Toon items op tag: Privacy

Het nieuwe 'Landelijk EPD': overbodig, onwenselijk en onaanvaardbaar

Het Ministerie van VWS is, buiten het zicht van de Tweede Kamer om, actief betrokken bij een nieuwe variant van het 'Landelijk EPD’: de Online Toestemmingsvoorziening (OTV/Mitz) van het Informatieberaad Zorg. Naast kritische inbreng in een open consultatie stuurde Privacy First hierover begin deze week een alarmerende brief aan de Tweede Kamer.

Privacy First acht het voorstel voor de Online Toestemmingsvoorziening (OTV/Mitz) overbodig, onwenselijk, onaanvaardbaar en een ernstige schending van de privacy van patiënten.

De OTV is een doorontwikkeling van het Landelijk Schakelpunt (LSP), de implementatie van het in 2011 door de Eerste Kamer verworpen ‘Landelijk EPD’. Ondanks dat de Minister van Medische Zorg en Sport bij herhaling stelt te koersen op een gegevensuitwisseling binnen het zorgproces, blijft het Informatieberaad Zorg volharden in het gebruik van een gecentraliseerde infrastructuur.

Voor patiënten heeft dit draconische gevolgen: zeg je ’nee’ tegen deelname aan de OTV, dan kunnen er geen medische gegevens meer worden uitgewisseld. Zelfs het versturen van een recept, of een papieren dossier, is dan niet meer mogelijk. Op deze wijze worden patiënten gedwongen het medisch beroepsgeheim te doorbreken en een brede, ongerichte ontsluiting van hun medische gegevens te accepteren.

In 2014 werd het recht op een ‘opt-in’ in de wet verankerd. Dat wordt via de OTV nu effectief ongedaan gemaakt. Het Informatieberaad Zorg neemt samen met Zorgverzekeraars Nederland plaats op de stoel van de wetgever. Privacy First acht dat vanuit democratisch oogpunt pertinent onaanvaardbaar.

Vervolgens bleek de ‘open consultatie' hierover alles behalve ‘open'. Inzenden mocht naar een emailadres. Over de andere inbreng wordt niet gecorrespondeerd. Andere inbreng die we kennen is van Stichting NUTS, Whitebox en ZorgICTzorgen.

Wordt vervolgd...

Klik HIER voor de inbreng van Privacy First bij de consultatie (pdf).
Klik HIER voor de brief van Privacy First aan de Tweede Kamer (pdf).

Masterclass Privacy – The Next Step: privacy bekeken vanuit juridisch, technologisch, economisch, psychologisch en ethisch perspectief

Vanaf 28 oktober t/m 9 december 2020 vindt bij de UvA Academy een speciale Masterclass plaats over privacy, genaamd The Next Step. Deze Masterclass is geschikt voor privacy professionals zoals privacy officers, functionarissen gegevensbescherming, cybersecurity specialisten, marketeers, advocaten, juristen, beleidsmedewerkers, managers en adviseurs die te maken hebben met juridische, economische, ethische, technische en organisatorische vraagstukken en verandertrajecten met betrekking tot privacy en de verwerking, opslag en gebruik van persoonsgegevens.

In zeven modules worden talrijke privacyonderwerpen onderwezen door diverse vakdocenten. In week 7 zal Privacy First meedoen aan het Lagerhuisdebat.

De Masterclass zal onder andere ingaan op:

• Wat is privacy?
• Wat zijn de achtergronden en veranderingen in wet- en regelgeving op het gebied van privacy en welke impact hebben deze op mensen, overheid en organisaties?
• Consumenten en persoonsgegevens;
• Technologische ontwikkelingen;
• Impact van digitale technologie op de privacy van individuen;
• Ethisch perspectief op privacy en persoonsgegevens;
• Hoe kunnen consumenten hun privacy (beter) beschermen?
• Privacy binnen een organisatie, met aandacht voor cultuur, beleid, programmering en monitoring;
• Sectorspecifieke verschillen, uitdagingen en oplossingen onder meer in de zorg, bij de overheid en in de financiële sector;
• Werken aan praktijkcasussen en vraagstukken die spelen bij deelnemers en hun organisaties.

  Klik HIER voor meer informatie en om u aan te melden.

Begin 2021 worden door Stichting Privacy First de jaarlijkse Nederlandse Privacy Awards uitgereikt.

Er zijn 4 categorieën waarvoor inschrijvingen genomineerd kunnen worden:

1. categorie Consumentenoplossingen (van bedrijven voor consumenten)

2. categorie Bedrijfsoplossingen (binnen een bedrijf of business-to-business)

3. categorie Overheidsdiensten (van de overheid voor burgers)

4. Aanmoedigingsprijs voor een baanbrekende technologie of persoon.
   
   

“De Coronacrisis laat zien, naast natuurlijk gezondheid en zorg, hoe actueel het belang van zorgvuldige omgang met persoonsgegevens is. Technische mogelijkheden, politieke ambities, commercieel streven en zorgwensen moeten voortdurend tegen het licht gehouden worden qua privacy. Niet omdat we tegen ontwikkeling zijn, maar omdat die respect voor de persoonlijke levenssfeer moet hebben. Deze positieve en constructieve benadering van privacy is de essentie van de Nederlandse Privacy Awards”, aldus Wilmar Hendriks, voorzitter van de jury.

Voorwaarden voor deelname

Voorwaarde voor deelname is dat u reeds met uw privacy-innovatie aan de slag bent. U bent de ideefase voorbij en kunt al iets van het project in uitvoering laten zien. U zorgt met uw project voor inspiratie bij andere organisaties waardoor privacy niet wordt gezien als een belemmering, maar als een kans!

