image

AP: gebruik locatiedata tegen corona kan alleen met wettelijke regeling

woensdag 1 april 2020, 17:42 door Redactie, 12 reacties

Het gebruik van mobiele locatiegegevens om het coronavirus te bestrijden is alleen toegestaan als hier een wettelijke regeling voor komt, zo stelt de Autoriteit Persoonsgegevens (AP). De toezichthouder waarschuwt daarnaast voor de valse tegenstelling tussen privacy en volksgezondheid.

Verschillende landen maken inmiddels gebruik van locatiegegevens om bijvoorbeeld te kijken hoe het virus zich verspreidt en op welke locaties veel mensen samenkomen. Telecombedrijven in Nederland mogen gegevens van klanten alleen met de overheid delen als klanten hiervoor zelf toestemming hebben gegeven of de gegevens anoniem zijn.

"Het anoniem maken van dit soort gegevens kan niet, omdat dat nooit onomkeerbaar is. Wie weet waar iemand woont of werkt en die gegevens combineert met de 'geanonimiseerde' locatiegegevens van heel veel mensen, kan met die combinatie achterhalen wie bij welke locatiegegevens hoort", zo laat de toezichthouder weten. Volgens AP-voorzitter Aleid Wolfsen zijn locatiegegevens dan ook persoonsgegevens en mogen die niet zomaar worden gedeeld.

De enige manier om deze gegevens toch te kunnen gebruiken is een wettelijke regeling, bijvoorbeeld via een spoedwet. "Het gebruik van locatiegegevens van burgers door de overheid is zeer ingrijpend. Zo’n maatregel moet in ieder geval duidelijk zijn, in verhouding staan tot het doel ervan en voldoende waarborgen bevatten. Daar zullen wij goed op letten, mocht er zo’n wetsvoorstel komen", stelt Wolfsen.

Valse tegenstelling

De AP-voorzitter waarschuwt om goed na te denken over allerlei maatregelen die nu worden ingevoerd en hun impact op de privacy. "In crisistijd wordt privacy weleens tegenóver veiligheid of volksgezondheid geplaatst. Dat is een valse tegenstelling. We moeten én de volksgezondheid beschermen én ons grondrecht van de privacy. En dat steeds in een juiste balans", merkt Wolfsen op.

Het is belangrijk dat er nu geen beslissingen worden genomen waar we later spijt van krijgen, gaat Wolfsen verder. "We moeten voorkomen dat we nu ons recht op privacy overboord gooien. Dat we nu een surveillancemaatschappij optuigen waar we dan na de coronacrisis mee zitten opgescheept. Daarom is de controle van ons parlement ook zo belangrijk. We leven in een net, democratisch land. Dat geldt juist óók in crisistijd."

Reacties (12)
01-04-2020, 20:03 door Anoniem
Mooi om te zien dat er ook inhoudelijk naar de 'anonieme data' gekeken wordt. Dat schets toch het beeld dat er genoeg deskundigheid aanwezig is om dit goed te wegen.

Erg goede oproep ook om een dergelijke aanpak via een het democratisch proces te laten verlopen. Laat partijen maar kleur bekennen, dan weet ik op wie ik kan stemmen volgend jaar.
02-04-2020, 07:37 door karma4
Het dagelijks overzicht van het RIVM bevat een kaart van nederland, dat zijn locatiegegevens
De WHO gebruikt een overzicht per land, dat zijn locatiegegevens.
He AP heeft met deze verklaring van privacy verklaard dat het bestrijden van infectieziekten een privacy inbreuk is.
Wanneer gaan ze de insteek conform GDPR nemen dat privacy een plicht bij verwerking is en geen grondrecht met geheimhouding en voor een persoon. Die rare houding het zou kunnen zijn dat misbruik van persoonsgegevens gemaakt worden als iemand wat van een persoon weet, dat werkt ook tegen echte privacy.
02-04-2020, 08:22 door Anoniem
Door karma4: Het dagelijks overzicht van het RIVM bevat een kaart van nederland, dat zijn locatiegegevens
De WHO gebruikt een overzicht per land, dat zijn locatiegegevens.
Het artikel gaat vrij duidelijk over locatiegegevens van telecomproviders. Dus locatiegegevens nauwkeurig tot op enkele honderden meters en gevolgd over tijd. Wat jij beschrijft is op gemeente of land niveau en niet over tijd heen. Het deanonimiseren gebeurt op basis van het gegeven dat mensen veelal een vaste woon/werk verblijfplaats en andere vaste patronen hebben. Met een statisch kaartje, dus geen gegevens over tijd heen, zoals het RIVM en WHO online plaatsen, lijkt het mij een stuk lastiger te deanonimiseren. Je vergelijking gaat dus niet op.

