Toon items op tag: Toekomst

Tijdens de Nationale Privacy Conferentie van Privacy First en ECP zijn vandaag de Nederlandse Privacy Awards uitgereikt. De winnaars van de Nederlandse Privacy Awards 2023 zijn: 

– MediaJungle

– Anonimizer                  

– KinderDPIA

De Nederlandse Privacy Awards bieden een podium aan organisaties die Privacy zien als een kans zien om zich positief te onderscheiden en privacyvriendelijk ondernemen en innoveren tot norm te maken. Deze Awards worden jaarlijks door Privacy First uitgereikt rond de Europese Dag van de Privacy.

“Wat een eer om samen met collega-juryleden voor 2023 deze prachtige inspirerende initiatieven te beoordelen en te nomineren! De Nederlandse Privacy Awards zijn ervoor om privacyvriendelijke initiatieven in het zonnetje te zetten. Vaak komt privacy negatief in het nieuws en de Privacy Awards zijn een waardevolle manier om het juist positief op de kaart te zetten. Privacybescherming moet niet worden gezien als een obstakel, maar juist als een unique selling point. En dat laten deze initiatieven heel duidelijk zien!”, aldus jury-voorzitter Magdalena Magala.

WINNAAR: MediaJungle 

MediaJungle richt zich op een kwetsbare doelgroep die bestaat uit mensen met een licht verstandelijke beperking (LVB). Het thema privacy is complex voor deze doelgroep, maar deze wordt op verschillende manieren benaderd en geïnformeerd over hun privacy-positie. Privacy is voor deze doelgroep vrij abstract en MediaJungle probeert mensen in het algemeen, maar deze doelgroep in het bijzonder weerbaarder te maken. Dit doen zij op een begrijpelijke en toegankelijke wijze: educatie vindt plaats met behulp van spelkaarten en visualisatie, wat aanzet tot actie/nadenken en dialoog.

Naast het informeren en onderwijzen van deze doelgroep op gebied van privacy en digitale weerbaarheid, besteedt MediaJungle ook veel aandacht aan het zichtbaar maken van de dunne lijn tussen slachtoffer en dader van digitale pesterijen. Dit vooral omdat deze doelgroep meer moeite heeft met het maken van dat onderscheid dan de gemiddelde medemens waar het gaat om afschermen van persoonlijke situaties en beoordelen van gevoelige omstandigheden.

Verder heeft MediaJungle de bedrijfsvoering, academische inbedding en organisatie uitstekend op orde. De missie van MediaJungle lijkt op een beweging (bevlogenheid) en hun intrinsieke motivatie om dit te laten slagen is groot.

Om die redenen vindt de jury dit een inspirerende partij om een Nederlandse Privacy Award aan toe te kennen.

WINNAAR: Anonimizer                              

Het anonimiseren van informatie voor openbaarmaking betekent een forse verbetering van de privacy, maar leidt voor publieke en private partijen ook tot grote uitvoeringscomplicaties. Anonimizer (van Bolesian) is een laagdrempelige tool om automatisch documenten, foto’s en video’s veilig privacy-proof te kunnen publiceren. Het kan onafhankelijk van de structuur worden toegepast en de tool maakt gebruik van machine learning én kennistechnologie. De innovatieve AI-software van Anonimizer maakt het mogelijk grote hoeveelheden documenten maar ook foto’s en zelfs video’s snel en automatisch te anonimiseren in een zeer hoge kwaliteit. Het product biedt een praktische oplossing voor overheden maar ook voor private partijen om te voldoen aan het privacyrecht. De jury vindt Anonimizer een belangrijk initiatief dat voor andere organisaties zowel publiek als privaat als voorbeeld kan dienen hoe je efficiënt en privacy-proof documenten kan anonimiseren. Daarom kent de jury Anonimizer een Nederlandse Privacy Award toe.

WINNAAR Aanmoedigingsprijs: KinderDPIA

KinderDPIA van Privacy op School beoogt de bewustwording van docenten en kinderen te vergroten over de privacyrechten van het kind op school (primair en voortgezet onderwijs). Concreet voorbeeld waar het initiatief nu aan werkt, is het opstellen van een “KinderDPIA” over meekijksoftware van de school op de schermen van de kinderen. Het komt voor dat meekijksoftware ’s ochtends aan en ’s avonds uit gaat zodat kinderen de hele dag worden gevolgd, zonder dat het belang daarvan duidelijk is. Het kan ook voorkomen dat, bij van school geleende schermen, de meekijksoftware ook ’s avonds bij de kinderen thuis nog aanstaat. Een duidelijke notificatie en/of in- en uitzetten voor een beoogd doel kan helpen, net als bewustwording over bijvoorbeeld achtergrond van software en dataopslag. Op deze wijze draagt het initiatief KinderDPIA van Privacy op School bij aan de bewustwording van privacy binnen het onderwijsdomein dat de laatste tijd sterk in de maatschappelijke belangstelling is komen te staan.

De jury heeft besloten om KinderDPIA de Aanmoedigingsprijs toe te kennen. De jury vindt het initiatief KinderDPIA onderscheidend, omdat het aandacht vraagt voor de bewustwording van de privacyrechten van kinderen. Daarmee besteedt het initiatief aandacht aan een kwetsbare groep die vanuit privacy oogpunt nog te weinig centraal staat. Dit terwijl privacyrechten van kinderen maatschappelijk onder druk staan door het gebruik van social media, denk aan bijv. TikTok. Omdat het initiatief nog in de kinderschoenen staat en nog niet volledig voldragen is, heeft de jury besloten om KinderDPIA de Aanmoedigingsprijs te geven.

 
Uit de diverse inzendingen had de onafhankelijke vakjury de volgende genomineerden bepaald, in willekeurige volgorde:

1. Linckr
2. MediaJungle
3. Stichting Donateursbelangen
4. Anonimizer
5. KinderDPIA
6. Cyberkaart
7. Shutterring.

Tijdens de Nationale Privacy Conferentie hebben alle genomineerden zichzelf middels video-pitches aan de jury en het publiek gepresenteerd. Vervolgens zijn de Nederlandse Privacy Awards door de jury uitgereikt. Klik HIER voor het hele juryrapport (pdf) met deelnamecriteria en toelichting bij alle genomineerden en de winnaars. 

Nationale Privacy Conferentie

De Nationale Privacy Conferentie is een initiatief van ECP en Privacy First. Deze conferentie brengt jaarlijks het Nederlandse bedrijfsleven, overheid, wetenschap en maatschappelijk middenveld bijeen om gezamenlijk te kunnen bouwen aan een privacyvriendelijke informatiemaatschappij. 

Sprekers tijdens de Nationale Privacy Conferentie 2023 waren achtereenvolgens:  

Marjolijn Bonthuis (adjunct-directeur ECP)
Ellen Timmer (onafhankelijk onderzoeksjurist en publicist)
Katja Mur (bestuurslid Autoriteit Persoonsgegevens)
Bert Slagter (ondernemer en schrijver)
Simon Lelieveldt (bedrijfskundig ingenieur en compliance professional)
Paul Korremans (voorzitter Privacy First)
Magdalena Magala (jury-voorzitter Nederlandse Privacy Awards). 

Dagvoorzitter was presentator Tom Jessen. De gehele conferentie werd live gestreamd vanuit De Glazen Zaal in Den Haag: https://player.vimeo.com/video/791842180 

Jury Nederlandse Privacy Awards

De jury van de Awards bestaat uit onafhankelijke privacy-experts uit diverse sectoren, op persoonlijke titel:

• Magdalena Magala, Vaktechnisch coördinator AVG, Belastingdienst (jury-voorzitter)
• Paul Korremans, voorzitter Privacy First
• Rion Rijker, privacy- en informatiebeveiliging expert en IT-jurist, Rijker Advies & Educatie
• Mathieu Paapst, universitair docent IT-recht Rijksuniversiteit Groningen
• Jaap van der Wel, IT-deskundige en privacyjurist, managing partner Comfort Information Architects
• Erik Bruinsma, jurist; directeur Strategie en bestuursadvisering, Centraal Bureau voor de Statistiek
• Mabel de Vries, Functionaris Gegevensbescherming en senior adviseur informatiebeveiliging, risk en privacy
• Walter van Wijk, Community manager privacy, Centrum Informatiebeveiliging en Privacybescherming.

Om te garanderen dat de verkiezing van de Awards objectief verloopt, is het niet toegestaan dat de jury een deelname beoordeelt van de eigen organisatie of een organisatie waar een jurylid een belang bij heeft.

Privacy First organiseert de Nederlandse Privacy Awards in samenwerking met ECP, met steun van Molenaar & Plasman Solutions.

Voorinschrijvingen voor de Nederlandse Privacy Awards 2024 zijn alvast welkom! 

Wilt u graag sponsor of (media)partner van de Nederlandse Privacy Awards worden? Neem dan contact op met Privacy First! 

Rechtszaak tegen massale privacyschending door ANPR-cameratoezicht 

Vast beleid van Stichting Privacy First is om massale privacyschendingen bij de rechter aan te vechten en onrechtmatig te laten verklaren. Privacy First deed dit de laatste jaren met succes tegen de centrale opslag van ieders vingerafdrukken onder de Paspoortwet, tegen de opslag van ieders communicatiegegevens onder de Wet bewaarplicht telecommunicatie en (in coalitieverband) tegen massale risicoprofilering door het Systeem Risico Indicatie (SyRI). Een kwestie die zich bij uitstek ook voor een dergelijke rechtszaak leent betreft de Nederlandse wetgeving inzake automatische nummerplaatherkenning (Automatic Number Plate Recognition, ANPR) zoals die sinds 2019 geldt onder het nieuwe art. 126jj Sv. 