De eerste selectie bestaat uit een screening waarop met de volgende zaken wordt omgegaan:

Ten aanzien van het product, proces of dienst:

Waardering van privacy

De Nederlandse Privacy Awards zijn gericht op een positieve(re) waardering van gegevensbescherming. Het product, proces of dienst levert hierop merkbare toegevoegde waarde.

Maatschappelijke impact

In hoeverre draagt het product, proces of dienst merkbaar bij aan de privacybescherming van de consument/gebruiker/burger? Staat de betrokkene hierin centraal? Welke maatschappelijke waarde wordt hiermee ondersteund? Is daarbij aandacht voor ethische aspecten en de maatschappelijke impact?

Innovatief vermogen

Is of biedt het product, proces of dienst een noviteit op privacygebied en heeft het zich in de markt nog niet uitgebreid technisch en/of commercieel bewezen? Is het voldoende innovatief en onderscheidend van bestaande commerciële producten of diensten of maatschappelijke dienstverlening?

Zelfredzaamheid

Is het product, proces of dienst binnen een reële termijn (ca 3 jaar) economisch realiseerbaar? Is er een businessmodel? Voor overheidsgerelateerde inzendingen: is er voldoende politiek, bestuurlijk en maatschappelijk draagvlak (te realiseren)?

Risicoanalyse

Is voor het product, proces of dienst een risico-analyse uitgevoerd (uitgaande van de (beoogde) verwerking)? Zijn daarbij waar nodig mitigerende maatregelen genomen? Welke?

Ten aanzien van de inzendende organisatie:

Privacyverantwoordelijke

Heeft de inzendende organisatie een FG (als dit verplicht is) of is er een privacyadviseur?

Privacy policy

Wordt een privacy policy gecommuniceerd en toegepast wanneer persoonsgegevens worden verwerkt?

Privacy awareness

Is privacy awareness herkenbaar in de beginselen van de organisatie? In hoeverre worden stakeholders betrokken bij ontwikkeling, ontwerp en uitvoering?

Bepalen van de genomineerden

Organisaties kunnen zich t/m 1 oktober 2020 aanmelden voor de Awards door een email met korte toelichting over het betreffende Privacy Project en antwoord op bovengenoemde criteria te sturen naar Privacy First via Dit e-mailadres wordt beveiligd tegen spambots. JavaScript dient ingeschakeld te zijn om het te bekijken.. Medio december 2020 hoort u of u tot de genomineerden behoort. De mogelijkheid bestaat dat de jury een aangekondigd (vertrouwelijk) bedrijfsbezoek aan de genomineerden zal brengen. Indien u genomineerd wordt ontvangt u van Privacy First tevens een uitnodiging om een korte pitch tijdens de Awards-uitreiking voor te bereiden. 

Voorschriften pitch

● Maximaal 3 minuten

● U gebruikt een Powerpoint presentatie (maximaal 3 sheets)

● De presentatie bevat in ieder geval de volgende onderdelen:

   o Organisatienaam

   o Privacy project omschrijving

   o Doel en behaalde resultaten.

Jury

De jury bestaat uit onafhankelijke privacy-experts uit diverse sectoren:

> Wilmar Hendriks, founder Control Privacy en lid Raad van Advies Privacy First (jury-voorzitter)
> Paul Korremans, data protection & security professional, Comfort Information Architects, tevens bestuurslid Privacy First 
> Marc van Lieshout, managing director iHub, Radboud Universiteit Nijmegen
> Alex Commandeur, senior adviseur BMC Advies
> Melanie Rieback, CEO en co-founder Radically Open Security
> Nico Mookhoek, privacy jurist en eigenaar NMLA
> Piek Visser-Knijff, data-ethicus en eigenaar Filosofie in actie
> Rion Rijker, privacy en informatiebeveiliging expert en IT-jurist, partner Fresa Consulting.

Om te garanderen dat de verkiezing van de Awards objectief verloopt, is het niet toegestaan dat de jury een deelname beoordeelt van de eigen organisatie of een organisatie waar een jurylid een belang bij heeft.

Privacy First organiseert de Nederlandse Privacy Awards met steun van Stichting Democratie & Media, in samenwerking met ECP. Wilt u graag (media)partner of sponsor van de Nederlandse Privacy Awards worden? Neem dan contact op met Privacy First!

Op 23 juni 2020 is de ‘Implementatiewet registratie uiteindelijk belanghebbenden van vennootschappen en andere juridische entiteiten’ aangenomen. Op basis van deze nieuwe wet komt in het Handelsregister van de KvK informatie te staan over alle uiteindelijk belanghebbenden (‘ultimate beneficial owners’ / UBO’s) van in Nederland opgerichte vennootschappen en andere juridische entiteiten. Daarbij moet worden aangegeven welk belang de UBO heeft, te weten van 25-50%, 50-75% of meer dan 75%. Van de UBO worden in ieder geval de naam, de geboortemaand en het geboortejaar en de nationaliteit openbaar voor iedereen raadpleegbaar, met alle privacy-risico’s van dien. De wet geeft maar zeer beperkte mogelijkheden voor afscherming van informatie. Dit is alleen mogelijk voor personen die door de politie worden beveiligd, voor minderjarigen en voor wie onder curatele is gesteld. Het gevolg zal zijn dat van vrijwel alle UBO’s openbaar bekend zal worden welk belang ze hebben. De wet treedt op korte termijn in werking. Daarna hebben juridische entiteiten nog achttien maanden om hun UBO’s te registreren. De gevolgen van deze nieuwe wetgeving zullen ingrijpend zijn. Het is een wet die beoogt witwassen tegen te gaan, maar zwartmaken bewerkstelligt.

