Toon items op tag: Mensenrechten

Een noodsituatie vergt noodmaatregelen. Daar zijn we ons terdege van bewust. Maar ook noodmaatregelen moeten proportioneel, transparant en toetsbaar zijn. En daar lijkt de Autoriteit Persoonsgegevens (AP) nu toch een belangrijke steek te hebben laten vallen. Omdat die haar goedkeuring heeft gegeven aan een problematische noodmaatregel, de zogenaamde ‘corona opt-in’, waarmee het medisch beroepsgeheim systematisch buitenspel wordt gezet. De medische privacy van alle Nederlandse burgers komt hiermee in gevaar.

Waar gaat het om? Ruim de helft van alle Nederlanders heeft nog geen toestemming gegeven om hun medische gegevens via het Landelijk Schakelpunt (LSP) te laten uitwisselen door zorgverleners. Daardoor is er een groot niemandsland van potentiële corona-patiënten waarvan huisartsenposten en ziekenhuizen niet weten wat hun medische achtergrond is. Terwijl ze daar wel behoefte aan hebben, als de nood aan de man komt. Vandaar dat ze aan het ministerie van VWS gevraagd hebben om daar iets voor te regelen.

Het ministerie van VWS heeft hiervoor de zogenaamde ‘corona opt-in’ bedacht. Een verwarrende term, omdat er door die maatregel juist géén expliciete toestemming (opt-in) meer vereist is; er wordt uitgegaan van een soort stilzwijgende toestemming dat je gegevens gedeeld mogen worden via het LSP. Tenzij je alsnog bezwaar maakt. De nieuwe praktijk wordt daarmee: wie zwijgt, stemt toe (opt-out). Wat wettelijk gezien gewoon niet mag.

De Autoriteit Persoonsgegevens vindt deze ‘corona opt-in’ niet bezwaarlijk, met dien verstande dat de patiënt nog wel even ter plekke toestemming moet geven. In haar reactie op het voorstel stelt de AP:
“Artsen op de huisartsenpost of spoedeisende hulp mogen alleen met toestemming van coronapatiënten het medisch dossier bij hun huisarts inzien via een elektronisch uitwisselingssysteem. Wie nog geen toestemming heeft gegeven, kan dat ter plekke doen. Dat mag in dit geval ook mondeling. Alleen als een patiënt niet in staat is om toestemming te geven, is inzage zonder toestemming toegestaan.”

Medisch beroepsgeheim massaal omzeild

Klinkt logisch en redelijk. Vooral ook vanwege de extra voorwaarden die de AP heeft toegevoegd, zoals: dat deze maatregel tijdelijk is, en dat de gegevens alleen ingezien mogen worden door de huisartsenpost of de spoedeisende hulp. Maar toch kleven er aan deze oplossing belangrijke bezwaren. We noemen er vier (maar er zijn er nog meer).

Ten eerste is er een technisch probleem. Je kunt als patiënt wel zéggen dat je toestemming geeft, maar dan kan de arts nog steeds niet in je dossier. Degene die je dossier moet ontsluiten is namelijk de huisarts die je medische gegevens heeft vastgelegd in zijn patiëntdossier. Deze noodmaatregel is nou juist bedoeld om het beroepsgeheim dat daarop rust te omzeilen. Hoe dit logistiek moet worden gerealiseerd, wordt niet helder uit de brief van de AP. Maar wie is ingewijd in de technische kant van het LSP, weet dat dit alleen maar kan door álle dossiers waarvoor nog geen toestemming voor uitwisseling is gegeven, alsnog te ontsluiten (via een update van huisarts-systemen). Een volkomen disproportionele maatregel. En ook nog bloedlink, getuige het tweede probleem.

Het tweede probleem is ook technisch van aard: de raadpleging van je dossier zou beperkt moeten blijven tot de zorgverleners die direct bij je behandeling zijn betrokken. Maar dat is in het LSP technisch niet mogelijk. Dit informatiesysteem biedt geen mogelijkheid tot gericht opvragen: het is alles of niets. In dit geval dus alles, oftewel iedere zorgverlener aangesloten op het LSP. Dat zijn tienduizenden potentiële ingangen voor hackers. De Eerste Kamer, die het LSP in 2011 unaniem verwierp, noemde het systeem daarom destijds “een dossier met duizend deuren aan de achterkant.”

Schijnzeggenschap

De ‘corona opt-in’ biedt daarmee slechts een schijnzeggenschap aan de patiënt – het derde bezwaar. Ongeacht of de patiënt toestemming geeft, zal diens dossier namelijk technisch al open staan voor raadpleging vanuit tienduizenden toegangspunten. De toestemming die patiënten volgens de AP moeten geven, is daarmee niets meer dan een holle formaliteit. Door in haar brief aan het Ministerie van Volksgezondheid ten onrechte te stellen dat deze toestemming een harde eis is om het dossier raadpleegbaar te maken, gaat de AP voorbij aan de verstrekkende technische implicaties van deze maatregel – en daarmee ook de juridische.

Daarmee komen we aan bij het vierde en overkoepelende bezwaar. De AP houdt officieel toezicht op de naleving van privacywetten, maar nergens in haar brief valt te lezen op welke wettelijke basis de ‘corona opt-in’ is gebaseerd. Evenmin wordt duidelijk waarom de AP van mening is dat de voorgestelde ‘corona opt-in’ een noodzakelijke en proportionele maatregel en dat dit probleem niet op een minder ingrijpende manier kan worden opgelost. Van een privacytoezichthouder in crisistijd mogen we een transparant en grondiger onderbouwd oordeel verwachten, waarbij bovenstaande gevolgen van de ‘corona opt-in’ expliciet worden meegewogen.

Toezicht op naleving van de privacywetgeving en de principes van het privacyrecht zijn de kerntaken van de AP, juist in crisistijd. Als iemand nu het hoofd koel moet houden en niet mee moet gaan in overhaaste crisismaatregelen met onoverzienbare gevolgen, is het de nationale toezichthouder op de privacy.

Platform Bescherming Burgerrechten
Privacy First
Humanistisch Verbond
Stichting KDVP

Dit gezamenlijke standpunt is eerder tevens gepubliceerd op https://platformburgerrechten.nl/2020/04/10/ap-sta-ons-bij/ en https://specifieketoestemming.nl/ap-sta-ons-bij/.

Met grote zorg heeft Privacy First gisteren kennisgenomen van het voornemen van de Nederlandse overheid om speciale apps te gaan inzetten ter bestrijding van de Corona-crisis. Privacy First ziet het gebruik van dergelijke apps als een gevaarlijke ontwikkeling, aangezien dit kan leiden tot talloze onterechte verdenkingen, stigmatisering, onnodige onrust en paniek. Zelfs “geanonimiseerd” kunnen de gegevens uit dergelijke apps via koppeling alsnog tot individuele personen herleid worden. Bij grootschalig gebruik leidt dit tot een surveillance maatschappij waarin iedereen geobserveerd en geregistreerd wordt en men zich voortdurend gemonitord waant, met een maatschappelijk chilling effect tot gevolg. Groot risico is dat de verzamelde data voor meerdere doelen zullen worden gebruikt en misbruikt door bedrijven en overheden. In handen van criminele organisaties vormen deze data bovendien een goudmijn voor criminele activiteiten. Voor Privacy First wegen deze risico’s van “Corona apps” niet op tegen de veronderstelde voordelen.

Het recht op anonimiteit in de openbare ruimte is een klassiek grondrecht en cruciaal voor het functioneren van onze democratische rechtsstaat. Een democratisch besluit tot opheffing hiervan is onacceptabel. Mocht alsnog besloten worden tot grootschalige inzet van “Corona apps”, dan dient dit dus strikt anoniem en op zuiver vrijwillige basis te gebeuren. Met individuele toestemming vooraf zonder enige vorm van druk, volledig geïnformeerd en voor een legitiem, specifiek doel. Privacy by design (het inbouwen van privacybescherming in de techniek) dient daarbij leidend te zijn. Voor Privacy First zijn dit harde juridische voorwaarden die niet onderhandelbaar zijn. Mocht hier niet aan voldaan worden, dan zal Privacy First dit bij de rechter aanvechten.

Momenteel wordt de wereld hard getroffen door het Corona-virus. Deze pandemie vormt niet alleen een aanslag op de gezondheid, maar kan ook leiden tot een crisis voor de mensenrechten, waaronder het recht op privacy.

Onder het recht op privacy vallen de bescherming van ieders persoonlijke levenssfeer, persoonsgegevens, vertrouwelijke communicatie, het huisrecht en het recht op lichamelijke integriteit. Privacy First is opgericht om deze rechten te beschermen en te bevorderen. Niet alleen in tijden van vrede en voorspoed, maar ook in tijden van crisis.

