Toon items op tag: Overheid

Hoge Raad maakt weg vrij voor afschaffing kentekenparkeren

Onlangs bepaalde de Hoge Raad dat de Belastingdienst al jaren op onrechtmatige wijze de locatiedata van alle automobilisten in Nederland verzamelt. De Belastingdienst doet dit middels een groot netwerk van ANPR-camera’s (Automatische NummerPlaat Registratie) langs de Nederlandse snelwegen. Volgens de Hoge Raad bestaat hiervoor echter geen wettelijke basis. Daarmee vormt deze praktijk van de Belastingdienst een massale, continue privacyschending.

Ook op lokaal niveau wordt het reisgedrag van automobilisten al jarenlang op onrechtmatige wijze gemonitord: middels kentekenparkeren heeft de gemeentelijke belastingdienst volledig zicht op wie waar en wanneer parkeert. Maar ook hier ontbreekt een specifieke wettelijke basis zoals door de Nederlandse Grondwet en art. 8 EVRM (het recht op privacy) wordt vereist. Daarmee vormt ook kentekenparkeren een massale privacyschending.

Invoering kenteken niet verplicht

Begin 2015 won Privacy First haar eerste rechtszaak tegen kentekenparkeren: sindsdien zijn automobilisten niet langer verplicht om bij het parkeren hun kenteken in te voeren. Begin 2016 werd dit oordeel bevestigd door de Hoge Raad. Kentekenparkeren kwam daardoor definitief op losse schroeven te staan. “De Hoge Raad is duidelijk: verplichte invoering van kentekens mag niet. Kentekenparkeren dient dus te worden afgeschaft”, aldus onze advocaat Benito Boer. In september 2016 diende daartoe een kort geding van Privacy First om anoniem parkeren mogelijk te maken zonder invoering van het kenteken en met anonieme betaalmogelijkheid. In een onbegrijpelijk vonnis wees de rechter deze zaak echter af, waarna Privacy First versneld hoger beroep (spoedappèl) instelde bij het Hof Amsterdam.

Gewijzigde teksten op parkeerautomaten

Onder druk van ons hoger beroep wijzigde de gemeente Amsterdam onlangs de teksten op alle parkeerautomaten: invoering van het kenteken is inmiddels niet meer “verplicht”, maar nog slechts “gewenst”. Wie geen kenteken invoert, ontvangt echter nog steeds een parkeerboete die pas na bezwaar (met betalingsbewijs) wordt vernietigd. “Zo word je als goedwillende burger dus nog steeds gestraft als je anoniem wilt kunnen parkeren. Het is Kafka”, aldus Privacy First voorzitter Bas Filippini.

Rechtszitting bij Hof Amsterdam

Privacy First nodigt u hierbij van harte uit om bij de openbare rechtszitting aanwezig te zijn. Deze zal plaatsvinden op donderdagochtend 16 maart as. om 9.30u bij het Gerechtshof Amsterdam: zaak L.T.C. Filippini vs. gemeente Amsterdam, zaaknr. 200.200.643/01. Adres: Paleis van Justitie, IJdok 20, Amsterdam. Klik HIER voor een routebeschrijving.

Prijsvraag

Bij het parkeren in de omgeving van het gerechtshof staat het u vrij om een creatieve tekst in plaats van uw kenteken in te voeren en een foto daarvan met ons te delen (bijvoorbeeld via Twitter). De leukste inzending krijgt van ons een cadeau!

Update 16 maart 2017: de rechtszitting vanochtend verliep voorspoedig. Klik HIER voor de pleitnota van onze advocaat Benito Boer (pdf). De uitspraak van het Hof staat vooralsnog gepland op 2 mei as.

Wilt u ons graag steunen bij het voeren van deze rechtszaak? Maak dan een donatie aan Privacy First over o.v.v. “privacyparkeren” t.n.v. Stichting Privacy First te Amsterdam, IBAN: NL95ABNA0495527521.

Update 2 mei 2017: vanochtend heeft het Hof Amsterdam de uitspraak uitgesteld tot dinsdag 16 mei as.

"De Belastingdienst mag data over leaserijders, afkomstig van politiecamera's, niet langer gebruiken voor boetes, aldus de Hoge Raad.

Minimaal drie miljard kentekenfoto's ontvangt de Belastingdienst jaarlijks van voertuigen op de Nederlandse wegen, maar die zijn sinds vrijdag grotendeels waardeloos. De beelden worden rechtstreeks doorgestuurd vanuit honderden kentekencamera's van de politie. Een ideaal middel om de routes van een kwart miljoen automobilisten te volgen die bij de Belastingdienst hebben gemeld dat ze hun zakelijke auto niet privé gebruiken. Maar ook een grove inbreuk op de privacy, waarvoor geen toereikende wettelijke grondslag bestaat, zo oordeelde vrijdag de Hoge Raad.

U verklaart als leaserijder minder dan 500 kilometer per jaar privé te hebben gereden, maar de camera's signaleerden uw auto op plaatsen die niet overeenkomen met uw rittenadministratie? Dan was u tot nu toe mogelijk de klos, op basis van de kentekenfoto's. Deze praktijk moet nu stoppen, zo luidt het vonnis.

Drie leaserijders hadden bezwaar gemaakt tegen naheffingen die hun op basis van de kentekenbeelden waren opgelegd. Ze vinden de systematische controle van hun reisbewegingen een schending van hun privacy. Daarin geeft de Hoge Raad hen gelijk. „Het gaat hier namelijk niet om één of enkele waarnemingen in de openbare ruimte, maar om het systematisch verzamelen, vastleggen, bewerken en jarenlang bewaren van gegevens over de bewegingen van voertuigen op diverse plaatsen in Nederland", aldus de Raad in een persbericht.

In zo'n geval is volgens Europees recht een precieze wettelijke grondslag vereist en die ontbreekt in Nederland. Daarvoor zal een nieuwe wet moeten worden opgesteld waarin wordt beargumenteerd waarom de inbreuk op de privacy noodzakelijk is. Dat kan jaren duren, als zo'n wet er ooit komt.

