Toon items op tag: Samenleving

"Op steeds meer scholen hangen beveiligingscamera's in bijvoorbeeld de kantine, bij de kapstokken of op het schoolplein. Dat blijkt uit een rondgang van het NOS Jeugdjournaal langs twintig basis- en middelbare scholen en betrokken instanties. Sommige scholen hebben zelfs meer dan veertig camera's op het terrein. Ze moeten zich houden aan privacyregels, maar worden niet actief gecontroleerd op de naleving daarvan, tenzij er een klacht is.
(...)
Privacyexperts maken zich soms zorgen over het gebrek aan controle, maar ook over de aanwezigheid van camera's an sich. Scholen moeten altijd een geldige reden hebben om een camera op te hangen. Beelden mogen alleen worden bekeken als daar aanleiding toe is en mogen sowieso niet langer dan vier weken worden bewaard. Ook moeten er bordjes hangen, waarop staat dat er cameratoezicht is.
(...)
Jurist Simone van Dijk van stichting Privacy First betwijfelt of scholen wel zulke zware veiligheidsproblemen hebben, om de aanwezigheid van camera's te rechtvaardigen. Ook vindt zij dat toezicht op scholieren primair bij het schoolpersoneel en de leraren ligt en dat cameratoezicht mogelijk averechts kan werken.

"Als er een incident is, komt dat vanzelf wel aan het licht, via gesprekken", zegt Van Dijk. "Door camera's op te hangen heb je kans dat leraren minder gaan opletten. Ook leerlingen kunnen denken: 'ik zeg er maar niets van, want het staat toch op camera'. Kinderen hebben recht op privacy", vervolgt zij. "Ze moeten de gelegenheid hebben fouten te maken die niet voor iedereen zichtbaar zijn.""


Bron: NOS en NOS Jeugdjournaal, 12 december 2019. Bekijk hieronder de hele reportage van het NOS Jeugdjournaal (tevens in kortere versie uitgezonden in meerdere NOS Journaals):

Afgelopen vrijdag heeft Stichting Privacy First zich aangemeld voor deelname aan het Informatieberaad Zorg. Het zou voor het eerst zijn dat een organisatie met ANBI-status wordt toegelaten tot het overlegorgaan van het Ministerie van Volksgezondheid, Welzijn en Sport (VWS). De ANBI-status van Privacy First zou echter ook zomaar het struikelblok kunnen zijn.

Het Informatieberaad Zorg

Het Informatieberaad Zorg is een bestuurlijke samenwerking tussen, tot op heden, uitsluitend deelnemers uit het zorgveld en het Ministerie van VWS. In het Informatieberaad werken overheid en zorgpartijen samen aan een basis waarin zorggegevens veilig en betrouwbaar uitgewisseld kunnen worden.

In het AO Gegevensuitwisseling in de zorg van 9 oktober jl. heeft Minister Bruins (VWS) op verzoek van het Kamerlid Van Kooten-Arissen aangegeven Privacy First voor te dragen als lid van de kerngroep van het Informatieberaad Zorg. De aanleiding hiervoor is een eerdere motie van de Tweede Kamer waarin de Minister wordt opgeroepen "privacy- en burgerrechtenorganisaties actief te betrekken in de kerngroep en de expertcommunities van het Informatieberaad Zorg".

Privacy by Design

In toenemende mate zien we dat er naar privacy en de AVG verwezen wordt als struikelblok voor de uitwisseling van gegevens. In onze optiek komt privacy pas te laat in beeld bij beleidsontwikkeling. Het gebruik van 'privacy by design' kan helpen om dit te voorkomen.

Privacy by design zorgt ervoor dat privacy een kerncomponent wordt van producten of diensten. Tijdens de ontwikkeling wordt privacy een integraal onderdeel van het product of dienst, zonder afbreuk te doen aan de functionaliteit daarvan.

De ambitie van Privacy First is het zoeken naar een duurzame inbedding van het privacybelang in de zorg. We willen laten zien hoe dit kan helpen de uitwisseling van gegevens effectiever en efficiënter te maken en zo de kwaliteit van de zorg te verhogen.

Gaat het ook gebeuren?

Als gevolg van de opzet van het Informatieberaad Zorg zijn de criteria voor toelating primair gericht op belangenorganisaties die artsen of patiënten vertegenwoordigen. Als burgerrechtenorganisatie en ANBI-statushouder is Privacy First een 'vreemde eend in de bijt'. Hiermee ontstaat de vraag hoe de aangenomen Kamermotie zich verhoudt tot deze criteria. Nog belangrijker is de vraag hoe de huidige leden van het Informatieberaad hier naar kijken en of zij zich comfortabel voelen bij de deelname van Privacy First.

Onze kennismaking met het Ministerie van VWS op 26 november jl. was in ieder geval een constructieve en zeer interessante uitwisseling van inzichten over visie op de zorg. Onze hoop is dat de huidige leden van het Informatieberaad op eenzelfde wijze naar onze brief zullen kijken.

Meer duidelijkheid verwachten we na een stemming in het Informatieberaad Zorg op 10 februari 2020.

Referenties:

Privacy Company, De zeven principes van privacy by design
https://www.privacycompany.eu/blogpost-nl/hoe-pas-je-de-zeven-principes-van-privacy-by-design-toe-in-jouw-organisatie 

Informatieberaad Zorg
https://www.zorginstituutnederland.nl/over-ons/programmas-en-samenwerkingsverbanden/informatieberaad-zorg

OfficieleBekendmakingen.nl, Motie van de leden Van Kooten-Arissen en Hijink
https://zoek.officielebekendmakingen.nl/kst-29515-426.html

Open brief van Privacy First aan het Informatieberaad Zorg (pdf).

Column: Dataroof

Door Simone van Dijk

In een koffer onder mijn bed liggen spulletjes van vroeger. Spulletjes waar ik waarde aan hecht en al die jaren heb bewaard. Hiertussen zitten ook mijn getuigschriften en rapporten van mijn basis- en middelbare school. Deze getuigschriften en rapporten zijn allemaal handgeschreven. Ik heb daar een versie van en wellicht heeft de school daar ook nog enige tijd een versie van bewaard. Na verloop van tijd zijn de versies van school vernietigd. Weg, niet meer terug te vinden.

Over de tijd tussen de rapporten is niets over mij gedocumenteerd. Hoe ik precies presteerde op een woensdag in november, hoe mijn stemming was, hoe mijn psychische of fysieke toestand was, waar ik was, met wie ik omging en wat ik deed, is niet bekend en niet meer terug te halen. Wellicht een getuigenis van een oud-leraar die zich nog iets over mij herinnert, een specifieke gebeurtenis. Maar niets is terug te halen tot op een bepaalde dag, een bepaalde tijd. Alleen mijn getuigschriften en rapporten zijn er nog. En alleen ingeval ik beslis de inhoud hiervan aan iemand bekend te maken wordt deze informatie over mij geopenbaard. Anders niet.

Dat is nu anders. Google is bezig de openbare scholen massaal te voorzien van Chromebooks (zie Volkskrant, 1 november 2019, reportage over Google en basisonderwijs). Een laptop die draait op het besturingssysteem Chrome van Google en waarmee kinderen werken op de online harde schijf (cloud) van Google. De Chromebooks zijn goedkoop en de software wordt gratis geleverd. De verkoop hiervan is dan ook niet de core business van Google. De Chromebooks zijn slechts een middel om te verkrijgen waar het Google daadwerkelijk om gaat. Data, het liefst zoveel mogelijk.

Data is de olie van deze tijd. Bedrijven als Google worden exorbitant rijk omdat zij in data handelen. Onze data. Merkwaardig genoeg blijken wij telkens weer bereid om deze zo waardevolle data gratis weg te geven. En niet alleen onze data, ook de data van onze kinderen.

Ouders, leraren maar ook de overheid lijken zich niet bewust van wat er speelt. Kinderen laten via de Chromebooks digitale sporen achter die gebruikt kunnen worden om het gedrag van onze kinderen te voorspellen en te sturen. Deze data kan direct uit de leerresultaten worden gehaald, maar ook nog uit de zogenaamde ‘restdata’. Dit is informatie zoals welk thema stel je als achtergrond in, welke kleur buttons kies je, hoe snel of hoe langzaam typ je, welke spelfouten maak je, wat is je locatie, wie zijn je contacten, hoe klinkt je stem en hoe is je gezichtsuitdrukking die via de camera op de laptop kan worden gefilmd.

Aan de hand van al deze data kan onder andere voorspeld worden wat de persoonlijkheid van onze kinderen is, wat hun gevoelens zijn, wanneer ze kwetsbaar zijn, wanneer ze moe zijn, wanneer ze zich zorgen maken, wat hun seksuele geaardheid is en uiteindelijk ook wat hun politieke voorkeur is of zal zijn. Daarnaast kan deze informatie gecombineerd worden met data van klasgenootjes, broertjes en zusjes en data van de ouders. Op deze manier kan Google ook inzicht krijgen over wat zich binnen een gezin afspeelt. Al deze informatie zou je normaal gesproken niet zomaar prijsgeven. En zeker niet zomaar met duizenden bedrijven en mensen delen waarvan je niet weet wie ze zijn en wat ze met deze informatie over jou gaan doen.

Al deze data wordt opgeslagen en zal er nooit meer ‘niet’ zijn. Alles wat onze kinderen in hun jeugd doen en denken blijft voor altijd bekend. Niet zozeer bij henzelf maar bij ‘hen’, wie dat dan ook mogen zijn. Een permanent record wordt over onze kinderen bijgehouden en opgeslagen.

Het gedrag van onze kinderen kan niet alleen voorspeld worden, maar ook gestuurd, gemanipuleerd. Zo kunnen onze kinderen verleid worden tot de koop van bepaalde producten en tot het maken van politieke keuzes, zonder dat zij het gevoel hebben dat ze worden gestuurd. Niet alleen de persoonlijke vrijheid van onze kinderen komt hiermee in het geding, maar ook onze democratie.

En aan wie geven we die data? Ingeval van Google Chromebooks aan Google die het vervolgens aan honderden of misschien wel duizenden bedrijven kan doorverkopen. Bedrijven met medewerkers die we niet kennen. We hebben geen idee aan wie het wordt verkocht, wat ze er mee doen, welke conclusies er over onze kinderen worden getrokken en welke gevolgen deze voor onze kinderen kunnen hebben, nu en in de toekomst. Google stelt dat zij deze data niet doorverkoopt. Maar zelfs als dit waar zou zijn dan nog zou je niet willen dat Google deze data over onze kinderen in haar bezit heeft.

Via Google Chromebooks geven wij ouders, scholen, maar ook zeker de overheid al deze waardevolle en gevoelige informatie over onze kinderen gratis en zonder enige nadere overdenking weg. Informatie die wij zelf in een koffer onder ons bed hebben staan. Informatie waar wij zelf over beslissen of wij die met anderen delen.

Wij ontnemen onze kinderen de mogelijkheid om later zelf te beslissen wat zij over zichzelf in de openbaarheid willen brengen. Wij ontnemen hen het recht om ongezien fouten te kunnen maken. Wij brengen hun recht op vrijheid en democratie ernstig in het geding.

Er ligt dan ook niet alleen een taak voor de ouders en scholen om onze kinderen tegen deze ‘dataroof’ (Shoshana Zuboff, The Age of Surveillance Capitalism, NPO 2 VPRO Tegenlicht ‘De grote dataroof’) te beschermen, maar ook voor de overheid. Immers, moeten wij als land willen dat deze zo waardevolle en gevoelige informatie van onze toekomstige generatie in handen ligt bij Google en wellicht duizenden andere bedrijven of mogendheden waarvan wij niet weten wie zij zijn en wat hun intenties zijn?

Deze week vond in de Tweede Kamer (Vaste commissie voor Infrastructuur en Waterstaat) een interessant 'rondetafelgesprek' plaats over de toegang tot data in het openbaar vervoer. Naarmate de hoeveelheid data (waaronder persoonsgegevens) in het openbaar vervoer toeneemt, is er sprake van een toenemende druk om deze data met diverse partijen te delen en voor allerlei doelen te gaan gebruiken. Dit staat op gespannen voet met het recht op privacy van de individuele reiziger. Privacy First maakt zich al jaren sterk voor het recht op privacy en anonimiteit in het openbare domein, waaronder het openbaar vervoer. Wij reageerden daarom direct positief op de uitnodiging van de Tweede Kamer om aan dit rondetafelgesprek deel te nemen. Aan alle deelnemers werd verzocht om vooraf hun voornaamste standpunten kenbaar te maken middels korte position papers (maximaal twee A4). Klik HIER voor de position paper van Privacy First (pdf) en HIER voor de position papers van de overige genodigden, waaronder CBS, Translink en reizigersvereniging Rover. De belangrijkste standpunten van Privacy First luiden als volgt:

1. Iedere reiziger heeft recht op anonimiteit in het openbaar vervoer.
2. Alleen geanonimiseerde, geaggregeerde data mogen - onder strikte waarborgen - gedeeld worden.
3. Geen massa-surveillance in het openbaar vervoer.
4. Transparantie bij privacy-inbreuken.
5. Privacy-waarborgen bij reizigersonderzoek.
6. Aantoonbaar gebruik van privacy by design.

Privacy First maakte van de gelegenheid gebruik door voor het rondetafelgesprek een OV-ervaringsdeskundige bij uitstek af te vaardigen: privacy-activist Michiel Jonker voerde namens ons het woord. Enig gevoel van urgentie ten aanzien van privacy bleek bij de aanwezige Kamerleden en overige genodigden echter grotendeels afwezig, aldus Jonker in zijn eerste reactie na afloop. Zijn algehele kritische impressie van het rondetafelgesprek zal Privacy First spoedig op deze pagina publiceren. Hieronder kunt u alvast de video van de volledige sessie terugkijken en uw eigen conclusies trekken.

Update 8 oktober 2019: lees HIER de gehele impressie en analyse die Michiel Jonker (op persoonlijke titel) schreef naar aanleiding van het rondetafelgesprek op 10 september jl. (pdf, 67 pp).

Update 8 juli 2021: de Afdeling bestuursrechtspraak van de Raad van State heeft op 5 juli jl. de drie hoger beroepen van Jonker over privacy in het OV behandeld in drie opeenvolgende zittingen. In elke zitting ging het over de weigering van de AP om (voldoende) onderzoek te doen en de weigering van de AP om handhavend op te treden:

Zitting 1: de weigering van contante betaling in de bus door Connexxion.

