donatieknop english

Masterclass Privacy – The Next Step: privacy bekeken vanuit juridisch, technologisch, economisch, psychologisch en ethisch perspectief

Vanaf 28 oktober t/m 9 december 2020 vindt bij de UvA Academy een speciale Masterclass plaats over privacy, genaamd The Next Step. Deze Masterclass is geschikt voor privacy professionals zoals privacy officers, functionarissen gegevensbescherming, cybersecurity specialisten, marketeers, advocaten, juristen, beleidsmedewerkers, managers en adviseurs die te maken hebben met juridische, economische, ethische, technische en organisatorische vraagstukken en verandertrajecten met betrekking tot privacy en de verwerking, opslag en gebruik van persoonsgegevens.

In zeven modules worden talrijke privacyonderwerpen onderwezen door diverse vakdocenten. In week 7 zal Privacy First meedoen aan het Lagerhuisdebat.

De Masterclass zal onder andere ingaan op:

  • Wat is privacy?
  • Wat zijn de achtergronden en veranderingen in wet- en regelgeving op het gebied van privacy en welke impact hebben deze op mensen, overheid en organisaties?
  • Consumenten en persoonsgegevens;
  • Technologische ontwikkelingen;
  • Impact van digitale technologie op de privacy van individuen;
  • Ethisch perspectief op privacy en persoonsgegevens;
  • Hoe kunnen consumenten hun privacy (beter) beschermen?
  • Privacy binnen een organisatie, met aandacht voor cultuur, beleid, programmering en monitoring;
  • Sectorspecifieke verschillen, uitdagingen en oplossingen onder meer in de zorg, bij de overheid en in de financiële sector;
  • Werken aan praktijkcasussen en vraagstukken die spelen bij deelnemers en hun organisaties.

  Klik HIER voor meer informatie en om u aan te melden.

Gepubliceerd in Evenementen

Op 23 juni 2020 is de ‘Implementatiewet registratie uiteindelijk belanghebbenden van vennootschappen en andere juridische entiteiten’ aangenomen. Op basis van deze nieuwe wet komt in het Handelsregister van de KvK informatie te staan over alle uiteindelijk belanghebbenden (‘ultimate beneficial owners’ / UBO’s) van in Nederland opgerichte vennootschappen en andere juridische entiteiten. Daarbij moet worden aangegeven welk belang de UBO heeft, te weten van 25-50%, 50-75% of meer dan 75%. Van de UBO worden in ieder geval de naam, de geboortemaand en het geboortejaar en de nationaliteit openbaar voor iedereen raadpleegbaar, met alle privacy-risico’s van dien. De wet geeft maar zeer beperkte mogelijkheden voor afscherming van informatie. Dit is alleen mogelijk voor personen die door de politie worden beveiligd, voor minderjarigen en voor wie onder curatele is gesteld. Het gevolg zal zijn dat van vrijwel alle UBO’s openbaar bekend zal worden welk belang ze hebben. De wet treedt op korte termijn in werking. Daarna hebben juridische entiteiten nog achttien maanden om hun UBO’s te registreren. De gevolgen van deze nieuwe wetgeving zullen ingrijpend zijn. Het is een wet die beoogt witwassen tegen te gaan, maar zwartmaken bewerkstelligt.

Europese richtlijn

Deze wetswijziging vloeit voort uit de Europese vijfde anti-witwasrichtlijn, die lidstaten verplicht persoonsgegevens van UBO’s te registreren en voor het publiek openbaar te maken. Het doel hiervan is het tegengaan van witwassen en terrorismefinanciering. Het voor iedereen inzichtelijk maken van persoonsgegevens van UBO’s, inclusief het belang dat de UBO in de onderneming heeft, draagt volgens de Europese wetgever bij aan dat doel. De openbaarheid zou een afschrikkende werking hebben op personen die geld willen witwassen of terrorisme willen financieren.

Massale privacyschending

De vraag is of het middel het doel niet voorbijschiet. Het voor iedereen toegankelijk maken van de persoonsgegevens van alle UBO’s aan eenieder is een ‘blanket measure’ van preventieve aard. 99,9% van de UBO’s heeft niets met witwassen of financiering van terrorisme te maken. Het is een schending van de privacy die in de optiek van Privacy First niet proportioneel is. In het privacyrecht is een belangrijk principe dat gegevens die voor het ene doel zijn verzameld niet voor een ander doel mogen worden gebruikt. Het zou voldoende moeten zijn als de informatie over UBO’s beschikbaar is voor die overheidsdiensten die zich bezighouden met de bestrijding van witwassen en de bestrijding van terrorisme. Het gaat te ver om die informatie volledig openbaar te maken. De European Data Protection Supervisor oordeelde al dat deze privacyschending niet proportioneel is. Maar dat oordeel heeft niet geleid tot aanpassing van de Europese richtlijn.

Tijdens de Nederlandse parlementaire behandeling van deze wet kwam er uit verschillende hoeken fundamentele kritiek. Het bedrijfsleven roerde zich omdat men lastenverzwaring vreest en privacyrisico’s ziet. Familiebedrijven waarvan de UBO’s tot nu toe buiten de openbaarheid bleven hebben veel privacy te verliezen. Ook was er veel aandacht voor de positie van partijen die groot belang hechten aan bescherming van betrokkenen, zoals kerkgenootschappen en maatschappelijke organisaties. Helaas heeft dit niet tot aanpassing van de regelgeving geleid.

Rechtszaak

Privacy First zal een rechtszaak starten tegen het UBO-register wegens schending van het Europees privacyrecht. De Nederlandse wet en ook de bovenliggende Europese richtlijn zijn in strijd met het Europese Handvest voor de Grondrechten en met de AVG. Het is aan de rechter om daar een grondige toetsing op te doen. Privacy First heeft eerder met succes de geldigheid van wetgeving aan de orde gesteld, bijvoorbeeld in de procedure over de Wet Bewaarplicht Telecommunicatie.

Privacy First voert haar strategische procedures over privacy veelal met een coalitie van belanghebbenden. Privacy First inventariseert momenteel welke partijen hieraan een bijdrage kunnen leveren. Zou u (of uw organisatie) graag als mede-eiser aan deze rechtszaak willen deelnemen? Neem dan contact met ons op, of met onze advocaat Otto Volgenant van Boekx Advocaten. Als u Privacy First hierin financieel wilt steunen kunt u tevens donateur worden.

Gepubliceerd in Rechtszaken

Geachte Kamerleden,

Het kabinet heeft een voorstel voor een noodwet ingediend die regeren per decreet voor langere tijd, op basis van niet-gespecificeerde criteria, informatie en data, mogelijk maakt. Indien u voor deze wet stemt, zet u zichzelf volkomen buitenspel, heft u feitelijk uw eigen bevoegdheden op en geeft u het kabinet en de bevoegde minister vrijwel absolute macht en een carte blanche.

Reeds eerder heb ik aangegeven wat de implicaties van het eerste concept-ontwerp van deze noodwet zijn voor onze samenleving en dat deze gebaseerd is op verkeerde uitgangspunten, een ministerieel decreet, gebrek aan noodzaak en proportionaliteit. Het kabinet heeft vervolgens aangegeven te hebben “geluisterd” naar de kritiek van de Raad van State, maar juist de essentiële onacceptabele zaken overeind gelaten:

- De criteria aangaande de uitgangspunten, de invoering en maatregelen zijn niet vastgelegd en kunnen niet democratisch worden getoetst door het parlement. Een criterium als "dreiging" is al genoeg om draconische ongrondwettelijke maatregelen te implementeren en de wet te activeren.