Europese richtlijn

Deze wetswijziging vloeit voort uit de Europese vijfde anti-witwasrichtlijn, die lidstaten verplicht persoonsgegevens van UBO’s te registreren en voor het publiek openbaar te maken. Het doel hiervan is het tegengaan van witwassen en terrorismefinanciering. Het voor iedereen inzichtelijk maken van persoonsgegevens van UBO’s, inclusief het belang dat de UBO in de onderneming heeft, draagt volgens de Europese wetgever bij aan dat doel. De openbaarheid zou een afschrikkende werking hebben op personen die geld willen witwassen of terrorisme willen financieren.

Massale privacyschending

De vraag is of het middel het doel niet voorbijschiet. Het voor iedereen toegankelijk maken van de persoonsgegevens van alle UBO’s aan eenieder is een ‘blanket measure’ van preventieve aard. 99,9% van de UBO’s heeft niets met witwassen of financiering van terrorisme te maken. Het is een schending van de privacy die in de optiek van Privacy First niet proportioneel is. In het privacyrecht is een belangrijk principe dat gegevens die voor het ene doel zijn verzameld niet voor een ander doel mogen worden gebruikt. Het zou voldoende moeten zijn als de informatie over UBO’s beschikbaar is voor die overheidsdiensten die zich bezighouden met de bestrijding van witwassen en de bestrijding van terrorisme. Het gaat te ver om die informatie volledig openbaar te maken. De European Data Protection Supervisor oordeelde al dat deze privacyschending niet proportioneel is. Maar dat oordeel heeft niet geleid tot aanpassing van de Europese richtlijn.

Tijdens de Nederlandse parlementaire behandeling van deze wet kwam er uit verschillende hoeken fundamentele kritiek. Het bedrijfsleven roerde zich omdat men lastenverzwaring vreest en privacyrisico’s ziet. Familiebedrijven waarvan de UBO’s tot nu toe buiten de openbaarheid bleven hebben veel privacy te verliezen. Ook was er veel aandacht voor de positie van partijen die groot belang hechten aan bescherming van betrokkenen, zoals kerkgenootschappen en maatschappelijke organisaties. Helaas heeft dit niet tot aanpassing van de regelgeving geleid.

Rechtszaak

Privacy First zal een rechtszaak starten tegen het UBO-register wegens schending van het Europees privacyrecht. De Nederlandse wet en ook de bovenliggende Europese richtlijn zijn in strijd met het Europese Handvest voor de Grondrechten en met de AVG. Het is aan de rechter om daar een grondige toetsing op te doen. Privacy First heeft eerder met succes de geldigheid van wetgeving aan de orde gesteld, bijvoorbeeld in de procedure over de Wet Bewaarplicht Telecommunicatie.

Privacy First voert haar strategische procedures over privacy veelal met een coalitie van belanghebbenden. Privacy First inventariseert momenteel welke partijen hieraan een bijdrage kunnen leveren. Zou u (of uw organisatie) graag als mede-eiser aan deze rechtszaak willen deelnemen? Neem dan contact met ons op, of met onze advocaat Otto Volgenant van Boekx Advocaten. Als u Privacy First hierin financieel wilt steunen kunt u tevens donateur worden.

Update 6 januari 2021: vandaag is de rechtszaak van Privacy First tegen het UBO-register van start gegaan. Lees HIER meer over de zaak, onze dagvaarding en de geplande rechtszitting bij de rechtbank Den Haag.

Persbericht The Privacy Collective

Gegevens miljoenen Nederlanders onrechtmatig verzameld en verwerkt

The Privacy Collective daagt Oracle en Salesforce voor de rechter

The Privacy Collective - een stichting die optreedt tegen schending van privacyrechten - start vandaag een rechtszaak tegen Oracle en Salesforce. De stichting verwijt de technologieconcerns onder meer de gegevens van miljoenen Nederlandse internetgebruikers onrechtmatig te verzamelen en te verwerken. Er is gekozen voor een class action, waarbij voor een grote groep mensen schadevergoeding wordt geëist. Het is de eerste keer dat dit juridische middel in Nederland wordt ingezet bij een inbreuk op de Algemene Verordening Gegevensbescherming (AVG).

Advocaat Christiaan Alberdingk Thijm, die The Privacy Collective bijstaat: “Het gaat in deze zaak om één van de grootste gevallen van onrechtmatige verwerking van persoonsgegevens in de geschiedenis van het internet. Vrijwel alle Nederlanders die online informatie lezen of bekijken worden structureel geraakt door de praktijken van Oracle en Salesforce, die enkel een commercieel doel dienen.”

Online schaduwprofiel

Oracle en Salesforce verzamelen op ieder moment en op grote schaal gegevens van websitebezoekers. Door die te combineren met aanvullende informatie creëren zij van iedere individuele internetgebruiker een persoonlijk profiel. De miljoenen profielen worden onder andere gebruikt voor het aanbieden van gepersonaliseerde online advertenties en onrechtmatig gedeeld met talloze commerciële partijen, waaronder ad-tech bedrijven. De techgiganten verzamelen hun informatie onder meer met speciaal ontwikkelde cookies. Alberdingk Thijm: “De meeste mensen weten niet dat zij zo’n online ‘schaduwprofiel’ hebben. Zij weten niet hoe het er uitziet en hebben er zeker geen rechtmatige toestemming voor gegeven.” Voor het verzamelen en delen van de persoonsgegevens horen Oracle en Salesforce op basis van de AVG toestemming te vragen. “Deze partijen handelen in strijd met het recht op privacy van internetgebruikers. Het recht op bescherming van persoonsgegevens en het recht op bescherming van de persoonlijke levenssfeer worden erkend als fundamentele rechten”, aldus Alberdingk Thijm.

