Vragen van het lid Six Dijkstra aan de minister van Justitie en Veiligheid, bij afwezigheid van de minister voor Rechtsbescherming, over het bericht “Nederlandse telefoons online stiekem te volgen: ‘Extreem veiligheidsrisico'”.
De voorzitter:
Dan gaan we luisteren naar de heer Six Dijkstra van de fractie van Nieuw Sociaal Contract, met eveneens een vraag aan deze minister. Het woord is aan hem.
De heer Six Dijkstra (NSC):
Dank u wel, voorzitter. Online privacy is stuk, zo is opnieuw gebleken. Iedere handeling die je op het internet doet en elke app die je gebruikt, laten sporen achter. Hier wordt grof geld mee verdiend. Schimmige datahandelaars, die de persoonlijke gegevens van miljarden personen doorverkopen aan de hoogste bieder, hebben momenteel vrij spel. Ook afgelopen week bleek weer via berichtgeving van BNR dat grote datasets van locatiegegevens, verzameld door mobiele apps, door het platform datarade.ai worden verhandeld aan eenieder die bereid is om ervoor te betalen. Deze data blijken vrij gemakkelijk te relateren aan personen, waaronder veel Nederlanders. Ook de gegevens van hoge officiers van Defensie en mensen met een hoge vertrouwelijke functie in het veiligheidsdomein liggen op straat. Deze grove privacyschending heeft daarmee ook directe gevolgen voor de nationale veiligheid. Mijn vraag aan de minister is wat het kabinet wil gaan doen, op nationaal of internationaal niveau, om deze praktijken aan banden te leggen.
Minister Yeşilgöz-Zegerius:
Dank u wel, voorzitter. Deze vragen zijn eigenlijk gesteld aan mijn collega, de minister voor Rechtsbescherming. Hij is in het buitenland voor werk. Daarom sta ik hier. Ik zeg dat er even bij, omdat ik af en toe wellicht naar hem moet verwijzen of naar de collega-staatssecretaris van Binnenlandse Zaken. Ik weet dat daar ook al vragen bij zijn ingediend, omdat zij daar primair over gaan.
Ik heb het bericht ook gelezen. Ik vind het ook absoluut zorgwekkend als op deze manier met persoonsgegevens wordt omgegaan. Dank dus voor het agenderen van deze vragen. Bescherming van persoonsgegevens, waaronder de locatiegegevens waarover het hier specifiek ging, is namelijk niet voor niets een fundamenteel grondrecht in onze democratische rechtsstaat. De Algemene verordening persoonsgegevens is er onder meer om te waarborgen dat mensen controle hebben over hun eigen persoonsgegevens. Ook al denk je dat je dat helemaal hebt: als op deze manier blijkt dat je net iets had gemist, dat je het net niet goed hebt gezien of dat het al verwerkt is, schendt dat je gevoel van privacy zeer. Met gegevens mag dus niet zomaar aan de haal worden gegaan. Daar gelden regels voor. Op die regels moet ook goed toezicht worden gehouden.
De vraag was wat er nou concreet gebeurt. Wellicht is het goed als ik daar een paar zinnen over zeg, waarbij ik het beknopt houd. Juist met het oog op het toezicht houden heeft het nu demissionaire kabinet, toen het begon, ervoor gekozen en besloten om de Autoriteit Persoonsgegevens de komende jaren 0,5 miljoen euro extra budget toe te kennen, dat specifiek zal worden gebruikt en nu wordt gebruikt om toezicht te houden op zogenaamde cookies en online tracking. Namens de minister voor Rechtsbescherming zeg ik graag toe dat hij in een brief ingaat op hoe dat geld is ingevuld en wat ermee wordt gedaan. Dat zal hij natuurlijk bij de Autoriteit Persoonsgegevens moeten ophalen, maar ook vanuit zijn eigen handelen. Uiteindelijk is de belangrijkste grondslag in dit geval dat jij toestemming hebt gegeven. Je hebt bewust moeten kunnen zien dat men met jouw gegevens zou gaan handelen, waarna jij zegt: nou, dat vind ik prima. Daar gaat het om: dat mensen vooraf en expliciet toestemming hebben gegeven om hun persoonsgegevens te verwerken voor specifieke doeleinden. Iemand moet er dus duidelijk mee akkoord zijn gegaan dat het kan worden doorverkocht aan derden. Daarbij geldt als voorwaarde — die ik zelf heel belangrijk vind als iemand die ook dingen downloadt, zoals wij allemaal — dat iemand goed moet zijn geïnformeerd over het verstrekken van die gegevens, zodat je ook echt weet waar je eventueel mee instemt. Ik denk dat dit elementen zijn waarop we strak toezicht nodig hebben.