- De bepalingen aangaande de ministeriële bevoegdheden bieden ruimte voor totale willekeur en ongrondwettelijk optreden. Het parlement mag meekijken maar niet meebeslissen, wat ze er ook van vindt.

- De absurde boetes die direct aan personen en indirect aan bedrijven kunnen worden opgelegd inclusief strafblad en onthouding van een verklaring omtrent gedrag (denk aan hypotheek, opstarten bedrijf etc) blijven van kracht. De minister kan de boetes middels een last onder dwangsom verder opvoeren.

- De looptijd van 6 maanden die per koninklijk besluit telkens met 3 maanden verlengd kan worden. Daarnaast kunnen individuele maatregelen langer doorlopen. Het kabinet kan zonder toetsing of duidelijke criteria de noodwet op elk moment van kracht laten zijn.

Professor Wim Voermans heeft deze zaken uitstekend verwoord in zijn weblog. Privacy First adviseert daarom dit huidige wetsvoorstel niet aan te nemen.

Indien alsnog een dergelijke wet noodzakelijk wordt geacht, zou het moeten gaan om een proces/kaderwet vanuit de volgende condities:

Algemeen

1) Het uitgangspunt moet een brede noodwet voor algemene noodsituaties zijn. Vanuit volledige transparantie in uitgangspunten, doelstellingen en meetmethoden.

Democratische toetsing 

2) De Tweede Kamer moet een normaal bekrachtigings- en amendementsrecht hebben met een ruime meerderheid van stemmen en dit geldt ook voor instemming van de gemeenteraden voor plaatselijke regelingen. Het ministerieel decreet moet uit deze wet.

3) Alle mogelijke maatregelen in de vorm van ministeriële regelingen die een inbreuk (kunnen) vormen op grondrechten moeten voorgelegd worden aan de Eerste en Tweede Kamer en met een ruime meerderheid van tweederde in stemming worden gebracht. Denk hierbij onder andere aan:
a. Structurele invoering van abnormale sociale normen
b. Een nieuwe (plaatselijke) lockdown
c. De inperking van het demonstratierecht (denk aan framing als “evenement”) 
d. Uitstel van verkiezingen
e. Uitbreiding van bestrijdingsmaatregelen en quarantaine
f. Maatregelen inzake verplichte opname, medicatie en vaccinatie
g. Maatregelen achter de voordeur
h. De beperking van personenvervoer en reis- en verblijfsmogelijkheden van burgers
i. De inzet en gebruik van biometrische gezondheidsapps of middelen als toegang tot de samenleving
j. Het verplicht tracken en tracen van burgers
k. Het bezoekrecht in verpleeg- en verzorgingstehuizen
l. Etc.

4) Toetsing door beide Kamers dient te geschieden op basis van een legitieme doelstelling, strikte noodzaak, proportionaliteit en subsidiariteit en onderbouwd door transparante en heldere criteria. Daarnaast moeten andere vakgebieden meegenomen worden inzake de economische en sociale effecten van maatregelen.

5) De gemeenteraden moeten op lokaal niveau regelingen kunnen toetsen en plaatselijk implementeren.

6) Boetes herijken, gevangenisstraffen en strafblad eruit en/of opnieuw bepalen waar mogelijk.

Crisis Management Teams 

7) De rol van wetenschappelijke adviescolleges zoals in deze wet het RIVM / WHO moet sterk worden teruggebracht en onderdeel zijn van een veel breder platform van vertegenwoordigers in de samenleving. Tevens moeten alle leden van het in te stellen crisisteam en onderliggende teams gescreend worden op (dwars)verbanden met het (medisch) industrieel complex of andere (in)directe zakelijke belangen.

Transparantie

8) Het gebruik van een technocratisch dashboard en digitale ondersteuningsmiddelen en het werken met data en cijfers dient volledig transparant te zijn voor elke burger inclusief de onderliggende uitgangspunten en databronnen. Deze dienen op een speciale website voor alle burgers en het parlement real-time beschikbaar te zijn, met eenduidige rapportages inzake het totale beeld van het aantal besmettingen, immuniteit, opnames, mortaliteit en multiple causes in relatie tot een eenduidige doelstelling.

Anti-censuur bepaling 

9) Alle mogelijke behandelmethoden, medicatie en vaccinatie-onderzoeken en resultaten dienen te worden bijgehouden en gepubliceerd op een speciale website, voorzien van peer reviews en studies die volledig onafhankelijk zijn. Inbreng van andere specialismen binnen de samenleving moet kunnen worden toegevoegd. De één waarheid narrative van de WHO en andere beïnvloeders van beleid moet zoveel mogelijk worden voorkomen.

Verhoging directe controleerbaarheid en transparantie overheid

10) In het kader van de transparantie dienen WOB-verzoeken versneld te worden afgewikkeld. Hiervoor moet extra capaciteit worden gereserveerd.

Europese aanbestedingen & afrekenbaarheid beleid 

11) De minister / kabinet heeft de verplichting vooruitlopend op een mogelijke nieuwe crisissituatie de capaciteit in de gezondheidszorg op peil te hebben en een duidelijke begroting met daarin alle te maken kosten, ook voor inkoop van medicatie en behandelmethoden of vaccins transparant te vermelden en waar nodig te verantwoorden door goedkeuring van de Eerste en Tweede Kamer. Uitgangspunt voor alle maatregelen is immers altijd de capaciteit in de gezondheidszorg geweest!

Looptijd wet en onderliggende maatregelen

12) De looptijd van een noodwet mag nooit langer zijn dan maximaal 3 maanden (minder mag ook) na goedkeuring van het parlement en verlenging moet worden aangevraagd bij de Eerste en Tweede Kamer met een ruime meerderheid van minimaal tweederde stemmen. 

13) De looptijd van een door de Kamers goedgekeurde ministeriële regeling mag nooit langer zijn dan maximaal 6 weken. Daarna moet verlenging aangevraagd worden bij de Eerste en Tweede Kamer met een ruime meerderheid van minimaal tweederde stemmen.

Kortom: van machtigingswet naar bekrachtigingswet. Nu het kabinet de maatregelen niet meer kan uitleggen aan de burger komt het kabinet met een agenda van angst, dwang en controle. Aangevuld met onvolledige informatie en rapportages. Terwijl juist liefde voor de medemens en het vertrouwen en vrijheid van de zelfstandig denkende burger de capaciteit in de gezondheidszorg heeft gered.

De door het kabinet voorgestelde muilkorfwet voor parlement en burger is ongekend en ongrondwettelijk. Wij doen hierbij dan ook een klemmend beroep op uw eigen verantwoordelijkheid als Kamerlid, ook voor uw kinderen en toekomstige generaties, om de vrijheid hoog te houden en tegen deze wet te stemmen, ook als dat tegen de lijn van uw eigen fractie ingaat.

Privacy First is graag bereid om hierover met het parlement en het kabinet in overleg te treden.

Bas Filippini,
voorzitter Privacy First

Zie voor een verkorte versie van deze brief als videoboodschap https://www.youtube.com/watch?v=XddPI5rVqD8

Gepubliceerd in Wetgeving

Met grote zorg heeft Stichting Privacy First kennisgenomen van de nieuwe Corona-noodwet zoals die gisteren door het kabinet is ingediend bij de Tweede Kamer. Privacy First acht deze wet volstrekt overbodig, ondemocratisch, maatschappelijk ontwrichtend en juridisch onrechtmatig. Hieronder zal Privacy First dit kort toelichten.