Juist in deze tijd komt het er op aan om onze maatschappelijke vrijheid en persoonlijke levenssfeer te blijven bewaken. Angst mag daarbij geen rol spelen. In diverse landen zien we echter draconische wetgeving, maatregelen en infrastructuren doorgevoerd worden. Daarbij staat veel op het spel, namelijk het behoud van ieders vrijheid, autonomie en menselijke waardigheid.

Privacy First monitort de ontwikkelingen en reageert proactief zodra overheden maatregelen dreigen te treffen die niet strikt noodzakelijk en proportioneel zijn. In dit verband acht Privacy First de volgende maatregelen in principe onrechtmatig:
- Massa surveillance
- Gedwongen controle achter de voordeur
- Afschaffing van anonieme of contante betaalmogelijkheden
- Heimelijke inzet van cameratoezicht en biometrie
- Elke vorm van inbreuk op het medisch beroepsgeheim.

Privacy First zal er op toezien dat gerechtvaardigde maatregelen slechts tijdelijk zullen gelden en opgeheven worden zodra de Corona-crisis voorbij is. Van nieuwe structurele, permanente noodwetgeving mag geen sprake zijn. Gedurende de maatregelen moeten effectieve rechtsmiddelen beschikbaar zijn en dienen privacy-toezichthouders kritisch te blijven.

Ter effectieve bestrijding van het Corona-virus kan bovendien vooral een beroep worden gedaan op de eigen verantwoordelijkheid van de burger. Veel is mogelijk op basis van vrijwilligheid en met individuele, volledig geïnformeerde en specifieke toestemming vooraf.

Zoals altijd is Privacy First bereid te assisteren bij de ontwikkeling van privacyvriendelijk beleid en privacy by design, zoveel mogelijk in samenwerking met relevante organisaties en experts. Juist in deze tijd kan Nederland (en de Europese Unie) immers een internationaal voorbeeld zijn voor de bestrijding van een pandemie mét behoud van privacyrechten en democratische waarden. Alleen op deze manier zal de Corona-crisis onze wereld niet duurzaam kunnen verzwakken, maar komen we er samen sterker uit.

Vandaag heeft de rechtbank in Den Haag uitspraak gedaan over de inzet van het algoritmesysteem SyRI (Systeem Risico Indicatie) door de overheid. De rechter besloot dat de overheid moet stoppen met het profileren van burgers met grootschalige data-analyse om fraude met sociale voorzieningen op te sporen. Nederlanders zijn niet langer ‘bij voorbaat verdacht’.

De rechtszaak tegen de Nederlandse Staat was aangespannen door een coalitie van maatschappelijke organisaties, bestaand uit het Platform Bescherming Burgerrechten, het Nederlands Juristen Comité voor de Mensenrechten (NJCM), Privacy First, Stichting KDVP, vakbond FNV, de Landelijke Cliëntenraad en auteurs Tommy Wieringa en Maxim Februari.

De rechtbank komt tot het oordeel dat SyRI in strijd is met het Europees Verdrag voor de Rechten van de Mens. SyRI maakt een onevenredig grote inbreuk op het privéleven van burgers. Dat geldt niet alleen voor mensen die door SyRI als verhoogd risico worden aangemerkt, maar voor iedereen waarvan de gegevens door SyRI worden geanalyseerd. Volgens de rechtbank is SyRI niet transparant en daarom niet controleerbaar. De inbreuk op het privéleven is voor burgers niet te voorzien en zij kunnen zich er niet tegen verweren.

De rechtbank noemt daarnaast het reële risico van discriminatie en stigmatisering van burgers in zogenaamde probleemwijken waar SyRI is ingezet. Dit op grond van sociaal-economische status en mogelijk migratieachtergrond. Er is een risico op vooroordelen bij de inzet van SyRI dat niet te controleren is. Mr. Ekker en mr. Linders, advocaten van de eisende partijen: "De rechtbank bevestigt dat het grootschalig koppelen van persoonsgegevens in strijd is met fundamentele mensenrechten, waaronder de bescherming van de persoonlijke levenssfeer, EU-recht en Nederlands recht. Deze uitspraak is daarom ook belangrijk voor andere Europese landen en op internationaal niveau."

Voortaan mogen persoonsgegevens van onverdachte burgers niet zomaar meer worden samengevoegd uit verschillende bronnen, als daar geen gegrond vermoeden aan ten grondslag ligt.

Streep in het zand 

"Dit vonnis is een belangrijke streep in het zand tegen ongebreidelde dataverzameling en risicoprofilering. De rechter roept hiermee een duidelijke halt toe aan massale surveillance van onschuldige burgers. SyRI en vergelijkbare systemen dienen nu per direct te worden afgeschaft", aldus directeur Vincent Böhre van Privacy First.

"We hebben vandaag op alle grote fundamentele punten gelijk gekregen. Dit is een tijdige overwinning voor de rechtsbescherming van alle burgers in Nederland," aldus Tijmen Wisman van het Platform Bescherming Burgerrechten. 

Ook mede-eiser vakbond FNV keurt SyRI op principiële gronden af. "Wij zijn blij dat de rechter nu definitief een streep door SyRI haalt", aldus Kitty Jong, vicevoorzitter van FNV.

Kentering

De partijen hopen dat de uitspraak een kentering inluidt in de wijze waarop de overheid omspringt met data van burgers. Ze voelen zich daarin gesterkt door de overwegingen van de rechtbank: deze gelden niet alleen voor SyRI, maar ook voor vergelijkbare praktijken. Zo hebben veel gemeenten eigen datakoppelsystemen die burgers profileren voor allerhande beleidsdoeleinden. Een koppelwetsvoorstel met een nog grotere reikwijdte dan SyRI zal het mogelijk maken om ook databases van private partijen te koppelen met overheidsdatabases. De uitspraak van de rechtbank Den Haag stelt echter paal en perk aan deze Big Data praktijken. Het is volgens de eisende partijen daarom cruciaal dat het SyRI-vonnis doorwerkt in het huidige en toekomstige politieke beleid.

Maatschappelijke discussie

De rechtszaak tegen SyRI dient zowel een juridisch als een maatschappelijk doel. Met dit vonnis zien eisers beide doelen gerealiseerd worden. Merel Hendrickx van het PILP-NJCM: "Het was naast het stoppen van SyRI evenzeer onze insteek om een maatschappelijke discussie op gang te brengen over de manier waarop de overheid met haar burgers omgaat in een digitaliserende samenleving. Deze uitspraak laat zien hoe belangrijk het is om die maatschappelijke discussie te voeren."

Hoewel de wettelijke aanname van SyRI in 2014 geruisloos verliep, zwol de discussie over de rechtmatigheid van het systeem aan na aankondiging van de rechtszaak. Inzet van SyRI in twee wijken in Rotterdam-Zuid leidde begin 2019 tot protest onder de inwoners en discussie in de gemeenteraad. Niet veel later trok burgemeester Aboutaleb de stekker uit het onderzoek wegens twijfels over de wettelijke grondslag. In juni 2019 onthulde de Volkskrant dat SyRI sinds haar invoering nog niet één fraudeur had opgespoord. In oktober 2019 schreef VN-rapporteur Philip Alston in een kritische brief aan de rechtbank grondige twijfels te hebben over de rechtmatigheid van SyRI. Eind november 2019 won SyRI een Big Brother Award.

De coalitie werd tijdens de rechtszaak vertegenwoordigd door Anton Ekker (Ekker Advocatuur) en Douwe Linders (SOLV Advocaten) en wordt gecoördineerd door het Public Interest Litigation Project (PILP) van het NJCM.

De volledige uitspraak van de rechtbank staat HIER online. 

Michiel Jonker: "Contante betaling waarborgt de privacy van bioscoopbezoekers."

De Arnhemse privacy-activist Michiel Jonker heeft bij de Rechtbank Gelderland beroep ingediend tegen de weigering van de Autoriteit Persoonsgegevens (AP) om handhavend op te treden tegen de weigering van arthouse-bioscoop Focus Filmtheater in Arnhem om contante betaling te accepteren. De bioscoop eist sinds de verhuizing naar een pand dat miljoenen heeft gekost, pinbetaling bij aankoop van filmkaartjes aan de kassa. Daarmee dwingt de bioscoop bezoekers tot het laten verwerken van hun persoonsgegevens.

Jonker is het daar niet mee eens en heeft om die reden in augustus 2018 een handhavingsverzoek bij de AP ingediend. De AP heeft dat verzoek in november 2019 afgewezen omdat volgens de AP niemand verplicht is om contant geld als wettig betaalmiddel te accepteren. Ook stelt de AP dat de bioscoop middels haar algemene voorwaarden een "contract" met de bioscoopbezoekers tot stand brengt, waaruit een noodzaak zou voortvloeien om persoonsgegevens van de bioscoopbezoekers te verwerken.

