Nu de wereld in de ban is van een gigantisch gezondheidsprobleem, grijpen sommige overheden naar drastische digitale maatregelen. In de strijd tegen de coronapandemie is het verleidelijk om gegevens over bijvoorbeeld locaties te verzamelen om te leren waar burgers zich bevinden. Experts vragen zich af of het wel verstandig is om alles door te voeren onder het mom van crisisbestrijding.
Voor het bestrijden van de coronacrisis zijn harde en unieke maatregelen nodig. De anderhalve meter afstand, groepsimmuniteit en samenscholingsverboden zijn voor Nederlandse begrippen vrij extreem. Midden in de crisis is het bovendien afwachten of de maatregelen van de overheid en het RIVM veel effect hebben. Dat is een vraag waar ook veel andere landen mee worstelen. Om die vraag te beantwoorden, proberen overheden nieuwe methodes.
Harde maatregelen
Israël is een van de landen die bij bestrijding van het virus naar de voordelen van technologie grijpen. Het land verzamelt de locatiegegevens van alle burgers die het virus hebben opgelopen. Die gegevens worden vervolgens gebruikt om te zien waar die burgers zijn geweest en met wie ze misschien in contact zijn gekomen. Onder het plan zijn geen gerechtelijke bevelen nodig om locatiedata te verzamelen. Het ministerie van Volksgezondheid mag de gegevens voor een periode van zestig dagen bewaren; daarna worden ze vernietigd. Wel kan de wet met nog eens zestig dagen worden verlengd. Ook in China draait de staatssurveillance overuren, al is het in dat land een stuk minder uniek. Het is een heftige maatregel, maar ook dichter bij huis zijn soortgelijke plannen niet meer ondenkbaar.
Coronatijd verloopt anders dan normale tijd. Nog slechts een paar dagen geleden speelden plannen om grootschalige telecom- en locatiedata te verzamelen alleen nog in het autoritaire China en in Israël, en werd het plan voorzichtig en met veel kritiek van de oppositie voorgesteld in Oostenrijk. In dat land verzamelden de autoriteiten locatiegegevens van telecomprovider A1. Daarmee volgen ze geen individuele klanten, maar grotere groepen gebruikers om te kijken hoeveel mensen er in bepaalde gebieden rondlopen. Allemaal gepseudonimiseerd, dat wel.
Nederlandse plannen
Eurocommissaris Thierry Breton vroeg telecomproviders metadata aan te leveren
Nog geen week geleden probeerden twee Franse senatoren een dergelijk plan door te voeren. Dat plan haalde het niet, maar nu, slechts enkele dagen die aanvoelen als weken later, lijkt de stemming in Europa 180 graden gedraaid te zijn. Eurocommissaris Thierry Breton riep telecomproviders op metadata van Europese burgers te verzamelen en aan de Commissie te geven. Dat zou betekenen dat niet de providers, maar de Europese overheden controle hebben over locatiegegevens van grote groepen mensen.
De Nederlandse providers staan daarvoor open, zeggen ze in een reactie tegen Tweakers. "Mits dat technisch en juridisch haalbaar is", schrijft VodafoneZiggo. "Mits kan worden voldaan aan de geldende privacywetgeving", zegt KPN. Met de juiste waarborgen voor anonimiteit willen en kunnen overheden dus straks veel informatie verzamelen, op een schaal die tot nu toe weinig mensen voor mogelijk hadden gehouden. Er zitten veel mitsen en maren aan dergelijke plannen. Hoe lang blijven de gegevens bewaard, hoe garandeert de EC de veiligheid van de gegevens en hoe anoniem is 'anoniem' in dit geval? Overigens is het wel belangrijk te bedenken dat de Europese plannen nog niet heel concreet zijn. Er is op dit moment nog geen order van hoger hand gekomen en als die er is, lijken de providers niet zomaar ja en amen te zeggen op een verzoek.
Apps
In Nederland en België, en eigenlijk ook in de meeste andere landen, worden zulke gegevens vooralsnog niet verzameld door de autoriteiten. Wel roepen autoriteiten steeds vaker de hulp in van vrijwillige deelnemers. In Nederland was er bijvoorbeeld Infectieradar.nl, een initiatief van het RIVM. Op de site konden vrijwilligers zich aanmelden om aan te geven van welke coronaklachten zij last hadden. Het RIVM kon op die manier zien hoe het virus zich door het land verspreidt. Het instituut heeft de site inmiddels offline gehaald, omdat die niet veilig bleek te zijn.
