Europol moet gegevens van niet-verdachte mensen na zes maanden verwijderen

Europol moet voortaan de gegevens die het heeft over niet-verdachte burgers na zes maanden verwijderen. Dat heeft de Europese privacytoezichthouder EDPS bevolen. Europol krijgt twaalf maanden de tijd om hieraan te voldoen.

De European Data Protection Supervisor velt dit oordeel in het kader van een in 2019 gestart onderzoek. De privacytoezichthouder schrijft dat Europol voortaan zes maanden de tijd krijgt om datasets te filteren. Niet-gecategoriseerde datasets moeten na die periode worden verwijderd. In de praktijk betekent dat volgens de EDPS dat Europol niet meer voor onbepaalde tijd de gegevens mag bewaren van mensen die niet in verband zijn gebracht met criminele activiteiten. Europol krijgt twaalf maanden de tijd om bestaande niet-gecategoriseerde datasets te filteren op relevante data en de rest te verwijderen.

Onder de bestaande regels mag Europol de gegevens van personen die wél in verband zijn gebracht met criminele activiteiten verwerken en bewaren. De organisatie ontvangt dergelijke gegevens van Europese politiediensten. De organisatie ontvangt echter dusdanig veel data, dat het niet mogelijk is om de gegevens van mensen die verdacht worden van criminele activiteiten direct te onderscheiden van andere data, schrijft de EDPS in een aanvullend pdf-document. Hierdoor kan Europol niet garanderen dat het geen gegevens van burgers die geen link hebben met criminaliteit in zijn systemen bewaart. De EDPS is van oordeel dat dit in strijd is met de Europol-verordening.

De EDPS schrijft dat Europol in september 2020 al een waarschuwing heeft gekregen omdat het 'grote hoeveelheden data opslaat' van mensen, zonder dat deze worden gecategoriseerd. Europol heeft sindsdien volgens de toezichthouder 'enkele maatregelen' genomen, maar de Europese politieorganisatie had nog niet voldaan aan de eis van de EDPS om een passend bewaartermijn te bepalen voor vergaarde gegevens, zodat deze gefilterd en gecategoriseerd kunnen worden. Daarop volgde de nieuwe uitspraak, die deze week werd geveld.

Reacties (40)

[doodleman]

Misschien stomme vraag? Maar weet iemand hoe dit nu werkt voor backups? Mogen backups die ouder dan 6 maanden zijn, de data nog wel hebben of moet de data er dan uitgefilterd zijn?

[TheekAzzaBreek]

Helemaal geen domme vraag, en een verdomd lastig probleem.

De meeste backup systemen zijn ingericht om zo snel mogelijk zo veel mogelijk data op te slaan. Dat betekent veelal block level data, compressie, als het even kan encryptie, en vaak nog streamen naar tape. (Ja, het kan slimmer, maar dit komt nog veel voor). Voor de zekerheid neem je dan af en toe een full backup en verder dagelijks delta's.

En dan krijg je een AVG verwijderingsverzoek van pak hem beet een klant van 3 jaar geleden.
Stel dat het je lukt alle data die daardoor geraakt wordt in kaart te brengen in applicaties, emails, chat apps en whatnot (wat je niet gaat lukken) en waar toegestaan weet te te verwijderen, in je backups ziet dat er heel anders uit.
Daar is het niet meer die email van persoon x, maar 37% van block nummer y op volume z. Die op tientallen of honderden backup media kan voorkomen. Zelfs al zou de wil er zijn, het is domweg onmogelijk precies die bytes van dat block van dat volume te wissen van al die media.

Wat ik in de praktijk van AVG verwijderingsverzoeken zie is dat naar beste weten data uit systemen en bestanden wordt verwijderd (voor zover dat mag van archiefwet, belastingdienst, accountant en nog zo wat regels), maar dat email, collaboration apps en backups genegeerd worden. Dat is onbegonnen werk, al zou het volgens de letter van de wet wel moeten.

[GoBieN-Be]

Voor het back-up verhaal heb ik het als volgt geleerd op een webinar van een vendor.
Je houdt bij in een logboek welke bestanden er uit productie data verwijderd worden door GDPR verzoeken.
Als er ooit moet een restore gebeuren van oude productiedata moet je de verwijderverzoeken opnieuw uitvoeren/controleren.
Je zorgt er wel voor dat je back-ups geëncrypteerd zijn.