Volgens Jonker is er in geval van toonbankbetalingen in een aantal gevallen echter wel degelijk een plicht om contant geld te accepteren. Hij beroept zich daarbij op informatie van een expert van de Nederlandsche Bank. "Focus Filmtheater is een arthouse-bioscoop die films vertoont over gevoelige onderwerpen, en wordt nota bene voor een deel met gemeenschapsgeld gefinancierd," zegt Jonker. "Het gaat hier om de maatschappelijke participatie van mensen. Het moet niet mogelijk zijn dat achteraf door middel van profilering wordt achterhaald voor welke films iemand in de loop der tijd belangstelling heeft getoond. Als deze bioscoop privacyvriendelijke contante betaling mag weigeren, dan is dat het signaal dat iedereen afhankelijk mag worden gemaakt van niet-anonieme methoden om betalingen te doen - via pin of via internet. Dan moet je gaan nadenken wat andere mensen, autoriteiten of geautomatiseerde systemen voor conclusies kunnen trekken over jouw keuze om wel of niet bepaalde films te zien. Dat geeft aan deze zaak een grote lading."

In de documenten die Jonker in de bezwaarprocedure heeft opgevraagd, heeft hij ook aanwijzingen aangetroffen dat er onvoldoende waarborgen zijn met betrekking tot de persoonsgegevens die via de website van de bioscoop worden verzameld. "Als je een bioscoopkaartje koopt, kunnen je gegevens worden verwerkt door op zijn minst zeven bedrijven in vijf landen. Eén van die bedrijven is Google, en de kleine lettertjes in de algemene voorwaarden van Google geven dat bedrijf zeer veel vrijheid om de verzamelde gegevens met derden te delen in zo'n beetje alle landen ter wereld. Het is niet duidelijk of er tijdige en adequate anonimisering plaatsvindt. Zoals het er nu staat, is het een vrijbrief voor privacy-aantasting."

Voor de volledige tekst van Jonkers beroepschrift, klik HIER (pdf, 94 pp).

Privacy First steunt Jonker in deze zaak.

Media:
Security.nl, 7 januari 2020: Rechtszaak over Arnhemse bioscoop die contant geld weigert
Privacyweb, 7 januari 2020: Rechtszaak tegen weigering van contant geld door bioscoop
Sargasso.nl, 8 januari 2020: Rechtszaak tegen weigering contant geld door bioscoop
FOK Nieuws, 8 januari 2020: Rechtszaak tegen weigering van contant geld door bioscoop
AVROTROS Radar, 8 januari 2020: Niet contant kunnen betalen: inbreuk op je privacy? (inclusief opiniepoll)
Potkaars.nl, 8 januari 2020: Michiel Jonker - War on Cash in de Bioscoop (video-interview en podcast) 
Café Weltschmerz, 8 januari 2020: Profileren op basis van bioscoopbezoek – Rico Brouwer en Michiel Jonker (video-interview)
Emerce, 10 januari 2020: Rechtszaak tegen weigering van contant geld door bioscoop
De Gelderlander, 16 januari 2020: Privacystrijder blijft vechten voor betalen met contant geld bij filmhuis in Arnhem
FOK Nieuws, 17 januari 2020: Q&A met privacy-activist Michiel Jonker.
Tweakers, 6 februari 2020: Interview met Michiel Jonker - privacyactivist uit idealisme en irritatie. 

Update 7 februari 2022: de rechtbank Gelderland zal op 8 februari 2022 het beroep van Jonker ter zitting behandelen. Jonker zal vanwege Covid-19-gerelateerde omstandigheden deelnemen via een video-verbinding. Sinds de indiening van het hoger beroep in januari 2020 heeft het ruim twee jaar geduurd tot de rechtszitting, onder andere omdat de rechtbank in augustus 2021 nog niet in staat was een voldoende privacyvriendelijke video-verbinding te realiseren waarvoor de rechtszoekende geen account hoeft aan te maken waarlangs persoonsgegevens buiten de EU kunnen belanden. Daarom stemde de rechtbank erin toe de zitting uit te stellen tot na de invoering van een video-verbinding via Microsoft Teams (begin 2022).

Jonker: "In de tussentijd is er veel gebeurd. Ik zal met zeer gemengde gevoelens deelnemen aan deze rechtszitting. In de loop van vorig jaar (2021) is mijn vertrouwen in de Nederlandse rechtspraak geknakt. Dat kwam door een aantal rechterlijke uitspraken in andere privacy-zaken, waaruit bleek dat rechters de wet zo ver oprekken dat deze geen enkele reële bescherming meer biedt. Maar ook door hoe Nederlandse rechters zich opstelden ten aanzien van de schending van grondrechten door de overheid met een beroep op de corona-crisis, in gevallen waarin daar geen medische noodzaak voor was. Zowel bij die privacy-zaken als bij die corona-zaken zag je bij de rechters precies dezelfde houding. Ze gaven de machtigste partij alle ruimte om zonder noodzaak grondrechten te schenden en trokken zich zelf diep terug in hun schulp, waarvoor ze dan mooie excuses aanvoerden, bijvoorbeeld door te verwijzen naar "terughoudende toetsing". Omdat dit in de Nederlandse rechterlijke macht nu kennelijk als normaal gedrag wordt beschouwd, heb ik geen vertrouwen meer in onze rechtspraak, ook niet als het gaat om de zaak die nu behandeld gaat worden. Maar het is natuurlijk mogelijk dat ze, door toegenomen maatschappelijke onvrede over de toegenomen rechteloosheid, deze keer alsnog wat meer rechterlijke betrokkenheid zullen gaan tonen. Ik ben bijvoorbeeld heel blij dat de net gestarte petitie voor afschaffing van corona-toegangsbewijzen (CTB's) binnen twee dagen al 500.000 keer is ondertekend. Zelfs als de rechters niet geïnteresseerd zijn in inhoudelijke argumenten, dan kan zo'n getalsmatig argument hun misschien toch aan het denken zetten."

Een andere ontwikkeling die Jonker zorgen baart, zijn de initiatieven die de afgelopen twee jaar zowel op Nederlands als op Europees niveau zijn genomen om te komen tot "digitaal geld" (CBDC) en een "digitale identiteit" voor alle EU-burgers. Jonker: "Het lijkt of overheden onder dekking van een telkens verlengde corona-crisis een aantal fundamentele zaken willen digitaliseren om op die manier toegang te krijgen tot cruciale persoonsgegevens van alle inwoners. Er wordt een technocratische controlestaat opgetuigd. Dat maakt mijn verdediging van het recht om contant te mogen betalen, nog veel relevanter en urgenter. Het is vergelijkbaar met de CTB's: als je buitengesloten wordt van deelname aan de maatschappij wanneer je niet meedoet aan een overheidsprogramma, dan zijn we in de praktijk onze vrijheid kwijt. In dit geval wordt je buitengesloten van de mogelijkheid om actuele kritische films te kijken als je niet digitaal betaalt."

Voor de tekst van Jonkers pleitnota "Privacy en contante betaling - Verloren vertrouwen" klik HIER (pdf, 8 pp). De rechtbank heeft aangegeven dat het Jonker niet is toegestaan deze pleitnota ter zitting voor te lezen. Wel mag hij die aanvullen. Hij geeft aan dat laatste ook te zullen doen. 

Media:
Security.nl, 8 februari 2022: Rechtszaak tegen weigering van contant geld door Arnhemse bioscoop 
De Gelderlander, 8 februari 2022: Arnhemse privacy-activist weigert te pinnen voor bioscoopkaartje, vergelijking met coronapas 
Security.nl, 9 februari 2022: Hoe kansrijk is de zaak tegen de Autoriteit Persoonsgegevens inzake de weigering van contant geld door Arnhemse bioscoop? 
Potkaars.nl, 11 februari 2022: video van rechtszitting en video van interview Rico Brouwer met Michiel Jonker
Argus, 16 februari 2022: De privacy van een bioscoopkaartje (p. 5, pdf).  

Update 24 mei 2022: op 16 mei 2022 heeft de rechtbank Gelderland uitspraak gedaan in de zaak. Jonkers beroep is ongegrond verklaard. De rechtbank voert daar in de kern drie redenen voor aan:

- het doel van de bioscoop om de veiligheid te verhogen door het weigeren van contant geld, is gerechtvaardigd;
- dit doel wordt naar het oordeel van de rechtbank door de weigering van contante betaling ook bereikt;
- via de algemene voorwaarden bij de aankoop van een bioscoopkaartje aan de balie (die gelden als een "contract") mag de bioscoop dit ook afdwingen, met een beroep op artikel 6 lid 1 onder b van de AVG, waarin sprake is van een wettelijke grondslag voor de verwerking van persoonsgegevens indien er sprake is van de "noodzaak ten behoeve van de uitvoering van een contract".

