen de IT’ers en virologen, maar juist filosofen, rechtswetenschappers, sociologen, ondernemers en een brede vertegenwoordiging van onze samenleving moeten hierin betrokken zijn.

  • Noodzaak en proportionaliteit. Feitelijk hebben we een capaciteitsprobleem in de zorg inzake IC-capaciteit, materialen, mensen en testcapaciteit. Dan lijkt het ons duidelijk waar we de aandacht op moeten richten, ook voor toekomstige uitbraken. Test de gehele bevolking op besmetting en immuniteit zodat we het echte probleem kunnen vaststellen. 97% van de bevolking heeft helemaal niets. Zorg voor scheiding en verzorging van de kwetsbare groepen. Stop met crisis-communicatie en start met crisis-management. En neem alle behandelmethoden serieus, ook die waar niets aan verdiend kan worden door Big Pharma of Big IT.

  • Subsidiariteit. Als we het probleem kennen, wat zijn dan de oplossingen? Extra handjes tijdelijk bij de GGD? Bouwen van een IC-ziekenhuis speciaal voor deze sitiuaties? Testcapaciteit verhogen om door cijfers onderbouwde beslissingen te kunnen nemen? Dit kan allemaal binnen ons huidige zorgsysteem, met de huisarts als aanspreekpunt.

Wij hebben deze regering vanuit vertrouwen 6 weken de tijd gegeven hun zaakjes op orde te krijgen en wat krijgen we terug? Wantrouwen en controlemiddelen. En nog steeds tekorten in middelen! Dus fix the fundamentals, regel behandel- en testcapaciteit en stop met het bouwen van technische speeltjes en draconische apps uit dictatoriale regimes in Azië. En haal Nederland zo snel mogelijk uit deze verlengde lockdown. Voor Privacy First geen 1,5-meter-samenleving als nieuwe normaal, maar een gezond-verstand-samenleving. Vanuit vertrouwen in een volwassen burger.

Gepubliceerd in Medische privacy
zaterdag, 11 april 2020 16:54

Corona app: zegen of vloek?

Opiniestuk Telegraaf

Horror-app leidt tot meer angst en wantrouwen

Vanuit Privacy First zijn wij fel tegen iedere surveillance-app en al zeker niet een die het medisch beroepsgeheim ondermijnt. Een mobiel EPD (elektronisch patiëntendossier) waarin iedere burger een potentiele verdachte is en tevens en masse alle bewegingen worden nagegaan, levert in onze ogen schijnverdenkingen en -zekerheden op, verdachtmakingen, stigmatisering en zelfcensuur. Dit vormt een enorme inbreuk op ieders bewegingsvrijheid, om nog maar niet te spreken van datalekken en hacking. Tevens zal het niet bij deze app blijven: er zijn meer (toekomstige) ziekten en gedrag in kaart te brengen. En waarom dan niet meteen het hele dossier, gekoppeld aan triage? De geschiedenis leert dat dit soort maatregelen nooit worden teruggedraaid en alleen maar worden uitgebreid.

In ons rechtssysteem is het heel simpel. We gaan uit van legitieme doelbinding, oftewel: wat is het probleem, wat is het doel en hoe kunnen we dit bereiken? De eerste vraag kunnen we al niet beantwoorden; we meten namelijk vrijwel niet. De bevolking wordt dagelijks angst aangejaagd op basis van zeer selectieve cijfers inzake intensivecare-opnames en sterfgevallen. De totale besmette populatie is onbekend en het aantal mensen dat geneest wordt niet gerapporteerd. Wat we hier zien is een crisis aangejaagd door emotie bij gebrek aan cijfers. En dan is een app de oplossing? Waarvoor precies?

Naast doelbinding zijn noodzaak en proportionaliteit (is er een redelijke verhouding tussen het middel en het doel?) cruciaal. In deze crisis is het grootste probleem een capaciteitsprobleem in de gezondheidszorg. Dan lijkt me duidelijk waar de aandacht naartoe moet gaan: capaciteitsuitbreiding met man en macht. Mensen, ic-bedden, mondkapjes, kleding, beademingsapparatuur et cetera. En natuurlijk testcapaciteit voor de gehele bevolking, zowel op infectie als op antilichamen. Zo komen we tot feiten en het vaststellen van het echte probleem. Volgens de laatste schattingen heeft 95% van onze bevolking helemaal niets en die zou nu continu met een app gecontroleerd moeten worden?

Een ander vereiste is subsidiariteit: wat zijn de alternatieve oplossingen voor een dergelijke horror-app, die alleen maar leidt tot meer angst en wantrouwen? Welke privacyvriendelijke alternatieven zijn er? Onze overheid krijgt nu vanuit vertrouwen zes weken de tijd om zijn zaakjes op orde te krijgen en de burger heeft daarom het recht om iets terug te krijgen. Welke behandelmethoden en testmiddelen zijn reeds voorhanden die de burger weer vertrouwen kunnen geven?

Alle opties dienen te worden onderbouwd met cijfers. En testen kan gewoon via ons huidige gezondheidssysteem, dus via de huisarts. Niks nieuws onder de zon. Indien iemand besmet getest wordt, kan die in overleg met de huisarts of wellicht de GGD zelf actie ondernemen. Via dezelfde huisarts kan een burger natuurlijk altijd op basis van vrijwilligheid medische gegevens delen (eventueel via een privacyvriendelijke app) om anderen te helpen in het vinden van de beste behandelmethode. Uit onze analyse blijkt echter dat anonieme apps vrijwel onmogelijk zijn.

Dus fix the fundamentals, test en los het echte probleem op in plaats van apps te bouwen. Dan kunnen we op 28 april weer aan het werk en applaudiseren voor alle ondernemende Nederlanders die deze operatie uiteindelijk financieren.

Bas Filippini,
voorzitter Privacy First

Gepubliceerd in de zaterdageditie van De Telegraaf, 11 april 2020: https://www.telegraaf.nl/watuzegt/805422902/de-kwestie-zijn-corona-apps-een-zegen-of-een-vloek.

Gepubliceerd in Columns

Met grote zorg heeft Privacy First gisteren kennisgenomen van het voornemen van de Nederlandse overheid om speciale apps te gaan inzetten ter bestrijding van de Corona-crisis. Privacy First ziet het gebruik van dergelijke apps als een gevaarlijke ontwikkeling, aangezien dit kan leiden tot talloze onterechte verdenkingen, stigmatisering, onnodige onrust en paniek. Zelfs “geanonimiseerd” kunnen de gegevens uit dergelijke apps via koppeling alsnog tot individuele personen herleid worden. Bij grootschalig gebruik leidt dit tot een surveillance maatschappij waarin iedereen geobserveerd en geregistreerd wordt en men zich voortdurend gemonitord waant, met een maatschappelijk chilling effect tot gevolg. Groot risico is dat de verzamelde data voor meerdere doelen zullen worden gebruikt en misbruikt door bedrijven en overheden. In handen van criminele organisaties vormen deze data bovendien een goudmijn voor criminele activiteiten. Voor Privacy First wegen deze risico’s van “Corona apps” niet op tegen de veronderstelde voordelen.

Het recht op anonimiteit in de openbare ruimte is een klassiek grondrecht en cruciaal voor het functioneren van onze democratische rechtsstaat. Een democratisch besluit tot opheffing hiervan is onacceptabel. Mocht alsnog besloten worden tot grootschalige inzet van “Corona apps”, dan dient dit dus strikt anoniem en op zuiver vrijwillige basis te gebeuren. Met individuele toestemming vooraf zonder enige vorm van druk, volledig geïnformeerd en voor een legitiem, specifiek doel. Privacy by design (het inbouwen van privacybescherming in de techniek) dient daarbij leidend te zijn. Voor Privacy First zijn dit harde juridische voorwaarden die niet onderhandelbaar zijn. Mocht hier niet aan voldaan worden, dan zal Privacy First dit bij de rechter aanvechten.

