Juridische vraag: Heeft het door DUO opvragen van reisgegevens van studenten een wettelijke grondslag?
Ict-jurist Arnoud Engelfriet geeft elke week antwoord op een interessante vraag over beveiliging, recht en privacy. Heb jij een vraag? Stuur hem naar juridischevraag@security.nl.
Vraag: In de media wordt gemeld dat Translink zomaar reisgegevens van studenten heeft gegeven aan DUO, die daarmee fraude wilde opsporen. Dat gebeurt zonder tussenkomst van een officier van justitie, is dat dan wel legaal?
Antwoord: TransLink beheert reisgegevens van alle personen die reizen met een ov-chipkaart in Nederland, waaronder natuurlijk een heleboel studenten met reisproduct. Uit die reisgegevens zijn allerlei interessante gegevens af te leiden, waaronder waar iemand woont: als iemand zegt uitwonend student te zijn in Amsterdam, maar elke dag zijn er veel korte ritjes in Deventer en af en toe retourtreinritten naar Amsterdam Amstel, dan kun je vraagtekens zetten bij dat uitwonend zijn.
DUO vond dat laatste zo interessant dat ze structureel die gegevens besloot op te vragen bij TLS. Daarbij werd gewerkt met een risicoprofiel, er werd dus niet zomaar bij iedereen meegekeken.
Maar dat is niet genoeg natuurlijk: dergelijke reisgegevens zijn persoonsgegevens, en dat moet dus netjes gebeuren binnen de Wet bescherming persoonsgegevens. Hier gaat het dan ook nog eens om een overheidsinstantie (DUO is de Dienst Uitvoering Onderwijs van het Ministerie van Onderwijs, Cultuur en Wetenschap) en dan moet het al helemáál strak geregeld zijn: er moet een wettelijke regeling zijn die specifiek hierover gaat en die fatsoenlijk rekening houdt met de privacy van eerlijke mensen.
In de zaak van een student in mei ging het mis op dat eerste. Er is geen wettelijke grondslag voor wat DUO deed. Een protocol tussen DUO en TLS is geen wet.
Ook de Algemene Wet Bestuursrecht is geen wet, althans geen voldoende precieze wettelijke grondslag zoals onder de Wbp vereist:
Naar het oordeel van de rechtbank voldoen de artikelen 5:16 en 5:17 van de Awb niet aan dit vereiste. Deze artikelen bepalen dat een toezichthouder bevoegd is inlichtingen te vorderen en bevoegd is inzage te vorderen van zakelijke gegevens en bescheiden. Uit de memorie van toelichting volgt dat onder zakelijke gegevens moet worden verstaan ‘gegevens die gebruikt worden ten dienste van het maatschappelijk verkeer’. Zoals hierboven al is overwogen zijn de door verweerder opgevraagde Trans Link gegevens op de persoon van eiser herleidbaar. Deze gegevens zijn daarmee niet langer zakelijk in de zin van artikel 5:17 Awb.
Daarmee is het niet toegestaan die gegevens te vergaren. Gezien de ernst van de onrechtmatige verwerking worden de aldus verkregen gegevens uitgesloten van het bewijs. Dat is in Nederland uitzonderlijk bij gewone rechtszaken, maar het ging hier dus om een overheidsinstantie en die worden veel strenger daarop afgerekend.
DUO heeft al aangekondigd geen gebruik meer te maken van deze constructie om reisgegevens op te vragen totdat de Centrale Raad van Beroep zich over hoger beroep heeft gebogen.
En die officier van justitie dan? Die is totaal irrelevant, ook als het niet om overheidsinstanties zou gaan. Persoonsgegevens afgeven moet als de wet dat eist, en toezichthouders zoals DUO kunnen dat onder omstandigheden eisen. Privépartijen ook, onder het Lycos/Pessers arrest. Daar zit allemaal geen gerechtelijk bevel tussen of toetsing door een officier van justitie. Die kreet is een amerikaanserechtbankfictie. Het is eigenlijk nog veel simpeler: waar in de wet staat dat dit mag?
