donatieknop english

Opslag vingerafdrukken in strijd met recht op privacy

In navolging van het Hof Den Haag heeft de Raad van State vandaag geoordeeld dat de gemeentelijke ("decentrale") opslag van vingerafdrukken onder de Paspoortwet onrechtmatig is wegens strijd met het recht op privacy. De Raad van State kwam tot dit oordeel in een zevental bestuursrechtelijke zaken van individuele burgers (gesteund door Burgerrechtenvereniging Vrijbit). Begin 2014 kwam het Hof Den Haag reeds tot een vergelijkbaar oordeel in het civielrechtelijke Paspoortproces van Stichting Privacy First en 19 (andere) burgers. Vervolgens werd ons Paspoortproces door de Hoge Raad echter alsnog niet-ontvankelijk verklaard en naar de bestuursrechter verwezen. Privacy First heeft vervolgens het complete civielrechtelijke procesdossier bij de Raad van State ingediend ter versterking van de daar lopende paspoortzaken. Als hoogste bestuursrechter oordeelt de Raad van State nu op soortgelijke wijze als eerder het Hof Den Haag. Ondanks de latere niet-ontvankelijkheid bij de Hoge Raad staat het verbod op de opslag van ieders vingerafdrukken in databanken daarmee opnieuw als een paal boven water.

Gebrekkig oordeel en procesgang

Evenals bij de eerdere uitspraak van het Hof Den Haag betreurt Privacy First het echter dat de Raad van State de opslag niet onrechtmatig heeft willen verklaren op zuiver principiële gronden (namelijk wegens gebrek aan maatschappelijke noodzaak, proportionaliteit en subsidiariteit), maar 'slechts' op basis van technische ondeugdelijkheid. Privacy First zal de betreffende burgers dan ook adviseren om door te procederen richting het Europees Hof voor de Rechten van de Mens (EHRM) in Straatsburg. Op basis van bestaande Straatsburgse jurisprudentie is de kans immers groot dat Nederland vervolgens alsnog principieel zal worden veroordeeld wegens schending van het recht op privacy (art. 8 EVRM). Daarnaast verwacht Privacy First een Straatsburgse veroordeling wegens schending van het recht op toegang tot de rechter en een effectief rechtsmiddel (art. 6 en 13 EVRM). Civielrechtelijk procederen tegen de Paspoortwet bleek immers onmogelijk, en bestuursrechtelijk was dit slechts indirect mogelijk na afwijzing van een individuele aanvraag voor een nieuw paspoort of identiteitskaart (wegens weigering om vingerafdrukken te laten afnemen). Om de huidige "overwinning" bij de Raad van State te kunnen behalen hebben de betreffende burgers daardoor jarenlang zonder paspoort of identiteitskaart door het leven moeten gaan, met alle problemen en risico's van dien.

Uitzondering voor gewetensbezwaarden

De Raad van State heeft vandaag tevens bepaald dat de verplichte afname van twee vingerafdrukken voor een nieuw paspoort voor iedereen gelijkelijk geldt en dat hierop geen uitzonderingen kunnen worden gemaakt voor mensen die wegens gewetensbezwaren geen vingerafdrukken willen afstaan. Privacy First betwijfelt of dit oordeel van de Raad van State stand zal houden in Straatsburg. Naast schending van het recht op privacy lijkt hier immers ook sprake van strijd met de vrijheid van geweten (art. 9 EVRM). Dat de Europese Paspoortverordening een dergelijke uitzondering niet bevat is in dit kader irrelevant, aangezien deze verordening ondergeschikt is aan het EVRM.

RFID-chips en gezichtsscans

Privacy First betreurt het dat de Raad van State niet kritisch heeft willen oordelen over de risico's van de op-afstand-uitleesbare RFID-chips (met gevoelige persoonsgegevens) in paspoorten en identiteitskaarten. Hetzelfde geldt voor de verplichte opslag van gezichtsscans in gemeentelijke databanken. Ook deze aspecten zullen in Straatsburg alsnog kunnen worden aangevochten.

Eigen verantwoordelijkheid van gemeenten

Lichtpuntje in het oordeel van de Raad van de State over identiteitskaarten is vooral dat gemeenten en burgemeesters een eigen verantwoordelijkheid hebben om zelfstandig de mensenrechten (inclusief het recht op privacy) na te leven, ook als dit betekent dat zij daartoe zelfstandig nationale wetgeving buiten toepassing dienen te laten wegens strijd met hoger internationaal of Europees recht: 

"Voor zover de burgemeester betoogt dat voor hem geen mogelijkheid openstaat af te wijken van het in [nationale wetgeving] bepaalde, overweegt de [Raad van State] dat ingevolge artikel 94 van de Grondwet binnen het Koninkrijk geldende wettelijke voorschriften geen toepassing vinden, indien deze toepassing niet verenigbaar is met een ieder verbindende bepalingen van verdragen en van besluiten van volkenrechtelijke organisaties." (Bron, rechtsoverweging 6.)

Dit oordeel van de Raad van State geldt op alle domeinen en kan in de toekomst verstrekkende gevolgen hebben.

Gratis nieuwe identiteitskaart

Uit het oordeel van de Raad van State volgt dat bij de aanvraag van identiteitskaarten sinds 2009 massaal vingerafdrukken zijn afgenomen (en opgeslagen) zonder geldige rechtsbasis. Privacy First adviseert eenieder die over een identiteitskaart met vingerafdrukken beschikt dan ook om deze (desgewenst) bij zijn/haar gemeente in te ruilen voor een gratis nieuw exemplaar zónder vingerafdrukken. Mochten gemeenten deze service niet willen bieden, dan behoudt Privacy First zich het recht voor om daartoe nieuwe juridische stappen te zetten.

 

Klik HIER voor het persbericht van de Raad van State, tevens gepubliceerd op Rechtspraak.nl (met verwijzing naar de volledige uitspraken). Klik HIER voor een eerste reactie van Privacy First bij RTL Nieuws. Zie tevens het nieuwsbericht van NRC Handelsblad.