Strijd met Europees privacyrecht 

Onder de ANPR-wet worden de kentekens en locaties van miljoenen auto's in Nederland (oftewel ieders reisbewegingen) continu vier weken in een centrale politiedatabank opgeslagen voor o.a. opsporing en vervolging, ongeacht of men ergens van verdacht wordt. Dit is totaal niet noodzakelijk, volstrekt disproportioneel en bovendien ineffectief, zo bleek de afgelopen jaren uit diverse onafhankelijke onderzoeken. Bovendien ontbreekt toezicht en kan het systeem eenvoudig worden misbruikt, zo bevestigde o.a. onderzoek door NRC Handelsblad. De huidige ANPR-wet vormt daarmee een massale privacyschending en hoort simpelweg niet thuis in een vrije democratische rechtsstaat. Privacy First heeft daarom besloten om een rechtszaak tegen de Staat aan te spannen ter buitenwerkingstelling van de ANPR-wetgeving wegens strijd met Europees privacyrecht. 

Bodemprocedure 

Eind 2021 vond reeds een kort geding van Privacy First tegen de ANPR-wet plaats. In deze zaak oordeelde de rechtbank Den Haag echter dat bij dit kort geding geen sprake zou zijn van voldoende spoedeisend belang. Dit oordeel was onbegrijpelijk, aangezien bij een dagelijkse massale privacyschending per definitie sprake is van spoedeisend belang om die schending juridisch te laten toetsen en te laten stoppen. Privacy First heeft vervolgens besloten om deze zaak voort te zetten als bodemprocedure waarin alle relevante rechtsvragen aan de orde zullen komen. Vandaag heeft Privacy First daartoe bij de landsadvocaat een uitgebreide dagvaarding ingediend. De volledige dagvaarding vindt u HIER (pdf). 

De ANPR-wetgeving waar de rechtszaak van Privacy First om draait ziet vooral op de massale verzameling en opslag van ieders “historische” ANPR-data, ook wel “no hits” genoemd. Dit dient te worden onderscheiden van de al vele jaren bestaande politiepraktijk waarbij kentekens van verdachte personen (zogeheten “hits”) real-time kunnen worden gebruikt voor opsporing. 

Kansrijke zaak 

Via Pro Bono Connect heeft Privacy First het advocatenkantoor CMS ingeschakeld om zowel het kort geding als de bodemprocedure voor ons te voeren. Inmiddels wordt deze rechtszaak tevens gesteund door het Digital Freedom Fund. Indien nodig zal Privacy First de zaak tot de hoogste rechterlijke instanties voortzetten, waaronder het Europees Hof van Justitie in Luxemburg. Gezien de Europese jurisprudentie terzake acht Privacy First de kans op een succesvolle rechtsgang buitengewoon hoog. 

Niet een pc, laptop of tablet maar een auto is de meest krachtige en waardevolle computer die veel mensen in hun bezit hebben. De geavanceerde software en elektronica waar moderne auto’s mee zijn uitgerust vergemakkelijken het rijden, wijzen via navigatie de weg en helpen bij het inparkeren. Vandaag de dag is een nieuw voertuig al gauw voorzien van honderd miljoen regels aan programmeertaal.

Het gebruik van computers in auto’s is niets nieuws. De eerste geautomatiseerde systemen in voertuigen verschenen al in 1969. De mogelijkheid om de technische staat van een voertuig af te lezen via ‘on-board diagnostics’ (OBD) werd in de jaren ’80 geïntroduceerd en in de jaren ’90 gestandaardiseerd.

Inmiddels zijn we decennia verder en lijken auto’s met name onderhuids nog maar weinig op hun voorgangers. Nieuwe exemplaren zijn vaak elektrisch en beschikken over allerlei rijhulpsystemen (Advanced Driver-Assistance Systems), waarvan er om veiligheidsredenen inmiddels een flink aantal door de EU verplicht is gesteld. Denk aan noodremsystemen, rijbaanassistentie en automatische snelheidsbeperking.

Autotechniek schrijdt logischerwijs voort, maar er is één ontwikkeling in het bijzonder die ten aanzien van autogebruik en mobiliteit zorgt voor radicale verandering: verbinding met het internet. Alle modellen die nu worden gefabriceerd, zijn voorzien van een simkaart en staan te boek als ‘connected’. Het aantal ‘connected cars’ groeit gestaag: in de meeste (Westerse) landen zullen ze binnen enkele jaren in de meerderheid zijn. Dat levert een schat aan nieuwe mogelijkheden op.

Als het aan fabrikanten en overheden ligt worden voertuigen een integraal onderdeel van het Internet of Things. Binnen dat internet der dingen, dat volop in ontwikkeling is, wisselt een oneindig aantal objecten, apparaten en systemen gegevens met elkaar uit. Connected cars staan in verbinding met elkaar (Vehicle-to-Vehicle, V2V), hier en daar al met infrastructuur zoals stoplichten (Vehicle-to-Infrastructure, V2I) en op den duur, zo is de bedoeling, al het andere waarmee een connectie wenselijk of noodzakelijk is (Vehicle-to-Everything, V2X). Dat kunnen ook de smartphones of smartwatches van voetgangers zijn (Vehicle-to-Pedestrians, V2P).

Dergelijke vormen van communicatie moeten van steden slim-opererende omgevingen maken (smart cities). Connected cars moeten daarnaast zorgen voor meer verkeersveiligheid, efficiëntere routes, minder files, zuiniger rijden en trivialer zaken zoals het makkelijker kunnen vinden van een parkeerplaats. Comfort, gebruiksgemak en efficiëntie voeren de boventoon, maar voor de automobilist is er ook een keerzijde.  

Grote hoeveelheden data die moderne auto’s genereren (tot wel 25Gb per uur) worden regelrecht of via een tussenpartij teruggestuurd naar de fabrikant, zij het soms met enige vertraging. Connected cars, ook wel smart cars genoemd, staan namelijk eerst en vooral in contact met wat vaak wordt aangeduid als de Original Equipment Manufacturers (‘OEMs’). Dat gebeurt met het oog op het monitoren van prestaties, (voorspelbaar) onderhoud, software-updates (steeds vaker over the air) en algehele productverbetering.

Het gaat echter niet alleen om technische data zoals oliepeil, motortemperatuur, brandstofverbruik, en kilometerstand, óók persoonsgegevens (personally identifiable information, PII) worden verzameld. In veel gevallen is dat niet zozeer uit noodzaak, als wel om commerciële redenen. Lang niet iedere automobilist is hiervan op de hoogte. De door autofabrikanten ontwikkelde telefoonapps om op de hoogte te blijven van de algehele status van een auto, blijken eveneens meer persoonlijke data te verzamelen dan nodig. Daarmee is de auto het zoveelste instrument geworden dat de privacy van honderden miljoenen mensen onder druk zet. De beeldspraak is inmiddels wat afgezaagd, maar de nieuwste auto’s kan je met recht smartphones op wielen noemen. 

Voorkeurinstellingen, rijgedrag, routes, GPS-locaties, bestemmingen, tijdstippen, camerabeelden van binnen en buiten de auto, allerlei gevoelige informatie uit je telefoon die is aangesloten op de boordcomputer evenals bijvoorbeeld gezondheids- en biometrische gegevens kunnen immers allemaal worden bijgehouden en verzameld.

Dergelijke informatie is waardevol en daarom gewild. In algemene zin geldt: hoe meer relevante voertuigdata, hoe groter winsten van fabrikanten in potentie kunnen uitvallen. Consultancybedrijf Capgemini schat dat de markt van voertuigdata in 2030 wereldwijd tot wel 800 miljard dollar waard kan zijn. Naar verwachting levert de vergaarde data over enkele jaren meer op dan regulier onderhoud. Het zijn echter niet alleen de automerken die op voertuigdata azen.

De fabrikanten worden omringd door een web van toeleveranciers en bedrijven gespecialiseerd in software, infotainment, telematics, telecommunicatie en dataverwerking en -analyse. Ook importeurs, dealers, secundaire marktpartijen zoals garagehouders (de aftermarket), verhuurbedrijven en bijvoorbeeld verzekeraars maken onderdeel uit van dit ecosysteem. Deze partijen werken samen, zijn van elkaar afhankelijk maar zijn met tegengestelde belangen soms ook met elkaar in concurrentie. Gemene deler is dat iedereen een graantje wil meepikken van de lucratieve (persoons)gegevens die voertuigen genereren.

Privacy First start onderzoek

Privacy First wil graag meer inzicht krijgen in de werking van en de machtsverhoudingen binnen dit ecosysteem, en meer aandacht vestigen op de grootschalige datavergaring door de auto-industrie en de privacy-aspecten die daarmee gepaard gaan. Daarom duiken wij de komende periode in dit complexe onderwerp.

Aan de hand van artikelen en interviews met experts willen we het thema vanuit verschillende invalshoeken verder uitdiepen. Zo komt er bij connected cars veel technologie om de hoek kijken, zitten er juridische haken en ogen aan situaties die eerder niet voorkwamen en zijn bepaalde diensten van derde partijen mee-geëvolueerd met de innovaties binnen de automotivesector.