Door karma4: He AP heeft met deze verklaring van privacy verklaard dat het bestrijden van infectieziekten een privacy inbreuk is.
Wanneer gaan ze de insteek conform GDPR nemen dat privacy een plicht bij verwerking is en geen grondrecht met geheimhouding en voor een persoon.
Dat stelt de AP niet, het stelt alleen dat er op dit moment geen juridische basis is om dergelijke locatiegegevens te verwerken. Als de overheid dit wil zal het met een spoedwet moeten komen waarin het een belangenafweging maakt tussen de privacy van individuen en de algemene volksgezondheid. Die afweging wordt door de AP getoetst, net zoals elke wet door de Raad van State getoetst wordt, maar de tweede kamer kan een dergelijk advies gewoon naast zich neerleggen. Zie ook de sleepwet. Via deze weg is er echter wel sprake van een democratische rechtsgang, we kunnen er volgend jaar allemaal weer ons zegje over doen in de stembus. En daarmee is dus geen sprake van een machtsgreep buiten de wet om, zoals jij hier voorstelt. Een noodsituatie is geen moment om de democratische rechtsorde overboord te gooien.
02-04-2020, 09:28 door Anoniem
Door Anoniem: Mooi om te zien dat er ook inhoudelijk naar de 'anonieme data' gekeken wordt. Dat schets toch het beeld dat er genoeg deskundigheid aanwezig is om dit goed te wegen.

Erg goede oproep ook om een dergelijke aanpak via een het democratisch proces te laten verlopen. Laat partijen maar kleur bekennen, dan weet ik op wie ik kan stemmen volgend jaar.
Ik denk dat iedere partij momenteel wel doorheeft waar we mee te maken hebben. Blijkbaar heeft niet iedereen dit nog helemaal door.
02-04-2020, 09:46 door Anoniem
Door karma4: He AP heeft met deze verklaring van privacy verklaard dat het bestrijden van infectieziekten een privacy inbreuk is.

Weer lekker kort door de bocht. Dat zeggen ze toch helemaal niet. Hou nou eens op met onzin te posten. Wat ze wel zeggen staat vrij duidelijk in het artikel.

Ben het overigens volledig eens met Wolfsen wat dit betreft. Alles wat je nu 'weggeeft' krijg je later niet meer terug, daarom moet er nog steeds de juiste overweging gemaakt worden voordat er privacy opgeofferd wordt!
02-04-2020, 09:56 door Anoniem
Door karma4: Het dagelijks overzicht van het RIVM bevat een kaart van nederland, dat zijn locatiegegevens
De WHO gebruikt een overzicht per land, dat zijn locatiegegevens.
He AP heeft met deze verklaring van privacy verklaard dat het bestrijden van infectieziekten een privacy inbreuk is.
Niet het bestrijden van infectieziekten, het gaat hier om iets veel specifiekers: het inzetten van door telecomproviders verzamelde locatiedata bij het bestrijden van SARS-CoV-2.

En dat is een privacyinbreuk. Als een privacyinbreuk gerechtvaardigd is houdt het niet op een privacyinbreuk te zijn. Het is niet het een of het ander, er bestaat zoiets als een gerechtvaardigde privacyinbreuk.