Gepubliceerd in Rechtszaken

IIR Privacy Innovatie Awards 2016 banner


Tijdens de conferentie Dataprotectie & Privacy op 14 september 2016 in Amsterdam (Westcord Fashion Hotel) worden de IIR Nationale Privacy Innovatie Awards 2016 uitgereikt. “De winnaars zijn belangrijke voorlopers in een nieuwe industrie waarin Nederland internationaal Privacy Gidsland kan worden”, aldus Privacy First oprichter Bas Filippini, voorzitter van de onafhankelijke jury. Evenals in 2015 steunt Privacy First de IIR Nationale Privacy Innovatie Awards 2016 van harte en verwacht dat de uitreiking ook dit jaar een groot succes zal worden.  

Er zijn 4 categorieën waarvoor inschrijvingen genomineerd kunnen worden:

1. categorie Bedrijfsoplossingen

2. categorie Consumentenoplossingen

3. categorie Overheidsdiensten

4. categorie Start-ups

De Awards geven een podium aan bedrijven en overheden die Privacy Innovatie zien als kans om zich positief te onderscheiden. Maximaal 8 bedrijven/overheden die werken met privacy-innoverende projecten mogen gratis naar het congres komen en maken kans op één van de titels!

Maak kans op gratis congreskaarten

IIR zoekt originele, innovatieve en kansrijke Privacy Innovatie Projecten (een product, proces, procedé of dienst). Het is een voorwaarde dat u met uw innovatie aan de slag bent. U bent de idee-fase voorbij en kunt al iets van het project in uitvoering laten zien. U zorgt met uw project voor inspiratie bij andere bedrijven waardoor Privacy niet alleen wordt gezien als belemmering, maar vooral als kans!

De eerste selectie bestaat uit een screening waarop met de volgende zaken wordt omgegaan:

a) Het hebben van een privacy verantwoordelijke (FG, PO) in de organisatie

b) Toepassen van een privacy policy

c) Toepassen van risico analyse(s)

d) Privacy awareness in de organisatie

e) Een inzichtelijk privacybeleid en communicatie hiervan

Vervolgens worden de deelnemers die genomineerd worden, gescreend op zaken als:

f) Innovatief vermogen: het product, proces, procedé of dienst biedt een noviteit op privacygebied en heeft zich in de markt nog niet technisch en/of commercieel bewezen;

g) Maatschappelijke impact: de innovatie levert een bijdrage aan privacy en komt de bescherming van persoonsgegevens en het individu ten goede;

h) Focus: het product, proces, procedé of dienst levert in grote mate toegevoegde waarde aan de markt/consument;

i) Zelfredzaamheid: het product, proces, procedé of dienst is binnen een reële termijn (ca 3 jaar) economisch realiseerbaar. Er is een businessmodel.

Daarnaast bestaat de mogelijkheid dat de jury een aangekondigd bedrijfsbezoek aan de genomineerde zal brengen.

Bepalen van de winnaar

Organisaties kunnen zich t/m 31 juli 2016 aanmelden voor de Privacy Innovatie Awards door een email met korte toelichting over het Privacy Innovatie Project en antwoord op bovengenoemde punten a) t/m i) te sturen naar Jasper Savenije (IIR) via Dit e-mailadres wordt beveiligd tegen spambots. JavaScript dient ingeschakeld te zijn om het te bekijken.. Na 1 augustus 2016 hoort u of u een plaats heeft bemachtigd voor de Awardsuitreiking. Vervolgens ontvangt u van IIR een uitnodiging om een korte pitch tijdens het congres voor te bereiden.

Voorschriften pitchIIR Privacy Innovatie Awards

●  Maximaal 3 minuten

●  U gebruikt een Powerpoint presentatie (maximaal 3 sheets)

●  De presentatie bevat in ieder geval de volgende onderdelen:

    o Bedrijfsnaam

    o Privacy project omschrijving

    o Doel en behaalde resultaten.

Jury

De jury bestaat uit onafhankelijke privacy-experts uit diverse sectoren:

> Bas Filippini, oprichter en voorzitter Privacy First (jury-voorzitter)
> John Borking, Of Counsel, CMS, lid van Advisory Board van EuroPriSe GmbH
> Paul Korremans, Data Protection & Security Professional, Comfort Information Architects
> Jaap-Henk Hoepman, Scientific Director, Privacy & Identity Lab.

Om te garanderen dat de verkiezing van de Awards objectief verloopt, is het niet toegestaan dat de jury een deelname beoordeelt van de eigen organisatie.

 

Lees HIER over de winnaars van de IIR Nationale Privacy Innovatie Awards 2015 en bekijk ook onderstaande video-impressie! 

Gepubliceerd in Nederlandse Privacy Awards

De nieuwe EPD-wet van minister Schippers schept al een jaar verwarring in de Eerste Kamer. Voor patiënt noch arts is het duidelijk wie straks na het geven van toestemming medische gegevens kan raadplegen. Na twee jaar troebele discussie, wil de minister de patiënt het allemaal zelf laten regelen. Daarmee gaat ze ten onrechte de fundamentele privacydiscussie uit de weg.

Het wetsvoorstel dat de juridische basis moet gaan vormen voor het privaat doorgestarte Elektronisch Patiëntendossier (wetsvoorstel 33509) wordt inmiddels al een jaar aangehouden door de Eerste Kamer. De Senaat heeft gegronde twijfels bij het wetsvoorstel, dat onder meer moet gaan regelen hoe een vertrouwelijke behandelrelatie moet worden gewaarborgd bij het digitaal toegankelijk maken van medische gegevens. Begin april jl. nodigden Eerste Kamerleden voor de tweede maal een panel met deskundigen uit die hun commentaar op het wetsvoorstel mochten leveren. SpecifiekeToestemming.nl was één van de genodigden bij deze recente expert-meeting en leverde voorafgaand aan de bijeenkomst schriftelijke input (PDF).