Zitting 2: drie inbreuken op de privacy door NS:
a) verwerking persoonsgegevens bij teruggave van restsaldo op "anonieme" OV-chipkaarten aan de eigenaar;
b) NS eist persoonsgegevens van reizigers die aan de balie een internationaal treinkaartje binnen de EU willen aanschaffen;
c) NS brengt extra service-kosten in rekening aan reizigers die aan de balie privacy-vriendelijk (en dus contant) willen betalen voor het opladen van hun "anonieme" OV-chipkaart.

Zitting 3: drie inbreuken op de privacy door NS:
a) ontbrekende anonimiteit van de tot voor kort als "privacy-vriendelijk" verkochte "anonieme" OV-chipkaart, en het bedrog van NS daarover totdat het uitkwam;
b) privacy-discriminatie van houders van een voordeelurenabonnement (VDU): zij krijgen geen voordeelurenkorting als zij reizen met een "anonieme" OV-chipkaart;
c) privacy-discriminatie bij de uitvoering van de regeling Geld Terug Bij Vertraging (GTBV): houders van "anonieme" OV-chipkaarten krijgen alleen hun geld terug als zij hun OV-chipkaart feitelijk de-anonimiseren, waardoor niet alleen de vertraagde reis, maar ook alle andere reizen door NS en/of TLS geregistreerd kunnen worden.

Jonker: "De zeven inbreuken op de privacy die in deze drie zittingen werden behandeld, geven een beeld hoe Nederlandse vervoerbedrijven gezamenlijk aan alle kanten proberen om de reisgegevens (plaatsen en tijden van de privé-reizen van mensen) buit te maken, en om het reizigers die hun privacy proberen te behouden, zo moeilijk mogelijk te maken. Dit wordt gestimuleerd door verschillende ministeries, andere overheidsinstanties (bijvoorbeeld het CBS) en allerlei en gremia uit het zogenoemde "maatschappelijke middenveld" (de polder). De Autoriteit Persoonsgegevens weigert ertegen op te treden. De data-roof is in volle gang. Het lijkt of ook rechters die niet willen stoppen. Mijn analyse van oktober 2019 dat er in Nederland sprake is van een conglomeraat van overheden en bedrijven dat reële privacy in het openbaar vervoer wil afschaffen, wordt op deze manier opnieuw bevestigd.

Als de Raad van State gaat oordelen dat deze willekeur van vervoerbedrijven bij het verwerken van persoonsgegevens is toegestaan, en die willekeur daarmee gaat legaliseren, dan is het duidelijk dat privacy in Nederland in rechte niet meer wordt beschermd en daarmee in de praktijk wordt afgeschaft. Het grondrecht op privacy is er dan niet meer. In plaats daarvan is privacy dan alleen nog een gunst die in sommige gevallen aan sommige mensen wordt verleend, met willekeur en op instrumentele gronden, bijvoorbeeld politieke of relationele gronden - maar aan andere mensen niet. De overheid en grote bedrijven mogen dan, zonder onze toestemming, ongehinderd tot diep in ons privé-leven doordringen en ons via die weg aansturen, belonen en straffen."

Een interview met Jonker, video-samenvattingen van de drie zittingen en de integrale video-opnamen van de zittingen zijn te vinden op de site van Potkaars: https://potkaars.nl/blog/2021/7/7/de-veronderstelling-dat-je-het-recht-hebt-anoniem-door-het-leven-te-gaan-ter-discussie-gesteld-door-de-ns

Media:
Volkskrant verslaggeverscolumn 6 juli 2021: Privacy bestaat niet meer, en dat lieten we zelf gebeuren 

Update 2 maart 2022: op 25 februari jl. heeft Jonker een verzoekschrift verzonden naar het Europees Hof voor de Rechten van de Mens (EHRM, ECtHR), waarin hij naar voren brengt dat de drie uitspraken van de Afdeling bestuursrechtspraak van de Raad van State d.d. 10 november 2021 niet in overeenstemming zijn met artikel 8 en 14 van het Europees Verdrag voor de Rechten van de Mens (EVRM, ECHR).

Het Engelstalige verzoekschrift (een zogeheten "application") heeft als titel: "Public Transport - a Railroad to Surveillance?". In het verzoekschrift stelt Jonker het belang van materieel recht ("substantive justice") centraal. Als het Europese mensenrechtenverdrag alleen formeel en procedureel wordt geïnterpreteerd, wordt het recht op privacy niet adequaat beschermd. Jonker: "Het was een hele klus om het volgens de regels van het Europese Hof te doen. Uiteindelijk ging het om een pakket van 993 pagina's: het aanvraagformulier van 13 pagina's, een annex van 19 pagina's en de overige bijlagen: 961 pagina's - allemaal enkelzijdig afgedrukt en handmatig doorgenummerd. Ik hoop dat ik aan alle regels heb voldaan. Als het Europese Hof mijn verzoekschrift desondanks niet-ontvankelijk zou verklaren, dan zou dat duidelijk maken dat individuele Europese burgers in de praktijk geen toegang hebben tot het hof dat hun mensenrechten dient te beschermen. Ik hoop natuurlijk dat het hof ziet dat dit om een serieuze zaak gaat: de mogelijkheid voor Nederlandse en Europese burgers om met het openbaar vervoer te reizen zonder continu gemonitord te worden. Als wij geen China 2.0 willen worden, dan is openbaar vervoer met behoud van privacy van cruciaal belang."

Voor de tekst van Jonkers verzoekschrift, klik HIER (pdf). 

Media: 
TechnologIE, privacy en recht, 10 mei 2022: Dutch public transport - a railroad to surveillance?

Update 6 oktober 2022: op 8 september jl. heeft het Europese Hof voor de Rechten van de Mens (EHRM) het verzoekschrift van Jonker niet-ontvankelijk verklaard en daarmee geweigerd de zaak in behandeling te nemen. Het hof motiveert deze beslissing summier: "Op grond van zijn jurisprudentie (...), in het licht van het materiaal waarover hij beschikt en voor zover de zaken waarover geklaagd wordt binnen zijn competentie vallen, is het Hof van oordeel dat deze niet aannemelijk maken dat er sprake zou zijn van een aantasting van de rechten en vrijheden zoals bedoeld in het Verdrag of de daarbij behorende Protocollen en dat er niet voldaan is aan de ontvankelijkheidsvereisten in artikelen 34 en 35 van de Conventie." (vertaling door Jonker)

Na het raadplegen van de jurisprudentie waarnaar het EHRM verwijst (twee eerdere uitspraken van het EHRM), spreekt Jonker van een "bizarre beslissing die de geloofwaardigheid van de rechtbescherming die artikel 8 EVRM heet te bieden, fundamenteel aantast". Uit de weigering van het Hof om deze zaak zelfs maar te in behandeling te nemen, blijkt volgens Jonker dat "de privacy van reizigers in het openbaar vervoer in het geheel niet wordt beschermd door de rechterlijke instantie die, als alle andere bescherming faalt, als enige nog een waarborg kan bieden, en ook moet bieden, dat artikel 8 van het EVRM daadwerkelijk wordt toegepast."

Het EHRM verwijst naar twee eerdere uitspraken in zaken die volgens het EHRM kennelijk "in wezen gelijk" zijn aan de door Jonker naar voren gebrachte zaak. Het lijkt of het EHRM de behandeling van Jonkers zaak om die reden niet nodig vindt en hem daarom niet-ontvankelijk heeft verklaard. De twee zaken waarnaar het EHRM verwijst, hebben beide betrekking op bedrijven die enkele werknemers hadden ontslagen na hen te hebben gemonitord en misdragingen te hebben geconstateerd. In die zaken kwam het EHRM tot de conclusie dat het ontslag, ondanks de heimelijke verwerking van persoonsgegevens, niet onrechtmatig was. Het EHRM lijkt het heimelijk monitoren van werknemers door hun eigen werkgever, op grond van concrete verdenkingen, gelijk te stellen aan het monitoren van de privé-reizen van miljoenen OV-gebruikers door vervoerbedrijven.

Jonker: "Het EHRM stelt het recht van een werkgever om zijn eigen medewerkers tijdens werktijd voldoende te controleren na een specifieke verdenking, ten onrechte gelijk aan een recht van een vervoerbedrijf om privégegevens van willekeurige reizigers te verzamelen, zonder dat die klanten van enige overtreding worden verdacht. Eigenlijk zegt het EHRM hiermee twee dingen: 1. OV-reizigers mogen qua gegevensverwerking behandeld worden alsof ze geen klanten van het vervoerbedrijf zijn, maar werknemers van dat bedrijf. En 2. OV-reizigers mogen qua gegevensverwerking behandeld worden alsof er op hen een concrete verdenking rust. Op deze manier blijft er van het recht op privacy natuurlijk niets over. Als iedere privépersoon mag worden behandeld als een verdachte werknemer, dan leven we in een surveillance-maatschappij. Artikel 8, tweede lid van het EVRM staat surveillance alleen toe voor zover die noodzakelijk is in een democratische samenleving. Dat wordt door het EHRM op deze wijze genegeerd."

Gevraagd wat de verklaring zou kunnen zijn voor deze beslissing van het EHRM, antwoordt Jonker: "Ik kan natuurlijk niet in het hoofd van de betreffende rechter kijken. Het enige waar ik op af kan gaan, is de summiere motivering en de jurisprudentie waarnaar verwezen wordt. Door de zaak niet eens in behandeling te nemen, maakt het EHRM het onmogelijk om hierover duidelijkheid te krijgen, want tegen deze beslissing staat geen rechtsmiddel open. Op deze manier maakt het EHRM natuurlijk een lachertje van het idee dat er sprake zou zijn van kenbaar recht. Maar als ik mag raden naar mogelijke redenen, dan zie ik er twee. Ten eerste denk ik dat het EHRM, met zijn enorme werklast en structureel gebrek aan personeelscapaciteit, heel pragmatisch zoveel mogelijk zaken niet-ontvankelijk wil verklaren, en dus naar redenen zoekt - desnoods voorwendselen - om dat te kunnen doen. Dus dan denkt zo´n rechter: waar vind ik jurisprudentie waarmee ik deze zaak terzijde kan schuiven? Wie zoekt zal vinden, en als zo'n rechter dan iets ziet wat op het eerste gezicht bruikbaar lijkt, dan denkt-ie: waarom niet? Dat het dan om een heel ander soort zaak gaat, maakt voor zo'n rechter dan niet uit, want de indiener van het verzoekschrift kan toch niets meer doen als de zaak niet-ontvankelijk wordt verklaard. Ik denk dat de directe reden voor de niet-ontvankelijkheidsverklaring heel oppervlakkig en pragmatisch kan zijn."

Een tweede mogelijke reden ziet Jonker in het feit dat een vervoersbewijs, bijvoorbeeld een treinticket, door de rechter wordt opgevat als een "contract" en om die reden wordt gelijkgesteld aan het arbeidscontract dat een werknemer heeft met zijn werkgever. Jonker: "Hier zie je de politieke doorwerking van het neoliberalisme in de opvattingen van rechters die onafhankelijk de wet zouden moeten uitleggen. Ze wensen niet meer te zien dat er een verschil is tussen een contract waarvoor een werknemer willens en wetens heeft getekend toen hij vrijwillig werk aanvaardde, en de algemene voorwaarden die een vervoerbedrijf eenzijdig heeft opgesteld en oplegt aan miljoenen OV-reizigers die afhankelijk zijn van het openbaar vervoer. Dit is tekenend voor de manier waarop de EU en kennelijk ook het EHRM een neoliberale logica hebben geïnternaliseerd die in strijd is met internationale verdragen zoals het EVRM. Ik heb in mijn verzoekschrift aan het EHRM op het misbruik van het contractbegrip gewezen en aangegeven dat er geen democratische noodzaak bestaat voor de betreffende aantastingen van de privacy. Ik heb aangegeven dat de Raad van State heeft geweigerd om de zaak rechtstreeks aan het EVRM te toetsen. Maar nu weigert het EHRM zelf óók om de zaak inhoudelijk aan het EVRM te toetsen. Tja, als het EHRM weigert mijn verzoekschrift te behandelen, dan kunnen er over het cruciale punt van de verhouding tussen een democratische noodzaak en de bepalingen in een door een bedrijf opgesteld contract ook geen argumenten worden gewisseld. Er ontstaat dan een juridisch stilzwijgen dat de weg vrijmaakt voor een voortzetting van het machtsmisbruik. Er is dan geen rechtsbescherming." Voor Jonkers nadere analyse van de door het EHRM genoemde jurisprudentie, zie HIER (pdf).

Gevraagd welke conclusies hij trekt uit de zaak, antwoordt Jonker: "Juridisch gezien is dit het einde van het verhaal. Ik constateer dat zowel Nederlandse rechters als het Europese mensenrechtenhof weigeren het grondrecht op privacy in het openbaar vervoer te beschermen. Als die rechters met steekpenningen omgekocht waren, had de uitkomst niet slechter kunnen zijn. Dit is slechts één voorbeeld van de manier waarop privacy in naam wordt gerespecteerd, maar in feite wordt geëlimineerd. Eén van de gevolgen daarvan is dat er van mijn vertrouwen dat we in een zogeheten 'rechtsstaat' zouden leven, weinig meer over is. Het recht - 'de rule of law' - is gereduceerd tot een retorisch middel om bepaalde politieke doelen te dienen."

Jonker vergelijkt wat er in de EU op dit moment met de privacy van inwoners gebeurt, met de drie Poolse delingen aan het eind van de achttiende eeuw. "Europese machthebbers wilden Polen niet alleen als reëel bestaande staat van de kaart vegen, maar probeerden na de laatste deling ook de herinnering aan wat Polen ooit geweest was, uit te wissen. Het duurde meer dan honderdtwintig jaar voordat Polen weer boven water kwam, in een nieuwe, andere vorm. Tegenwoordig vinden we het gedrag dat de grote Europese mogendheden destijds vertoonden, misdadig - kijk maar hoe we denken over Poetin en zijn huidige poging om Oekraïne op te delen. Misschien zullen we ooit op dezelfde manier kijken naar de manier waarop Europese machthebbers tegenwoordig onze privacy om zeep helpen, met collaboratie van rechters op alle niveaus. Die machthebbers en rechters zullen niet worden gestraft, net zo min als Catharina de Grote, de Habsburgers, de Pruisische vorsten en hun dienaren destijds werden gestraft om wat ze met Polen deden. Door het falen en de hypocrisie van zogenaamde vertegenwoordigers van de Europese rechtsorde, begin ik de laatste tijd meer begrip te krijgen voor mensen die de EU als een onderdrukker zien. Ik hoop bijvoorbeeld dat de Oekraïners, wanneer ze de Russische aanvallers eenmaal hebben verdreven, zich vervolgens niet van de weeromstuit met huid en haar aan een steeds imperialistischer EU zullen zullen overleveren, maar hun vrijheid, inclusief hun privacy, ook dan zullen verdedigen. Maar ik vrees het ergste."