[Reactie gewijzigd door GoBieN-Be op 24 juli 2024 05:44]

[R4gnax]

Voor het back-up verhaal heb ik het als volgt geleerd op een webinar van een vendor.
Je houdt bij in een logboek welke bestanden er uit productie data verwijderd worden door GDPR verzoeken.
Als er ooit moet een restore gebeuren van oude productiedata moet je de verwijderverzoeken opnieuw uitvoeren/controleren.

Inderdaad. Voor de verwijderde data creëer je een replay van de verwijderoperaties, die je feitelijk achter de restore van een backup zou moeten kunnen draaien. Vereist wel dat je systemen daar mee omweg kunnen natuurlijk. (Niet zo'n denderend succes als de structuur van de data over tijd anders geworden is, bijv.)

[Douweegbertje]

Je verhaal klopt helemaal. Er is alleen een klein detail waardoor het allemaal vrij makkelijk is: sla alleen het noodzakelijke op. Gevolgd door: bewaar dat noodzakelijke zo kort mogelijk.

Nu komt vast de initiële reactie van: ja maar ik heb X of Y wel nodig. Of; administratie Z.

Geef mij even het voordeel van de twijfel en denk serieus na over je datastromen. Probeer eens na te denken over het loskoppelen van data entiteiten. Probeer na te denken over welke data je nu daadwerkelijk hoeft te vragen EN te bewaren.

9 van de 10 keer is het probleem ontstaan uit de gierigheid naar data in plaats van de daadwerkelijke logica en geldigheid daarvan. Daarom is de GDPR ook goed. Het zet (goede) bedrijven eens aan het denken over de data.

Concreet voorbeeld: 4 jaar geleden een feature toegevoegd voor een groot Nederlands bedrijf die nu na 21 dagen alle persoonsgegevens uit een transactie tabel verwijderd. Reden? Na 21 dagen is er genoeg tijd om een transactie op te volgen als er iets fout was gegaan. Zo hoeft er niets vaags in de backups gedaan te worden en qua administratie was het ook in orde.

[SlasZ]

Ik vermoed wel dat als ze een restore moeten doen dat ze dan alsnog de oude gegevens verwijderen? En dat backup data an sich niet opvraagbaar is, maw dat je eerst een restore moet doen vooraleer je gegevens kan opvragen? Al zal dit vermoedelijk afhangen van in welk formaat, hoe de back up gedaan werd en waar..

[Reactie gewijzigd door SlasZ op 24 juli 2024 05:44]

[Terracotta]

Wat met de nationale politiediensten? Zolang er elementen in de keten dit soort gegevens mogen bijhouden volstaat het om een gedistribueerd systeem op te zetten om zo toch dit soort gegevens van ongelinkte mensen tot het einde der tijden te kunnen opzoeken.

[arbraxas]

Het is net andersom, de nationale politie stuurt het juist daarom naar Interpol. Ook onder hun eigen regels uit te komen.

Hetzelfde als de AIVD die ongefilterde data aan de VS geeft en het dan gefilterd terug krijgt. AIVD mag niet de sleepnet methode gebruiken, de VS wel voor niet staatsburgers.

[Terracotta]

Het is tweewegverkeer. Als de nationale politie het mag bijhouden maar niet verwerken en Europol het niet mag bijhouden maar wel mag verwerken is er dus nog altijd een groot gat dat toelaat onbeperkt in de tijd opzoekingen te doen.

[laptopleon]

Je schetst nu een beeld waarin nationale politie willekeurig data verzamelt, maar wat zou de motivatie daarvoor moeten zijn? En waar is de wettelijke grondslag?

Mijn ervaring is eerder dat de politie alleen nog mankracht tijd heeft voor de aller-ernstigste zaken, laat staan data verzamelen van Henk en Ingrid, waar ze in de praktijk toch niets aan hebben.

Krijgen ze dan een keer een database met versleutelde telefoondata in handen, dan kunnen ze maar relatief weinig verdachten daarvan aanpakken, omdat de capaciteit ontbreekt.

[Terracotta]

Om te verzamelen heb je relatief weinig personeel nodig, dat is het net punt, dat is zeer goed te automatiseren. Het filteren, analyseren, en er conclusies uittrekken is wat personeel vraagt.