SpecifiekeToestemming.nl

SpecifiekeToestemming.nl is een onafhankelijke campagne die na de indiening van het wetsvoorstel in 2014 werd gelanceerd op initiatief van Stichting Privacy First en het Platform Bescherming Burgerrechten. Kern van deze campagne is dat specifieke toestemming (weer) het leidende beginsel moet worden bij de uitwisseling van medische gegevens. De campagne wordt gesteund door talrijke maatschappelijke organisaties, zorgverleners en andere professionals. 

EPD alsnog van wettelijke basis voorzien

Het huidige wetsvoorstel van minister Schippers is in de eerste plaats bedoeld om het LSP-systeem (Landelijk Schakelpunt) waarvoor de Eerste Kamer de wetgeving in 2011 unaniem verwierp, alsnog van een wettelijke basis te voorzien. SpecifiekeToestemming.nl woordvoerder Vincent Böhre stelde tijdens de expert-meeting: “De infrastructuur van het EPD werd door private partijen doorgestart in de vorm van het Landelijk Schakelpunt. Zo zagen wij het destijds en zo zien wij het nog steeds grotendeels, met alle manco’s die destijds in de infrastructuur zaten en nog steeds zitten. In onze optiek is de infrastructuur te grootschalig en inherent onveilig, met generieke, ongerichte en onbepaalde toestemming.”

SpecifiekeToestemming.nl wijst sinds de indiening van het wetsvoorstel op de onoverzichtelijke toestemming die patiënten volgens de nieuwe EPD-wet kunnen geven. Mede onder druk van deze campagne werd het geven van generieke (brede, ongerichte) toestemming in 2014 door de Tweede Kamer uit de wet gehaald. Een stap in de goede richting.

Gegoochel met termen

Sinds de Tweede Kamer generieke toestemming schrapte, werd de wet echter alleen maar ingewikkelder. Minister Schippers introduceerde een nieuwe vorm van toestemming genaamd “gespecificeerde toestemming”, die veel vragen opriep tijdens de behandeling in de Senaat en de aldaar gehouden expert-meetings. Wie het wetsartikel (15a) over "gespecificeerde toestemming" nauwkeurig bekijkt, moet concluderen dat dit nog steeds een zeer brede, onoverzichtelijke toestemming kan betekenen die de oorspronkelijke bezwaren tegen generieke toestemming niet wegneemt.

Bovendien, zo moest minister Schippers later zelf ook vaststellen, zijn huidige systemen (lees: het LSP) in hun ontwerp niet uitgerust om iets anders dan generieke toestemming mogelijk te maken – zo ook haar eigen “gespecificeerde toestemming”. Totdat dat zover is, wil de minister dat “gedurende een driejarige overgangsperiode een generiek ‘ja’ of ‘nee’ volstaat”, zo schreef ze in december 2015 aan de Eerste Kamer. Met andere woorden: als het aan de minister ligt, wordt generieke toestemming alsnog de standaard wijze van toestemming geven.

Gevoelig punt geraakt

SpecifiekeToestemming.nl schreef hierover een brief aan de Eerste Kamer, waarin ze erop wees dat generieke toestemming, ook voor drie jaar, onacceptabel was, daarbij verwijzend naar het amendement van de Tweede Kamer dat generieke toestemming uit het wetsvoorstel schrapte. In reactie daarop stelde de minister juist weer dat het helemaal niet de bedoeling was dat er generieke toestemming werd gevraagd: “Het is niet zo dat de toestemmingsvraag generiek is. [...] Wel kan het antwoord op de toestemmingsvraag generiek zijn,” aldus de minister. Volgens SpecifiekeToestemming.nl is dit een onbegrijpelijke redenering, die illustreert in welke bochten de uitleg van dit wetsvoorstel moet worden gewrongen om de onoverzichtelijke toestemming die minister Schippers wil invoeren, alsnog te legitimeren. Een generiek antwoord op een specifieke vraag is immers een contradictio in terminis. SpecifiekeToestemming.nl woordvoerder Vincent Böhre zei hierover tijdens de expert-meeting: “Met alle respect, haar brief komt op mij over als gegoochel met termen, waardoor het alleen maar onduidelijker wordt. Wij vinden het standpunt van de minister hierover onbegrijpelijk. We hadden met onze brief aan de Eerste Kamer blijkbaar een gevoelig punt geraakt.”

Volgens minister Schippers is de vraag “mag ik uw medische gegevens toegankelijk maken voor alle op het systeem aangesloten zorgverleners?” overigens een specifieke vraag, zo blijkt uit haar brief. SpecifiekeToestemming.nl is het hier volstrekt mee oneens. Als een patiënt een dergelijke vraag met “ja” beantwoordt, geeft deze immers een brede, ongerichte toestemming waarbij op voorhand niet duidelijk is wie voor welke reden toegang kan krijgen tot welke gegevens – kortom, weinig specifiek.

Overhaast patiëntportaal ingevoerd

De hele discussie over generiek, gespecificeerd en specifiek toestemming vragen of geven wordt door minister Schippers echter gelaten voor wat ze is. In haar laatste uitgebreide brief slaat ze een nieuwe richting in als het gaat om het uiteindelijke doel van deze wet: in de toekomst moet de patiënt de volledige regie krijgen over wie toegang heeft tot welke medische gegevens. Dit moet gaan gebeuren via een online patiëntportaal, zo blijkt uit het voorstel van de minister.

“Wij vinden dat een onverantwoorde verschuiving van de verantwoordelijkheid en ook van de aansprakelijkheid in sommige gevallen”, stelde Böhre hierover tijdens de expertmeeting. De regie over de inhoud en de toegang van het zorgdossier dient volgens SpecifiekeToestemming.nl in de eerste plaats bij arts en patiënt gezamenlijk te blijven, zoals het medisch beroepsgeheim en de wetgeving rondom patiëntprivacy voorschrijven. Als de patiënt dit allemaal zelf moet gaan regelen, krijgt deze een (te) grote verantwoordelijkheid die in de praktijk snel fout kan uitpakken – zowel wat betreft de toegankelijkheid van gegevens, maar ook het niet toegankelijk zijn van gegevens terwijl dat wel nodig is.