Geen nood, dus geen grond voor noodwetgeving

Bij de indiening van noodwetgeving dient allereerst sprake te zijn van een noodsituatie. Het Corona-virus lijkt inmiddels echter grotendeels uit de Nederlandse samenleving verdwenen. Er is in Nederland allang geen sprake meer van een (dreigende) noodsituatie qua zorgcapaciteit. Dus bestaat er geen enkele aanleiding voor het indienen (laat staan parlementair behandelen en goedkeuren) van de Corona-noodwet zoals die vandaag door het kabinet bij het parlement is ingediend. Naar verwachting zal deze situatie ook niet veranderen. Privacy First adviseert de Tweede Kamer daarom om deze noodwet te verwerpen.

In plaats van invoering nieuwe noodwet dienen huidige noodverordeningen te worden ingetrokken

De huidige noodverordeningen zijn reeds te lang van kracht, zijn ondemocratisch en ongrondwettelijk. Zowel de gemeenteraden als het parlement staan hierbij buitenspel. Onlangs betoogde Privacy First daarom in de Telegraaf dat alle noodverordeningen per direct dienen te worden ingetrokken. Vervolgens dient het huidige stelsel van noodverordeningen te worden geanalyseerd en gedemocratiseerd. Een eventuele nieuwe lockdown zou wettelijk alleen mogelijk moeten zijn als tenminste 75% van beide Kamers ermee instemt.

Corona-crisis vergt een gerichte aanpak op lokaal i.p.v. nationaal niveau

Het Corona-virus laat zich niet bestrijden met een “one size fits all” maatregel zoals de voorgestelde noodwet. Zoals ook in Duitsland steeds vaker wordt betoogd vergt dit geen eenzijdige nationale wetgeving, maar specifieke, tijdelijke ingrepen op lokaal niveau, mits strikt noodzakelijk en proportioneel, met lokale democratische goedkeuring vooraf en de mogelijkheid van toetsing door de rechter.

Noodwet is in strijd met de Grondwet en mensenrechten

De eerste concept-versie van de noodwet was een juridisch gedrocht dat de toets aan de Grondwet en de mensenrechten (waaronder het recht op privacy, het huisrecht en de vrijheid van beweging) op geen enkele wijze kon doorstaan. Dit heeft in de maatschappij terecht tot grote onrust, weerstand en rechtszaken geleid. Desondanks maakt het kabinet nu geen pas op de plaats, maar drukt haar totalitaire noodwet-agenda onverminderd door. Privacy First verwacht dat dit de bestaande maatschappelijke onrust verder zal aanwakkeren en zich als een veenbrand door onze samenleving zal blijven verspreiden. Door de nieuwe noodwet dreigen immers nog steeds de volgende draconische maatregelen:

- Juridisch verplichte “veilige afstand” tussen vrijwel iedereen die niet op hetzelfde adres woont. Volstrekt onnodig dreigt hierdoor de “anderhalvemetersamenleving” juridisch verankerd te worden. Dit kan onze samenleving duurzaam ontwrichten. Dit terwijl de ervaring inmiddels leert dat een vrijwillig beroep op de sociale verantwoordelijkheid van mensen ruim voldoende is.

- Regeren per decreet door de minister(s). In de voorgestelde noodwet wordt dit de standaard praktijk en wordt het parlement grotendeels vleugellam gemaakt (zie o.a. art. 58c en bijbehorende toelichting). Dit geldt zelfs voor kwesties die buiten de noodwet vallen. In art. 58s wordt dit eufemistisch een “vangnet” genoemd: “Indien zich een omstandigheid voordoet waarvoor de (...) geldende maatregelen niet toereikend zijn, kunnen bij ministeriële regeling andere maatregelen worden genomen die de kans op verspreiding van het [Coronavirus] redelijkerwijze beperken.” Dit vormt simpelweg een recept voor toekomstig machtsmisbruik op een breed scala aan onderwerpen. 

- Verbod op groepsvorming, evenementen, verplichte hygiënemaatregelen en beschermingsmiddelen, beroepsverboden, verbod op personenvervoer, onderwijs, kinderopvang etc.

- Alles op straffe van hoge boetes en een strafblad.

- De beruchte Corona-app staat weliswaar niet meer in de nieuwe noodwet, maar zal in een apart wetsvoorstel alsnog juridisch verankerd worden. Daarmee blijft de dreiging van massale invoering van deze surveillance app onverminderd hoog.

Privacy First zal alle noodzakelijke maatregelen tegen deze noodwet treffen

Privacy First zal allereerst langs politieke weg de ingediende noodwet verder onschadelijk trachten te maken. In coalitie met andere relevante organisaties zal Privacy First tevens de mogelijkheden verkennen om eventuele inwerkingtreding van deze noodwet juridisch te verhinderen of de noodwet buiten werking te laten stellen.

Gepubliceerd in Wetgeving

Deze week vond in de Eerste Kamer een zeer kritische deskundigenbijeenkomst plaats over een relatief complex maar belangrijk onderwerp: de nieuwe Wet digitale overheid. Door deze wet zal o.a. het verouderde DigiD vervangen worden door nieuwe digitale eID-middelen voor burgers om bij de overheid te kunnen inloggen en zaken te kunnen regelen. Aan de huidige opzet van de nieuwe wet en de bijbehorende infrastructuur kleven echter een aantal privacyrisico's. De Eerste Kamer had daarom Privacy First voor deze gelegenheid uitgenodigd om een position paper in te dienen en spreker te zijn. Klik HIER voor het volledige programma, alle sprekers en position papers. Hieronder volgt de volledige tekst van onze inbreng en het videoverslag van de gehele bijeenkomst:

Position paper:

Geachte Kamerleden,

Dank voor uw uitnodiging om deel te nemen aan de deskundigenbijeenkomst over de Wet digitale overheid (Wdo). Stichting Privacy First heeft een aantal kritische kanttekeningen bij deze wet. Hieronder zullen wij dit kort uiteenzetten.

Allereerst wil Privacy First in dit verband graag benadrukken dat burgers te allen tijde het recht hebben, en zullen moeten blijven hebben, om langs niet-digitale weg met de overheid te communiceren of zaken te doen, hetzij telefonisch, op papier of in persoon. Voor grote groepen in de samenleving is en blijft dit cruciaal voor hun maatschappelijke participatie. Bovendien biedt de ‘klassieke’ analoge ruimte vaak betere privacybescherming dan het digitale domein.

Dit brengt ons op ons voornaamste punt van zorg inzake de Wet digitale overheid, namelijk eID. Bij een gecentraliseerde infrastructuur kunnen eID-bedrijven die de certificaten (sleutels) verstrekken precies zien waar mensen inloggen. Daarnaast zijn er certificaten (digitale handtekeningen) voor het ondertekenen van documenten en bestaat het risico dat bedrijven exact kunnen weten welke documenten mensen ondertekenen. Dit leidt tot talloze privacyrisico’s, zeker waar het privacygevoelige transacties (en dus gevoelige persoonsgegevens) betreft. Wat is het verdienmodel van deze bedrijven? En wat kunnen zij doen met al deze gegevens, ook via platforms zoals Facebook en Google?

