donatieknop english

Met grote zorg heeft Privacy First gisteren kennisgenomen van het voornemen van de Nederlandse overheid om speciale apps te gaan inzetten ter bestrijding van de Corona-crisis. Privacy First ziet het gebruik van dergelijke apps als een gevaarlijke ontwikkeling, aangezien dit kan leiden tot talloze onterechte verdenkingen, stigmatisering, onnodige onrust en paniek. Zelfs “geanonimiseerd” kunnen de gegevens uit dergelijke apps via koppeling alsnog tot individuele personen herleid worden. Bij grootschalig gebruik leidt dit tot een surveillance maatschappij waarin iedereen geobserveerd en geregistreerd wordt en men zich voortdurend gemonitord waant, met een maatschappelijk chilling effect tot gevolg. Groot risico is dat de verzamelde data voor meerdere doelen worden gebruikt en misbruikt door bedrijven en overheden. In handen van criminele organisaties vormen deze data bovendien een goudmijn voor criminele activiteiten. Voor Privacy First wegen deze risico’s van “Corona apps” niet op tegen de veronderstelde voordelen.

Het recht op anonimiteit in de openbare ruimte is een klassiek grondrecht en cruciaal voor het functioneren van onze democratische rechtsstaat. Een democratisch besluit tot opheffing hiervan is onacceptabel. Mocht alsnog besloten worden tot grootschalige inzet van “Corona apps”, dan dient dit dus strikt anoniem en op zuiver vrijwillige basis te gebeuren. Met individuele toestemming vooraf zonder enige vorm van druk, volledig geïnformeerd en voor een legitiem, specifiek doel. Privacy by design (het inbouwen van privacybescherming in de techniek) dient daarbij leidend te zijn. Voor Privacy First zijn dit harde juridische voorwaarden die niet onderhandelbaar zijn. Mocht hier niet aan voldaan worden, dan zal Privacy First dit bij de rechter aanvechten.

Gepubliceerd in Wetgeving

Autoriteit Persoonsgegevens weigert te onderzoeken of te handhaven

Op 6 maart jl. heeft OV-reiziger Michiel Jonker hoger beroep ingediend bij de Raad van State inzake de afwijzing van twee handhavingsverzoeken door de Autoriteit Persoonsgegevens (AP). In juli 2018 verzocht Jonker in twee handhavingsverzoeken de AP om onderzoek en handhaving inzake:

  1. Het weigeren van de terugbetaling van resterend saldo op anonieme OV-chipkaarten als de houder zijn NAW-gegevens niet aan Nederlandse Spoorwegen (NS) verstrekt;
  2. Het weigeren van internationale treintickets door NS-medewerkers aan stationsbalies als kopers hun NAW-gegevens niet aan NS verstrekken;
  3. Het in rekening brengen, sinds 2 juli 2018, van extra “servicekosten” als houders van anonieme OV-chipkaarten contant betalen voor het opwaarderen van het saldo op deze kaarten.
  4. De weigering door vervoerbedrijf Connexxion van privacyvriendelijke, contante betaling voor eenmalige buskaartjes in de bus.

De AP weigerde deze inbreuken op de privacy serieus te onderzoeken, omdat volgens de AP een "globaal (bureau)onderzoek" reeds uitwees dat er geen sprake was van enige overtreding. Jonker bestrijdt dat, omdat er ofwel zonder aangetoonde noodzaak persoonsgegevens worden verwerkt (1, 2, 4), ofwel zonder aangetoonde noodzaak reizigers die hun privacy willen behouden, worden gediscrimineerd ten opzichte van reizigers die hun persoonsgegevens afstaan (3).

Met betrekking tot de verkoop van internationale treintickets (2) heeft Jonker in februari 2020 geconstateerd dat NS ter zitting van de rechtbank (op 16 december 2019) heeft gezwegen over het feit dat er bij veel internationale tickets die NS aan klanten verkoopt, sinds november 2019 wel degelijk van klanten geëist wordt dat zij hun naam en soms ook hun geboortedatum door NS laten verwerken in een digitaal systeem. Het eerdere "ATB-systeem" waarmee voorheen anoniem tickets konden worden verstrekt is toen uitgeschakeld, en nu moeten klanten verplicht met het zogeheten "Atlantis"-systeem een "Homeprint" aanschaffen.

Jonker: "NS vindt van zichzelf dat NS daar niet verantwoordelijk voor is, omdat dit in opdracht zou gebeuren van buitenlandse vervoerbedrijven. Maar NS is als verwerker wel mede-verantwoordelijk en moet zich aan de AVG houden. De AP heeft zichzelf eerst ten onrechte onbevoegd verklaard op dit punt. Toen ik dat had ontzenuwd, vond de AP opeens dat mijn handhavingsverzoek hier niet over ging. En de rechtbank zei vervolgens dat mijn handhavingsverzoek "te onbepaald" was, hoewel ik aan de AP specifiek materiaal had aangeleverd waaruit bleek dat het anonieme systeem zou worden uitgeschakeld. Ze draaien zich in duizend bochten om redenen te vinden om mijn handhavingsverzoek af te wijzen."

Om het risico te verminderen dat het ATB-systeem niet technisch ontmanteld wordt voordat de AP alsnog onderzoek heeft gedaan, heeft Jonker bij de Raad van State tevens een verzoek om voorlopige voorziening ingediend (een soort kort geding). Hij wil dat de rechter de AP opdraagt om de privacyvriendelijke infrastructuur van het ATB-systeem te beschermen zolang er nog geen onderzoek is gedaan. Het verzoek zal vooralsnog op 30 april 2020 door de Raad van State worden behandeld.

Bij Connexxion is volgens Jonker ten eerste niet aangetoond dat de "sociale veiligheid" op buslijnen in zijn regio gevaar loopt, en ten tweede is er volgens hem ook niet aangetoond dat het weigeren van contante betaling, als één maatregel in een pakket van 23 maatregelen, op die lijnen effect heeft op de veiligheid. Jonker: "Ze roepen het woord 'veiligheid' en vinden dat ze dan voor alle buslijnen in heel Nederland iets hebben aangetoond. Maar dan kan ik net zo goed gaan roepen dat alle CV-ketels gevaarlijk zijn en daarom moeten worden afgeschaft. Deze quasi-paranoia van een club van overheden en vervoerbedrijven die al onze persoonlijke OV-data in handen wil krijgen, wordt door de AP en de Rechtbank Gelderland klakkeloos geaccepteerd. Dat is in strijd met artikel 5 AVG, waarin staat dat er een noodzaak en een welbepaald doel moeten worden aangetoond."

Het volledige hoger-beroepschrift van Jonker staat HIER online (getiteld "Lof der individualiteit - privacy, connectiviteit en autoritair denken", 191 pp).

Jonker wordt in beide zaken gesteund door Privacy First en Maatschappij Voor Beter OV (www.voorbeterov.nl).

(door omstandigheden is dit bericht met vertraging gepubliceerd)

Gepubliceerd in Mobiliteit

Michiel Jonker: "Contante betaling waarborgt de privacy van bioscoopbezoekers."

De Arnhemse privacy-activist Michiel Jonker heeft bij de Rechtbank Gelderland beroep ingediend tegen de weigering van de Autoriteit Persoonsgegevens (AP) om handhavend op te treden tegen de weigering van arthouse-bioscoop Focus Filmtheater in Arnhem om contante betaling te accepteren. De bioscoop eist sinds de verhuizing naar een pand dat miljoenen heeft gekost, pinbetaling bij aankoop van filmkaartjes aan de kassa. Daarmee dwingt de bioscoop bezoekers tot het laten verwerken van hun persoonsgegevens.