Wanneer gaan ze de insteek conform GDPR nemen dat privacy een plicht bij verwerking is en geen grondrecht met geheimhouding en voor een persoon.
De eerste zin van overweging 1 van de AVG luidt:
De bescherming van natuurlijke personen bij de verwerking van persoonsgegevens is een grondrecht.
De "insteek conform GDPR" is dus uitdrukkelijk dat het wel een grondrecht is.

Kijk verder naar overweging 50, die gaat over het verwerken van persoonsgegevens voor een ander doel dan waarover ze aanvankelijk zijn verzameld:
De verwerking van persoonsgegevens voor andere doeleinden dan die waarvoor de persoonsgegevens aanvankelijk zijn verzameld, mag enkel worden toegestaan indien de verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens aanvankelijk zijn verzameld.
Het uitgangspunt is dus dat gegevens die door telecombedrijven zijn verzameld voor hun doelen niet mogen worden verwerkt voor een ander doel, tenzij die doelen verenigbaar zijn, en in dezelfde overweging kan je lezen dat "verenigbaar" niet alleen maar betekent dat de aanvankelijke doelen overeind blijven. Het gaat over doelbinding.

Maar er is een mogelijkheid om het toch te gebruiken (nog steeds overweging 50):
Indien de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend, kan in het Unierecht of het lidstatelijke recht worden vastgesteld en gespecificeerd voor welke taken en doeleinden de verdere verwerking als rechtmatig en verenigbaar met de aanvankelijke doeleinden moet worden beschouwd.
Daar staat gewoon met zoveel woorden dat er wetgeving nodig is voor wat ze nu willen. Precies wat AP aangeeft.
02-04-2020, 10:45 door Anoniem
Door Anoniem: Ik denk dat iedere partij momenteel wel doorheeft waar we mee te maken hebben. Blijkbaar heeft niet iedereen dit nog helemaal door.
Dat heb ik ook door. Het verschil zit hem in de partijen die een simpele en autoritaire aanpak willen tegenover de partijen die bereid zijn iets langer na te denken en in te zien dat er geen dilemma is tussen privacy en volksgezondheid. Er is momenteel veel onderzoek gaande om op een privacy vriendelijke manier contact tracing te doen bijvoorbeeld, daarvoor is het dus niet nodig locatiegegevens van alle Nederlands door de overheid te laten bijhouden. (Althans, niet voor de volksgezondheid, het is een illusie dat dit niet al gedaan wordt onder het mom van terrorisme).

Kleur bekennen betekend toegeven dat je als partij graag wil data graaien terwijl dat helemaal niet nodig is.
02-04-2020, 12:28 door karma4 - Bijgewerkt: 02-04-2020, 12:39
Door Anoniem: Het artikel gaat vrij duidelijk over locatiegegevens van telecomproviders. ..
Met een statisch kaartje, dus geen gegevens over tijd heen, zoals het RIVM en WHO online plaatsen, lijkt het mij een stuk lastiger te deanonimiseren. Je vergelijking gaat dus niet op.
Mijn vergelijk gaat uitstekend op. De locatiegegevens zijn met het BSN van de gemelde gevallen zeker als persoonsgegevens herleid naar woonplaats en geaggregeeerd in die rapportages.
Die rapportages zijn nog steeds locatiegegevens en met andere gegevens mogelijk te herleiden tot een specifiek persoon.
Dat mogelijk te herleiden tot een persoon is wat het AP als een overtuigend een belangrijk privacy probleem ziet.
Ergo ze zijn gewoon tegen maatregelen die volksgezondheid aangaan.

Door karma4: Het AP heeft met deze verklaring van privacy verklaard dat het bestrijden van infectieziekten een privacy inbreuk is. Wanneer gaan ze de insteek conform GDPR nemen dat privacy een plicht bij verwerking is en geen grondrecht met geheimhouding en voor een persoon.