Europol krijgt zijn gegevens van de nationale politidiensten, maar ze mag ze nu niet opgeslagen houden. Niets weerhoudt de nationale politiediensten er momenteel van om deze bij te houden en aan te leveren wanneer Europol ze vraagt.

Je haalt zelf het grote argument tegen het verzamelen van massagegevens zonder specifiek doel: de signal to noise ratio is enorm laag, met het risico op misbruik, mogelijkheid tot stelen van de data (niets is 100% veilig), etc...

[laptopleon]

Het lijkt er op dat sommige mensen denken dat bijvoorbeeld de Nederlandse politie als hobby het verzamelen van data heeft of zo.

De politie mag niets verzamelen en bijna niets doen zonder dat daar aanleiding cq een goede reden voor is. Doet een politieambtenaar dat toch, dan is hij/zij zijn/haar tijd aan het verdoen, want dat mag nergens voor gebruikt worden. Is er pakweg een overval gepleegd en zijn er verdachten, dan worden bijvoorbeeld hun telefoons in beslag genomen, als die al te vinden zijn, en de daarop aanwezige data wordt verzameld en bekeken op aanwijzingen. Maar het is niet zo dat die data dan standaard op een grote harde schijf wordt gezet waar heel het korps bij elk onderzoek in kan zoeken of zo. Dat zou inderdaad al snel een gigantische massa gegevens worden, zelfs als je alleen de data van verdachten / met betrekking tot verdachten bij elkaar zou zetten. Pas als namen van anderen in verband kunnen worden gebracht, gaat men daar eventueel weer het dossier van vergelijken.

Het is eerder zo dat de politie op allerlei manieren beperkt wordt in haar werkzaamheden, dan dat er een soort van carte blanche situatie bestaat. En dat is prima, dat de wet heel terughoudend is op dat gebied, maar des te verder van de realiteit is het om te doen alsof de politie een soort datageile club is. Ze kunnen noch mogen iets met willekeurige data.

[bbob]

Sterker nog men kan volgens de tapwet ongecontroleerd gegevens met buitenlandse diensten uitwisselen. Dus hup data naar USA daar mogen ze die niet USA data gewoon onbeperkt opslaan. Nodig, gewoon weer even via USA of ander bevriend land opvragen en hup daar is de data.

[ornitoloog]

Geen expert, maar de nationale politie valt onder de politiewet.
https://wetten.overheid.nl/BWBR0022463/2020-01-01#Paragraaf2
'6 De politiegegevens, die zijn verwerkt op grond van het eerste, tweede en derde lid, worden vernietigd zodra zij niet langer noodzakelijk zijn voor de uitvoering van de dagelijkse politietaak en worden in ieder geval uiterlijk vijf jaar na de datum van eerste verwerking verwijderd.'

Delen van data heeft zoals ik begrepen heb als een van de voorwaarden dat het pas mag als de verwerking mag. Als Europol geen ouwe data mag gebruiken, dan mag de nationale politie niet delen.
Of dat alles helemaal dichtzet is voor mij een vraag. Wel lijkt het me logisch dat instanties zelf een bewaartermijn hanteren, want anders kunnen sommige instanties hun werk niet doen of iedereen gaat de langste bewaartermijn aanhouden. Beiden onwenselijk.

[JT]

In de Wet Politiegegevens (voor de volledigheid even gelinkt met de naam van de wet) vind je in meer dan het door jou genoemde artikel info over bewaartermijnen. Met name artikelen 8, 9, 10, 12 en 14 zijn interessant. Hier vind je terug dat bewaartermijnen mede afhangen van de context waarin gegevens zijn vastgelegd. Bijvoorbeeld in het geval van criminaliteit waarbij de rechtsorde ernstig wordt bedreigd (artikel 10), is de bewaartermijn langer dan bij reguliere handhaving van de rechtsorde (artikel 9). Ook mag het bewaren zonder doel vaak niet; doorgaans moet er een doel aan de registratie en verwerking van de gegevens gekoppeld zijn (doelbinding). Nadat dit doel niet meer van toepassing is zijn de gegevens nog maar beperkt houdbaar.

