Lang voor de coronaspoedwet volgde het CBS al telefoons van burgers

Een spoedwet van het kabinet moet regelen dat de overheid de mobiele telefoons van burgers mag volgen in de strijd tegen Covid-19, maar nu blijkt dat het Centraal Bureau voor de Statistiek (CBS) dat eerder al op grote schaal deed. De Autoriteit Persoonsgegevens (AP) bekijkt daarom of het statistiekbureau daarmee de wet heeft overtreden. Samen met Vodafone legde het CBS onder meer vast hoeveel mensen in Amsterdam Koningsdag 2018 bezochten en waar zij vandaan kwamen.

De dataprojecten van het CBS zijn actueel geworden nu het RIVM eveneens de bewegingen van burgers wil volgen op basis van hun telefoon. Volgens een net ingediend wetsvoorstel krijgt het RIVM tellingen ter beschikking die het CBS bij providers gaat verzamelen van mobiele telefoons per uur in een gemeente, plus de herkomst van deze telefoons. Het RIVM wil zo nieuwe uitbraken van het coronavirus indammen. In een persbericht werd onlangs het voorbeeld gegeven van een zaterdagmiddag waarop veel mensen uit Rijswijk in Delft zijn geweest. „Als er in een van de twee gemeenten nieuwe besmettingen worden gevonden, kan het RIVM de lokale GGD informeren dat dat ook in de andere gemeente zo zou kunnen zijn.”

Surveillancemaatschappij

Volgens privacywaakhond AP mag het RIVM niet zonder de spoedwet met deze gegevens aan de slag. „Volgens zowel de privacywet AVG als de Telecommunicatiewet mogen telecombedrijven niet zomaar gegevens van klanten delen met de overheid”, aldus AP-voorzitter Aleid Wolfsen in een persverklaring. De privacyrisico’s zouden groot zijn, vooral wanneer een organisatie ook over veel andere data van burgers beschikt. „Wie weet waar iemand woont of werkt en die gegevens combineert met de ‘geanonimiseerde’ locatiegegevens van heel veel mensen, kan met die combinatie achterhalen wie bij welke locatiegegevens hoort. [...] We moeten voorkomen dat we nu een surveillancemaatschappij optuigen waar we na de coronacrisis mee zitten opgescheept”, aldus Wolfsen, die het gebruik van locatiegegevens door de overheid „zeer ingrijpend” noemt.

Pikant is daarom dat de grootste datafabriek van de overheid, het CBS, dit soort locatiegegevens al eerder op grote schaal heeft verzameld. Zo weet het statistiekbureau op de website te melden dat er op Koningsdag 2018 tussen drie en vier uur ’s middags 319.000 mensen van buiten Amsterdam in de hoofdstad aanwezig waren. Het CBS gebruikte hiervoor, in samenwerking met databedrijf Mezuro, locatiedata van Vodafone. Op een andere pagina, getiteld ‘Bewegingen meten met anonieme telefoondata’, stelt het statistiekbureau met „zeer grote datasets” van T-Mobile te hebben gewerkt. Hiermee zou gevolgd zijn „waar personen gedurende de uren van de dag verblijven”. Dit inzicht zou belangrijk zijn voor beleid op het gebied van mobiliteit, veiligheid, rampenbestrijdingen en toerisme. Op een van de pagina’s kan per gemeente worden aangeklikt waar bezoekers vandaan komen en waar bewoners heen reizen.

Lees ook die het RIVM met de belgegevens heeft

Verbaasd

Privacywaakhond AP reageert verbaasd. „Dit is opmerkelijk. Wij gaan in gesprek met het CBS. Het is aan het CBS om dan aan te tonen dat het volgens de regels handelde”, aldus een schriftelijke reactie. Of er ook daadwerkelijk onzorgvuldig met de locatiedata is omgesprongen, kan waarschijnlijk alleen na onderzoek door de privacywaakhond blijken.

Volgens het CBS ging het om pilotprojecten met anonieme gegevens, waarop databeschermingswet AVG niet van toepassing zou zijn. CBS-medewerkers werkten op kantoor bij T-Mobile, maar hadden daar volgens een CBS-woordvoerder „beperkte toegang”. Sinds een half jaar zou het CBS geen data van T-Mobile meer ontvangen.

Ook volgens Mezuro, dat jarenlang dagelijks bewegingen per uur van geanonimiseerde Vodafone-klanten kreeg aangeleverd, gaat het om niet-herleidbare data. Mezuro registreerde onder meer dat er op 23 september 2018, toen PSV-Ajax werd gespeeld, 1.797 mensen uit Amsterdam het PSV-stadion bezochten, of het gebied eromheen.

Mezuro levert mobiliteitsdata aan gemeenten, onder meer over de plaatsen waar hun burgers werken. Daarop kunnen de carpoolplekken bijvoorbeeld worden afgestemd. Volgens Mezuro-directeur Wim Steenbakkers zijn de locatiedata die zijn bedrijf voor onder meer het CBS verzamelde van hetzelfde type als die het CBS straks voor het RIVM moet gaan verwerken. „Maar voor statistisch betrouwbare mobiliteitsinformatie heb je niet de locatiedata van alle Nederlanders met een mobiele telefoon nodig, zoals in de spoedwet staat omschreven”, aldus Steenbakkers. Mezuro gebruikte een ophoging, om op basis van bewegingen van de miljoenen Vodafone-klanten uitspraken te kunnen doen over alle Nederlanders.

Niet anoniem

ICT-beveiligingsdeskundige Matthijs Koot van Secura, die eerder aan de Universiteit van Amsterdam promoveerde op een proefschrift over data-anonimiteit, onderzocht de methode van het bedrijf. Hij zag geen „reële risico’s voor de privacy van het individu”. Volgens het kabinet zijn de tellingen van telefoons die het RIVM via het CBS moet gaan ontvangen ook geen persoonsgegevens, omdat ze niet herleidbaar zouden zijn.

Bij het concept-wetsvoorstel zag de AP dat anders. „Tellingen suggereert dat het om simpelweg het turven van anonieme personen gaat. In het wetsvoorstel waarover de AP het kabinet eerder adviseerde, is dat niet het geval. Elk uur wordt de locatie van mensen gerapporteerd. Van alle telefoons, tablets en auto’s met een SIM-kaart. Elke keer dat iemand ‘geturfd’ wordt, komt daar ook bij te staan in welke gemeente die persoon woont. Die data zijn niet anoniem”, aldus een woordvoerder.

Zo dient zich de vraag aan waarom het CBS, en Mezuro, in het verleden ongemoeid zijn gelaten, terwijl voor het gebruik van dezelfde data door het RIVM nu een spoedwet nodig is. De telecombedrijven maakten eerder al bekend vrijwillig mee te willen werken. Zo ver wil de AP niet vooruit kijken. „Wij kunnen niet vooruitlopen op het gesprek met het CBS. We weten dus ook niet of dit hetzelfde is als het wetsvoorstel dat nu naar de Tweede Kamer is gestuurd”, aldus een woordvoerder. Stichting Privacy First riep Kamerleden dinsdag op om tegen de spoedwet te stemmen.