Jonker is het daar niet mee eens en heeft om die reden in augustus 2018 een handhavingsverzoek bij de AP ingediend. De AP heeft dat verzoek in november 2019 afgewezen omdat volgens de AP niemand verplicht is om contant geld als wettig betaalmiddel te accepteren. Ook stelt de AP dat de bioscoop middels haar algemene voorwaarden een "contract" met de bioscoopbezoekers tot stand brengt, waaruit een noodzaak zou voortvloeien om persoonsgegevens van de bioscoopbezoekers te verwerken.

Volgens Jonker is er in geval van toonbankbetalingen in een aantal gevallen echter wel degelijk een plicht om contant geld te accepteren. Hij beroept zich daarbij op informatie van een expert van de Nederlandsche Bank. "Focus Filmtheater is een arthouse-bioscoop die films vertoont over gevoelige onderwerpen, en wordt nota bene voor een deel met gemeenschapsgeld gefinancierd," zegt Jonker. "Het gaat hier om de maatschappelijke participatie van mensen. Het moet niet mogelijk zijn dat achteraf door middel van profilering wordt achterhaald voor welke films iemand in de loop der tijd belangstelling heeft getoond. Als deze bioscoop privacyvriendelijke contante betaling mag weigeren, dan is dat het signaal dat iedereen afhankelijk mag worden gemaakt van niet-anonieme methoden om betalingen te doen - via pin of via internet. Dan moet je gaan nadenken wat andere mensen, autoriteiten of geautomatiseerde systemen voor conclusies kunnen trekken over jouw keuze om wel of niet bepaalde films te zien. Dat geeft aan deze zaak een grote lading."

In de documenten die Jonker in de bezwaarprocedure heeft opgevraagd, heeft hij ook aanwijzingen aangetroffen dat er onvoldoende waarborgen zijn met betrekking tot de persoonsgegevens die via de website van de bioscoop worden verzameld. "Als je een bioscoopkaartje koopt, kunnen je gegevens worden verwerkt door op zijn minst zeven bedrijven in vijf landen. Eén van die bedrijven is Google, en de kleine lettertjes in de algemene voorwaarden van Google geven dat bedrijf zeer veel vrijheid om de verzamelde gegevens met derden te delen in zo'n beetje alle landen ter wereld. Het is niet duidelijk of er tijdige en adequate anonimisering plaatsvindt. Zoals het er nu staat, is het een vrijbrief voor privacy-aantasting."

Voor de volledige tekst van Jonkers beroepschrift, klik HIER (pdf, 94 pp).

Privacy First steunt Jonker in deze zaak.

Media:
Security.nl, 7 januari 2020: Rechtszaak over Arnhemse bioscoop die contant geld weigert
Privacyweb, 7 januari 2020: Rechtszaak tegen weigering van contant geld door bioscoop
Sargasso.nl, 8 januari 2020: Rechtszaak tegen weigering contant geld door bioscoop
FOK Nieuws, 8 januari 2020: Rechtszaak tegen weigering van contant geld door bioscoop
AVROTROS Radar, 8 januari 2020: Niet contant kunnen betalen: inbreuk op je privacy? (inclusief opiniepoll)
Potkaars.nl, 8 januari 2020: Michiel Jonker - War on Cash in de Bioscoop (video-interview en podcast) 
Café Weltschmerz, 8 januari 2020: Profileren op basis van bioscoopbezoek – Rico Brouwer en Michiel Jonker (video-interview)
Emerce, 10 januari 2020: Rechtszaak tegen weigering van contant geld door bioscoop
De Gelderlander, 16 januari 2020: Privacystrijder blijft vechten voor betalen met contant geld bij filmhuis in Arnhem
FOK Nieuws, 17 januari 2020: Q&A met privacy-activist Michiel Jonker.
Tweakers, 6 februari 2020: Interview met Michiel Jonker - privacyactivist uit idealisme en irritatie.

Gepubliceerd in Financiële privacy & PSD2

Privacy First nodigt u graag uit voor haar Nieuwjaarsborrel! Deze zal plaatsvinden op woensdagavond 8 januari as. in het Volkshotel in Amsterdam. De avond zal grotendeels in het teken staan van het thema Blockchain en financiële privacy. Welke actuele ontwikkelingen vinden er op dit vlak plaats? Hoe verhouden die ontwikkelingen zich tot het recht op privacy? Hoe kan blockchain zo worden ontworpen en gereguleerd dat publieke waarden als privacy, transparantie en vertrouwen erdoor worden versterkt? En welke rol zou Privacy First hierbij kunnen spelen? Na de Nieuwjaarsspeech door Privacy First voorzitter Bas Filippini zullen juridisch expert Jurgen Goossens (Universiteit Tilburg), financieel expert Simon Lelieveldt en Martijn van der Veen (Privacy First) hun licht over deze kwesties laten schijnen. Hierna is er ruimte voor discussie onderling en met het publiek, gevolgd door een borrel waar wij samen kunnen proosten op een privacyvriendelijk 2020!

Iedereen is welkom, toegang is gratis. Donaties aan Privacy First worden echter zeer op prijs gesteld. Aanmelden kan via Dit e-mailadres wordt beveiligd tegen spambots. JavaScript dient ingeschakeld te zijn om het te bekijken., maar is niet verplicht.

Datum: woensdag 8 januari 2020, 19.30-22.00u (inloop vanaf 19.00u).
Locatie: Volkshotel, Wibautstraat 150 te Amsterdam (Doka cocktailbar). Een routebeschrijving vindt u op https://www.volkshotel.nl/nl/directions/.

Klik HIER voor de uitnodiging zoals Privacy First die onlangs aan haar netwerk verzond (pdf). Wilt u voortaan directe uitnodigingen voor onze evenementen ontvangen? Mail ons! Dan voegen wij u toe aan onze mailinglist.

uitnodiging PrivacyFirst 8jan2020

Gepubliceerd in Financiële privacy & PSD2

Rechtbank behandelt beroep van OV-reiziger inzake vier structurele privacy-inbreuken. Autoriteit Persoonsgegevens weigert deze inbreuken te onderzoeken of te handhaven.

Op 16 december 2019 zal de Rechtbank Gelderland in twee direct op elkaar volgende rechtszittingen de beroepen van Michiel Jonker behandelen tegen de afwijzing van twee handhavingsverzoeken door de Autoriteit Persoonsgegevens (AP). In juli 2018 verzocht Jonker in twee handhavingsverzoeken de AP om onderzoek en handhaving inzake:

  1. De weigering door vervoerbedrijf Connexxion van privacyvriendelijke, contante betaling voor eenmalige buskaartjes in de bus.
  2. Het weigeren van de terugbetaling van resterend saldo op anonieme OV-chipkaarten als de houder zijn NAW-gegevens niet aan Nederlandse Spoorwegen (NS) verstrekt.
  3. Het weigeren van internationale treintickets door NS-medewerkers aan stationsbalies als kopers hun NAW-gegevens niet aan NS verstrekken.
  4. Het in rekening brengen, sinds 2 juli 2018, van extra “servicekosten” als houders van anonieme OV-chipkaarten contant betalen voor het opwaarderen van het saldo op deze kaarten.

