Redactieadres:

Panteia B.V.

Postbus 7001

2701 AA Zoetermeer

T: 079 - 322 22 00

F: 079 - 343 01 01

E: redactie@panteia.nl

• Sign In

"Papier van hier tot de maan en terug"

De kleinste toezichthouder met de breedste scope

door dr. H.M. Post*

'Private ondernemingen dienen gegevens over handelstransacties beschikbaar te stellen voor overheidsdoelstellingen en klantgegevens worden als informatie gedeeld binnen conglomeraten.
Technische doorbraken of de massale toepassing van bestaande techniek openen de weg naar tot voor kort ongekende mogelijkheden om het doen en laten van individuen te volgen, te analyseren, te beoordelen en hen dienovereenkomstig ook te behandelen.'
Deze tendensen signaleert Jacob Kohnstamm in zijn inleiding bij het jaarverslag 2004 van het College Bescherming Persoonsgegevens.(CBP). Kohnstamm, eerder staatssecretaris van Binnenlandse Zaken en lid van de Eerste en Tweede Kamer voor D66, is nu voorzitter van het CBP. Het afgelopen jaar kwam het College regelmatig in het nieuws.

Verandering en verwarring
Burgers verstrekken constant gegevens, die vervolgens worden opgeslagen in computers van banken, verzekeringen, ziekenhuizen, winkelbedrijven en overheidsinstellingen. Deze databestanden geven gemak, maar het risico van slordig gebruik of zelfs misbruik is niet denkbeeldig. Om dit te voorkomen is er de Wet Bescherming Persoonsgegevens (WBP). Als toezichthouder en handhaver van de naleving van de wetten die de privacy beschermen, is het CBP opgericht. Bij dit College moet het gebruik van persoonsgegevens worden gemeld, tenzij hiervoor een vrijstelling geldt.

Tijden veranderen en wetten worden aangepast. Privacy lijkt daarbij vaker dan ooit in het geding. Zo is bijvoorbeeld op 1 januari van dit jaar de Wet op de uitgebreide identificatieplicht in werking getreden. Vanaf deze datum moet iedereen in Nederland van 14 jaar en ouder een geldig identiteitsbewijs kunnen tonen als politie of andere toezichthouders daar om vragen, hoewel zij dat zonder reden niet mogen doen. In het eerste halfjaar dat deze wet van kracht was werden er 34.000 boetes gegeven voor het niet kunnen tonen van een geldig identificatiebewijs. Het CBP ziet geen aanleiding te concluderen dat de veiligheid hierdoor verbeterd wordt. Op 1 januari 2006 wordt de nieuwe Zorgverzekeringswet van kracht. Op het gebied van de gegevensbescherming van de verzekerden moet nog veel geregeld worden. Het CBP vindt de Zorgverzekeringswet onvoldoende specifiek voor de goede uitvoering en waarborging van het medisch beroepsgeheim bij verstrekking van patiëntgegevens aan de zorgverzekeraars.
Onlangs was in het nieuws dat het CBP zich verzet tegen het gebruik van individuele reisgegevens voor marketingdoeleinden zonder toestemming van de reiziger.
En er is natuurlijk de anti-terreurwetgeving. Na de aanslagen in New York, Madrid en Londen is men geneigd veiligheid voorop te stellen en privacy van personen als een obstakel te zien. Veiligheid en privacy dreigen een dilemma te worden.

Onafhankelijk - afhankelijk
Het CBP is een zelfstandig bestuursorgaan (ZBO). Kohnstamm was voorzitter van de werkgroep die in de studie 'Een Herkenbare Staat' over de status van ZBO's rapporteerde. Hij bepleitte daarin dat publieke taken, gefinancierd uit publieke middelen, onder ministeriële verantwoordelijkheid vallen, tenzij er sprake is van noodzakelijke onafhankelijkheid van oordeel. Nu hij zelf voorzitter van een ZBO is, zegt hij hierover ten aanzien van het CBP: "Zelfs volgens dat rapport is het CBP terecht een ZBO. Het CBP voldoet volledig aan alles waarvan ministeries willen dat we aan voldoen: we vallen onder de ombudsman, we vallen onder de rekenkamer, we betalen de ambtelijke salarissen die de ministeries betalen. We zijn onafhankelijk in onze oordeelsvorming, we zijn autoriteit zoals dat heet, toezichthouder. We kunnen boetes opleggen en bestuursdwang toepassen. Dat kunnen we ook ten opzichte van de minister. Dus moet de minister niet verantwoordelijk zijn voor het feit dat wij hem op een gegeven moment moeten beboeten als dat zo uit zou komen. Een moment van afhankelijkheid is dat ik word aangesteld op voordracht van de minister van Justitie, en een ander afhankelijkheidsmoment is wanneer het budget moet worden vastgesteld. Voor de rest van het jaar hoef ik me van de minister niets aan te trekken, tenzij ik vind dat hij gelijk heeft. De minister hoeft zich ook niets van mij aan te trekken. Hij moet naar ons geluisterd hebben en vervolgens bedenken wat hij ervan vindt en zijn gang gaan. Niet alleen hij, maar alle ministers zijn verplicht ons om advies te vragen bij wetgeving. Maar we zijn er niet alleen voor de publieke sector, we zijn een toezichthouder voor zowel de particuliere als voor de publieke sector. Het CBP is in Nederland de kleinste toezichthouder met de breedste scope."