De huidige wetgeving regelt dat de arts de patiënt gericht toestemming vraagt, en dat zou het uitgangspunt moeten blijven volgens SpecifiekeToestemming.nl. De zorgverlener is vrijwel altijd beter op de hoogte van welke gegevens relevant zijn voor een zorgvraag, en is bovendien wettelijk en tuchtrechtelijk aansprakelijk voor de kwaliteit en vertrouwelijkheid van deze informatie. Dit is een verantwoordelijkheid die je niet zomaar kunt overdragen aan een patiënt – zeker niet iedere patiënt. Door een portaal met eigen beheer niet als extra mogelijkheid maar als norm te stellen, worden de voordelen van patiënten die hier baat bij hebben ondergesneeuwd door de risico’s van een onverantwoord beheer.

Bovendien ontwijkt Schippers, door volledig in te zetten op eigen regie, de fundamentele discussie over de reikwijdte en overzichtelijkheid van de toestemming, die overigens ook bij de invoering van een patiëntenportaal noodzakelijk is. Voor zo’n toepassing, die plaatsvindt buiten de directe zorg, zou alleen al een apart wetsvoorstel moeten worden geschreven. Het wetsvoorstel zoals minister Schippers dat nu heeft voorgelegd bevat immers geen beschermend kader voor het ontwikkelen van een “patiëntgeheim” en alle kwesties omtrent verantwoordelijkheid en aansprakelijkheid die voor een dergelijk systeem noodzakelijk zijn.

Documenten:

Schriftelijke input SpecifiekeToestemming.nl t.b.v. expert-meeting Eerste Kamer 5 april 2016

Woordelijk verslag expert-meeting Eerste Kamer 5 april 2016

Brief en begeleidend schrijven van minister Schippers d.d. 8 maart 2016 aan Tweede Kamer ter reactie op brief SpecifiekeToestemming.nl aan Eerste Kamer d.d. 18 januari 2016.

Gepubliceerd in Medische privacy

Vandaag is een historische dag in positieve én in negatieve zin: enerzijds zette het Europees Parlement vandaag een belangrijke privacystap vooruit met de aanname van de Algemene Verordening Gegevensbescherming. Anderzijds stemde het Europees Parlement vandaag in met massale opslag van Europese passagiersdata. Iedere vliegtuigpassagier wordt hierdoor een potentiële verdachte.  

De Algemene Verordening Gegevensbescherming zal de nationale privacywetgeving in alle EU-lidstaten (waaronder de Nederlandse Wet bescherming persoonsgegevens) gaan vervangen en grosso modo voor betere privacybescherming in de hele Europese Unie gaan zorgen. Zo worden Privacy Impact Assessments en Privacy by Design verplicht; twee belangrijke zaken waar Privacy First al jaren voor pleit. Fundamentele privacybeginselen als noodzakelijkheid, proportionaliteit en subsidiariteit (verplichte inzet van privacyvriendelijke alternatieven) worden sterker verankerd en beter uitgewerkt. Het is dan ook verbazingwekkend dat het Europees Parlement vandaag tegelijkertijd ook een andere maatregel heeft aangenomen waardoor deze beginselen juist met voeten getreden worden: de Europese Richtlijn Passagiersgegevens ('Passenger Name Records', PNR) inzake alle vliegtuigpassagiers binnen en buiten de Europese Unie. Onder deze PNR-richtlijn zullen de gegevens van alle Europese vliegtuigpassagiers 5 jaar lang in centrale overheidsdatabanken worden bewaard voor opsporing en vervolging van zware misdrijven, terrorismebestrijding, inlichtingenwerk, etc. Talloze reisgegevens (waaronder naam- en adresgegevens, telefoonnummers, bestemmingen, creditcardgegevens en zelfs maaltijdgegevens) van vele miljoenen mensen zullen daardoor jarenlang beschikbaar blijven voor politie, justitie en inlichtingendiensten t.b.v. datamining en profiling. In 99,99% van de gevallen betreft dit echter volstrekt onschuldige burgers, waaronder vooral vakantiegangers en zakenreizigers. Dit vormt een flagrante schending van hun recht op privacy en vrijheid van beweging. Om deze reden bestond er de laatste jaren veel politieke weerstand tegen dit plan en werd het sinds 2010 reeds diverse malen verworpen door zowel de Nederlandse Tweede Kamer als het Europees Parlement. Vorig jaar bleken ook de Nederlandse regeringspartijen VVD en PvdA nog mordicus tegen. VVD en PvdA spraken destijds van een "vakantieregister" en dreigden zélf naar het Europese Hof van Justitie te stappen als de Europese PNR-richtlijn zou worden aangenomen. Na de recente aanslagen in Parijs en Brussel lijken veel politieke bezwaren echter als sneeuw voor de zon verdwenen. Dit terwijl de juridisch vereiste "maatschappelijke noodzaak" en proportionaliteit van massale PNR-opslag nog steeds niet zijn aangetoond. In de optiek van Privacy First is de huidige PNR-richtlijn daarmee bij voorbaat onrechtmatig. Privacy First oriënteert zich momenteel dan ook op juridische stappen om deze richtlijn alsnog van tafel te krijgen, hetzij via de nationale rechter, hetzij middels een rechtstreeks beroep bij het Europese Hof van Justitie in Luxemburg. Tevens zal Privacy First blijven pleiten voor een privacyvriendelijker PNR-systeem, waarbij alleen verdachte personen worden geregistreerd en gemonitord en het gros van de reizigers met rust zal worden gelaten.

Klik HIER voor een eerder interview met Privacy First over dit onderwerp bij BNR Nieuwsradio en HIER voor eerder commentaar van Privacy First op Radio 1 (vanaf 3m50s).

Update: klik HIER voor een korte reactie van Privacy First gisteravond in het RTL Journaal (vanaf 6m50s), later die avond herhaald door Radio 1 (vanaf 2m15s).