De AP weigerde deze inbreuken op de privacy serieus te onderzoeken, omdat volgens de AP een "globaal (bureau)onderzoek" reeds zou hebben uitgewezen dat er geen sprake was van enige overtreding. Volgens de AP is de verwerking van persoonsgegevens in sommige gevallen niet aangetoond en zou daar dus geen sprake van zijn (2, 3, 4). Met betrekking tot de verkoop van internationale tickets van buitenlandse vervoerbedrijven door NS verklaarde de AP zichzelf eerst ten onrechte onbevoegd, maar beweert nu, nadat Jonker daartegen bezwaar maakte, dat Jonker op dit punt niet om handhaving zou hebben verzocht. Met betrekking tot de weigering van contante betaling in de bus (1) vindt de AP dat de inbreuk op de privacy acceptabel is. Ook wekt de AP, in navolging van Connexxion, de schijn dat er allerlei andere privacyvriendelijke betaalmogelijkheden voorhanden zijn, terwijl er in Jonkers woonplaats Arnhem slechts één plek is waar dat kan, maar dan wel tegen betaling van een extra toeslag. Jonker vindt dat er op die manier sprake is van privacy-discriminatie: het nadelig behandelen van mensen die met privacy willen blijven reizen.

Jonker: "Het gaat in deze zaken om drie dingen. Ten eerste dat mensen met behoud van privacy van het openbaar vervoer gebruik kunnen maken, niet alleen in een vergezochte theorie, maar ook gewoon in de dagelijkse praktijk. Het gaat er dan om dat er voldoende verkooppunten zijn waar je contant kunt betalen voor alle soorten vervoerbewijzen, en zonder dat je een extra toeslag hoeft te betalen ten opzichte van reizigers die er noodgedwongen in berusten dat hun persoonsgegevens zonder hun instemming worden verwerkt. En dat vervoerbedrijven ook geen reizigers misleiden, of stiekem hun gegevens verzamelen.

Ten tweede gaat het erom dat vervoerbedrijven niet met willekeur persoonsgegevens mogen verzamelen, als ze maar met wat algemene kreten zwaaien, bijvoorbeeld "veiligheid" of "fraudepreventie", zonder duidelijk te maken om welk specifiek, concreet probleem het nu eigenlijk gaat.

Ten derde gaat het erom dat de AP als toezichthouder en handhaver niet zomaar mag weigeren om iets te onderzoeken. Nu trekt de AP uit haar eigen weigering om het te onderzoeken, de conclusie dat er dus niks aan de hand is. Dat is alsof een politie-agent na de melding van een inbraak weigert het betreffende huis binnen te stappen, maar in plaats daarvan zegt: ik ga daar niet naar binnen, dus ik zie geen inbraak, dus er is geen inbraak, dus ik hoef daar niet naar binnen te gaan. Daar is een heel simpel woord voor: wegkijken. Veel Nederlandse toezichthouders, waaronder de AP, hebben nogal de neiging weg te kijken en op die manier aan struisvogelpolitiek te doen. Maar we betalen die toezichthouders wel van ons belastinggeld. Dat doen we niet om ze te laten wegkijken."

Gevraagd of hij bijvoorbeeld "veiligheid" dan geen serieus thema vindt, antwoordt Jonker: "Natuurlijk vind ik dat een serieus thema. Juist daarom verdient het een serieuze behandeling. Maar dat is iets heel anders dan het thema veiligheid misbruiken om precies te gaan bijhouden welke routes miljoenen onschuldige reizigers op welke momenten afleggen. Ik ben voor een serieuze analyse van concrete veiligheidsproblemen, gevolgd door maatwerk om die specifieke problemen ook echt tegen te gaan. Connexxion heeft niet aannemelijk gemaakt dat contante betaling de veiligheid op zelfs maar één buslijn in de regio serieus in gevaar zou brengen. Ik woon al meer dan twintig jaar in Arnhem. Ik ging met lijn 3 naar de dierentuin, op een mooie, zonnige ochtend. Nooit geweten dat dat onveilig was... Het moet proportioneel blijven. Maar proportionaliteit kan heel subjectief worden opgevat. Dan mag je als vervoerbedrijf alles van reizigers eisen. Dat is op dit moment de basishouding van de AP. Als vervoerbedrijven iets willen, vindt de AP het dus nodig, en wil daarom niet handhaven of serieus onderzoeken."

Gevraagd naar zijn verwachtingen over de rechtszaken, antwoordt Jonker: "Sinds de uitspraken van de Rechtbank Gelderland in twee andere beroepsprocedures, op 5 september van dit jaar, ben ik zeer sceptisch over de kwaliteit van de rechtspraak van deze instantie. Tegen die uitspraken ben ik in hoger beroep gegaan bij de Raad van State. Ik heb de rechtbank verzocht om met de behandeling van deze nieuwe zaken te wachten tot de Raad van State uitspraak heeft gedaan, om een zinloze herhaling van zetten te voorkomen. Ook zijn er inmiddels prejudiciële vragen gesteld aan het Hof van Justitie van de Europese Unie over reisgegevens van OV-gebruikers. Dat wil ik ook graag afwachten, om alle partijen tijd en geld te besparen. Maar de rechtbank heeft dat verzoek helaas meteen afgewezen."

De rechtszittingen vinden plaats op 16 december 2019 om 10:30 uur in de Rechtbank Gelderland, Walburgstraat 2-4 te Arnhem. Klik HIER voor het beroepschrift van Jonker in de zaak over de weigering van contante betaling in de bus door vervoerbedrijf Connexxion (pdf).

Jonker wordt in beide zaken gesteund door Stichting Privacy First en Maatschappij Voor Beter OV.

Update 17 december 2019: de twee rechtszaken werden op 16 december jl. behandeld door een meervoudige kamer van de rechtbank. Een vertegenwoordiger van Privacy First was als toehoorder aanwezig. Jonker had een enkele pleitnota voor beide zittingen gemaakt, maar de rechter stond hem niet toe die voor te lezen. Desgevraagd verwees de voorzittende rechter naar het "te ruste leggen" van de zogeheten "Nieuwe zaaksbehandeling" per 13 februari 2018, en gaf aan dat de rechtbank inmiddels werkt aan de hand van de zogeheten "professionele standaard", waarin niet meer is voorzien in de mogelijkheid voor partijen om een schriftelijk voorbereid pleidooi te houden. Jonker: "Natuurlijk moest ik daar ter zitting in berusten, immers de rechter bepaalt wat er ter zitting mag worden ingebracht. Maar het is een teken aan de wand hoe het er met onze rechtspraak voorstaat. Mijns inziens is het weigeren van pleidooien in strijd met artikel 6 van het EVRM (recht op een eerlijk proces), omdat in zo'n pleidooi de omstandigheden van het concrete geval en de ethische implicaties daarvan rechtstreeks kunnen worden verduidelijkt en bespreekbaar gemaakt. Achteraf heb ik op internet proberen na te gaan wat daarover te vinden is. In een publicatie van het Ministerie van Binnenlandse Zaken uit 2015 ("De praktijk van de Nieuwe zaaksbehandeling in het bestuursrecht") bleek dat sommige rechters mijn mening op dit punt delen." Voor de pleitnota van Jonker, klik HIER (pdf).

Tijdens beide zittingen werd eerst Jonkers verzoek behandeld om de zaken aan te houden in afwachting van uitspraken van het Hof van Justitie van de EU (HvJ EU) en de Afdeling bestuursrechtspraak van de Raad van State (ABRvS) over met name de eisen die moeten worden gesteld aan het aantonen van een noodzaak voor de verwerking van persoonsgegevens in het openbaar vervoer. De AP, NS en Connexxion zagen geen aanleiding om de zaken aan te houden. De rechtbank gaat het overwegen en zal partijen t.z.t. op de hoogte stellen van zijn standpunt.