Gepubliceerd in Wetgeving

Autoriteit Persoonsgegevens weigert te onderzoeken of te handhaven

Op 6 maart jl. heeft OV-reiziger Michiel Jonker hoger beroep ingediend bij de Raad van State inzake de afwijzing van twee handhavingsverzoeken door de Autoriteit Persoonsgegevens (AP). In juli 2018 verzocht Jonker in twee handhavingsverzoeken de AP om onderzoek en handhaving inzake:

  1. Het weigeren van de terugbetaling van resterend saldo op anonieme OV-chipkaarten als de houder zijn NAW-gegevens niet aan Nederlandse Spoorwegen (NS) verstrekt;
  2. Het weigeren van internationale treintickets door NS-medewerkers aan stationsbalies als kopers hun NAW-gegevens niet aan NS verstrekken;
  3. Het in rekening brengen, sinds 2 juli 2018, van extra “servicekosten” als houders van anonieme OV-chipkaarten contant betalen voor het opwaarderen van het saldo op deze kaarten.
  4. De weigering door vervoerbedrijf Connexxion van privacyvriendelijke, contante betaling voor eenmalige buskaartjes in de bus.

De AP weigerde deze inbreuken op de privacy serieus te onderzoeken, omdat volgens de AP een "globaal (bureau)onderzoek" reeds uitwees dat er geen sprake was van enige overtreding. Jonker bestrijdt dat, omdat er ofwel zonder aangetoonde noodzaak persoonsgegevens worden verwerkt (1, 2, 4), ofwel zonder aangetoonde noodzaak reizigers die hun privacy willen behouden, worden gediscrimineerd ten opzichte van reizigers die hun persoonsgegevens afstaan (3).

Met betrekking tot de verkoop van internationale treintickets (2) heeft Jonker in februari 2020 geconstateerd dat NS ter zitting van de rechtbank (op 16 december 2019) heeft gezwegen over het feit dat er bij veel internationale tickets die NS aan klanten verkoopt, sinds november 2019 wel degelijk van klanten geëist wordt dat zij hun naam en soms ook hun geboortedatum door NS laten verwerken in een digitaal systeem. Het eerdere "ATB-systeem" waarmee voorheen anoniem tickets konden worden verstrekt is toen uitgeschakeld, en nu moeten klanten verplicht met het zogeheten "Atlantis"-systeem een "Homeprint" aanschaffen.

Jonker: "NS vindt van zichzelf dat NS daar niet verantwoordelijk voor is, omdat dit in opdracht zou gebeuren van buitenlandse vervoerbedrijven. Maar NS is als verwerker wel mede-verantwoordelijk en moet zich aan de AVG houden. De AP heeft zichzelf eerst ten onrechte onbevoegd verklaard op dit punt. Toen ik dat had ontzenuwd, vond de AP opeens dat mijn handhavingsverzoek hier niet over ging. En de rechtbank zei vervolgens dat mijn handhavingsverzoek "te onbepaald" was, hoewel ik aan de AP specifiek materiaal had aangeleverd waaruit bleek dat het anonieme systeem zou worden uitgeschakeld. Ze draaien zich in duizend bochten om redenen te vinden om mijn handhavingsverzoek af te wijzen."

Om het risico te verminderen dat het ATB-systeem niet technisch ontmanteld wordt voordat de AP alsnog onderzoek heeft gedaan, heeft Jonker bij de Raad van State tevens een verzoek om voorlopige voorziening ingediend (een soort kort geding). Hij wil dat de rechter de AP opdraagt om de privacyvriendelijke infrastructuur van het ATB-systeem te beschermen zolang er nog geen onderzoek is gedaan. Het verzoek zal vooralsnog op 30 april 2020 door de Raad van State worden behandeld.

Bij Connexxion is volgens Jonker ten eerste niet aangetoond dat de "sociale veiligheid" op buslijnen in zijn regio gevaar loopt, en ten tweede is er volgens hem ook niet aangetoond dat het weigeren van contante betaling, als één maatregel in een pakket van 23 maatregelen, op die lijnen effect heeft op de veiligheid. Jonker: "Ze roepen het woord 'veiligheid' en vinden dat ze dan voor alle buslijnen in heel Nederland iets hebben aangetoond. Maar dan kan ik net zo goed gaan roepen dat alle CV-ketels gevaarlijk zijn en daarom moeten worden afgeschaft. Deze quasi-paranoia van een club van overheden en vervoerbedrijven die al onze persoonlijke OV-data in handen wil krijgen, wordt door de AP en de Rechtbank Gelderland klakkeloos geaccepteerd. Dat is in strijd met artikel 5 AVG, waarin staat dat er een noodzaak en een welbepaald doel moeten worden aangetoond."

Het volledige hoger-beroepschrift van Jonker staat HIER online (getiteld "Lof der individualiteit - privacy, connectiviteit en autoritair denken", 191 pp).

Jonker wordt in beide zaken gesteund door Privacy First en Maatschappij Voor Beter OV (www.voorbeterov.nl).

(door omstandigheden is dit bericht met vertraging gepubliceerd)

Gepubliceerd in Mobiliteit

Rechtbank behandelt beroep van OV-reiziger inzake vier structurele privacy-inbreuken. Autoriteit Persoonsgegevens weigert deze inbreuken te onderzoeken of te handhaven.

Op 16 december 2019 zal de Rechtbank Gelderland in twee direct op elkaar volgende rechtszittingen de beroepen van Michiel Jonker behandelen tegen de afwijzing van twee handhavingsverzoeken door de Autoriteit Persoonsgegevens (AP). In juli 2018 verzocht Jonker in twee handhavingsverzoeken de AP om onderzoek en handhaving inzake:

  1. De weigering door vervoerbedrijf Connexxion van privacyvriendelijke, contante betaling voor eenmalige buskaartjes in de bus.
  2. Het weigeren van de terugbetaling van resterend saldo op anonieme OV-chipkaarten als de houder zijn NAW-gegevens niet aan Nederlandse Spoorwegen (NS) verstrekt.
  3. Het weigeren van internationale treintickets door NS-medewerkers aan stationsbalies als kopers hun NAW-gegevens niet aan NS verstrekken.
  4. Het in rekening brengen, sinds 2 juli 2018, van extra “servicekosten” als houders van anonieme OV-chipkaarten contant betalen voor het opwaarderen van het saldo op deze kaarten.

De AP weigerde deze inbreuken op de privacy serieus te onderzoeken, omdat volgens de AP een "globaal (bureau)onderzoek" reeds zou hebben uitgewezen dat er geen sprake was van enige overtreding. Volgens de AP is de verwerking van persoonsgegevens in sommige gevallen niet aangetoond en zou daar dus geen sprake van zijn (2, 3, 4). Met betrekking tot de verkoop van internationale tickets van buitenlandse vervoerbedrijven door NS verklaarde de AP zichzelf eerst ten onrechte onbevoegd, maar beweert nu, nadat Jonker daartegen bezwaar maakte, dat Jonker op dit punt niet om handhaving zou hebben verzocht. Met betrekking tot de weigering van contante betaling in de bus (1) vindt de AP dat de inbreuk op de privacy acceptabel is. Ook wekt de AP, in navolging van Connexxion, de schijn dat er allerlei andere privacyvriendelijke betaalmogelijkheden voorhanden zijn, terwijl er in Jonkers woonplaats Arnhem slechts één plek is waar dat kan, maar dan wel tegen betaling van een extra toeslag. Jonker vindt dat er op die manier sprake is van privacy-discriminatie: het nadelig behandelen van mensen die met privacy willen blijven reizen.

Jonker: "Het gaat in deze zaken om drie dingen. Ten eerste dat mensen met behoud van privacy van het openbaar vervoer gebruik kunnen maken, niet alleen in een vergezochte theorie, maar ook gewoon in de dagelijkse praktijk. Het gaat er dan om dat er voldoende verkooppunten zijn waar je contant kunt betalen voor alle soorten vervoerbewijzen, en zonder dat je een extra toeslag hoeft te betalen ten opzichte van reizigers die er noodgedwongen in berusten dat hun persoonsgegevens zonder hun instemming worden verwerkt. En dat vervoerbedrijven ook geen reizigers misleiden, of stiekem hun gegevens verzamelen.