Jonker: "Met deze uitspraak is de afschaffing van contant geld weer een stap dichterbij gebracht. Iedere winkelier of caféhouder kan nu zeggen: Ik heb als doel om de veiligheid te bevorderen door contant geld te weigeren. En dan is het volgens de rechtbank prima geregeld. Ook als er geen enkel veiligheidsprobleem is aangetoond. De rechtbank negeert alles wat ik naar voren heb gebracht met verwijzing naar het boek 'Juridische aspecten van contant geld' - geschreven door een deskundige van de Nederlandsche Bank. De rechtbank negeert ook artikel 5 lid 2 van de AVG, waarin staat dat een noodzaak voor het verwerken van persoonsgegevens aantoonbaar moet zijn. De rechtbank zegt eigenlijk dat de wens of het doel van de bioscoop om het zo te doen, gelijk moet worden gesteld aan een noodzaak om het zo te doen, zolang de bioscoop dat maar opschrijft in zijn algemene voorwaarden, die dan gelden als een contract. Dit is een vrijbrief voor willekeur. Contante betaling mag op deze manier om volstrekt subjectieve redenen worden geweigerd, ook als dat de privacy van klanten aantast. De bioscoop hoeft maar een magisch woord in de mond te nemen, zoals veiligheid, efficiëntie, hygiëne of wat dan ook - en dan creëert dat zogenaamd meteen een 'gerechtvaardigd, welbepaald en uitdrukkelijk omschreven doel' en dus ook een 'noodzaak' om persoonsgegevens te verwerken door middel van pinbetaling."

Gevraagd wat hij nu gaat doen, zegt Jonker: "Het is me al enige tijd duidelijk dat we in Nederland niet in een rechtsstaat leven, in ieder geval niet als het om privacy gaat, maar ook een aantal andere grondrechten worden door onze rechters niet serieus beschermd. Tijdens de zitting stelden deze rechters goede vragen, ze weten prima wat er hier op het spel staat. Maar toch doen ze dit. Ze volgen een bepaald script en negeren al het andere. Ik denk dat ze 's avonds met evenveel trots in de spiegel kunnen kijken als hun Russische en Chinese collega's. In mijn ogen heeft dit soort rechtspraak alles weg van de rechtspraak van een 'kangaroo court', het is niet meer dan de pretentie van rechtspraak - de keizer heeft erg weinig kleren meer aan. Met het oog hierop, moet ik nu eerst een keuze maken of ik in hoger beroep ga.

De Raad van State heeft in andere door mij gevoerde privacy-rechtszaken al duidelijk gemaakt hetzelfde script te volgen van instemming met contractueel vastgelegde willekeur. Dus ik heb geen enkele illusie dat die mij in hoger beroep in het gelijk zal stellen. Het heeft dus alleen zin in hoger beroep te gaan als ik daarna ook bereid ben om naar het Europese Hof voor de Rechten van de Mens (EHRM) te stappen, zoals ik onlangs heb gedaan in een zaak over privacy in het openbaar vervoer. Maar een stap naar het EHRM heeft weer alleen zin als ik aantoonbare schade heb geleden, anders wordt mijn zaak niet eens in behandeling genomen - en dan moet er opeens wèl heel duidelijk iets aangetoond worden, de rechters meten op dit punt met twee enorm verschillende maten.

De verwerkingsverantwoordelijke hoeft niets aan te tonen, maar de burger wiens gegevens verwerkt worden wel. De vraag is dan of het feit dat ik niet meer naar mijn plaatselijke arthouse-bioscoop kan omdat ik mijn privacy wil behouden, door het EHRM als ' significant nadeel' wordt beschouwd. Is het een significant nadeel om die mogelijkheid tot maatschappelijke participatie kwijt te raken? Ook is het dan de vraag wat voor bewijs het EHRM van mij eist. Hoe kan ik bewijzen dat ik iets niet heb gedaan omdat het mijn privacy zou aantasten? Kortom, het zou heel goed kunnen dat ik ondanks dat mooie Europese Verdrag voor de Rechten van de Mens en ondanks die mooie AVG, toch rechteloos ben als puntje bij paaltje komt. Maar zelfs in dat geval kan het nuttig zijn om naar het EHRM te stappen, om te laten zien en vast te leggen dat zelfs een burger die er alles aan doet, toch niet beschermd wordt. En dat Nederlandse èn Europese rechters het prima vinden als contante betaling wordt afgeschaft zonder een even privacy-vriendelijk alternatief. Ik zal hierover advies inwinnen."

Indien Jonker besluit in hoger beroep te gaan, steunt Privacy First hem daarin. Contactverzoeken voor Michiel Jonker kunnen worden ingediend via Privacy First.

Update 22 juni 2022: Jonker heeft op 20 juni jl. hoger beroep ingediend bij de Afdeling bestuursrechtspraak van de Raad van State.

Jonker: "Het was een haastklus vanwege tijdgebrek. Omdat de rechtbank bijna de gehele inhoud van mijn beroepschrift heeft genegeerd, heb ik die opnieuw opgenomen in mijn hoger beroepschrift. Daarnaast heb ik gereageerd op de overwegingen van de rechtbank. En ik heb de Raad van State verzocht om over enkele cruciale zaken prejudiciële vragen te stellen aan de bevoegde internationale of Europese rechter. De kans dat de Raad van State dat gaat doen, acht ik niet zo groot, omdat ik in andere rechtszaken ook al de mogelijkheid van dergelijke prejudiciële vragen in overweging heb gegeven, zonder dat de Raad van State daar iets mee deed. Het enige wat ik kan doen, is de aandacht op die mogelijkheid vestigen.

Ik zie dit hoger beroep vooral als een noodzakelijke stap om toegang te kunnen krijgen tot het Europese Hof voor de Rechten van de Mens. Maar natuurlijk kan ik me vergissen en kunnen rechters van de Raad van State deze keer opeens wel serieus ingaan op de gronden voor mijn hoger beroep. In ieder geval blijf ik op deze manier twee dingen verdedigen: enerzijds de instandhouding van contant geld als wettig en ook toegankelijk betaalmiddel, en anderzijds de erkenning dat een privacyvriendelijk betaalmiddel niet zonder even privacyvriendelijk alternatief mag worden geweigerd en daarmee uiteindelijk afgeschaft."

Het hogerberoepschrift van Jonker kan HIER worden gedownload (pdf).

Afgelopen vrijdag heeft Stichting Privacy First zich aangemeld voor deelname aan het Informatieberaad Zorg. Het zou voor het eerst zijn dat een organisatie met ANBI-status wordt toegelaten tot het overlegorgaan van het Ministerie van Volksgezondheid, Welzijn en Sport (VWS). De ANBI-status van Privacy First zou echter ook zomaar het struikelblok kunnen zijn.

Het Informatieberaad Zorg

Het Informatieberaad Zorg is een bestuurlijke samenwerking tussen, tot op heden, uitsluitend deelnemers uit het zorgveld en het Ministerie van VWS. In het Informatieberaad werken overheid en zorgpartijen samen aan een basis waarin zorggegevens veilig en betrouwbaar uitgewisseld kunnen worden.

In het AO Gegevensuitwisseling in de zorg van 9 oktober jl. heeft Minister Bruins (VWS) op verzoek van het Kamerlid Van Kooten-Arissen aangegeven Privacy First voor te dragen als lid van de kerngroep van het Informatieberaad Zorg. De aanleiding hiervoor is een eerdere motie van de Tweede Kamer waarin de Minister wordt opgeroepen "privacy- en burgerrechtenorganisaties actief te betrekken in de kerngroep en de expertcommunities van het Informatieberaad Zorg".

Privacy by Design

In toenemende mate zien we dat er naar privacy en de AVG verwezen wordt als struikelblok voor de uitwisseling van gegevens. In onze optiek komt privacy pas te laat in beeld bij beleidsontwikkeling. Het gebruik van 'privacy by design' kan helpen om dit te voorkomen.

Privacy by design zorgt ervoor dat privacy een kerncomponent wordt van producten of diensten. Tijdens de ontwikkeling wordt privacy een integraal onderdeel van het product of dienst, zonder afbreuk te doen aan de functionaliteit daarvan.

De ambitie van Privacy First is het zoeken naar een duurzame inbedding van het privacybelang in de zorg. We willen laten zien hoe dit kan helpen de uitwisseling van gegevens effectiever en efficiënter te maken en zo de kwaliteit van de zorg te verhogen.

Gaat het ook gebeuren?