Dit pleit voor een decentrale i.p.v. centrale architectuur met dataminimalisatie en privacy by design. Dat brengt ons op een actueel onderwerp dat bij deze wet van belang is, namelijk de invoering van een op attributen gebaseerd stelsel naast het eID-stelsel. Biedt de huidige Wdo meer controle over het afschermen van persoonsidentificatiegegevens en beschermt het de privacy van de burger? Ons antwoord is nee. In 2017 was men daar dichterbij dan nu. De Wdo kent een lange aanloop en is van een uitwerking van een infrastructuur voor digitale overheidsdienstverlening versmald tot een “Wet op de inlogmiddelen”. In 2017 was het streven nog deels om te komen tot een raamwet voor een op attributen gebaseerd stelsel. In de eerdere versie van de wet werd daarom nog duidelijk onderscheid gemaakt tussen identificatie/authenticatiediensten enerzijds en attributendiensten anderzijds. De definitie was eens: “De attributendienst is een partij die ten behoeve van elektronische dienstverlening een verklaring afgeeft over bepaalde kenmerken of gegevens van een natuurlijke persoon (bijvoorbeeld leeftijd of beroep) of een rechtspersoon (bijvoorbeeld erkend bedrijf).”

Tevens zou deze dienst zowel door een overheidsorganisatie als door een private partij geleverd kunnen worden en moest er iets worden geregeld voor erkenning. Men stelde in de Memorie van Toelichting: “Aan attributendiensten worden in op basis van dit wetsvoorstel vast te stellen uitvoeringsregelgeving technische en organisatorische eisen gesteld en er wordt voorzien in een erkenningsstelsel, op gelijke wijze als bij authenticatiediensten. Op dit moment zijn er nog geen publieke en private attributendiensten operationeel, maar met uitbreiding van de digitale dienstverlening zal ook de behoefte aan elektronische ondersteuning van deze functie toenemen. Deze attributendiensten kunnen publiek of privaat zijn. Te denken valt bijvoorbeeld aan een generieke attributendienst die leeftijdsverificatie mogelijk maakt op basis van de basisregistratie personen. Tot nu toe verrichten publieke dienstverleners waar nodig zelf de leeftijdscontrole aan de hand van de eigen klantadministratie (die in de regel is afgeleid van de BRP). Het wetsvoorstel bevat een basis voor het stellen van technische en organisatorische eisen aan publieke en private attributendiensten. Of in de toekomst behoefte bestaat aan een publieke attributendiensten is nog onderwerp van onderzoek.”

De realisatie van die toekomst en behoefte lijkt nu te zijn geblokkeerd. Terwijl die behoefte er inmiddels vooral bij gemeenten wel is. Ook zij waren in 2017 nog overtuigd dat je iemand niet hoefde te identificeren om deel te nemen aan, bijvoorbeeld, een online peiling. De huidige Wdo ondersteunt dat echter niet. De definitie van attributendienst is immers geschrapt uit de Wet en op grond van art. 12 Wdo is de ministeriële aanwijsbevoegdheid beperkt tot het aanwijzen van een attribuut dat naar het oordeel van de Minister van belang is voor de identificatie van ondernemingen of rechtspersonen.

Het idee dat kenmerken/attributen een belangrijke rol spelen in het terugdringen van de online-identificatiedrift van publieke organisaties is in zijn geheel verloren gegaan. Qua privacy en dataminimalisatie is dit een grote misser. Dikwijls volstaat immers dat ik aantoon wat ik ben (inwoner van Amsterdam) in plaats van wie ik ben op basis van mijn BSN. In de huidige afgeslankte Wdo ontbreekt hiervoor het wettelijke kader. Alles is gericht op authenticatie en het verstrekken van persoonsidentificatiegegevens. Dit terwijl de wet eerder wel ruimte bood om met attributen toegang te krijgen tot digitale dienstverlening. Een actueel voorbeeld hiervan is overigens IRMA, dat begin 2018 de allereerste Nederlandse Privacy Award won.

Deze wet is dus een gemiste kans om als aanvulling op de eIDAS-verordening te dienen en een op attributen gebaseerd privacy-centrisch eID-stelsel in Nederland neer te zetten. Integendeel: met deze wet worden met een waaier aan regelingen juist hoge drempels opgeworpen voor private partijen (waaronder stichtingen) om goede, privacyvriendelijke middelen en voorzieningen te laten erkennen en aan te bieden aan burgers.

Privacy First betreurt dit en hoopt dat uw Kamer hier alsnog positieve veranderingen in zal kunnen bewerkstelligen.

Hoogachtend,

Stichting Privacy First

Mondelinge toelichting:

Geachte Kamerleden,

Nogmaals dank voor uw uitnodiging om aan deze bijeenkomst deel te nemen. Onze voornaamste punten van kritiek op de huidige Wet digitale overheid hebben wij reeds uiteengezet in onze position paper. Kort gezegd gaat het daarbij voornamelijk om de kwetsbaarheden en privacyrisico’s van het nieuwe eID-stelsel, waaronder de volgende aspecten:

- De centrale i.p.v. decentrale opzet van de infrastructuur. Over het algemeen is een centrale opzet riskanter en onveiliger dan een decentrale architectuur. Een decentrale opzet is ook meer in lijn met moderne privacyvereisten zoals dataminimalisatie en privacy by design. Bovendien leent dit zich minder goed voor grootschalige hacks of heimelijke toegang, massale datalekken en function creep, oftewel sluipende doelverschuiving. Niet voor niets is er de laatste jaren in diverse gevoelige domeinen een ontwikkeling van centrale naar decentrale infrastructuren zichtbaar, bijvoorbeeld op het terrein van biometrie en in de medische wereld. Ook bij een uitermate gevoelig persoonsgegeven als het BSN en allerlei gevoelige transacties tussen burgers, bedrijven en overheden zou dus bij uitstek voor een decentrale opzet gekozen moeten worden. Dat zou ook meer passen bij het idee van informationele zelfbeschikking en de slogan ‘Regie op gegevens’ van het ministerie van Binnenlandse Zaken zelf.

- In dit verband is het een gemiste kans dat het wettelijk kader tot op heden onvoldoende gebaseerd is op een stelsel dat werkt aan de hand van minimale attributen (d.w.z. relevante kenmerken) van personen i.p.v volledige identificatie waarbij veel meer persoonsgegevens worden verwerkt dan strikt noodzakelijk is. Een actueel voorbeeld van een dergelijk privacyvriendelijk alternatief is IRMA (I Reveal My Attributes) dat op 28 januari 2018, de Europese Dag van de Privacy, de allereerste Nederlandse Privacy Award won. Vanuit gemeenten, en wellicht ook andere overheden, lijkt daar ook steeds meer behoefte aan. Waarom wordt dit tot op heden niet wettelijk gefaciliteerd?

- Een ander aspect dat wij in onze position paper abusievelijk onvermeld hadden gelaten, is dat eID-middelen open source dienen te zijn. Dat is immers de meest effectieve manier om onbetrouwbare partijen buiten de deur te houden en de veiligheid en privacy te waarborgen. Open source zou daarom als harde eis toegevoegd moeten worden voor de toelating van eID-middelen.

- Tevens zouden wij hier graag nogmaals willen benadrukken dat het eID-stelsel zoals nu in de Wet digitale overheid beoogd is, per definitie enorme risico’s voor de privacy van burgers teweeg zal brengen, gezien de commerciële aard van nieuwe eID-aanbieders, waaronder techbedrijven met dubieuze businessmodellen en schimmige profileringspraktijken. Deze risico’s lijken in dit wetstraject nog niet te zijn geadresseerd. Dit dient alsnog op democratische en toekomstbestendige wijze te gebeuren op het niveau van de parlementaire wet zelf en niet in lagere, bestuurlijke regelgeving.