Ten tweede gaat het erom dat vervoerbedrijven niet met willekeur persoonsgegevens mogen verzamelen, als ze maar met wat algemene kreten zwaaien, bijvoorbeeld "veiligheid" of "fraudepreventie", zonder duidelijk te maken om welk specifiek, concreet probleem het nu eigenlijk gaat.

Ten derde gaat het erom dat de AP als toezichthouder en handhaver niet zomaar mag weigeren om iets te onderzoeken. Nu trekt de AP uit haar eigen weigering om het te onderzoeken, de conclusie dat er dus niks aan de hand is. Dat is alsof een politie-agent na de melding van een inbraak weigert het betreffende huis binnen te stappen, maar in plaats daarvan zegt: ik ga daar niet naar binnen, dus ik zie geen inbraak, dus er is geen inbraak, dus ik hoef daar niet naar binnen te gaan. Daar is een heel simpel woord voor: wegkijken. Veel Nederlandse toezichthouders, waaronder de AP, hebben nogal de neiging weg te kijken en op die manier aan struisvogelpolitiek te doen. Maar we betalen die toezichthouders wel van ons belastinggeld. Dat doen we niet om ze te laten wegkijken."

Gevraagd of hij bijvoorbeeld "veiligheid" dan geen serieus thema vindt, antwoordt Jonker: "Natuurlijk vind ik dat een serieus thema. Juist daarom verdient het een serieuze behandeling. Maar dat is iets heel anders dan het thema veiligheid misbruiken om precies te gaan bijhouden welke routes miljoenen onschuldige reizigers op welke momenten afleggen. Ik ben voor een serieuze analyse van concrete veiligheidsproblemen, gevolgd door maatwerk om die specifieke problemen ook echt tegen te gaan. Connexxion heeft niet aannemelijk gemaakt dat contante betaling de veiligheid op zelfs maar één buslijn in de regio serieus in gevaar zou brengen. Ik woon al meer dan twintig jaar in Arnhem. Ik ging met lijn 3 naar de dierentuin, op een mooie, zonnige ochtend. Nooit geweten dat dat onveilig was... Het moet proportioneel blijven. Maar proportionaliteit kan heel subjectief worden opgevat. Dan mag je als vervoerbedrijf alles van reizigers eisen. Dat is op dit moment de basishouding van de AP. Als vervoerbedrijven iets willen, vindt de AP het dus nodig, en wil daarom niet handhaven of serieus onderzoeken."

Gevraagd naar zijn verwachtingen over de rechtszaken, antwoordt Jonker: "Sinds de uitspraken van de Rechtbank Gelderland in twee andere beroepsprocedures, op 5 september van dit jaar, ben ik zeer sceptisch over de kwaliteit van de rechtspraak van deze instantie. Tegen die uitspraken ben ik in hoger beroep gegaan bij de Raad van State. Ik heb de rechtbank verzocht om met de behandeling van deze nieuwe zaken te wachten tot de Raad van State uitspraak heeft gedaan, om een zinloze herhaling van zetten te voorkomen. Ook zijn er inmiddels prejudiciële vragen gesteld aan het Hof van Justitie van de Europese Unie over reisgegevens van OV-gebruikers. Dat wil ik ook graag afwachten, om alle partijen tijd en geld te besparen. Maar de rechtbank heeft dat verzoek helaas meteen afgewezen."

De rechtszittingen vinden plaats op 16 december 2019 om 10:30 uur in de Rechtbank Gelderland, Walburgstraat 2-4 te Arnhem. Klik HIER voor het beroepschrift van Jonker in de zaak over de weigering van contante betaling in de bus door vervoerbedrijf Connexxion (pdf).

Jonker wordt in beide zaken gesteund door Stichting Privacy First en Maatschappij Voor Beter OV.

Update 17 december 2019: de twee rechtszaken werden op 16 december jl. behandeld door een meervoudige kamer van de rechtbank. Een vertegenwoordiger van Privacy First was als toehoorder aanwezig. Jonker had een enkele pleitnota voor beide zittingen gemaakt, maar de rechter stond hem niet toe die voor te lezen. Desgevraagd verwees de voorzittende rechter naar het "te ruste leggen" van de zogeheten "Nieuwe zaaksbehandeling" per 13 februari 2018, en gaf aan dat de rechtbank inmiddels werkt aan de hand van de zogeheten "professionele standaard", waarin niet meer is voorzien in de mogelijkheid voor partijen om een schriftelijk voorbereid pleidooi te houden. Jonker: "Natuurlijk moest ik daar ter zitting in berusten, immers de rechter bepaalt wat er ter zitting mag worden ingebracht. Maar het is een teken aan de wand hoe het er met onze rechtspraak voorstaat. Mijns inziens is het weigeren van pleidooien in strijd met artikel 6 van het EVRM (recht op een eerlijk proces), omdat in zo'n pleidooi de omstandigheden van het concrete geval en de ethische implicaties daarvan rechtstreeks kunnen worden verduidelijkt en bespreekbaar gemaakt. Achteraf heb ik op internet proberen na te gaan wat daarover te vinden is. In een publicatie van het Ministerie van Binnenlandse Zaken uit 2015 ("De praktijk van de Nieuwe zaaksbehandeling in het bestuursrecht") bleek dat sommige rechters mijn mening op dit punt delen." Voor de pleitnota van Jonker, klik HIER (pdf).

Tijdens beide zittingen werd eerst Jonkers verzoek behandeld om de zaken aan te houden in afwachting van uitspraken van het Hof van Justitie van de EU (HvJ EU) en de Afdeling bestuursrechtspraak van de Raad van State (ABRvS) over met name de eisen die moeten worden gesteld aan het aantonen van een noodzaak voor de verwerking van persoonsgegevens in het openbaar vervoer. De AP, NS en Connexxion zagen geen aanleiding om de zaken aan te houden. De rechtbank gaat het overwegen en zal partijen t.z.t. op de hoogte stellen van zijn standpunt.

In de eerste zitting kwam naast de vraag of er een noodzaak voor de privacy-inbreuken is aangetoond, ook de vraag aan de orde naar de precieze omvang van de verantwoordelijkheid van verwerkingsverantwoordelijken zoals NS. Is NS verantwoordelijk voor het gedrag van haar eigen baliemedewerkers, als die zonder noodzaak NAW-gegevens opeisen bij de aankoop van internationale treintickets? Jonker betoogde van wel, en op dit punt leek de AP het met hem eens te zijn. Daarnaast betoogde Jonker dat de verantwoordelijkheid voor gegevensverwerking niet mag worden zoekgemaakt tussen (binnenlandse of buitenlandse) "verwerkingsverantwoordelijken" en "verwerkers".

Voor het eerst deed NS zelf een uitspraak over het doel waarmee NS legitimatie eist wanneer iemand het restsaldo op een anonieme OV-chipkaart terugvraagt. Volgens NS is dat om een "drempelverhogend effect" te creëren om personen af te schrikken die een gestolen anonieme OV-chipkaart proberen in te leveren. Jonker wees erop dat, als dit klopt, er sprake is van een illegale handeling van NS, omdat het eisen van legitimatie om mensen af te schrikken, niet rechtmatig is en NS daartoe ook niet bevoegd is. Ook wees Jonker erop dat in geval van het teruggeven van saldo van meer dan dertig euro, er in opdracht van NS wel degelijk persoonsgegevens worden verwerkt, namelijk door Translink Systems (TLS).

Met betrekking tot het in rekening brengen van zogeheten "servicekosten" bij het contant betalen voor het opladen van anonieme OV-chipkaarten met bankbiljetten aan de balie, zonder dat er gelijkwaardige, privacyvriendelijke alternatieven zijn, werden er geen nieuwe argumenten ingebracht.

