Advies over beschermen van veiligheid en persoonlijke levenssfeer: gewoon doen
De overheid moet veel meer doen aan een zorgvuldige balans tussen veiligheid en privacy. Als het opslaan en uitwisselen van persoonlijke gegevens nodig is voor de veiligheid van mensen, moet dat gewoon gebeuren. Maar mensen moeten wel weten welke gegevens zijn opgeslagen en wie iets met die gegevens doet, en wàt. Bovendien moet het opslaan en uitwisselen van gegevens tot het noodzakelijke minimum beperkt worden. Professionals op de werkvloer moeten vertrouwd zijn met het belang van de bescherming van de persoonlijke levenssfeer. Daarop is onafhankelijk toezicht nodig.
Dat zijn de belangrijkste conclusies van de commissie Veiligheid en persoonlijke levenssfeer aan de ministers Hirsch Ballin (Justitie) en Ter Horst (Binnenlandse Zaken en Koninkrijksrelaties). Mevrouw Brouwer-Korf (oud-burgemeester van Utrecht) was voorzitter van de commissie. De opdracht was een advies uit te brengen over het zorgvuldig omgaan met persoonsgegevens op een manier dat de veiligheid van mensen daarmee gediend is.
In het advies van de commissie staan de volgende uitgangspunten voorop:
- veiligheid en privacy zijn een 'gewoon' beleidsterrein, waarnaar niet louter juridisch moet worden gekeken;
- er moeten criteria zijn die algemeen zijn toe te passen;
- analyseer risico's;
- eerst selecteren, dan verzamelen, en houd het sober;
- indien noodzakelijk voor de veiligheid, moet je delen
- robuust extern toezicht.
Voordat er een systeem wordt gebouwd om persoonsgegevens op te slaan of uit te wisselen, moet er een goede analyse van de risico's gemaakt worden. Bekeken moet worden hoe die risico's zijn weg te nemen. Daarna kunnen en moeten persoonsgegevens uitgewisseld worden als dat noodzakelijk is voor de veiligheid van mensen.
Zes algemene criteria
De commissie-Brouwer heeft zes criteria geformuleerd die algemeen zijn toe te passen bij afwegingen tussen veiligheid en privacy.
1. 'Transparantie, tenzij'
Mensen moeten in beginsel weten wie wat met zijn persoonsgegevens doet en hoe verschillende organisaties de gegevens uitwisselen. Actief informeren over recht op inzage, correctie van gegevens en zonodig verweer draagt bovendien bij aan de juistheid van de gegevens.
2. 'Selecteer voor je verzamelt' en houd het sober ('select before you collect')
Met dit criterium wil de commissie het werken met persoonsgegevens tot het noodzakelijke minimum beperken. De commissie adviseert dat een risicoanalyse de standaard wordt voordat gegevens in een systeem worden verzameld.
3. 'Indien noodzakelijk voor de veiligheid, moet je delen'
Een duidelijk signaal naar de praktijk: Als duidelijk is dat de veiligheid van individuen concreet wordt bedreigd en het delen van persoonsgegevens dat risico kan wegnemen, móeten persoonsgegevens uitgewisseld worden tussen verschillende organisaties.
Voor professionals die werken met persoonsgegevens moeten er - per beroepsgroep - externe vertrouwenspersonen komen als vraagbaak en klankbord over het uitwisselen van persoonsgegevens.
4. 'Zorg voor integriteit van gegevens, systemen en het handelen van gebruikers'
Slimmere omgevingen stellen steeds hogere eisen aan het realiseren van de noodzakelijke privacywaarborgen. Bij het ontwikkelen van systemen moet tijdig naar privacyrisico's gekeken worden.
5. Zorg voor voorlichting en facilitering
Er moeten modelcodes en protocollen voor de werkvloer komen. Het ontwikkelen van 'good and best practices' en simulaties kunnen bijdragen aan verankering van het privacybelang in het dagelijkse werk van professionals. De verantwoordelijkheid daarvoor ligt bij de instanties die met persoonsgegevens werken. De overheid speelt hierbij een faciliterende rol, ook voor de eigen organisatieonderdelen.
6. Zorg voor naleving en intern toezicht
Zorg voor een permanente prikkel in alle organisaties om de afwegingen en risicobeoordelingen over privacy en veiligheid op een adequaat niveau te brengen en te houden. Instellingen en bedrijven moeten hiervoor intern een aparte functionaris hebben met voldoende gezag.
Robuust extern toezicht en handhaving
De commissie vindt dat er een onafhankelijke externe toezichthouder moet komen over het omgaan met persoonsgegevens. Deze toezichthouder kijkt op de werkvloer hoe het verzamelen en uitwisselen van persoonsgegevens in de praktijk verloopt en of dat zorgvuldig gebeurt.
Zo nodig treedt de toezichthouder handhavend op met instrumenten als dwangsommen, bestuursdwang, 'naming en shaming' en bestuurlijke boetes.
De toezichthouder moet zijn handen vrij hebben en geen bemoeienis hebben met advisering, facilitering of voorlichting, zoals nu de situatie is bij het College bescherming persoonsgegevens.
Actuele cases
De commissie heeft op verzoek van de beide ministers de zes criteria toegepast op twee actuele cases.
Over het herkennen van autokentekens met camera's adviseert de commissie om de beoogde doelen scherper te formuleren. Ook moet voor iedereen duidelijk zijn hoe en waarvoor het systeem wordt gebruikt. Een landelijke standaard lijkt daarbij wenselijk. Privacywaarborgen moeten in het systeem worden ingebouwd, bijvoorbeeld door het automatisch verwijderen van de gegevens na een bepaalde termijn.
De commissie spreekt zich niet uit over de wenselijkheid van registratie van etniciteit, omdat dat een politieke afweging is. Wel adviseert de commissie de zes criteria te hanteren bij een beslissing hierover. De commissie adviseert daarbij een onderscheid te maken tussen registratie voor beleidsinformatie en registratie voor individuele gevallen.
Noot voor redacties (