Dat stelt de AP niet, het stelt alleen dat er op dit moment geen juridische basis is om dergelijke locatiegegevens te verwerken. Als de overheid dit wil zal het met een spoedwet moeten komen waarin het een belangenafweging maakt tussen de privacy van individuen en de algemene volksgezondheid. Die afweging wordt door de AP getoetst, net zoals elke wet door de Raad van State getoetst wordt, maar de tweede kamer kan een dergelijk advies gewoon naast zich neerleggen. …… Een noodsituatie is geen moment om de democratische rechtsorde overboord te gooien.

Wat je hier steld is vrij schokkkend. Je stelt dat het AP zich boven de regering wetgever en rechter kan opstellen wegens het privacy recht. Daar geloof ik niets van. Volksgezondheid is een grondrecht en daar zijn heel wat wetten voor.

Welke gegevens en op wat voor manier gedeeld zouden moeten worden zie ik niet bij de vraag. Alleen het AP beweerd zelf dat het om track en trace gegevens per persoon/mobiel moet gaan. Dat is niet een meedenkende houding. Privacy is echt niet de grote ik waarmee je een andere in het verderf mag storten.

Ook die stellingname van het AP is niet volgens de wetgeving. Die wetgeving met alle noodmaatregelen bestaat al. Het is niet voor niets dat het RIVM nu in de noodsituatie zo op de voorgrond optreed.

https://wetten.overheid.nl/BWBR0008289/2020-03-19
" Het RIVM heeft, onverminderd het bepaalde bij of krachtens andere wetten, tot taak:
a. monitoring, surveillance en onderzoek te verrichten dat is gericht op ondersteuning van de beleidsontwikkeling, de beleidsuitvoering, de bewaking van de veiligheid en de uitoefening van toezicht op het gebied van de volksgezondheid en het milieu;
b. periodiek te rapporteren over de toestand en de toekomstige ontwikkeling van de volksgezondheid en het milieu;


Je ziet intussen genoeg ideeen langskomen waarmee geen toegang tot alle details nodig is maar wel de migratiestromen of mogelijke contacten met een maximale periode van 2-3 weken meegenomen worden.
Alleen bij het AP valt dat kwartje kennelijk niet dat er naar oplossingen gezocht moet worden.


Even over dat grondrecht. Het is vertaal uit het engels via "fundamental" met de verwijzing naar de EHRM.
https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32016R0679&from=EN
Het is niet jouw interpretatie van recht op privacy als grondwet,
https://wetten.overheid.nl/BWBV0001000/2010-06-10
"Article 8. - Right to respect for private and family life
1 Everyone has the right to respect for his private and family life, his home and his correspondence.
2 There shall be no interference by a public authority with the exercise of this right except such as is in accordance with the law and is necessary in a democratic society in the interests of national security, public safety or the economic well-being of the country, for the prevention of disorder or crime, for the protection of health or morals, or for the protection of the rights and freedoms of others.
"

Intussen wordt dat recht op privacy misbruikt op een manier tegen de lijn van die EHRM in.
De Volksgezondheid valt letterlijk onder die rechten op privacy en persoonlijke levenssfeer..
02-04-2020, 14:40 door Anoniem
Wat je hier steld is vrij schokkkend. Je stelt dat het AP zich boven de regering wetgever en rechter kan opstellen wegens het privacy recht. Daar geloof ik niets van. Volksgezondheid is een grondrecht en daar zijn heel wat wetten voor.
Nee dat stel ik niet. Het is de AP die concludeerd dat er sprake is van persoonsgegevens bij dit soort locatie gegevens en er op dit moment geen wettelijke basis is voor die verwerking met als doel het indammen van de verspreiding. Dat is een ander doel dan het bijhouden van het aantal geinfecteerde mensen in Nederland voor het plannen van de capaciteit of bijhouden van statistiek, zoals nu al wel gebeurd. Er is dus sprake van een ander doel en andere soort persoonsgegevens die hiervoor gebruikt zouden moeten worden, daarvoor is het nodig om eerst met nieuwe wetgeving te komen.