Betekent dit nu dat al die leaserijders die op basis van kentekenbeelden een naheffing kregen opgelegd geld kunnen terugvorderen? „Nee", zegt fiscaal jurist Clemens Meerts, die twee van de drie leaserijders bijstaat die bezwaar aantekenden. „De naheffingen van mensen die geen bezwaar maakten, hebben formele rechtskracht gekregen. Daar valt niets meer aan te doen."

Dat wordt bevestigd door een woordvoerder van de Belastingdienst. Die laat weten dat de fiscus op zoek gaat naar andere manieren om automobilisten op grote schaal in de gaten te houden. Ook zegt de woordvoerder dat de fiscus meerdere mogelijkheden heeft om leaserijders te controleren. „Bijvoorbeeld met locatiegegevens op basis van boetes door het Centraal Justitieel Incassobureau."

De Belastingdienst gebruikt de miljarden kentekenbeelden ook om te kijken welke geschorste voertuigen toch nog rondrijden en om mensen met belastingschulden op te sporen. Het is zeer de vraag of de beelden daarvoor nog wel mogen worden gebruikt. Nieuwe rechtszaken zouden daar ook een einde aan kunnen maken.

De organisatie voor privacybescherming Privacy First is blij met de uitspraak van de Hoge Raad. Privacy First voert rechtszaken tegen trajectcontroles waarmee snelheidsovertredingen worden gemeten. „Bij trajectcontroles worden de reisbewegingen van alle automobilisten geregistreerd en bewaard in politiedatabanken. Hiervoor bestaat evenmin een specifieke wettelijke basis, zoals door de Hoge Raad vereist", stelt directeur Vincent Böhre. Hij hoopt met de uitspraak van vrijdag ook de trajectcontroles uit te bannen."

Bron: NRC Handelsblad, zaterdag 25 februari 2017, rubriek Economie, p. 10. Tevens online beschikbaar op https://www.nrc.nl/nieuws/2017/02/24/fiscus-mag-geen-kentekens-verzamelen-6971403-a1547618.

"AIVD en MIVD kunnen aan de slag met betere bevoegdheden binnen een nieuwe Wet op de Inlichtingen- en Veiligheidsdiensten (Wiv) indien ook de Eerste Kamer akkoord gaat. Dan verzamelt Privacy First een coalitie voor een rechtszaak om dit te voorkomen.

‘Mocht de Wiv ongeschonden door de Eerste Kamer komen, dan volgt er hoogstwaarschijnlijk een bodemprocedure met een brede coalitie van maatschappelijke organisaties en wellicht ook bedrijven. De eerste oriënterende gesprekken tussen Privacy First en relevante advocatenkantoren zijn daartoe reeds gepland’, zegt Vincent Böhre van Privacy First. (...)"

Lees hier het volledige, zeer informatieve artikel: http://www.netkwesties.nl/971/rechtszaak-dreigt-tegen-breed-aangenomen.htm, 15 februari 2017.
Zie ook https://www.computable.nl/artikel/nieuws/security/5955961/250449/tweede-kamer-stemt-in-met-aftapwet.html & https://www.security.nl/posting/503934/Tweede+Kamer+akkoord+met+Wetsvoorstel+veiligheidsdiensten.

"Vandaag bespreekt de Tweede Kamer een wetsvoorstel dat zó ingrijpend is, zó ontoereikend en zó belangrijk, dat het beter is als de Kamer het uitstelt tot na de verkiezingen. Op de nieuwe wet op de Inlichtingen- en Veiligheidsdiensten is in de voorfase al veel kritiek geweest en er zijn al zo veel veranderingen aangebracht dat het wetsvoorstel niet kan overtuigen. Doorslaggevend zijn de breedte en de kwaliteit van de adviezen die onder meer de huidige Commissie van Toezicht op de Inlichtingen en Veiligheidsdiensten (CTIVD) nog onlangs leverde. Maar ook de open brief die 25 academici aan de Kamer schreven weegt zwaar. Die komt bovenop kritische reacties die eerder al de Raad van State en het College Bescherming Persoonsgegevens gaven. En bovenop de alarmkreten uit het veld. Privacy First sprak van een „totalitair voorstel”, Amnesty noemde het „onnodig en zorgelijk”.

Zolang de CTIVD echter stelt dat de voorgestelde onderscheppingsmogelijkheden van digitaal verkeer onvoldoende zijn ingeperkt, dat de belangen van derden onvoldoende meewegen, de omvang van de afgetapte data niet snel genoeg wordt beperkt en de kwaliteit van de dataverzameling onvoldoende zeker is – dan is aanvaarding van zo’n wetsvoorstel eigenlijk niet goed denkbaar. Althans dat zou zo moeten zijn.

Ook de chaotische manier waarop het toezicht op de nieuwe bevoegdheden zal worden geregeld, schept geen vertrouwen. De CTIVD zegt dat het kabinet een „gelaagd en complex stelsel” introduceert, door toetsing, toezicht en klachtbehandeling bij aparte instanties onder te brengen. De 25 academici adviseerden al één gespecialiseerde rechter aan te wijzen en de mogelijkheid te openen een „publieke advocaat” aan te wijzen. Die zou moeten adviseren over aftappen als er zware publieke belangen een rol spelen, of de belangen van verschoningsgerechtigden, zoals advocaten en journalisten in het spel zijn.

Mogelijk nog zwaarder weegt de veel te ruim geformuleerde macht die de veiligheidsdiensten krijgen om grote hoeveelheden communicatiedata in bulk af te tappen, drie jaar (!) op te slaan, te monitoren en vervolgens uit te wisselen met buitenlandse diensten. Dat zoiets in beginsel moet kunnen, is nog wel enigszins te billijken – de tijden van post, telefoon en telegrafie zijn wel voorbij. Maar het is alleen acceptabel als het is ingesnoerd in een stelsel van vernietigingsplichten, scherpe selectie op relevantie en harde eisen aan doel en duidelijkheid. Naar de mening van de meeste deskundigen ontbreekt dat nu. Dan is het geen schande om een dergelijk wetsvoorstel terug te sturen. Of terug te nemen."

Bron: NRC Handelsblad 8 februari 2017, p. 2; NRC Next 8 februari 2017, p. 30. Tevens online beschikbaar op https://www.nrc.nl/nieuws/2017/02/08/wet-inlichtingendiensten-is-even-ingrijpend-als-onrijp-6588317-a1544947.