Denk bijvoorbeeld aan verzekeraars die digitaal meekijken in de auto in ruil voor korting op de premie. Dergelijke rijverzekeringen zijn al jaren gemeengoed, ook in Nederland. Meest opvallende voorbeeld hier is de autoverzekering van de ANWB. Waar de ene tak van deze organisatie het principe van my car, my data propageert en autobezitters op het hart drukt zoveel mogelijk de regie te voeren over eigen voertuigdata, houdt de afdeling die zich bezighoudt met verzekeringen het rijgedrag van automobilisten met de Veilig Rijden autoverzekering nauwlettend in de gaten.

Ondertussen zijn de traditionele rollen van fabrikant en autobezitters aan het verschuiven. Binnen de auto-industrie worden voertuigen namelijk allang niet meer gezien enkel als vervoersmiddel waarmee je van A naar B kan reizen. Het zijn (hele grote) gadgets geworden waarbij inmiddels net zozeer wordt gestunt met software als met pk’s. Juist omdat auto’s verbonden zijn met het internet, worden ze tegenwoordig bij uitstek geschikt geacht om allerlei abonnementen, diensten en technische features mee aan de man te brengen. Op hun beurt worden autobezitters steeds meer benaderd als afnemers van informatie en vermaak. De één zal het prettiger vinden dan de ander om ook ná de aanschaf van een auto in de rol van consument te worden geduwd.

In dit opzicht kun je je overigens afvragen of vraag leidt tot aanbod, of aanbod leidt tot vraag. Wie zat er in 1995 verlegen om een iPhone? Zouden er in 2007 al automobilisten zijn geweest die stonden te springen om een verwarmd stuur of de mogelijkheid je boodschappenlijstje tevoorschijn te toveren op het dashboard?    

Connected cars; een hot topic

Uit de vele links in dit artikel blijkt wel dat Privacy First geen onontgonnen terrein betreedt. Connected cars staan al geruime tijd volop in de belangstelling. In het afgelopen decennium hebben tal van wetenschappers, commerciële en minder commerciële onderzoekbureaus, accountantskantoren, ngo’s, autoriteiten persoonsgegevens, consumentenbonden en overheidsinstellingen in binnen- en buitenland artikelen en rapporten over het thema gepubliceerd. Er zijn campagnes gevoerd om de bewustwording omtrent de privacy-gevaren van connected cars te vergroten en vanzelfsprekend is over alle ontwikkelingen ook veel in de media verschenen. 

In Nederland zijn onder meer Trouw (Slimme auto’s nemen ons leven over met de data die ze verzamelen), De Groene Amsterdammer/Investico (De auto, een datavergaarbak), FD (Stortvloed aan data van automobilist naar fabrikant en derde partijen) en het online techplatform Tweakers (De auto als gegevensverzamelaar) in het onderwerp gedoken.

Het nieuwsitem Carmakers are collecting data and cashing in – and most drivers have no clue van CBS en de artikelen Connected Cars Are Just As Revolutionary As Electric Vehicles van Forbes en Who Is Collecting Data from Your Car? van The Markup zijn slechts enkele in het oog springende voorbeelden van mediaberichtgeving uit het buitenland, in dit geval de VS.

Privacy blijft kind van de rekening

Met de komst van de Algemene Verordening Gegevensbescherming (AVG) staan autorijdende consumenten wat sterker in hun schoenen. Het uit de AVG voortgekomen Europees Comité voor gegevensbescherming heeft specifiek in het kader van verbonden voertuigen gezorgd voor uitgebreide richtsnoeren ten aanzien van de verwerking van persoonsgegevens. Die richtsnoeren vallen uit in het voordeel van de automobilist.

Toch concludeert Privacy First op basis van een globale analyse van een grote hoeveelheid rapporten, media-artikelen, lezingen en discussies over connected cars, dat er in bepaalde opzichten de afgelopen – plusminus – tien jaar maar weinig lijkt te zijn veranderd. De privacyrisico’s waarvoor rond 2012 werd gewaarschuwd, zijn er nu nog steeds, terwijl het bewustzijn hieromtrent niet significant lijkt te zijn toegenomen. Bovendien is het nog altijd in hoge mate aan automobilisten zelf om ervoor te zorgen dat er zorgvuldig met hun data wordt omgesprongen.  

De ellenlange privacyverklaringen waarmee zij bij het kopen van een auto haast altijd met een gedachteloze handtekening akkoord gaan, zijn voor de meeste mensen even juridisch als onbegrijpelijk. Gezien de complexiteit van dergelijke verklaringen kan van consumenten ook niet redelijkerwijs worden verwacht dat ze die zullen begrijpen of ook maar lezen. Laat staan dat ze in staat zullen zijn om de verklaringen van verschillende merken met elkaar te vergelijken.  

Daarnaast blijft de vraag in welke mate fabrikanten hun klanten daadwerkelijk de mogelijkheid bieden om niet te worden gevolgd (opt out). En als je daar al voor kan kiezen, in hoeverre is dat dan van (negatieve) invloed op het functioneren van de auto? Tesla-rijders die geen locatiegegevens willen delen krijgen de waarschuwing dat dat kan resulteren in ernstige schade aan de auto. Dat heeft toch alle schijn van een mes-op-de-keel tactiek.  

Ja, er is voor automobilisten veel om rekening mee te houden. Wat gebeurt er bijvoorbeeld met je gegevens als er sprake is van meerdere gebruikers, zoals bij een deel- of huurauto? Je doet er goed aan die te wissen aan het eind van een rit. Eigenaren die hun voiture van de hand doen kunnen de boordcomputer maar beter resetten naar fabrieksinstellingen. Doe je dat niet, dan kan het zomaar zijn dat je maanden later nog steeds toegang hebt tot een auto die inmiddels in het bezit is van een ander.

Zo lek als een mandje

Nog niet aan de orde gekomen maar van groot belang is de cybersecurity. Er bestaat immers geen privacy zonder beveiliging. En ieder privacybeleid is slechts zo sterk als het beveiligingssysteem dat er achter zit. Ook op dit vlak valt door de jaren heen een zorgwekkende constante te ontwaren: steeds opnieuw komt aan het licht dat autofabrikanten (en soms aanverwante partijen) de beveiliging van hun auto’s niet op orde hebben.

Dit beeld werd vorige week nog eens spectaculair bevestigd toen Amerikaanse onderzoekers aantoonden dat de beveiliging van zowel ‘gewone’ als luxe auto’s (van Kia’s tot Ferrari’s) schromelijk tekortschiet. Niet alleen blijken de persoonlijke accounts van autobezitters in te zien, te bewerken en zelfs te vervangen, ook de algehele besturing van verschillende modellen kan op tal van manieren worden gehackt en dus overgenomen. Onder meer door de motor te starten of juist uit te zetten. Zowel de privacy als de fysieke veiligheid van bestuurders en passagiers is kortom in gevaar.  

Het is het meest recente voorbeeld in een lange lijst van goedaardige (white hat) autohacks. In 2010 – de begindagen van connected cars – toonden wetenschappers al aan wat er op dit vlak zoal mogelijk is. In 2015 deed een journalist van Wired verslag van hoe twee mannen gewapend met een laptop zijn Jeep overnamen terwijl hij alleen op de snelweg reed. Het werd de meest besproken (vooraf afgestemde) computerkraak van een auto tot nu toe.

Onderzoekers aan de TU Delft en twee mensen van de politie waarschuwen in een gezamenlijk artikel dat er tussen de veiligheid (safety) en de beveiliging (security) van auto’s een fundamentele kloof bestaat. ‘‘De investeringen die de auto-industrie doet op het vlak van veiligheid [zoals crashtests] staan in schril contrast met de investeringen in beveiliging van vertrouwelijkheid, integriteit en beschikbaarheid van de informatiestromen in de auto. Men voegt allerhande comfort toe, maar investeert onvoldoende in de beveiliging van dat comfort en evenmin in de beveiliging van de internetverbinding van de auto.’’

Voor zover bekend hebben criminelen of anderen met kwade intenties deze kwetsbaarheden in voertuigen tot dusverre nauwelijks geëxploiteerd. Dat is opvallend. Maar hoe meer er van digitale technologie gebruik wordt gemaakt, hoe meer er valt te hacken, en dat is niet per se een geruststellende gedachte. Inmiddels moeten auto’s die nu van de band rollen voldoen aan eisen op het gebied van cybersecurity om te worden goedgekeurd. Het zal de komende tijd interessant zijn om te zien of de beveiliging als gevolg hiervan daadwerkelijk wordt opgeschroefd.  

Mogelijk zet het fabrikanten er ook toe aan af te rekenen met een ander hardnekkig beveiligingsprobleem waar autobezitters de dupe van kunnen worden. ‘Keyless entry’, het systeem waarmee auto’s zonder het gebruik van sleutels op afstand kunnen worden ontgrendeld, blijkt in veel gevallen eveneens zo lek als een mandje. Voor enigszins gewiekste dieven is dit systeem bij veel auto’s een koud kunstje om te kraken, blijkt uit herhaaldelijk onderzoek van ADAC, de Duitse ANWB. En eenmaal open is een auto zo gestolen.

Van connected naar self-driving

We kunnen er niet omheen, dus tenslotte werpen we nog een korte blik op die andere radicale ontwikkeling binnen de auto-industrie. De connected cars van vandaag zijn immers niet het eindstation, maar de opmaat naar de zelfrijdende auto’s van morgen. Self-driving cars en connected cars worden vaak in één adem genoemd en zijn niet los van elkaar te zien. Althans, waar de huidige connected cars slechts ten dele zelfrijdend zijn, zullen de volledig zelfrijdende auto’s van de toekomst per definitie verbonden zijn met het internet. Zonder internet komen ze niet van hun plaats.

