Den Haag, 29 augustus 2016
GEEN CONTROLERENDE MAAR EEN DIENSTBARE OVERHEID
Privacy-aanbevelingen voor verkiezingsprogramma's
Privacy wordt te weinig serieus genomen. Niet alleen door bedrijven maar zeker ook door de overheid. We leven al decennia in een informatiesamenleving en de data-economie maakt een enorme groei door. Toch steekt het huidige kabinet weinig energie in het beschermen van de belangen van burgers bij deze nieuwe ontwikkelingen.
Deels is dit te verklaren doordat een inbreuk op privacy vaak niet direct zichtbaar is of tot merkbare schade leidt. Daarom kunnen bedrijven en overheden het relatief makkelijk negeren. Een ander deel van de verklaring is dat de overheid er zelf een groot belang bij heeft om niet al te strenge wetgeving voor gegevensbescherming te maken. De overheid is immers de grootste verzamelaar van persoonsgegevens op vrijwel alle terreinen van ons persoonlijk leven. Ze kan hiermee zo goed mogelijk het gedrag van burgers in kaart brengen en controleren.
Dit is een verkeerde ontwikkeling. De burger is niet van de overheid, maar de overheid is van de burgers. Fundamentele rechten, waaronder het recht op privacy, zijn belangrijk om mensen in vrijheid hun leven te laten leiden. Een overheid zal zich minder controlerend en meer dienstbaar aan de individuele burger moeten opstellen. De volgende punten mogen in de verkiezingsprogramma's voor de Tweede Kamerverkiezingen van 15 maart 2017 dan ook niet ontbreken.
Inhoudsopgave
1. Meer rechten voor burgers tegen risico's 'big data'
» De Wet bescherming persoonsgegevens moet worden uitgebreid, zodat mensen zich tegen de toegenomen macht van bedrijven en overheid kunnen verweren.
» Er komt een actieve informatieplicht.
» De burger krijgt inzage in zijn profiel en hoe men daarmee tot beslissingen komt.
» Autoriteit Persoonsgegevens (AP) gaat ook toezicht houden op de systematiek van profileren.
Bedrijven en overheden verzamelen enorme hoeveelheden informatie over mensen. Steeds vaker wordt die informatie gebruikt om er profielen van mensen mee te maken. Op basis van die profielen nemen bedrijven en overheden beslissingen die soms positieve maar soms ook negatieve gevolgen voor burgers hebben. Wie krijgt wel of geen lening? Wie loopt het risico schulden te maken? Wie is misschien een fraudeur? Waar wonen mogelijke criminelen? In welk gezin worden kinderen misschien mishandeld?
De beslissingen over mensen worden vaak door computeralgoritmen genomen op basis van het profiel of hokje waarin de burger is geplaatst. Mensen kunnen door deze beslissingen ernstig benadeeld worden.
Door de enorme gegevensverzamelingen is de macht van overheden en bedrijven flink toegenomen. De mogelijkheden van burgers om zich tegen verkeerde uitkomsten te verweren zijn echter niet toegenomen. De balans is uit evenwicht geraakt en moet hersteld worden. Zo moeten er meer mogelijkheden komen voor burgers om zich te kunnen verzetten tegen maatregelen die 'uit de systemen' van de overheid of het bedrijfsleven rollen. De Wet bescherming persoonsgegevens moet met de volgende punten worden uitgebreid.
1. Er moet een actieve informatieplicht gelden naar de burger. Burgers mogen niet zonder kennisgeving als 'risicogeval' worden aangemerkt, omdat verweer daartegen zo niet mogelijk is. Als er een (negatief) oordeel op basis van een profiel over een persoon of personen is geveld, moeten burgers actief geïnformeerd worden over het oordeel, hoe dat tot stand is gekomen en wat de verzetsmogelijkheden zijn.
2. De burger heeft nu al recht op inzage in de informatie die over hem of haar is vastgelegd. Daarnaast moet de burger ook het recht hebben inzage te krijgen in de systematiek waarop besluiten tot stand zijn gekomen. Denk hierbij aan het profiel dat op basis van de gegevens is vastgesteld en de criteria op basis waarvan beslissingen genomen worden.