Arnoud Engelfriet is Ict-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.
Dan moet je wel een soort brutaliteit hebben, of een heel sterk gevoel van: "dat ik de wet heb overtreden, betekent niet dat anderen dat ook mogen".
In elk geval hoop ik dat 'ie stopt met dit soort oplichterij.
Niet heel gek aangezien het hele feest ondertussen alleen nog maar een lening is, laat dan de studenten zelf beslissen hoeveel ze dan lenen en hoe ze die lening besteden. Zo bezien is die studentenovchipkaart een soort koppelverkoop die studenten nodeloos op kosten jaagt.
Dat zie je ook aan het niet op tijd opzeggen van dat onding en dan hele zware boetes over je heenkrijgen, gewoon omdat je even wat vergeten bent. Studenten zijn nogal laks meestal, dat is bekend, dus waarom je de boel dan zo inricht? Stinkt toch naar proberen de student te flessen, en in zo'n sfeertje krijg je al snel dat "de andere kant" het ook niet meer zo nauw neemt met de regels.
Ik denk dus dat hier nog best het een en ander te verbeteren is en dat de overheid de hand eerst in eigen boezem mag steken voor ze weer aan haar hobby gaat, naar burgertjes vingertjezwaaien.
Een tweede: "Waarom loopt DUO steeds tegen de lamp met illegale controleacties?"
En de vraag die ik al jaren heb: "Waarom zou Translink jarenlang mijn reisgegevens mogen bewaren?"
@Anoniem 13:52, als het fraude-team van de DUO beter zou functioneren dan zou er minder fraude zijn. Je krijgt hele schrijnende situaties als personen in beroep worden vrijgesproken omdat jij als organisatie onbevoegde controleurs inzet.
niet krijgt, die ander wil die faciliteiten ook, en gaat dan doen alsof ie aan de voorwaarden voldoet.
Het zou natuurlijk simpel op te lossen zijn door al dit soort ongelijke faciliteiten af te schaffen. Geen toeslagen meer,
geen studiefinanciering meer (of in ieder geval geen verschillen), enz.
Je moet je echter wel bedenken dat er groepen in de samenleving zijn die minder te besteden hebben dan andere, en
voor wie dat een behoorlijke klap zou zijn. We hebben onze samenleving in een spiraal van economische groei zo
duur gemaakt dat iemand met een laag inkomen daar niet meer in kan rondkomen, en daarom is dit soort toeslagen
nodig.
Je kunt de boel ook minder fraudegevoelig maken door genadeloos te controleren. Als fraude vrijwel altijd ontdekt
wordt dan zullen minder mensen het gaan doen. Maar ja, controle dat willen de mensen ook niet. Dat zie je aan
deze zaak.
niet krijgt, die ander wil die faciliteiten ook, en gaat dan doen alsof ie aan de voorwaarden voldoet.
geen studiefinanciering meer (of in ieder geval geen verschillen), enz.
Je moet je echter wel bedenken dat er groepen in de samenleving zijn die minder te besteden hebben dan andere, en
voor wie dat een behoorlijke klap zou zijn. We hebben onze samenleving in een spiraal van economische groei zo
duur gemaakt dat iemand met een laag inkomen daar niet meer in kan rondkomen, en daarom is dit soort toeslagen
nodig.
wordt dan zullen minder mensen het gaan doen. Maar ja, controle dat willen de mensen ook niet. Dat zie je aan
deze zaak.
Je doet net alsof alle regelingen eender zijn waarmee de hoeveelheid en ernst van fraude direct correleert aan hoevaak er een ambtenaar even persoonlijk tandenborstels komt tellen in je huis en dat is gewoon niet waar.
Het is wel een populaire manier van "denken" in het Ambtelijke, want den Ambtenaar heeft de eerlijkheid in pacht en de burger Dus Niet. Tsja, zo weet je zeker dat verbeteringen niet vanuit het Ambtelijke gaan komen.
niet krijgt, die ander wil die faciliteiten ook, en gaat dan doen alsof ie aan de voorwaarden voldoet.