Als gevolg van de opzet van het Informatieberaad Zorg zijn de criteria voor toelating primair gericht op belangenorganisaties die artsen of patiënten vertegenwoordigen. Als burgerrechtenorganisatie en ANBI-statushouder is Privacy First een 'vreemde eend in de bijt'. Hiermee ontstaat de vraag hoe de aangenomen Kamermotie zich verhoudt tot deze criteria. Nog belangrijker is de vraag hoe de huidige leden van het Informatieberaad hier naar kijken en of zij zich comfortabel voelen bij de deelname van Privacy First.

Onze kennismaking met het Ministerie van VWS op 26 november jl. was in ieder geval een constructieve en zeer interessante uitwisseling van inzichten over visie op de zorg. Onze hoop is dat de huidige leden van het Informatieberaad op eenzelfde wijze naar onze brief zullen kijken.

Meer duidelijkheid verwachten we na een stemming in het Informatieberaad Zorg op 10 februari 2020.

Referenties:

Privacy Company, De zeven principes van privacy by design
https://www.privacycompany.eu/blogpost-nl/hoe-pas-je-de-zeven-principes-van-privacy-by-design-toe-in-jouw-organisatie 

Informatieberaad Zorg
https://www.zorginstituutnederland.nl/over-ons/programmas-en-samenwerkingsverbanden/informatieberaad-zorg

OfficieleBekendmakingen.nl, Motie van de leden Van Kooten-Arissen en Hijink
https://zoek.officielebekendmakingen.nl/kst-29515-426.html

Open brief van Privacy First aan het Informatieberaad Zorg (pdf).

Fundamentele rechtszaak tegen massale risicoprofilering van onverdachte burgers

Op dinsdag 29 oktober as. om 9.30 uur vindt in de Rechtbank Den Haag de rechtszitting plaats in de bodemprocedure van een brede coalitie van maatschappelijke organisaties tegen het Systeem Risico Indicatie (SyRI). SyRI licht met geheime algoritmen complete woonwijken door om burgers te profileren op het risico dat ze frauderen met sociale voorzieningen. Volgens de coalitie van eisers vormt dit systeem een bedreiging voor de rechtsstaat en moet SyRI onrechtmatig worden verklaard.

De groep eisers, bestaande uit de Stichting Platform Bescherming Burgerrechten, het Nederlands Juristen Comité voor de Mensenrechten (NJCM), Stichting Privacy First, Stichting KDVP en de Landelijke Cliëntenraad, daagde in maart 2018 het Ministerie van Sociale Zaken voor de rechter. Auteurs Tommy Wieringa en Maxim Februari, die zich eerder zeer kritisch uitspraken over SyRI, sloten zich op persoonlijke titel bij de procedure aan. In juli 2018 voegde ook FNV zich bij de coalitie.

De partijen laten zich vertegenwoordigen door Anton Ekker (Ekker Advocatuur) en Douwe Linders (SOLV Advocaten). De zaak wordt gecoördineerd door het Public Interest Litigation Project (PILP) van het NJCM.

Sleepnetmethode op onverdachte burgers

SyRI koppelt op grote schaal persoonsgegevens van burgers uit overheidsdatabases. De centraal bijeengebrachte gegevens worden vervolgens geanalyseerd met geheime algoritmen. Dit moet uitwijzen of burgers een risico vormen om zich schuldig te maken aan één van de vele fraudevormen en overtredingen die het systeem bestrijkt. Leidt de analyse van SyRI tot een risicomelding, dan wordt een burger opgenomen in het zogeheten Register Risicomeldingen, dat inzichtelijk is voor overheidsinstanties.

Met deze sleepnetmethode licht SyRI alle inwoners van een wijk of gebied door. Hiervoor gebruikt het systeem vrijwel alle gegevens die overheden over burgers bewaren. Het gaat om 17 datacategorieën, die tezamen een zeer indringend en volledig beeld geven van iemands privéleven. Op dit moment beslaat SyRI de databases van de Belastingdienst, de Inspectie SZW, UWV, SVB, gemeenten en IND. Volgens de Raad van State, dat een negatief advies gaf over het SyRI-wetsvoorstel, viel er nauwelijks een gegeven te bedenken dat niet binnen de reikwijdte van het systeem valt. Voormalig voorzitter Kohnstamm van de Autoriteit Persoonsgegevens, die eveneens negatief advies over het systeem uitbracht, noemde de aanname van de SyRI-wetgeving destijds “dramatisch”.

Bedreiging voor de rechtsstaat

SyRI is volgens de eisende partijen een black box met grote risico’s voor de democratische rechtsstaat. Het is voor een burger die zonder aanleiding door SyRI kan worden doorgelicht volstrekt onduidelijk welke gegevens daarvoor worden gebruikt, welke analyses daarmee worden uitgevoerd en wat hem of haar al dan niet tot 'risico' maakt. Bovendien zijn burgers door de heimelijke werking van SyRI ook niet in staat om een onjuiste risicomelding te weerleggen. De rechtsgang en de daarbij horende procedures worden met de inzet van SyRI ondoorzichtig.

SyRI ondermijnt daarmee de vertrouwensrelatie tussen de overheid en haar burgers; deze burgers zijn in feite bij voorbaat verdacht. Vrijwel alle informatie die ze delen met de overheid, vaak om in aanmerking te komen voor basale voorzieningen, kan zonder verdachtmaking of voorafgaand vermoeden op heimelijke wijze tegen hen worden gebruikt.

De partijen bij deze procedure zijn niet tegen het bestrijden van fraude door de overheid. Zij vinden alleen dat dit op grond van een concrete verdenking dient te gebeuren. Er mag niet middels sleepnetacties in het privéleven van niet-verdachte Nederlandse burgers worden gezocht naar mogelijke risico's op fraude. Deze disproportionele methode doet volgens de eisende partijen meer kwaad dan goed. Er bestaan betere en minder ingrijpende vormen van fraudebestrijding dan SyRI.

Nog niet één fraudeur opgespoord

De in totaal vijf SyRI-onderzoeken die sinds de wettelijke invoering werden aangekondigd, hebben inmiddels tienduizenden burgers binnenstebuiten gekeerd, maar spoorden tot nu toe nog niet één fraudeur op. Dit werd eind juni 2019 onthuld door de Volkskrant, die de hand wist te leggen op evaluaties van SyRI-onderzoeken. De onderzoeken mislukten doordat de analyses niet klopten, door gebrek aan capaciteit en tijd bij de uitvoerende instanties, maar ook omdat er binnen de overheid onenigheid is over SyRI.

Zo trok burgemeester Aboutaleb van Rotterdam afgelopen zomer de stekker uit het SyRI-onderzoek in twee wijken in Rotterdam-Zuid, omdat het Ministerie in tegenstelling tot de gemeente ook politiegegevens en zorggegevens wilde gebruiken bij het onderzoek. De inzet van SyRI leidde tevens tot protest onder de inwoners van de wijken, die duidelijk lieten merken zich beledigd en oneerlijk behandeld te voelen.

VN uit zorgen over SyRI

De VN-rapporteur op het gebied van extreme armoede en mensenrechten Philip Alston schreef de rechtbank eerder deze maand aan over zijn zorgen omtrent SyRI en verzocht de rechters met klem de zaak grondig te beoordelen. Volgens de rapporteur zijn er meerdere fundamentele rechten in het geding. SyRI wordt in de brief beschreven als een digitaal equivalent van een sociaal rechercheur die elk huishouden in een gebied zonder toestemming bezoekt en doorzoekt op frauduleuze zaken; in de analoge wereld zou zo’n massale klopjacht direct tot grote weerstand leiden, maar bij een digitaal instrument als SyRI wordt ten onrechte een ‘wat niet weet, wat niet deert’ mentaliteit gehanteerd.

Praktische informatie

De zitting is openbaar toegankelijk voor het publiek en zal plaatsvinden op dinsdag 29 oktober as. vanaf 9.30u in het Paleis van Justitie, Prins Clauslaan 60 in Den Haag. Privacy First nodigt u van harte uit om de zitting bij te wonen. Zaaknummer: C/09/550982 HA ZA 18/388 (Nederlands Juristen Comité c.s./Staat). Klik HIER voor een routebeschrijving.

Bron: campagnewebsite Bijvoorbaatverdacht.nl.

Update 20 november 2019: de uitspraak van de rechtbank staat vooralsnog gepland op 5 februari 2020 om 10.00u. De pleitnota van onze advocaten kunt u HIER downloaden (pdf).

Op 1 en 2 juli as. wordt Nederland in Genève kritisch onder de loep genomen door het Mensenrechtencomité van de Verenigde Naties. Dit comité is het VN-orgaan dat toezicht houdt op de naleving van één van de oudste en belangrijkste mensenrechtenverdragen ter wereld: het Internationale Verdrag inzake Burgerrechten en Politieke Rechten (IVBPR of BUPO-verdrag). Periodiek wordt ieder land dat partij is bij dit verdrag door het VN Mensenrechtencomité beoordeeld. Begin volgende week zal de Nederlandse regering zich bij het Comité moeten verantwoorden over diverse actuele privacykwesties die mede door Privacy First zijn geagendeerd.