3. De bevoegdheid van Autoriteit Persoonsgegevens (AP) moet worden uitgebreid, zodat de AP niet alleen toezicht houdt op de verwerking van gegevens, maar ook toezicht houdt op het profileringsproces en de algoritmen of processen die tot beslissingen leiden. De AP moet een ruimer budget krijgen om effectief toezicht te kunnen houden.
2. Gegevensbescherming sociaal domein op orde brengen
» Er komt een landelijk minimum normenkader voor gemeenten voor de omgang met gegevens in het sociale domein. Gemeenten worden periodiek getoetst. Bij falen volgen sancties.
» Gemeenten moeten hun Suwinet snel op orde brengen.
» Een mogelijke kaderwet voor het automatisch delen van gegevens van burgers binnen de overheid komt er niet. Dit plan is fundamenteel in strijd met Europese en Nederlandse wetgeving.
» Het SyRI-systeem is niet proportioneel en wordt daarom uitgefaseerd of in ieder geval drastisch ingeperkt.
Met de decentralisatie van het sociale domein naar de gemeenten is de privacy van burgers in de knel gekomen. Gemeenten hebben te weinig deskundigheid en te weinig prikkels om het beschermen van persoonsgegevens goed te organiseren. Landelijke sturing is tot nu toe uitgebleven. Om de privacy in het sociale domein goed te borgen, moet er een landelijk toetsingskader komen met normen waaraan de gemeenten moeten voldoen. Aan deze normen moet een jaarlijkse audit worden verbonden.
Het gemeentelijke systeem Suwinet waarin veel persoonlijke gegevens van inwoners zijn opgeslagen, kent al sinds 2002 normen voor goede privacybescherming. Het laatste grote onderzoek uit 2015 laat zien dat slechts 17% van de gemeenten aan deze normen voldoet. In de komende periode moeten gemeenten gedwongen worden aan de normen te voldoen op straffe van hoge boetes of andere sancties.
De regering heeft het plan opgevat om alle gegevens die binnen de overheid beschikbaar zijn automatisch te koppelen voor toezicht, handhaving, opsporing en vervolging, ook als daar geen enkele noodzaak voor bestaat. De regering wil hiermee nog gedetailleerder het gedrag van burgers controleren om mogelijke fraude tegen te gaan. Het basisidee voor deze 'kaderwet' is strijdig met Europese en Nederlandse privacywetgeving en gaat in tegen elk uitgangspunt om fatsoenlijk met privacy van burgers om te gaan. Daarnaast blijkt het fraudebedrag iedere keer weer kleiner dan 0,2%, waardoor de inzet van dit paardenmiddel volstrekt onzinnig is. Dit plan moet niet verder uitgewerkt worden.
Ook het SyRI-systeem brengt vrijwel onbeperkt alle gegevens binnen de (semi-)overheid in één systeem om mensen langs een meetlat te kunnen leggen op zoek naar fraude. Het systeem is niet proportioneel omdat, zoals gezegd, de fraude minder is dan 0,2% van het budget in de sociale zekerheid, maar ook omdat dit systeem buitenproportioneel veel gegevens verzamelt. In de komende regeerperiode dient het uitgefaseerd te worden. Als het systeem al ingezet wordt, zal het aantal gegevensgebieden drastisch ingeperkt dienen te worden.
3. Medisch beroepsgeheim niet uithollen
» Medisch beroepsgeheim niet verzwakken voor opsporingsdoeleinden of mogelijke fraude.
» E-health alleen invoeren met goede privacywaarborgen.
» Toestemming voor inzage in medische dossiers niet verzwakken omdat het landelijk elektronisch patiëntendossier LSP niet in staat is aan de bestaande wet te voldoen.
Zorgverzekeraars horen zonder toestemming van de patiënt geen toegang tot medische dossiers te hebben. Ook niet in het kader van fraudeonderzoek. Los van het principiële punt, is het ook buitenproportioneel omdat de fraude op dit gebied slechts 0,015% bedraagt van het zorgbudget.
Het medisch dossier is niet toegankelijk voor opsporingsdiensten als de patiënt geen toestemming geeft. Opsporingsautoriteiten hebben al voldoende middelen om de (psychische) gesteldheid van mensen te kunnen beoordelen. Het medisch beroepsgeheim blijft zoals het is en wordt niet verder uitgehold. Ook nu al is het medisch beroepsgeheim niet absoluut. Zorgverleners mogen hulp inschakelen als er acuut gevaar voor mensen dreigt. Mensen gaan zorg mijden als medici een verlengstuk van de opsporingsdiensten gaan worden.