Op 8 februari as. debatteert de Tweede Kamer met minister Plasterk (Binnenlandse Zaken) over een wetsvoorstel waardoor de privacy van iedereen in Nederland geschonden dreigt te kunnen worden: de nieuwe Wet op de inlichtingen- en veiligheidsdiensten. In dat kader verzond Stichting Privacy First vandaag een kritische brief aan de Tweede Kamer met ons commentaar op het huidige wetsvoorstel. Hieronder volgt de gehele tekst van onze brief (klik HIER voor de originele versie in pdf):

Geachte Kamerleden,

Volgende week zult u met de Minister van Binnenlandse Zaken in debat gaan over een – in onze ogen – uiterst totalitair wetsvoorstel: de nieuwe wet op de inlichtingen- en veiligheidsdiensten (Wiv). Zonder acute urgentie wordt dit wetsvoorstel momenteel onder hoge druk door het parlement behandeld.

Talloze bezwaren van gezaghebbende adviesorganen zoals de Raad van State, de Autoriteit Persoonsgegevens, de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD), het College voor de Rechten van de Mens, de Raad voor de Rechtspraak en zelfs de continentale Raad van Europa zijn daarbij tot nu toe in de wind geslagen. Waarschuwingen vanuit wetenschap en bedrijfsleven worden structureel genegeerd. Onlangs organiseerde uw Kamer weliswaar een ‘hoorzitting’ rond het wetsvoorstel, maar tegenstanders van het wetsvoorstel waren daarbij niet welkom. Privacy First acht de parlementaire behandeling van dit wetsvoorstel tot op heden dan ook onvoldoende kritisch van opzet.

Wij zullen hieronder onze meest fundamentele bezwaren tegen dit wetsvoorstel daarom opnieuw voor u uiteenzetten en cruciale aanbevelingen doen.

Sleepnetbevoegdheid en bewaartermijn

Onder het huidige wetsvoorstel krijgen AIVD en MIVD de bevoegdheid om het internet grootschalig af te tappen, massaal te monitoren en de vergaarde data jarenlang op te slaan voor eventueel later gebruik of internationale uitwisseling, oftewel een digitaal sleepnet met onvoorzienbare afmetingen, doelen, gevolgen en neveneffecten. In ambtenarenjargon heet deze bevoegdheid “OnderzoeksOpdrachtGerichte interceptie” (OOG). Terecht noemde de Autoriteit Persoonsgegevens dit “het eufemisme van het jaar”. Deze bevoegdheid zal immers het ‘alziende oog’ van de Nederlandse rijksoverheid gaan vormen. Dit past niet in een democratische rechtsstaat.

De internationaalrechtelijk vereiste maatschappelijke noodzaak (art. 8 EVRM) van deze bevoegdheid is tot op heden onaangetoond. Reeds hierom acht Privacy First de invoering ervan onrechtmatig. Naar alle maatstaven is deze bevoegdheid bovendien volstrekt disproportioneel en niet in lijn met het vereiste van subsidiariteit (d.w.z. het verplicht gebruikmaken van het lichtste, meest privacyvriendelijke middel om een legitiem doel te bereiken).

Daarnaast is een dergelijke bevoegdheid tot op heden niet aantoonbaar effectief (laat staan efficiënt) en wellicht juist contra-productief wegens de enorme overload aan irrelevante data. Volstaan zou dan ook kunnen en moeten worden met targeted en tijdelijke surveillance van relevante individuen en groepen, waarbij de rest van de maatschappij met rust gelaten wordt. Dergelijke surveillance dient altijd zo gericht mogelijk te zijn en gepaard te gaan met strikte, bij wet voorziene, concrete waarborgen tegen misbruik. Dergelijke waarborgen ontbreken vrijwel volledig in het huidige wetsvoorstel. Dit wetsvoorstel dient daarom verworpen te worden.

Illegale bewaartermijn

Onlangs oordeelde het Europees Hof van Justitie dat overheden nimmer gerechtigd zijn om data van onschuldige burgers massaal te (laten) verzamelen en op te slaan voor eventueel later gebruik in het veiligheidsdomein.[1] Het Hof baseerde zich hierbij mede op art. 8 EVRM (het recht op privacy). De opslagtermijn van 3 jaar in het huidige wetsvoorstel is hierdoor juridisch onhoudbaar en dient per direct uit het wetsvoorstel te worden geschrapt. Bij gebreke hiervan verwacht Privacy First dat deze bewaartermijn (evenals de massale tapbevoegdheid zelf) door het Europees Hof voor de Rechten van de Mens onrechtmatig verklaard zal worden.

Internationale uitwisseling van bulk-data

Privacy First herhaalt hierbij haar fundamentele bezwaar tegen internationale uitwisseling van ongeëvalueerde bulk-data. Dergelijke uitwisseling overschrijdt alle juridische, ethische en morele grenzen, in elk geval waar het de data van een onschuldige burgerbevolking betreft. Privacy First verwacht dan ook dat deze bevoegdheid geen stand zal houden bij een internationale of Europese rechter en dringt er hierbij op aan om deze bevoegdheid te schrappen of grondig in te perken en van extra waarborgen te voorzien, waaronder een bindende rechtmatigheidstoets vooraf per geval.

Binnenkort zal het Hof Den Haag uitspraak doen over de kwestie van internationale uitwisseling tussen geheime diensten in de rechtszaak Burgers tegen Plasterk van Privacy First c.s. tegen de Nederlandse Staat. Tevens hebben Privacy First c.s. als derde partijen geïntervenieerd in de vergelijkbare Britse zaak van Big Brother Watch tegen het Verenigd Koninkrijk bij het Europees Hof voor de Rechten van de Mens. Privacy First ziet de uitspraken van beide hoven met vertrouwen tegemoet.

Databanken van derde partijen

De bevoegdheden tot het opvragen en gebruiken van gegevens zijn in het huidige wetsvoorstel vrijwel onbegrensd. Het voorstel maakt daartoe zelfs directe, automatische toegang tot de databanken van de gehele publieke en private sector (overheid én bedrijfsleven) mogelijk. Bij al deze derde partijen zullen bovendien ook complete databanken opgevraagd kunnen worden. Dit alles ten behoeve van heimelijke koppeling, datamining en profiling, waarmee real-time een uiterst gedetailleerd (zelfs voorspellend) beeld van groepen en individuen kan worden gecreëerd. Privacy First verzoekt uw Kamer hierbij met klem om deze bevoegdheden te schrappen of grondig in te perken en van wettelijke waarborgen tegen misbruik te voorzien, waaronder bindend rechtmatigheidstoezicht vooraf.