In de tweede rechtszitting ging het onder andere over de vraag of de noodzakelijkheid voor het verwerken van persoonsgegevens ten behoeve van de uitvoering van een contract (art. 6 lid 1 onder b AVG) afgeleid kan worden uit willekeurige, algemeen geformuleerde doelen die een verwerkingsverantwoordelijke (Connexxion) heeft vastgesteld, of dat er ook sprake moet zijn van een objectiveerbare, materiële noodzaak. Jonker betoogde dat uit de aangeleverde documentatie geen noodzaak viel af te leiden voor het weigeren van contant geld in de regio Arnhem-Nijmegen. Connexxion betoogde dat het niet nodig was om zo'n noodzaak voor deze regio aan te tonen, en zelfs niet eens om een "risicoprofiel per regio of per buslijn" op te stellen. Ook zag Connexxion voor zichzelf geen plicht of verantwoordelijkheid om te zorgen voor alternatieve, toegankelijke manieren voor privacyvriendelijk betalen. Dit omdat de verkooppunten volgens Connexxion niet door haarzelf worden bepaald, maar door de Stadsregio Arnhem-Nijmegen. Jonker betoogde dat een verwerkingsverantwoordelijke bij het treffen van maatregelen die een inbreuk vormen op de privacy, zelf verantwoordelijk blijft voor het zorgen voor een alternatief (subsidiariteitsbeginsel).

Ten slotte wees Connexxion erop dat Jonker niet verplicht is om het OV te gebruiken. Jonker reageerde dat het OV geen "winkel met prullaria" is, maar een essentiële publieke nutsfunctie waarvan hij en talloze andere mensen afhankelijk zijn om maatschappelijk te kunnen participeren.

Voorafgaand aan de zitting had Connexxion schriftelijk verzocht om Jonker te veroordelen tot het vergoeden van haar proceskosten vanwege "kennelijk onredelijk gebruik van het procesrecht". Na een vraag hierover van één van de rechters trok Connexxion dat verzoek aan het eind van de zitting in.

Gevraagd naar zijn indruk over de zittingen, zei Jonker: "Als je kijkt naar de letter van de wet en de bedoeling van de wetgever, sta ik sterk. Maar ik weet inmiddels uit ervaring dat dat niet alles zegt over de uitkomst van rechtszaken. Het zal er mede van afhangen of de rechters bereid zijn om niet alleen te kijken naar theoretische, algemene, niet-onderbouwde verhalen van NS en Connexxion, maar ook naar hoe het in de feitelijke praktijk functioneert, en naar de manier waarop de verschillende inbreuken op de privacy elkaar versterken. Cumulatief ontstaan er daardoor grote effecten waardoor er van de privacy weinig overblijft."

Update 6 februari 2020: de rechtbank Gelderland heeft op 4 februari jl. uitspraak gedaan in beide zaken, en deze op 5 februari gepubliceerd. De rechtbank verklaarde beide beroepen ongegrond, waarbij de rechtbank de argumentaties van de AP volgde.

Jonker: "Wat ik al vermoedde, is opnieuw gebeurd: de rechtbank heeft de argumentatie van de AP overgenomen en herhaalt die nog eens, maar gaat niet in op argumenten die ik daartegenin heb gebracht. Daar zwijgt de rechtbank over, of hij verwerpt ze zonder inhoudelijk te onderbouwen waarom.

Gevraagd naar een voorbeeld, antwoordt Jonker: "Als het bijvoorbeeld gaat om de weigering van contante betaling in de bus, dan verwijst de rechtbank, net als de AP, naar een door een conglomeraat van overheden en vervoerbedrijven gezamenlijk opgesteld "Actieprogramma Sociale Veiligheid in het OV", maar negeert wat ik over de inhoud van dat plan heb gezegd. Ik heb aangevoerd dat uit dat de tekst van dat plan geen noodzaak blijkt voor de weigering van contante betaling in de bus. De rechtbank stelt: er is een plan, daarin wordt een doel genoemd, en dus is de verwerking van persoonsgegevens nodig. Dat is geen rechtspraak, maar het napraten van een bestuursorgaan. De rechtbank stelt zich op deze manier niet op als een onafhankelijke uitlegger van de wet, maar als een verlengstuk van een conglomeraat van polder-organisaties, en als advocaat van de bestuurlijke consensus die binnen dat conglomeraat is gevormd. Die consensus is kennelijk dat reële privacy, zoals die tot 2014 in het OV bestond, mag en moet worden afgeschaft. Als de bestuursrechtspraak zo functioneert, kun je de scheiding der machten net zo goed opheffen. En dan kan ik beter mijn wetskennis aan de wilgen hangen en me omscholen door middel van een cursus 'Hoe kom ik in het gevlei bij machthebbers'. We zien hier dat de afbraak van de rechtsstaat zich in het hoofd van de rechters al voltrokken heeft, zonder dat zij dat zelf willen beseffen."

Gevraagd naar zijn volgende stappen, geeft Jonker aan in hoger beroep te zullen gaan bij de Raad van State. "Ik had verzocht om beide zaken aan te houden in afwachting van een uitspraak van de Raad van State in de zaak over privacy in het OV waarover de rechtbank op 5 september vorig jaar uitspraak deed, omdat die op enkele cruciale punten overlapt met de huidige zaak. De rechtbank heeft dat verzoek afgewezen omdat de zaken niet op alle punten met elkaar overeenkomen. Maar dat was ook niet mijn betoog. Het gaat immers om verschillende zaken. Ik had betoogd dat de uitkomst van de huidige zaken voorspelbaar is als de Raad van State mijn hoger beroep ongegrond zou verklaren, en dat het dus zin had om af te wachten of dat gebeurt. Maar nu ben ik dus genoodzaakt om voorafgaand daaraan weer twee separate procedures bij de Raad van State aan te spannen, en daarvoor griffierechten te betalen. Op deze manier werpt de rechtbank voor de burger een zo groot mogelijke hindernis op om tot zijn recht te komen. Deze mentaliteit is een zorgwekkende ontwikkeling met het oog op het behoud van de rechtsstaat. Het enige wat ik nu kan doen, is hopen dat de Afdeling bestuursrechtspraak van de Raad van State anders met de materie omgaat, en dat ondertussen de publieke opinie in toenemende mate wakker wordt over wat hier aan het gebeuren is. Niet alleen met onze privacy, maar ook met onze rechtsstaat."

Zie voor de volledige uitspraken van de rechtbank op rechtspraak.nl ECLI:NL:RBGEL:2020:619 en ECLI:NL:RBGEL:2020:622.

Media:
Omroep Gelderland, 5 februari 2020: Arnhemse privacystrijder krijgt van rechter ongelijk over anoniem reizen
De Gelderlander, 5 februari 2020: Arnhemse privacyvechter Jonker vangt bot in zaak over anoniem reizen met het ov
Security.nl, 5 februari 2020: Arnhemmer verliest zaken over privacy in het openbaar vervoer
Tweakers, 6 februari 2020: Interview met Michiel Jonker - privacyactivist uit idealisme en irritatie.

Update 10 maart 2020: op 6 maart jl. heeft Jonker bij de Afdeling bestuursrechtspraak van de Raad van State hoger beroep ingediend tegen de beide uitspraken van de rechtbank. In zijn hoger beroep gaat Jonker ook in op fundamentele vragen met betrekking tot "connectiviteit" en "autoritair denken". Jonker: "Na de uitspraken van de rechtbank op 4 februari jongstleden, was het me duidelijk dat er sprake is van twee fundamentele problemen als het gaat om rechtspraak over privacy. Het eerste probleem is de trend om de digitalisering van alles kritiekloos te omarmen, in plaats van daarin bewuste keuzes te maken: wat wel, en wat (nog) niet? En zo ja, hoe kan privacy dan op een reële manier worden gewaarborgd? Dat wordt dan 'connectiviteit' genoemd. Helaas hollen niet alleen bedrijven en ministeries achter die trend aan, maar ook de toezichthouder en sommige rechters.

Het tweede probleem is de autoritaire manier van denken die daarmee gepaard gaat, maar waarvan de toezichthouder en sommige rechters zich onvoldoende bewust lijken te zijn. De mens wordt gereduceerd tot een instrument voor de verwezenlijking van digitale ambities, en wordt dan niet langer gezien als een individu met een vrije wil, verantwoordelijkheid en rechten. In combinatie met elkaar leiden deze twee trends tot een totalitaire inrichting van de maatschappij, als er niet tijdig grenzen aan worden gesteld. Ik hoop dat de Raad van State dat nu zal doen, met verwijzing naar artikel 8 van het Europees Verdrag voor de Rechten van de Mens. Dat beschermt het privéleven, wat meer is dan alleen persoonsgegevens."