Mensen willen goede zorg. E-health kan daarbij nieuwe oplossingen bieden. Maar de menselijke behoefte is breder dan alleen een nieuwe technische oplossing. E-health zal alleen succesvol kunnen zijn als dat gebeurt met behoud van privacy voor patiënten. De privacybescherming moet niet worden aangetast omdat de techniek er niet mee overweg kan, zoals nu met het landelijk elektronisch patiëntendossier LSP dreigt te gebeuren, of omdat technische ontwikkelaars privacy maar lastig vinden.
4. Privacy by design is de standaard
» Privacy wordt onnodig als belemmering gezien, omdat organisaties zich er te laat in verdiepen. Met privacy by design wordt dat opgelost.
Privacy by design wordt een wettelijk verplicht uitgangspunt. Dat is uitdrukkelijk aangegeven in de EU-verordening die inmiddels is aangenomen en in april 2018 in de gehele Europese Unie van kracht wordt. Zowel de overheid als het bedrijfsleven zullen daarom bij nieuwe wetgeving of nieuwe producten vanaf het begin rekening moeten houden met privacy. Dat is voor een informatiesamenleving een volstrekt logisch uitgangspunt. Overheden of bedrijven die aan het eind van een ontwikkeltraject mopperen dat privacy toch zo'n vervelende belemmering is, hebben niet begrepen in wat voor maatschappij zij leven. Het beschermen van gegevens van burgers moet een uitgangspunt zijn bij ieder productconcept of wetsvoorstel.
5. Antiterreurmaatregelen moeten tijdelijk zijn
» Het nieuwe wetsvoorstel geeft zonder goede controle teveel bevoegdheden aan de AIVD. Beter kan de bestaande wet enigszins worden aangepast.
» Antiterreurmaatregelen worden vaak op emotionele gronden ingevoerd. Daarom moeten deze maatregelen altijd tijdelijk zijn en periodiek geëvalueerd worden.
De geheime diensten zoeken de grenzen van de wet op en gaan daar regelmatig overheen. Dat blijkt uit elk toezichtsrapport. Het is daarom geen goed idee de inlichtingendiensten wettelijk zoveel mogelijk bevoegdheden te geven in de hoop dat ze zichzelf beperken en de bevoegdheden alleen inzetten als dat persé noodzakelijk is. De balans tussen de vergaande bevoegdheden van de geheime diensten en de fundamentele vrijheden van burgers is gebaat bij een zeer strenge afbakening van bevoegdheden en onafhankelijke controle op de inzet daarvan. Daarmee krijgt Nederland effectieve terreurbestrijding waarbij wordt voorkomen dat te veel onverdachte burgers worden afgeluisterd.
Het wetsvoorstel voor een nieuwe Wet op de inlichtingendiensten waarin de inlichtingendiensten vrijwel ongericht het internet mogen afluisteren zonder dat dat onafhankelijk gecontroleerd wordt, moet daarom van tafel. Dat concludeert ook de toezichthouder op de inlichtingendiensten. Het beschermen van de staatsveiligheid is meer gediend met een kleine aanpassing van de bestaande Wet op de inlichtingen- en veiligheidsdiensten (Wiv 2002). Daarin mogen inlichtingendiensten de kabel en het internet ook al afluisteren, maar alleen gericht op verdachte personen of organisaties. Een beperkt 'sleepnet' rond verdachte personen of organisaties is al toegestaan om zo ook de kring rond deze verdachten in het vizier te krijgen.
Nieuwe antiterreurmaatregelen moeten alleen nog met een evaluatie- en horizonbepaling worden ingevoerd. De effectiviteit van voorgestelde maatregelen is vaak onbewezen. Na de aanslagen van november 2015 in Frankrijk moeten de gegevens van vliegtuigpassagiers centraal worden verzameld, terwijl de terroristen met de auto uit België kwamen. Op emotionele gronden worden er in ijltempo allerlei bevoegdheden ingevoerd, waarvan het maar de vraag is wat die bijdragen aan de veiligheid in Europa. Intussen kalven de fundamentele vrijheden voor burgers steeds verder af zonder dat we daar aantoonbare veiligheid voor terugkrijgen. Meestal schort het niet aan bevoegdheden of dat terroristen niet in beeld zijn, maar aan de onderlinge samenwerking. Door een horizonbepaling in een wet op te nemen, vervalt een wet automatisch na enkele maanden of jaren (de horizon) en moet er opnieuw een serieuze afweging worden gemaakt of een maatregel daadwerkelijk van kracht blijft.