Er wordt onderscheid gemaakt tussen zes niveaus van zelfstandigheid van auto’s:

•  Niveau 0 – No automation: Besturing volledig in handen van automobilist.

•  Niveau 1 – Hands on/shared control: Systemen als cruise control, traction control aan boord.

•  Niveau 2 – Hands off (vanaf dit niveau is sprake van connected cars): eCall (april 2018), camera’s die helpen bij het inparkeren, navigatie, rijbaanassistentie en tal van andere vormen van infotainment. 

•  Niveau 3 – Eyes off: Auto rijdt in hoge mate zelfstandig, automobilist kan enige tijd controle uit handen geven.

•  Niveau 4 – Mind off: Auto kan zelfstandig van A naar B rijden, maar deze zelfstandigheid kent nog geografische beperkingen en de automobilist kan de besturing overnemen.

•  Niveau 5 – Steering wheel optional: De auto is volledig zelfstandig, een bestuurder is niet meer nodig.

De meeste (relatief) nieuwe auto’s beschikken over toepassingen die behoren bij niveau 2. Sommige merken hikken tegen niveau 3 aan, waaronder Nissan, Volvo en Tesla. Enkele Mercedes-Benz modellen zijn al uitgerust met niveau 3-systemen. Met niveau 4-auto’s worden al enige tijd testen op de openbare weg uitgevoerd. Toch verloopt de ontwikkeling van zelfrijdende auto’s al met al een stuk minder voorspoedig dan aanvankelijk voorspeld door onder meer Tesla-baas Elon Musk. Die had gedacht dat zijn auto’s in 2017 al volledig autonoom op de openbare weg zouden rondrijden. Dat dit jaren later nog steeds niet het geval is, heeft Tesla-rijders doen besluiten een schadeclaim in te dienen.

Er is één bedrijf – géén autofabrikant – dat op dit vlak flink aan de weg timmert. Het Amerikaanse Comma.ai wil de ontwikkeling van autonome auto’s versnellen. Met de aanschaf van Comma 3 (hardware) en het installeren van OpenPilot (open source software) zijn bezitters van meer dan 200 verschillende modellen van veel verschillende automerken in staat om de besturing van hun auto voor langere tijd uit handen te geven. De software wordt voortdurend verbeterd aan de hand van kunstmatige intelligentie, machine learning en de technische input van gebruikers.

Dit systeem werkt opmerkelijk goed, maar de RDW – de overheidsinstantie die in Nederland voertuigen goedkeurt en rijbewijzen en kentekens uitgeeft – staat gebruik van OpenPilot zonder goedkeuring vooraf niet toe. Overigens ontbreekt het vooralsnog bijna overal aan specifieke wetgeving omtrent zelfrijdende auto’s, wat hun introductie verder bemoeilijkt.

Hoe interessant ook, de capaciteit van auto’s om autonoom te opereren is voor Privacy First op zichzelf niet het meest relevant omdat de privacy van automobilisten er niet mee in het geding is. Aan auto’s zonder bestuurder kleven veeleer uiteenlopende ethische vraagstukken.

Wij houden het hoofdzakelijk bij de vraagstukken die worden opgeworpen door connected cars. Daarover zullen we publiceren op een speciale pagina van onze website, die zeer binnenkort volledig wordt vernieuwd. Houd privacyfirst.nl in de gaten!

Recent waarschuwde Privacy First voor het kabinetsvoorstel Wet plan van aanpak witwassen waarmee een bancair sleepnet dreigt te worden ingevoerd. Vandaag stuurde Privacy First hierover onderstaande brief met bijbehorend memorandum naar de Tweede Kamer:  

Geachte Kamerleden,

Op 21 oktober jl. is door het kabinet het wetsvoorstel plan van aanpak witwassen ingediend.^[1] Op dezelfde dag waarschuwde de Autoriteit Persoonsgegevens in een nieuwsbericht “Nieuwe wet opent deur naar ongekende massasurveillance door banken”.^[2]

Stichting Privacy First is van mening dat het kabinet in het wetsvoorstel geen acht heeft geslagen op de eerdere kritiek van de Afdeling advisering van de Raad van State en de Autoriteit Persoonsgegevens. Het wetsvoorstel maakt een ongerechtvaardigde inbreuk op de grondrechten van Nederlandse burgers en dit voorstel hoort daarom geen wet te worden.

Het voorstel is onderdeel van regelgeving op het gebied van misdaadbestrijding (‘witwasbestrijding’) zoals opgenomen in de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft). De Wwft legt overheidstaken bij private ondernemingen zoals banken neer, zonder dat zorgvuldig is nagegaan of die private ondernemingen wel voor de beoogde taken geschikt zijn.

Het huidige voorstel voegt nieuwe onverstandige elementen aan de regelgeving toe:

• Het bancaire sleepnet.
• Een ‘navraagplicht’: de verplichting van Wwft-plichtige ondernemingen om bij hun concurrent navraag te doen naar criminaliteitsrisico’s bij ‘hoog risico’ klanten.
• Verwerking van strafrechtelijke en andere bijzondere persoonsgegevens door Wwft-plichtige ondernemingen.

Tegen al deze elementen heeft Privacy First grote bezwaren.

1. Bancair sleepnet

Volgens het voorstel van het kabinet zullen alle betalingstransacties die verlopen via Nederlandse banken^[3] worden geanalyseerd door middel van een aparte entiteit ten behoeve van de opsporing van criminaliteit (het constateren van ‘ongebruikelijke transacties’). Dit betekent dat van iedere burger en organisatie in Nederland een profiel zal worden opgesteld, waarmee wordt voorspeld of de rekeninghouder mogelijk een crimineel is. Daarmee is de gezamenlijke transactiemonitoring door de banken een bancair sleepnet dat een inbreuk is op de grondrechten van burgers. Zo’n inbreuk hoort goed te worden onderbouwd, echter, die onderbouwing ontbreekt.

Het voorstel is symptomatisch voor een ‘datagedreven’ overheid die meent dat maatschappelijke problemen alleen kunnen worden opgelost door het ongelimiteerd volgen en analyseren van burgers en via vele wegen verzamelen van gegevens over iedere burger. Privacy First vindt dat de overheid te optimistische verwachtingen heeft van de mogelijkheden van IT en de schaduwkanten onderschat.

Opvallend is dat in de memorie van toelichting wordt erkend dat het huidige systeem van criminaliteitsbestrijding door banken op grond van de Wwft niet werkt. Dat zou aanleiding moeten zijn om het hele systeem te heroverwegen en de grote bedragen die de banken nu aan detecteren van ongebruikelijke transacties besteden anders te gaan besteden. Helaas gebeurt dat niet.

Ons standpunt

1. Er is geen bewijs dat deze inbreuk op de financiële gegevensbeschermingsrechten van burgers gerechtvaardigd is en er voor zorgt dat de schade wordt verminderd die nu ontstaat door de criminaliteits­bestrijdingsactiviteiten door banken. Het bancaire sleepnet hoort er niet te komen.

En voor zover het sleepnet er wel zou komen:

2. Het sleepnet mag er alleen komen als de noodzaak is aangetoond en ook is aangetoond dat er geen alternatieven zijn en dat het sleepnet tot vermindering van de huidige criminaliteitsbestrijdingsschade leidt.

3. Er mag geen gegevensanalyse en profilering van natuurlijke personen (zowel consumenten als zzp’ers) plaatsvinden. (Als het niet anders kan, dan alleen boven een bepaalde drempel.)

4. Er dient volledige transparantie van overheid en banken te zijn inzake risico-indicatoren en de inzet van kunstmatige intelligentie. Ook de schade die wordt toegebracht door onnodige uitvragen moet worden gemeten. Er vindt onafhankelijke toetsing van de systemen en van de uitvoeringspraktijk plaats.

5. Er wordt gezorgd voor een adequate governance: de entiteit die de analyses uitvoert is onafhankelijk van de banken, houdt zich aan de Wet Normering Topinkomens en de Europese aanbestedingsregelgeving en betrekt de IT uitsluitend van Europese leveranciers.

6. De rechtsbescherming voor consumenten en mkb wordt verbeterd, zie hierna onder 4.

2. Navraagplicht

Het voorstel inzake de navraagplicht geldt voor alle ondernemingen die zich aan de Wwft moeten houden, dus van makelaar en boekhoudkantoor tot en met de banken en van eenmanszaak tot en met grootbedrijf. Bedoeling van het voorstel is dat in ‘hoog risico’ situaties navraag wordt gedaan bij collega’s uit dezelfde sector.

Privacy First is daar tegenstander van:

1. De categorie ‘hoog risico’ is veel te ruim, zodat daarvan vrijwel altijd sprake is. Veilig­heidshalve en uit angst voor boetes zullen Wwft-plichtigen zeer snel tot navraag overgaan.
2. Er ontbreekt een onderbouwing dat deze navraagplicht nuttig zou zijn voor alle soorten Wwft-plichtigen en alle soorten diensten.
3. Alternatieven zijn niet onderzocht.
4. In sommige sectoren zijn zoveel Wwft-plichtigen dat het doen van navraag onuitvoerbaar is.
5. In de financiële sector zal de navraagplicht leiden tot nog verdere beperking van de mededinging (die er nu al nauwelijks meer is, behalve voor sommige producten voor consumenten).

en in het onverhoopte geval dat de navraagplicht er komt:

6. De navraag dient beperkt te worden tot specifiek omschreven diensten, tot specifiek omschreven vermeende hoge risico’s en tot specifiek aangewezen Wwft-plichtigen. De afbakening wordt zorgvuldig getoetst.
7. Er dient een tijdsbepaling te worden opgenomen voor het navragen, aangezien sommige Wwft-plichtigen langdurige relaties met hun klanten hebben.
8. Het regelen van de uitwisseling tussen verschillende soorten Wwft-plichtigen (artikel 3b lid 6 voorstel) hoort niet in een algemene maatregel van bestuur maar in de wet thuis.
9. Zowel de cliënt als de betrokkenen dienen vooraf over de navraag te worden geïnfor­meerd alsmede over het vermeende risicoprofiel.
10. De rechtsbescherming voor consumenten en mkb wordt verbeterd, zie hierna onder 4.
    