Hij trekt een zuur gezicht. "Ik heb sinds het begin van deze zaak in 2014 consequent mijn zogenaamd anonieme OV-chipkaart gebruikt, terwijl ik jaarlijks ook 60 euro betaalde voor mijn dalurenkaart die 40% korting had moeten bieden, maar die door NS ongeldig werd verklaard in combinatie met de anonieme OV-chipkaart. Ik heb dus acht jaar lang 66% te veel betaald voor mijn treinreizen in de daluren, plus een abonnement dat NS mij niet toestond te gebruiken met behoud van privacy. Jaarlijks gaat het dan toch om enkele honderden euro's. Dat geld zal ik nooit meer terugkrijgen, dat is door NS gestolen. Dit is Nederland, een land van dieven met witte boorden."

Is dat dan het einde van het verhaal voor wat betreft privacy in het openbaar vervoer? Jonker: "Misschien nog niet helemaal. Naar aanleiding van één onderdeel van de zaak, namelijk het eisen van persoonsgegevens bij internationale treintickets, heb ik om juridisch-technische redenen in 2020 een tweede handhavingsverzoek ingediend. Inmiddels heeft de AP naar aanleiding daarvan een onderzoek gestart. Ook heeft de SP daarover recentelijk schriftelijke kamervragen gesteld aan de minister. Dat loopt dus nog. Maar gezien het ontbreken van Europese of internationaalrechtelijke rechtsbescherming, vraag ik me af of er voldoende politieke druk kan ontstaan om de privacy van internationale treinreizigers serieus te gaan nemen. En zelfs als dat gebeurt, zou dat niet meer zijn dan een druppel op een gloeiende plaat. Want de systematische, grootschalige privacy-schending met het Nederlandse OV-chipkaart-systeem, die wordt gewoon toegestaan - dat wil zeggen door de AP gedoogd en door de rechters gelegaliseerd of niet behandeld."

Gevraagd welke conclusies hij voor zichzelf trekt, antwoordt Jonker: "Ik heb in deze zaak de juridische weg tot het einde toe gevolgd, mede om te testen of er uiteindelijk nu wel of geen sprake is van rechtsbescherming op het gebied van privacy. Als je het als een experiment ziet, dan is de uitkomst na acht jaar procederen duidelijk: er is geen serieuze rechtsbescherming, de AVG en artikel 8 EVRM worden in de praktijk misbruikt als wassen neuzen. Er lopen nog een paar andere privacy-procedures, die wil ik netjes afmaken, maar ik verwacht er niet veel meer van. Als het recht faalt, blijft de politiek over. Maar ik ben geen politiek dier. En bovendien is het ontwikkelen van politieke kracht afhankelijk van het bewustzijn van mensen. Misschien dat ik op een bescheiden manier iets kan bijdragen aan privacy-bewustzijn."

Jonker zegt dat hij in één van zijn motiveringen aan de raad van State, op 29 april 2020, schreef over wat hij "de banaliteit van het derde kwaad" noemt. "Dat hoofdstuk eindigde als volgt: 'Dit derde kwaad, de sluipende eliminatie van humaan bewustzijn, kan niet op spectaculaire wijze bedwongen worden met tanks of raketten, maar alleen door middel van aanwending van individueel en collectief bewustzijn, de daaruit voortvloeiende collectieve wil, en de daar weer uit voortvloeiende wetgeving, rechtspraak en wetshandhaving.' Dus ik denk dat het zaak is om te werken aan nieuw bewustzijn als basis om uit te groeien boven de huidige, technocratische tunnelvisie. Het echte probleem is humanitair, niet technisch. Alleen door humaniteit centraal te stellen, kunnen we komen tot een herstel van een humane rechtsstaat. De afgelopen tweeënhalf jaar, sinds de coronacrisis, zijn er al enorm veel mensen wakker geworden over hoe we onze vrijheid en humaniteit steeds verder dreigen te verliezen. Dus ik denk dat er zeker een basis gelegd is die verder kan groeien. Of dat genoeg is om op dit punt een ramp te voorkomen, daar durf ik geen voorspelling over te doen. Het gaat erom nieuwe bronnen te vinden en tegelijk oude bronnen van humaniteit en recht te blijven kennen en respecteren."

Vindt hij dat niet een beetje zweverig en passief? Jonker: "Nee hoor. Het is een misverstand om te denken dat bewustzijn zou betekenen dat je niet meer bereid bent om ergens voor te knokken. Kijk naar Oekraïne. Daar is razendsnel een collectief bewustzijn gegroeid over humane en nationale waarden die men wil beschermen en verdedigen. Desnoods ook met geweld van wapenen. Ik hoop natuurlijk dat het hier in Nederland nooit nodig zal zijn. Maar dat kan ik ook niet uitsluiten. Je ziet dat onze huidige regering niet bijster geïnteresseerd is in redelijke argumenten. Maar als boeren met tractoren snelwegen blokkeren, dan neemt de interesse van onze regering in een dialoog opeens toe. Iets vergelijkbaars hebben we gezien met de Gele Vestjes in Frankrijk. Waarom is de Franse overheid wel bereid om alle Franse burgers effectief te beschermen tegen extreem hoge energieprijzen, terwijl de Nederlandse regering er tot voor kort indirect blijk van gaf hele bevolkingsgroepen voor de bus te willen gooien? Dat heeft alles te maken met die Gele Vestjes. Wie weet zullen er ooit gele, groene of paarse vestjes nodig zijn om onze privacy te verdedigen of terug te winnen."

28 januari is de Europese Dag van de Privacy. In dit verband organiseerden ECP en Privacy First op 28 januari 2019 in Nieuwspoort gezamenlijk de Nationale Privacy Conferentie en reikte Privacy First de jaarlijkse Nederlandse Privacy Awards uit. Het was een succesvolle dag waar de belangrijkste spelers op het gebied van privacy in Nederland aanwezig waren. Vertegenwoordigers van de overheid, ondernemers met innovatieve ideeën, juristen, geïnteresseerden en voorvechters, ze waren er allemaal. 

De Nationale Privacy Conferentie werd geopend door dagvoorzitter Tom Jessen (presentator RTL-Z en BNR), die vervolgens het woord gaf aan Bas Filippini (voorzitter Privacy First) en Marjolijn Bonthuis (adjunct-directeur ECP|Platform voor de InformatieSamenleving). 

Bas Filippini – voorzitter Stichting Privacy First

Bas Filippini vertelt dat Stichting Privacy First nu tien jaar bestaat en dat er in die tien jaar veel veranderd is, zowel in positieve als in negatieve zin. De slogan van Privacy First is ‘eigen keuzes in een vrije omgeving’; dat is waar Privacy First voor staat. Dagelijks spreekt Privacy First met een breed privacyveld op basis van feiten en altijd met een positieve insteek. Daarom wil Privacy First door middel van de Nederlandse Privacy Awards graag een groene kaart geven aan organisaties die de privacy in Nederland versterken. Privacy First voert tevens rechtszaken in het algemeen belang, doet aan politieke lobby en organiseert evenementen, waaronder de Nederlandse Privacy Awards. Naast een nationale ambitie heeft Privacy First ook de ambitie om uit te groeien tot een internationale (Europese) organisatie. Privacy First is afhankelijk van donaties en vrijwilligers en doet graag een oproep aan het publiek om Privacy First in haar missie te steunen. 

Marjolijn Bonthuis - adjunct-directeur ECP|Platform voor de InformatieSamenleving

ECP werkt aan de knelpunten die de informatiesamenleving nog heeft. Dat doet ECP graag publiekelijk en met alle relevante partijen. ECP is er trots op dat een brede afspiegeling van de samenleving aanwezig is bij de Nationale Privacy Conferentie en is trots op de unieke samenwerking met Privacy First en de Nederlandse Privacy Awards. De winnaar van de Nederlandse Privacy Awards 2018, IRMA, heeft na de Privacy Awards afgelopen jaar nog diverse andere awards binnengesleept. Dit laat zien dat de Privacy Awards een belangrijke steun zijn voor goede initiatieven.  

ECP doet veel, ook op het gebied van privacy. Op privacygebied gebeurt dat op publiek-privaat vlak, samen met andere initiatieven en werkgroepen. Aan de publieke kant wordt er samengewerkt met het Ministerie van Economische Zaken en mede dankzij hen kan deze dag worden georganiseerd. 

Aleid Wolfsen – Autoriteit Persoonsgegevens (AP) 

De Autoriteit Persoonsgegevens heeft een actuele enquête gehouden die goed weergeeft waar de zorgen in de samenleving zitten als het gaat om de bescherming van privacyrechten. Uit de enquête blijken verrassende dingen: zo heeft 94% van de bevolking enige zorgen of zijn of haar privacyrechten wel worden gerespecteerd, waarvan een derde zelfs veel tot zeer veel zorgen heeft. Dat is één op de drie die serieuze zorgen heeft of de privacyrechten wel goed worden nageleefd. Dit percentage is hoger dan aanvankelijk werd gedacht; mogelijk komt dat door de huidige ontwikkelingen en omdat er veel datalekken in het nieuws zijn geweest. Hierdoor zijn privacyrechten heftig geschonden en zijn mensen teleurgesteld. Het schaden van het vertrouwen doet iets met mensen.

De top drie van zaken waarover mensen de meeste zorgen hebben zijn: ‘kopietje ID’, dit komt mogelijk doordat mensen vaak horen over identiteitsfraude en hoe makkelijk dat gaat. Het tweede waar mensen zich zorgen over maken is het tracken van online zoekgedrag. Hierover ontvangt de Autoriteit Persoonsgegevens veel klachten. Binnenkort komt de Autoriteit Persoonsgegevens met guidance over hoe om te gaan met cookies en tracking cookies. Daarin staat onder andere wat er mag en wat er niet mag. Mensen zijn serieus bezorgd over welke gegevens er allemaal worden verzameld als ze online zijn. Twee vragen die rijzen zijn: welke gegevens worden verzameld en wat gebeurt er met al die gegevens? Hier hebben mensen geen goed zicht op en er wordt geen duidelijke uitleg over gegeven. Het derde waar mensen zich zorgen over maken zijn locatiegegevens. Er is steeds meer berichtgeving over camera’s die overal hangen. En over bijvoorbeeld WiFi-tracking, dat veel wordt toegepast in Nederland. Hierover heeft de Autoriteit Persoonsgegevens onlangs ook een guide uitgegeven. Het tracken van mensen, dat je als vrij burger in een vrij land, vrij in een stad moet kunnen winkelen, vrij moet kunnen reizen, als dat wordt aangetast, daar zijn mensen serieus bezorgd over. Want we willen niet gevolgd worden. Dat is de top drie van de zorgen die mensen hebben. 

De Autoriteit Persoonsgegevens geeft ook altijd tips. Eén ervan is: check de instellingen van de apps op je telefoon. Veel van die apps zijn razend nieuwsgierig. We zijn ons onbewust van het feit dat je veel over jezelf blootgeeft aan die apps en veel informatie prijsgeeft als je de instellingen niet aanpast. Wees je bijvoorbeeld bewust van het dataspoor dat je achterlaat op het internet. En daarnaast: maak gebruik van je privacyrechten. Veel mensen zijn zich nog onbewust van het feit dat je aan organisaties kan vragen welke gegevens ze over je hebben, dat je die gegevens kunt laten verwijderen als ze niet meer nodig zijn of ze kunt laten corrigeren. Of je gaat naar een nieuwe provider en je wilt je data meenemen: dit heet dataportabiliteit en dit recht kennen mensen nog nauwelijks. 

Als kijktip geeft Aleid Wolfsen aan om de documentaire Democracy te kijken, over de totstandkoming van de Algemene Verordening Gegevensbescherming. Bekijk de trailer HIER (Youtube). 

Hoe staat de Autoriteit Persoonsgegevens er, qua werk, nu voor sinds de inwerkingtreding van de AVG op 25 mei tot eind december 2018? Een aantal cijfers: er zijn zo’n 10.000 klachten binnengekomen, oftewel 10.000 potentiële schendingen van de AVG. De AP vond dit opvallend veel; dit hadden zij aanvankelijk lager ingeschat. In 2018 heeft de AP ook heel veel telefoontjes gekregen: het totale aantal lag op zo’n 35.000, dit waren vijf keer meer telefoontjes dan in 2017. Momenteel loopt er een groot aantal onderzoeken. De eerste handhavingsactiviteiten hebben plaatsgevonden en de eerste serieuze boete onder de AVG is opgelegd aan een bedrijf. Het eerste verwerkingsverbod is opgelegd, aan de Belastingdienst in dit geval, wegens de verwerking van het BSN-nummer in het BTW-nummer van zelfstandigen. Ook zijn er voor het eerst dwangsommen opgelegd, aan de Nationale Politie, het UWV en private bedrijven. In de beginfase van de AVG had de AP nog een voorlichtende rol, maar gaandeweg zal de AP steeds strenger worden. Er is ook een toename in het aantal gemelde datalekken en het is schokkend om te zien hoe slecht data soms beveiligd zijn bij zorginstellingen en overheden. De Autoriteit Persoonsgegevens heeft ook veel onderzoek gedaan naar overheden en bedrijven om daar basaal de boel op orde te krijgen, zoals “heeft u een functionaris gegevensbescherming nodig, ja of nee? Heeft u de boekhouding op orde, ja of nee? Heeft u een verwerkingsovereenkomst?” Dat soort basale dingen. Als dit op orde is, dan ondervind je daar veel plezier van. 

Als afsluiting: mensen realiseren zich steeds meer over alles wat met privacy en dataprotectie te maken heeft. En eigenlijk zijn het ook geen synoniemen, want dataprotectie is nog groter en veel meer dan het klassieke privacy. Onder privacy valt onder andere lichamelijke integriteit, je vrijheid van geweten, je huisrecht, je communicatievrijheden en dat je je vrij kunt bewegen. Dat zijn allemaal afzonderlijke grondrechten. Dataprotectie is door de digitalisering inmiddels ontwikkeld tot een soort moeder of hoeder van alle andere grondrechten. Zoals over je geloof, je vrijheid van geweten, je lichamelijke integriteit, je politieke activiteiten, al dat soort informatie vertaalt zich in data. Als je de datarechten van mensen schendt, dan raak je de fundamenten van de westerse rechtsorde. Deze hebben te maken met de democratische rechtsstaat, gelijkheid van mensen, solidariteitssystemen zoals verzekeringen en gelijkwaardigheid van mensen. En al die vier fundamenten zijn at stake als je de privacyrechten van mensen schendt. Als je de privacyrechten niet beschermt, dan eroderen die fundamenten. Om het nog iets groter te maken: de vrijheid van de vrije wil, kan dan ook eroderen. Daarom is privacybescherming zo belangrijk en neemt het belang daarvan iedere dag toe. 