Daarnaast is het natuurlijk belangrijk dat we in Europees verband met elkaar optrekken. Ik zal zorgen dat er ook wordt ingegaan op de laatste stand van zaken daar, dus van het algemene onderwerp tracking en cookies.
De heer Six Dijkstra (NSC):
Dank aan de minister. Ik heb daarbij wel de volgende vraag. In deze casus gaat het echt om bulkdatasets van locatiegegevens van heel veel mensen. Het zijn ook zaken waarvan ik mij afvraag of ze überhaupt conform de wet zijn verzameld en doorgestuurd. In dit geval gaat het om een Duits bedrijf, Datarade. Ik ben benieuwd of deze minister of de minister voor Rechtsbescherming contact heeft gehad met Duitse collega’s, om bij hen te rade te gaan over wat hier speelt.
Minister Yeşilgöz-Zegerius:
Ik zit even te kijken, maar ik zie dat niemand appt. Ik krijg daar nu dus geen antwoord op. Ik weet niet of minister Weerwind dat heeft gedaan, maar ik zal zorgen dat dat terugkomt in zijn brief, en ook de uitkomst van dat contact als dat er is geweest. Uiteindelijk denk ik dat de heer Six hier een heel belangrijk punt aanstipt: of je nou toestemming geeft of niet, je moet ook weten dat het gaat over zogenaamde adressenhandel, wat daar nog meer achter zit en wat voor consequenties dit voor jou kan hebben. Beide zaken neem ik dus sowieso mee, zeg ik even. Ik zie nu dat er nog geen is contact geweest, maar er wordt wel op ingegaan in de brief.
De heer Six Dijkstra (NSC):
Dank u wel. Dan ben ik ook benieuwd naar het volgende. Als het blijkbaar binnen de wettelijke grondslag toegestaan is dat grote datasets verhandeld worden die direct te relateren zijn aan natuurlijke personen — dat was hierbij namelijk het geval — volstaat de wettelijke grondslag dan nog wel, zelfs als je toestemming geeft? Ik kan me namelijk voorstellen dat niet iedereen die cookies accepteert, daadwerkelijk doorheeft waar die ja tegen zegt.
Minister Yeşilgöz-Zegerius:
Het is in de kern en per casus aan de autoriteit om dat te beoordelen, maar je hebt dus een paar fases die daaraan voorafgaan. Je moet daar expliciet toestemming voor hebben gegeven, dus het moet expliciet onder jouw aandacht zijn gebracht. Het moet dus niet alleen maar een “oké” zijn; het moet er duidelijk hebben gestaan. Op het moment je dat niet expliciet hebt gedaan, kan verstrekking van gegevens aan de derde partij soms toch rechtmatig zijn, maar dan moet er echt sprake zijn van gerechtvaardigd belang. Dat is conform artikel 6 van de AVG. Bij dit soort bulkdata en adressenhandel is het moeilijk voor te stellen dat er ook nog eens een gerechtvaardigd belang is, maar het gaat over die lagen. Het is uiteindelijk aan de autoriteit om dat te beoordelen. Dan komen we een beetje bij het gesprek dat we net hadden: die autoriteit is onafhankelijk, dus we kunnen niet per casus aan haar vragen wat er is gebeurd. Maar we kunnen natuurlijk wel het gesprek aangaan en vragen: heb jij genoeg tools in handen en zitten hier lessen in die je in algemenere zin bij ons op tafel kunt leggen, zodat wij als kabinet en Kamer weten of er meer voor nodig is?
De heer Six Dijkstra (NSC):
Dan mijn volgende vraag. Ik snap dat de Autoriteit Persoonsgegevens nog enige tijd nodig heeft om het allemaal in kaart te brengen. Zou u alvast kunnen schetsen welke rechten mensen van wie deze rechten geschonden zijn — ik verwacht dat dat het geval zal zijn in deze casus — dan vervolgens hebben?
Minister Yeşilgöz-Zegerius:
Misschien kunnen we ‘m zo uitzetten in die brief, waarvan ik zal aangeven dat het fijn zou zijn als die snel komt. Dit zijn namelijk zaken die het team van minister Weerwind paraat heeft, denk ik. We kunnen dan niet specifiek ingaan op de casus, maar wel op wat je kan doen als je rechten geschonden zijn. Daarbij zal er natuurlijk recht zijn op verwijdering en inzage, maar waarschijnlijk zoekt meneer Six naar: wat zijn nou al die rechten en wat zijn alle stappen die een individu kan zetten? Ik zorg ervoor dat dat terugkomt in een stappenplan in die brief.