Hack-bevoegdheid en decryptiebevel

“De diensten dienen zo gericht mogelijk te werken en niet door middel van decryptie de digitale veiligheid van grote groepen gebruikers te ondermijnen”, zo schrijft de Minister terecht in de nota bij het wetsvoorstel.[2] De bevoegdheid om systemen van onschuldige derden (burgers en bedrijven) te kunnen hacken om zo een target te kunnen bereiken acht Privacy First echter te verregaand. Om deze reden is een dergelijke bevoegdheid in het domein van politie en justitie reeds uit het wetsvoorstel Computercriminaliteit III geschrapt. Niet valt in te zien waarom deze bevoegdheid desondanks wel aan AIVD en MIVD zou moeten toekomen. De huidige (reeds bestaande) bevoegdheid om systemen en communicatie van individuele targets te kunnen hacken acht Privacy First afdoende.

Bedrijven hebben het recht om hun systemen zo in te richten dat aan een decryptiebevel niet kan worden voldaan wegens de technische onmogelijkheid daarvan, bijvoorbeeld door gebrek aan sleutels. In minder democratische tijden en contreien kan dit recht voor bedrijven tevens omslaan in een maatschappelijke plicht, bijvoorbeeld om als bedrijf niet medeplichtig te worden aan onrechtmatige opsporing en vervolging. In de optiek van Privacy First dienen systemen bovendien zodanig te worden ontwikkeld dat hacking vrijwel onmogelijk is en de schade van een eventuele hack altijd zo beperkt mogelijk zal blijven. Privacy by design vergt immers niet louter de beste encryptie maar ook de beste compartimentering. Bovenstaande geldt mede ter verduidelijking van recente ongenuanceerde berichtgeving over het standpunt van Privacy First door de Telegraaf.[3]

Strafbare feiten

Privacy First herhaalt hierbij haar zorg over het feit dat de ongenormeerde bevoegdheid voor agenten om strafbare feiten te mogen plegen ongemoeid wordt gelaten. In de huidige Wiv uit 2002 bestaat de mogelijkheid tot nadere normering middels een Algemene Maatregel van Bestuur (AMvB). De Commissie Dessens adviseerde die AMvB alsnog in te voeren, maar het kabinet maakt dit onmogelijk door de grondslag voor de betreffende AMvB uit de wet te verwijderen. Met een ongewisse politieke toekomst in het verschiet is dit voor de Nederlandse bevolking uiterst onwenselijk en gevaarlijk.

Notificatieplicht

In het huidige wetsvoorstel blijft de notificatieplicht slechts gelden voor individuele burgers en niet (ook) voor organisaties die evengoed targets kunnen zijn geweest. Naar aanleiding van eerdere kritiek hierop van Privacy First stelt de Minister in de memorie van toelichting bij het wetsvoorstel hierover het volgende: “De notificatieplicht vervult een rol in het kader van het bieden van rechtsbescherming aan de burgers tegen inbreuken op enkele specifiek aan hen toekomende grondrechten. De invoering van de notificatieplicht die ook geldt voor organisaties wordt (...) dan ook niet overwogen.”[4] Dit is aperte onzin. Het recht op privacy en (met name) het recht op vertrouwelijke communicatie gelden immers ook voor rechtspersonen en organisaties als zodanig (waaronder stichtingen, verenigingen en bedrijven), zeker in de context van dit wetsvoorstel.

Verschoningsgerechtigden

In het huidige wetsvoorstel krijgen advocaten en journalisten (terecht) extra bescherming middels voorafgaande toetsing door de rechtbank Den Haag bij de inzet van bijzondere bevoegdheden jegens hen. Privacy First adviseert om deze rechterlijke bescherming uit te breiden naar alle groepen verschoningsgerechtigden, waaronder artsen, notarissen en geestelijken. Tevens dient te worden voorzien in aanvullende waarborgen voor journalistieke bronbescherming.

Toezicht

Conform ons eerdere advies is Privacy First in principe positief over het nieuwe bindende rechtmatigheidstoezicht vooraf bij de uitoefening van bevoegdheden door AIVD en MIVD. Privacy First herhaalt hierbij echter dat dergelijke toetsing vooraf dient te gelden bij de uitoefening van álle bijzondere bevoegdheden door de diensten. Al het toezicht vooraf, tijdens en achteraf dient bovendien grondig en volledig te zijn; in geen geval mag sprake blijken van oppervlakkige rubber-stamping of toezichtshiaten. Daarnaast is Privacy First positief over de invoering van bindend klachtrecht voor burgers en organisaties, hetzij bij de nationale Ombudsman, hetzij bij de CTIVD, waarbij Privacy First een voorkeur heeft voor staatsrechtelijke positionering van het klachtinstituut als Hoog College van Staat aangezien dit de onafhankelijkheid ervan versterkt en bestendigt. In navolging van de CTIVD zou Privacy First overigens graag bevestigd zien dat dit klachtrecht ook door relevante maatschappelijke organisaties zal kunnen worden uitgeoefend in het algemeen belang (algemeen-belangactie) en/of namens een specifieke groep personen (groepsactie), ook indien voor die personen een individueel klachtrecht openstaat.[5] Dit is reeds staande praktijk bij de nationale Ombudsman en bevordert de effectiviteit en efficiëntie van de klachtenprocedure. Tevens zou Privacy First graag expliciet bevestigd zien dat deze nieuwe, quasi-rechterlijke procedure niet zal leiden tot niet-ontvankelijkheid van personen en organisaties met betrekking tot vergelijkbare rechtsvragen in relevante procedures bij de rechterlijke macht.

Actieve openbaarheid

Privacy First adviseert opnieuw om het wetsvoorstel alsnog te voorzien van een bepaling ter actieve openbaarmaking van (historische) documenten van de diensten. De praktijk van "declassification and transparency" in andere landen (waaronder voorheen de Verenigde Staten) kan in dit opzicht een bron van inspiratie vormen.