Aleid Wolfsen beantwoordde ook nog een aantal vragen van de dagvoorzitter, zoals over de 10.000 klachten die zijn binnengekomen in 2018. Dit was meer dan aanvankelijk gedacht en de Autoriteit Persoonsgegevens denkt dat dit ook wel zal aanhouden, doordat er steeds meer data wordt verzameld. Met de komst van PSD2 is het toezichtsveld van de Autoriteit Persoonsgevens uitgebreid naar fintechs, waarmee bankgegevens, na toestemming, kunnen worden gedeeld. Deze bankgegevens zijn zeer persoonlijk; daaraan kan je immers zien waar je bent, waar je aan geeft, wat je hobby’s zijn en wat je politieke voorkeur is. 

Er is ook wel kritiek op de AP, aangezien de AP zo’n cruciale rol vervult. De vraag is of ze de werklast wel aankunnen, ook al is de AP inmiddels verdubbeld. Hierop zegt Aleid Wolfsen dat de Autoriteit de komende periode wel moet blijven groeien en misschien zelfs nog wel een keer moet verdubbelen om de toenemende werklast aan te kunnen. 

Vragen uit het publiek

Hoe ziet Aleid Wolfsen de schendingen van privacy die plaatsvinden met toestemming van mensen zelf? Die toestemming is een belangrijk onderdeel van de AVG en mensen drukken online al snel op “OK”, niet omdat mensen lui zijn, maar omdat de teksten te uitgebreid zijn om door te nemen. Of dat je op “OK” moet drukken, omdat je anders niet krijgt wat je wilt en dat hierin eigenlijk geen vrije toestemming mogelijk is. 

Aleid geeft aan dat hij die zorgen grotendeels deelt. Toestemming is een fundament. Maar wat je ziet is dat er allemaal verleidingstechnieken zijn, zodra je op een site zit, door onder andere de kleur en grootte van een knop om toestemming te geven, anders dan je misschien van plan was. Dit is geen privacy by design; het is geen eerlijke, gelijkwaardige keuze. Wat we moeten doen met zijn allen, is strenger worden. Zorgen dat je dat soort systemen goed gaat bekijken. Is het echt zuivere, eerlijke en integere privacy by design? En ten tweede: mensen proberen te emanciperen in ‘weet waar je ja tegen zegt’. Daar zijn mensen zich helaas nog niet goed van bewust. Door een enkele klik kan jouw data heel makkelijk worden verspreid. De Franse toezichthoudercollega’s hebben bijvoorbeeld een boete opgelegd aan Google van 50 miljoen, omdat het niet goed duidelijk was waarvoor je toestemming verleende. Eén van de dingen die moet veranderen is dat je je toestemming even gemakkelijk moet kunnen intrekken, als dat je hem hebt gegeven. 

Een andere vraag uit het publiek ging over de kracht van de boete als signaal. De vraagsteller zou het eigenlijk fijn vinden om eens te zien van de AP dat er een boete zou worden opgelegd over privacy by design. Bedrijven zitten namelijk nog heel erg in compliance modus en willen slechts het minimale doen om aan de wetgeving te voldoen. Terwijl privacy by design gaat over proactief die problemen aanpakken. Dat er bijvoorbeeld een rechtszaak wordt gestart waaruit een boete volgt, omdat er niet het hoogst haalbare werd gedaan. 

Aleid Wolfsen reageert hierop dat je dat dan mooi als voorbeeld zou kunnen gebruiken voor de rest van de wereld. Hij verklapt hierbij een geheim: de AP heeft bij allerlei overheidsinstellingen gekeken of er een Functionaris Gegevensbescherming (FG) aanwezig was, daarbij ook zoekende naar eentje die geen FG had. Die zou de AP dan als voorbeeld kunnen gebruiken voor heel Nederland. Maar uiteindelijk bleek (gelukkig) dat iedereen op tijd een FG had. 

Bekijk de presentatie van Aleid Wolfsen (pdf).

Sophie in ’t Veld – D66 Europarlementariër en privacyvoorvechtster 

We hebben natuurlijk de AVG, of de GDPR zoals we die soms liefkozend noemen. Van de vijftien jaar dat Sophie zich met privacy bezighoudt zijn er vijf jaar opgegaan aan de GDPR. Het was een lang en ingewikkeld proces, met onder andere 4000 amendementen. Vorig jaar waren we natuurlijk heel erg blij dat de GDPR van kracht werd. We waren ook heel trots, van kijk ons Europa nou toch eens even. Wij hebben gewoon de beste privacywet ter wereld! Maar daar mag het natuurlijk niet ophouden. Het begint er natuurlijk al mee, dat de GDPR goed moet worden toegepast en gehandhaafd. En dan valt Sophie in ’t Veld het op, dat de toezichthouders eigenlijk belachelijk weinig middelen hebben gekregen om dat goed te doen. Want het is natuurlijk hartstikke fijn dat de Autoriteit Persoonsgegevens is verdubbeld, naar 150 man. Maar met 150 man tegen Facebook alleen al, begin je natuurlijk bijna niks. Om over alle andere bedrijven maar te zwijgen. En dan hebben we het nog niet eens over de NSA of de Chinese geheime diensten of de Europese geheime diensten. 

We hebben het allemaal over de GDPR en iedereen is vergeten dat er eigenlijk een dataprotection package was. Er was nog een tweede poot, maar die is volstrekt uit het beeld verdwenen. We noemen die onderling de Police Directive, maar eigenlijk heeft hij een hele lange naam (red: Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens). Het is een richtlijn die regels stelt voor het gebruik van persoonsgegevens door politie, justitie en soms geheime diensten. En de omzetting daarvan is werkelijk belabberd. Er zijn momenteel ongeveer acht EU-lidstaten die hem hebben omgezet, ruimschoots te laat. En dat betekent dat 20 andere lidstaten dat niet hebben gedaan. Maar dit is wel de richtlijn die ons beschermt als de politie bijvoorbeeld gegevens uitwisselt met andere landen. In de tussentijd worden er door de Europese Commissie en de Europese lidstaten nieuwe maatregelen aangekondigd voor het gebruik van persoonsgegevens door politie en justitie, ook over de grenzen heen. Terwijl de bescherming gewoon dramatisch achterblijft en dat is een van de grootste punten van zorg. Wij zijn ons natuurlijk allemaal heel bewust van privacy, risico’s en gegevensbeschermingsrisico’s. Inmiddels weet iedereen wel, dat als je je gegevens aan Facebook geeft, dat er van alles en nog wat mee gedaan kan worden. We zijn eigenlijk ongelooflijk naïef als het gaat over wat de overheid allemaal met onze gegevens mag doen. En dan voornamelijk de overheden die onder de Police Directive zouden vallen. Wij hebben blijkbaar een blind vertrouwen in de overheid, en dat is op zich eigenlijk goed nieuws. Maar Sophie leeft onder het motto van: “trust is good, control is better”. We zien ook gewoon in de praktijk dat er niet alleen maar fouten worden gemaakt met onze gegevens door politie, justitie en veiligheidsdiensten, maar dat er ook sprake is van misbruik. De groei van behoorlijk autoritaire partijen binnen Europa, partijen die inmiddels ook wel aan de macht zijn en die er niet voor terugschrikken om Europese databestanden te gebruiken voor politieke doeleinden, tegen politieke tegenstanders. Dan moeten we ons wel écht zorgen over gaan maken. We zijn hier te naïef over. 

We zijn terecht bezorgd over wat bedrijven met onze persoonsgegevens kunnen doen en of dat goed beschermd is. Maar we zijn ons nog steeds te weinig bewust van het feit dat die bedrijven in overgrote meerderheid, in toenemende mate, niet-Europese bedrijven zijn. Sophie las onlangs een alarmerend rapport van KPMG, waarin is berekend dat van alle grote platformen wereldwijd, er slechts 18% in Europese handen zijn. En als je dat omrekent naar waarde, dan is dat slechts 2%. Wij zijn er zo aan gewend, al voor het internet, dat onze halve economie uit Amerika komt. Dat is even een ander verhaal: driekwart is zo ongeveer in handen van de Amerikanen, dan heb je nog een deel in handen van de Chinezen en een heel minimaal deel in handen van de Europeanen zelf. Wij gebruiken die diensten, dag in dag uit. Dat betekent dan ook, dat zij niet alleen onze gegevens hebben en daarmee ook heel veel geld verdienen. Maar ze vormen ook onze kijk op de wereld. Zij filteren in hoge mate de informatie die tot ons komt. Het wordt nog bitter ironisch als je bedenkt dat onze eigen overheden die bedrijven vragen om de informatie te filteren, uit allemaal zogenaamde veiligheidsoverwegingen. Dit is buitengewoon zorgelijk. We stonden terecht op onze achterste benen na de onthullingen van Facebook en Cambridge Analytica, die de verkiezingen hadden gemanipuleerd. We maken ons grote zorgen over fake news dat wordt gepropageerd door Rusland. Maar het feit dat wij allemaal, elke dag, dit soort diensten gebruiken, zonder erbij stil te staan dat zij ons venster op de wereld zijn, dat is heel zorgelijk. 

Binnen Europa hebben we dan de GDPR en Sophie heeft de hoop dat de Police Directive binnenkort ook goed uitgevoerd gaat worden. Maar ze ziet dat er voortdurend spanningen zijn binnen Europa, waarbij het Europees Parlement in meerderheid staat voor hele stevige privacybescherming en vaak ook standpunten inneemt die dan later door het Europees Hof van Justitie bevestigd worden. Maar ze ziet dat de meer conservatieve krachten en ook de regeringen van de Europese lidstaten, onafhankelijk van de politieke kleur, voortdurend maar ontzettende druk zetten tegen goede privacybescherming. Dit uit een aantal overwegingen, maar vooral de nationale veiligheid. Er is trouwens geen definitie van nationale veiligheid, maar het wordt wel te pas en te onpas gebruikt om de privacy te beperken. Er wordt dan geroepen "privacy zit de nationale veiligheid in de weg". En dat is dan genoeg om de meest kritische stemmen te doen verstommen. Er is ook nog een ander aspect, in de trans-Atlantische verhoudingen met name, dat Europa een ongelooflijk onderdanige houding tentoonspreidt. Dat is in het licht van het voorgaande, dat de meeste bedrijven in handen zijn van de Amerikanen, zorgelijk. 

In Europa is een wet in voorbereiding genaamd e-evidence. In principe een goed idee, want die wet zegt "we hebben een grote open ruimte in Europa zonder binnengrenzen". Boeven kunnen naadloos over de grens samenwerken. Internationale criminele organisaties gebruiken ook internet, apps, mobieltjes en dergelijke. Dus moeten we daar snel op kunnen reageren: als bijvoorbeeld de politie in Nederland digitaal bewijsmateriaal nodig heeft uit Roemenië, dan moet de Nederlandse politie dat rechtstreeks kunnen opvragen. Dat is op zich een logische gedachte, alleen is het jammer dat de Europese Commissie, altijd onder druk van de Europese lidstaten, een voorstel heeft gedaan dat totaal disproportioneel is. Waar nauwelijks nog safeguards voor burgers ingebouwd zitten. Maar wat nog meer zorgen baart is dat de Europese Commissie dit voorstel eigenlijk op tafel heeft gelegd om daarna te kunnen zeggen: wij hebben dit in Europa en nu gaan we hetzelfde doen met Amerika. Dan hebben we toch echt een probleem. In Europa maken we zelf de wetten en kunnen we stemmen voor onze eigen volksvertegenwoordigers. Maar wij hebben geen enkele invloed op de Verenigde Staten. Punt is dat de Verenigde Staten een wet hebben aangenomen genaamd de US Cloud Act. Daarmee hebben ze zichzelf de macht gegeven om bedrijven die een aanwezigheid hebben in de VS, te dwingen om persoonsgegevens te overhandigen ook als ze niet in de VS zijn opgeslagen. Misschien dat wij dat ook wel handig zouden vinden als we dat zouden kunnen doen. Maar in een democratische rechtsstaat vinden wij het toch wel logisch als daar een rechter tussen zit, om zoiets te toetsen. Sophie ziet een houding bij de Europese Commissie en de lidstaten die verregaand onderdanig is aan de VS, in plaats van aan de rechten van de eigen Europese burgers. Ze vindt dat we daarin een omslag moeten maken. 

Dus, jazeker we moeten alert zijn wat bedrijven met onze gegevens doen, maar we moeten ons nog veel meer zorgen maken over wat overheden met onze gegevens kunnen doen. En de vrijwel onbeperkte bevoegdheden die wij de afgelopen jaren hebben geschapen voor politie, justitie en veiligheidsdiensten. Want zeker veiligheidsdiensten, daarop is toch minder controle dan op andere activiteiten. Zelfs al is het in Nederland goed geregeld, dat betekent nog niet dat het in andere landen ook goed geregeld is. Als ze ziet hoe Europese lidstaten de afgelopen jaren de Amerikaanse en de Britse geheime diensten volledig hun gang hebben laten gaan, bijvoorbeeld de hack van Proximus, de Belgische telecomprovider, door de Britse geheime dienst. Dat kan niet onderzocht worden en de waarheid hierover zal nooit volledig boven tafel komen. Maar die diensten breken wel in binnen onze systemen, ook die van Europese instellingen, misschien wel van de NAVO. Dit is overigens ook relevant als je bedenkt wat Brexit allemaal gaat betekenen voor gegevensbescherming. 