    

3. Verwerking strafrechtelijke en andere persoonsgegevens

Privacy First acht het ongewenst dat alle soorten Wwft-plichtigen strafrechtelijke en andere persoons­gegevens mogen verwerken. Ons standpunt:

1. De verwerkingsnoodzaak voor ieder type Wwft-plichtigen moet worden onderbouwd en aangetoond.
2. Het dient alleen te worden toegestaan aan Wwft-plichtigen die gereguleerd zijn, een integriteitstoezicht kennen en aantoonbaar aan alle verplichtingen van de AVG voldoen.
3. Nadere gegevensbeschermingsregels horen niet thuis in een algemene maatregel van bestuur (zoals wordt voorgesteld) maar in de UAVG.
4. De rechtsbescherming voor consumenten en mkb wordt verbeterd, zie hierna onder 4.
   
   

4. Verbeterde rechtsbescherming voor consumenten en mkb

Op dit moment is de rechtsbescherming van cliënten van financiële instellingen – met name consumenten en mkb - onvoldoende.

Privacy First is van mening dat Wwft-plichtigen aan hun cliënten en de betrokkenen (in de zin van de AVG) verantwoording dienen af te leggen over het toegekende risicoprofiel en de wijze waarop zij het Wwft-cliëntenonderzoek uitvoeren.

Onafhankelijke rechter en financiële ombudsman

Het is gewenst dat geschillen­beslechting via de onafhankelijke rechter tot stand komt ten behoeve van consumenten en mkb (het Kifid kan ons inziens worden opgeheven^[4]), met bevoegdheid op het gebied van witwasbestrijding, kredietregistratie, zwarte lijsten en overige geschillen met financiële instellingen.

Verder is gewenst dat een onafhankelijke financiële ombudsman wordt ingesteld die op laagdrempelige wijze klachten over financiële instellingen en witwasbestrijdingsplichtigen kan ontvangen en onderzoeken kan instellen naar de praktijk van witwasbestrijding, kredietregistratie, zwarte lijsten en dergelijke.

Tot slot

Zie voor een meer uitvoerige toelichting ons memorandum (pdf) als bijlage bij deze brief (pdf).

Desgewenst zijn wij graag bereid om ons standpunt nader toe te lichten.

Hoogachtend,

Stichting Privacy First 

[1] https://www.rijksoverheid.nl/documenten/kamerstukken/2022/10/21/kamerbrief-bij-wetsvoorstel-plan-van-aanpak-witwassen

[2] https://autoriteitpersoonsgegevens.nl/nl/nieuws/nieuwe-wet-opent-deur-naar-ongekende-massasurveillance-door-banken

[3] Aangenomen mag worden dat in de toekomst betaaldienstverleners zullen worden toegevoegd.

[4] Bij Kifid ontbreekt de kwaliteit en de onafhankelijkheid. Dat blijkt onder andere uit de ernstige misslag in de zaak van de Accidental American, die door de geschillencommissie van Kifid werd veroordeeld voor valsheid in geschrifte, zie de uitspraak van 27 mei 2019, https://www.kifid.nl/wp-content/uploads/2020/07/Uitspraak-2020-630.pdf. Dit oordeel werd door de kort geding rechter meteen van tafel geveegd, zie ECLI:NL:RBMNE:2020:5647. De bodemrechter kwam daarna tot een ander oordeel, zie https://www.rechtspraak.nl/Organisatie-en-contact/Organisatie/Rechtbanken/Rechtbank-Midden-Nederland/Nieuws/Paginas/Volksbank-mag-rekeningen-onbedoelde-Amerikaan-niet-sluiten.aspx en laat zien dat Kifid diepgang mist.

Middels een grootschalige wijziging van de Wet publieke gezondheid dreigen diverse corona-maatregelen binnenkort permanent juridisch verankerd te worden. Vandaag stuurde Privacy First hierover onderstaande brief (pdf) aan de Tweede Kamer: 

Geachte Kamerleden,

Met grote zorg heeft Stichting Privacy First kennisgenomen van de voorgenomen wijziging van de Wet publieke gezondheid, Wpg (36194, Coronawet). Deze wetswijziging introduceert een nieuw wettelijk kader met diverse mogelijke maatregelen ter bestrijding van een epidemie. Dit terwijl de maatschappelijke noodzaak, proportionaliteit, effectiviteit en impact van de maatregelen in het kader van de recente corona-epidemie tot op heden niet geëvalueerd zijn. Privacy First acht het onbestaanbaar dat dergelijke maatregelen reeds wettelijk verankerd zouden kunnen worden zolang hun mensenrechtelijke houdbaarheid onbekend is. Bovendien introduceert het wetsvoorstel enkele elementen die niet thuishoren in een vrije democratische rechtsstaat met volwaardige parlementaire zeggenschap. Hieronder zetten wij onze huidige overwegingen en voornaamste actuele bezwaren kort uiteen.

Botsende grondrechten?

In lijn met onze missie heeft Privacy First altijd een brede interpretatie van het recht op bescherming van de persoonlijke levenssfeer en lichamelijke integriteit gehanteerd, waar relevant ook in relatie tot andere mensenrechten, waaronder in dit geval het recht op (de hoogst mogelijke graad van volks)gezondheid. In dit verband geldt tevens dat ieder land verplicht is om maatregelen te treffen ter bestrijding van een epidemie of pandemie. Goede publieksvoorlichting en facilitering van mogelijkheden ter preventie zijn daarbij cruciaal. In onze optiek mag nimmer sprake zijn van enige vorm van dwang, repressie of maatschappelijke uitsluiting. Dit behoudens zeer extreme situaties, waarvoor de huidige Wpg reeds ruimte biedt. Maatschappelijke en politieke angst leiden echter tot collectieve bewustzijnsvernauwing en onevenwichtig of schadelijk beleid, waarbij “goedbedoelde” maatregelen ter bescherming van het ene mensenrecht ten koste kunnen gaan van talloze andere rechten. De kunst blijft daarom altijd om alle relevante mensenrechten in onderlinge samenhang te blijven effectueren. Het ene mensenrecht prevaleert daarbij zelden boven het andere. Dit geldt ook in de huidige context. Van botsende grondrechten of mensenrechten is in onze optiek dan ook geen sprake.

Een nieuw wettelijk kader?

Ter bestrijding van corona werd in Nederland de afgelopen twee jaar deels gewerkt met tijdelijke noodverordeningen. Dit was echter in strijd met de Grondwet, aangezien de Grondwet vereist dat iedere privacy-inbreuk gebaseerd moet zijn op een wet in formele zin. De Tijdelijke wet maatregelen COVID-19 (Twm) werd in mei 2022 echter niet verlengd door de Eerste Kamer, waardoor sindsdien een “juridisch vacuüm” resteert. Naarmate corona uit de wereld wegebt, wordt de maatschappelijke noodzaak en proportionaliteit (en daarmee de juridische houdbaarheid) van een nieuwe, permanente Coronawet steeds kleiner. Tegelijkertijd zou bepleit kunnen worden dat men op een ongewisse toekomst voorbereid dient te zijn, inclusief de lessen die de afgelopen jaren geleerd zijn. Die lessen zijn nu echter nog onduidelijk, aangezien nog geen deugdelijke evaluatie van de effectiviteit en impact van alle corona-maatregelen van de laatste jaren heeft plaatsgevonden. Dit verzet zich tegen een structureel wettelijk kader zoals in het huidige wetsvoorstel beoogd, aangezien de noodzaak, proportionaliteit en effectiviteit van diverse maatregelen tot op heden niet zijn aangetoond. Idem voor alle schadelijke neveneffecten die deze maatregelen gehad hebben. De corona-maatregelen waren grotendeels een maatschappelijk experiment. De voorgestelde Coronawet codificeert en legitimeert dit experiment als het ware. Mensenrechten lenen zich echter niet voor experimenten: zonder aantoonbare noodzaak en effectiviteit is iedere inbreuk onrechtmatig.

Het huidige wetsvoorstel is derhalve te vroeg ingediend en dient te worden ingetrokken of tenminste “on hold” te worden gezet. Mocht uw Kamer echter besluiten om de behandeling van het wetsvoorstel voort te zetten, dan dient in de uiteindelijke wet sprake te zijn van de best mogelijke democratische en rechtsstatelijke waarborgen, heldere kaders, duidelijke verantwoordelijkheden en evenwichtige maatregelen die grondig overwogen zijn.

Avondklok, coronapas en 2G-beleid terecht van de baan

Graag benoemen wij allereerst enkele lichtpuntjes in het huidige wetsvoorstel, namelijk dat dit welbewust geen wettelijke basis biedt voor eventuele maatregelen “achter de voordeur” (binnenshuis), geen toekomstige herinvoering van een avondklok, geen coronatoegangsbewijs (coronapas) en daarmee evenmin zogeheten 2G-beleid wat tot een tweedeling in de samenleving zou leiden. Dergelijke maatregelen lijken daarmee vooralsnog van de baan, in lijn met de kritische standpunten van Privacy First in de afgelopen jaren.[1] Mochten deze maatregelen echter alsnog (weer) worden ingevoerd, dan behoudt Privacy First zich het recht voor om dit bij de rechter aan te vechten en buiten werking te laten stellen wegens strijdigheid met internationaal en Europees recht. Dit geldt eveneens wanneer er alsnog weer een coronapas zal worden ingevoerd in bepaalde maatschappelijke sectoren.