Dank voor uw aandacht.

(...)

Tijdens de bijeenkomst werden door de Kamerleden talloze kritische vragen gesteld, zie onderstaand videoverslag. Mede naar aanleiding van deze bijeenkomst is de Eerste Kamer voornemens om de verdere behandeling van de Wet digitale overheid tot na de zomer uit te stellen.

Gepubliceerd in Wetgeving

Aankomende dinsdag 16 juni 2020 staat op de agenda van de Eerste Kamer het aannemen van de ‘Implementatiewet registratie uiteindelijk belanghebbenden van vennootschappen en andere juridische entiteiten’: https://www.eerstekamer.nl/wetsvoorstel/35179_implementatiewet_registratie . Die wet wijzigt onder andere de Handelsregisterwet 2007. In het Handelsregister van de KvK komt dan informatie over de uiteindelijk belanghebbende (‘ultimate beneficial owners’ / ‘UBO’s) van in Nederland opgerichte vennootschappen en andere juridische entiteiten. Deze informatie wordt dan dus openbaar voor iedereen raadpleegbaar, met alle privacy-risico’s van dien.

Europese richtlijn

Deze wetswijziging vloeit voort uit de Europese vijfde anti-witwasrichtlijn, die lidstaten verplicht persoonsgegevens van UBO’s te registreren en voor het publiek openbaar te maken. Het doel hiervan is het tegengaan van witwassen en terrorismefinanciering. Het voor iedereen inzichtelijk maken van persoonsgegevens van UBO’s, inclusief het belang dat de UBO in de onderneming heeft, draagt volgens de Europese wetgever bij aan dat doel.

Massale privacyschending

Hierbij rijst de vraag of het middel het doel niet voorbijschiet. Het openbaar maken van de persoonsgegevens van UBO’s aan eenieder is een ‘blanket measure’ van preventieve aard. Het is een schending van de privacy die in de optiek van Privacy First niet proportioneel is. Het allergrootste deel van de UBO’s heeft immers niets te maken met witwassen of financiering van terrorisme. Het zou voldoende moeten zijn als de informatie over UBO’s beschikbaar is voor de overheidsdiensten die zich bezig houden met de bestrijding van witwassen en de bestrijding van de financiering van terrorisme. Het gaat te ver om die informatie volledig openbaar te maken.

De European Data Protection Supervisor oordeelde al dat deze privacyschending niet proportioneel is: https://edps.europa.eu/sites/edp/files/publication/17-02-02_opinion_aml_en.pdf . Maar dat oordeel heeft niet geleid tot aanpassing van de Richtlijn.

Juridische stappen

Privacy First overweegt om juridische stappen tegen het UBO-register te nemen wegens schending van het Europees privacyrecht. Zou u (of uw organisatie) graag als mede-eiser aan een dergelijke rechtszaak tegen het UBO-register willen deelnemen of Privacy First hierin financieel willen steunen? Neem dan contact met ons op of wordt donateur!

Gepubliceerd in Wetgeving

Hoe digitaliseren we de uitwisseling van medische gegevens? Die vraag speelt nu ongeveer vijftien jaar. Voor het eerst heeft de Minister een pragmatische, doordachte en integrale analyse gemaakt van wat er werkelijk nodig is om dit te bereiken. Op hoofdlijnen acht Privacy First dit wetsvoorstel het beste dat we ooit op dit dossier hebben gezien. In de uitwerking zien we nog wel risico’s.

Het succes zal afhangen van het doorzettingsvermogen van het Ministerie van VWS en de mate waarin het in staat is partijen in het zorgveld voorbij hun eigen horizon te laten kijken.

De behandelrelatie staat centraal

Op aangeven van de Patiëntenfederatie besloot Minister Schippers eind 2015 tot ‘regie voor de patiënt’ in het medisch dossier.

Privacy First acht het 'centraal stellen van de patiënt' een fundamentele denkfout. Het doet te weinig recht aan de meerwaarde die een zorgverlener biedt en diens verantwoordelijkheid in het bewaken van de kwaliteit van de zorg. Het is het zorgproces dat centraal dient te staan. Arts en patiënt voeren samen, in onderling vertrouwen, de regie.

Tot onze opluchting slaat de Minister met dit wetsvoorstel een andere weg in (zie concept-memorie van toelichting §2.3.4, p.11). De behandelrelatie wordt de voornaamste grondslag voor de uitwisseling van gegevens, in lijn met het zorgproces en de WGBO. Dit biedt enorme kansen voor een efficiënte en effectieve uitwisseling van gegevens, met de best denkbare privacybescherming.

Patiënten worden verlost van het bijhouden van toestemmingen en het belang van het kopiëren van gegevens naar een PGO neemt af.

Decentrale uitwisseling van gegevens

Het verzet van Privacy First heeft zich de afgelopen jaren vooral gericht tegen de gecentraliseerde wijze waarop de toegang tot medische gegevens is geregeld.

De concept-memorie van toelichting stelt (3.3.2, p.11):

"de norm mag er niet toe leiden dat het uitwisselen van gegevens enkel kan via een elektronisch uitwisselingssysteem als bedoeld in de Wabvpz (art 15a, red.)."

Met deze wet krijgen patiënten straks de keuze voor een decentraal alternatief dat de uitwisseling van medische gegevens eenvoudiger, efficiënter, doelmatiger, veiliger en privacyvriendelijk maakt. Privacy First acht het cruciaal dat de Minister recente initiatieven van marktpartijen (zoals NUTS en Whitebox) gaat ondersteunen, zodat een open en vrij te gebruiken standaard ontstaat.

Trage normering en certificering via NEN

Het ontwikkelen van een NEN-norm is een zwaar geprotocolleerd proces met doorgaans een doorlooptijd van enkele jaren. De NEN-normeringsprocedures kenmerken zich ook niet door grote openheid; hoe bijvoorbeeld werkt het proces van benoemingen van de diverse commissies die in het wetsvoorstel genoemd worden?

Bovendien kunnen de NEN-normeringsprocessen onderdeel van lobby’s worden. Grote geïnstitutionaliseerde IT-leveranciers hebben meer invloed op dit proces en zullen hun dominante marktpositie willen behouden. De vraag is of elke belanghebbende organisatie (zoals burgerrechtenorganisaties, universiteiten en kleinere IT-bedrijven) afdoende bij kan dragen aan de normeringsprocessen.

Het Ministerie zal erop moeten toezien dat de normering een open en transparant proces is, waarin over de volledige breedte van het speelveld stakeholders betrokken worden bij de ontwikkeling van technische standaarden.

Daarnaast wordt software 'agile' ontwikkeld. Korte tijden tussen verschillende releases stellen ontwikkelaars in staat zich aan te passen aan nieuwe technologische ontwikkelingen. Complexe, of te gedetailleerde certificeringseisen kunnen hierdoor innovatie belemmeren. Hierover zou de memorie van toelichting meer duidelijkheid moeten bieden.

De ‘spoedsituatie’ ontbreekt in de wet

Zorgverlening vindt doorgaans plaats op basis van een doorverwijzing: er is een behandelrelatie conform de WGBO. De enige uitzondering op die regel is de 'spoedsituatie'. Belandt een patiënt op de Spoedeisende Hulp (SEH), dan is er nog geen behandelrelatie en derhalve geen grondslag voor toegang tot medische gegevens.