Als conclusie moet dit volgens Sophie in ’t Veld echt het volgende hoofdstuk zijn. We moeten nu ten eerste die AVG zeer stevig handhaven en uitleg geven aan hoe die moet worden geïnterpreteerd. Als architecten van de AVG hebben ze zeer expliciet bedoeld dat toestemming of instemming gegeven moet worden in een context, waarmee mensen op een hele simpele en toegankelijke manier informatie krijgen. Dat staat er ook expliciet in, dus als bedrijven dat omzeilen door het ingewikkeld te maken, dan is dat gewoon een overtreding en moeten ze daarvoor bestraft worden. Daarnaast moet de Police Directive geïmplementeerd worden. En wat Sophie in ’t Veld betreft, en daar zal ze de komende jaren druk op uitoefenen, komt er een nieuw voorstel waarbij die Police Directive niet meer een richtlijn is, maar meteen een verordening wordt. Want we hebben steviger bescherming nodig. Misschien wordt het ook tijd om te spreken over Eurocommissarissen en Ministers die gegevens, gebruik van gegevens en bescherming van gegevens als portefeuille hebben. Niet als een nevenactiviteit, maar een Minister voor Data en een Eurocommissaris voor Data. Die gewoon horizontaal kijkt hoe het zit met de gegevensbescherming, maar natuurlijk ook gewoon met het positieve gebruik en de ontwikkeling van persoonsgegevens. 

Ook moeten we kijken naar andere instrumenten, zoals mededingingsregels, belastingen en het vertalen van de economische waarde van persoonsgegevens in een prijskaartje. Laat gebruikers van persoonsgegevens betalen voor het gebruik van die gegevens. Net zoals ze moeten betalen voor het gebruik van energie. Als het wat kost, dan zult u zien dat het gebruik van gegevens omlaag gaat. Dat geldt zowel voor bedrijven als voor overheden, dus misschien moeten we ook eens kijken naar het belasten van de grote internetgiganten, niet op basis van hun winst maar op basis van hun gebruik van persoonsgegevens. 

Uiteindelijk ligt dit ook bij onszelf, we hebben absoluut wetgeving nodig om het individu te beschermen tegen giganten als Facebook of de NSA en de grote jongens, maar uiteindelijk moeten we ook kritische burgers zijn. Natuurlijk is dat een ontwikkelingsproces. Net zoals dat je vanzelfsprekend je deur op slot doet, en dat je bij jezelf nadenkt over hoe je je door deze wereld beweegt. 

Dagvoorzitter Tom Jessen geeft een andere invalshoek. Wanneer je op internet zoekt hoe tech-bedrijven gemaakt zijn, dan kom je ook het woord dopamine tegen. Iedere keer als er een berichtje in je sociale media verschijnt, wanneer je een melding hebt, dan komt er dopamine vrij. Dit heeft een verslavend effect. Nu zijn er campagnes vanuit de overheid over drank, drugs en roken en hij vraagt aan Sophie in ’t Veld of het niet tijd is voor een campagne vanuit de overheid die waarschuwt voor het verslavende effect van sociale media. 

Sophie in ’t Veld reageert hierop: stel, er zijn mensen die niet op Facebook en Instagram zitten, maar dat is niet voldoende. Zelfs al heb je geen mobiele telefoon, zelfs dan word je overal waar je rondloopt gefilmd, is er facial recognition, je ontkomt er niet aan. Daarom is het belangrijk dat we goed reguleren en dat we alle instrumenten gebruiken om ons zo goed mogelijk te beschermen. Ze is het met Aleid Wolfsen eens: het gaat niet om privacy, misschien moeten we daar ook eens een andere term voor verzinnen. Want privacy klinkt toch een beetje als witte wijn en grachtengordel. En dat is natuurlijk niet zo, het heeft zo langzamerhand alles te maken met onze vrijheid, met de kwaliteit van onze democratie, onze burgerrechten, onze verhouding met de overheid en met gelijke behandeling. Dus een campagne vanuit de overheid om te waarschuwen voor het verslavende effect van sociale media is een aardig idee, maar bij lange na niet genoeg. 

Vragen uit het publiek

Vraag uit de zaal: als we het hebben over een andere term voor privacy dan kan er worden gewezen op het boek Surveillance Capitalism van Shoshana Zuboff, daarin gaat het over een sanctuary. Een thuis waarin mensen zichzelf kunnen zijn, zonder zich bespied te voelen et cetera. Deze vraag heeft hier ook mee te maken: veel instanties zoals de Autoriteit Persoonsgegevens zeggen dat digitalisering een feit is. Maar, gezien de huidige stand van de techniek, maar ook van de politiek, hoe denk je over de bescherming van de analoge omgeving? De vrije leefomgeving van mensen waarin ze zich beschermd willen voelen op het gebied van hun persoonsgegevens en de mate waarin ze bespied kunnen worden?

Sophie in ’t Veld reageert dat er natuurlijk nog zoiets is als een analoge wereld, maar we hadden al regels. Er zijn weleens mensen die denken dat er voor de GDPR helemaal niks was en dat de GDPR een soort van oerknal is, maar dat is helemaal niet waar. We hebben al 25 jaar privacywetgeving en diezelfde principes blijven gewoon van toepassing. Punt is dat het niet alleen gaat om de bescherming van privacy, het gaat er ook om wat er bijvoorbeeld met Big Data kan gebeuren. De vraagstelling is dus veel breder dan dat, want laten we er ook bij stilstaan dat het ongelooflijk veel goeds brengt. Maar we moeten wel het individu, de mens, blijven beschermen. Misschien moeten we het niet hebben over bescherming van persoonsgegevens, maar over bescherming van personen. 

Tweede vraag uit het publiek: Neelie Kroes heeft in 2013 naar aanleiding van de Snowden-onthullingen gezegd, toen ze Eurocommissaris was, dat Europa behoefte heeft aan een huge privacy focused company. Voor zover de vraagsteller weet is deze er in de afgelopen zes jaar niet gekomen. En als Europa iets uitvindt, dan wordt dat overgenomen door Amerikanen. De realiteit is dat wij consument zijn van Amerikaanse en Chinese producten. Wat is volgens Sophie in ’t Veld echt nodig in Europa om de concurrentie met de Amerikanen en Chinezen aan te gaan?

Sophie reageert dat er in Europa ongelooflijk veel leuke nieuwe bedrijven en start-ups zijn, maar dat wanneer ze een beetje gaan groeien, ze vaak worden weggekocht. En als je aan die bedrijven vraagt: waarom dan? Dan zeggen ze dat ze in Europa niet meer kunnen groeien, omdat er geen echte Europese markt is. Er zijn gewoon 28 nationale markten en het punt is dat die nationale markten barrières zijn. Want die hebben nationale wetgeving en nationale belastingen. Die fiscale grenzen zijn een drama, die voorkomen dat we onze eigen Europese internetgiganten krijgen. En het punt is dat de nationale lidstaten zich beroepen op hun nationale soevereiniteit. Maar het is een fictieve nationale soevereiniteit, want we geven de macht gewoon weg. In de digitale wereld is praten over nationale soevereiniteit kletskoek. We moeten veel meer concurrentie hebben. We moeten zorgen dat onze Europese kampioenen hier blijven, dat ze niet worden weggekocht en de ruimte krijgen om te groeien en dat moet ook snel gaan gebeuren, want onze afhankelijkheid van Amerikaanse bedrijven en in toenemende mate van Chinese bedrijven is echt heel erg zorgwekkend. 

Laatste vraag uit het publiek gaat over de geldelijke waarde van persoonsgegevens. Sophie in ’t Veld stelde voor als maatregel het betalen voor het gebruik van data en dan is de vraagsteller benieuwd aan wie die betaling gaat plaatsvinden en wat Sophie zich daarbij voorstelt. Want als de gebruiker betaald wordt voor het delen van zijn data, kan dat een extra druk geven om die data te delen. 

Sophie in ’t Veld reageert dat ze niet een groot plan hiervoor in een la heeft liggen. Maar de vraag is: waarom worden al die data door bedrijven opgeslagen? Omdat ze er geld mee verdienen. Dat is dus een prikkel en iets waarmee je ze kan pakken. Je zou dus kunnen beginnen met te zeggen, we gaan bedrijven belasten voor het gebruik van persoonsgegevens. Dus dan zullen ze gedwongen worden om veel meer na te denken of ze al die data nodig hebben. Verdienen ze er wel echt zoveel geld mee? Want dat hele verhaal dat ze dat allemaal nodig hebben vanwege de adverteerders, daar wil ze toch wel haar vraagtekens bij zetten. En of dat verdienmodel wel klopt, of ze allemaal ten gronde zullen gaan als ze dat verdienmodel niet meer kunnen hanteren. 

Er zitten grote ethische aspecten aan, als je bijvoorbeeld zou voorstellen dat mensen de keuze zouden krijgen tussen betalen met hun gegevens of betalen met cash. Mensen die minder vermogend zijn, die zullen dan toch geneigd zijn om te betalen met hun gegevens. Dat vindt ze een ethische kwestie. Maar er zijn ook andere invalshoeken. Zo is er een app ontwikkeld waarmee je kan zien wat jouw waarde op dat moment voor een bedrijf is, en wat jouw handelingen voor invloed hebben op die waarde. Dat maakt mensen al veel bewuster. Er zullen ongetwijfeld nog veel meer goede ideeën komen in die richting.  

Maar hoe dan ook, als bedrijven geld verdienen met gegevens, dat die economische waarde dan ook gebruikt moet worden, dat geldt ook voor de overheid. Want hoe makkelijk is het om voor een nationale wetgever te besluiten “wij moeten alles weten van iedereen, want dat is goed voor de veiligheid.” Dat is heel makkelijk te besluiten als je dat niet in begrotingshandelingen hoeft te verdedigen. Want als het niks kost, omdat al die gegevens toch al voor het grijpen liggen bij al die bedrijven, dan is het makkelijk. Maar als ze er echt voor moeten gaan betalen en als ze moeten zeggen “we gaan minder geld uitgeven aan zorg, want we moeten meer uitgeven aan het opvragen van gegevens”, dan wordt het een ander verhaal en een politieke afweging. De economische waarde van persoonsgegevens meewegen zal dan zeker leiden tot ander gedrag.

Tijmen Schep – Privacy Label

Tijmen Schep start met een vraag aan het publiek: wat is langer, het toneelstuk van Shakespeare Much Ado About Nothing of de iTunes Terms of Service? Het toneelstuk is met 1000 woorden iets langer, maar het scheelt niet veel. Niemand gaat dat dus lezen en iedereen klikt gewoon op I agree. Maar kunnen we dat dan niet beter ontwerpen? Zodat we begrijpen welke data er wordt verzameld en wat daarmee gebeurt. En dat we niet zo’n lap tekst hoeven te lezen die, laten we eerlijk zijn, is gemaakt voor lawyers. Gewoon leesbaar en begrijpelijk. De EU begrijpt al dat dit een issue is. In de AVG staat al dat er in de toekomst iconen kunnen komen, want die maken het allemaal makkelijker. Maar die iconen van de AVG, dat waren nou niet de meest sexy iconen. Dus kreeg Tijmen de vraag van ECP: kunnen jullie hier niet iets mee en kunnen jullie niet iets beters ontwerpen? 

Het eerste wat we beseften is dat we niet een icoontje moesten maken, dat is te simpel en niet genoeg. We moeten een soort template maken, waarbij we als eerste werden geïnspireerd door de Amerikanen, die hebben bijvoorbeeld een systeem waarbij banken tegenwoordig bepaalde vragen moeten beantwoorden op hun website. Gewoon menselijke, begrijpelijke Jip-en-Janneke vragen. Zoals: wat doe je nou precies en hoe?  En dat mogen ze in hun eigen huisstijl doen, zolang ze die vragen maar beantwoorden. Een ander ding wat we interessant vonden was bijvoorbeeld de verpakking van een pak hagelslag. Naast alle informatie die erop staat en keurmerken heb je ook de ingrediëntenlijst en die is eigenlijk heel interessant, want die vertelt je een boel en is tegelijkertijd een beetje vaag. Zo weet je dat er het meeste van het eerste ingrediënt in zit, maar je weet niet precies hoeveel.   

Tijmen geeft vervolgens een demo van het Privacy Label. De demoversie is HIER te bekijken. 

Pitches Privacy Awards

Na deze drie inspirerende presentaties werd het publiek getrakteerd op 7 pitches van organisaties die genomineerd waren voor een Nederlandse Privacy Award.  Hieronder staan alle genomineerden voor de Nederlandse Privacy Awards 2019. Klik op een genomineerde voor de betreffende pitch:  

Brenno de Winter – ICT-onderzoeker

We gaan met elkaar de jungle in. Waarom de jungle? Omdat dieren dingen doorhebben die wij niet doorhebben. Sommige mensen die Brenno de Winter kennen, weten dat hij Aleid Wolfsen (Autoriteit Persoonsgegevens) altijd een soort giraffe vindt. Want wat doet een toezichthouder? Zo’n giraffe eet in Kenia de bomen leeg en draait zich om en gaat naar Tanzania en na exact een half jaar komt hij bij precies dezelfde bomen terug. Vraag maar aan de Belastingdienst, vraag maar aan het UWV, vraag maar aan Google, Facebook et cetera. Dat is wat een toezichthouder doet en ook al ziet hij er oh zo lief uit, maar ondertussen... Maar even verder die jungle in, je ziet hier een paar zebra’s relaxt water drinken. Simpele vraag: is er geen gevaar? Er is een leeuw en toch staan ze relaxt te drinken. Dit komt omdat er andere dieren op de uitkijk staan. En zodra er één klaar is met drinken, wisselt hij een beveiliger af en zo gaan ze verder. Dat doen eigenlijk alle dieren in de jungle, behalve één soort, namelijk de homo sapiens. Wij doen dat niet, wij gaan niet elkaar waarschuwen als er gevaar is, wij gaan niet elkaar vertellen hoe je iets moet doen om gevaar af te wentelen. En dus overvalt, een beetje zoals een narwal, die hele jungle ons met regelgeving die zo eng is.

En waarom de narwal? De narwal is een dier dat heel goed is in verstijven. De hartslag en de stofwisseling gaan omlaag. Dit dier zit bij gevaar dodelijk stil en gaat langzaamaan zo de diepte in. Maar ja, als je gevaar ziet, dan wil je misschien ook wel vluchten of vechten. Dat kan dat dier niet, want hij kan geen piekinspanning meer leveren. Volledig verstijfd gaat hij vervolgens zijn dood tegemoet. 

Brenno laat zijn kat Hiero zien. Hiero ziet iets en verstijft en even later verstijft Hiero een tweede keer en is het duidelijk wat hij gaat doen: díe mug gaat het niet overleven. Ook zo kun je verstijven. Maar in de ICT doen we dat niet. De waanzin voor de invoering van de AVG was bijvoorbeeld, in een Italiaanse slagerij: "Pas op, in onze slagerij zouden wij uw naam kunnen vragen en uw vleesvoorkeur kunnen herinneren. Indien u hiermee niet akkoord gaat, gelieve heel hard IK GA NIET AKKOORD te roepen en vanaf vandaag doen we alsof we u niet kennen."  