Peaceful use of cyberspace

In de recente nota van de Minister bij het wetsvoorstel schrijft deze dat “voor Defensie cyberspace het vijfde domein voor militair optreden geworden is (naast land, zee, lucht en de ruimte).”[6] Privacy First herinnert u hierbij graag aan het feit dat de ruimte in juridische zin geen militair domein is; hier geldt immers het internationaal recht van peaceful use of outer space. In onze optiek zou in cyberspace een vergelijkbaar internationaal regime van peaceful use dienen te gelden. Als ‘international legal capital’ zou Den Haag zich hier bij uitstek sterk voor kunnen maken.

Wetsvoorstel dient controversieel verklaard te worden

Een wetsvoorstel met een dusdanige (potentiële) impact op onze samenleving dient weldoordacht te zijn en de best mogelijke waarborgen te bevatten tegen onvoorzien gebruik en toekomstig misbruik. Bij het huidige wetsvoorstel is dit niet het geval. Privacy First adviseert u daarom om dit wetsvoorstel te verbeteren of te verwerpen, danwel het gehele wetsvoorstel controversieel te verklaren en het desgewenst alsnog grondig en kritisch te behandelen tijdens een volgende kabinetsperiode. Bij gebreke hiervan behoudt Privacy First zich het recht voor om het huidige wetsvoorstel, zodra van kracht, door de rechter te laten toetsen en onrechtmatig te laten verklaren.

Voor nadere informatie of vragen met betrekking tot bovenstaande is Privacy First te allen tijde bereikbaar op telefoonnummer 020-8100279 of per email: Dit e-mailadres wordt beveiligd tegen spambots. JavaScript dient ingeschakeld te zijn om het te bekijken..

Hoogachtend,

Stichting Privacy First

[1] Zie HvJ 21 december 2016, gevoegde zaken C‑203/15 & C‑698/15 (Tele2 Sverige et al.), ECLI:EU:C:2016:970.

[2] Nota naar aanleiding van het verslag, Kamerstukken II 2016-2017, 34588, nr. 18, p. 66.

[3] Zie http://www.telegraaf.nl/binnenland/27260664/__Privacywaakhond_vindt_dat_kraken_WhatsApp _mag__.html (18 december 2016).

[4] Memorie van toelichting bij wet op de inlichtingen- en veiligheidsdiensten, Kamerstukken II 2016-2017, 34588, nr. 3, pp. 241-242.

[5] Zie CTIVD, Zienswijze op het wetsvoorstel voor een nieuwe wet op de inlichtingen- en veiligheidsdiensten d.d. 9 november 2016, Bijlage II (Kwaliteitsverbeteringen), p. 6.

[6] Nota naar aanleiding van het verslag, Kamerstukken II 2016-2017, 34588, nr. 18, p. 11.

Stichting Privacy First nodigt u graag uit voor haar Nieuwjaarsreceptie! Deze zal plaatsvinden op donderdagavond 19 januari as. op onze kantoorlocatie in Amsterdam. De avond zal grotendeels in het teken staan van de Shared Democracy: na Athene (democratie 1.0) en onze huidige 19e-eeuwse parlementaire democratie (2.0) is het in de optiek van Privacy First hoog tijd voor verdere vernieuwing en burgerparticipatie: Shared Democracy, democratie 3.0! In zijn Nieuwjaarstoespraak zal Privacy First voorzitter Bas Filippini hier onze visie op geven. Vervolgens vertelt ICT-onderzoeker Brenno de Winter over de problemen rond privacy, informatiebeveiliging en de huidige kloof tussen burger en bestuur. In zijn nieuwe boek Digitale Stormvloed legt hij pijnlijk bloot hoe informatiebeveiliging en privacybescherming tekortschieten en hoe we als samenleving kunnen sturen naar werkbare oplossingen.

Hoe kunnen we de Shared Democracy gebruiken om oplossingen te verwezenlijken? Graag gaan wij hierover met u in debat om gezamenlijk tot mogelijke antwoorden te komen, gevolgd door een borrel waar wij samen kunnen proosten op een privacyvriendelijk 2017!

Iedereen is welkom, toegang is gratis. Donaties aan Privacy First worden echter zeer op prijs gesteld. Aanmelden kan via Dit e-mailadres wordt beveiligd tegen spambots. JavaScript dient ingeschakeld te zijn om het te bekijken., maar is niet verplicht.

Datum: donderdag 19 januari 2017, 20.00-22.00u (inloop vanaf 19.30u).
Locatie: Volkshotel, Wibautstraat 150 te Amsterdam (Betonnen Zaal, begane grond). Een routebeschrijving vindt u op www.volkshotel.nl/nl/#locatie.

Klik HIER voor de uitnodiging zoals Privacy First die onlangs aan haar netwerk verzond (pdf). Wilt u voortaan directe uitnodigingen voor onze evenementen ontvangen? Mail ons! Dan voegen wij u toe aan onze mailinglist.

Na talloze rechtszaken in diverse Europese landen is de kogel nu eindelijk door de kerk: in een baanbrekende uitspraak heeft het Europese Hof van Justitie deze week bepaald dat een algemene bewaarplicht van telecomgegevens (dataretentie) onrechtmatig is wegens strijd met het recht op privacy. Deze uitspraak heeft verstrekkende consequenties voor surveillance-wetgeving in alle EU-lidstaten, ook in Nederland.

Eerdere dataretentie in Nederland

In Nederland werden sinds 2009 onder de Wet Bewaarplicht Telecommunicatie ieders communicatiegegevens (telefonie- en internetverkeer) respectievelijk 12 maanden en 6 maanden door telecomproviders opgeslagen voor de opsporing en vervolging van strafbare feiten. Deze Nederlandse dataretentie-wetgeving vloeide voort uit de Europese Dataretentierichtlijn van 2006. In april 2014 verklaarde het Europese Hof van Justitie deze Europese richtlijn echter ongeldig wegens strijd met het recht op privacy. Vervolgens weigerde minister Opstelten (Justitie) de Nederlandse Wet Bewaarplicht Telecommunicatie in te trekken, waarna een brede coalitie van Nederlandse organisaties en ondernemingen in kort geding eiste dat de wet buiten werking zou worden gesteld. De eisers in dit kort geding waren Stichting Privacy First, de Nederlandse Vereniging van Strafrechtadvocaten (NVSA), de Nederlandse Vereniging van Journalisten (NVJ), het Nederlands Juristen Comité voor de Mensenrechten (NJCM), internetprovider BIT en telecomaanbieders VOYS en SpeakUp. De zaak werd gevoerd door Boekx Advocaten in Amsterdam, en met succes: in een uniek vonnis (wetten worden zelden door rechters buiten werking gesteld, laat staan in kort geding) stelde de rechtbank Den Haag op 11 maart 2015 per direct de gehele wet buiten werking. Vervolgens besloot de Staat niet in hoger beroep te gaan, waardoor het vonnis sindsdien definitief is. Vervolgens zijn de betreffende data bij alle relevante Nederlandse telecombedrijven gewist. Tot problemen in het kader van strafrechtelijke opsporing en vervolging lijkt dit tot nu toe niet te hebben geleid.