De Minister heeft deze situatie buiten het wetsvoorstel gehouden. In zijn brief van 20 december 2019 wordt duidelijk dat hij geen alternatief heeft voor het gebruik van een gecentraliseerd systeem (zoals het Landelijk Schakelpunt, LSP), met alle risico’s van dien. Een vergelijkbare aanpak zien we nu met de COVID-19 opt-out (door het Ministerie eufemistisch “opt-in” genoemd), waardoor iedere patiënt alsnog standaard in het LSP is opgenomen.

Privacy First vindt deze situatie bijzonder zorgelijk, vooral omdat dit voor patiënten betekent dat zij alsnog (indirect) gedwongen worden deel te nemen aan een ‘uitwisselingssysteem’, zoals bedoeld in Art 15a Wabvpz.

Een alternatieve oplossing met gebruik van een uitgeprinte toegangscode is eenvoudiger, veiliger, goedkoper, privacyvriendelijk en te combineren met zowel een decentrale als een gecentraliseerde architectuur. Alleen de patiënt en het systeem van de arts kennen de code en bij verlies kan eenvoudig een nieuwe worden aangemaakt. Wie toegang heeft tot het spoeddossier en wat daarin staat, kan worden ingesteld in het systeem van de arts.

Minimaal dient dit gat in de wet te worden gedicht, door de ‘spoedsituatie’ expliciet op te nemen in de memorie van Toelichting (§3.3.2, p.11).

De volledige inbreng van Privacy First bij het concept-wetsvoorstel staat op de website internetconsultatie.nl.

Gepubliceerd in Medische privacy

Column

In een eerdere column heb ik aangegeven dat deze draconische noodwet de grondwettelijke rechten van burgers ondermijnt en middels een dashboard, aangestuurd door technocraten in plaats van democraten, omgezet wordt in permanente noodwetgeving.

Nederland na 1 juli conform het kabinet:

Jan heeft een verjaardagspartijtje en nodigt zijn ouders, vrienden en bekenden uit. In de supermarkt maakt hij een praatje met een bekende, die zijn app wil checken alvorens het gesprek aan te gaan. Jan voelt zich sociaal onder druk gezet om ook een app te installeren. Buitengekomen krijgt hij van een BOA twee bekeuringen: één voor het schenden van de 1,5 meter en de andere voor het geven van een hand aan een andere bekende die hij tegenkwam. Tevens wordt hem gewezen op zijn leeftijd: hij valt in een risico-categorie.

Hij moet in quarantaine want er verschijnt een rood signaal op zijn net geïnstalleerde app. Hij mag niet meer reizen op straffe van een boete. Hij gaat toch nog even naar het verzorgingstehuis waar zijn ouders zitten maar daar wordt hem de toegang geweigerd. 's Avonds op de borrel thuis wordt aangebeld door twee BOA’s, die uitgerust met wapenstok en pepperspray zijn woning ingaan om te controleren of iedereen zich aan de regels houdt. Aangezien dat niet het geval is krijgen alle aanwezigen een bekeuring en Jan als organisator op de besloten plaats (zijn eigen huis) een zwaardere boete of 2 maanden celstraf. Allen hebben nu een strafblad. Iedereen die geen bewoner is moet vertrekken. Ook zijn nieuwe vriendin, die immers niet in het huis woont en zijn kinderen die bij zijn ex staan ingeschreven.

Heerlijk! Allemaal bij wet geregeld. Wat een geruststelling. Staatsterrorisme.

De eerste opzet van de nieuwe noodwet is schokkend. Enerzijds vanwege het amateurisme in de wetgevingsteksten (afgelopen 10 jaar heb ik niet eerder dergelijk broddelwerk gezien) en anderzijds vanwege de uitgangspunten en inhoud. Het start al met de uitgangspunten, welke veelal gebaseerd zijn op de waan van de dag en niet in het licht staan van onze democratische staatsinrichting:

  • Het classificeren van de huidige epidemie als klasse A epidemie. Wellicht gold dat een aantal maanden geleden. Inmiddels is dit op basis van de huidige ervaringscijfers en ontwikkelingen totaal geen proportionele stelling. Gezien het feit dat de besluitvorming in de Taskforce geheim is en er geen Wob-verzoeken worden ingewilligd is er sprake van willekeur in de aanpak en classificatie.
  • De Orwelliaanse framing inzake social distancing als basis voor “sociale (gewenste) gedragsregels”. Notabene social responsibility onder de burgers heeft de uitbraak onder controle gebracht. Deze wet gaat dus nog steeds uit van de Newspeak anderhalve-meter-samenleving die extreme beperking van de bewegingsvrijheid in onze samenleving tot gevolg heeft.
  • De mogelijkheid inzake flexibel meebewegen en aanpassen aan de situatie onder ministerieel decreet, dus buiten de parlementaire checks en balances. Dit biedt aan de repressiekant een carte blanche voor machtsmisbruik en “function creep”, met andere woorden het steeds verder oprekken van de bevoegdheden en repressie.
  • De centrale en benoemde rol van het RIVM in deze wet en indirect de WHO. De WHO, die meerdere foute inschattingen heeft gemaakt en waarvan de legitimiteit steeds meer ontbreekt door de invloed van enkele grote geldschieters uit dictatoriale regimes en de industrie alsmede de uittreding van de VS. Met als gevolg richtlijnen gebaseerd op bijvoorbeeld een frauduleuze en teruggetrokken publicatie in The Lancet inzake mogelijke goedkope medicijnen. De WHO richtlijnen, door enkelen bepaald, worden op deze wijze direct omgezet in onze wetgeving.
  • De claim dat de crisis vooral onder bedwang is vanuit de toepassing en inzet van digitale (ondersteunende) middelen in plaats van de social responsibility van de burger en de capaciteitsvergroting in de zorg.
  • In de memorie van toelichting vele pagina’s over de Corona-app die er blijkbaar MOET komen. Vanuit de politiek geïnspireerde uitgangspunten is dit de start van een social credit app en dito systeem met uiteindelijk biometrische identificatie als toegangspaspoort naar de maatschappij. Vooral voor reizen en verblijven. Tevens is de app de voorkant van een digitale surveillance infrastructuur.
  • Een vervalbepaling van 1 jaar (!) zodat de noodwetgeving structurele wetgeving wordt.

Vervolgens de zaken die deze wet onder dwang wil afdwingen (gevangenisstraf 1 tot 6 maanden en geldboetes en strafblad):

  • Huisvredebreuk opheffen. Het huis en erf als besloten plaats. Iedereen die niet de bewoner is kan opgepakt en weggestuurd worden. Ook omstandigheden in het huis kunnen aanleiding zijn tot optreden.
  • Uitbreiding en vastlegging bijzondere opsporingsbevoegdheid ambtenaren in de wet geregeld.
  • De risico-inschatting welke nu al tot willekeur en discriminatie leidt, te beginnen met leeftijd met later toevoegingen van andere kenmerken van “gevaar”.
  • Groepsbijeenkomsten waarvan ingeschat wordt dat de “sociale norm” niet gehandhaafd kan worden.
  • Mate en tijdsduur van contact tussen burgers, handen schudden verboden.
  • Reisverbod middels personenvervoer, wellicht uit te breiden met gebruik eigen auto?
  • Bezoekverbod zieken en behoeftigen.
  • Eisen aan beschermende middelen en hygiëne, uit te breiden naar (verplichte) quarantaine, behandelingen en vaccinatie.