In de eerste zitting kwam naast de vraag of er een noodzaak voor de privacy-inbreuken is aangetoond, ook de vraag aan de orde naar de precieze omvang van de verantwoordelijkheid van verwerkingsverantwoordelijken zoals NS. Is NS verantwoordelijk voor het gedrag van haar eigen baliemedewerkers, als die zonder noodzaak NAW-gegevens opeisen bij de aankoop van internationale treintickets? Jonker betoogde van wel, en op dit punt leek de AP het met hem eens te zijn. Daarnaast betoogde Jonker dat de verantwoordelijkheid voor gegevensverwerking niet mag worden zoekgemaakt tussen (binnenlandse of buitenlandse) "verwerkingsverantwoordelijken" en "verwerkers".

Voor het eerst deed NS zelf een uitspraak over het doel waarmee NS legitimatie eist wanneer iemand het restsaldo op een anonieme OV-chipkaart terugvraagt. Volgens NS is dat om een "drempelverhogend effect" te creëren om personen af te schrikken die een gestolen anonieme OV-chipkaart proberen in te leveren. Jonker wees erop dat, als dit klopt, er sprake is van een illegale handeling van NS, omdat het eisen van legitimatie om mensen af te schrikken, niet rechtmatig is en NS daartoe ook niet bevoegd is. Ook wees Jonker erop dat in geval van het teruggeven van saldo van meer dan dertig euro, er in opdracht van NS wel degelijk persoonsgegevens worden verwerkt, namelijk door Translink Systems (TLS).

Met betrekking tot het in rekening brengen van zogeheten "servicekosten" bij het contant betalen voor het opladen van anonieme OV-chipkaarten met bankbiljetten aan de balie, zonder dat er gelijkwaardige, privacyvriendelijke alternatieven zijn, werden er geen nieuwe argumenten ingebracht.

In de tweede rechtszitting ging het onder andere over de vraag of de noodzakelijkheid voor het verwerken van persoonsgegevens ten behoeve van de uitvoering van een contract (art. 6 lid 1 onder b AVG) afgeleid kan worden uit willekeurige, algemeen geformuleerde doelen die een verwerkingsverantwoordelijke (Connexxion) heeft vastgesteld, of dat er ook sprake moet zijn van een objectiveerbare, materiële noodzaak. Jonker betoogde dat uit de aangeleverde documentatie geen noodzaak viel af te leiden voor het weigeren van contant geld in de regio Arnhem-Nijmegen. Connexxion betoogde dat het niet nodig was om zo'n noodzaak voor deze regio aan te tonen, en zelfs niet eens om een "risicoprofiel per regio of per buslijn" op te stellen. Ook zag Connexxion voor zichzelf geen plicht of verantwoordelijkheid om te zorgen voor alternatieve, toegankelijke manieren voor privacyvriendelijk betalen. Dit omdat de verkooppunten volgens Connexxion niet door haarzelf worden bepaald, maar door de Stadsregio Arnhem-Nijmegen. Jonker betoogde dat een verwerkingsverantwoordelijke bij het treffen van maatregelen die een inbreuk vormen op de privacy, zelf verantwoordelijk blijft voor het zorgen voor een alternatief (subsidiariteitsbeginsel).

Ten slotte wees Connexxion erop dat Jonker niet verplicht is om het OV te gebruiken. Jonker reageerde dat het OV geen "winkel met prullaria" is, maar een essentiële publieke nutsfunctie waarvan hij en talloze andere mensen afhankelijk zijn om maatschappelijk te kunnen participeren.

Voorafgaand aan de zitting had Connexxion schriftelijk verzocht om Jonker te veroordelen tot het vergoeden van haar proceskosten vanwege "kennelijk onredelijk gebruik van het procesrecht". Na een vraag hierover van één van de rechters trok Connexxion dat verzoek aan het eind van de zitting in.

Gevraagd naar zijn indruk over de zittingen, zei Jonker: "Als je kijkt naar de letter van de wet en de bedoeling van de wetgever, sta ik sterk. Maar ik weet inmiddels uit ervaring dat dat niet alles zegt over de uitkomst van rechtszaken. Het zal er mede van afhangen of de rechters bereid zijn om niet alleen te kijken naar theoretische, algemene, niet-onderbouwde verhalen van NS en Connexxion, maar ook naar hoe het in de feitelijke praktijk functioneert, en naar de manier waarop de verschillende inbreuken op de privacy elkaar versterken. Cumulatief ontstaan er daardoor grote effecten waardoor er van de privacy weinig overblijft."

Update 6 februari 2020: de rechtbank Gelderland heeft op 4 februari jl. uitspraak gedaan in beide zaken, en deze op 5 februari gepubliceerd. De rechtbank verklaarde beide beroepen ongegrond, waarbij de rechtbank de argumentaties van de AP volgde.

Jonker: "Wat ik al vermoedde, is opnieuw gebeurd: de rechtbank heeft de argumentatie van de AP overgenomen en herhaalt die nog eens, maar gaat niet in op argumenten die ik daartegenin heb gebracht. Daar zwijgt de rechtbank over, of hij verwerpt ze zonder inhoudelijk te onderbouwen waarom.

Gevraagd naar een voorbeeld, antwoordt Jonker: "Als het bijvoorbeeld gaat om de weigering van contante betaling in de bus, dan verwijst de rechtbank, net als de AP, naar een door een conglomeraat van overheden en vervoerbedrijven gezamenlijk opgesteld "Actieprogramma Sociale Veiligheid in het OV", maar negeert wat ik over de inhoud van dat plan heb gezegd. Ik heb aangevoerd dat uit dat de tekst van dat plan geen noodzaak blijkt voor de weigering van contante betaling in de bus. De rechtbank stelt: er is een plan, daarin wordt een doel genoemd, en dus is de verwerking van persoonsgegevens nodig. Dat is geen rechtspraak, maar het napraten van een bestuursorgaan. De rechtbank stelt zich op deze manier niet op als een onafhankelijke uitlegger van de wet, maar als een verlengstuk van een conglomeraat van polder-organisaties, en als advocaat van de bestuurlijke consensus die binnen dat conglomeraat is gevormd. Die consensus is kennelijk dat reële privacy, zoals die tot 2014 in het OV bestond, mag en moet worden afgeschaft. Als de bestuursrechtspraak zo functioneert, kun je de scheiding der machten net zo goed opheffen. En dan kan ik beter mijn wetskennis aan de wilgen hangen en me omscholen door middel van een cursus 'Hoe kom ik in het gevlei bij machthebbers'. We zien hier dat de afbraak van de rechtsstaat zich in het hoofd van de rechters al voltrokken heeft, zonder dat zij dat zelf willen beseffen."

Gevraagd naar zijn volgende stappen, geeft Jonker aan in hoger beroep te zullen gaan bij de Raad van State. "Ik had verzocht om beide zaken aan te houden in afwachting van een uitspraak van de Raad van State in de zaak over privacy in het OV waarover de rechtbank op 5 september vorig jaar uitspraak deed, omdat die op enkele cruciale punten overlapt met de huidige zaak. De rechtbank heeft dat verzoek afgewezen omdat de zaken niet op alle punten met elkaar overeenkomen. Maar dat was ook niet mijn betoog. Het gaat immers om verschillende zaken. Ik had betoogd dat de uitkomst van de huidige zaken voorspelbaar is als de Raad van State mijn hoger beroep ongegrond zou verklaren, en dat het dus zin had om af te wachten of dat gebeurt. Maar nu ben ik dus genoodzaakt om voorafgaand daaraan weer twee separate procedures bij de Raad van State aan te spannen, en daarvoor griffierechten te betalen. Op deze manier werpt de rechtbank voor de burger een zo groot mogelijke hindernis op om tot zijn recht te komen. Deze mentaliteit is een zorgwekkende ontwikkeling met het oog op het behoud van de rechtsstaat. Het enige wat ik nu kan doen, is hopen dat de Afdeling bestuursrechtspraak van de Raad van State anders met de materie omgaat, en dat ondertussen de publieke opinie in toenemende mate wakker wordt over wat hier aan het gebeuren is. Niet alleen met onze privacy, maar ook met onze rechtsstaat."