De laatste Nederlandse sessie bij het VN Mensenrechtencomité dateert uit juli 2009, toen minister van Justitie Ernst Hirsch Ballin zich in Genève moest verantwoorden voor de destijds geplande centrale opslag van ieders vingerafdrukken onder de nieuwe Paspoortwet. Dit kwam de Nederlandse regering destijds op de nodige kritiek van het Comité te staan. Nu, 10 jaar later, is Nederland opnieuw 'aan de beurt'. In dit verband had Privacy First reeds eind 2016 een kritische rapportage (pdf) over Nederland bij het Comité ingediend en dit onlangs met een nieuwe rapportage (pdf) aangevuld. Kort samengevat heeft Privacy First bij het Comité onder meer de volgende actuele kwesties aangekaart:

- beperkte ontvankelijkheid van belangenorganisaties bij collectieve rechtszaken

- grondwettelijk toetsingsverbod

- profiling

- Automatische Nummerplaat Herkenning (ANPR)

- grenscontrole-camerasysteem @MIGO-BORAS

- OV-chipkaart

- digitale zorgcommunicatie (EPD)

- mogelijke herinvoering van telecom-bewaarplicht

- nieuwe wet op de inlichtingen- en veiligheidsdiensten ('Sleepwet')

- PSD2

- Passenger Name Records (PNR)

- afschaffing raadgevend referendum

- verbod op oorlogspropaganda.

De Nederlandse sessie bij het Comité zal op maandagmiddag 1 juli en dinsdagochtend 2 juli as. live te volgen zijn via UN Web TV. Naast diverse privacykwesties hebben meerdere Nederlandse organisaties ook talloze andere mensenrechtenkwesties bij het Comité geagendeerd; klik HIER voor een overzicht, inclusief de door het Comité reeds eerder vastgestelde List of Issues (waaronder de nieuwe wet op de inlichtingen- en veiligheidsdiensten, mogelijke herinvoering van een telecom-bewaarplicht, camerasysteem @MIGO-BORAS en medische privacy bij zorgverzekeraars). De uiteindelijke conclusies ('Concluding Observations') van het Comité volgen waarschijnlijk over enkele weken. Privacy First ziet een kritisch oordeel met vertrouwen tegemoet.

Update 26 juli 2019: gistermiddag heeft het Comité haar oordeel (“Concluding Observations”) over de Nederlandse mensenrechtensituatie gepubliceerd, waaronder de volgende kritische adviezen met betrekking tot twee Nederlandse privacy-kwesties die mede door Privacy First bij het Comité waren aangekaart:

The Intelligence and Security Services Act

The Committee is concerned about the Intelligence and Security Act 2017, which provides intelligence and security services with broad surveillance and interception powers, including bulk data collection. It is particularly concerned that the Act does not seem to provide for a clear definition of bulk data collection for investigation related purpose; clear grounds for extending retention periods for information collected; and effective independent safeguards against bulk data hacking. It is also concerned by the limited practical possibilities for complaining, in the absence of a comprehensive notification regime to the Dutch Oversight Board for the Intelligence and Security Services (CTIVD) (art. 17).
The State party should review the Act with a view to bringing its definitions and the powers and limits on their exercise in line with the Covenant and strengthen the independence and effectiveness of CTIVD and Toetsingscommissie Inzet Bevoegdheden (TIB) that has been established by the Act.

The Market Healthcare Act

The Committee is concerned that the Act to amend the Market Regulation (Healthcare) Act allows health insurance company medical consultants access to individual records in the electronic patient registration without obtaining a prior, informed and specific consent of the insured and that such practice has been carried out by health insurance companies for many years (art. 17).
The State party should require insurance companies to refrain from consulting individual medical records without a consent of the insured and ensure that the Bill requires health insurance companies to obtain a prior and informed consent of the insured to consult their records in the electronic patient registration and provide for an opt-out option for patients that oppose access to their records.

Het Comité uit haar zorgen over de nieuwe Wet op de inlichtingen- en veiligheidsdiensten (Wiv of 'Sleepwet') en stelt dat deze wet dient te worden herzien. Het Comité is met name bezorgd over de nieuwe mogelijkheden voor grootschalige interceptie en hacking, de verlenging van bewaartermijnen en de gebrekkige mogelijkheden om klachten in te dienen. Tevens dienen de onafhankelijkheid en effectiviteit van de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD) en de nieuwe Toetsingscommissie Inzet Bevoegdheden (TIB) te worden versterkt.

Met betrekking tot het (formeel reeds ingetrokken, maar in praktijk gecontinueerde) Wetsvoorstel inzage medische dossiers door zorgverzekeraars oordeelt het Comité dat dergelijke inzage slechts toegestaan is na toestemming van de patiënt. Tevens dient de wetgeving te voorzien in een opt-out voor patiënten die dergelijke inzage niet wensen. De huidige praktijk van inzage van medische dossiers door verzekeraars dient dan ook per direct te worden beëindigd.

Tijdens de sessie in Genève kwamen tevens de Nederlandse afschaffing van het referendum en het camerasysteem @MIGO-BORAS kritisch ter sprake. Privacy First betreurt het dat het Comité deze (evenals diverse andere actuele) onderwerpen in haar eindoordeel onbenoemd laat. Niettemin toont de rapportage van het Comité vandaag aan dat het thema privacy ook bij de Verenigde Naties steeds hoger en kritischer op de agenda staat. Privacy First juicht deze ontwikkeling toe en zal dit de komende jaren blijven aansporen. Tevens zal Privacy First erop toezien dat Nederland de diverse aanbevelingen van het Comité zal implementeren.

De volledige Nederlandse sessie bij het VN-Comité staat online bij UN Web TV (1 juli en 2 juli). Zie ook de uitgebreide VN-verslagen, deel 1 en deel 2 (pdf).

Vanmiddag vindt in de Tweede Kamer een belangrijk debat plaats over de invoering van Passenger Name Records (PNR): massale, jarenlange opslag van allerlei gegevens van vliegtuigpassagiers ter veronderstelde bestrijding van misdaad en terrorisme. Privacy First heeft hier grote bezwaren tegen en stuurde eind vorige week onderstaande brief naar de Tweede Kamer. Het Kamerdebat vanmiddag stond eerder geagendeerd op 14 mei 2018, maar werd toen (na een vergelijkbare brief van Privacy First) tot nader order geannuleerd. Na een nieuwe schriftelijke vragenronde vindt het debat nu alsnog plaats. Hieronder volgt de volledige tekst van onze actuele brief:

Geachte Kamerleden,

Maandagmiddag 11 maart as. debatteert u met minister Grapperhaus (Justitie en Veiligheid) over de Nederlandse implementatie van de Europese richtlijn inzake Passenger Name Records (PNR). Zowel de Europese PNR-richtlijn als de beoogde Nederlandse implementatiewet zijn in de optiek van Privacy First juridisch onhoudbaar. Hieronder zetten wij dit kort voor u uiteen.

Vakantieregister

In het PNR-wetsvoorstel van de minister zullen talloze gegevens van alle vliegtuigpassagiers met vertrek of aankomst in Nederland 5 jaar lang in een centrale overheidsdatabank bij de nieuwe Passenger Information Unit worden bewaard en gebruikt ter voorkoming, opsporing, onderzoek en vervolging van misdrijven en terrorisme. Gevoelige persoonsgegevens (waaronder naam- en adresgegevens, telefoonnummers, emailadressen, geboortedata, reisdata, ID-documentnummers, bestemmingen, medepassagiers en betaalgegevens) van vele miljoenen passagiers zullen daardoor jarenlang beschikbaar zijn t.b.v. datamining en profiling. In wezen wordt iedere vliegtuigpassagier hierdoor behandeld als potentiële crimineel of terrorist. In 99,99% van de gevallen betreft het echter volstrekt onschuldige burgers, voornamelijk vakantiegangers en zakenreizigers. Dit vormt een flagrante schending van hun recht op privacy en vrijheid van beweging. Vorig jaar heeft Privacy First dit reeds betoogd in de Volkskrant en bij BNR Nieuwsradio. Wegens privacybezwaren bestond er de laatste jaren veel politieke weerstand tegen dergelijke massale PNR-opslag en werd dit sinds 2010 diverse malen verworpen door zowel de Nederlandse Tweede Kamer als het Europees Parlement. In 2015 waren ook de Nederlandse regeringspartijen VVD en PvdA nog mordicus tegen. VVD en PvdA spraken destijds van een "vakantieregister" en dreigden zélf naar het Europees Hof van Justitie te stappen als de Europese PNR-richtlijn zou worden aangenomen. Na de aanslagen in Parijs en Brussel leken veel politieke bezwaren echter als sneeuw voor de zon verdwenen en werd de PNR-richtlijn in 2016 alsnog een feit. Tot op heden is de juridisch vereiste maatschappelijke noodzaak en proportionaliteit van deze richtlijn echter nog steeds niet aangetoond.