Deze wet is een belediging naar alle burgers die vanuit social responsibility weken thuis hebben gezeten om het capaciteitsprobleem in de gezondheidszorg op te lossen (weet u het nog, de reden voor dit alles?). Tevens een belediging naar alle professionele beleidsmakers en rechtswetenschappers die onze rechtsstaat dagelijks vertegenwoordigen en vormgeven. Het bewust aanpassen van wetgeving om structureel de vrijheden van burgers te onderdrukken is staatsterreur en niets anders. Dat is deze wet van dit kabinet: staatsterreur. Ondoordacht en onverantwoordelijk naar de toekomst. Deze wet is fout en stuurt van samen-leving naar apart-leving. Een dergelijke noodwet mag er nooit komen. Dit gaat alleen maar over dwang en controle conform het Chinese model en de afbraak van onze rechtsstaat.

Vanuit deze wet wordt de burger onder andere voor de volgende zaken beboet:

1 maand / geldboete categorie 1

  • 1,5 meter verbod
  • Groepsvorming
  • Publieke plaatsen betreden die niet geopend zijn
  • Deelname aan verboden evenementen.

2 maanden / geldboete categorie 2

  • Overtreding organisatoren in publieke plaatsen
  • Overtreding houders van evenementen
  • Hygiëne/beschermingsovertredingen
  • Overtreding op aanvullende beperkende regels die gesteld worden
  • Overtredingen achter de voordeur indien vrees voor besmetting
  • Overtreding van niet-bewoners en uithuiszetting
  • Overtreding woonzorg bezoek
  • Overtreding toegang kinderopvang
  • Overtreding scholensluiting
  • Specifieke bedrijfssluitingen
  • Diverse overtredingen van bedrijven die zich niet aan de regels houden.

3 maanden / geldboete categorie 3

  • Het (onder druk) verplichten van apps die tracen en tracken buiten de GGD om.


Bas Filippini,
voorzitter Privacy First

Gepubliceerd in Columns

Deze week behandelt de Tweede Kamer een "tijdelijke" Corona-noodwet waardoor de bewegingen van iedereen in Nederland voortaan "anoniem" in kaart gebracht kunnen worden. Eerder uitte Privacy First reeds kritiek op dit plan in een uitzending van Nieuwsuur. In vervolg hierop verzond Privacy First vandaag onderstaande brief aan de Tweede Kamer:


Geachte Kamerleden,

Met grote zorg heeft Stichting Privacy First kennisgenomen van het “tijdelijke” wetsvoorstel informatieverstrekking RIVM i.v.m. COVID-19. Privacy First adviseert u om dit wetsvoorstel te verwerpen wegens de volgende fundamentele bezwaren en risico’s:

Strijdig met fundamentele bestuurlijke en privacy principes

- De maatschappelijke noodzaak voor dit wetsvoorstel ontbreekt. Het Corona-virus ebt momenteel immers weg uit de Nederlandse samenleving. Andere vormen van monitoring zijn reeds voldoende effectief gebleken. De noodzaak voor dit wetsvoorstel is niet aangetoond, en net zomin bestaan er voorbeelden uit het buitenland waar toepassing van vergelijkbare technieken een wezenlijke bijdrage leverde.
- Het wetsvoorstel is volstrekt disproportioneel, want het omvat alle telecom-locatiedata in heel Nederland. Van enige differentiatie is geen sprake. Hetzelfde geldt voor dataminimalisatie: een steekproef zou kunnen volstaan.
- Het wetsvoorstel werkt met terugwerkende kracht vanaf 1 januari 2020. Dit is in strijd met de rechtszekerheid en het legaliteitsbeginsel, zeker omdat deze datum ver vóór de Nederlandse ‘start’ van de pandemie ligt (11 maart).
- De in het wetsvoorstel gekozen systematiek van nadere aanwijzingen door de Minister is ronduit ondemocratisch. Het holt de democratische rechtsstaat en toezicht door de volksvertegenwoordiging verder uit.
- In het wetsvoorstel wordt niet gerept over privacy-by-design of hoe dit toegepast zal worden, terwijl dat juist bij dit wetsvoorstel aan de orde zou moeten zijn.

Alternatieven zijn minder invasief: subsidiariteit

- Privacyvriendelijker alternatieven zijn door de staatssecretaris onvoldoende onderzocht. Heeft zij hierin wel interesse?
- Data bij telecomproviders worden gepseudonimiseerd met een uniek ID-nummer en als zodanig aangeleverd bij het CBS. Massale aantallen gevoelige persoonsgegevens worden hierdoor enorm kwetsbaar. Anonimisering door het CBS gebeurt pas in een later stadium.
- De data worden bij gebruik gefilterd op geografische herkomst. Dit creëert een risico van verboden discriminatie naar nationaliteit.
- Onduidelijk is of men de gebruikte data bij CBS of RIVM zal willen “verrijken” met andere data, met function creep (doelverschuiving) en mogelijk data-misbruik tot gevolg.

Transparantie en onafhankelijk toezicht ontbreken

- De Privacy Impact Assessment (PIA) bij het wetsvoorstel is vooralsnog niet openbaar.
- Onafhankelijk toezicht op de maatregelen en effecten (door een rechter of onafhankelijke commissie) ontbreekt.
- De AVG is wellicht slechts deels op het wetsvoorstel van toepassing, aangezien anonieme data en statistieken van de werking van de AVG uitgezonderd zijn. Dit veroorzaakt nieuwe risico’s op data-misbruik, slechte beveiliging, datalekken etc. Algemene privacy-beginselen zouden daarom in elk geval van toepassing verklaard moeten worden.

Structurele wijzigingen en chilling effect

- Dit wetsvoorstel lijkt nu formeel tijdelijk, maar de geschiedenis rond dergelijke wetgeving leert dat het hoogstwaarschijnlijk permanent zal worden.
- Ongeacht de “anonimiteit” van e.e.a. zullen veel mensen zich door dit wetsvoorstel gemonitord gaan wanen en zich onnatuurlijk gaan gedragen. Het risico van een maatschappelijk chilling effect is enorm.

Gebrekkige methode met grote impact

- De effectiviteit van het wetsvoorstel is onbekend. Het wetsvoorstel vormt in wezen dus een massaal experiment. De Nederlandse maatschappij is echter niet bedoeld als levend laboratorium.
- Anonieme data kunnen middels koppeling alsnog herleidbaar blijken. Ook bij de gekozen drempelwaarde van minimaal 15 eenheden per datapunt is het risico van unieke “singling out” en identificatie waarschijnlijk nog steeds te groot.
- Het wetsvoorstel leidt tot valse signalen en blinde vlekken door mensen met meerdere telefoons, kwetsbare groepen zonder telefoon etc.
- Er is een groot risico op function creep (doelverschuiving), heimelijk gebruik en misbruik van data door andere overheidsdiensten (waaronder AIVD), toekomstige overheden, internationale uitwisseling etc.
- Naast het recht op privacy komen ook andere mensenrechten door dit wetsvoorstel onder druk te staan, waaronder de vrijheid van beweging en het recht op demonstratie. Dit wetsvoorstel kan gemakkelijk leiden tot structurele crowd control die niet past in een democratische samenleving.

Specifieke toestemming vooraf

Naast bovenstaande bezwaren en risico’s betwijfelt Privacy First of het gebruik van telecomdata zoals door dit wetsvoorstel beoogd voor telecom-providers überhaupt rechtmatig is. In de optiek van Privacy First zou daartoe tenminste sprake moeten zijn van expliciete, specifieke toestemming vooraf (opt-in) door de klant in kwestie, danwel van de mogelijkheid van een opt-out achteraf en het individuele recht op verwijdering van alle data.