Zie voor de volledige uitspraken van de rechtbank op rechtspraak.nl ECLI:NL:RBGEL:2020:619 en ECLI:NL:RBGEL:2020:622.

Media:
Omroep Gelderland, 5 februari 2020: Arnhemse privacystrijder krijgt van rechter ongelijk over anoniem reizen
De Gelderlander, 5 februari 2020: Arnhemse privacyvechter Jonker vangt bot in zaak over anoniem reizen met het ov
Security.nl, 5 februari 2020: Arnhemmer verliest zaken over privacy in het openbaar vervoer
Tweakers, 6 februari 2020: Interview met Michiel Jonker - privacyactivist uit idealisme en irritatie.

Update 10 maart 2020: op 6 maart jl. heeft Jonker bij de Afdeling bestuursrechtspraak van de Raad van State hoger beroep ingediend tegen de beide uitspraken van de rechtbank. In zijn hoger beroep gaat Jonker ook in op fundamentele vragen met betrekking tot "connectiviteit" en "autoritair denken". Jonker: "Na de uitspraken van de rechtbank op 4 februari jongstleden, was het me duidelijk dat er sprake is van twee fundamentele problemen als het gaat om rechtspraak over privacy. Het eerste probleem is de trend om de digitalisering van alles kritiekloos te omarmen, in plaats van daarin bewuste keuzes te maken: wat wel, en wat (nog) niet? En zo ja, hoe kan privacy dan op een reële manier worden gewaarborgd? Dat wordt dan 'connectiviteit' genoemd. Helaas hollen niet alleen bedrijven en ministeries achter die trend aan, maar ook de toezichthouder en sommige rechters.

Het tweede probleem is de autoritaire manier van denken die daarmee gepaard gaat, maar waarvan de toezichthouder en sommige rechters zich onvoldoende bewust lijken te zijn. De mens wordt gereduceerd tot een instrument voor de verwezenlijking van digitale ambities, en wordt dan niet langer gezien als een individu met een vrije wil, verantwoordelijkheid en rechten. In combinatie met elkaar leiden deze twee trends tot een totalitaire inrichting van de maatschappij, als er niet tijdig grenzen aan worden gesteld. Ik hoop dat de Raad van State dat nu zal doen, met verwijzing naar artikel 8 van het Europees Verdrag voor de Rechten van de Mens. Dat beschermt het privéleven, wat meer is dan alleen persoonsgegevens."

Daarnaast heeft Jonker voor één van de vier onderdelen van zijn hoger beroep tevens een verzoek om voorlopige voorziening ingediend, waarin hij de Raad van State verzoekt om de AP te gelasten snel in te grijpen om het technisch buiten werking stellen van het zogeheten "ATB-systeem" voor de verkoop van internationale treintickets vooralsnog te stoppen, totdat de AP daar onderzoek naar heeft gedaan, in samenwerking met andere toezichthouders binnen de EU.

Jonker: "De AP en de rechtbank hebben feiten genegeerd die ik al op 31 januari 2019 onder de aandacht van de AP bracht, namelijk dat NS en andere railvervoerbedrijven aantoonbaar voornemens waren het ATB-systeem af te schaffen. Met dat systeem worden al tientallen jaren privacyvriendelijke, internationale treintickets verkocht. In februari 2020 bleek mij dat het ATB-systeem in november 2019 is afgeschaft. Als gevolg daarvan word ik nu verplicht om bij treinreizen naar Duitsland of Frankrijk mijn naam op te geven als ik een ticket koop, en die naam wordt dan verwerkt in een systeem. Als ik naar Frankrijk ga moet ik ook nog mijn geboortedatum opgeven. In de rechtszitting op 16 december 2019 heeft NS daar echter over gezwegen. Op die manier heeft NS niet alleen in samenwerking met andere vervoerbedrijven de privacy bij die tickets afgeschaft, maar ook heeft NS de rechtbank op dit punt willens en wetens misleid. Ik wil dat de Raad van State de AP verplicht om de afschaffing van het ATB-systeem nu alsnog te gaan onderzoeken, en om van de vervoerbedrijven te verlangen dat die het ATB-systeem als infrastructuur technisch in stand houden totdat het onderzoek is voltooid, zodat er geen onomkeerbare situatie ontstaat."

Voor het volledige hoger-beroepschrift van Jonker, getiteld "Lof der individualiteit - privacy, connectiviteit en autoritair denken", klik HIER (pdf, 191 pp).

Gepubliceerd in Mobiliteit

Deze week vond in de Tweede Kamer (Vaste commissie voor Infrastructuur en Waterstaat) een interessant 'rondetafelgesprek' plaats over de toegang tot data in het openbaar vervoer. Naarmate de hoeveelheid data (waaronder persoonsgegevens) in het openbaar vervoer toeneemt, is er sprake van een toenemende druk om deze data met diverse partijen te delen en voor allerlei doelen te gaan gebruiken. Dit staat op gespannen voet met het recht op privacy van de individuele reiziger. Privacy First maakt zich al jaren sterk voor het recht op privacy en anonimiteit in het openbare domein, waaronder het openbaar vervoer. Wij reageerden daarom direct positief op de uitnodiging van de Tweede Kamer om aan dit rondetafelgesprek deel te nemen. Aan alle deelnemers werd verzocht om vooraf hun voornaamste standpunten kenbaar te maken middels korte position papers (maximaal twee A4). Klik HIER voor de position paper van Privacy First (pdf) en HIER voor de position papers van de overige genodigden, waaronder CBS, Translink en reizigersvereniging Rover. De belangrijkste standpunten van Privacy First luiden als volgt:

1. Iedere reiziger heeft recht op anonimiteit in het openbaar vervoer.
2. Alleen geanonimiseerde, geaggregeerde data mogen - onder strikte waarborgen - gedeeld worden.
3. Geen massa-surveillance in het openbaar vervoer.
4. Transparantie bij privacy-inbreuken.
5. Privacy-waarborgen bij reizigersonderzoek.
6. Aantoonbaar gebruik van privacy by design.

Privacy First maakte van de gelegenheid gebruik door voor het rondetafelgesprek een OV-ervaringsdeskundige bij uitstek af te vaardigen: privacy-activist Michiel Jonker voerde namens ons het woord. Enig gevoel van urgentie ten aanzien van privacy bleek bij de aanwezige Kamerleden en overige genodigden echter grotendeels afwezig, aldus Jonker in zijn eerste reactie na afloop. Zijn algehele kritische impressie van het rondetafelgesprek zal Privacy First spoedig op deze pagina publiceren. Hieronder kunt u alvast de video van de volledige sessie terugkijken en uw eigen conclusies trekken.

Update 8 oktober 2019: lees HIER de gehele impressie en analyse die Michiel Jonker (op persoonlijke titel) schreef naar aanleiding van het rondetafelgesprek op 10 september jl. (pdf, 67 pp).