Daarnaast heeft Jonker voor één van de vier onderdelen van zijn hoger beroep tevens een verzoek om voorlopige voorziening ingediend, waarin hij de Raad van State verzoekt om de AP te gelasten snel in te grijpen om het technisch buiten werking stellen van het zogeheten "ATB-systeem" voor de verkoop van internationale treintickets vooralsnog te stoppen, totdat de AP daar onderzoek naar heeft gedaan, in samenwerking met andere toezichthouders binnen de EU.

Jonker: "De AP en de rechtbank hebben feiten genegeerd die ik al op 31 januari 2019 onder de aandacht van de AP bracht, namelijk dat NS en andere railvervoerbedrijven aantoonbaar voornemens waren het ATB-systeem af te schaffen. Met dat systeem worden al tientallen jaren privacyvriendelijke, internationale treintickets verkocht. In februari 2020 bleek mij dat het ATB-systeem in november 2019 is afgeschaft. Als gevolg daarvan word ik nu verplicht om bij treinreizen naar Duitsland of Frankrijk mijn naam op te geven als ik een ticket koop, en die naam wordt dan verwerkt in een systeem. Als ik naar Frankrijk ga moet ik ook nog mijn geboortedatum opgeven. In de rechtszitting op 16 december 2019 heeft NS daar echter over gezwegen. Op die manier heeft NS niet alleen in samenwerking met andere vervoerbedrijven de privacy bij die tickets afgeschaft, maar ook heeft NS de rechtbank op dit punt willens en wetens misleid. Ik wil dat de Raad van State de AP verplicht om de afschaffing van het ATB-systeem nu alsnog te gaan onderzoeken, en om van de vervoerbedrijven te verlangen dat die het ATB-systeem als infrastructuur technisch in stand houden totdat het onderzoek is voltooid, zodat er geen onomkeerbare situatie ontstaat."

Voor het volledige hoger-beroepschrift van Jonker, getiteld "Lof der individualiteit - privacy, connectiviteit en autoritair denken", klik HIER (pdf, 191 pp).

Gepubliceerd in Mobiliteit

Deze week vond in de Tweede Kamer (Vaste commissie voor Infrastructuur en Waterstaat) een interessant 'rondetafelgesprek' plaats over de toegang tot data in het openbaar vervoer. Naarmate de hoeveelheid data (waaronder persoonsgegevens) in het openbaar vervoer toeneemt, is er sprake van een toenemende druk om deze data met diverse partijen te delen en voor allerlei doelen te gaan gebruiken. Dit staat op gespannen voet met het recht op privacy van de individuele reiziger. Privacy First maakt zich al jaren sterk voor het recht op privacy en anonimiteit in het openbare domein, waaronder het openbaar vervoer. Wij reageerden daarom direct positief op de uitnodiging van de Tweede Kamer om aan dit rondetafelgesprek deel te nemen. Aan alle deelnemers werd verzocht om vooraf hun voornaamste standpunten kenbaar te maken middels korte position papers (maximaal twee A4). Klik HIER voor de position paper van Privacy First (pdf) en HIER voor de position papers van de overige genodigden, waaronder CBS, Translink en reizigersvereniging Rover. De belangrijkste standpunten van Privacy First luiden als volgt:

1. Iedere reiziger heeft recht op anonimiteit in het openbaar vervoer.
2. Alleen geanonimiseerde, geaggregeerde data mogen - onder strikte waarborgen - gedeeld worden.
3. Geen massa-surveillance in het openbaar vervoer.
4. Transparantie bij privacy-inbreuken.
5. Privacy-waarborgen bij reizigersonderzoek.
6. Aantoonbaar gebruik van privacy by design.

Privacy First maakte van de gelegenheid gebruik door voor het rondetafelgesprek een OV-ervaringsdeskundige bij uitstek af te vaardigen: privacy-activist Michiel Jonker voerde namens ons het woord. Enig gevoel van urgentie ten aanzien van privacy bleek bij de aanwezige Kamerleden en overige genodigden echter grotendeels afwezig, aldus Jonker in zijn eerste reactie na afloop. Zijn algehele kritische impressie van het rondetafelgesprek zal Privacy First spoedig op deze pagina publiceren. Hieronder kunt u alvast de video van de volledige sessie terugkijken en uw eigen conclusies trekken.

Update 8 oktober 2019: lees HIER de gehele impressie en analyse die Michiel Jonker (op persoonlijke titel) schreef naar aanleiding van het rondetafelgesprek op 10 september jl. (pdf, 67 pp).

Gepubliceerd in Mobiliteit

Anonieme OV-chipkaart blijkt nooit anoniem te zijn geweest 

Op 20 augustus 2019 houdt de Rechtbank Gelderland zitting in twee rechtszaken die treinreiziger Michiel Jonker heeft aangespannen tegen de Autoriteit Persoonsgegevens (AP) inzake de anonieme OV‑chipkaart. Jonker deed in de periode 2014-2018 handhavingsverzoeken bij de AP vanwege schending van zijn privacy door Nederlandse Spoorwegen (NS), nadat NS in juli 2014 de papieren trein­kaartjes afschafte. De AP weigerde dit aanvankelijk te onderzoeken, waarop Jonker naar de rechter stapte. Na een uitspraak van de rechtbank in 2016 moest de AP alsnog onderzoek doen. Jonker vindt dat NS reizigers discrimineert als die kiezen voor behoud van hun privacy met een anonieme OV-chipkaart. Reizigers verliezen o.a. hun voordeelurenkorting en worden zo onder druk gezet hun privacy af te staan. Bovendien is inmiddels gebleken dat ook de anonieme kaart niet werkelijk anoniem is, waardoor er al sinds juli 2014 sprake is van een door NS afgedwongen verwerking van persoonsgegevens.

De rechtbank gaat twee door Jonker aangespannen procedures gevoegd behandelen. Jonker: "Ik heb daar om gevraagd en ben er blij mee, want het is eigenlijk één en dezelfde zaak. De AP heeft het in 2016 gesplitst in twee delen, waarschijnlijk in een poging om het tweede deel niet grondig te hoeven onderzoeken."

De eerste procedure gaat over prijsdiscriminatie van houders van anonieme OV-chipkaarten die tevens een voordeelurenabonnement hebben. NS weigert hun de voordeelurenkorting te geven die reizigers met gepersonaliseerde OV-chipkaarten wel krijgen. Jonker: "De AP zegt dat NS dat mag doen, omdat NS dat zo in de algemene voorwaarden heeft opgenomen. Volgens de AP is er dan sprake van een contract zoals bedoeld in de Algemene Verordening Gegevensbescherming (AVG). Dat bestrijd ik. NS kan wel van alles in haar algemene voorwaarden zetten, maar als het in strijd is met de wet, dan is dat onrechtmatig. De AVG is niet bedoeld als een vrijbrief voor willekeur van bedrijven die persoonsgegevens willen verzamelen."

De tweede procedure gaat over het feit dat zelfs de "anonieme" OV-chipkaart niet anoniem is. Op elke kaart zijn immers twee unieke nummers aangebracht, waardoor de kaart en de kaarthouder kunnen worden gevolgd. Nadat de AP in maart 2019 in een derde, eveneens door Jonker aangespannen zaak, nieuwe vragen over de OV-chipkaart stelde, bleek dat het saldo van de anonieme OV-chipkaart niet werkelijk "op de kaart geladen" wordt, zoals tot nu toe naar de treinreizigers was gecommuniceerd. In plaats daarvan wordt het saldo overgemaakt naar de back-office van het bedrijf Translink Systems (TLS), dat in opdracht van NS betalingen afhandelt. Daardoor worden elke keer dat iemand in- of uitcheckt met een anonieme kaart of saldo laadt, het tijdstip en de locatie van de anonieme kaart geregistreerd. In augustus 2019 hoorde Jonker dat dit al in 2010 door een onderzoeksgroep van wetenschappers onder de aandacht was gebracht. Desondanks deed de AP vervolgens negen jaar lang niks.