6. Meer privacywaarborgen bij opsporing
» De regering geeft te makkelijk nieuwe bevoegdheden aan de politie waarvan de noodzaak niet duidelijk is. Dat moet stoppen.
Het 'terughack'-wetsvoorstel voor de politie moet van tafel. Preventief fouilleren blijkt ineffectief en wordt gestopt.
» De uitbesteding van de opsporing aan bedrijven en particulieren moet worden geëvalueerd en ingeperkt.
» Intimidatie door politie bij onwelgevallige meningen wordt gestopt.
» De politie gaat zich ook aan de wet voor gegevensbescherming houden.
De opsporingsmogelijkheden voor de politie worden steeds groter. Deels komt dat doordat er nieuwe technische mogelijkheden komen, zoals bijvoorbeeld big data ('predictive policing'), drones en goedkope camera's. Anderzijds komt dat doordat het kabinet de politie steeds meer ruimte geeft. De regering geeft de politie teveel bevoegdheden die niet noodzakelijk zijn en regelmatig zelfs in strijd zijn met het Europese recht.
De bewaarplicht voor telecomgegevens is door de rechter verboden, omdat het voornamelijk gegevens betrof van onverdachte burgers. De regering wilde op elke snelweg kentekenscanners om automobilisten te kunnen volgen, maar heeft dit wetsvoorstel in de wacht gezet omdat het om dezelfde reden waarschijnlijk in strijd met de wet is. In augustus 2016 bleek dat ook de kentekenscanners van de belastingdienst in strijd met de wet teveel gegevens van onverdachte burgers vastlegt.
Naast het feit dat het onbehoorlijk bestuur is om wetten in te voeren die achteraf ongeldig moeten worden verklaard, blijken ze ook onnodig. Al jaren gaan de misdaadcijfers omlaag. De minister slaagt er bij de nieuwe 'terughack'-wetgeving voor de politie niet in de noodzaak ervan aan te tonen. Ook bij het nieuwe wetsvoorstel voor een nieuwe bewaarplicht lukt het niet aan te geven waarom dat noodzakelijk is.
Wetgeving die overduidelijk in strijd is met privacyrechten of waarvan de noodzaak ontbreekt horen niet te worden ingevoerd. Het terughack-wetsvoorstel gaat daarom van tafel. Een nieuwe bewaarplicht komt er niet. Ook het preventief fouilleren blijkt volgens evaluaties niet effectief, is in strijd met fundamentele rechten en moet worden afgeschaft.
Uitbesteden opsporingstaak
De politie gaat steeds vaker samenwerking aan met particulieren. Zo mogen particuliere camera's door de politie worden gebruikt bij de opsporing. Ook werkt de politie, maar ook de andere opsporingsinstanties steeds vaker samen met particuliere bedrijven. Zo worden onder andere uitkeringsgerechtigden gevolgd door privé-detectives om te controleren of ze zich aan de regels houden. Deze bureaus kunnen echter een financieel belang hebben bij het verdacht maken van mensen. In de komende periode moet de publiek-private samenwerking in de opsporing grondig geëvalueerd worden en direct worden beperkt waar burgers onterecht schade kunnen oplopen.
De overheid probeert steeds vaker preventief in te grijpen om te zorgen dat iedereen binnen de lijntjes blijft. Soms kan dat behulpzaam zijn als iemand het zelf niet meer redt, maar regelmatig is het intimiderend, waardoor mensen zelfcensuur in hun gedrag gaan toepassen. Dat is zeer onwenselijk en ontneemt mensen hun recht om volledig zichzelf te kunnen zijn binnen de grenzen van de wet. Om daar grip op te krijgen moet de politie standaard STOP-formulieren gebruiken als zij mensen 'ter controle' aanhoudt. Mensen worden niet thuis opgezocht als een systeem aangeeft dat ze in de toekomst misschien ongewenst verdrag gaan vertonen als spijbelen of schulden maken. Mensen worden ook niet thuis opgezocht als ze ongewenste tweets versturen. Mensen die tegen de monarchie zijn worden niet preventief opgepakt of monddood gemaakt.