Gepubliceerd in Mobiliteit

Anonieme OV-chipkaart blijkt nooit anoniem te zijn geweest 

Op 20 augustus 2019 houdt de Rechtbank Gelderland zitting in twee rechtszaken die treinreiziger Michiel Jonker heeft aangespannen tegen de Autoriteit Persoonsgegevens (AP) inzake de anonieme OV‑chipkaart. Jonker deed in de periode 2014-2018 handhavingsverzoeken bij de AP vanwege schending van zijn privacy door Nederlandse Spoorwegen (NS), nadat NS in juli 2014 de papieren trein­kaartjes afschafte. De AP weigerde dit aanvankelijk te onderzoeken, waarop Jonker naar de rechter stapte. Na een uitspraak van de rechtbank in 2016 moest de AP alsnog onderzoek doen. Jonker vindt dat NS reizigers discrimineert als die kiezen voor behoud van hun privacy met een anonieme OV-chipkaart. Reizigers verliezen o.a. hun voordeelurenkorting en worden zo onder druk gezet hun privacy af te staan. Bovendien is inmiddels gebleken dat ook de anonieme kaart niet werkelijk anoniem is, waardoor er al sinds juli 2014 sprake is van een door NS afgedwongen verwerking van persoonsgegevens.

De rechtbank gaat twee door Jonker aangespannen procedures gevoegd behandelen. Jonker: "Ik heb daar om gevraagd en ben er blij mee, want het is eigenlijk één en dezelfde zaak. De AP heeft het in 2016 gesplitst in twee delen, waarschijnlijk in een poging om het tweede deel niet grondig te hoeven onderzoeken."

De eerste procedure gaat over prijsdiscriminatie van houders van anonieme OV-chipkaarten die tevens een voordeelurenabonnement hebben. NS weigert hun de voordeelurenkorting te geven die reizigers met gepersonaliseerde OV-chipkaarten wel krijgen. Jonker: "De AP zegt dat NS dat mag doen, omdat NS dat zo in de algemene voorwaarden heeft opgenomen. Volgens de AP is er dan sprake van een contract zoals bedoeld in de Algemene Verordening Gegevensbescherming (AVG). Dat bestrijd ik. NS kan wel van alles in haar algemene voorwaarden zetten, maar als het in strijd is met de wet, dan is dat onrechtmatig. De AVG is niet bedoeld als een vrijbrief voor willekeur van bedrijven die persoonsgegevens willen verzamelen."

De tweede procedure gaat over het feit dat zelfs de "anonieme" OV-chipkaart niet anoniem is. Op elke kaart zijn immers twee unieke nummers aangebracht, waardoor de kaart en de kaarthouder kunnen worden gevolgd. Nadat de AP in maart 2019 in een derde, eveneens door Jonker aangespannen zaak, nieuwe vragen over de OV-chipkaart stelde, bleek dat het saldo van de anonieme OV-chipkaart niet werkelijk "op de kaart geladen" wordt, zoals tot nu toe naar de treinreizigers was gecommuniceerd. In plaats daarvan wordt het saldo overgemaakt naar de back-office van het bedrijf Translink Systems (TLS), dat in opdracht van NS betalingen afhandelt. Daardoor worden elke keer dat iemand in- of uitcheckt met een anonieme kaart of saldo laadt, het tijdstip en de locatie van de anonieme kaart geregistreerd. In augustus 2019 hoorde Jonker dat dit al in 2010 door een onderzoeksgroep van wetenschappers onder de aandacht was gebracht. Desondanks deed de AP vervolgens negen jaar lang niks.

Jonker: "Ik werd pas kort geleden op dat onderzoek geattendeerd, en voel me verraden. Het gaat hier om ca. vijf miljoen houders van anonieme OV-chipkaarten, die door NS negen jaar lang voor de gek zijn gehouden, terwijl de AP wist dat dit gebeurde, maar wegkeek. Zelfs in het door de rechtbank in 2016 opgedragen onderzoek kwam dit niet boven water. Pas nadat ik in 2018 een derde zaak aanspande, en dit voorjaar een bezwaarprocedure, ging de AP eindelijk de juiste vragen stellen."

In een recent interview met NRC (https://www.nrc.nl/nieuws/2019/08/13/iemand-moet-grens-van-privacy-trekken-a3969883) benadrukte Jonker dat de AVG alleen bescherming biedt als die ook wordt gehandhaafd.

Jonker wordt in deze zaak gesteund door Stichting Privacy First en Maatschappij Voor Beter OV.

De openbare rechtszitting vindt plaats op dinsdag 20 augustus 2019 om 10:30u bij de Rechtbank Gelderland, Walburgstraat 2‑4 te Arnhem. Zaaknummers: ARN 18/546 en ARN 18/1487. Routebeschrijving en bezoekinformatie: https://www.rechtspraak.nl/Organisatie-en-contact/Organisatie/Rechtbanken/Rechtbank-Gelderland.

Update 20 augustus 2019: klik HIER voor de pleitnota van Michiel Jonker (pdf).

Media: 
Ravage Webzine, 15 augustus 2019: Rechtszaak om ‘anonieme’ ov-chipkaart
Security.nl, 16 augustus 2019: Rechtszaak tegen toezichthouder over anonieme OV-chipkaart
Tweakers, 16 augustus 2019: Arnhemmer sleept AP voor rechter voor onderzoek anonieme ov-chipkaart
FOK.nl, 16 augustus 2019: Rechtszaak over onderzoek AP naar privacy "anonieme" OV-chipkaart
AVROTROS Radar, 16 augustus 2019: Rechtszaak tegen AP wegens prijsdiscriminatie 'anonieme' OV-chipkaart
Maatschappij Voor Beter OV, 19 augustus 2019: Privacywaakhond voor de rechter
NOS Radio 1 Journaal, 20 augustus 2019: Michiel klaagt NS aan om privacy bij anonieme ov-chipkaart. Beluister hieronder de interviews met Michiel Jonker en privacy-onderzoeker Jaap-Henk Hoepman (Radboud Universiteit Nijmegen) op Radio 1:



Trouw, 20 augustus 2019: Leven zonder data achter te laten? Dat betekent offers brengen
Omroep Gelderland, 20 augustus 2019: Arnhemmer stapt naar rechter om 'niet-anonieme ov-chipkaart'  Beluister hieronder het interview met Michiel Jonker bij Omroep Gelderland:


Gelderlander, 20 augustus 2019: Arnhemse privacy-voorvechter strijdt nu tegen de NS: ‘Reiziger wordt onder druk gezet’
Volkskrant, 20 augustus 2019: ‘Anonieme OV-chipkaart is niet anoniem’, betoogt Michiel Jonker
Gelderlander, 20 augustus 2019: Online poll: 'De OV-chipkaart schendt onze privacy, dus moeten we terug naar het papieren treinkaartje of -abonnement'
Trouw, 21 augustus 2019: Hoofdredactioneel commentaar: 'Een debat over privacy is nodig'
Gelderlander, 23 augustus 2019: Arnhemmer Michiel Jonker staat pal voor onze privacy
Security.nl, 26 augustus 2019: D66 wil opheldering van minister over anonieme OV-chipkaart

Kamervragen:
Vragen van D66 aan de Staatssecretaris van Infrastructuur en Waterstaat over het bericht "Anonieme OV-chipkaart is niet anoniem", 23 augustus 2019

Update 7 september 2019: op 5 september jl. heeft de Rechtbank Gelderland uitspraak gedaan in het beroep. Het beroep van de heer Jonker werd ongegrond verklaard. De rechtbank oordeelde dat het door NS opgevoerde doel van fraudepreventie de verwerking van de reisgegevens (tijdstippen en plaatsen van begin, overstappen en einde reizen) van alle treinreizigers rechtvaardigt. Ook acht de rechtbank een "noodzaak" aanwezig om tijdens elke reis in de trein te kunnen controleren of er een betalingsachterstand is met betrekking tot voordeelabonnementen. Daarom doet het er niet toe dat de "anonieme" OV-chipkaart gebleken is niet anoniem te zijn. De AP hoeft volgens de rechtbank desondanks niet te handhaven.