Dit was de waanzin vlak voor het ingaan van de AVG en hoe er met dit soort problematiek werd omgegaan. We vonden het doodeng. Zelfs de website Music for Cats is tot groot verdriet van Hiero niet te bereiken en hij zal dan ook die muziek moeten missen, dat dan weer tot vreugde van Brenno. 

En nog steeds gaat het door. Vorige week was er bijvoorbeeld dit artikel: de AVG is schadelijk en beperkend, een litanie over hoeveel gedoe het allemaal is om bijvoorbeeld te weten welke data je allemaal hebt. Je krijgt continu te horen: het is allemaal te complex en te lastig. Brenno heeft lang nagedacht waarom dat zo is. Dat komt onder andere doordat we alles hele enge woorden geven, zoals het woordje cyber erbij. Cyberveilig, cyberplatform et cetera. Ironisch zegt Brenno: begin met het voor jezelf simpeler te maken, zoals de woordjes eerst in het klein te schrijven, dan wordt het weer leesbaar. En laten we daarna nog een stapje doen en het woordje cyber gaan schrappen. Oftewel we hebben het dan weer over woorden en grootheden die eenvoudig zijn en al die zeepsop eromheen een beetje vergeten. 

Brenno heeft een aantal prominente datalekken in Nederland naast elkaar gezet. Ze hebben één ding allemaal met elkaar gemeen en dat is: niet updaten. Het simpelweg niet doen. In november 2018 stond het aantal datalekken dat sinds de invoering van de AVG is gemeld nog op 18.000. Het gaat dus structureel verkeerd, we maken dezelfde fouten opnieuw en opnieuw. 

Hij wordt moedeloos als hij hoort: "het mag niet van de AVG". Lees de AVG voor de grap eens. In de AVG staat 70 keer het woordje ‘risico’ (en niet één keer het woord ‘privacy’). Het woordje ‘risico’ is best wel ingewikkeld, maar Brenno is daarin de laatste tijd een stuk pragmatischer geworden en denkt niet meer in risico’s, maar in hoe dingen fout kunnen gaan. Dat blijkt namelijk al ver voordat de ICT een beetje goed en wel op gang was al de methodiek te zijn. Waarbij je je afvraagt: hoe kan het fout gaan en hoe erg is dat? Dat kun je genormeerd een waarde geven. Hoe vaak komt het voor en hoe detecteerbaar is het als het misgaat? Hij vertelt een anekdote over dat hij laatst bij een klant was die zei dat ze datalekken heel goed detecteerden: “Wij hebben Twitter openstaan en dan zien we het vanzelf langskomen als wij een datalek hebben.”

Hij geeft een voorbeeld van een datalek bij een zorgadministratiekantoor in Singapore. Op 23 augustus 2017 raakt het systeem geïnfecteerd. En reeds op 11 juni kregen de systeembeheerders alarm dat er mensen probeerden in te loggen in het zorgsysteem, waar dat niet zou moeten. Die alarmen herhaalden zich de dagen daarna. En op een gegeven moment bleef het alarm rinkelen en elke keer was het heel veel gedoe om dat uit te schakelen. Met op een gegeven moment de melding dat er mensen medische records aan het benaderen waren. Pas op 9 juli werd het management geïnformeerd. Dit is dus precies wat Brenno eerder bedoelde met het narwalgedrag. We raken zo overweldigd en vinden het zo raar dat iemand probeert ten onrechte in te loggen. Dan gaan we een beetje om ons heen lopen kijken in plaats van iets te doen. Het bizarre is dat dit een hele grote casus blijkt te zijn, waarbij ook van ministers van Singapore medische gegevens zijn gestolen. Hierover is een dik rapport geschreven, waarbij de conclusie is dat een beetje basale hygiëne de aanval zou hebben gestopt. Zullen we afspreken met elkaar om de basale hygiëne te doen, om de simpele dingen te doen?  Niets hoogdravends, niets ingewikkelds, want dit is elke keer de bron van ellende.

De digitale hygiëne, de simpele dingen maken het verschil. En dan is dus het AVG-verhaal een niet ingewikkeld AVG-verhaal. Dan weet je wat je in huis hebt en dan weet je welke risico’s je eventueel loopt. En vervolgens eet de toezichthouder uit je hand, want je hebt alles gedocumenteerd. 

Vragen uit het publiek

Vanuit het publiek komt de opmerking dat het soms moeilijk is om duidelijk te maken wat nou precies de schade is van een datalek, voor bijvoorbeeld een bedrijf bij dit soort risico’s.

Brenno de Winter reageert dat het niet makkelijk is om dit in geld uit te drukken. Als het medisch dossier van de premier van Singapore op straat ligt: pijnlijker dan dat wordt het niet. Als je een centraal medisch systeem hebt, waarbij je bij alle data kunt komen. En dit is niet de eerste keer, daarvoor hebben we ook al met het Wannacry virus zoiets gezien in het Verenigd Koninkrijk waar ze ook alle systemen al gecentraliseerd hadden. Eigenlijk betekent dat, dat je dan afscheid hebt genomen van het medisch beroepsgeheim. Als een organisatie niet wil inzien dat de data die zij hebben enige waarde heeft, dan kunnen we elk project of Big Data project gelijk gaan stoppen. En als dat niet wordt geapprecieerd, dan is de enige stok achter de deur nog wettelijke handhaving. 

Jeroen Terstegge – Privacy Management Partners

Aan Jeroen Terstegge is gevraagd om een overzicht te geven van reacties uit het bedrijfsleven. Hij heeft gekeken in zijn eigen klantenkring en sociale media, en geprobeerd om mensen te categoriseren. En die narwal van Brenno de Winter zit er niet tussen, maar dat is eigenlijk categorie nummer elf.

1. Hel-en-verdoemenis prediker
Met stip op nummer 1 staat de ‘hel-en-verdoemenis prediker’. U kent ze wel, ze beginnen elke training, elk verkooppraatje, elke cursus en elke presentatie en nu dus ook met ‘er komen hoge boetes aan’. Twintig miljoen of 4% van je wereldwijde jaaromzet. Het voelt als veel, en veel klanten die om hulp vragen bij de AVG beginnen dus ook met ‘want er komen hoge boetes aan en hoe hoog zijn ze dan voor mij?’ En Jeroen zegt daarop dat voor het zinnetje over de boetes een ander zinnetje staat waarin wordt aangegeven dat de boetes proportioneel moeten zijn. En proportioneel betekent onder andere dat je er niet aan failliet gaat. Die boetes zijn niet bedoeld voor de gemiddelde MKB’er of de gemiddelde voetbalvereniging. Maar toch blijft het een goed verkooppraatje voor de zelfbenoemde AVG-experts, want daar zijn er heel veel van tegenwoordig. Aan de AVG hangt ook de persoonlijke aansprakelijkheid voor bestuurders, waar veelvuldig voor wordt gewaarschuwd. Die AVG-experts hebben waarschijnlijk Jeroen Terstegge horen spreken op het congres van het Nationaal Cyber Security Centrum over datalekken. Waarin hij het uit 1954 stammende ‘IJzerdraadarrest’ van de Hoge Raad heeft genoemd, waaruit volgt dat het mogelijk is dat een boete persoonlijk wordt opgelegd wanneer de leidinggevende persoonlijk heeft leidinggegeven aan de overtreding. Dat is vaststaand recht en dat volgt niet uit de AVG. Maar het is een goed verkooppraatje, waarvoor veel mensen gevoelig lijken te zijn. 

2. De flauwekul verspreiders
Op nummer 2 staan de flauwekul verspreiders. Hij heeft afgelopen 2 jaar het woord ‘flauwekul’ het meest gebruikt op sociale media. Allerlei Twitter-berichten, LinkedIn-berichten die hij leest en waarbij hij zich niet kan inhouden om te zeggen dat wat daarin staat flauwekul is. Zoals dat het gros van de regels in de AVG helemaal niet nieuw is: de eerste dataprotectiewet in Nederland is van 1988, namelijk de Wet Persoonsregistraties en daar stond al bijna hetzelfde in als in de AVG. Dus elke keer als er wordt gezegd dat er een nieuwe wet is en dat je vanaf nu inzage kan vragen, is het flauwekul. Dat inzagerecht is al 30 jaar oud. 

Vanmorgen zette Jeroen het NOS-journaal aan. Van de nieuwslezer van het journaal was bijna iedere zin die zij vanmorgen heeft uitgesproken juridisch onjuist. Inclusief de soundbite die ze hadden gemaakt van Aleid Wolfsen. Hij zal vast een heel goed verhaal hebben gehad daaromheen, maar de soundbite die de redactie van de NOS eruit pikte en liet zien is juridisch onjuist. Zijn broek zakt er van af hoeveel onzin er wordt verspreid over de AVG. Je hoeft helemaal niet overal toestemming voor te vragen, dat staat helemaal niet in de AVG. Sommige dingen zijn wettelijk verplicht, moeten ter uitvoering van een overeenkomst of voor een publieke taak. Zoals Brenno de Winter al zei: de mensen die zeggen “het mag niet van de AVG”, dat zijn de zogenoemde nee-zeggers. En naarmate ze vaker nee zeggen en tegen steeds belangrijkere dingen nee zeggen, gaan andere mensen in de organisatie met een grotere boog om hen heen lopen. Dus je moet ervoor zorgen dat je ‘ja, mits…’ zegt. En dan vervolgens het gesprek aangaat over hoe we dat vervolgens gaan doen. 

3. De ontkenners
De volgenden in het rijtje zijn de directeuren. De gemiddelde directeur die we hebben bij de start van zo’n AVG-workshop bij een AVG-traject. Dan wil Jeroen dat de directeur aan tafel zit en binnen vijf minuten krijgt hij de volgende zin te horen: ‘ik ben de hele dag bezig met risico’s te managen, hoezo is die AVG iets anders’. En dan zijn we vier uur verder en dan is het kwartje hopelijk wel gevallen dat je daar iets mee moet. 

4. De oogklepdragers 
Op de vierde plek staan, met alle respect voor IT’ers, de oogklepdragers. Laten we ophouden met alles een datalek te noemen. Het niet hebben van een verwerkersovereenkomst met de verwerker is geen datalek. Het nadeel van de invoering van het meldpunt datalekken in 2016 is dat de opvatting is ontstaan dat zolang je maar geen datalekken hebt, dat het dan goed is. Wat vervolgens betekende: zolang je maar geen datalek hebt van gegevens die je illegaal verwerkt of die je überhaupt al lang het moeten weggooien. ‘Dat is allemaal niet erg, want we hebben geen datalek’. Dat gedrag zijn we veel tegengekomen in de IT-hoek. 

5. De windowdressers
De ‘windowdressers’. Dat hebben wij met zijn allen 30 jaar lang gedaan, sinds de Wet Persoonsregistraties. Zo hebben we al netjes 30 jaar een privacy statement. Het doorsnee MKB-bedrijf, stichting of vereniging die vraagt om geholpen te worden met de aanpassing van de privacyverklaring en de verwerkersovereenkomsten. Op de opmerking dat ze nog meer verplichtingen hebben vanuit de AVG, zeggen ze dat dat later wel komt. 

6. De visielozen
Heel veel grote organisaties die vragen ‘kun je ons helpen met compliant te worden onder de AVG’. Zodra je daar dan zit, verwachten ze dat je daar je trucje komt doen in zo’n vier maanden en dan weer doorgaat. Op die basis werd Jeroen in 2001 ingehuurd door Philips, om binnen een jaar compliant te worden met de toen net in werking getreden Wet bescherming persoonsgegevens. Hij heeft er 10 jaar gezeten en was toen waarschijnlijk nog niet klaar met het implementeren van de Wbp bij Philips. Je bent namelijk nooit klaar. Het eist dat je als organisatie een visie hebt waar je naartoe gaat. Het eerste wat hij dus deed bij Philips was te kijken naar de visie: ‘hoe willen wij met gegevens omgaan?’ En als je dat aan een gemiddelde directeur vroeg, dan kreeg je 100 verschillende antwoorden, want elke directeur wilde iets anders met zijn eigen departement binnen Philips. Dus je moet intelligent meebewegen met zo’n organisatie, maar je moet ze wel bij de les houden. Waar wil jij naartoe en hoe wil jij daar komen? 

7. De bewust-onbekwamen
Jeroen geeft veel privacy-trainingen en dan vooral de CIPP/E training. En dit is waarschijnlijk wel de nummer 1 vraag: ‘wat is het verschil tussen een verwerker en een verwerkersverantwoordelijke?’ en ‘wanneer moet ik nou een verwerkersovereenkomst met een dienstverlener afsluiten?’ En wanneer hij dat heeft uitgelegd dan gaat er altijd een soort van zucht door de zaal met ‘goh, dan hebben we veel te veel verwerkersovereenkomsten afgesloten’. Er is een enorme kennisachterstand als het gaat om kennis over de AVG. En dan gaan we elkaar met zijn allen in de weg zitten. 

8. De activisten
De mensen die zeggen ‘het moet allemaal anders’, en dat is prima, en de activisten hebben ook hun rol. Maar je moet dan niet opeens allemaal dingen in de AVG gaan lezen die er niet in staan. Persoonsgegevens zijn niet uw eigendom, het staat ook nergens in de AVG dat dat zo is. En u hebt helemaal niet altijd het recht om vergeten te worden. Sterker nog: als een organisatie 100% compliant is met de AVG dan kan een verzoek om verwijderd te worden, altijd worden afgewezen. We zitten alleen nog op 30 jaar achterstallig huiswerk en dus op bergen data die er allang niet meer horen te zijn. Dus dan gaan we ook veel geslaagde verwijderingsverzoeken zien. 

9. De geloofwaardigen
Iedereen die dit vak al een tijdje doet is gegaan van privacy compliance naar data ethics. Je kan dit vak niet doen als je het niet vanuit een morele overtuiging doet. Als je het alleen vanuit compliance doet, dan gaat het hopeloos mis.

10. De evangelisten
Dat zijn de mensen die schreeuwen van de daken hoe het nou eigenlijk moet. De beste evangelist die hij kent op dit gebied is Michelle Dennedy die Chief Privacy Officer is van Cisco. Die weet als geen ander uit te leggen waar dit vak nou eigenlijk over gaat. “Data Privacy is telling a story about a person with integrity and respect.” Het is niet dat je de gegevens niet verwerkt. Als je persoonsgegevens mag hebben, dan moet je ze alleen fatsoenlijk verwerken. Dat staat ook gewoon in de eerste zin van artikel 5 van de AVG. Het allerbelangrijkste artikel van de AVG is artikel 5, niet artikel 6 waar juristen altijd naar gluren. Je kan geen toestemming vragen voor iets wat unfair is. Je kan geen toestemming vragen voor iets wat disproportioneel is. Je kan geen toestemming vragen voor iets dat onrechtmatig is. Artikel 5 is het belangrijkste en dat gaat precies over wat Michelle zegt. “Telling a story about a person with integrity and respect”. Jeroen hoopt dat u dat ook gaat doen, want als u alleen compliance doet dan bent u over tien jaar nog niet klaar met het implementeren van de AVG.