RTL Nieuws 14april2016

© RTL Nieuws

Gepubliceerd in Wetgeving

"Boordcomputers gemakkelijk te kraken. Tweede Kamer bespreekt wetsvoorstel.

Auto's dreigen speelbal te worden van cybercriminelen en de politie. Dat komt omdat de computersystemen aan boord kinderlijk eenvoudig te kraken zijn. De ANWB en verschillende privacyorganisaties maken zich daar grote zorgen over.

De auto- en privacyorganisaties vrezen dat agenten auto's op de snelweg van afstand kunnen stopzetten, met alle gevaren voor de overige weggebruikers van dien.

Vandaag wordt in de Tweede Kamer gesproken over het wetsvoorstel Computercriminaliteit, waarin is opgenomen dat de politie de mogelijkheid krijgt om vrijwel alle computers die op internet aangesloten zijn, te kunnen hacken. De ANWB vreest dat de politie door het hacken van boordcomputers auto's op afstand staande kan houden.

„Dat kan bijvoorbeeld als alternatief voor het creëren van een filefuik gebeuren", zegt directeur Frits van Bruggen van de ANWB. „De ANWB vindt dit zowel vanuit het oogpunt van verkeersveiligheid als privacybescherming zeer zorgelijk. Daarnaast werkt brede toegankelijkheid van genoemde systemen voertuigcriminaliteit in de hand."

Het ministerie van Veiligheid en Justitie erkent dat navigatiesystemen en boordcomputers gehackt kunnen worden. (...) Hoewel het hacken van auto's voor velen als sciencefiction klinkt, is het dichterbij dan ooit, juist omdat er steeds meer geavanceerde apparatuur in auto's wordt geplaatst. „Technisch is het absoluut mogelijk om een auto tot stilstand te brengen via een hack", zegt privacyonderzoeker Jaap-Henk Hoepman van de Radboud Universiteit. „In Amerika is dat recentelijk al gebeurd."

Volgens deskundigen als Wim van Campen is hacken van auto's bijzonder gemakkelijk, omdat de meeste autofabrikanten geen of nauwelijks aandacht hebben voor de beveiliging van de systemen aan boord. (...)

Privacyorganisaties Bits of Freedom en Privacy First zijn eveneens fel gekant tegen het wetsvoorstel. Volgens de belangenclubs zijn de maatschappelijke noodzaak en proportionaliteit ver te zoeken. „De hackbevoegdheid in het wetsvoorstel beperkt zich immers niet tot apparaten van verdachten, maar ook tot daarmee in verbinding staande apparatuur van onschuldige, nietsvermoedende burgers. De minister sluit in de memorie van toelichting zelfs niet uit dat pacemakers worden gehackt.""

 

Bron: Telegraaf 11 februari 2016, sectie Binnenland, p. 10. Tevens online beschikbaar, klik HIER.

Gepubliceerd in Privacy First in de media
donderdag, 11 februari 2016 08:11

Politie wil alle computers kunnen hacken

Vandaag vindt in de Tweede Kamer een belangrijke hoorzitting plaats over het wetsvoorstel Computercriminaliteit III. In dit kader leverde Privacy First gisteren kritische inbreng aan relevante Kamerleden. Enkele passages uit onze brief verschenen vanochtend in De Telegraaf, klik HIER. Hieronder de volledige tekst van onze brief (klik HIER voor de originele versie in pdf):

Geachte leden van de Tweede Kamer,

Morgen vindt een hoorzitting plaats over het wetsvoorstel Computercriminaliteit III. Door dit wetsvoorstel dreigt de overheid zelf de grootste cybercrimineel te worden. Privacy First zet hieronder kort uiteen waarom.

Pacemakers hacken

Onder het wetsvoorstel krijgt de politie de bevoegdheid om vrijwel alle computers die op internet aangesloten zijn te kunnen hacken, inclusief smartphones, televisies, fototoestellen, autonavigatie, boordcomputers, medische systemen, etc. etc. De politie wil zelfs pacemakers kunnen hacken, zo blijkt uit p. 86 van de Memorie van Toelichting bij het wetsvoorstel. Geen enkel apparaat wordt uitgesloten. Enige voorwaarde lijkt slechts te zijn dat het betreffende apparaat in verbinding staat met het internet. Met het 'Internet of Things' in zicht (waarbij vrijwel de hele maatschappij op internet aangesloten kan worden, tot en met sportschoenen en koelkasten aan toe) is deze bevoegdheid ronduit totalitair. Het zal dan ook slechts een kwestie van tijd zijn voordat de hackbevoegdheden in dit wetsvoorstel voor allerlei onvoorziene doelen worden gebruikt en misbruikt. Het huidige wetsvoorstel beperkt dit totaal niet en laat er juist alle ruimte toe. Reeds op basis hiervan dient het wetsvoorstel verworpen te worden.

Disaster by legal design

In politiekringen wordt de doelverschuiving (function creep) die in dit wetsvoorstel ingebakken zit juist beoogd, zo weet Privacy First uit betrouwbare bron. Bijvoorbeeld om auto’s op afstand te kunnen hacken en stilzetten (politiefuik op afstand). Technisch is dit prima mogelijk te maken en het wetsvoorstel verbiedt dit ook niet. De risico’s hiervan voor de verkeersveiligheid (met name ook van onschuldige inzittenden en omstanders) zijn echter enorm. Hetzelfde geldt voor computers in ziekenhuizen, industrie, vitale infrastructuur, etc. Waarom legt het wetsvoorstel in dit opzicht geen enkele beperking op?

Noodzaak ontbreekt

De internationaalrechtelijk vereiste “maatschappelijke noodzaak” en proportionaliteit van dit wetsvoorstel zijn ver te zoeken, zo heeft zelfs het doorgaans coulante College Bescherming Persoonsgegevens (nu Autoriteit Persoonsgegevens) begin 2014 terecht gesteld. Vervolgens lag dit controversiële wetsvoorstel enkele jaren stil, maar lijkt nu alsnog opeens door de Tweede Kamer heen te worden gejaagd. Vanwaar opeens deze haast?