Adviseren en toezicht houden
"Ooit was er een klacht die we hier, zoals dat bij het college behoort, met alle égards behandeld hebben. Het betrof het niet-melden van een verzameling van gegevens door het parket, dus door het Openbaar Ministerie. De baas van het OM is de Hoofdofficier van Justitie, die wij ook adviseren. Nu vonden wij dat we de hoofdofficier moesten beboeten. Dan krijg je de landsadvocaat op bezoek, maar we zijn onze eigen koers gevaren. Het is lastig met die petten van advies en toezicht op aan de slag te gaan. Met onze macht valt het overigens wel mee, advies kun je naast je neerleggen. Een aantal grote bedrijven die representatief voor een sector zijn, willen een gedragscode opstellen. Dit is niet verplicht hoewel we deze zelfregulering wel bepleiten. Wij geven desgevraagd advies. De partijen kunnen de gedragscode ter goedkeuring aan het CBP voorleggen. Goedkeuring geeft de klanten van die branche de zekerheid dat de gedragscode in overeenstemming is met de privacywetgeving. Als we goedkeuring hebben verleend, laten we het twee jaar lopen. Op een gegeven moment gaan we, als het gaat om een branche met gevoelige gegevens die relevant zijn voor betrokken individuen, kijken of de organisatie zich aan de zelfbepaalde gedragscode houdt. Mocht dat niet zo zijn, dan kunnen we nijdig worden en naleving afdwingen. Men is dus niet tot een gedragscode verplicht, maar is die er eenmaal en is die bindend verklaard, dan moet men zich eraan houden."

Kort dag
"Wat de Zorgverzekeringswet betreft: het is een politieke beslissing dat het onderscheid tussen particuliere en ziekenfondsverzekering wordt opgeheven en dat zorgverzekeringen met elkaar gaan concurreren op prijs en kwaliteit. Wij kijken ernaar met de gedachte: wordt de logica achter de WBP en achter de Wet Geneeskundige Behandelingsovereenkomst door deze zorgwet niet aangetast. Er heeft een felle strijd plaatsgevonden tussen de minister en ons omdat in de wet staat dat gezondheidsgegevens niet zomaar gegevens zijn maar bijzondere gegevens. Bijzondere gegevens mogen dan alleen verzameld en verwerkt worden als er een ongelooflijk goede reden en een wettelijke basis voor is. Er moet zeer precies geformuleerd worden waar en door wie en waarom inbreuk gemaakt mag worden op de privacy. Daar heeft het ministerie zich betrekkelijk weinig van aangetrokken en uiteindelijk hebben ook de Kamers gevonden dat het zo maar moest. Er zijn wel afspraken gemaakt dat de nadere regeling van het verzamelen en verwerken van gegevens per ministerieel besluit zal worden geregeld. Maar het is kort dag."