Jammer dat je die baan niet hebt.
Daar missen we toch wel een hoop aan...
geen studiefinanciering meer (of in ieder geval geen verschillen), enz.
Je moet je echter wel bedenken dat er groepen in de samenleving zijn die minder te besteden hebben dan andere, en
voor wie dat een behoorlijke klap zou zijn. We hebben onze samenleving in een spiraal van economische groei zo
duur gemaakt dat iemand met een laag inkomen daar niet meer in kan rondkomen, en daarom is dit soort toeslagen
nodig.
tot jij denk ik dat het helemaal niet mogelijk is om weer uit die situatie te komen zonder een hoop pijn, die dan
ook nog eens ongelijk verdeeld wordt. Kijk eens hoe het gaat als er een toeslag zou moeten worden afgeschaft
die vooral ten goede komt van de beter bedeelden (de hypotheekrente aftrek), dan is het je misschien duidelijk wat
de impact zal zijn als je de toeslagen voor de onderkant van de samenleving zou willen afschaffen.
niet krijgt, die ander wil die faciliteiten ook, en gaat dan doen alsof ie aan de voorwaarden voldoet.
Jammer dat je die baan niet hebt.
Daar missen we toch wel een hoop aan...
geen studiefinanciering meer (of in ieder geval geen verschillen), enz.
Je moet je echter wel bedenken dat er groepen in de samenleving zijn die minder te besteden hebben dan andere, en
voor wie dat een behoorlijke klap zou zijn. We hebben onze samenleving in een spiraal van economische groei zo
duur gemaakt dat iemand met een laag inkomen daar niet meer in kan rondkomen, en daarom is dit soort toeslagen
nodig.
tot jij denk ik dat het helemaal niet mogelijk is om weer uit die situatie te komen zonder een hoop pijn, die dan
ook nog eens ongelijk verdeeld wordt.
die vooral ten goede komt van de beter bedeelden (de hypotheekrente aftrek), dan is het je misschien duidelijk wat
de impact zal zijn als je de toeslagen voor de onderkant van de samenleving zou willen afschaffen.
Het gaat mij erom een doelsituatie te schetsen onafhankelijk van de huidige situatie. Zodra we daar over eens zijn wordt het tijd om een overgang te verzinnen die wellicht niet pijnloos is maar ook niet nodeloos pijnlijk hoeft te zijn. Alleen, zo'n overgang structureren begin je pas mee als je een duidelijk doel gesteld hebt. En tot je dat doel geformuleerd hebt, heeft het geen zin te roepen dat de huidige situatie onwrikbaar vast zit want je hebt geen idee hoe de overgang eruit zou kunnen zien.
Translink hoeft feitelijk alleen terug te koppelen aan DUO of het reisgedrag past bij het (woon/ factuur) adres. Dat kan dan met een simpel ja/ nee antwoord en daarmee beperkt je de informatiestroom. Volgens mij is dat een route die prima te bewandelen is, Arnoud kun je je hierin vinden?
Dan moet je wel een soort brutaliteit hebben, of een heel sterk gevoel van: "dat ik de wet heb overtreden, betekent niet dat anderen dat ook mogen".
In elk geval hoop ik dat 'ie stopt met dit soort oplichterij.
Het lijkt erop dat jjij leeft met de norm ' schuldig totdat onschuld is bewezen ' !
Hij wordt verdacht van fraude en voor jou is hij al gelijk schuldig bevonden, zo jammer.
Ook een beetje naïef van je te denken dat hij er een rechtzaak van maakt omdat (jij vind dat) tie al schuldig is bevonden, terwijl hij vindt onschuldig te zijn en dan is het niet zo vreemd dat hij zijn recht probeert te halen.
Zie hier de uitspraak van de rechter en daarbij de tegenargumenten van de eiser :
https://uitspraken.rechtspraak.nl/inziendocument?id=ECLI:NL:RBDHA:2017:5165
en dan mag je nog 's kijken of het een vaststaand feit is dat hij loog over zijn woonadres.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.