Europees Hof maakt definitief gehakt van massale data-opslag

Het oordeel van het Europees Hof uit april 2014 liet helaas nog enige ruimte voor interpretatie in hoeverre brede, algemene opslag van ieders communicatiedata alsnog zou kunnen worden toegestaan, bijvoorbeeld door streng rechterlijk toezicht vooraf op de toegang en het gebruik van die data. In een Zweedse en Britse zaak over dataretentie hakt het Europees Hof die knoop nu alsnog door ten gunste van het recht op privacy van iedere onschuldige burger op Europees grondgebied:

"Het Handvest van de grondrechten van de Europese Unie verzet zich tegen een nationale regeling die, ter bestrijding van criminaliteit, voorziet in algemene en ongedifferentieerde bewaring van alle verkeersgegevens en locatiegegevens van alle abonnees en geregistreerde gebruikers betreffende alle elektronische communicatiemiddelen." Aldus het Hof.

Oftewel: massale opslag van ieders data ter opsporing en vervolging van strafbare feiten is onrechtmatig. Volgens het Hof gaat dit immers "verder dan strikt noodzakelijk en gerechtvaardigd is in een democratische samenleving".

In diplomatieke bewoordingen zegt het Hof hier eigenlijk dat dergelijke wetgeving niet thuishoort in een democratische rechtsstaat, maar in een totalitaire dictatuur. Dat is ook precies de bestaansreden van het Handvest van de Grondrechten van de Europese Unie (geïnspireerd door universele mensenrechten) waarop het oordeel van het Hof gebaseerd is.

Consequenties voor Nederland

Onlangs heeft Minister Van der Steur ("Veiligheid en Justitie") opnieuw een wetsvoorstel ter herinvoering van een brede, algemene telecom-bewaarplicht ingediend bij de Tweede Kamer. Tevens is momenteel een vergelijkbaar wetsvoorstel ter herkenning en bewaring van de kentekens van alle auto's in Nederland (oftewel ieders reisbewegingen, locatiedata) aanhangig bij de Eerste Kamer. Beide wetsvoorstellen zijn na de uitspraak van het EU Hof bij voorbaat onrechtmatig wegens strijd met het recht op privacy. Hetzelfde geldt voor geplande massa-opslag van kabeldata onder de nieuwe Wet op de inlichtingen- en veiligheidsdiensten (en de internationale uitwisseling daarvan), eventuele toekomstige herinvoering van centrale databanken met ieders vingerafdrukken, nationale DNA-databanken, nationale registers met ieders financiële transacties, etc. etc.

Na de huidige uitspraak van het EU Hof is voor het Nederlandse kabinet dan ook maar één conclusie mogelijk: zowel het wetsvoorstel met de nieuwe telecom-bewaarplicht als het wetsvoorstel voor massale kentekenregistratie dienen per direct te worden ingetrokken. Zo niet, dan zal Privacy First dit opnieuw bij de rechter afdwingen. Hetzelfde geldt voor andere wetsvoorstellen waardoor het recht op privacy van onschuldige burgers massaal dreigt te worden geschonden.

Lees ook: https://www.nrc.nl/nieuws/2016/12/22/eu-hof-beperkt-opslag-van-data-tegenslag-voor-terreurbestrijders-5891446-a1537920 & https://www.security.nl/posting/497384/Privacy+First+dreigt+kabinet+met+rechtszaken+na+uitspraak+EU-hof.

Privacy First wenst u fijne feestdagen en een privacyvriendelijk 2017!  

Morgenmiddag debatteert de Tweede Kamer met staatssecretaris Dijkhoff (Veiligheid en Justitie) over het wetsvoorstel Computercriminaliteit III. Onder dit wetsvoorstel krijgen Nederlandse opsporingsdiensten (waaronder de politie) de bevoegdheid om computersystemen van verdachten op afstand te hacken. Vandaag verstuurde Privacy First hierover onderstaande brief aan Tweede Kamerleden. Klik HIER voor de eerdere brief over dit wetsvoorstel die Privacy First reeds begin dit jaar aan de Tweede Kamer verzond.

Geachte Kamerleden,

Morgen debatteert u met staatssecretaris Dijkhoff over diens controversiële wetsvoorstel Computercriminaliteit III. Voorafgaand aan de kritische hoorzitting over dit wetsvoorstel op 11 februari 2016 ontving u van Privacy First een brief met ons commentaar op dit wetsvoorstel.[1] De inhoud van deze brief geldt immer onverkort. Naar aanleiding van de recente Nota[2] van de staatssecretaris bij het wetsvoorstel zenden wij u hierbij ons aanvullend commentaar.

Noodzaak en proportionaliteit immer onaangetoond

In zijn poging tot beargumentering van de vereiste noodzaak en proportionaliteit van het wetsvoorstel blijft de staatssecretaris opnieuw hangen in een vaag verhaal dat riekt naar technologisch determinisme. De staatssecretaris laat zich immers vooral leiden door technologische mogelijkheden i.p.v. de klassieke verworvenheden van onze vrije democratische rechtsstaat. In de huidige fase van de parlementaire behandeling zijn de noodzaak en proportionaliteit van het wetsvoorstel door de staatssecretaris immer slechts gesteld, maar nimmer aangetoond. Iedere kwantificering ontbreekt nog steeds of duidt op de introductie van volstrekt disproportionele bevoegdheden. Het wetsvoorstel dient daarom te worden verworpen wegens strijd met de internationaalrechtelijk vereiste noodzaak en proportionaliteit onder artikel 8 van het Europees Verdrag voor de Rechten van de Mens (EVRM).