Een overheidswebsite die buiten crisistijd naar de gezondheidsgegevens van Nederlandse burgers vraagt, zou waarschijnlijk bol staan van de privacyverklaringen, maar voor Infectieradar.nl gold dat een stuk minder. In de veelgestelde vragen staat wel dat burgers hun naam niet hoeven te geven, maar dat is dan ook de enige waarborg die op privacygebied wordt gegeven. "Uw internetadres wordt tijdens de analyse niet aan uw gegevens gekoppeld en uw identiteit is zeer moeilijk herleidbaar", is het enige dat er te lezen stond op de site.
Er zijn wereldwijd veel meer initiatieven met dergelijke apps. Die komen soms van overheden, zoals Trace Together uit Singapore, maar ook van bedrijven of gezondheidsorganisaties. Zulke initiatieven kun je ook zien als een goede tussenoplossing: de data wordt vrijwillig gegeven en het idee is ze zo anoniem mogelijk te verzamelen.
Juridische mogelijkheden
Onder de AVG en e-privacyrichtlijn zijn er best veel mogelijkheden om anonieme data te verzamelen
De maatregelen van Oostenrijk en Israël lijken op het eerste gezicht draconisch en misschien zelfs tegen de wet. Locatiegegevens verzamelen klinkt niet als iets dat zomaar kan. Toch laat de wet redelijk veel ruimte om dat te doen, zeggen niet alleen juristen, maar ook de privacywaakhonden. Die zijn in Europa verenigd in de European Data Protection Board, of de EDPB, die vorige week een advies uitbracht over privacy in coronatijden.
Volgens de e-privacyrichtlijn is het toegestaan om locatiedata te verzamelen, onder de juiste voorwaarden. Ze moeten bijvoorbeeld geanonimiseerd zijn en er moet een 'zwaarwegend belang' zijn. Dat laatste moet de verzamelaar hard kunnen maken door bijvoorbeeld een document met afwegingen op te stellen. Een toezichthouder moet bepalen of een bepaald belang zwaarwegend genoeg is, of een rechter als de toezichthouder er niet uitkomt.
Experts waarschuwen echter dat er tijdens de crisis een stuk minder streng op die waarborgen wordt toegezien. "We zien juist in dit soort situaties een tendens om dingen als volksgezondheid en veiligheid boven andere fundamentele rechten te stellen. Dat is een zorgelijke ontwikkeling", zegt Natali Helberger, hoogleraar recht en digitale technologie aan de Universiteit van Amsterdam. Privacy en het recht om niet overal gevolgd te worden zijn immers fundamentele rechten die ook zijn vastgelegd in het Europees Verdrag voor de Rechten van de Mens. Het is niet zo dat crisisbestrijding die rechten per se overstijgt en dat privacy automatisch altijd lager gewaardeerd moet worden.
Function creep
Experts zijn vooral bang voor function creep; gegevens worden langer bewaard dan nodig en voor een ander doel dan waarvoor ze aanvankelijk werden verzameld. Je ziet dat vaak gebeuren bij maatregelen die aanvankelijk tegen bijvoorbeeld terrorisme of mensenhandel worden ingezet, maar later ook worden gebruikt voor fraudebestrijding. Dat risico is er ook bij maatregelen in de coronacrisis. "Wat als je deze gegevens nu verzamelt en later inzet om bijvoorbeeld mensen met andere ziektes op te sporen, of misschien wel mensen die hun belasting niet betalen?" vraagt Helberger zich af. "Waar trek je die grens, en hoe zorg je ervoor dat die maatregelen niet blijven bestaan?" Een ander risico is volgens Helberger dat het heel moeilijk is om maatregelen die eenmaal genomen zijn, terug te draaien.
Experts waarschuwen voor 'function creep' bij dataverzameling
Buiten het juridische kader is het natuurlijk ook de vraag of al die verregaande maatregelen wel wenselijk zijn. Burgerrechtenorganisaties zijn vanzelfsprekend kritisch. Internationaal geeft de Electronic Frontier Foundation bijvoorbeeld tips voor omgaan met het virus. De organisatie doet een aantal voorstellen waaraan bestuurders zich zouden moeten houden. Proportioneel, transparant en beperkt zijn daarbij de sleutelwoorden.