Jonker: "Ik werd pas kort geleden op dat onderzoek geattendeerd, en voel me verraden. Het gaat hier om ca. vijf miljoen houders van anonieme OV-chipkaarten, die door NS negen jaar lang voor de gek zijn gehouden, terwijl de AP wist dat dit gebeurde, maar wegkeek. Zelfs in het door de rechtbank in 2016 opgedragen onderzoek kwam dit niet boven water. Pas nadat ik in 2018 een derde zaak aanspande, en dit voorjaar een bezwaarprocedure, ging de AP eindelijk de juiste vragen stellen."

In een recent interview met NRC (https://www.nrc.nl/nieuws/2019/08/13/iemand-moet-grens-van-privacy-trekken-a3969883) benadrukte Jonker dat de AVG alleen bescherming biedt als die ook wordt gehandhaafd.

Jonker wordt in deze zaak gesteund door Stichting Privacy First en Maatschappij Voor Beter OV.

De openbare rechtszitting vindt plaats op dinsdag 20 augustus 2019 om 10:30u bij de Rechtbank Gelderland, Walburgstraat 2‑4 te Arnhem. Zaaknummers: ARN 18/546 en ARN 18/1487. Routebeschrijving en bezoekinformatie: https://www.rechtspraak.nl/Organisatie-en-contact/Organisatie/Rechtbanken/Rechtbank-Gelderland.

Update 20 augustus 2019: klik HIER voor de pleitnota van Michiel Jonker (pdf).

Media: 
Ravage Webzine, 15 augustus 2019: Rechtszaak om ‘anonieme’ ov-chipkaart
Security.nl, 16 augustus 2019: Rechtszaak tegen toezichthouder over anonieme OV-chipkaart
Tweakers, 16 augustus 2019: Arnhemmer sleept AP voor rechter voor onderzoek anonieme ov-chipkaart
FOK.nl, 16 augustus 2019: Rechtszaak over onderzoek AP naar privacy "anonieme" OV-chipkaart
AVROTROS Radar, 16 augustus 2019: Rechtszaak tegen AP wegens prijsdiscriminatie 'anonieme' OV-chipkaart
Maatschappij Voor Beter OV, 19 augustus 2019: Privacywaakhond voor de rechter
NOS Radio 1 Journaal, 20 augustus 2019: Michiel klaagt NS aan om privacy bij anonieme ov-chipkaart. Beluister hieronder de interviews met Michiel Jonker en privacy-onderzoeker Jaap-Henk Hoepman (Radboud Universiteit Nijmegen) op Radio 1:



Trouw, 20 augustus 2019: Leven zonder data achter te laten? Dat betekent offers brengen
Omroep Gelderland, 20 augustus 2019: Arnhemmer stapt naar rechter om 'niet-anonieme ov-chipkaart'  Beluister hieronder het interview met Michiel Jonker bij Omroep Gelderland:


Gelderlander, 20 augustus 2019: Arnhemse privacy-voorvechter strijdt nu tegen de NS: ‘Reiziger wordt onder druk gezet’
Volkskrant, 20 augustus 2019: ‘Anonieme OV-chipkaart is niet anoniem’, betoogt Michiel Jonker
Gelderlander, 20 augustus 2019: Online poll: 'De OV-chipkaart schendt onze privacy, dus moeten we terug naar het papieren treinkaartje of -abonnement'
Trouw, 21 augustus 2019: Hoofdredactioneel commentaar: 'Een debat over privacy is nodig'
Gelderlander, 23 augustus 2019: Arnhemmer Michiel Jonker staat pal voor onze privacy
Security.nl, 26 augustus 2019: D66 wil opheldering van minister over anonieme OV-chipkaart

Kamervragen:
Vragen van D66 aan de Staatssecretaris van Infrastructuur en Waterstaat over het bericht "Anonieme OV-chipkaart is niet anoniem", 23 augustus 2019

Update 7 september 2019: op 5 september jl. heeft de Rechtbank Gelderland uitspraak gedaan in het beroep. Het beroep van de heer Jonker werd ongegrond verklaard. De rechtbank oordeelde dat het door NS opgevoerde doel van fraudepreventie de verwerking van de reisgegevens (tijdstippen en plaatsen van begin, overstappen en einde reizen) van alle treinreizigers rechtvaardigt. Ook acht de rechtbank een "noodzaak" aanwezig om tijdens elke reis in de trein te kunnen controleren of er een betalingsachterstand is met betrekking tot voordeelabonnementen. Daarom doet het er niet toe dat de "anonieme" OV-chipkaart gebleken is niet anoniem te zijn. De AP hoeft volgens de rechtbank desondanks niet te handhaven.

Jonker: "De rechtbank neemt het idee van NS dat NS op elk moment alle reisbewegingen van reizigers moet kunnen bespieden en registreren, kritiekloos over. De rechtbank heeft de zaken "marginaal" getoetst, dat wil in dit geval zeggen: zeer oppervlakkig. De rechtbank heeft daarbij de gedachtengang van NS als uitgangspunt genomen, net zoals de AP dat eerder al deed. De rechtbank zegt in essentie dat het in theorie niet valt uit te sluiten dat de gedachtengang van NS redelijk zou kunnen zijn, als een aantal ideeën die door NS in algemene termen op papier zijn gezet, kloppen. De rechtbank toetst niet of die ideeën in de praktijk ook echt kloppen met de feiten. Dus mag het van de rechtbank. Van de bescherming van de privacy van burgers blijft op deze manier heel erg weinig over. De rechtbank en de AP functioneren niet onafhankelijk, maar als instanties die gehoorzaam een goedkeurend stempel zetten op zaken die door 'the powers that be' in achterkamertjes op ondemocratische wijze zijn besloten. Ik moet helaas concluderen dat we op het gebied van privacy niet in een functionerende rechtsstaat leven. Dat voorspelt weinig goeds voor de toekomst."

Gevraagd of de Algemene Verordening Gegevensbescherming (AVG) dit toestaat, zegt Jonker: "De AVG kan op verschillende manieren worden geïnterpreteerd. Ik heb steeds betoogd dat de AVG moet worden geïnterpreteerd in overeenstemming met het doel van artikel 8 van het EVRM, en in overeenstemming met het Europeesrechtelijke vereiste van een hoog beschermingsniveau voor privacy. De rechtbank denkt daar kennelijk anders over. Op deze manier functioneert de AVG als een vergiet met tweehonderd gaatjes. Elke organisatie die persoonsgegevens wil verwerken, plukt ergens een algemene doelstelling vandaan, bijvoorbeeld een taak van algemeen belang, zoals 'afvalinzameling', of een niet nader gespecificeerd, mooi doel zoals 'veiligheid' of 'fraudepreventie'. En dan kan iedere organisatie een eigen invulling geven aan de manier waarop dat wordt nagestreefd, die dan met verwijzing naar dat vage doel wordt gerechtvaardigd. Dit is een vrijbrief voor bijna totale willekeur bij het verwerken van persoonsgegevens. De AVG wordt op deze manier gereduceerd tot een wassen neus."

De uitspraak van de rechtbank is gepubliceerd op rechtspraak.nl. Jonker is voornemens in hoger beroep te gaan bij de Raad van State.

Media:
ANP, 6 september 2019: Arnhemse container mag open met afvalpas (tevens gepubliceerd bij diverse dagbladen en andere media)
Gelderlander, 6 september 2019: Arnhemse privacyvoorvechter verliest rechtszaken: aan OV-chipkaart wordt niet getornd
Omroep Gelderland, 6 september 2019: Arnhemse privacystrijder verliest twee rechtszaken
Tweakers, 6 september 2019: Rechter: AP hoeft niet op te treden tegen NS en Arnhemse afvalpas
NRC.nl, 6 september 2019: Adresgebonden afvalpas Arnhem niet in strijd met privacywet
Security.nl, 7 september 2019: Privacy-activist verliest zaken over afvalpas en OV-chipkaart
Binnenlands Bestuur, 7 september 2019: Rechter staat adresgebonden afvalpas Arnhem toe  
Tweakers, 6 februari 2020: Interview met Michiel Jonker - privacyactivist uit idealisme en irritatie.