Carte blanche onder nieuw artikel 58d Wpg

Grootste bezwaar van Privacy First tegen het huidige wetsvoorstel is het nieuwe artikel 58d Wpg. Onder deze bepaling kan in een “noodsituatie” vrijwel elke willekeurige maatregel direct worden ingevoerd. Welke mogelijke nieuwe maatregelen hieronder kunnen vallen is volstrekt onduidelijk. Zou dit alsnog ook een avondklok of coronapas kunnen zijn? Een dergelijk brede, vage “carte blanche”-bepaling biedt alle aanleiding voor toekomstige willekeur en machtsmisbruik. Dit past niet in een vrije democratische rechtsstaat en is in strijd met het vereiste van rechtszekerheid. Deze bepaling dient daarom te worden geschrapt. Privacy First herinnert u hierbij graag aan het feit dat het voorgestelde artikel 58d Wpg lijkt op het beruchte artikel 58s in het vroegere wetsvoorstel Twm. Na veel kritiek werd die bepaling (58s) in oktober 2020 unaniem geschrapt, maar is nu dus weer in alle stilte terug. Het is aan uw Kamer om deze bepaling voorgoed naar de schroothoop der ondeugdelijke wetgeving te verwijzen. Bij gebreke hieraan verwacht Privacy First dat de Eerste Kamer dit alsnog zal bewerkstelligen.

Gebrekkige parlementaire zeggenschap

Onder het huidige wetsvoorstel lijkt de Tweede Kamer weliswaar een “vetorecht” te hebben bij activering van maatregelen (zie art. 58c), maar hoe sterk werkt dit vetorecht in de praktijk in procedurele en temporele zin? Bij de eerdere Twm bestond hierover vaak onduidelijkheid en onjuiste beeldvorming. Tevens heeft Privacy First zorgen over de te ruime ministeriële bevoegdheden die het wetsvoorstel biedt. Bij mogelijke inbreuken op de mensenrechten dient immers zoveel mogelijk sprake te zijn van regulering op het niveau van de wet zelf. Daarnaast heeft activering van maatregelen middels AMvB de voorkeur boven ministeriële regelingen, aangezien dit betere parlementaire controle biedt.

Eerste Kamer buitenspel

Een ondemocratisch aspect aan het huidige wetsvoorstel is dat de Eerste Kamer bij activering van maatregelen buitenspel gezet wordt. De Eerste Kamer heeft daarbij immers geen vetorecht (“blokkeringsrecht”). Dit ondermijnt het democratisch stelsel. Mocht uw Kamer dit onderdeel van het wetsvoorstel niet willen repareren, dan vergroot dit de kans dat het wetsvoorstel in de Eerste Kamer zal stranden.

Overige zorgen

Het voorgestelde artikel 58f Wpg lijkt bij voorbaat een verplichte “veilige afstand” buitenshuis te introduceren. Geldt dit ook zonder activering middels ministeriële regeling? Zo ja, dan is dit uiterst kwalijk, zelfs als die “veilige afstand” standaard op nihil gezet zou worden. In de optiek van Privacy First is het niet aan de overheid om afstanden tussen mensen op te leggen; dit is een eigen verantwoordelijkheid die de meeste mensen in aangewezen situaties zelf in acht zullen nemen. Idem voor mogelijke herintroductie van een mondkapjesplicht (art. 58g). Standpunt van Privacy First is altijd geweest dat het dragen van mondkapjes vrijwillig dient te zijn, zeker zolang de effectiviteit ervan niet is aangetoond.[2] 

Tenslotte

Voornaamste risico van de voorgestelde Coronawet is dat deze in de toekomst te gemakkelijk zal kunnen worden geactiveerd, uitgebreid en misbruikt door toekomstige regeringen, ook ter bestrijding van andere ziekten en virussen. Hetzelfde patroon was de afgelopen decennia zichtbaar bij de invoering en geleidelijke uitbreiding van allerhande anti-terrorismewetgeving; ook die wetgeving werd vaak in de waan van de dag ingevoerd en bleek vervolgens nauwelijks effectief, maar heeft maatschappijen wereldwijd wel structureel veranderd ten koste van talloze klassieke burgerrechten. In de nasleep van de Coronacrisis dienen we dat heilloze pad niet opnieuw te bewandelen. Aan uw Kamer de taak om dit te voorkomen.

Desgewenst zijn wij graag bereid om bovenstaande aspecten nader toe te lichten.

Hoogachtend,

Stichting Privacy First 

[1] Zie bijv. https://www.privacyfirst.nl/aandachtsvelden/mobiliteit/item/1217-standpunt-privacy-first-inzake-avondklok.html, https://www.privacyfirst.nl/aandachtsvelden/wetgeving/item/1224-standpunt-privacy-first-inzake-concept-wetsvoorstel-testbewijzen-covid-19.html, https://www.privacyfirst.nl/aandachtsvelden/wetgeving/item/1234-oproep-privacy-first-aan-tweede-kamer-ter-blokkering-van-coronapas.html.
[2] Zie bijv. https://www.privacyfirst.nl/aandachtsvelden/wetgeving/item/1211-standpunt-privacy-first-inzake-mondkapjesplicht.html.

Transactie Monitoring Nederland hoort er niet te komen

Sinds 2020 lopen de Nederlandse banken zich warm voor een gezamenlijke database waarmee alle financiële transacties van alle Nederlanders geanalyseerd zullen gaan worden. Doel van de analyse is om financiële criminaliteit op te sporen. Op 7 oktober jl. heeft het kabinet besloten dat er een wet zal komen die deze gezamenlijke misdaadopsporing van banken mogelijk moet maken.

Privacy First vindt dat geen goed idee. 

Misdaadbestrijding door banken

Al sinds 1994 hebben banken misdaadbestrijdingstaken op grond van Nederlandse wetgeving, die is gebaseerd op Europese regels. De regelgeving staat bekend als ‘witwasbestrijding’ en houdt in dat banken klantenonderzoek moeten doen naar al hun klanten, dus zowel naar organisaties en bedrijven als naar consumenten. Verder zijn banken verplicht om alle financiële transacties, klein en groot, te monitoren en na te gaan of er aanwijzingen zijn dat financiële middelen van een klant van misdaad afkomstig zijn. Als die aanwijzingen er zijn, moeten ze een melding doen aan FIU-Nederland (een onderdeel van de Politie), zodat er strafrechtelijk onderzoek kan worden ingesteld.

Die misdaadbestrijdingstaak is moeilijk uitvoerbaar voor banken, met als gevolg dat zij grote boetes van de overheid hebben gekregen. Verder kost het klantenonderzoekswerk de banken veel geld (de kosten worden aan de klanten doorberekend) en is er onvoldoende personeel dat in staat is om op een kwalitatief hoogwaardige wijze misdaad te detecteren.

Nu al gaat er het nodige mis met de uitvoering van deze taken door banken: mensen krijgen indringende vragen over betalingen en begrijpen niet waar de banken mee bezig zijn. In toenemende mate weigeren banken bankrekeningen te openen, met als argument dat het klantenonderzoek inzake de desbetreffende klant te duur zou zijn.

Dit alles was reden voor de banken om te pleiten voor gezamenlijke misdaadbestrijding via een eigen BV. 

Alle transacties in één database: Transactie Monitoring Nederland BV

De banken willen nu kosten gaan besparen door het klantenonderzoek ten behoeve van de misdaadbestrijding samen te doen via een in 2020 speciaal voor dat doel opgerichte BV, Transactie Monitoring Nederland BV (TMNL). Om mogelijk te maken dat alle transacties van Nederlandse banken door TMNL geanalyseerd kunnen worden is wetswijziging nodig.

Aanvankelijk werd er aan gedacht om de activiteiten van TMNL te legaliseren via het wetsvoorstel Gegevensverwerking door Samenwerkingsverbanden (WGS). De burgerrechtencoalitie die eerder met succes heeft gestreden tegen het Systeem Risico Indicatie (SyRI) heeft zich kritisch over WGS uitgelaten, zie het artikel Burgerrechtencoalitie: Eerste Kamer moet datasurveillancewet ‘Super SyRI’ afwijzen. Privacy First is tegen grootschalige financiële surveillance van alle burgers. 

Kritiek wordt genegeerd

Ook officiële overheidsadviseurs hebben zich gekant tegen het voorstel dat banken samen transacties gaan analyseren. De Autoriteit Persoonsgegevens was kritisch over de WGS. In januari 2021 bracht de Raad van State een kritisch advies uit waarin ze zich keren tegen de bancaire samenwerking en schrijven: 

De massale schaal waarop banktransacties gezamenlijk zullen worden gemonitord is ongekend en betekent een vergaande inbreuk op de vertrouwelijkheid van gegevens van burgers en bedrijven. Daarbij gaat het niet alleen om het recht op privacy. Deze monitoring kan ook leiden tot uitsluiting en discriminatie. De Afdeling advisering is van oordeel dat het niet is aangetoond dat deze gezamenlijke transactiemonitoring noodzakelijk en proportioneel is. Daarbij komt dat het wetsvoorstel geen passende rechtsbescherming biedt; ook deze wordt als het ware uitbesteed aan de banken. Het advies is dan ook de grondslag voor de gezamenlijke transactiemonitoring uit het wetsvoorstel te schrappen.