Class action

Sinds januari van dit jaar bestaat ook in Nederland de mogelijkheid in een class action schadevergoeding te vorderen. “Schade claimen in een class action is een belangrijk handhavingsinstrument in de AVG”, zegt Joris van Hoboken, hoogleraar Informatierecht en bestuurslid van The Privacy Collective. "Het geeft de wet tanden." De stichting verzoekt internetgebruikers zich via haar website te registreren om hun steun te betuigen. Op basis van het aantal gedupeerden kan de totale omvang van de schade uitkomen op meer dan 10 miljard euro. Verschillende organisaties steunen de actie van The Privacy Collective, waaronder Privacy First, Bits of Freedom, Qiy Foundation en Freedom Internet. De class action wordt volledig gefinancierd door Innsworth, een procesfinancier. Daardoor maken de individuen waar The Privacy Collective voor optreedt zelf geen kosten. Deze organisatie financiert in Engeland en Wales een vergelijkbare class action, die momenteel wordt voorbereid.

Bron: persbericht The Privacy Collective, 14 augustus 2020.

Meer informatie: https://theprivacycollective.nl.

Nederlandse privacy-activist wint Finse zaak over elektronische sleutels

Bewoners van appartementen in een flatgebouw hebben in beginsel het recht om onbespied hun eigen woning te betreden. Dat heeft de Finse privacy-autoriteit op 29 juli 2020 bevestigd in een zaak die was aangespannen door de Arnhemse privacy-activist Michiel Jonker. De installatie van een elektronisch systeem dat monitort met welke adresgebonden en gechipte sleutel op welk tijdstip welke deur wordt geopend, is volgens de Finse privacywaakhond Tietosuojavaltuutettu (Finnish Data Protection Ombudsman) in strijd met de AVG.

Het gaat om een Fins gebouw met kleine appartementen waarin zowel huurders als eigenaren wonen. In 2018 had de Vereniging van Eigenaren (VvE) besloten om het elektronische bewakingssysteem te installeren op alle externe ingangen van het gebouw. Het voornemen was om ook alle individuele appartementen aan te sluiten op het systeem. Het systeem wordt beheerd door een ingehuurd bedrijf en zou alleen in opdracht van de politie worden geraadpleegd, al dan niet op verzoek van het bestuur van de VvE.

Aanleiding vormden enkele incidenten waaruit volgens het bestuur bleek dat zich voormalige bewoners in de kelder van het gebouw hadden bevonden en daar sporen hadden achtergelaten. Het vermoeden was dat zij gebruik hadden gemaakt van niet-ingeleverde sleutels. Volgens het bestuur van de VvE werden er geen persoonsgegevens verwerkt, omdat de nieuwe, elektronische sleutels weliswaar adresgebonden waren, maar niet persoonsgebonden.

Jonker maakte bezwaar tegen het systeem en stelde dat de noodzaak voor een dergelijke monitoring niet was aangetoond. De VvE had geen wettelijke grondslag gegeven voor de gegevensverwerking. Ook waren de huurders niet geraadpleegd, waardoor een grote groep bewoners geen toestemming had gegeven. Jonker achtte de verwerkte gegevens wel herleidbaar tot personen, in het bijzonder in het geval van eenpersoonshuishoudens.

De Finse privacy-autoriteit stelde Jonker op al deze punten in het gelijk, en wees erop dat de Finse wetgeving met betrekking tot de besluitvorming van VvE's geen vrijbrief vormt voor besluiten die in strijd zijn met de AVG. Ook wees de autoriteit erop dat een verhuurder niet namens een huurder toestemming kan geven voor de verwerking van persoonsgegevens. Voorts wees de autoriteit erop dat een toestemming voor de verwerking van persoonsgegevens door elke betrokkene (ongeacht of dat een huurder of een eigenaar is) op elk moment kan worden ingetrokken, conform de AVG.

De autoriteit benadrukte dat het belang van een derde (bijvoorbeeld de politie) geen rechtvaardiging kan vormen voor gegevensverwerking die onder verantwoordelijkheid van de VvE plaatsvindt. Ten slotte wees de autoriteit erop dat de VvE ten onrechte geen alternatieven had onderzocht die geen of een minder grote inbreuk op de privacy plegen, daarbij inbegrepen een vervanging van analoge sleutels door nieuwe analoge sleutels.

De privacy-autoriteit gaf de VvE opdracht de omgang met persoonsgegevens in overeenstemming te brengen met de AVG.

Jonker: "Het was voor mij een vreemde, nieuwe ervaring om door een privacy-autoriteit in het gelijk gesteld te worden zonder tussenkomst van een rechter. In Nederland heb ik dat met de Autoriteit Persoonsgegevens nog nooit meegemaakt. Ook in Finland ging het trouwens niet zonder slag of stoot. Na twee jaar wachten op de behandeling van mijn zaak, heb ik daar een klacht ingediend bij de zogeheten Parlementaire Ombudsman. Enkele dagen daarna ging de Finse privacy-autoriteit er alsnog mee aan de slag, en nam twee maanden later een beslissing. Ook in Finland is er bij de privacy-toezichthouder een tekort aan personele capaciteit, waardoor de beslistermijnen van de AVG structureel niet worden gehaald. Maar ik ben tevreden over de inhoud van deze beslissing. Natuurlijk is het nu zaak dat de VvE de opdracht van de privacy-autoriteit ook daadwerkelijk gaat uitvoeren."