Europees Hof

In de zomer van 2017 deed het Europees Hof van Justitie een belangrijke uitspraak over het vergelijkbare PNR-verdrag tussen de EU en Canada. Het Hof verklaarde dit verdrag ongeldig wegens strijd met het recht op privacy. Het Hof stelde hierbij onder meer dat “gegevens van een luchtreiziger na diens vertrek slechts mogen worden bewaard indien op grond van objectieve criteria kan worden aangenomen dat deze luchtreiziger een risico kan vormen in het kader van de strijd tegen terrorisme en ernstige grensoverschrijdende criminaliteit.” (Zie Advies 1/15 (26 juli 2017), par. 207.) Door deze uitspraak staat sindsdien de Europese PNR-richtlijn juridisch op losse schroeven. De Nederlandse regering heeft daarom terechte “zorgen over de toekomstbestendigheid van de PNR-richtlijn” (zie Nota naar aanleiding van verslag, p. 23). Privacy First verwacht dat de huidige PNR-richtlijn binnenkort ter toetsing aan het Europees Hof van Justitie zal worden voorgelegd en onrechtmatig zal worden verklaard. Daarna zal dezelfde situatie ontstaan als enkele jaren geleden bij de Europese telecom-bewaarplicht: zodra deze Europese richtlijn ongeldig is verklaard, zal de Nederlandse implementatiewetgeving in kort geding buiten werking worden gesteld.

Massa surveillance

Het huidige Nederlandse PNR-wetsvoorstel lijkt bij voorbaat onrechtmatig wegens gebrek aan aantoonbare noodzaak, proportionaliteit en subsidiariteit. Het wetsvoorstel komt neer op massa-surveillance van grotendeels onschuldige burgers; reeds in de Tele2-zaak (2016) verklaarde het Europees Hof dit type wetgeving illegaal. Bij de VN Mensenrechtenraad deed Nederland vervolgens de algemene toezegging “to ensure that the collection and maintenance of data for criminal [investigation] purposes does not entail massive surveillance of innocent persons.” Nederland lijkt die belofte nu te verbreken. Bij iedere passagier worden immers talloze volstrekt overbodige data opgeslagen die jarenlang door allerlei Nederlandse, Europese en zelfs niet-Europese overheidsinstanties kunnen worden gebruikt. Bovendien is de effectiviteit van PNR tot op heden nooit aangetoond, aldus ook de minister zelf: “statistische onderbouwing is niet voorhanden” (zie Nota naar aanleiding van verslag, p. 8). Het risico op onterechte verdenkingen en discriminatie (door feilbare algoritmes bij profiling) is bij het voorgestelde PNR-systeem levensgroot, wat tevens de kans op vertragingen en gemiste vluchten bij onschuldige passagiers verhoogt. Tegelijkertijd zullen gezochte personen vaak onder de radar blijven en alternatieve reisroutes kiezen. Verder wordt in het wetsvoorstel met geen woord gerept over de rol en mogelijkheden van geheime diensten, terwijl die onder de nieuwe Wet op de inlichtingen- en veiligheidsdiensten directe, afgeschermde toegang tot de centrale PNR-databank zullen krijgen. Meest kwalijke aspect aan het Nederlandse PNR-wetsvoorstel is echter dat dit twee stappen verder gaat dan de PNR-richtlijn zelf: Nederland kiest er immers zélf voor om ook de data van passagiers op alle intra-EU vluchten op te slaan. Onder de PNR-richtlijn is dit niet verplicht, en had Nederland dit bovendien kunnen beperken tot louter vooraf geselecteerde (risico)vluchten. Dit zou in lijn geweest zijn met het advies van de meeste experts op dit terrein: targeted i.p.v. mass surveillance, zo gericht mogelijk, oftewel louter gericht op die personen waarop een redelijke verdenking rust, conform de principes van onze democratische rechtsstaat.

Advies Privacy First

Privacy First adviseert u hierbij met klem om het huidige wetsvoorstel te verwerpen en dit desgewenst te vervangen door een privacyvriendelijke versie. Mocht dit ertoe leiden dat Nederland door de Europese Commissie voor het EU Hof van Justitie zal worden gedaagd wegens gebrek aan implementatie van de huidige Europese PNR-richtlijn, dan verwacht Privacy First dat Nederland deze zaak glansrijk zal winnen. Van EU-lidstaten mag immers niet worden verwacht dat zij privacyschendende EU-regels implementeren. Dit geldt eveneens voor de nationale implementatie van relevante resoluties van de VN Veiligheidsraad (in casu UNSC Res. 2396 (2017)) die op gespannen voet staan met internationale mensenrechten. Privacy First heeft in dit verband reeds gewaarschuwd voor misbruik van het Nederlandse (ook voor PNR gebruikte) TRIP-systeem door andere VN-lidstaten. Nederland heeft hierin een eigen grondwettelijke en internationaalrechtelijke verantwoordelijkheid.

Voor nadere informatie of vragen met betrekking tot bovenstaande is Privacy First te allen tijde bereikbaar op telefoonnummer 020-8100279 of per email: Dit e-mailadres wordt beveiligd tegen spambots. JavaScript dient ingeschakeld te zijn om het te bekijken..

Hoogachtend,

Stichting Privacy First

Update 19 maart 2019: vandaag heeft de Tweede Kamer het wetsvoorstel helaas vrijwel ongewijzigd aangenomen; slechts GroenLinks, SP, PvdD en Denk stemden tegen. Een principiële motie van GroenLinks en SP om een rechtszaak van de Europese Commissie tegen de Nederlandse regering over de Europese PNR-richtlijn uit te lokken werd helaas verworpen. Enig lichtpuntje is de breed aangenomen motie ter juridische herbeoordeling en mogelijke herziening van de PNR-richtlijn op Europees politiek niveau. (Slechts PVV en FvD stemden tegen deze motie.) Volgende halte: Eerste Kamer.

Update 4 juni 2019: ondanks recente herhaling van bovenstaande brief en overige kritische input van Privacy First heeft de Eerste Kamer het wetsvoorstel vandaag helaas aangenomen. Slechts GroenLinks, Partij voor de Dieren en SP stemden tegen. Dit ook ondanks de onlangs in Duitsland (bij het vergelijkbare Duitse PNR-systeem) gebleken enorme foutenpercentages (“false positives”) van maar liefst 99,7%, zie https://www.sueddeutsche.de/digital/fluggastdaten-bka-falschtreffer-1.4419760. In Duitsland en Oostenrijk zijn inmiddels grootschalige rechtszaken gestart om de Europese PNR-richtlijn door het Europees Hof van Justitie onrechtmatig te laten verklaren wegens strijd met het recht op privacy, zie de Duits-Engelse campagnewebsite https://nopnr.eu en https://www.nrc.nl/nieuws/2019/05/15/burgers-in-verzet-tegen-opslaan-passagiersgegevens-a3960431. Zodra het Europees Hof de PNR-richtlijn in deze zaken onrechtmatig verklaart, zal Privacy First de Nederlandse PNR-wet in kort geding buiten werking laten stellen. Tevens heeft Privacy First gisteren Nederlandse PNR-wet geagendeerd bij het VN Mensenrechtencomité in Genève. Op 1-2 juli as. zal de algehele Nederlandse mensenrechtensituatie (inclusief Nederlandse schendingen van het recht op privacy) door dit Comité kritisch onder de loep genomen worden.

Hof Amsterdam wijst nieuwe zaak tegen kentekenparkeren desondanks af. Privacy First bezint zich op vervolgstappen.

In het hoger beroep van de voorzitter van Privacy First tegen kentekenparkeren heeft het Hof Amsterdam het helaas niet aangedurfd om kentekenparkeren en het gebrek aan contante (anonieme) betaalmogelijkheid onrechtmatig te verklaren, zo bleek eind vorige week (pdf). Weliswaar onderkent het Hof expliciet “het belang van handhaving van de mogelijkheid om contant te betalen” en verwijst het Hof daarbij ook naar instanties zoals de Nederlandsche Bank (DNB) die dit belang eveneens onderschrijven. Tegelijkertijd stelt het Hof echter dat de huidige wetgeving de (gemeentelijke) overheid niet zou verplichten om contante of anonieme betaling van parkeerbelasting mogelijk te maken. Het Hof verwijst hierbij o.a. naar een verouderde uitspraak van de Hoge Raad uit 2005 en naar oude, summiere Europese wetgeving. Het Hof Amsterdam oordeelt tevens dat het verouderde (nationale) Besluit gemeentelijke parkeerbelastingen (2001) geen recht op een anoniem betaalmiddel impliceert. Niettemin suggereert het Hof dat anonieme betaling mogelijk zou zijn middels een ongeregistreerde prepaid creditcard. Privacy First acht dit oordeel (inclusief laatstgenoemde suggestie) van het Hof Amsterdam onjuist en overweegt juridische vervolgstappen richting zowel de Hoge Raad als het Europees Hof van Justitie. Privacy First voelt zich hierbij gesterkt door de actuele maatschappelijke discussie en recente politieke oproepen om contant geld te handhaven en contante betalingsmogelijkheden te verbeteren, met name ook bij lokale overheden. Onlangs nam de Tweede Kamer hier unaniem een motie over aan. Verdere parlementaire moties en mogelijke wetswijzigingen ter behoud en versterking van contant geld liggen in het verschiet.