Ook politici zien het virus niet als een vrijbrief om zomaar alles in te voeren. Kees Verhoeven van D66 wijst er bijvoorbeeld op dat beleidsmakers goede waarborgen moeten inbouwen als ze maatregelen doorvoeren. "We hebben in het verleden veel voorbeelden gezien van maatregelen die werden ingezet, die later voor een heel ander doel worden gebruikt", vertelt hij aan Tweakers. Verhoeven trekt de parallel met de economische steunpakketten die nu in rap tempo tot politiek beleid worden gemaakt. "Dat zijn ook verregaande maatregelen waar je goed naar moet kijken, maar je ziet dat dat veel minder permanente maatregelen zijn dan dit."
Genoeg wettelijke mogelijkheden
Dat wil allemaal niet zeggen dat dergelijke maatregelen nooit kunnen worden ingevoerd. Volgens Verhoeven is dat juist prima mogelijk, maar het moet dan wel onder 'de juiste voorwaarden' gebeuren, zegt hij. "Je moet sowieso een tijdslimiet invoeren. Het moet gekoppeld worden aan het hoogtepunt van de crisis, zodat de data alleen tijdens de crisis wordt ingezet. En ook belangrijk: daarna moeten de gegevens ook echt vernietigd worden. Ten tweede moet je data alléén gebruiken voor de bestrijding van het virus en tot slot moet je een wettelijk kader schetsen waarvoor je de data mag verzamelen."
De AVG stelt bijvoorbeeld dat je in noodsituaties best wat data zonder toestemming mag verzamelen, maar dan moet wel worden verantwoord dat de huidige situatie een noodsituatie is. Verhoevens tweede punt verwijst bovendien naar artikel 6.4 uit de AVG, dat gaat over doelbinding. Ook Helberger denkt dat er genoeg democratische waarborgen bestaan als er tijdelijke heftige maatregelen worden ingezet. "We hebben veel van die waarborgen in onze rechtsstaat, maar dan moet je je daar wel aan houden. Ook transparantie is daarbij erg belangrijk. De bevolking moet zich bewust zijn van wat er besloten wordt." Helberger zegt dat er bij nieuwe maatregelen aan de lange termijn moet worden gedacht. "Laten we verder kijken dan alleen die pandemie." Verhoeven erkent dat het een lastige boodschap is. "In een crisis is iedereen geneigd te denken: We moeten toch die crisis aanpakken? Achteraf blijkt dan vaak dat we toch even wat meer hadden moeten nadenken."
Nog niet zover
In Nederland zijn er nu nog
"Er wordt heel veel data verzameld, de gegevens die gebruikt zouden worden zijn niet nieuw, dus we kunnen niet zeggen dat het helemaal niet speelt", zegt Lotte Houwing van digitale burgerrechtenorganisatie Bits of Freedom, "maar ik heb het idee dat het wat technologische maatregelen betreft wel meevalt in Nederland. Op het gebied van mensen tracken om bijvoorbeeld risico's in kaart te brengen: dat speelt nu helemaal niet." Houwing zegt dat er nu een vertekend beeld ontstaat over wat er aan de hand is. "Dat telecommunicatieproviders locatiegegevens "willen delen" geeft een andere indruk dan dat zij 'zijn bereid om' dat te doen, onder voorwaarden, en als het nodig is."
niet veel maatregelen die zorgen baren
De huidige maatregelen rondom social distancing lijken dan ook redelijk goed gevolgd te worden en er zijn in Nederland nog geen concrete plannen om locaties te gaan tracken. Verhoeven maakt ook die kanttekening. Het gaat slechts om een waarschuwing. "Ik zeg niet dat er nu misbruik wordt gemaakt van een situatie. Maar we zien wel dat dat in het verleden vaker is voorgekomen." Ook Houwing van Bits of Freedom ziet lichtpuntjes: "Op dit moment zijn kamerleden terecht kritisch over de noodzaak, proportionaliteit en effectiviteit van het inzetten van telecomdata in de strijd tegen corona. De situatie in Nederland lijkt er nu simpelweg niet om te vragen."