Geen misbruik van kwetsbaarheden in software

Mocht uw Kamer onverhoopt besluiten tot goedkeuring van het wetsvoorstel, dan acht Privacy First het onbestaanbaar dat de Nederlandse overheid nieuwe of onbekende kwetsbaarheden in software zou willen gebruiken (en dus misbruiken) om heimelijk toegang tot gegevens te kunnen verkrijgen. Dergelijk beleid brengt de integriteit en veiligheid van de gehele Nederlandse informatiesamenleving actief in gevaar. Privacy First roept uw Kamer hierbij dan ook op om het actuele amendement terzake van D66, GroenLinks en SP[3] unaniem te ondersteunen en er actief op toe te zien dat de Nederlandse overheid geen gebruik zal maken van kwetsbaarheden in software t.b.v. hacking.

Function creep

De bevoegdheden in het wetsvoorstel lijken nu weliswaar primair beperkt tot apparatuur van verdachten van ernstige misdrijven (en dus in principe geen apparatuur van onschuldige burgers met wie verdachten in contact staan). De geschiedenis leert echter dat dit type bevoegdheden in de loop der tijd altijd wordt uitgebreid. Door sluipende doelverschuiving (function creep) zal het dan ook slechts een kwestie van tijd zijn voordat de hack-bevoegdheden in het huidige wetsvoorstel voor de opsporing en vervolging van allerhande strafbare feiten zullen worden ingezet. Het huidige wetsvoorstel biedt hier reeds alle ruimte toe, aangezien de lijst misdrijven waarvoor de nieuwe bevoegdheden zal gelden eenvoudig zal kunnen worden uitgebreid bij Algemene Maatregel van Bestuur i.p.v. bij formele wetswijziging. In die zin is dit wetsvoorstel een typisch voorbeeld van function creep by legal design. De beste manier om deze function creep te voorkomen is door het huidige wetsvoorstel te verwerpen of het amendement terzake van D66[4] unaniem te steunen en wettelijke maatregelen te treffen om iedere vorm van buitenparlementaire function creep in te dammen.

Auto’s hacken en stopzetten

Begin dit jaar veroorzaakte dit wetsvoorstel grote maatschappelijke onrust[5] omdat het alle ruimte laat voor het hacken en stilzetten van auto’s op afstand. In politiekringen wordt deze mogelijkheid actief beoogd, zo weet Privacy First uit betrouwbare bron. De risico’s hiervan voor de verkeersveiligheid (ook van onschuldige inzittenden en omstanders) zijn enorm. Hetzelfde geldt voor het al dan niet opzettelijk hacken van computers in ziekenhuizen, industrie, vitale infrastructuur, pacemakers, medische wearables, etc. Het wetsvoorstel legt in dit opzicht geen enkele beperking op en de staatssecretaris laat deze heikele kwesties vrijwel onbesproken. Het is dan ook aan uw Kamer om alsnog orde op zaken te stellen door dergelijke inzet van hack-bevoegdheden eenvoudigweg te verbieden.

Framing van verdachten

Privacy First is zeer verontrust door de volgende bekentenis van de staatssecretaris:

“In theorie is het mogelijk dat een opsporingsambtenaar gegevens op een apparaat zet die de verdachte niet zelf op het apparaat heeft gezet. Op dit punt wijkt de situatie in de digitale wereld niet af van het analoge domein. Tijdens een huiszoeking kunnen verdovende middelen in een kast worden gelegd en tijdens de doorzoeking van een voertuig kunnen wapens in de kofferbak worden gelegd.”[6]

Hierbij verzoekt Privacy First uw Kamer om ervoor te zorgen dat burgers de best mogelijke wettelijke, organisatorische en technische bescherming tegen dergelijke framing-praktijken zullen krijgen, voorzover dit niet reeds het geval is onder bestaande strafbepalingen, beleid en techniek.

Grondige toetsing door rechter-commissaris

Privacy First verzoekt uw Kamer om er bij de staatssecretaris op aan te dringen dat de voorafgaande machtiging voor de inzet van bevoegdheden door de rechter-commissaris altijd met de grootst mogelijke zorgvuldigheid en grondigheid zal kunnen geschieden. In geen geval mag sprake blijken van oppervlakkige rubber-stamping wegens operationele druk of gebrek aan tijd en kennis bij de rechterlijke macht. De staatssecretaris dient er daartoe zorg voor te dragen dat de rechterlijke macht deze taken altijd naar beste vermogen zal kunnen uitvoeren.

Mogelijke rechtszaak Privacy First

Mocht het huidige wetsvoorstel ongewijzigd worden aangenomen, dan behoudt Privacy First zich het recht voor om dit wetsvoorstel, zodra van kracht, door de rechter te laten toetsen en onrechtmatig te laten verklaren.

Voor nadere informatie of vragen met betrekking tot bovenstaande is Privacy First te allen tijde bereikbaar op telefoonnummer 020-8100279 of per email: Dit e-mailadres wordt beveiligd tegen spambots. JavaScript dient ingeschakeld te zijn om het te bekijken..

Hoogachtend,

Stichting Privacy First

[1] Zie https://www.privacyfirst.nl/aandachtsvelden/online-privacy/item/1025-politie-wil-alle-computers-kunnen-hacken.html.

[2] Nota naar aanleiding van het verslag, Kamerstukken II, 2016-2017, 34372, nr. 6.

[3] Kamerstukken II, 2016-2017, 34372, nr. 11.

[4] Kamerstukken II, 2016-2017, 34372, nr. 9.

[5] Zie bijvoorbeeld 'Vrees voor hacken auto op snelweg', Telegraaf 11 februari 2016, p. 10.

[6] Nota naar aanleiding van het verslag, Kamerstukken II, 2016-2017, 34372, nr. 6, p. 52.

Update 14 december 2016: tijdens het Kamerdebat gisteren (dat tot laat in de avond duurde) passeerden veel van bovenstaande issues op kritische wijze de revue. Klik HIER om het hele debat te bekijken, klik HIER voor het woordelijk verslag en HIER voor de actuele lijst met voorgestelde amendementen. De stemming over het wetsvoorstel staat vooralsnog gepland op dinsdagmiddag 20 december as.