Politie 'achteloos' met privacy van burgers.
De politie houdt zich intussen zelf niet aan de wet. Uit verschillende evaluaties blijkt dat de politie 'achteloos' is met het beschermen van persoonsgegevens. De minister erkent dit, maar gaat het pas eind 2019 oplossen. Dat is niet acceptabel. In de komende regeerperiode wordt het een prioriteit voor de politie om zich aan de wet te houden. De politie weet al jaren welke wettelijke regels ze moet naleven en heeft hiervoor ook processen en plannen voorbereid. De politie wordt in staat geacht eind 2017 de bescherming van de gegevens van burgers op orde te hebben.
7. Betere waarborgen voor fundamentele rechten
» Er komt een staatssecretaris van gegevensbescherming.
» Briefgeheim wordt uitgebreid tot communicatie- en opslaggeheim.
» Er komt een constitutioneel hof.
De bescherming van rechten van burgers houdt geen gelijke tred met de toegenomen technische mogelijkheden en de toegenomen bevoegdheden van overheden. Een democratische rechtsstaat functioneert alleen als macht effectief gecontroleerd wordt en een individuele burger zich effectief tegen de machtige overheid of bedrijven kan verweren. De volgende punten dragen eraan bij de balans weer meer in evenwicht te krijgen.
- Er komt een staatssecretaris van gegevensbescherming die over alle ministeries heen coördinerend optreedt voor een consistente en zorgvuldige omgang met gegevens in de wetgeving. Een aparte staatssecretaris doet recht aan de grote groei van de informatiesamenleving en kan zijn/haar specifieke deskundigheid de wetgeving op andere ministeries ondersteunen.
- Op dit moment wordt alleen het briefgeheim in de Grondwet beschermd. Dat is op zich niet vreemd, omdat bij de laatste grote aanpassing de informatiesamenleving nog in de kinderschoenen stond. Het briefgeheim wordt omgedoopt tot communicatie- en opslaggeheim. In de Grondwet moet daarom worden opgenomen dat alle communicatie en gegevensdragers in principe onschendbaar zijn. Een uitzondering daarop is alleen mogelijk als dat wettelijk is vastgelegd en alleen met rechterlijke toestemming en onder toezicht van een officier van justitie. Voor het doorzoeken van gegevensbewaarders als mobiele telefoons of computers moet eenzelfde procedure gaan gelden als voor het doorzoeken van een woning.
- Rechters mogen op dit moment wetten niet toetsen aan de Grondwet, waarin ook het recht op privacy is vastgelegd. Een Constitutioneel Hof mag dat wel. Burgers krijgen daarmee een mogelijkheid om privacywetgeving te laten toetsen bij de rechter. Dat dit geen luxe is, blijkt wel uit het feit dat de bewaarplicht en de kentekenscanners van de Belastingdienst nu via een jarenlange juridische strijd ongeldig zijn verklaard, omdat ze in strijd zijn met onze grondrechten. Op dit moment is Nederland nagenoeg het enige land in West-Europa dat een totaalverbod op constitutionele toetsing door de rechtelijke macht kent. Artikel 120 van de Grondwet dient aangepast te worden, waarna zo snel mogelijk een Constitutioneel Hof moet worden ingevoerd. Tot die tijd wordt de Eerste Kamer als extra controlestap bij wetgeving sowieso niet opgeheven.
8. Privacy moet betaalbaar blijven
» Korting in ruil voor persoonsgegevens bij een product of dienst mag maximaal vijf procent bedragen.
Persoonlijke gegevens zijn geld waard. Verschillende bedrijven geven mensen korting voor een dienst of product als zij hun gegevens willen afstaan. Denk bijvoorbeeld aan de OV-chipkaart of aan een autoverzekering die met een kastje het rijgedrag in de auto registreert. Maar naarmate meer mensen zo'n registratiekastje zullen laten plaatsen, kan het voor verzekeraars lucratief worden om mensen die zo'n kastje niet willen een (veel) hogere premie te laten betalen. Het is ongewenst als mensen die privacy belangrijk vinden veel meer moeten gaan betalen voor hetzelfde product. Het is onwenselijk als alleen welgestelden het fundamentele recht op privacy kunnen betalen. Daarom moet de korting bij een dienst in ruil voor gegevens gemaximeerd worden tot vijf procent.