De burger moet de overheid in de gaten houden
Ook de vroegere voorzitter van het CBP, Peter Hustinx, maakt zich zorgen over de voorstellen tot verscherping van veiligheidsmaatregelen na de aanslagen in Londen. Volgens Hustinx hebben mensen niet in de gaten wat er op het spel staat. De burger moet de overheid in de gaten houden. Is het wel verantwoord de overheidsinstellingen zo te vertrouwen dat de omgekeerde situatie ontstaat: de overheid die alle burgers voortdurend controleert? Zijn uitgangspunt is dat de grondrechten van de mens zoals vrijheidsrechten en privacy gewaarborgd moeten blijven. Hij vraagt zich af of het nodig is om het voorstel alle communicatiegegevens van iedereen één of meer jaren te bewaren te honoreren.
Kohnstamm reageert: "Recent onderzoek van de Erasmus Universiteit kon niet aantonen dat het langer bewaren van verkeersgegevens van telefonie en internet noodzakelijk was voor de bestrijding van terrorisme.
Bij alle voorstellen voor nieuwe bevoegdheden, die bij tijd en wijle naar aanleiding van terrorisme worden gevraagd, hebben we drie vragen. De eerste is: heb je werkelijk al je bevoegdheden die al bestaan effectief ingezet bij de bestrijding? In negenennegentig procent van de gevallen is het antwoord 'nee'. En twee, indien het antwoord ja is, is het dan tenminste aannemelijk te maken dat de nieuwe bevoegdheid je wel succesvol zal doen zijn? Indien dat het geval is, en dat is drie, verzetten we ons niet tegen de nieuwe bevoegdheid. Wel pleiten we ervoor dat er checks and balances ingebouwd worden in het gebruik ervan. In de meeste gevallen echter haalt men punt drie niet. Nu worden de verkeersgegevens, waarbij het zowel gaat om e-mailverkeer als telefoonverkeer, drie maanden bewaard. Van langer bewaren is nut en noodzaak behalve in enkele uitzonderlijke gevallen niet aangetoond. En als het al toegevoegde waarde heeft, is die waarde dan proportioneel?"

Wie controleert wie?
"Problematisch is dat je van onverdachte burgers allerlei gegevens gaat bewaren. Het is economisch nauwelijks haalbaar en vergt halsbrekende toeren van de telecomorganisaties. Twee dagen na de aanslag in Londen is de Britse minister van binnenlandse zaken naar Brussel gegaan en heeft zijn collega's de duimschroeven aangedraaid: voor 31 oktober moet de besluitvorming over verlenging van het bewaren van verkeersgegevens rond zijn, terwijl het aantoonbaar is dat er tussen Leeds en Londen en het opslaan van verkeersgegevens geen begin van een causaal verband is. Langzamerhand lijkt er sprake van 'een nieuwe leugen'. Ik zou bijna willen zeggen dat er van de omstandigheid gebruik wordt gemaakt om er iets door te jassen dat weinig met preventie van terrorisme van doen heeft. In de ogen van sommigen is Europa te lang aan het treuzelen om de knoop over het bewaren door te hakken. In Nederland is er in de politiek terecht bezwaar gemaakt. Zowel in de Tweede als in de Eerste Kamer heeft de minister van Justitie te horen gekregen dat hij voorlopig niet ja mag zeggen tegen dit voorstel, in de Eerste Kamer met een geharnast betoog van Hans Franken, lid van het CDA, emeritus hoogleraar recht en informatica in Leiden. Om een beeld te geven van de immense hoeveelheid data, rekende hij voor dat wanneer al die gegevens op papier zouden worden uitgedraaid, er vijf stapels dossiers ontstaan van hier tot de maan en terug. Trouwens Google bewaart alle zoekgeschiedenissen van personen tien jaar. Een hooiberg opbouwen is niet de meest effectieve methode om doelgericht een speld te zoeken."

* Hedda Maria Post is redacteur van basis

Literatuur:
Jaarverslag CBP 2004
NRC Handelsblad 18-07-05
Onderzoek Erasmus Universiteit, 'Wie wat bewaart die heeft wat' (2005)
Onderzoek naar nut en noodzaak van bewaarverplichting voor historische verkeersgegevens van telecommunicatieverkeer.

---

In 2001 werd de Wet Bescherming Persoonsgegevens van kracht. Hierin worden de rechten vastgelegd van degenen van wie de persoonsgegevens worden gebruikt. Voor instanties en bedrijven wordt het gebruik van deze gegevens afgebakend. Alleen op basis van grondslagen in de WBP genoemd, mag men persoonsgegevens verwerken. Onder persoonsgegevens worden alle gegevens verstaan die informatie kunnen verschaffen over een identificeerbare natuurlijke persoon. Een belangrijke grondslag voor het verwerken van persoonsgegevens is dat het niet mag plaatsvinden zonder vrije en gerichte toestemming van de persoon. De gegevens mogen slechts verzameld worden voor gerechtvaardigde doeleinden en niet voor doeleinden die daarmee onverenigbaar zijn

---