Iedere burger vogelvrij

Door dit wetsvoorstel lijkt ieders computer, tablet, smartphone etc. (zelfs in het buitenland!) vogelvrij te worden verklaard. De hackbevoegdheid in het wetsvoorstel beperkt zich immers niet tot de apparatuur van verdachten, maar ook tot daarmee in verbinding staande apparatuur van onschuldige, nietsvermoedende burgers. Iedere burger als potentieel target van de overheid. Hadden we de laatste jaren nu juist niet geleerd dat dit geen heilzame weg is voor een democratische rechtsstaat?

Kruispunt

Nederland staat momenteel op een kruispunt. Welk voorbeeld willen we voor de rest van de wereld zijn? Ons land heeft alle randvoorwaarden om van Nederland een veilig Privacy Gidsland te kunnen maken. Het huidige wetsvoorstel vormt echter een typische bouwsteen voor een politiestaat, niet voor een democratische, op vrijheid en vertrouwen gebaseerde rechtsstaat. Bij de internetconsultatie van een eerdere versie van dit wetsvoorstel in 2013 heeft Privacy First dit ook al gesteld. Afgezien van de latere schrapping van het decryptiebevel uit het wetsvoorstel is het treurig om te moeten constateren dat er sindsdien weinig veranderd is. Privacy First pleit voor privacy by design, niet alleen middels techniek, maar ook middels privacyvriendelijke wetgeving en beleid. Door dit wetsvoorstel raakt de overheid echter gebaat bij suboptimale, door de overheid te kraken ICT-beveiliging. Daarmee zet de overheid koers richting een maatschappij waarin ieders privacy illusoir wordt.

Privacy Impact Assessment ontbreekt

Nog steeds is er bij dit wetsvoorstel geen sprake van een grondige en onafhankelijke Privacy Impact Assessment (PIA). De bijbehorende “PIA” is niet meer dan een oppervlakkig afvinklijstje en is de term PIA niet waard. Ook de privacyparagraaf in de Memorie van Toelichting is flinterdun en slechts bedoeld om het wetsvoorstel te legitimeren. Gezien de veiligheidsrisico’s van dit wetsvoorstel ligt bovendien een Security Impact Assessment voor de hand. Bij deze stand van zaken kan Privacy First dit wetsvoorstel dan ook überhaupt niet serieus nemen.

Tweede Kamer aan zet

Mocht het huidige wetsvoorstel ongewijzigd beide Kamers passeren, dan zal Privacy First niet aarzelen om het door de rechter onrechtmatig te laten verklaren. Het is nu aan de Tweede Kamer om het niet zover te laten komen.

Gepubliceerd in Online Privacy

"De coalitie Burgers tegen Plasterk heeft het aangetekende hoger beroep toegelicht bij het gerechtshof in Den Haag in de zaak over het uitwisselen van data tussen geheime diensten. De coalitie diende hier een memorie van grieven voor in.

Op 23 juli 2014 berichtte Tweakers over een uitspraak van de rechtbank in Den Haag in een zaak tussen een coalitie van organisaties en burgers die de staat hadden aangeklaagd. De aanklagers wilden dat de Nederlandse staat zou stoppen met het gebruiken van privégegevens die in strijd met de Nederlandse wet zijn verzameld. Het ging over gegevens die onder andere door de Amerikaanse geheime dienst NSA aan de Nederlandse inlichtingendiensten doorgespeeld worden. De rechtbank oordeelde toen dat de staat daar niet mee hoefde te stoppen.

Het vonnis luidde dat het voor inlichtingendiensten 'dringend noodzakelijk' is om samen te werken met buitenlandse diensten, ondanks dat het ertoe kan leiden dat de geheime diensten informatie verzamelen en eventueel gebruiken die niet in lijn met de Nederlandse wet is verzameld. Daarmee heeft de rechtbank de Nederlandse AIVD en MIVD volgens Privacy First een 'carte blanche gegeven om zonder enige rechtsbescherming grote hoeveelheden gegevens van Nederlandse burgers te verzamelen via buitenlandse inlichtingendiensten' onder het kopje 'nationale veiligheid'.

De coalitie ging daarop in hoger beroep, waarbij de coalitie wel aantekent dat ze er niet op uit is om samenwerking met buitenlandse diensten tegen te gaan. De coalitie vindt dat bij samenwerken en bij het ontvangen van gegevens 'strikte waarborgen in acht genomen moeten worden'. Als dat niet gebeurt, kunnen gegevens die op manieren die in strijd met de Nederlandse wet verzameld zijn, toch in bezit van de Nederlandse diensten komen. De coalitie noemt dit omzeilen van de Wiv een U-bochtconstructie.

Voordat er een zitting plaats zal vinden en er een uitspraak gedaan kan worden in hoger beroep, moet de Nederlandse staat eerst antwoorden in een memorie van antwoord.

De coalitie schrijft verder dat ze onlangs is toegelaten bij een procedure die de Britse organisatie Big Brother Watch bij het Europees Hof voor de Rechten van de Mens heeft aangespannen tegen het Verenigd Koninkrijk. De zaak bij het EHRM kan van belang zijn voor de Nederlandse zaak. (...)"

Bron: http://tweakers.net/nieuws/108033/burgercoalitie-aivd-heeft-van-rechtbank-carte-blanche-voor-dataverzameling.html, 8 februari 2016.

Gepubliceerd in Privacy First in de media

De coalitie Burgers tegen Plasterk (waaronder Stichting Privacy First) heeft haar hoger beroep toegelicht bij het Hof Den Haag in de zaak over het internationale uitwisselingsregime tussen geheime diensten. Dat heeft de coalitie gedaan in een zogeheten Memorie van Grieven die op 2 februari jl. is ingediend bij het Hof Den Haag. In dit stuk zet onze coalitie uiteen waarom het vonnis van de rechtbank Den Haag onjuist is.