Contactverzoeken voor dhr. Jonker kunnen worden ingediend via Stichting Privacy First.

Klik HIER voor de volledige uitspraak van de Finse privacy-autoriteit (in het Fins).

Media:
https://www.security.nl/posting/666564/Finse+toezichthouder+noemt+elektronisch+sleutelsysteem+flat+in+strijd+met+AVG
https://frontpage.fok.nl/nieuws/835884/1/1/50/nederlandse-privacy-activist-wint-zaak-over-elektronische-sleutels.html
https://www.is.fi/digitoday/tietoturva/art-2000006600839.html (grote Finse tabloid)
https://www.hs.fi/politiikka/art-2000006601066.html (grootste krant van Finland en Scandinavië) 
https://www.kotitalolehti.fi/sahkolukko-seuraa-liikkeitasi-kuka-tallentaa-tiedot/ (vergelijkbaar met Nederlands tijdschrift Eigen Huis van VEH)
https://www.hameensanomat.fi/kanta-hame/tietosuojavaltuutettu-sahkolukkojen-keraamat-ovenavaustiedot-ovat-henkilotietoja-1451149/
https://www.tivi.fi/uutiset/taloyhtio-asensi-sahkolukot-mutta-mokasi-gdprn-kanssa-nain-paatti-tietosuojavaltuutettu/a7401466-c107-43f3-a3e9-86514efd28d4
https://www.tekniikkatalous.fi/uutiset/onko-teillakin-sahkolukkojarjestelma-tietosuojavaltuutettu-antoi-maarayksen-lainvastaisesti-toimineelle-taloyhtiolle/c868846a-15f5-4903-a8e1-339c3a726747
https://www.is.fi/digitoday/tietoturva/art-2000006616790.html

Deze week vond in de Eerste Kamer een zeer kritische deskundigenbijeenkomst plaats over een relatief complex maar belangrijk onderwerp: de nieuwe Wet digitale overheid. Door deze wet zal o.a. het verouderde DigiD vervangen worden door nieuwe digitale eID-middelen voor burgers om bij de overheid te kunnen inloggen en zaken te kunnen regelen. Aan de huidige opzet van de nieuwe wet en de bijbehorende infrastructuur kleven echter een aantal privacyrisico's. De Eerste Kamer had daarom Privacy First voor deze gelegenheid uitgenodigd om een position paper in te dienen en spreker te zijn. Klik HIER voor het volledige programma, alle sprekers en position papers. Hieronder volgt de volledige tekst van onze inbreng en het videoverslag van de gehele bijeenkomst:

Position paper:

Geachte Kamerleden,

Dank voor uw uitnodiging om deel te nemen aan de deskundigenbijeenkomst over de Wet digitale overheid (Wdo). Stichting Privacy First heeft een aantal kritische kanttekeningen bij deze wet. Hieronder zullen wij dit kort uiteenzetten.

Allereerst wil Privacy First in dit verband graag benadrukken dat burgers te allen tijde het recht hebben, en zullen moeten blijven hebben, om langs niet-digitale weg met de overheid te communiceren of zaken te doen, hetzij telefonisch, op papier of in persoon. Voor grote groepen in de samenleving is en blijft dit cruciaal voor hun maatschappelijke participatie. Bovendien biedt de ‘klassieke’ analoge ruimte vaak betere privacybescherming dan het digitale domein.

Dit brengt ons op ons voornaamste punt van zorg inzake de Wet digitale overheid, namelijk eID. Bij een gecentraliseerde infrastructuur kunnen eID-bedrijven die de certificaten (sleutels) verstrekken precies zien waar mensen inloggen. Daarnaast zijn er certificaten (digitale handtekeningen) voor het ondertekenen van documenten en bestaat het risico dat bedrijven exact kunnen weten welke documenten mensen ondertekenen. Dit leidt tot talloze privacyrisico’s, zeker waar het privacygevoelige transacties (en dus gevoelige persoonsgegevens) betreft. Wat is het verdienmodel van deze bedrijven? En wat kunnen zij doen met al deze gegevens, ook via platforms zoals Facebook en Google?

Dit pleit voor een decentrale i.p.v. centrale architectuur met dataminimalisatie en privacy by design. Dat brengt ons op een actueel onderwerp dat bij deze wet van belang is, namelijk de invoering van een op attributen gebaseerd stelsel naast het eID-stelsel. Biedt de huidige Wdo meer controle over het afschermen van persoonsidentificatiegegevens en beschermt het de privacy van de burger? Ons antwoord is nee. In 2017 was men daar dichterbij dan nu. De Wdo kent een lange aanloop en is van een uitwerking van een infrastructuur voor digitale overheidsdienstverlening versmald tot een “Wet op de inlogmiddelen”. In 2017 was het streven nog deels om te komen tot een raamwet voor een op attributen gebaseerd stelsel. In de eerdere versie van de wet werd daarom nog duidelijk onderscheid gemaakt tussen identificatie/authenticatiediensten enerzijds en attributendiensten anderzijds. De definitie was eens: “De attributendienst is een partij die ten behoeve van elektronische dienstverlening een verklaring afgeeft over bepaalde kenmerken of gegevens van een natuurlijke persoon (bijvoorbeeld leeftijd of beroep) of een rechtspersoon (bijvoorbeeld erkend bedrijf).”