Ondanks de kritiek van de Raad van State wil het kabinet toch doorgaan met TMNL. 

Privacy First is mordicus tegen een sleepnet van de gezamenlijke banken over de complete financiële transactiegegevens van Nederlandse mensen, bedrijven en organisaties en roept iedereen op tegen dit kabinetsplan te ageren. 

Privacy First wil de komende tijd meer aandacht besteden aan financiële privacy. Lees ook de column van Ben van der Burg: Met vuur spelende data-uitwisselaars.

Belangenorganisaties in de zorg lobbyen voor het opnieuw invoeren van het Elektronisch Patiëntendossier zoals dat in 2011 unaniem werd verworpen door de Eerste Kamer. Net nu er een wet op komst is die het probleem van het “dossier met duizend achterdeuren” oplost. Hun houding schaadt zowel de patiëntprivacy als de zorgcommunicatie, aldus Privacy First.

Het thema ‘digitale zorgcommunicatie’ is al sinds de verwerping van het Landelijk Elektronisch Patiëntendossier in 2011 een hoofdpijndossier. Sindsdien werden meerdere pogingen gedaan om nieuwe wetgeving te maken voor een digitaal uitwisselingssysteem in de zorg. Dit bleef al die tijd zonder werkbare oplossing: de nieuwe zorgcommunicatiewet die er nu ligt, is de derde poging in elf jaar.

Elf jaar hardnekkige tunnelvisie

De belangrijkste reden voor de ontbrekende voortgang is dat partijen zoals zorgverzekeraars, zorgkoepels en patiëntenorganisaties ook na het verwerpen van het EPD in 2011 bleven vasthouden aan het systeem dat daarvoor was bedacht: het Landelijk Schakelpunt (LSP). De wijze waarop het LSP is ingericht, leidt tot verschillende problemen die in de weg staan aan een effectieve én veilige uitwisseling van medische gegevens.

Zo is het in het LSP niet mogelijk om als zorgverlener gericht informatie naar een andere zorgverlener te sturen, terwijl dit soort berichten de hoofdmoot vormt van communicatie in de zorg. Gegevens delen met andere zorgverleners kan in het LSP slechts door deze op voorhand breed raadpleegbaar te maken voor gehele categorieën zorgverleners. Deze werkwijze sluit bij het overgrote deel van de zorgcommunicatie niet aan op de praktijk en is in strijd met het medisch beroepsgeheim.

Nieuwe wet biedt eindelijk uitkomst

Inmiddels bestaan er nieuwe systemen die specifiek ontworpen zijn om behandelinformatie één-op-één te delen tussen zorgverleners, zoals bij een doorverwijzing van de huisarts naar een specialist. De nieuwe wet voor zorgcommunicatie, de Wet Elektronische Gegevensuitwisseling in de Zorg (WEGIZ), maakt het mogelijk om deze verschillende systemen naast elkaar te laten functioneren. Zo zou het voor spoedeisende situaties nuttig zijn om – via een systeem zoals het LSP – op voorhand noodgegevens over allergieën, medicijngebruik en contra-indicaties beschikbaar te stellen. Voor doorverwijzingen kunnen daarnaast systemen worden gebruikt die zijn gebouwd om specifieke behandelinformatie naar een andere zorgverlener te sturen.

Belangenorganisaties liggen dwars

Grote belangenpartijen in de zorg zoals zorgkoepels, verzekeraars en de Patiëntenfederatie staan echter niet open voor de nieuwe mogelijkheden die de WEGIZ biedt. Het zogeheten Informatieberaad Zorg, waar zorgkoepels en verzekeraars sinds 2014 vergaderen over nieuwe oplossingen, droeg sinds haar bestaan alleen oplossingen aan die gebruik maakten van het LSP. Ook het recent gelekte Integraal Zorgakkoord, waarin de lijnen van het toekomstig zorgbeleid worden uitgezet, bevat een uitgebreide bijlage over gegevensuitwisseling waarin uitsluitend wordt gesproken over uitwisselingen zoals die volgens de inrichting van het LSP verlopen.

De recente ontwikkeling van het toestemmingsportaal Mitz wordt gepresenteerd als iets nieuws, maar verandert niets aan deze situatie, omdat op de achtergrond nog steeds gebruik wordt gemaakt van het LSP, met al haar beperkingen en tekortkomingen.

“Het lijkt er alleszins op dat de partijen die dit zorgakkoord hebben opgesteld, niet voornemens zijn om de WEGIZ als wettelijk kader aan te houden”, stelt Privacy First in een actuele brief aan de Tweede Kamer. Daarom moet Minister Kuipers de regie in handen nemen en deze niet langer in handen leggen van de partijen die al elf jaar lang dezelfde niet-werkende oplossingen aanleveren.

Raadselachtige houding

De partijen die nu ijveren voor het alsnog invoeren van één landelijk systeem, zijn allen betrokken bij de vereniging VZVZ, dat na het wegstemmen van het EPD werd opgericht om het systeem privaat door te zetten. Gefinancierd door jaarlijks vele miljoenen aan premiegeld vanuit zorgverzekeraars bleven de betrokken partijen de afgelopen elf jaar het EPD, dat nu LSP heet, pushen. Ook nu gaan ze hiermee door, terwijl er een wet op tafel ligt die de problemen die leidden tot verwerping van het EPD kan ondervangen.

Marc Smits, bestuurder bij Privacy First: “Belangenorganisaties houden dogmatisch vast aan het idee van een landelijk systeem voor alle zorgcommunicatie van iedere patiënt, terwijl de patiënten, artsen en de zorg als geheel vooral gebaat zijn bij technologie die aansluit bij het zorgproces, in plaats van andersom. Minister Kuipers zou bij de uitvoering van de WEGIZ niet uitsluitend moeten investeren in centrale oplossingen zoals het LSP, maar evenzeer decentrale oplossingen moeten stimuleren en opschalen.”

Lees hier de brief die Privacy First hierover aan de Tweede Kamer stuurde (pdf). 

Het Kamerdebat over de WEGIZ vindt plaats op 14 september as.

Op 2 juni jl. organiseerde Privacy First in het Amsterdamse Volkshotel een paneldiscussie over de toekomst van zorgcommunicatie. Vier deskundigen op het gebied van zorg en gegevensuitwisseling gingen in gesprek over wat er nodig is om dit slepende dossier uit het slop te halen.

Met de vraag “Gegevensuitwisseling in de zorg: waarom werkt het nog niet?” luidde Privacy First-bestuurslid Marc Smits de centrale kwestie van de avond in. Er wordt in Nederland al bijna twintig jaar gewerkt aan digitalisering van communicatie tussen zorgverleners, maar, zo constateert hij: “het werkt nog steeds niet echt”. Na een presentatie waarin Smits kort de probleemstelling van de avond toelichtte, ging een panel van vier deskundigen op het snijvlak van zorg, privacy en technologie in discussie over de toekomst van gegevensuitwisseling in de zorg.

Het panel bestond uit:

Guido van ’t Noordende, informaticus die is gepromoveerd op decentrale systemen en vanuit die achtergrond onderzoeker en voorvechter van decentrale communicatie. Van ’t Noordende is oprichter van Whitebox Systems, een decentraal opererend zorgcommunicatiesysteem.  

Geranne Lautenbach, jurist en consultant op het gebied van gezondheid bij adviesbureau MedicalPHIT. Ze is betrokken bij onder andere het landelijk programma TWIN, een afspraakstelsel voor standaardisatie van berichten en is daarnaast privacy-adviseur bij het Radboud UMC en functionaris gegevensbescherming voor de landelijke prenatale screening.

Herman Pieterman is gepensioneerd radioloog, voormalig secretaris van de Nederlandse Vereniging voor Radiologen en werkte in het Erasmus MC. De laatste tien jaar was hij daar hoofd patiëntenzorg en liep hij tegen veel problemen aan bij de beschikbaarheid van radiologische beelden. Pieterman werkte aan een systeem waarmee radiologen sneller onderling beelden konden uitwisselen en is na zijn pensionering nauw betrokken gebleven bij dit onderwerp.

Wim Jongejan is gepensioneerd huisarts en publiceert al geruime tijd op de website ZorgICTZorgen kritische stukken over (digitale) ontwikkelingen in de zorg, waarbij privacy en het medisch beroepsgeheim belangrijke thema’s zijn.

De moderator van de avond was Privacy First vice-voorzitter Nelleke Groen.

In de anderhalf uur durende paneldiscussie werd ingegaan op de knelpunten die de huidige zorgcommunicatiesystemen kennen, wat er moet gebeuren om deze op te lossen en welke problemen vooralsnog in de weg stonden van toekomstbestendige zorgcommunicatie. Dit aan de hand van stellingen die inhaakten op dilemma’s bij de wetgeving, de keuze voor technologie en de politiek van de Nederlandse zorgsector:

“Beschikbaarheid van gegevens is belangrijker dan het medisch beroepsgeheim.”
Deze discussie werd in de voorgaande jaren vaak beslecht met het scenario “als je in Leeuwarden onder een bus komt, kennen ze daar je medische dossier niet.’' Maar moet de huisartsenpost dan ook inzien welke huwelijksproblemen je onlangs met je huisarts hebt besproken? Hoe gaan we om met medische noodsituaties waarin patiënten geen toestemming voor het raadplegen van hun gegevens kunnen geven? Op dit moment is het niet mogelijk om bij voorbaat een specifieke set noodgegevens beschikbaar te stellen, maar slechts een samenvatting van het dossier. Een beter systeem zou dan ook moeten zijn ingericht om specifiek bepaalde gegevens beschikbaar te stellen in geval van nood – zonder daarbij niet-noodzakelijke gegevens te delen. Dat is immers in strijd met het beroepsgeheim en levert artsen tuchtrechtelijke problemen op.