De rechtbank Den Haag heeft in haar vonnis, kort gezegd, geoordeeld dat de samenwerking en gegevensuitwisseling op basis van vertrouwen tussen Nederlandse geheime diensten en buitenlandse geheime diensten (waaronder de Amerikaanse NSA), gewoon mag worden voortgezet. Volgens de rechtbank geeft het belang van de nationale veiligheid de doorslag. Daarmee heeft de rechtbank de Nederlandse AIVD en MIVD in wezen een carte blanche gegeven om zonder enige rechtsbescherming grote hoeveelheden gegevens van Nederlandse burgers te verzamelen via buitenlandse inlichtingendiensten, louter vanwege het predicaat “nationale veiligheid”.

De coalitie Burgers tegen Plasterk acht dit vonnis flagrant in strijd met het recht op privacy en is in hoger beroep gegaan. De coalitie is er in deze zaak overigens niet op uit om de samenwerking met buitenlandse diensten als zodanig uit te bannen. Wij vinden echter dat er bij het samenwerken en bij het ontvangen van gegevens strikte waarborgen in acht moeten worden genomen. Gebeurt dat niet, dan komen gegevens die door de NSA en andere geheime diensten in strijd met de Nederlandse wet zijn verkregen illegaal in handen van de Nederlandse inlichtingendiensten. Dit komt neer op het witwassen van data middels een onrechtmatige U-bochtconstructie.

Onze advocaat Christiaan Alberdingk Thijm van bureau Brandeis: “Door NSA-data te gebruiken wordt illegaal verkregen data door Plasterk en zijn diensten witgewassen. Deze zaak moet daar een einde aan maken.”

Lees onze volledige Memorie van Grieven HIER (pdf).

Wat nu?

De Staat zal nu eerst op onze grieven moeten reageren in een zogenaamde “Memorie van Antwoord”. Daarna zal het hof een zitting plannen en uitspraak doen in hoger beroep.

Ondertussen is onze coalitie tevens toegelaten om te interveniëren in de procedure die de Britse organisatie Big Brother Watch e.a. bij het Europees Hof voor de Rechten van de Mens (EHRM) hebben aangespannen tegen het Verenigd Koninkrijk. Dit is een belangrijke ontwikkeling, omdat het EHRM hiermee al in een vroeg stadium een uitspraak zal kunnen doen die relevant is voor onze Nederlandse zaak. Klik HIER voor het recente ontvankelijkheidsbesluit van het Europese Hof (pdf) en HIER voor meer informatie over de Britse zaak op de website van het Hof.

De zaak Burgers tegen Plasterk

Eind 2013 dagvaardt de coalitie Burgers tegen Plasterk de Nederlandse Staat, vertegenwoordigd door minister Plasterk van Binnenlandse Zaken. Aanleiding vormen de onthullingen van Edward Snowden over de praktijken van (buitenlandse) inlichtingendiensten. De coalitie eist dat de Staat stopt met het gebruiken van gegevens die niet in overeenstemming met de Nederlandse wet zijn verkregen.

De zaak leidt in februari 2014 bijna tot de val van minister Plasterk. Het blijkt dat Plasterk de Kamer verkeerd heeft geïnformeerd over de uitwisseling met buitenlandse diensten. De Nederlandse diensten hebben 1,8 miljoen gegevens aan de Amerikanen verstrekt en niet andersom, zoals hij eerder had verkondigd.

In juli 2014 wijst de rechtbank de vorderingen van de coalitie af, waarna de coalitie in hoger beroep is gegaan bij het Hof Den Haag.

Eind 2015 werd bekend dat de coalitie zich mag voegen in een Britse rechtszaak bij het Europese Hof voor de Rechten van de Mens in Straatsburg.

De deelnemende burgers in de coalitie zijn: Rop Gonggrijp, Jeroen van Beek, Bart Nooitgedagt, Brenno de Winter en Mathieu Paapst. De deelnemende organisaties zijn: Stichting Privacy First, de Nederlandse Vereniging voor Strafrechtadvocaten (NVSA), de Nederlandse Vereniging voor Journalisten (NVJ) en Internet Society Nederland.

De zaak wordt vanuit bureau Brandeis behandeld door onze advocaten Christiaan Alberdingk Thijm en Caroline de Vries. Zij maken hiervoor gebruik van de middelen in het pro deo fonds van bureau Brandeis.

Update 9 februari 2016: vandaag diende de coalitie 'written submissions' in bij het Europese Hof voor de Rechten van de Mens; klik HIER (pdf).

Minister Schippers van Volksgezondheid wil generieke toestemming voorlopig de standaard maken in haar nieuwe EPD-wet, waardoor met een eenmalige toestemming patiëntendossiers toegankelijk worden voor alle op het systeem aangesloten zorgverleners. Ze gaat daarmee voorbij aan de wens van de Tweede Kamer, die deze toestemmingsvorm wegens privacybezwaren schrapte uit het oorspronkelijke wetsvoorstel. Dat mag de Eerste Kamer niet laten gebeuren, schrijft onze campagne Specifieke Toestemming in een brief aan de Senaat, die zich binnenkort over het wetsvoorstel buigt.

Het wetsvoorstel Cliëntenrechten bij elektronische gegevensverwerking (33509) is de opvolger van de Wet-EPD, die in 2011 wegens privacybezwaren unaniem werd verworpen door de Eerste Kamer. Dossiers werden toegankelijk voor tienduizenden zorgverleners en hun medewerkers, zonder voorafgaande check van de dossierhoudende arts.

In de nieuwe EPD-wet die Schippers in 2014 presenteerde, moesten patiënten weliswaar vooraf toestemming geven om hun gegevens beschikbaar te stellen, maar was deze toestemming zo breed dat zowel arts als patiënt geen zicht hadden op wie welke gegevens met welk doel kon raadplegen. De Tweede Kamer vond dat onaanvaardbaar. Generieke toestemming, oftewel met een eenmalige toestemming alle op een systeem aangesloten zorgverleners toegang verschaffen, werd in juli 2014 uit het wetsvoorstel geschrapt.