Tevens zou deze dienst zowel door een overheidsorganisatie als door een private partij geleverd kunnen worden en moest er iets worden geregeld voor erkenning. Men stelde in de Memorie van Toelichting: “Aan attributendiensten worden in op basis van dit wetsvoorstel vast te stellen uitvoeringsregelgeving technische en organisatorische eisen gesteld en er wordt voorzien in een erkenningsstelsel, op gelijke wijze als bij authenticatiediensten. Op dit moment zijn er nog geen publieke en private attributendiensten operationeel, maar met uitbreiding van de digitale dienstverlening zal ook de behoefte aan elektronische ondersteuning van deze functie toenemen. Deze attributendiensten kunnen publiek of privaat zijn. Te denken valt bijvoorbeeld aan een generieke attributendienst die leeftijdsverificatie mogelijk maakt op basis van de basisregistratie personen. Tot nu toe verrichten publieke dienstverleners waar nodig zelf de leeftijdscontrole aan de hand van de eigen klantadministratie (die in de regel is afgeleid van de BRP). Het wetsvoorstel bevat een basis voor het stellen van technische en organisatorische eisen aan publieke en private attributendiensten. Of in de toekomst behoefte bestaat aan een publieke attributendiensten is nog onderwerp van onderzoek.”

De realisatie van die toekomst en behoefte lijkt nu te zijn geblokkeerd. Terwijl die behoefte er inmiddels vooral bij gemeenten wel is. Ook zij waren in 2017 nog overtuigd dat je iemand niet hoefde te identificeren om deel te nemen aan, bijvoorbeeld, een online peiling. De huidige Wdo ondersteunt dat echter niet. De definitie van attributendienst is immers geschrapt uit de Wet en op grond van art. 12 Wdo is de ministeriële aanwijsbevoegdheid beperkt tot het aanwijzen van een attribuut dat naar het oordeel van de Minister van belang is voor de identificatie van ondernemingen of rechtspersonen.

Het idee dat kenmerken/attributen een belangrijke rol spelen in het terugdringen van de online-identificatiedrift van publieke organisaties is in zijn geheel verloren gegaan. Qua privacy en dataminimalisatie is dit een grote misser. Dikwijls volstaat immers dat ik aantoon wat ik ben (inwoner van Amsterdam) in plaats van wie ik ben op basis van mijn BSN. In de huidige afgeslankte Wdo ontbreekt hiervoor het wettelijke kader. Alles is gericht op authenticatie en het verstrekken van persoonsidentificatiegegevens. Dit terwijl de wet eerder wel ruimte bood om met attributen toegang te krijgen tot digitale dienstverlening. Een actueel voorbeeld hiervan is overigens IRMA, dat begin 2018 de allereerste Nederlandse Privacy Award won.

Deze wet is dus een gemiste kans om als aanvulling op de eIDAS-verordening te dienen en een op attributen gebaseerd privacy-centrisch eID-stelsel in Nederland neer te zetten. Integendeel: met deze wet worden met een waaier aan regelingen juist hoge drempels opgeworpen voor private partijen (waaronder stichtingen) om goede, privacyvriendelijke middelen en voorzieningen te laten erkennen en aan te bieden aan burgers.

Privacy First betreurt dit en hoopt dat uw Kamer hier alsnog positieve veranderingen in zal kunnen bewerkstelligen.

Hoogachtend,

Stichting Privacy First

Mondelinge toelichting:

Geachte Kamerleden,

Nogmaals dank voor uw uitnodiging om aan deze bijeenkomst deel te nemen. Onze voornaamste punten van kritiek op de huidige Wet digitale overheid hebben wij reeds uiteengezet in onze position paper. Kort gezegd gaat het daarbij voornamelijk om de kwetsbaarheden en privacyrisico’s van het nieuwe eID-stelsel, waaronder de volgende aspecten:

- De centrale i.p.v. decentrale opzet van de infrastructuur. Over het algemeen is een centrale opzet riskanter en onveiliger dan een decentrale architectuur. Een decentrale opzet is ook meer in lijn met moderne privacyvereisten zoals dataminimalisatie en privacy by design. Bovendien leent dit zich minder goed voor grootschalige hacks of heimelijke toegang, massale datalekken en function creep, oftewel sluipende doelverschuiving. Niet voor niets is er de laatste jaren in diverse gevoelige domeinen een ontwikkeling van centrale naar decentrale infrastructuren zichtbaar, bijvoorbeeld op het terrein van biometrie en in de medische wereld. Ook bij een uitermate gevoelig persoonsgegeven als het BSN en allerlei gevoelige transacties tussen burgers, bedrijven en overheden zou dus bij uitstek voor een decentrale opzet gekozen moeten worden. Dat zou ook meer passen bij het idee van informationele zelfbeschikking en de slogan ‘Regie op gegevens’ van het ministerie van Binnenlandse Zaken zelf.

- In dit verband is het een gemiste kans dat het wettelijk kader tot op heden onvoldoende gebaseerd is op een stelsel dat werkt aan de hand van minimale attributen (d.w.z. relevante kenmerken) van personen i.p.v volledige identificatie waarbij veel meer persoonsgegevens worden verwerkt dan strikt noodzakelijk is. Een actueel voorbeeld van een dergelijk privacyvriendelijk alternatief is IRMA (I Reveal My Attributes) dat op 28 januari 2018, de Europese Dag van de Privacy, de allereerste Nederlandse Privacy Award won. Vanuit gemeenten, en wellicht ook andere overheden, lijkt daar ook steeds meer behoefte aan. Waarom wordt dit tot op heden niet wettelijk gefaciliteerd?