“Iedere dokter moet altijd bij alle gegevens kunnen.”
Vanuit de beroepspraktijk van een zorgverlener kan het zeer frustrerend zijn om niet te kunnen beschikken over alle gegevens die je nodig hebt voor een behandeling. Maar toch is het vanuit veiligheidsoogpunt onwenselijk om iedere zorgverlener ‘met één druk op de knop’ inzage te bieden. Hoe breder gegevens toegankelijk worden gemaakt, des te kwetsbaarder wordt een systeem voor hackers en ander misbruik. En hoe controleer je of een zorgverlener die je gegevens opvraagt, ook werkelijk een behandelrelatie heeft? Hedendaagse zorgcommunicatiesystemen als het Landelijk Schakelpunt (LSP) zijn daar niet op ingericht.

“Het is onrealistisch om te denken dat we binnen afzienbare tijd een landelijk dekkend systeem voor zorgcommunicatie hebben dat voldoet aan de eisen van privacy en veiligheid.”
Ondanks torenhoge ambities en dito investeringen is er elf jaar na de eerste poging tot een landelijk dekkende gegevensuitwisseling in de zorg slechts op beperkte schaal uitwisseling gerealiseerd, in een beperkt deel van de zorg. Via het huidige LSP wordt alleen een professionele samenvatting van het huisartsendossier uitgewisseld en wordt medicatie-informatie met de apotheek gedeeld. Het doorsturen van beelden is bijvoorbeeld niet mogelijk; informatie die buiten deze professionele samenvatting valt, kan niet door het LSP worden gedeeld. Er zijn ook nu nog veel obstakels voor een landelijk geharmoniseerde zorgcommunicatie. De zorg in Nederland is geprivatiseerd, wordt geacht met elkaar te concurreren en is daarom sterk gefragmenteerd. Gezamenlijke inkoop is aan banden gelegd, waardoor er veel technische problemen optreden bij het koppelen van verschillende systemen, geleverd door verschillende bedrijven. Organisaties in de zorg werken vaak op hun eigen eilandje, waardoor er ook sterk variërende interpretaties zijn van wet- en regelgeving.

“Het is onverantwoord om patiënten zelf verantwoordelijk te maken voor de afscherming van hun medische gegevens.”
Op verschillende manieren werd en wordt gepoogd om patiënten een sterkere regie te geven in het beheren van hun medische dossiers. Dit gaat van patiëntenportalen waar een afschrift van het dossier kan worden opgevraagd tot initiatieven om patiënten zelf aan te laten vinken welke zorgverleners welke informatie mogen raadplegen. Om verschillende redenen is dit een riskant plan; begrijpen alle patiënten immers wel waar ze toestemming voor geven? Voor veel mensen, vooral mensen met een hoge zorgvraag, is dat niet het geval en zal dit vooral een drempel opleveren. Daarnaast staat het op gespannen voet met het medisch beroepsgeheim, dat niet door de patiënt maar door de arts wordt gewaarborgd. Het biedt derde partijen tevens mogelijkheden om medische gegevens die ze nooit van een arts zouden krijgen, toch via patiënten zelf los te peuteren.

“De ‘corona opt-in’ moet permanent worden voor alle noodsituaties.”
Ondanks het feit dat miljoenen Nederlanders geen toestemming hadden gegeven om hun dossier beschikbaar te stellen via het Landelijk Schakelpunt, werd dit in april 2021 door het Ministerie van Volksgezondheid overruled en konden medewerkers van huisartsenposten en de spoedeisende hulp toch toegang krijgen tot de professionele samenvatting van hun medisch dossier. In Kamerbrieven heeft het Ministerie inmiddels aangegeven dat zij deze maatregel permanent wil maken. In feite is het dan ook geen ‘opt-in’, wat impliceert dat de patiënt hier zelf toestemming voor heeft gegeven. Het is een opt-out naar model van het landelijk EPD dat in 2011 werd verworpen door de Eerste Kamer. Ook hier moesten patiënten onder een ‘wie zwijgt, stemt toe’ regime zelf aangeven dat hun gegevens niet mochten worden gedeeld. Aangezien de corona opt-in werd gerechtvaardigd door de noodsituatie van de coronapandemie, kan deze nu moeilijk als houdbaar worden beschouwd. Het kan zeker nuttig zijn om voor noodsituaties bepaalde noodzakelijke gegevens beschikbaar te stellen, maar dat is binnen de architectuur van het LSP niet mogelijk.

Privacy First voorzitter Paul Korremans sloot vervolgens de avond af met een kort dankwoord aan de aanwezigen en de panelleden. 

De Wet Elektronische Gegevensuitwisseling in de Zorg (Wegiz) ligt op dit moment in de Tweede Kamer en zou een doorbraak kunnen betekenen naar een zorgvuldige, efficiënte en veilige zorgcommunicatie. Lees HIER het commentaar dat Privacy First eerder inbracht op dit wetsvoorstel.

Privacy First is voor de uitvoering van haar dagelijkse werkzaamheden en het voeren van politieke lobby volledig afhankelijk van giften en donaties – zo ook op dit onderwerp. Steun Privacy First met een financiële bijdrage via deze pagina. Wilt u voortaan een directe uitnodiging voor onze evenementen ontvangen? Mail ons! Dan voegen wij u toe aan onze mailinglist. 

Help mee bij de organisatie van de Nederlandse Privacy Awards!  

Privacy First is op zoek naar ondersteuning bij de voorbereiding van de Awards-uitreiking eind januari 2023. We starten liefst z.s.m. 

Deze rol kost gemiddeld een halve dag per week en kan worden ingevuld als vrijwilligerswerk of als stage. Voor de ondersteuning is helaas geen vergoeding beschikbaar, wel worden noodzakelijke onkosten en reiskosten vergoed.

Wat moet je kunnen en wat is nodig voor het invullen van deze rol?
- Interesse in privacy;
- Organisatorisch talent;
- Eigen initiatief;
- Ondersteuning bij het organiseren van meetings, vooral digitaal;
- Assistentie bij het opstellen van persberichten, contacten met media en beheer van de Awards-website;
- Assistentie bij de organisatie van de Nationale Privacy Conferentie en Awards-uitreiking op 28 januari 2023.  

Er zal veel digitaal gebeuren, deels ook op ons kantoor aan de Nieuwe Herengracht in Amsterdam. En uiteraard de uitreiking zelf in Nieuwspoort, Den Haag.

Wat ga je leren en meemaken?
- Privacy en de daaraan verbonden maatschappelijke ontwikkelingen zijn in een stroomversnelling terechtgekomen. Hier zit je met je neus bovenop;
- De Nederlandse Privacy Awards bieden dé gelegenheid voor organisaties, bedrijven en overheden om te laten zien wat voor positiefs zij in het kader van privacy kunnen betekenen;
- Door ervaren experts in de jury wordt beoordeeld wat echt impact heeft op bescherming van de persoonlijke levenssfeer en wat die impact is;
- Je helpt mee om een groot evenement te organiseren in Nieuwspoort, met veel bezoekers, als geïntegreerd onderdeel van de Nationale Privacy Conferentie met ECP, inclusief digitale streaming daarvan.

Kortom, de kans om een interessante, leerzame en nuttige bijdrage te leveren aan een positieve nationale bijeenkomst rond het actuele thema privacy.

Interesse? Neem contact op met Privacy First! 

Recentelijk heeft de nieuwe Coalitie Eerlijk Digitaal Onderwijs (CEDO) een manifest en petitie voor privacyvriendelijk onderwijs gelanceerd. Privacy First maakt zich al jaren zorgen over het toenemende gebrek aan privacy van kinderen en scholieren. Privacy First steunt dit initiatief daarom van harte. 

CEDO, een coalitie van ouders, IT'ers, docenten en privacy-voorvechters, maakt zich grote zorgen vanwege de sterk toegenomen invloed van tech-giganten op het publieke domein onderwijs. 

De coalitie constateert dat de huidige digitale leersystemen door techgiganten worden gedomineerd en dat fundamentele rechten - zoals de privacy van kinderen, ouders en leraren - niet voldoende geborgd kunnen worden.

De digitale infrastructuur van het Nederlandse onderwijs is vrijwel volledig in handen van buitenlandse tech-giganten zoals Google en Microsoft. Van de maildienst tot de verwerking en opslag van onderwijsprojecten, van het online kladblok tot de videotool. Dit kan handig zijn – zo kon er tijdens de Corona-crisis snel met thuisonderwijs worden gestart – maar deze leveranciers beperken het recht op privacy en bieden geen openheid over wat er met gegevens gebeurt.

Big Tech in het onderwijs betekent dat de digitale veiligheid door scholen niet kan worden gegarandeerd. Onze kinderen verliezen al vanaf de kleuterklas de controle over hun gegevens. Ze krijgen bovendien slechts beperkte en eenzijdige productkennis aangeboden, in plaats van de (digitale) vaardigheden om kritisch te leren denken.

De coalitie pleit daarom voor een alternatief ontwerp van digitale leeromgevingen, waarin publieke waarden en autonomie in het onderwijs wèl worden gewaarborgd.

Het moet en het kan anders! 

Teken HIER de petitie en steun het manifest!