Het is aan u als Kamerleden om onze maatschappij voor dit wetsvoorstel te behoeden. Bij gebreke daarvan behoudt Privacy First zich het recht voor om juridische stappen inzake deze wet te nemen.

Voor nadere informatie of vragen met betrekking tot bovenstaande is Privacy First te allen tijde bereikbaar op telefoonnummer 020-8100279 of per email: Dit e-mailadres wordt beveiligd tegen spambots. JavaScript dient ingeschakeld te zijn om het te bekijken..

Hoogachtend,

Stichting Privacy First

Gepubliceerd in Wetgeving

Consumenten zullen beter geïnformeerd worden over rekeninginformatiediensten. Het Maatschappelijk Overleg Betalingsverkeer publiceerde daartoe recentelijk ‘good practices’ voor betere informatie. Privacy First is blij met de gepubliceerde ‘good practices’ en roept MOB-leden op om hier echt werk van te gaan maken. 

Het Maatschappelijk Overleg Betalingsverkeer (MOB) is in 2002 opgericht door de minister van Financiën met als opdracht bij te dragen aan de maatschappelijk efficiënte inrichting van het betalingsverkeer. DNB zit het MOB voor en verzorgt het secretariaat. Rekeninginformatiediensten zijn diensten waarmee een 'geconsolideerde weergave' van iemands betaalgegevens gemaakt kan worden. Dit kan sinds de inwerkingtreding van PSD2 (Payment Service Directive 2), die mogelijk maakt dat je je betaalgegevens deelt met andere partijen dan je eigen bank. Een voorbeeld hiervan is een digitaal huishoudboekje, maar ook andere vormen zijn mogelijk.

Betere informatie hard nodig

Als je je toestemming aan een aanbieder geeft, krijgt deze toegang tot alle transactiegegevens die je in je eigen bankomgeving ook ziet. Als je bij je eigen bank tot tien jaar terug kunt kijken, dan kan de rekeninginformatiedienst dat dus ook. Je deelt daarmee een compleet profiel aan data.

Het delen van data is niet zonder risico. De winst voor veel rekeninginformatiedienstverleners zit namelijk niet in het digitale huishoudboekje, maar in aanvullende diensten die geleverd kunnen worden. Denk aan analyses naar vaste lasten, risicoanalyses bij het aanvragen van een hypotheek of het beoordelen van kredietwaardigheid.

Omdat het gaat over veel vertrouwelijke gegevens moeten consumenten goed begrijpen waar ze toestemming voor geven. De informatie die consumenten nu krijgen is te veel en te onduidelijk. Wettelijk verplichte informatie is te lang, lastig te lezen en weggestopt in lange privacy-statements.

MOB publiceert good practices rekeninginformatiediensten

De roep om betere informatie klonk al een tijd. Vanaf eind 2017 was Privacy First betrokken bij een initiatief van de Volksbank om consumenten beter te informeren over rekeninginformatiediensten. Dit initiatief werd vervolgens overgenomen door de Betaalvereniging Nederland en vanaf mei 2019 door het MOB.

Het MOB stemde afgelopen mei in met good practices. Dit zijn zeven gestandaardiseerde vragen aan rekeninginformatiedienstverleners om te beantwoorden voordat een consument toestemming geeft. De vragen bevatten de belangrijkste (wettelijke) informatie én ze geven antwoord op de belangrijkste vragen van consumenten. Daarnaast heeft het MOB een uitwerking met toelichting opgesteld. De vragen zijn:

  1. Wie vraagt toegang tot mijn rekeninginformatie? Hoe is de dienst gereguleerd?
  2. Welke dienst biedt <naam van de aanbieder> aan waar mijn data voor nodig is?
  3. Welke gegevens van mijn rekening gaat <naam van de aanbieder> gebruiken?
  4. Waarvoor gebruikt <naam van de aanbieder> de gegevens nog meer?
  5. Welke gegevens gaan naar derden en waarvoor?
  6. Hoe kan ik mijn eerder gegeven toestemming terugdraaien?
  7. Waar is verdere informatie te vinden?

Oppassen dat het niet vrijblijvend blijft

De good practices van het MOB zijn een hele goede stap. Nu komt het aan op het toepassen en benutten van deze good practices. Het gebruik van de good practices is helaas vrijblijvend. “Het MOB kan aanbieders van rekeninginformatiediensten niet verplichten om gehoor te geven aan de good practice. Wel hebben de MOB-leden afgesproken de best practice onder de aandacht te brengen bij hun achterban.” Gezien het krachtenveld van het MOB, waar zowel aanbieders als gebruikers in zitten, is dat te begrijpen. Maar het wordt oppassen dat de good practices niet té vrijblijvend worden. De belangen van aanbieders en consumenten gaan hand in hand.

Eind 2021 zal het MOB inventariseren of aanbieders de good practices hanteren en rapporteert hierover in de mei vergadering van 2022.

Privacy First wil niet wachten

Privacy First roept de leden van het MOB op de good practices in praktijk te brengen. Bescherming van burgers door hen als consumenten betere informatie en keuzes te geven is immers in ieders belang.

Privacy First is positief over het resultaat van het MOB. De zeven vragen en de gestandaardiseerde antwoorden kunnen een hele verbetering zijn ten opzichte van de huidige situatie. Tegelijk vinden we dat de lat hoger gelegd mag worden. Hoe zou het MOB de good practices beter onder de aandacht kunnen brengen?

  • Het MOB kan haar leden en relevante derde partijen oproepen de good practices te gaan gebruiken, in plaats van alleen de mogelijkheid te bieden.
  • De MOB-leden kunnen zich ieder voor zich uitspreken vóór gebruik van de good practices en gebruik ervan als voorwaarde stellen voor samenwerking.
  • Het MOB kan duidelijk maken wie de relevante MOB-partijen zijn die een rol kunnen spelen bij het verspreiden van de good practices.
  • Het MOB kan explicieter zijn over het moment waarop een consument wordt geïnformeerd via de good practices. Privacy hoort thuis "in de klantreis"; deze good practices mogen dus niet weggestopt worden.
  • Het MOB kan in plaats van eenmaal te beoordelen of de good practices worden ingezet, dit vaker, bijvoorbeeld ieder kwartaal doen.
  • Het MOB kan aanbieders in Europa alvast een brief sturen, zodat ze weten hoe Nederlandse consumenten denken mochten ze plannen maken om diensten in Nederland te gaan aanbieden.

Privacy First vindt dat het MOB bij de uitrol en toepassing aan zet is. Maar Privacy First onderzoekt ook of zij zelf een rol kan spelen om aanbieders gebruik te laten maken van de good practices.

Meer informatie:


Dit bericht verscheen eerder op onze PSD2-campagnewebsite: https://psd2meniet.nl/betere-informatie-over-rekeninginformatiediensten/.

Gepubliceerd in Financiële privacy & PSD2
Pagina 1 van 4

Onze Partners

logo Voys Privacyfirst
logo greenhost
logo platfrm
logo AKBA
logo boekx
logo brandeis
 
banner ned 1024px1
logo demomedia
 
 
 
 
 
Pro Bono Connect logo 100
Control Privacy
Procis

Volg ons via Twitter

twitter icon

Volg onze RSS-feed

rss icon

Volg ons op LinkedIn

linked in icon

Volg ons op Facebook

facebook icon