[Reactie gewijzigd door JT op 24 juli 2024 05:44]

[Frame164]

Voor grote internationale zaken vind ik 6 maanden best aan de korte kant. Als er een grote actie is over meerdere landen dan gaat daar meestal een behoorlijk lang onderzoekstraject aan vooraf. Dan zou het zonde zijn dat je data weg moet gooien omdat er niet direct een link tussen verdachte en onderzoek bestaat. Een jaar lijkt me een stuk realistischer. Dan heb je in ieder geval een grotere kans om te weten of iemand echt onschuldig is.

[kodak]

Hoe lijkt het je dan realistisch om aan de wet te voldoen dat Europol die gegevens in eerste instantie al niet had mogen verwerken? Want stellen dat het tegen de wet in verwerken prima is en dan ook nog 6 maanden willen oprekken naar 12 maanden klinkt toch niet redelijk richting de vele niet-verdachte personen die recht hebben niet betrokken te worden en blijven?

[Daoka]

Hoe lijkt het je dan realistisch om aan de wet te voldoen dat Europol die gegevens in eerste instantie al niet had mogen verwerken?

Aan de andere kant zijn zulke zaken natuurlijk niet altijd van te voren duidelijkheid. Stel dat bijvoorbeeld een geld wit wasserette in een achter kamertje zit van een echte bakker zit. Elke klant die naar binnen gaat kan potentieel iemand zijn die zwart geld gaat afgeven. Moeten we dan maar geen data verwerken van de klanten omdat ze eigenlijk niet verdacht zijn nog? Ja er zullen onschuldige mensen bij zitten maar helaas is dat niet te herkennen voordat het verwerkt is.

[wild_dog]

'vroega' zette je dan een tap op de telefoonlijn of ging je surveilleren, je weet wel, politie werk doen. Vanaf het moment dat de wasserette een mogelijk interessant doel was ging je dan pas opnames maken en kon je helemaal niet retroactief besluiten terug te kijken. Met deze regelgeving kan je al veel meer, namelijk 6 maanden terug kijken vanaf het moment dat je iets in het vizier hebt.

Niets dat je stop om een filter aan te maken voor alles met betrekking tot de wasserette, relevante data daarvoor uit de ongefilterde data filteren, die langer dan 6 maanden te bewaren, en de wasserette op die manier in de gaten houden of er iets interessants langs komt. Als ik zonder het te weten op bezoek kom bij een crimineel, dan word dat met gewone surveillance ook wel genoteerd, maar dan later als het dossier gesloten is word dat gewoon weer vergeten.

Probleem is dat de data die nu 'ongefilterd' binnen komt en bewaard blijft niet enkel de data van de wasserette, niet enkel de data van de straat, niet enkel de data van de wijk, niet eens enkel de data van de stad of provincie, maar de data van het hele land is.

Eigenlijk zou je wat mij betreft niet langer ongefilterde data mogen bewaren dan nodig is om te filteren, en alleen wat interessant is daarna langduriger bewaren. Maar die veiligheidsdiensten zijn verslaafd geraakt aan alles en iedereen ongericht te kunnen 'surveilleren' door al deze data jaren lang te bewaren, iets wat vroeger gewoon onmogelijk was. En nog steeds werd er prima politiewerk geleverd.

[Reactie gewijzigd door wild_dog op 24 juli 2024 05:44]

[Zer0]

Met deze regelgeving kan je al veel meer, namelijk 6 maanden terug kijken vanaf het moment dat je iets in het vizier hebt.

Nee, want het is nog steeds noodzakelijk een juridische onderbouwing te hebben voor je gaat tappen, deze wet verandert daar niks aan.

[Daoka]

Ik had het niet over dat data niet gewist moet worden. Het ging mij er om dat er gezegd is door kodak dat deze informatie dus überhaupt niet had mogen bestaan. Dus misschien dat ik kodak verkeerd begrepen heb. Maar ik haalde uit zijn/haar reactie dat men dus geen informatie van de onschuldige mensen mogen hebben omdat ze onschuldig zijn. Dit is niet van te voren bekend. Criminelen dragen geen "ik ben crimineel" sticker om ze te herkennen. Dus deze data moet gewoon bestaan. Nogmaals bewaren voor altijd inderdaad niet.

[kodak]

Daarmee geef je dus geen antwoord op de vragen en lijk je zelf te negeren dat er wetgeving is. Dat klinkt niet als een redelijke onderbouwing om te stellen dat gegevens maar langer bewaard moeten worden. Dat je van mening kan zijn dat er hoe dan ook gegevens van niet verdachten verwerkt worden blijkt daarbij al niet redelijk, juist omdat we via wetgeving (en dus democratisch besloten) als samenleving stellen dat het onaanvaardbaar is.