Update 30 oktober 2019:
tegen de uitspraak van de rechtbank heeft Jonker op 9 oktober jl. pro forma hoger beroep ingesteld bij de Raad van State. Op 29 oktober jl. heeft hij de motivering van dit hoger beroep ingediend. Jonker: "Het is een zeer uitgebreid document geworden, waarin ik een overzicht geef van de hele zaak, met alle argumenten die de afgelopen vijf jaar zijn gewisseld. Je ziet hoe de doelen van NS in die periode zijn verschoven. Eerst zei NS geen informatie over persoonlijke reisbewegingen te willen, maar nu hebben ze een joint venture met TLS gesloten om die data juist te exploiteren. Ik ga ook in op de werkelijkheid achter de juridische werkelijkheid, en probeer tussen die twee een verbinding te leggen. Want als de juridische denkwijze losgezongen raakt van de werkelijkheid, dan is er geen effectieve rechtsbescherming meer - en al helemaal niet op het gebied van privacy. Ik hoop dat de Raad van State bereid zal zijn om de zaak te beoordelen met het oog op echte rechtsbescherming, zoals het Europees Verdrag voor de Rechten van de Mens (EVRM) dat vereist. Kunnen OV-gebruikers, als ze dat willen, straks weer reizen zonder dat al hun individuele reisbewegingen gevolgd en geregistreerd worden, en zonder dat zij gediscrimineerd worden als ze voor zichzelf willen houden waar ze allemaal naartoe gaan, en wanneer? Of is de AVG niet meer dan een rookgordijn om te verhullen dat onze privacy ons gewoon wordt afgepakt? We gaan het zien."  Klik HIER voor het volledige hoger-beroepschrift (pdf, 119 pp).

Gepubliceerd in Mobiliteit

Busreiziger Michiel Jonker heeft een rechtszaak aangespannen tegen de Autoriteit Persoonsgegevens (AP), vanwege de weigering van de AP om handhavend op te treden tegen vervoerbedrijf Breng/Connexxion. Connexxion weigert, net als veel andere Nederlandse vervoerbedrijven, sinds medio 2018 om in de bus betaling van kaartjes met contant geld te accepteren. Volgens Jonker is dit een schending van zijn privacy, omdat dit hem als busreiziger verplicht tot pinbetaling, waarbij zijn persoonsgegevens worden verwerkt. Jonker diende hierover in juli 2018 een handhavingsverzoek in bij de AP.

De AP weigerde vervolgens te handhaven. Volgens de Autoriteit is er sprake van een "overeenkomst" (contract) tussen Connexxion en Jonker, omdat Connexxion de weigering van contante betaling in de algemene voorwaarden heeft opgenomen. Volgens de AP leveren de door het vervoerbedrijf opgestelde algemene voorwaarden een wettelijke grondslag op voor het verwerken van persoonsgegevens (artikel 6 lid 1 onder b AVG). Tevens stelt de AP dat het doel van "sociale veiligheid" in het OV de verwerking van persoonsgegevens rechtvaardigt.

Jonker bestrijdt dit. Volgens hem is er geen sprake van een vrijwillig aangegaan contract, gezien zijn afhankelijkheid van het openbaar vervoer en het monopolie van Connexxion op de betreffende buslijnen. Ook stelt Jonker dat een vaag en algemeen geformuleerd doel zoals "sociale veiligheid" een generieke aantasting van de privacy op alle Nederlandse buslijnen niet rechtvaardigt. Volgens Jonker moet er gekeken worden naar de werkelijke veiligheidsproblematiek in specifieke regio's en op specifieke buslijnen.

Jonker: "Zoals het nu toegaat, kan een willekeurige groep bedrijven, al dan niet in samenwerking met bijvoorbeeld een ministerie of de leiding van de politie, eenzijdig zo'n beetje elke aantasting van privacy doordrijven, zonder serieus te onderbouwen waarom dat nodig zou zijn. En de AP vindt dat prima, want die is er kennelijk niet voor de burgers, maar voor degenen die de rechten van burgers onder de voet willen lopen. In mijn handhavingsverzoek en in mijn bezwaarschrift heb ik de zaak zorgvuldig beargumenteerd, maar de AP negeert het overgrote deel van mijn argumenten. Helaas kom je dan weer bij de rechter terecht."

Eerder heeft Jonker al verschillende rechtszaken op het gebied van privacy gewonnen, inzake de Arnhemse adresgebonden afvalpas, en inzake de OV-chipkaart van NS. Jonker: "Er lopen nu in totaal zes zaken van mij bij de AP, die telkens weigert zijn wettelijke handhavingstaak uit te voeren. Hoewel ik over juridische achtergrondkennis en een aantal andere vaardigheden beschik, valt dit voor een normaal mens uiteindelijk niet vol te houden. Met haar weigerachtigheid maakt de AP van privacy in de praktijk een lachertje. De vraag is nu wat de rechter vindt. Als die het ook wel best zou vinden, is het voorlopig einde verhaal voor de privacy, dan kunnen we die illusie overboord gooien. De AVG zou in dat geval weinig voorstellen. Maar of dat zo is, ga ik eerst wel grondig uitzoeken door het aan de Nederlandse rechter voor te leggen, maar desnoods ook aan de Europese rechter."

Jonker wordt in deze zaak gesteund door Stichting Privacy First en Maatschappij Voor Beter OV.

Gepubliceerd in Mobiliteit

Vanmiddag vindt in de Tweede Kamer een belangrijk debat plaats over de invoering van Passenger Name Records (PNR): massale, jarenlange opslag van allerlei gegevens van vliegtuigpassagiers ter veronderstelde bestrijding van misdaad en terrorisme. Privacy First heeft hier grote bezwaren tegen en stuurde eind vorige week onderstaande brief naar de Tweede Kamer. Het Kamerdebat vanmiddag stond eerder geagendeerd op 14 mei 2018, maar werd toen (na een vergelijkbare brief van Privacy First) tot nader order geannuleerd. Na een nieuwe schriftelijke vragenronde vindt het debat nu alsnog plaats. Hieronder volgt de volledige tekst van onze actuele brief:


Geachte Kamerleden,

Maandagmiddag 11 maart as. debatteert u met minister Grapperhaus (Justitie en Veiligheid) over de Nederlandse implementatie van de Europese richtlijn inzake Passenger Name Records (PNR). Zowel de Europese PNR-richtlijn als de beoogde Nederlandse implementatiewet zijn in de optiek van Privacy First juridisch onhoudbaar. Hieronder zetten wij dit kort voor u uiteen.

Vakantieregister

In het PNR-wetsvoorstel van de minister zullen talloze gegevens van alle vliegtuigpassagiers met vertrek of aankomst in Nederland 5 jaar lang in een centrale overheidsdatabank bij de nieuwe Passenger Information Unit worden bewaard en gebruikt ter voorkoming, opsporing, onderzoek en vervolging van misdrijven en terrorisme. Gevoelige persoonsgegevens (waaronder naam- en adresgegevens, telefoonnummers, emailadressen, geboortedata, reisdata, ID-documentnummers, bestemmingen, medepassagiers en betaalgegevens) van vele miljoenen passagiers zullen daardoor jarenlang beschikbaar zijn t.b.v. datamining en profiling. In wezen wordt iedere vliegtuigpassagier hierdoor behandeld als potentiële crimineel of terrorist. In 99,99% van de gevallen betreft het echter volstrekt onschuldige burgers, voornamelijk vakantiegangers en zakenreizigers. Dit vormt een flagrante schending van hun recht op privacy en vrijheid van beweging. Vorig jaar heeft Privacy First dit reeds betoogd in de Volkskrant en bij BNR Nieuwsradio. Wegens privacybezwaren bestond er de laatste jaren veel politieke weerstand tegen dergelijke massale PNR-opslag en werd dit sinds 2010 diverse malen verworpen door zowel de Nederlandse Tweede Kamer als het Europees Parlement. In 2015 waren ook de Nederlandse regeringspartijen VVD en PvdA nog mordicus tegen. VVD en PvdA spraken destijds van een "vakantieregister" en dreigden zélf naar het Europees Hof van Justitie te stappen als de Europese PNR-richtlijn zou worden aangenomen. Na de aanslagen in Parijs en Brussel leken veel politieke bezwaren echter als sneeuw voor de zon verdwenen en werd de PNR-richtlijn in 2016 alsnog een feit. Tot op heden is de juridisch vereiste maatschappelijke noodzaak en proportionaliteit van deze richtlijn echter nog steeds niet aangetoond.