Alleen bij het AP valt dat kwartje kennelijk niet dat er naar oplossingen gezocht moet worden.
Het AP heeft al aangegeven een speciaal team te hebben wat snel een advies kan geven mocht de regering met een spoedwet komen. Daarmee doet het volgens mij alles wat het zou kunnen doen.


Intussen wordt dat recht op privacy misbruikt op een manier tegen de lijn van die EHRM in.
De Volksgezondheid valt letterlijk onder die rechten op privacy en persoonlijke levenssfeer..

In je citaat staat duidelijk except such as is in accordance with the law. Het is dus goed mogelijk om met een spoedwet te komen waarbij privacy ondergeschikt gesteld wordt aan de volksgezondheid (wat dus nogmaals nergens voor nodig is, er zijn privacy vriendelijke alternatieven beschikbaar). Maar altijd via wetgeving. En niet dus met een speciale noodmaatregel, door even een oogje dicht te knijpen of heel hard te roepen dat volksgezondheid zo belangrijk is dat iedereen moet inschikken. Dat kan dus allemaal wel, maar pas na een democratische discussie en wetgeving. Zo hoort dat in dit land.
02-04-2020, 19:02 door karma4 - Bijgewerkt: 02-04-2020, 19:19
Door Anoniem: Nee dat stel ik niet. Het is de AP die concludeerd dat er sprake is van persoonsgegevens bij dit soort locatie gegevens en er op dit moment geen wettelijke basis is voor die verwerking met als doel het indammen van de verspreiding. Dat is een ander doel dan het bijhouden van het aantal geinfecteerde mensen in Nederland voor het plannen van de capaciteit of bijhouden van statistiek, zoals nu al wel gebeurd. ...
Het AP stelt dat geanonimiseerde geaggregeerde gegevens omdat ze alsnog herleidbaar zouden kunnen zijn door het combineren met andere gegevens nog steeds persoonsgegevens zijn.
Dat is niet de EU privacy zienswijze, ook niet van de ICO.
https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2020/03/statement-in-response-to-the-use-of-mobile-phone-tracking-data-to-help-during-the-coronavirus-crisis/ dan wel
https://www.politico.eu/article/european-commission-mobile-phone-data-thierry-breton-coronavirus-covid19/

Wat vragen:
- hoeveel vakantievierders gaan er met pasen er op uit? Dat is meer dan 50lm van hun woonplaats?
- hoeveel mensen verzamelen zich op marktplaatsen?
prima te doen zonder per persoon locatie gegevens te overhandigen, Dat is iets wat het AP zelf verzint.


Het AP heeft al aangegeven een speciaal team te hebben wat snel een advies kan geven mocht de regering met een spoedwet komen. Daarmee doet het volgens mij alles wat het zou kunnen doen.
Het AP dat zichzelf boven de wetgever plaatst? We hebben als genoeg met zoiets in Hongarije.
Je kent vast 1984 met het ministerie van de waarheid. In die rol zit het AP nu.

Ik hoop dat je weet wie max scherms is.
https://noyb.eu/nl/gegevensbescherming-tijden-van-coronavirus[/url"Max Schrems, erevoorzitter van Noyb: "De GDPR voorziet expliciet in gegevensverwerking in de strijd tegen epidemieën. Wetgeving op het gebied van gegevensbescherming moet daarom niet worden 'kwijtgescholden', maar eenvoudigweg opgemerkt.” Daar is het AP niet mee eens.
03-04-2020, 12:43 door Anoniem
Door karma4: Wat je hier steld is vrij schokkkend. Je stelt dat het AP zich boven de regering wetgever en rechter kan opstellen wegens het privacy recht. Daar geloof ik niets van. Volksgezondheid is een grondrecht en daar zijn heel wat wetten voor.
Privacy is ook een grondrecht. AP stelt zich niet boven regering en rechter. Het is de wetgever die zichzelf via de AVG beperkingen heeft opgelegd. De wetgever heeft zelf bepaald dat additionele wetgeving de manier is om deze beperking op te lossen. AP zegt eigenlijk alleen maar tegen de wetgever: houd je aan de regels die je voor jezelf hebt opgesteld.