[Daoka]

Ik ben natuurlijk geen expert op wetgeving. Dus misschien heb ik het mis. Maar even de volgende voorbeeld:

In een alleenstaande huis maakt een man een grote rommel, verbergt wat sieraden. Even later komt zijn vrouw thuis en de man schiet haar neer. Hij trap de door open van buiten naar binnen. Nu lijkt het op dat dus een overval is gepleegd. De gaat een eindje lopen zodat mensen in de buurt hem zien. Dan komt hij thuis en belt hij de politie. Zoals het nu eruit ziet lijkt het dus alsof de man onschuldig is en dus geen verdachte.

Zoals jij de situatie dus laat klinken zou de politie dus niets van zijn gegevens mogen opslaan omdat hij dus geen verdachte is. Ik zeg dus dat zijn gegevens wel opgeslagen mogen worden voor het geval dat. Of hij het nou echt gedaan heeft of niet het kan belangrijk zijn om de zaak op te lossen.

Ik denk dat het woord verdachte breder gezien moet worden. En is dus niet alleen iemand waarvan men haast zeker weet dat die er iets mee te maken heeft maar dus ook tijdelijk ieder geval alle mensen die potentieel er mee te maken zou kunnen hebben.

Dan heb je trouwens nog andere informatie. Alle getuigenverklaringen zijn ook vaak niet van de verdachte. Toch is dit ook belangrijke informatie om te hebben. Zou iemand toevallig het schot gehoord hebben en de politie bellen is die persoon niet gelijk een verdachte. Alles wat die persoon zegt zoals hoe laat hij/zij het schot hoorde kan helpen de echte dader te vinden. Zou dus volgens jou ook niet opgeslagen of gebruikt mogen worden omdat die geen verdachte is.

Ik nogmaals ik ken de wetgeving niet maar dit lijkt mij wel allemaal dingen die gewoon binnen de wet zouden vallen.

Dat klinkt niet als een redelijke onderbouwing om te stellen dat gegevens maar langer bewaard moeten worden.

Ik heb het ook niet gehad over langer bewaren. Jij zij dat deze data überhaupt niet zou mogen verwerken. Daar reageerde ik op. Die quote staat er ook bij. Zoals ik dit begreep bedoelde je dat ze dus geen data van onschuldige mensen mogen verwerken want onschuldig tot schuld is bewezen.

[Triblade_8472]

Korte kant?
Het gaat om gegevens waarvan bekend is dat ze niks met de zaak te maken hebben! Ik vind 1 maand dan nog lang.

[Daoka]

Sommige zaken worden pas na een paar maanden opgelost. Als er dus geen verdachte zou zijn dan zou je dus na een maand veel minder informatie meer hebben omdat de getuigenverklaringen (en andere informatie) dus allemaal gewist zijn (ook dus die van de potentiële dader). Misschien zou het wel kunnen voor zaken die door een rechter behandeld zijn.

[Triblade_8472]

Dan is er dus een goede reden om die gegevens te houden? Dan geen probleem.

Maar het punt is dat ze die reden altijd als drogreden opgeven. Ze willen gewoon geen moeite doen illegale gegevens te verwijderen.

Maar gebrek aan menskracht is géén goede reden.

[Krulliebol]

Nee, het gaat om mensen waarvan (nog) niet het vermoeden bestaat dat ze iets met de zaak te maken hebben. Bewezen is dat allerminst.

[Triblade_8472]

Ja, maar is dat 'mijn' probleem als nietvermoeddende burger?

Zij hebben hun zaakjes dus niet op orde.

Stel.
Er is een groep boeven en justitie weet zeker dat de mobiele telefoons beginnen met 06-1234. Maar de rest niet. Dan tappen ze alles af wat met die cijfers beginnen.
Hoelang mogen ze er dan over doen de verdachte eruit te pikken?
Ik vindt dat ze direct mogen starten met onderzoek wie wel of niet serieuze verdachten zijn en de niet-verdachten er uit te knikkeren.

Dat zelfde geldt voor internet verkeer.
Als ze naar kinderporno zoeken en daarvoor een hele stad afvangen, hoelang mogen ze dit dan bewaren zonder reden?