Bekijk de hele presentatie van Jeroen Terstegge (pdf).

Nederlandse Privacy Awards

De middag werd vervolgens afgesloten met de uitreiking van de Nederlandse Privacy Awards. Deze Awards bieden een podium aan bedrijven en overheden die privacy zien als een kans om zich positief te onderscheiden en privacyvriendelijk ondernemen en innoveren tot norm te maken. De winnaars van de Nederlandse Privacy Awards 2019 zijn... Startpage.com en Privacy Company i.s.m. SURF ! Daarnaast ontving PublicSpaces de Aanmoedigingsprijs.

Winnaar: Startpage.com

Met Private Search 2.0 biedt Startpage.com een plaats waar iedereen die profilering en targeting op basis van online zoekopdrachten als verstikkend ervaart, weer wat vrijer kan ademhalen. De belofte van Startpage.com is dat hun gebruikers Google Search kunnen laten bevragen zonder te hoeven vrezen dat elke zoekopdracht wordt toegevoegd aan een permanente dataschaduw bij Google. Bovendien kunnen de zoekresultaten bij Startpage.com via een anonimiserende proxy worden bezocht. Daarmee vervult Startpage.com een behoefte bij iedereen die weleens wil zoeken naar informatie zonder vervolgens geconfronteerd te worden met gerichte advertenties daarover. Denk aan wie zoekt naar informatie over hulp bij een financieel probleem, een relatieprobleem of een gezondheidsprobleem. En natuurlijk aan wie zich überhaupt liever ‘by default’ afschermt van buitenlandse data-handelaren (Silicon Valley cum suis). De nieuwe Startpage.com website biedt mensen daarmee een belangrijke, en bovendien zeer gebruiksvriendelijke mogelijkheid om websites te bekijken zonder zich voortdurend zorgen te hoeven maken over ongewenste profilering en toekomstige confrontatie met hun zoekgedrag.

Winnaar: Privacy Designer (Privacy Company en SURF)

Privacy Designer is een webapp van Privacy Company en SURF voor het MKB, verenigingen en NGO’s, dat hen helpt privacy risico’s te inventariseren. De app is medegefinancierd door het SIDN Fonds en kan vrij van kosten worden gebruikt.

De jury van de Awards was zeer onder de indruk van deze oplossing. Het is handig in gebruik, vernieuwend, en de maatschappelijke impact is groot omdat we uit onderzoek weten dat de doelgroep vaak niet of matig op de hoogte is van de privacy risico’s die zij lopen en hoe daar goed mee om te gaan. Dat alle gegevens bovendien op het eigen toestel worden opgeslagen en er minimaal gebruik wordt gemaakt van persoonsgegevens is een pré. Kortom, deze inzending heeft de potentie om op een zeer laagdrempelige maar effectieve manier de privacy voor een grote groep mensen te verbeteren.

Winnaar: PublicSpaces

Op het internet gebeurt van alles wat we niet zien of merken (vooral reclame op basis van zoekgedrag levert ons veel irritatie op). Ondertussen worden we steeds afhankelijker van navigatie, de cloud-opslag van onze documenten en het zoeken naar informatie. Het lijkt erop dat hiermee vooral een paar dominante commerciële bedrijven er steeds beter van worden. 

PublicSpaces is een coalitie van publieke omroepen en culturele instellingen, die van het internet weer een community van gebruikers willen maken. Zij willen met een aantal belanghebbende partijen het internet gaan repareren door het heel concreet aanbieden van een paar alternatieven. Vooral het overerven van data over verschillende platforms is hen een doorn in het oog. Met open source initiatieven, maar ook de inzet van onze vorige winnaar IRMA willen zij een bijdrage leveren aan de publieke waarde van privacy op het internet. De jury moedigt de missie van PublicSpaces van harte aan!

Klik HIER voor het hele juryrapport (pdf) met deelnamecriteria en toelichting bij alle genomineerden en de winnaars.

De jury van de Nederlandse Privacy Awards 2019 bestond uit onafhankelijke privacy-experts uit diverse sectoren:

• Bart van der Sloot, senior researcher, Universiteit Tilburg (jury-voorzitter)
• Bas Filippini, oprichter en voorzitter Privacy First
• Paul Korremans, data protection & security professional, Comfort Information Architects (tevens bestuurslid Privacy First)
• Marie-José Bonthuis, eigenaar IT’s Privacy
• Esther Janssen, advocaat Informatierecht en grondrechten, bureau Brandeis
• Esther Keymolen, techniekfilosoof, TILT, Universiteit Tilburg
• Matthijs Koot, senior security specialist, Secura BV
• Marc van Lieshout, senior onderzoeker TNO en zakelijk directeur PI.lab
• Wendeline Sjouwerman, privacy specialist lokale overheden en zorg.

Na afloop van het congres kreeg iedere aanwezige een exemplaar van het nieuwe Blauwe Boekje van Jaap-Henk Hoepman over privacy by design mee. Klik HIER voor de digitale versie.

Deze editie van de Nationale Privacy Conferentie & Awards was een groot succes. Dit vraagt om een vervolg en de plannen voor 2020 zijn in de maak!

Tijdens de Nationale Privacy Conferentie van Privacy First en ECP zijn vandaag, op de Europese Dag van de Privacy, de Nederlandse Privacy Awards uitgereikt. Deze Awards bieden een podium aan bedrijven en overheden die privacy zien als een kans om zich positief te onderscheiden en privacyvriendelijk ondernemen en innoveren tot norm te maken. De winnaars van de Nederlandse Privacy Awards 2019 zijn Startpage.com en Privacy Company i.s.m. SURF. Daarnaast ontving PublicSpaces de Aanmoedigingsprijs.

Winnaar: Startpage.com

Met Private Search 2.0 biedt Startpage.com een plaats waar iedereen die profilering en targeting op basis van online zoekopdrachten als verstikkend ervaart, weer wat vrijer kan ademhalen. De belofte van Startpage.com is dat hun gebruikers Google Search kunnen laten bevragen zonder te hoeven vrezen dat elke zoekopdracht wordt toegevoegd aan een permanente dataschaduw bij Google. Bovendien kunnen de zoekresultaten bij Startpage.com via een anonimiserende proxy worden bezocht. Daarmee vervult Startpage.com een behoefte bij iedereen die weleens wil zoeken naar informatie zonder vervolgens geconfronteerd te worden met gerichte advertenties daarover. Denk aan wie zoekt naar informatie over hulp bij een financieel probleem, een relatieprobleem of een gezondheidsprobleem. En natuurlijk aan wie zich überhaupt liever 'by default' afschermt van buitenlandse data-handelaren (Silicon Valley cum suis). De nieuwe Startpage.com website biedt mensen daarmee een belangrijke, en bovendien zeer gebruiksvriendelijke mogelijkheid om websites te bekijken zonder zich voortdurend zorgen te hoeven maken over ongewenste profilering en toekomstige confrontatie met hun zoekgedrag.

Winnaar: Privacy Designer (Privacy Company en SURF) 

Privacy Designer is een webapp van Privacy Company en SURF voor het MKB, verenigingen en NGO’s, dat hen helpt privacy risico’s te inventariseren. De app is medegefinancierd door het SIDN Fonds en kan vrij van kosten worden gebruikt.

De jury was zeer onder de indruk van deze oplossing. Het is handig in gebruik, vernieuwend, en de maatschappelijke impact is groot omdat we uit onderzoek weten dat de doelgroep vaak niet of matig op de hoogte is van de privacy risico’s die zij lopen en hoe daar goed mee om te gaan. Dat alle gegevens bovendien op het eigen toestel worden opgeslagen en er minimaal gebruik wordt gemaakt van persoonsgegevens is een pré. Kortom, deze inzending heeft de potentie om op een zeer laagdrempelige maar effectieve manier de privacy voor een grote groep mensen te verbeteren.

Winnaar: PublicSpaces

Op het internet gebeurt van alles wat we niet zien of merken (vooral reclame op basis van zoekgedrag levert ons veel irritatie op). Ondertussen worden we steeds afhankelijker van navigatie, de cloud-opslag van onze documenten en het zoeken naar informatie. Het lijkt erop dat hiermee vooral een paar dominante commerciële bedrijven er steeds beter van worden.

PublicSpaces is een coalitie van publieke omroepen en culturele instellingen, die van het internet weer een community van gebruikers willen maken. Zij willen met een aantal belanghebbende partijen het internet gaan repareren door het heel concreet aanbieden van een paar alternatieven. Vooral het overerven van data over verschillende platforms is hen een doorn in het oog. Met open source initiatieven, maar ook de inzet van onze vorige winnaar IRMA willen zij een bijdrage leveren aan de publieke waarde van privacy op het internet. De jury moedigt de missie van PublicSpaces van harte aan!

Nominaties  

Er zijn 4 categorieën waarvoor inschrijvingen genomineerd konden worden:

1. categorie Consumentenoplossingen (van bedrijven voor consumenten)

2. categorie Bedrijfsoplossingen (binnen een bedrijf of business-to-business)

3. categorie Overheidsdiensten (van de overheid voor burgers)

4. Aanmoedigingsprijs voor een baanbrekende technologie of persoon.

Uit de diverse inzendingen had de onafhankelijke vakjury de volgende genomineerden per categorie bepaald:

Tijdens de Nationale Privacy Conferentie hebben alle genomineerden hun projecten middels Award-pitches aan het publiek gepresenteerd. Vervolgens zijn de Awards uitgereikt. Klik HIER voor het hele juryrapport (pdf) met deelnamecriteria en toelichting bij alle genomineerden en de winnaars.

Nationale Privacy Conferentie

De Nationale Privacy Conferentie is een initiatief van ECP|Platform voor de InformatieSamenleving en Privacy First. Deze conferentie brengt jaarlijks het Nederlandse bedrijfsleven, overheid, wetenschap en maatschappelijk middenveld bijeen om gezamenlijk te kunnen bouwen aan een privacyvriendelijke informatiemaatschappij. Missie van de Nationale Privacy Conferentie en Privacy First is de ontwikkeling van Nederland tot internationaal Privacy Gidsland. Privacy by design vormt daartoe de sleutel.

Sprekers tijdens de Nationale Privacy Conferentie 2019 waren achtereenvolgens:  

Aleid Wolfsen (voorzitter Autoriteit Persoonsgegevens)
Sophie in 't Veld (Europarlementariër)
Tijmen Schep (PrivacyLabel)
Brenno de Winter (ICT-onderzoeker)
Jeroen Terstegge (Privacy Management Partners).

Jury Nederlandse Privacy Awards

De jury van de Awards bestaat uit onafhankelijke privacy-experts uit diverse sectoren:

• Bart van der Sloot, senior researcher, Universiteit Tilburg (jury-voorzitter)
• Bas Filippini, oprichter en voorzitter Privacy First
• Paul Korremans, data protection & security professional, Comfort Information Architects (tevens bestuurslid Privacy First)
• Marie-José Bonthuis, eigenaar IT’s Privacy
• Esther Janssen, advocaat Informatierecht en grondrechten, bureau Brandeis
• Esther Keymolen, techniekfilosoof, TILT, Universiteit Tilburg
• Matthijs Koot, senior security specialist, Secura BV
• Marc van Lieshout, senior onderzoeker TNO en zakelijk directeur PI.lab
• Wendeline Sjouwerman, privacy specialist lokale overheden en zorg.

Om te garanderen dat de verkiezing van de Awards objectief verloopt, is het niet toegestaan dat de jury een deelname beoordeelt van de eigen organisatie.

Privacy First organiseert de Nederlandse Privacy Awards met steun van Stichting Democratie & Media, in samenwerking met ECP. Wilt u ook partner van de Nederlandse Privacy Awards worden? Neem dan contact op met Privacy First!

Privacy First verschijnt regelmatig in de media, maar meestal zijn dit slechts korte fragmenten, soundbites of oneliners uit langere interviews. Café Weltschmerz vormt hierop een interessante uitzondering: hier neemt men nog de tijd om belangrijke (soms controversiële) onderwerpen uitgebreid te bespreken. Onlangs sprak Rico Brouwer (Piratenpartij) met Vincent Böhre (directeur Privacy First) over het referendum tegen de 'Sleepwet' en de lobby en rechtszaken van Privacy First. Bekijk hieronder het hele interview:

Ondanks het succesvolle referendum over de nieuwe Wet op de inlichtingen- en veiligheidsdiensten heeft de Eerste Kamer deze week het raadgevend referendum afgeschaft. Privacy First betreurt dit en verwacht dat dit de bestaande kloof tussen burger en bestuur verder zal vergroten. Ook zal het leiden tot verder verlies van vertrouwen in de nationale politiek. Dit verzwakt onze democratie en, zonder de corrigerende werking van het referendum, ook onze rechtsstaat.

Een nationaal referendum is een vorm van intern zelfbeschikkingsrecht: het collectieve recht van een nationale bevolking om haar eigen democratische toekomst te bepalen. Zoals alle mensenrechten dient dit recht voortdurend te worden bevorderd. Een referendum is bovendien een democratische verworvenheid die niet zomaar, zonder legitieme aanleiding en objectieve rechtvaardiging, kan worden afgeschaft. Dit is mogelijk in strijd met internationaal recht, in het bijzonder het zogeheten regressieverbod: het verbod om democratisch verworven rechten van burgers zomaar terug te draaien. Eerder dit jaar heeft Privacy First de Eerste en Tweede Kamer hier tevergeefs op geattendeerd. Bij gelegenheid zal Privacy First de rücksichtslose afschaffing van het raadgevend referendum dan ook aankaarten bij de Verenigde Naties en de Nederlandse regering hierover ter verantwoording laten roepen.

Op de vroegere DDR na is Nederland nu het enige land ter wereld dat het referendum na invoering weer heeft afgeschaft. Nederland heeft hiermee de historische schijn tegen en loopt mede daardoor een verhoogde kans op internationale kritiek.