Europees Hof

In de zomer van 2017 deed het Europees Hof van Justitie een belangrijke uitspraak over het vergelijkbare PNR-verdrag tussen de EU en Canada. Het Hof verklaarde dit verdrag ongeldig wegens strijd met het recht op privacy. Het Hof stelde hierbij onder meer dat “gegevens van een luchtreiziger na diens vertrek slechts mogen worden bewaard indien op grond van objectieve criteria kan worden aangenomen dat deze luchtreiziger een risico kan vormen in het kader van de strijd tegen terrorisme en ernstige grensoverschrijdende criminaliteit.” (Zie Advies 1/15 (26 juli 2017), par. 207.) Door deze uitspraak staat sindsdien de Europese PNR-richtlijn juridisch op losse schroeven. De Nederlandse regering heeft daarom terechte “zorgen over de toekomstbestendigheid van de PNR-richtlijn” (zie Nota naar aanleiding van verslag, p. 23). Privacy First verwacht dat de huidige PNR-richtlijn binnenkort ter toetsing aan het Europees Hof van Justitie zal worden voorgelegd en onrechtmatig zal worden verklaard. Daarna zal dezelfde situatie ontstaan als enkele jaren geleden bij de Europese telecom-bewaarplicht: zodra deze Europese richtlijn ongeldig is verklaard, zal de Nederlandse implementatiewetgeving in kort geding buiten werking worden gesteld.

Massa surveillance

Het huidige Nederlandse PNR-wetsvoorstel lijkt bij voorbaat onrechtmatig wegens gebrek aan aantoonbare noodzaak, proportionaliteit en subsidiariteit. Het wetsvoorstel komt neer op massa-surveillance van grotendeels onschuldige burgers; reeds in de Tele2-zaak (2016) verklaarde het Europees Hof dit type wetgeving illegaal. Bij de VN Mensenrechtenraad deed Nederland vervolgens de algemene toezegging “to ensure that the collection and maintenance of data for criminal [investigation] purposes does not entail massive surveillance of innocent persons.” Nederland lijkt die belofte nu te verbreken. Bij iedere passagier worden immers talloze volstrekt overbodige data opgeslagen die jarenlang door allerlei Nederlandse, Europese en zelfs niet-Europese overheidsinstanties kunnen worden gebruikt. Bovendien is de effectiviteit van PNR tot op heden nooit aangetoond, aldus ook de minister zelf: “statistische onderbouwing is niet voorhanden” (zie Nota naar aanleiding van verslag, p. 8). Het risico op onterechte verdenkingen en discriminatie (door feilbare algoritmes bij profiling) is bij het voorgestelde PNR-systeem levensgroot, wat tevens de kans op vertragingen en gemiste vluchten bij onschuldige passagiers verhoogt. Tegelijkertijd zullen gezochte personen vaak onder de radar blijven en alternatieve reisroutes kiezen. Verder wordt in het wetsvoorstel met geen woord gerept over de rol en mogelijkheden van geheime diensten, terwijl die onder de nieuwe Wet op de inlichtingen- en veiligheidsdiensten directe, afgeschermde toegang tot de centrale PNR-databank zullen krijgen. Meest kwalijke aspect aan het Nederlandse PNR-wetsvoorstel is echter dat dit twee stappen verder gaat dan de PNR-richtlijn zelf: Nederland kiest er immers zélf voor om ook de data van passagiers op alle intra-EU vluchten op te slaan. Onder de PNR-richtlijn is dit niet verplicht, en had Nederland dit bovendien kunnen beperken tot louter vooraf geselecteerde (risico)vluchten. Dit zou in lijn geweest zijn met het advies van de meeste experts op dit terrein: targeted i.p.v. mass surveillance, zo gericht mogelijk, oftewel louter gericht op die personen waarop een redelijke verdenking rust, conform de principes van onze democratische rechtsstaat.

Advies Privacy First

Privacy First adviseert u hierbij met klem om het huidige wetsvoorstel te verwerpen en dit desgewenst te vervangen door een privacyvriendelijke versie. Mocht dit ertoe leiden dat Nederland door de Europese Commissie voor het EU Hof van Justitie zal worden gedaagd wegens gebrek aan implementatie van de huidige Europese PNR-richtlijn, dan verwacht Privacy First dat Nederland deze zaak glansrijk zal winnen. Van EU-lidstaten mag immers niet worden verwacht dat zij privacyschendende EU-regels implementeren. Dit geldt eveneens voor de nationale implementatie van relevante resoluties van de VN Veiligheidsraad (in casu UNSC Res. 2396 (2017)) die op gespannen voet staan met internationale mensenrechten. Privacy First heeft in dit verband reeds gewaarschuwd voor misbruik van het Nederlandse (ook voor PNR gebruikte) TRIP-systeem door andere VN-lidstaten. Nederland heeft hierin een eigen grondwettelijke en internationaalrechtelijke verantwoordelijkheid.

Voor nadere informatie of vragen met betrekking tot bovenstaande is Privacy First te allen tijde bereikbaar op telefoonnummer 020-8100279 of per email: Dit e-mailadres wordt beveiligd tegen spambots. JavaScript dient ingeschakeld te zijn om het te bekijken..

Hoogachtend,

Stichting Privacy First


Update 19 maart 2019: vandaag heeft de Tweede Kamer het wetsvoorstel helaas vrijwel ongewijzigd aangenomen; slechts GroenLinks, SP, PvdD en Denk stemden tegen. Een principiële motie van GroenLinks en SP om een rechtszaak van de Europese Commissie tegen de Nederlandse regering over de Europese PNR-richtlijn uit te lokken werd helaas verworpen. Enig lichtpuntje is de breed aangenomen motie ter juridische herbeoordeling en mogelijke herziening van de PNR-richtlijn op Europees politiek niveau. (Slechts PVV en FvD stemden tegen deze motie.) Volgende halte: Eerste Kamer.

Update 4 juni 2019: ondanks recente herhaling van bovenstaande brief en overige kritische input van Privacy First heeft de Eerste Kamer het wetsvoorstel vandaag helaas aangenomen. Slechts GroenLinks, Partij voor de Dieren en SP stemden tegen. Dit ook ondanks de onlangs in Duitsland (bij het vergelijkbare Duitse PNR-systeem) gebleken enorme foutenpercentages (“false positives”) van maar liefst 99,7%, zie https://www.sueddeutsche.de/digital/fluggastdaten-bka-falschtreffer-1.4419760. In Duitsland en Oostenrijk zijn inmiddels grootschalige rechtszaken gestart om de Europese PNR-richtlijn door het Europees Hof van Justitie onrechtmatig te laten verklaren wegens strijd met het recht op privacy, zie de Duits-Engelse campagnewebsite https://nopnr.eu en https://www.nrc.nl/nieuws/2019/05/15/burgers-in-verzet-tegen-opslaan-passagiersgegevens-a3960431. Zodra het Europees Hof de PNR-richtlijn in deze zaken onrechtmatig verklaart, zal Privacy First de Nederlandse PNR-wet in kort geding buiten werking laten stellen. Tevens heeft Privacy First gisteren Nederlandse PNR-wet geagendeerd bij het VN Mensenrechtencomité in Genève. Op 1-2 juli as. zal de algehele Nederlandse mensenrechtensituatie (inclusief Nederlandse schendingen van het recht op privacy) door dit Comité kritisch onder de loep genomen worden.

Gepubliceerd in Wetgeving
Pagina 1 van 15

Onze Partners

logo Voys Privacyfirst
logo greenhost
logo platfrm
logo AKBA
logo boekx
logo brandeis
 
banner ned 1024px1
logo demomedia
 
 
 
 
 
Pro Bono Connect logo 100
Control Privacy
Procis

Volg ons via Twitter

twitter icon

Volg onze RSS-feed

rss icon

Volg ons op LinkedIn

linked in icon

Volg ons op Facebook

facebook icon