Door karma4: Dat is niet de EU privacy zienswijze, ook niet van de ICO.
De EU-zienswijze zoals de voorzitter van de EDPB die formuleert:
The GDPR is a broad legislation and also provides for the rules to apply to the processing of personal data in a context such as the one relating to COVID-19. Indeed, the GDPR provides for the legal grounds to enable the employers and the competent public health authorities to process personal data in the context of epidemics, without the need to obtain the consent of the data subject. This applies for instance when the processing of personal data is necessary for the employers for reasons of public interest in the area of public health or to protect vital interests (Art. 6 and 9 of the GDPR) or to comply with another legal obligation.

For the processing of electronic communication data, such as mobile location data, additional rules apply. The national laws implementing the ePrivacy Directive provide for the principle that the location data can only be used by the operator when they are made anonymous, or with the consent of the individuals. The public authorities should first aim for the processing of location data in an anonymous way (i.e. processing data aggregated in a way that it cannot be reversed to personal data). This could enable to generate reports on the concentration of mobile devices at a certain location (“cartography”).

When it is not possible to only process anonymous data, Art. 15 of the ePrivacy Directive enables the member states to introduce legislative measures pursuing national security and public security *. This emergency legislation is possible under the condition that it constitutes a necessary, appropriate and proportionate measure within a democratic society. If such measures are introduced, a Member State is obliged to put in place adequate safeguards, such as granting individuals the right to judicial remedy.
https://edpb.europa.eu/news/news/2020/statement-edpb-chair-processing-personal-data-context-covid-19-outbreak_en
ICO heeft het over de geaggegeerde en geanonimiseerde data uit de 2e alinea. AP heeft het duidelijk over ongeaggregeerde data als het meldt dat die altijd te herleiden is tot persoonsgegevens en dus niet anonimiseerbaar is, en concludeert precies wat de 3e alinea ook stelt: dan is een noodwet vereist om het toch te mogen gebruiken.

EDPB bevestigt wat zowel ICO als AP stellen. Die spreken de EU en elkaar dus niet tegen, AP en ICO hadden het over twee aspecten van hetzelfde standpunt.
06-04-2020, 09:59 door karma4
Door Anoniem: ...
ICO heeft het over de geaggegeerde en geanonimiseerde data uit de 2e alinea. AP heeft het duidelijk over ongeaggregeerde data als het meldt dat die altijd te herleiden is tot persoonsgegevens en dus niet anonimiseerbaar is, en concludeert precies wat de 3e alinea ook stelt: dan is een noodwet vereist om het toch te mogen gebruiken.

EDPB bevestigt wat zowel ICO als AP stellen. Die spreken de EU en elkaar dus niet tegen, AP en ICO hadden het over twee aspecten van hetzelfde standpunt.
Dat nuance verschil ongeaggregeerd (herleidbaar) geaggregeerd (niet herleid baar bij voldoende omvang) is een belangrijke.
Het eerste is pseudonimisatie en geen anonimisatie, anonimisatie is in de gdpr op die manier duidelijk benoemd en valt dan buiten de werking van de GDPR. Dat is al door de EDP EU aangegeven. Deze brief hand nooit nodig moeten zijn.https://edps.europa.eu/sites/edp/files/publication/20-03-25_edps_comments_concerning_covid-19_monitoring_of_spread_en.pdf

Met Google flitsmeister facebook en anderen die wel geaggregeerde data hebben gepubliceerd is er nog steeds de reactie van het AP dat locatiegevens altijd persoonsgegevens zijn en dat ze deze publicaties willen gaan onderzoeken.
Het is dezelfde aggregatie als van het RIVM, ofwel het AP keert zich gewoon tegen de EHRM rechten vanuit een eigen privacy idee (recht op privacy). Als ze de data bescherming van data zouden namen, plicht naar anderen, dan zou het veel beter uit kunnen komen. Het ontbreekt nu met de plicht naar anderen, daar gaat het mis.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.