Gebrekkig oordeel Hof Amsterdam over rechtmatigheid van kentekenparkeren

Over de rechtmatigheid van (het systeem van) kentekenparkeren oordeelt het Hof Amsterdam niet eenduidig: eerst oordeelt het Hof dat kentekenparkeren als zodanig een “niet-verboden inmenging” in het recht op privacy vormt, waarmee het Hof dus enerzijds erkent dat sprake is van een inmenging (inbreuk), maar dat deze niet verboden zou zijn. Vervolgens overweegt het Hof echter dat überhaupt geen sprake zou zijn van een inmenging, om vervolgens alsnog “hypothetisch” te oordelen dat de betreffende inmenging gerechtvaardigd zou zijn en dus geen schending (ongerechtvaardigde inbreuk) op het recht op privacy zou vormen. Privacy First acht deze argumentatie onbegrijpelijk en vooral ook onjuist. Het Hof toetst bovendien nauwelijks (en foutief) aan noodzaak, proportionaliteit en subsidiariteit, terwijl deze hele zaak daar nu juist om draait. Daarnaast laat het Hof talloze ingebrachte bezwaren tegen kentekenparkeren onbenoemd, waaronder het gebrek aan een specifieke, met privacywaarborgen omgeven rechtsbasis voor kentekenparkeren in nationale wetgeving, het feit dat parkeerdata voor andere doelen wordt gebruikt en kan worden misbruikt (function creep), het feit dat "efficiency" geen juridische rechtvaardiging kan vormen voor inperking van het recht op privacy, etc.

Invoering van kenteken bij parkeren blijft vrijwillig

In deze zaak staat een aantal nieuwe principiële rechtsvragen rond kentekenparkeren en het recht op contante betaling centraal. Door de huidige uitspraak van het Hof Amsterdam blijven dan ook de eerdere (door de Hoge Raad bevestigde) uitspraken dat invoering van het kenteken bij parkeren niet verplicht is, onaangetast. Kentekenparkeren is en blijft daarmee dus vrijwillig: een eventuele parkeerboete bij niet-invoering van een kenteken dient in bezwaar en beroep te worden vernietigd, mits de parkeerder kan aantonen dat voor het parkeren betaald is.

Recht op anonimiteit in openbare ruimte

Privacy First voert deze zaak ter behoud en versterking van het recht op anonimiteit in de openbare ruimte. Dit recht staat de laatste jaren in toenemende mate onder druk en dreigt inmiddels illusoir te worden. Indien nodig zal Privacy First deze zaak daarom voortzetten tot aan het Europees Hof voor de Rechten van de Mens in Straatsburg.

Lees HIER de hele uitspraak van het Hof Amsterdam d.d. 5 februari jl. in geanonimiseerde pdf (op 8 februari jl. door Privacy First ontvangen).

Update 3 maart 2019: de uitspraak van het Hof is inmiddels ook gepubliceerd op rechtspraak.nl. Privacy First beraadt zich nog op mogelijke vervolgstappen.

Update 2 mei 2019: vandaag heeft de voorzitter van Privacy First beroep in cassatie ingesteld bij de Hoge Raad.

Update 22 september 2019: vandaag besteedden het NOS Journaal en Nieuwsuur uitgebreid aandacht aan het toenemende gebruik (en misbruik) van scanauto's, zie https://nos.nl/nieuwsuur/artikel/2302813-opsporingsdiensten-ontdekken-nieuw-wapen-de-scanauto.html.

Update 10 april 2020: vandaag heeft de Hoge Raad uitspraak gedaan. De Hoge Raad oordeelt dat kentekenparkeren een systematische inbreuk vormt op het recht op privacy. Volgens de Hoge Raad wordt dit echter gerechtvaardigd doordat sprake zou zijn van een wettelijke basis, namelijk een lokale parkeerverordening van de gemeente Amsterdam. Die wettelijke basis bevat echter geen enkele privacywaarborg zoals vereist door het Europese Mensenrechtenverdrag (art. 8 EVRM). Privacy First verwacht deze zaak daarom alsnog te zullen winnen bij het Europees Hof voor de Rechten van de Mens in Straatsburg.

Hoge Raad zwijgt over recht op anonieme, contante betaling

In de uitspraak vandaag weigert de Hoge Raad grotendeels om de zaak inhoudelijk te behandelen. De Hoge Raad draait op diverse punten om de hete brij heen. Allereerst wil de Hoge Raad geen uitspraak doen over het eerste fundamentele aspect dat in deze zaak centraal stond: het recht op anonieme of contante betaling bij parkeren. Dit recht vloeit o.a. voort uit het recht op privacy in de zin van anonimiteit in de openbare ruimte. De Hoge Raad beargumenteert niet waarom het hierover geen uitspraak wil doen en verwijst slechts naar art. 81 van de Wet op de rechterlijke organisatie: verondersteld gebrek aan belang voor de rechtseenheid of de rechtsontwikkeling. Dit oordeel is onbegrijpelijk, aangezien dit nu juist een uiterst actuele kwestie betreft waarover veel rechtsonzekerheid bestaat.

Hoge Raad acht kentekenparkeren systematische inbreuk op privacy, maar weigert inhoudelijke toetsing

In lijn met het betoog van Privacy First oordeelt de Hoge Raad dat kentekenparkeren een systematische inbreuk vormt op het recht op privacy. Onder art. 10 Grondwet en art. 8 EVRM vereist dit een wettelijke basis. Volgens de Hoge Raad is een lokale parkeerverordening zonder wettelijke privacywaarborgen daartoe voldoende. Het gebrek aan wettelijke privacywaarborgen bij kentekenparkeren wordt door de Hoge Raad echter geheel niet getoetst. Ook op dit fundamentele aspect draait de Hoge Raad dus om de hete brij heen. Privacy First acht dit oordeel in strijd met het Europese privacyrecht en verwacht dit met succes te zullen aanvechten bij het Hof in Straatsburg.

Hoge Raad laat misbruik van scanauto’s onbenoemd

Een ander fundamenteel aspect waarover de Hoge Raad zich niet wil uitlaten betreft het misbruiken van scanauto’s bij kentekenparkeren voor andere doelen, waaronder de opsporing van verwarde personen, zwerfvuil en monumentenzorg. Dergelijke function creep (doelverschuiving) is in strijd met het recht op privacy en juist nu hoogst actueel, getuige bijvoorbeeld de berichtgeving vandaag over de nieuwe inzet van camera-auto’s in de Coronacrisis. Privacy First betreurt het dat de Hoge Raad over dergelijke buitenwettelijke inzet van scanauto’s liever zwijgt dan rechtspreekt.

Lees HIER de volledige uitspraak van de Hoge Raad op rechtspraak.nl.

Update 28 april 2021: het Europees Hof voor de Rechten van de Mens (EHRM) in Straatsburg heeft de meervoudige klacht van Privacy First tegen bovenstaande uitspraak van de Hoge Raad helaas vrijwel onbeargumenteerd niet-ontvankelijk verklaard. Hetzelfde gebeurde de afgelopen jaren o.a. met twee rechtszaken van Privacy First tegen ongereguleerde trajectcontroles en een door Privacy First gesteunde zaak van VP Huisartsen tegen het Landelijk Schakelpunt (EPD). Door Privacy First gesteunde zaken tegen verplichte vingerafdrukken in paspoorten en identiteitskaarten liggen reeds sinds 2016 onbehandeld op de Straatsburgse plank. Hetzelfde geldt sinds 2018 voor de coalitiezaak 'Burgers tegen Plasterk' over internationale data-uitwisseling tussen geheime diensten. In combinatie met recente teleurstellende, onkritische uitspraken van het EHRM over massa-surveillance en verplichte vaccinaties doet dit bij Privacy First inmiddels de vraag rijzen: zou de Nederlandse burger niet veel beter af zijn bij een nationaal Grondwettelijk Hof?