Update 20 december 2016: vandaag heeft de Tweede Kamer het wetsvoorstel helaas in vrijwel ongewijzigde vorm aangenomen. VVD, CDA, PvdA, SGP en ChristenUnie stemden voor. D66, GroenLinks, SP, PvdD en PVV stemden tegen. Klik HIER voor het stemmingsverslag. De amendementen om geen gebruik te maken van kwetsbaarheden in software (nr. 13), om function creep in te dammen (nr. 21), om bepaalde apparatuur uit te sluiten van de werking van het wetsvoorstel (nr. 20) en een motie inzake hack-software (nr. 22) werden helaas allemaal verworpen. Opvallend daarbij was dat PvdA-Kamerlid Oosenbrug enkele keren zelfstandig (en volkomen terecht) vóór privacyvriendelijke wets- en beleidswijzigingen stemde, tégen het standpunt van haar eigen PvdA-fractie in. In de optiek van Privacy First verdient het goede voorbeeld van dit Kamerlid brede navolging. Overigens diende de PvdA-fractie wel een 'compromis-motie' in die in grote meerderheid werd aangenomen:

"De Kamer,
gehoord de beraadslaging,
constaterende dat op grond van het voorliggend wetsvoorstel opsporingsinstanties gebruik mogen maken van kwetsbaarheden in geautomatiseerde werken;
van mening dat de overheid de veiligheid en integriteit van geautomatiseerde werken moet stimuleren, zoals door het bevorderen van responsible disclosure en door het stimuleren van derden om op uitnodiging van soft- of hardwarefabrikanten te zoeken naar kwetsbaarheden;
verzoekt de regering, te bewerkstelligen dat opsporingsinstanties onbekende kwetsbaarheden of software die daarvan gebruikmaakt alleen in het uiterste geval zullen inzetten,
en gaat over tot de orde van de dag."

Het is nu aan de Eerste Kamer om het wetsvoorstel binnenkort alsnog te verwerpen of de Tweede Kamer op bovenstaande punten te corrigeren.

"De Tweede Kamer heeft vandaag ingestemd met een omstreden wet waarmee de kentekens van auto's worden geregistreerd en voor vier weken worden opgeslagen. Burgerrechtenorganisatie Privacy First vindt het een 'massale privacyschending'.

Camera's langs wegen registeren kentekens van passerende voertuigen. De kentekens worden vervolgens in een database van de opsporingsdiensten ingevoerd, waarmee mensen die worden gezocht sneller kunnen worden opgespoord.

Vier weken

Het zogeheten Automatic NumberPlate Recognition (ANPR)-systeem wordt al jaren ingezet, maar de kentekens van onschuldige burgers moeten wel binnen 24 uur worden gewist. Met de nieuwe wet wordt die bewaartermijn verlengd naar vier weken.

De conceptwet is omstreden. Zo oordeelde de privacywaakhond Autoriteit Persoonsgegevens al in 2011 dat de bewaartermijn van vier weken veel te lang is: er zou een 'hooiberg van politiegegevens' worden gecreëerd.

'Volstrekt disproportioneel'

Door de nieuwe wet wordt iedereen die met de auto reist een verdachte, zo stelt Privacy First. "Dit is totaal niet noodzakelijk, volstrekt disproportioneel en bovendien ook ineffectief. Het wetsvoorstel is daarom in strijd met het recht op privacy en daarmee onrechtmatig", aldus Vincent Böhre van Privacy First.

Böhre zegt dat als het wetsvoorstel ook door de Eerste Kamer wordt aangenomen, Privacy First de Nederlandse Staat voor de Europese rechter gaat slepen om de wet ongedaan te maken.

Het amendement van de VVD om de bewaartermijn te verlengen naar zes maanden werd verworpen."

Bron: http://www.rtlz.nl/algemeen/binnenland/tweede-kamer-stemt-in-met-wet-om-kentekens-te-verzamelen
Zie ook http://nos.nl/artikel/2142103-met-camera-geregistreerde-kentekens-voortaan-een-maand-bewaard.html 
http://www.nu.nl/algemeen/4347919/tweede-kamer-akkoord-met-wetsvoorstel-kentekenregistratie.html 
http://www.autoweek.nl/nieuws/tweede-kamer-akkoord-met-kentekenregistratie/
http://www.ravage-webzine.nl/2016/11/08/kamer-breidt-privacyschending-automobilist-uit/

"De Stichting Privacy First wil niet dat de overheid geregistreerde kentekens langer bewaart dan 24 uur. Minister Van der Steur (Justitie) is van plan om deze termijn verlengen. Privacy First overweegt een gang naar de rechter, zei privacyjurist Vincent Böhre in De Ochtend.

Vanavond debatteert de Tweede Kamer over kentekenregistratie, wat ook wel Automatic Number Plate Recognition (ANPR) wordt genoemd.

Camera's langs de weg filmen constant kentekens, maar deze gegevens moeten nu binnen 24 uur worden verwijderd. Van der Steur wil deze termijn uitbreiden naar vier weken. Vanavond wordt er ook een voorstel van de VVD besproken waarin zelfs gerept wordt over zes maanden.

Iedereen verdacht

Volgens Böhre maakt de uitbreiding van ANPR van elke automobilist "een potentiële verdachte". De overheid bewaart dan eigenlijk je reisbewegingen om opsporing en vervolging makkelijker te maken, zegt Böhre. Volgens de jurist is dat in strijd met de privacy.
(...)

Per ongeluk getekend

In het verleden was een gang naar de rechter al vaker succesvol bij privacyonderwerpen, zoals het bewaren van vingerafdrukken.

Of het VVD-voorstel voor de uitbreiding naar zes maanden het gaat redden is niet duidelijk. De PvdA stond in eerste instantie achter het voorstel, maar de steun is inmiddels ingetrokken. PvdA-Kamerlid Astrid Oosenbrug laat aan De Ochtend weten dat haar handtekening per abuis onder het voorstel stond."

Bron: http://www.nporadio1.nl/homepage/1911-privacy-first-wil-staat-dagen-voor-kentekenregistratie , 2 november 2016. Klik HIER voor het volledige radio-interview.