In reactie hierop presenteerde de minister een nieuwe toestemmingsvorm: gespecificeerde toestemming. Anders dan deze term doet vermoeden, komt ook deze vorm van toestemming neer op een carte blanche, zo beargumenteerde Specifieke Toestemming al eerder uitgebreid naar de Eerste Kamer. In de expertmeetings en behandelingen in de Senaat bleek vervolgens dat ook Eerste Kamerleden nog veel vraagtekens hadden bij Schippers’ gespecificeerde toestemming.

Die bezwaren lijken echter voorbarig, nu deze vorm van toestemming überhaupt niet realiseerbaar blijkt. Huidige systemen om medische gegevens mee uit te wisselen, waarvan het Landelijk Schakelpunt (LSP, het voormalige EPD) het bekendst is, zijn namelijk in hun ontwerp niet ingericht om patiënten specifiek gegevens te laten delen (ook niet met gespecificeerde toestemming), zo informeerde de minister de Tweede Kamer in december jl. Voor er een manier is om gerichter gegevens beschikbaar te stellen, wil de minister dat patiënten in ieder geval drie jaar lang alsnog een brede, generieke toestemming kunnen geven, die, eenmaal gegeven, ook daarna geldig blijft.

Fundamentele bezwaren Eerste en Tweede Kamer genegeerd

De campagne Specifieke Toestemming volgt het wetsvoorstel al sinds haar introductie op de voet, en wees de Eerste Kamer begin deze week in een brief met klem op de fundamentele bezwaren die er kleven aan generieke toestemming.

“Specifieke Toestemming vindt dat de huidige wetgeving – Wgbo en Wbp – een goede basis is voor het vragen van toestemming in de zorg, en vindt generieke toestemming – ook ‘tijdelijk’ voor drie jaar – onacceptabel. Generieke toestemming kan door onoverzichtelijkheid voor zowel patiënt als dossierhoudend arts niet voldoen aan de eisen die wet en verdrag stellen aan het delen van medische gegevens”, zo stelde de campagne al eerder.

Onze campagne stelt aan Senaatsleden voor dat ofwel alle artikelen over toestemming uit het wetsvoorstel worden geschrapt zodat er op basis van al bestaande wetgeving medische gegevens kunnen worden gedeeld, óf dat de behandeling van het wetsvoorstel wordt uitgesteld totdat duidelijk is welke gevolgen de gespecificeerde toestemming van de minister heeft voor de privacy van patiënten.

De Eerste Kamer hield gisteren een zogeheten nadere procedure over het wetsvoorstel, en besloot daarin de verdere behandeling te laten afhangen van de termijn en de wijze waarop de Eerste Kamer zich kan laten informeren over nog bij de Kamer levende vragen. De campagne Specifieke Toestemming zal de Eerste Kamer te zijner tijd van nadere inbreng voorzien.

Download HIER de brief die Specifieke Toestemming begin deze week naar de Eerste Kamer stuurde (pdf) en klik HIER voor bovenstaand bericht zoals gisteren gepubliceerd op de campagne-website.

Gepubliceerd in Medische privacy

"Stel het elektronisch patiëntendossier uit, want het is nog niet haalbaar. Dat zegt artsenverbond KNMG dinsdag, op de dag dat de Eerste Kamer over de plannen praat.

In het voorstel staat dat patiënten moeten kunnen aangeven wie welke informatie over hen mag zien. ''Die vereisten zijn op dit moment niet uitvoerbaar'', aldus de KNMG.

De huisartsenvereniging (LHV) had vorige week ook voor uitstel gepleit. De beide organisaties willen dat er eerst onderzoek komt of het bepalen wie wat mag zien gevolgen heeft voor de 'zorgpraktijk'.

In de loop van 2017 moet dat duidelijk worden. Pas dan zou de Eerste Kamer het voorstel moeten behandelen, vinden artsen en huisartsen.

Privacy First

Ook de groepering Privacy First ziet niets in de plannen. Tot de tijd dat gerichte toestemming kan, wil de minister namelijk dat mensen algemene toestemming geven, dus dat elke zorgverlener toegang krijgt tot alle medische gegevens.

Onacceptabel, vindt Privacy First. Daarom zou de Eerste Kamer de wet moeten aanpassen of uitstellen.

 

Bron: http://www.nu.nl/binnenland/4200100/artsen-pleiten-uitstel-elektronisch-patientendossier.html, 19 januari 2016 (via ANP). Tevens gepubliceerd op http://www.ad.nl/ad/nl/1012/Nederland/article/detail/4228235/2016/01/19/Artsen-Patientendossier-is-nog-niet-haalbaar.dhtml, http://www.gelderlander.nl/algemeen/specials/gezond-en-wetenschap/artsen-pati%C3%ABntendossier-is-nog-niet-haalbaar-1.5641229, http://www.bndestem.nl/algemeen/specials/gezond-en-wetenschap/artsen-pati%C3%ABntendossier-is-nog-niet-haalbaar-1.5641229, http://www.ed.nl/algemeen/specials/gezond-en-wetenschap/artsen-patiëntendossier-is-nog-niet-haalbaar-1.5641229, http://www.automatiseringgids.nl/nieuws/2016/03/artsen-patientendossier-is-nog-niet-haalbaar, http://www.skipr.nl/actueel/id25179-artsen-patientendossier-is-nog-niet-haalbaar.html, http://www.radartv.nl/nieuws/archief/detail/article/artsen-patientendossier-is-nog-niet-haalbaar/, etc.

Gepubliceerd in Privacy First in de media
Pagina 8 van 16

Onze Partners

logo Voys Privacyfirst
logo greenhost
logo platfrm
logo AKBA
logo boekx
logo brandeis
 
banner ned 1024px1
logo demomedia
 
 
 
 
 
Pro Bono Connect logo 100
IIR banner

Volg ons via Twitter

twitter icon

Volg onze RSS-feed

rss icon

Volg ons op LinkedIn

linked in icon

Volg ons op Facebook

facebook icon