- Een ander aspect dat wij in onze position paper abusievelijk onvermeld hadden gelaten, is dat eID-middelen open source dienen te zijn. Dat is immers de meest effectieve manier om onbetrouwbare partijen buiten de deur te houden en de veiligheid en privacy te waarborgen. Open source zou daarom als harde eis toegevoegd moeten worden voor de toelating van eID-middelen.

- Tevens zouden wij hier graag nogmaals willen benadrukken dat het eID-stelsel zoals nu in de Wet digitale overheid beoogd is, per definitie enorme risico’s voor de privacy van burgers teweeg zal brengen, gezien de commerciële aard van nieuwe eID-aanbieders, waaronder techbedrijven met dubieuze businessmodellen en schimmige profileringspraktijken. Deze risico’s lijken in dit wetstraject nog niet te zijn geadresseerd. Dit dient alsnog op democratische en toekomstbestendige wijze te gebeuren op het niveau van de parlementaire wet zelf en niet in lagere, bestuurlijke regelgeving.

Dank voor uw aandacht.

(...)

Tijdens de bijeenkomst werden door de Kamerleden talloze kritische vragen gesteld, zie onderstaand videoverslag. Mede naar aanleiding van deze bijeenkomst is de Eerste Kamer voornemens om de verdere behandeling van de Wet digitale overheid tot na de zomer uit te stellen.

Op zondag 21 juni 2020 werd op het Malieveld in Den Haag een grootschalig protest tegen de Corona-noodwetgeving georganiseerd. Vele duizenden mensen waren van plan om hier vreedzaam voor hun vrijheid te komen demonstreren. Ondanks een onterecht verbod op deze demonstratie gaven diverse sprekers die voor deze gelegenheid waren uitgenodigd alsnog acte de présence, waaronder Privacy First voorzitter Bas Filippini. Bekijk hieronder zijn gehele toespraak. In de aanloop naar deze demonstratie verscheen Privacy First tevens in het NOS Journaal.

Privacy First zal zich met alle politieke en juridische middelen blijven verzetten tegen totalitaire noodwetgeving, waaronder de Corona-spoedwet. Steunt u ons hierin? Wordt dan donateur van Privacy First!

Update 10 augustus 2020: klik hier voor de Engelstalig nagesynchroniseerde versie van de toespraak.

Aankomende dinsdag 16 juni 2020 staat op de agenda van de Eerste Kamer het aannemen van de ‘Implementatiewet registratie uiteindelijk belanghebbenden van vennootschappen en andere juridische entiteiten’: https://www.eerstekamer.nl/wetsvoorstel/35179_implementatiewet_registratie . Die wet wijzigt onder andere de Handelsregisterwet 2007. In het Handelsregister van de KvK komt dan informatie over de uiteindelijk belanghebbende (‘ultimate beneficial owners’ / ‘UBO’s) van in Nederland opgerichte vennootschappen en andere juridische entiteiten. Deze informatie wordt dan dus openbaar voor iedereen raadpleegbaar, met alle privacy-risico’s van dien.

Europese richtlijn

Deze wetswijziging vloeit voort uit de Europese vijfde anti-witwasrichtlijn, die lidstaten verplicht persoonsgegevens van UBO’s te registreren en voor het publiek openbaar te maken. Het doel hiervan is het tegengaan van witwassen en terrorismefinanciering. Het voor iedereen inzichtelijk maken van persoonsgegevens van UBO’s, inclusief het belang dat de UBO in de onderneming heeft, draagt volgens de Europese wetgever bij aan dat doel.

Massale privacyschending

Hierbij rijst de vraag of het middel het doel niet voorbijschiet. Het openbaar maken van de persoonsgegevens van UBO’s aan eenieder is een ‘blanket measure’ van preventieve aard. Het is een schending van de privacy die in de optiek van Privacy First niet proportioneel is. Het allergrootste deel van de UBO’s heeft immers niets te maken met witwassen of financiering van terrorisme. Het zou voldoende moeten zijn als de informatie over UBO’s beschikbaar is voor de overheidsdiensten die zich bezig houden met de bestrijding van witwassen en de bestrijding van de financiering van terrorisme. Het gaat te ver om die informatie volledig openbaar te maken.

De European Data Protection Supervisor oordeelde al dat deze privacyschending niet proportioneel is: https://edps.europa.eu/sites/edp/files/publication/17-02-02_opinion_aml_en.pdf . Maar dat oordeel heeft niet geleid tot aanpassing van de Richtlijn.

Juridische stappen

Privacy First overweegt om juridische stappen tegen het UBO-register te nemen wegens schending van het Europees privacyrecht. Zou u (of uw organisatie) graag als mede-eiser aan een dergelijke rechtszaak tegen het UBO-register willen deelnemen of Privacy First hierin financieel willen steunen? Neem dan contact met ons op of wordt donateur!

Hoe digitaliseren we de uitwisseling van medische gegevens? Die vraag speelt nu ongeveer vijftien jaar. Voor het eerst heeft de Minister een pragmatische, doordachte en integrale analyse gemaakt van wat er werkelijk nodig is om dit te bereiken. Op hoofdlijnen acht Privacy First dit wetsvoorstel het beste dat we ooit op dit dossier hebben gezien. In de uitwerking zien we nog wel risico’s.