Ik mag hopen dat er überhaupt een goede reden is om de sleepnetwet toe te passen.

In alle gevallen heb je wel een donders goede reden nodig. En dan lijkt mij dat ze door die reden heel, heel snel een filter kunnen maken of onderzoek kunnen plegen naar wel verkeer ze wel of niet willen houden.

Ofwel, geen enkele reden tot het illegaal lang bewaren van 'mijn' gegevens.

En mòcht het die ene keer voorkomen dat er wél een goede reden is, dan mag dat prima van mij na een rechterlijke toetsing. Maar dan weet je ook zeker dat de reden goed is.

[moonlander]

Waarom nog 12 maanden de tijd geven? Per direct!

[Daoka]

Per direct wordt natuurlijk wel heel moeilijk. Er zal niet een vinkje bij staan van deze persoon (of informatie) is verdachte/geen verdachte waar ze op kunnen filteren en wissen. Dit moet natuurlijk allemaal wel even uitgezocht worden. Je kan ook niet zeggen alles van 6 maanden en ouder wissen want dan wis je ook de dingen die wel bewaard moeten worden.

[SirBlade]

Wel nee, het is heel erg simpel om hier aan te voldoen. Vanaf nu is iedereen verdacht.

[Daoka]

Ach ja iedereen zal wel wat op zijn kerfstok hebben, illegale cdtje gebrand, muziek gedownload, te hard gereden, door rood licht gereden of gelopen of een snoepje gejat uit je moeders snoepkast. Iedereen is of wordt wel dus een keer de superschurk dus is ook maar beter om alles als bewijs te hebben.

[wica]

Het is triest, dat dit soort organisaties een waarschuwing moeten krijgen. I.p.v. het zelf al op orde te hebben.

[boner]

Hoezo onschuldig tot het tegendeel is bewezen? Hoe is het mogelijk dat een overheid, of overheden en overheidsinstanties, gegevens opslaan in een database die bedoeld is voor het opslaan van gegevens over bewezen overtreders? Hoe kunnen we het blijkbaar accepteren dat deze instanties de dystopische werkelijkheid hebben laten ontstaan en er dan met een waarschuwing vanaf komen. Waar is de massale aandacht van de pers gebleven? waar is het enorme verzet vanuit de burgerij gebleven?

Het is van Elie Wiesel ooit zei: “The opposite of love is not hate, it's indifference. ..."

We zijn een groep van domme schapen geworden die niet in de gaten heeft dat we in feite kikkers in de kookpan zijn.

first they came for zou niet moeten starten met the "socialists" maar met the "innocent"

Ik herhaal het nog maar even zodat we inzien waar we nu staan:

First they came for the socialists, and I did not speak out—
Because I was not a socialist.

Then they came for the trade unionists, and I did not speak out—
Because I was not a trade unionist.

Then they came for the Jews, and I did not speak out—
Because I was not a Jew.

Then they came for me—and there was no one left to speak for me.

[maartend]

Ik kan me bij dit soort toko's nooit aan de indruk ontkomen dat er een grote discepantie zit tussen moeten en doen.

[satoer]

Ach ja, dus "lekken" ze straks deze data met Amerika, die de data wel gewoon langdurig opslaat. En als ze iets van een persoon willen weten, vragen ze dat gewoon weer op.

[thunder8]

Wanneer gaan we leidinggevenden van dergelijke organisaties strafrechtelijk vervolgen als ze de wetten aan hun laars lappen? Er zijn niet voor niets duidelijke kaders afgesproken, die vastliggen in wetgeving. Prima als men bij een overtreding eerst waarschuwt, maar daarna hoort er een strakke deadline te zijn waarop wordt voldaan aan de wet en als dit niet lukt, dient een hoofd van een dergelijke dienst aangepakt te worden. Het kan toch niet zo zijn dat we criminelen berechten vanwege het overtreden van wetten, maar vervolgens handhavers de regels laten overtreden zonder consequenties? En wegpromoveren is geen consequentie.

[dollyking]

6 maanden is op zich lang.
het parkeren van data waar een kortere termijn op zit is natuurlijk ook fout.
zal bijvoorbeeld met ANPR data ook gebeuren, nu is dat max 28 dagen. maar die data gaat waarschijnlijk ook naar Europol, waar die vervolgend 6 maanden minimaal blijft hangen.