Na Athene (democratie 1.0) en onze huidige 19e-eeuwse parlementaire democratie (2.0) is het in de optiek van Privacy First hoog tijd voor meer burgerparticipatie en democratische vernieuwing: Shared Democracy, democratie 3.0. Evenals de Staatscommissie Parlementair Stelsel pleit Privacy First daarbij voor de invoering van een bindend correctief referendum ter versterking van onze vrije democratie. Privacy First zal zich hier de komende jaren voor blijven inzetten.

Kabinet wil referendum afschaffen. Privacy First trekt aan de bel.

Afschaffing referendum is mogelijk in strijd met internationaal recht.

Ondanks het succesvolle referendum over de nieuwe Wet op de inlichtingen- en veiligheidsdiensten wil het Nederlandse kabinet het raadgevend referendum afschaffen. Een nationaal referendum is echter een democratische verworvenheid die niet zomaar, zonder legitieme aanleiding, kan worden afgeschaft. Dergelijke afschaffing is in dat geval mogelijk in strijd met internationaal recht. Begin dit jaar heeft Privacy First de Tweede Kamer hier tevergeefs op geattendeerd. Vervolgens heeft Privacy First een vergelijkbare waarschuwing gericht aan de Eerste Kamer, waar relatief meer juridische (inclusief internationaalrechtelijke) kennis aanwezig is. De Eerste Kamer nodigde daarop Privacy First uit voor deelname aan de expert-meeting over de Wet intrekking raadgevend referendum op 27 maart jl. Wegens buitenlands verblijf was Privacy First die dag echter verhinderd, waarop de Eerste Kamer (mede op advies van Privacy First) prof. Fred Soons uitnodigde om de internationaalrechtelijke aspecten rond afschaffing van het raadgevend referendum te belichten, waaronder met name het aspect van het internationaal zelfbeschikkingsrecht in interne (democratische) zin. De schriftelijke inbreng (position paper) van prof. Soons vindt u HIER in pdf. Van de expert-meeting in de Eerste Kamer is een volledige videoregistratie en schriftelijk verslag beschikbaar. Begin dit jaar vond in de Tweede Kamer een vergelijkbare, kritische expert-meeting plaats (video). Naar aanleiding van beide expert-meetings zijn door de Eerste Kamer op 24 april jl. talloze kritische vragen aan het kabinet gesteld, waaronder de vraag of intrekking van het raadgevend referendum in strijd is met het zogeheten regressieverbod in het Internationaal Verdrag inzake Economische, Sociale en Culturele Rechten. Privacy First ziet de beantwoording van deze vragen met belangstelling tegemoet.

Nieuw referendum over Donorwet

Terwijl de Eerste Kamer zich de komende weken buigt over de mogelijke afschaffing van het raadgevend referendum, is reeds een nieuw referendum in de maak: het referendum over de nieuwe, controversiële Donorwet. Op https://referendum.nl kunt u uw steunbetuiging voor dit referendum indienen. De weerstand onder de Nederlandse bevolking tegen de nieuwe Donorwet is groot. Privacy First verwacht dan ook dat het benodigde aantal handtekeningen voor een referendum over deze wet spoedig zal kunnen worden behaald.

Hieronder volgt de volledige tekst van onze brief aan de Eerste Kamer d.d. 8 maart 2018:  

Geachte Kamerleden,

De komende periode debatteert u over de mogelijke intrekking van de Wet raadgevend referendum. In dit verband attendeert Stichting Privacy First u hierbij graag op een internationaalrechtelijk aspect dat tot nu toe niet bij het parlementaire debat lijkt te zijn betrokken, maar dat niettemin uiterst relevant is: het referendum als een vorm van collectief zelfbeschikkingsrecht. Dit recht behoort van oudsher tot de krachtigste en meest omvattende rechten ter wereld en geniet brede internationale bescherming. Nationale inperking van dit recht kan voor Nederland dan ook de nodige repercussies hebben. Hieronder lichten wij dit kort toe.

Referendum als een vorm van democratisch zelfbeschikkingsrecht: relevante VN-verdragen

Internationaalrechtelijk gezien is een nationaal referendum een vorm (of uiting) van democratisch zelfbeschikkingsrecht, d.w.z. het collectieve recht van een volk c.q. nationale bevolking om haar eigen toekomst te bepalen. Dit recht is o.a. vastgelegd en ontwikkeld onder art. 1 van het Internationaal Verdrag inzake Burgerrechten en Politieke Rechten (IVBPR) en het identieke art. 1 van het Internationaal Verdrag inzake Economische, Sociale en Culturele Rechten (IVESCR). Onder het IVBPR kan over de schending van dit recht een klacht worden ingediend bij het toezichthoudende verdragsorgaan: het VN Mensenrechtencomité in Genève. Tevens dient Nederland zich periodiek bij dit VN-comité te verantwoorden over de algehele Nederlandse naleving van het IVBPR in brede zin, inclusief (indien aan de orde) de Nederlandse naleving van het collectieve recht op zelfbeschikking van de Nederlandse bevolking. Mocht uw Kamer dus besluiten tot afschaffing van het raadgevend referendum, dan ligt het in de lijn der verwachting dat de Nederlandse regering zich hierover bij de Verenigde Naties zal moeten verantwoorden. De betreffende Nederlandse periodieke sessie bij het VN Mensenrechtencomité staat reeds geagendeerd en zal waarschijnlijk later dit jaar of begin 2019 plaatsvinden. Hierbij zal overigens ook de nieuwe Wet op de inlichtingen- en veiligheidsdiensten (‘Sleepwet’) kritisch aan de orde komen, zo heeft het VN Mensenrechtencomité reeds in mei 2017 bekendgemaakt.

Mogelijke schending art. 1 IVBPR en art. 1 IVESCR door afschaffing referendum

Bovenstaande geldt tevens voor het IVESCR en het toezichthoudende IVESCR-Comité, dat eveneens in Genève zetelt. Onder dit verdrag dient het collectieve recht op zelfbeschikking continu te worden bevorderd en ‘progressief te worden verwezenlijkt’. Zogeheten ‘retrogressive measures’ (zoals afschaffing van een bestaand recht op een referendum) “would require the most careful consideration and would need to be fully justified”, aldus het IVESCR-Comité in haar General Comment No. 3 (The nature of States parties obligations under the ICESCR). Dit betekent dat Nederland het raadgevend referendum slechts op internationaalrechtelijk geoorloofde wijze kan afschaffen indien dit na uiterst zorgvuldige afwegingen gebeurt en (objectief aantoonbaar) volledig gerechtvaardigd is. In casu lijkt hiervan echter geen sprake. Daarmee vormt afschaffing van het raadgevend referendum een mogelijke schending van art. 1 IVESCR. Onder het Facultatief Protocol bij het IVESCR zal hierover een individuele of collectieve klacht bij het IVESCR Comité kunnen worden ingediend. Tevens zal deze kwestie aan de orde kunnen komen bij de periodieke beoordeling van de algehele Nederlandse naleving van het IVESCR door het IVESCR-Comité. Een daaropvolgend kritisch oordeel van het IVESCR Comité zal vervolgens – naar alle waarschijnlijkheid – door de Nederlandse rechterlijke macht gevolgd en overgenomen worden. Hetzelfde geldt voor een vergelijkbaar kritisch oordeel van het VN Mensenrechtencomité inzake mogelijke schending van art. 1 IVBPR, aangezien het collectieve zelfbeschikkingsrecht onder beide verdragen op vergelijkbare wijze wordt geïnterpreteerd en toegepast.

Kans op internationale kritiek

Op de vroegere DDR na is Nederland het enige land ter wereld dat het referendum na invoering weer lijkt te willen afschaffen. Nederland heeft daarmee de historische schijn tegen en loopt mede daardoor een verhoogde kans op internationale kritiek. Privacy First wenst u dan ook veel wijsheid en visie toe bij uw beraadslagingen.

Hoogachtend,

Stichting Privacy First

Update 11 mei 2018: het kabinet heeft de schriftelijke vragen van de Eerste Kamer inmiddels beantwoord (pdf). Zoals reeds door Privacy First was verwacht ontkent het kabinet dat afschffing van het raadgevend referendum strijdig is met het IVESCR: "[H]et kabinet [acht] het wetsvoorstel verenigbaar met het IVESCR", aldus minister Ollongren op p. 24. Daarmee erkent het kabinet dat het IVESCR (d.w.z. het collectieve zelfbeschikkingsrecht onder art. 1) op deze kwestie van toepassing is. Dit vergemakkelijkt de indiening van een toekomstige klacht hierover bij het IVESCR Comité in Genève. Privacy First behoudt zich in dit verband alle rechten en mogelijkheden voor.

Update 15 juni 2018: het kabinet heeft vandaag herhaald dat het de mogelijke strijdigheid van afschaffing van het referendum niet wenst te laten toetsen aan het regressieverbod onder het IVESCR (zie Nadere memorie van antwoord (pdf), p. 12). Dergelijke toetsing wordt door het kabinet blijkbaar - terecht - gevreesd.

Kabinet en parlement sturen aan op snelle inwerkingtreding van privacyschendende Sleepwet. Privacy-coalitie begint kort geding om dit te voorkomen.

Ongewijzigde inwerkingtreding Sleepwet dreigt

De afgelopen maanden heeft een grondig maatschappelijk debat plaatsgevonden over de nieuwe Wet op de inlichtingen- en veiligheidsdiensten, de zogeheten Sleepwet. In het referendum op 21 maart jl. heeft een meerderheid van de Nederlandse bevolking zich vervolgens TEGEN deze wet uitgesproken. In reactie hierop heeft het kabinet slechts enkele summiere, oppervlakkige beleidswijzigingen en enkele niet-fundamentele wetswijzigingen in het vooruitzicht gesteld. Zowel kabinet als Tweede Kamer hebben onverminderd aangestuurd op snelle inwerkingtreding van de huidige Sleepwet – in ongewijzigde vorm – per 1 mei as. De beoogde wetswijzigingen zullen pas na de zomer door het kabinet worden ingediend. Een parlementaire motie om inwerkingtreding van de Sleepwet uit te stellen totdat deze wetswijzigingen behandeld zijn, werd gisteren helaas door de Tweede Kamer verworpen. Daarmee lijkt het parlement voorlopig uitgepraat en is de maatschappij nu opnieuw aan zet.

Kort geding

Vast beleid van Privacy First is om massale privacyschendingen te voorkomen. De inwerkingtreding van de huidige Sleepwet vormt onmiskenbaar een massale privacyschending: het internet-verkeer van onschuldige burgers zal hierdoor op grote schaal worden afgetapt en bovendien zullen data van onschuldige burgers ongeëvalueerd worden uitgewisseld met buitenlandse geheime diensten. Dit vormt een flagrante schending van het recht op privacy. Mogelijke wetswijzigingen om dit achteraf te ‘repareren’ kunnen dan ook niet worden afgewacht; de privacyschendingen zijn dan immers al geschied. Vandaag verzoekt een coalitie van Privacy First en diverse andere maatschappelijke organisaties en bedrijven het kabinet daarom met spoed om de invoering van (de meest privacyschendende onderdelen van) de Sleepwet uit te stellen totdat alle wetswijzigingen in het parlement behandeld zijn. Als het kabinet dit verzoek weigert, is onze coalitie genoodzaakt om een kort geding te voeren om uitstel van inwerkingtreding van de Sleepwet af te dwingen.

Brede coalitie

Naast Privacy First bestaat de coalitie voor dit kort geding uit het Nederlands Juristen Comité voor de Mensenrechten (NJCM), Bits of Freedom, Nederlandse Vereniging van Strafrechtadvocaten (NVSA), Platform Bescherming Burgerrechten, Free Press Unlimited, BIT, Voys, Speakup, Greenpeace International, Waag Society en Mijndomein Hosting. De zaak wordt behandeld door Boekx Advocaten en wordt gecoördineerd door het Public Interest Litigation Project (PILP) van het NJCM. Naast dit kort geding wordt door Privacy First c.s. sinds maart 2017 tevens een bredere rechtszaak (met meer organisaties) voorbereid om de Sleepwet op meerdere onderdelen onrechtmatig te laten verklaren wegens strijd met internationaal en Europees privacyrecht.

Vandaag versturen onze advocaten namens de coalitie een brief aan het kabinet (ministers van Binnenlandse Zaken en Defensie) met een verzoek om uitstel van inwerkingtreding van de Sleepwet. Het kabinet heeft tot vrijdag as. de tijd om hierop te reageren.

Update 20 april 2018: het kabinet heeft het verzoek van de coalitie afgewezen. De coalitie zet nu de voorbereiding van het kort geding voort.

Update 14 mei 2018: de openbare rechtszitting in het kort geding zal plaatsvinden bij de rechtbank Den Haag op donderdag 7 juni as. om 10.00-12.00u, zo heeft de rechtbank vandaag bepaald.
Zaaknummer: C/09/553023 KG ZA 18-476. Klik HIER voor een routebeschrijving.

Update 17 mei 2018: vandaag is de coalitie-dagvaarding aan de landsadvocaat betekend; klik HIER voor de volledige versie (pdf).

Update 7 juni 2018: vanochtend vond in de rechtbank Den Haag de rechtszitting plaats; klik HIER voor de pleitnota van onze advocaten (pdf). De uitspraak van de rechter staat gepland op dinsdag 26 juni as.

Update 26 juni 2018: vandaag heeft de rechtbank Den Haag de zaak helaas afgewezen, klik HIER voor de volledige uitspraak. Privacy First vindt het een zeer teleurstellend vonnis. Weliswaar lag de juridische lat in deze zaak hoog: om dit kort geding te kunnen winnen diende de rechter de Sleepwet "onmiskenbaar onverbindend" te verklaren wegens overduidelijke (onmiskenbare) strijdigheid met internationaal of Europees recht. Het vonnis van de rechter leest echter vooral als een doelredenatie in het voordeel van de Staat, waarbij diverse bezwaren van onze coalitie in het vonnis onbenoemd zijn gebleven. Tevens dient te worden benadrukt (zoals de rechtbank zelf ook doet) dat dit vonnis slechts een voorlopig oordeel inhoudt en dat in deze zaak geen sprake was van een grondige, "volle" toetsing.

De coalitie van organisaties die het kort geding heeft gevoerd betreurt het vonnis. De coalitie vindt dat de regering, mede gezien de uitslag van het referendum, had moeten wachten met het invoeren van de aangevochten onderdelen uit de Sleepwet totdat het parlementaire wetgevingsproces naar aanleiding van het referendum is afgerond. Ongewijzigde invoering van de Sleepwet per 1 mei jl. en pas later (na de zomer) een wetswijziging voorleggen is en blijft dan ook onjuist.

De coalitie zal op korte termijn de mogelijke juridische vervolgstappen bespreken.