Het succes zal afhangen van het doorzettingsvermogen van het Ministerie van VWS en de mate waarin het in staat is partijen in het zorgveld voorbij hun eigen horizon te laten kijken.

De behandelrelatie staat centraal

Op aangeven van de Patiëntenfederatie besloot Minister Schippers eind 2015 tot ‘regie voor de patiënt’ in het medisch dossier.

Privacy First acht het 'centraal stellen van de patiënt' een fundamentele denkfout. Het doet te weinig recht aan de meerwaarde die een zorgverlener biedt en diens verantwoordelijkheid in het bewaken van de kwaliteit van de zorg. Het is het zorgproces dat centraal dient te staan. Arts en patiënt voeren samen, in onderling vertrouwen, de regie.

Tot onze opluchting slaat de Minister met dit wetsvoorstel een andere weg in (zie concept-memorie van toelichting §2.3.4, p.11). De behandelrelatie wordt de voornaamste grondslag voor de uitwisseling van gegevens, in lijn met het zorgproces en de WGBO. Dit biedt enorme kansen voor een efficiënte en effectieve uitwisseling van gegevens, met de best denkbare privacybescherming.

Patiënten worden verlost van het bijhouden van toestemmingen en het belang van het kopiëren van gegevens naar een PGO neemt af.

Decentrale uitwisseling van gegevens

Het verzet van Privacy First heeft zich de afgelopen jaren vooral gericht tegen de gecentraliseerde wijze waarop de toegang tot medische gegevens is geregeld.

De concept-memorie van toelichting stelt (3.3.2, p.11):

"de norm mag er niet toe leiden dat het uitwisselen van gegevens enkel kan via een elektronisch uitwisselingssysteem als bedoeld in de Wabvpz (art 15a, red.)."

Met deze wet krijgen patiënten straks de keuze voor een decentraal alternatief dat de uitwisseling van medische gegevens eenvoudiger, efficiënter, doelmatiger, veiliger en privacyvriendelijk maakt. Privacy First acht het cruciaal dat de Minister recente initiatieven van marktpartijen (zoals NUTS en Whitebox) gaat ondersteunen, zodat een open en vrij te gebruiken standaard ontstaat.

Trage normering en certificering via NEN

Het ontwikkelen van een NEN-norm is een zwaar geprotocolleerd proces met doorgaans een doorlooptijd van enkele jaren. De NEN-normeringsprocedures kenmerken zich ook niet door grote openheid; hoe bijvoorbeeld werkt het proces van benoemingen van de diverse commissies die in het wetsvoorstel genoemd worden?

Bovendien kunnen de NEN-normeringsprocessen onderdeel van lobby’s worden. Grote geïnstitutionaliseerde IT-leveranciers hebben meer invloed op dit proces en zullen hun dominante marktpositie willen behouden. De vraag is of elke belanghebbende organisatie (zoals burgerrechtenorganisaties, universiteiten en kleinere IT-bedrijven) afdoende bij kan dragen aan de normeringsprocessen.

Het Ministerie zal erop moeten toezien dat de normering een open en transparant proces is, waarin over de volledige breedte van het speelveld stakeholders betrokken worden bij de ontwikkeling van technische standaarden.

Daarnaast wordt software 'agile' ontwikkeld. Korte tijden tussen verschillende releases stellen ontwikkelaars in staat zich aan te passen aan nieuwe technologische ontwikkelingen. Complexe, of te gedetailleerde certificeringseisen kunnen hierdoor innovatie belemmeren. Hierover zou de memorie van toelichting meer duidelijkheid moeten bieden.

De ‘spoedsituatie’ ontbreekt in de wet

Zorgverlening vindt doorgaans plaats op basis van een doorverwijzing: er is een behandelrelatie conform de WGBO. De enige uitzondering op die regel is de 'spoedsituatie'. Belandt een patiënt op de Spoedeisende Hulp (SEH), dan is er nog geen behandelrelatie en derhalve geen grondslag voor toegang tot medische gegevens.

De Minister heeft deze situatie buiten het wetsvoorstel gehouden. In zijn brief van 20 december 2019 wordt duidelijk dat hij geen alternatief heeft voor het gebruik van een gecentraliseerd systeem (zoals het Landelijk Schakelpunt, LSP), met alle risico’s van dien. Een vergelijkbare aanpak zien we nu met de COVID-19 opt-out (door het Ministerie eufemistisch “opt-in” genoemd), waardoor iedere patiënt alsnog standaard in het LSP is opgenomen.

Privacy First vindt deze situatie bijzonder zorgelijk, vooral omdat dit voor patiënten betekent dat zij alsnog (indirect) gedwongen worden deel te nemen aan een ‘uitwisselingssysteem’, zoals bedoeld in Art 15a Wabvpz.

Een alternatieve oplossing met gebruik van een uitgeprinte toegangscode is eenvoudiger, veiliger, goedkoper, privacyvriendelijk en te combineren met zowel een decentrale als een gecentraliseerde architectuur. Alleen de patiënt en het systeem van de arts kennen de code en bij verlies kan eenvoudig een nieuwe worden aangemaakt. Wie toegang heeft tot het spoeddossier en wat daarin staat, kan worden ingesteld in het systeem van de arts.

Minimaal dient dit gat in de wet te worden gedicht, door de ‘spoedsituatie’ expliciet op te nemen in de memorie van Toelichting (§3.3.2, p.11).

De volledige inbreng van Privacy First bij het concept-wetsvoorstel staat op de website internetconsultatie.nl.