Jonker: "De rechtbank neemt het idee van NS dat NS op elk moment alle reisbewegingen van reizigers moet kunnen bespieden en registreren, kritiekloos over. De rechtbank heeft de zaken "marginaal" getoetst, dat wil in dit geval zeggen: zeer oppervlakkig. De rechtbank heeft daarbij de gedachtengang van NS als uitgangspunt genomen, net zoals de AP dat eerder al deed. De rechtbank zegt in essentie dat het in theorie niet valt uit te sluiten dat de gedachtengang van NS redelijk zou kunnen zijn, als een aantal ideeën die door NS in algemene termen op papier zijn gezet, kloppen. De rechtbank toetst niet of die ideeën in de praktijk ook echt kloppen met de feiten. Dus mag het van de rechtbank. Van de bescherming van de privacy van burgers blijft op deze manier heel erg weinig over. De rechtbank en de AP functioneren niet onafhankelijk, maar als instanties die gehoorzaam een goedkeurend stempel zetten op zaken die door 'the powers that be' in achterkamertjes op ondemocratische wijze zijn besloten. Ik moet helaas concluderen dat we op het gebied van privacy niet in een functionerende rechtsstaat leven. Dat voorspelt weinig goeds voor de toekomst."

Gevraagd of de Algemene Verordening Gegevensbescherming (AVG) dit toestaat, zegt Jonker: "De AVG kan op verschillende manieren worden geïnterpreteerd. Ik heb steeds betoogd dat de AVG moet worden geïnterpreteerd in overeenstemming met het doel van artikel 8 van het EVRM, en in overeenstemming met het Europeesrechtelijke vereiste van een hoog beschermingsniveau voor privacy. De rechtbank denkt daar kennelijk anders over. Op deze manier functioneert de AVG als een vergiet met tweehonderd gaatjes. Elke organisatie die persoonsgegevens wil verwerken, plukt ergens een algemene doelstelling vandaan, bijvoorbeeld een taak van algemeen belang, zoals 'afvalinzameling', of een niet nader gespecificeerd, mooi doel zoals 'veiligheid' of 'fraudepreventie'. En dan kan iedere organisatie een eigen invulling geven aan de manier waarop dat wordt nagestreefd, die dan met verwijzing naar dat vage doel wordt gerechtvaardigd. Dit is een vrijbrief voor bijna totale willekeur bij het verwerken van persoonsgegevens. De AVG wordt op deze manier gereduceerd tot een wassen neus."

De uitspraak van de rechtbank is gepubliceerd op rechtspraak.nl. Jonker is voornemens in hoger beroep te gaan bij de Raad van State.

Media:
ANP, 6 september 2019: Arnhemse container mag open met afvalpas (tevens gepubliceerd bij diverse dagbladen en andere media)
Gelderlander, 6 september 2019: Arnhemse privacyvoorvechter verliest rechtszaken: aan OV-chipkaart wordt niet getornd
Omroep Gelderland, 6 september 2019: Arnhemse privacystrijder verliest twee rechtszaken
Tweakers, 6 september 2019: Rechter: AP hoeft niet op te treden tegen NS en Arnhemse afvalpas
NRC.nl, 6 september 2019: Adresgebonden afvalpas Arnhem niet in strijd met privacywet
Security.nl, 7 september 2019: Privacy-activist verliest zaken over afvalpas en OV-chipkaart
Binnenlands Bestuur, 7 september 2019: Rechter staat adresgebonden afvalpas Arnhem toe  
Tweakers, 6 februari 2020: Interview met Michiel Jonker - privacyactivist uit idealisme en irritatie.


Update 30 oktober 2019:
tegen de uitspraak van de rechtbank heeft Jonker op 9 oktober jl. pro forma hoger beroep ingesteld bij de Raad van State. Op 29 oktober jl. heeft hij de motivering van dit hoger beroep ingediend. Jonker: "Het is een zeer uitgebreid document geworden, waarin ik een overzicht geef van de hele zaak, met alle argumenten die de afgelopen vijf jaar zijn gewisseld. Je ziet hoe de doelen van NS in die periode zijn verschoven. Eerst zei NS geen informatie over persoonlijke reisbewegingen te willen, maar nu hebben ze een joint venture met TLS gesloten om die data juist te exploiteren. Ik ga ook in op de werkelijkheid achter de juridische werkelijkheid, en probeer tussen die twee een verbinding te leggen. Want als de juridische denkwijze losgezongen raakt van de werkelijkheid, dan is er geen effectieve rechtsbescherming meer - en al helemaal niet op het gebied van privacy. Ik hoop dat de Raad van State bereid zal zijn om de zaak te beoordelen met het oog op echte rechtsbescherming, zoals het Europees Verdrag voor de Rechten van de Mens (EVRM) dat vereist. Kunnen OV-gebruikers, als ze dat willen, straks weer reizen zonder dat al hun individuele reisbewegingen gevolgd en geregistreerd worden, en zonder dat zij gediscrimineerd worden als ze voor zichzelf willen houden waar ze allemaal naartoe gaan, en wanneer? Of is de AVG niet meer dan een rookgordijn om te verhullen dat onze privacy ons gewoon wordt afgepakt? We gaan het zien."  Klik HIER voor het volledige hoger-beroepschrift (pdf, 119 pp).

Gepubliceerd in Mobiliteit

Busreiziger Michiel Jonker heeft een rechtszaak aangespannen tegen de Autoriteit Persoonsgegevens (AP), vanwege de weigering van de AP om handhavend op te treden tegen vervoerbedrijf Breng/Connexxion. Connexxion weigert, net als veel andere Nederlandse vervoerbedrijven, sinds medio 2018 om in de bus betaling van kaartjes met contant geld te accepteren. Volgens Jonker is dit een schending van zijn privacy, omdat dit hem als busreiziger verplicht tot pinbetaling, waarbij zijn persoonsgegevens worden verwerkt. Jonker diende hierover in juli 2018 een handhavingsverzoek in bij de AP.

De AP weigerde vervolgens te handhaven. Volgens de Autoriteit is er sprake van een "overeenkomst" (contract) tussen Connexxion en Jonker, omdat Connexxion de weigering van contante betaling in de algemene voorwaarden heeft opgenomen. Volgens de AP leveren de door het vervoerbedrijf opgestelde algemene voorwaarden een wettelijke grondslag op voor het verwerken van persoonsgegevens (artikel 6 lid 1 onder b AVG). Tevens stelt de AP dat het doel van "sociale veiligheid" in het OV de verwerking van persoonsgegevens rechtvaardigt.

Jonker bestrijdt dit. Volgens hem is er geen sprake van een vrijwillig aangegaan contract, gezien zijn afhankelijkheid van het openbaar vervoer en het monopolie van Connexxion op de betreffende buslijnen. Ook stelt Jonker dat een vaag en algemeen geformuleerd doel zoals "sociale veiligheid" een generieke aantasting van de privacy op alle Nederlandse buslijnen niet rechtvaardigt. Volgens Jonker moet er gekeken worden naar de werkelijke veiligheidsproblematiek in specifieke regio's en op specifieke buslijnen.