De heer Six Dijkstra (NSC):
Dank u wel. Dat wordt gewaardeerd. Dan trek ik het wat breder. Er zijn ook een aantal in Nederland gevestigde bedrijven, althans bedrijven met filialen in Nederland, die echt het opstellen van heel gedetailleerde profielen van personen als verdienmodel hebben, voor commerciële winst dan wel voor surveillancedoeleinden, om door te verkopen aan legitieme dan wel niet-legitieme organisaties. In een eerder artikel van Follow the Money werden er ook een aantal genoemd. Dat waren LiveRamp, Comscore en Whooz. Welke mogelijkheden ziet de minister om dit soort praktijken in Nederland concreet aan banden te leggen?
Minister Yeşilgöz-Zegerius:
Dit is al met al een interessante sessie, maar nu vind ik dat meneer Six ook voor mij persoonlijk interessante vragen over mijn portefeuille opwerpt. Aan de ene kant is het prima als het allemaal valt binnen de kaders en je toestemming geeft. Als je de gevolgen daarvan niet kunt overzien … Ik heb te maken met een helaas groeiende lijst van mensen die bewaakt en beveiligd moeten worden en die potentieel gevaar lopen. Ik wil eigenlijk dat we hen veel beter kunnen beschermen. Dat is de balans waarnaar we zoeken. Ik zal zorgen dat ik hierbij stilsta bij een volgende update van bewaken en beveiligen, waarbij we dat hele stelsel herzien. Is dat wenselijk vanuit dit idee? Zo ja, hoe richt je dat dan in? We hebben bijvoorbeeld afspraken kunnen maken met de Kamer van Koophandel, maar dat is een heel ander instituut dan waarop de vragen van de heer Six betrekking hebben. Ik ga dus zelf in op de vraag wat de veranderende tijd van ons vraagt om proactief te handelen op dit soort mechanismen.
De heer Six Dijkstra (NSC):
Dank u wel. Dat wordt gewaardeerd. Ik wil ook vragen aan de minister om te kijken of ze daarin mee kan nemen wat de rol en de verantwoordelijkheid zijn van de grote internationals, zoals Oracle, die ook via zogeheten “real-time bidding” gegevensprofielen van mensen opstellen, en of zij daarin mee kan nemen wat daar op nationaal dan wel internationaal of Europees niveau aan gedaan kan worden qua wetgeving dan wel handhaving.
Minister Yeşilgöz-Zegerius:
Ik denk dat we samen zo een hele uitgebreide brief namens mijn collega’s hebben geschreven, maar dat is ook goed. Daarvoor moeten Binnenlandse Zaken en BZK ook aanhaken, denk ik. Ik zorg ervoor dat we dat erbij betrekken. Dat zal waarschijnlijk een brief zijn van collega Weerwind met BZK en wellicht EZK, maar daar nemen we deze ook in mee.
(…)
Mevrouw Mutluer (GroenLinks-PvdA):
Als ik had geweten dat mijn collega zo veel vragen zou stellen, dan had ik mijn vraag eerder gesteld, namelijk bij de voorgaande indiener van de vragen. Even concreet, want ik vind dat wij niet lichtzinnig hoeven om te gaan en mogen omgaan met het gegeven dat deze gegevens worden verhandeld door, in mijn beleving, criminelen; zo mag ik ze wel samenvatten. Ik snap dat de minister zegt: ik ga het een en ander bespreken met onze AP en ga na wat ze met de extra middelen die zij hebben gekregen, met dit gegeven gaan doen. Ik wil concreet aan de minister vragen wanneer deze gegevens van de markt af worden gehaald en wanneer onze AP in staat is om deze datahandel daadwerkelijk de nek om te draaien. Hoelang gaat het duren?
Minister Yeşilgöz-Zegerius:
Maar het is niet strafbaar. Daarom trok ik het uit elkaar richting de heer Six. Als jij expliciet en vooraf toestemming geeft, dan mag dat gewoon. Het is dus geen strafbaar feit. Waar de AP toezicht op moet houden, is of er inderdaad expliciet en vooraf toestemming wordt gevraagd aan de betrokkene en of de betrokkene daar kennis van heeft kunnen nemen. Men moet erop toezien dat dat goed gebeurt. Op het moment dat dat gebeurt, dan mag het. In die stappen moet het. Dat half miljoen is natuurlijk wel vrijgegeven om juist dat toezicht te kunnen houden. Ik zal zeker aan minister Weerwind vragen of hij nader kan ingaan op hoe de AP dat inricht en dat doet. De AP is daar natuurlijk volledig onafhankelijk in. Daar kunnen wij dus nooit op sturen, maar dat was volgens mij ook niet de vraag. Het is wel een knip. Het ene is toegestaan, is geen strafbaar feit; het mag gewoon. Het wordt problematisch als je het niet volgens de regels hebt gedaan. Daar hebben we een toezichthouder op.