Jonker: "Zoals het nu toegaat, kan een willekeurige groep bedrijven, al dan niet in samenwerking met bijvoorbeeld een ministerie of de leiding van de politie, eenzijdig zo'n beetje elke aantasting van privacy doordrijven, zonder serieus te onderbouwen waarom dat nodig zou zijn. En de AP vindt dat prima, want die is er kennelijk niet voor de burgers, maar voor degenen die de rechten van burgers onder de voet willen lopen. In mijn handhavingsverzoek en in mijn bezwaarschrift heb ik de zaak zorgvuldig beargumenteerd, maar de AP negeert het overgrote deel van mijn argumenten. Helaas kom je dan weer bij de rechter terecht."

Eerder heeft Jonker al verschillende rechtszaken op het gebied van privacy gewonnen, inzake de Arnhemse adresgebonden afvalpas, en inzake de OV-chipkaart van NS. Jonker: "Er lopen nu in totaal zes zaken van mij bij de AP, die telkens weigert zijn wettelijke handhavingstaak uit te voeren. Hoewel ik over juridische achtergrondkennis en een aantal andere vaardigheden beschik, valt dit voor een normaal mens uiteindelijk niet vol te houden. Met haar weigerachtigheid maakt de AP van privacy in de praktijk een lachertje. De vraag is nu wat de rechter vindt. Als die het ook wel best zou vinden, is het voorlopig einde verhaal voor de privacy, dan kunnen we die illusie overboord gooien. De AVG zou in dat geval weinig voorstellen. Maar of dat zo is, ga ik eerst wel grondig uitzoeken door het aan de Nederlandse rechter voor te leggen, maar desnoods ook aan de Europese rechter."

Jonker wordt in deze zaak gesteund door Stichting Privacy First en Maatschappij Voor Beter OV.

Gepubliceerd in Mobiliteit

Op veel plaatsen in het publieke domein wordt WiFi aangeboden. Hoewel het vaak wordt gepresenteerd als service om gratis gebruik te kunnen maken van het internet, betaalt een consument alsnog: met zijn of haar data. Privacy First staat voor het recht op privacy in de zin van anonimiteit in de openbare ruimte. Daaronder valt ook het recht op anoniem winkelen. WiFi-tracking zonder de klant te informeren en zonder vooraf om diens toestemming te vragen vormt een flagrante schending van dit recht.

Sinds 2013 heeft Privacy First dit standpunt meerdere malen gecommuniceerd, bijvoorbeeld op Radio 1 en bij BNR Nieuwsradio.

In juni 2016 gaf de Autoriteit Persoonsgegevens in een brief aan gemeenten en detailhandel aan dat het gebruik van WiFi-tracking aan strenge eisen is onderworpen. Begin mei 2019 gaf de gemeente Tilburg aan te stoppen met openbare WiFi in de binnenstad en de spoorzone. "Omdat de gemeente niet voldoende controle en invloed heeft op hoe de leverancier van het WiFi-netwerk met een deel van deze gegevens (in de 'cloud') omgaat, is besloten om de openbare WiFi voor de binnenstad en spoorzone per direct te beëindigen", aldus de gemeente. Bron: https://www.tilburg.nl/actueel/nieuws/item/geen-openbare-wifi-meer-in-binnenstad-en-spoorzone/.

Privacy First juicht deze stap toe en roept andere gemeenten op dit voorbeeld te volgen. Daarnaast roept Privacy First bedrijven op het gebruik van WiFi-tracking te staken omdat het een inbreuk is op de privacy van mensen. Zeker als WiFi-tracking gebruikt wordt voor het volgen van mensen door een winkel met als doel om consumentengedrag te volgen. Vaak is een oplossing te bedenken waarbij privacy by design wordt toegepast. Privacy First verwijst naar de gemeente Nijmegen die met anonieme passantentellingen genomineerd werd voor de Nederlandse Privacy Awards 2019. Privacy First ziet vergelijkbare projecten van andere gemeenten ter bescherming van de privacy in het openbare domein graag tegemoet.

Gepubliceerd in Online Privacy

Het Ministerie van Financiën staat op het punt om bedrijven te verplichten op grote schaal persoonlijke data te exporteren. De maatregel zit verstopt in een bijzinnetje van een Kamerbrief van de Minister van Financiën, maar heeft grote gevolgen. De maatregel verplicht bedrijven om bij 'virtual assets' (digitaal te verhandelen waren zoals bitcoins, vastgoed maar ook aankopen in computerspelletjes), klantgegevens mee te sturen. De informatie van alle betrokken partijen blijft zichtbaar voor iedereen in de waardeketen.

Consumenten, bedrijven en burgers kunnen geen bezwaar maken tegen het verplicht toevoegen van hun persoonsgegevens. Politieke aandacht krijgt dit onderwerp niet omdat het wordt gepresenteerd als technische maatregel. In de Kamerbrief van 21 maart 2019 laat de Minister na om te wijzen op de grote reikwijdte en impact. Wel wordt gesuggereerd dat door een consultatieronde aan de reacties van de markt gehoor zal worden gegeven.

Privacy First en VBNL (Verenigde Bitcoinbedrijven Nederland) hebben inmiddels begrepen dat de wereldwijde bezwaren tegen de maatregel worden genegeerd. Daarom stuurden wij vandaag een brandbrief aan de Minister van Financiën. Wij vragen hem het vraagstuk beter te bestuderen, met alle relevante Ministeries en vooral ook: om het parlement beter te informeren. Daarbij wijzen we op de strijdigheid die de maatregel kan hebben met andere internationale afspraken en verdragen die de persoonlijke levenssfeer beschermen.

Waar bekend is dat de consument zeer terughoudend is met het zélf ter beschikking stellen van de eigen gegevens, moet de overheid dat ook zijn. Privacy First vindt het uitermate kwalijk dat het Ministerie van Financiën van plan lijkt te zijn op een achternamiddag met één pennestreek namens alle Nederlandse consumenten en bedrijven tot in lengte van dagen toestemming te geven voor ongebreidelde export van persoonsdata in het economisch verkeer.

De argumentatie dat sprake zou zijn van een noodzakelijke maatregel voor terrorismebestrijding is ongegrond. Deskundigen bij Europol (!) geven aan dat genoemd internationaal voorstel ‘overkill’ is en niet nodig voor de opsporing. De regel voegt niets toe aan het bestaande Europese raamwerk ter bestrijding van witwassen en terrorismefinanciering en verhoogt slechts het risico van ongewenste datalekken.

Privacy First en VBNL hopen dat door de brandbrief het parlement beseft dat sprake is van een maatregel die zelfs verder gaat dan PSD2. Bij PSD2 kan de consument namelijk zélf besluiten om data te delen. Bij dit voorstel zou dat recht tot in lengte van dagen voor allerlei economische handelingen worden ontnomen. Wij roepen daarom de parlementariërs op om de consument en het bedrijfsleven te beschermen tegen deze onnodige voorgenomen maatregel.

Onze gehele brief is HIER te lezen (pdf).


Dit bericht is tevens gepubliceerd op https://bitcoin.nl/nieuws/minister-hoekstra-voorkom-ongebreidelde-export-van-eu-persoonsgegevens-379.

Gepubliceerd in Financiële privacy & PSD2
Pagina 1 van 15

Onze Partners

logo Voys Privacyfirst
logo greenhost
logo platfrm
logo AKBA
logo boekx
logo brandeis
 
banner ned 1024px1
logo demomedia
 
 
 
 
 
Pro Bono Connect logo 100
Control Privacy
Procis

Volg ons via Twitter

twitter icon

Volg onze RSS-feed

rss icon

Volg ons op LinkedIn

linked in icon

Volg ons op Facebook

facebook icon