Brief regering : Nadere informatie over de tijdelijke wet informatieverstrekking RIVM ivm COVID-19

Nr. 10 BRIEF VAN DE STAATSSECRETARIS VAN ECONOMISCHE ZAKEN EN KLIMAAT

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 2 oktober 2020

De vaste commissie voor Economische Zaken en Klimaat heeft op 25 juni 2020 besloten
het wetsvoorstel Tijdelijke wet informatieverstrekking RIVM i.v.m. COVID-19 (Kamerstuk
35 479) aan te melden voor plenaire behandeling en op 30 juni 2020 besloten om voorafgaand
aan de plenaire behandeling een rondetafelgesprek te organiseren.

Voorafgaand aan de plenaire behandeling van het wetsvoorstel wil ik samen met de Minister
van Volksgezondheid, Welzijn en Sport nog een aantal punten verduidelijken en een
nota van wijziging indienen (Kamerstuk 35 479, nr. 11).

In deze brief lichten wij uitgebreider toe hoe we aan de kritiekpunten in het advies
van de Autoriteit Persoonsgegevens (14 mei 2020) tegemoet zijn gekomen in het wetsvoorstel
zoals dat bij de Kamer is ingediend (Bijlage bij Kamerstuk 35 479, nr. 7). In de zomer hebben wij nogmaals contact gehad met de AP over dit wetsvoorstel.
In deze gesprekken heeft de AP laten weten dat ondanks de aanpassingen die in het
wetsvoorstel zijn gedaan, de vrees blijft bestaan dat de tellingen die de telecomaanbieders
op grond van dit wetsvoorstel met het CBS ten behoeve van het RIVM moeten delen, heridentificeerbaar
zijn.

Volgens jurisprudentie van het Europese Hof van Justitie van de EU moet, om te bepalen
of een individu identificeerbaar is, worden gekeken naar «alle middelen waarvan redelijkerwijs
valt te verwachten dat zij worden gebruikt door degene die voor de verwerking verantwoordelijk
is, of die door een derde partij worden gebruikt om het individu te identificeren.»
Het Europese Hof heeft overwogen dat het heridentificeren van personen «in ieder geval
niet aan de orde is als de identificatie van de betrokkene bij de wet verboden wordt
of in de praktijk ondoenlijk is, bijvoorbeeld omdat zij – gelet op de vereiste tijd,
kosten en mankracht – een excessieve inspanning vergt, zodat het gevaar voor identificatie
in werkelijkheid onbeduidend lijkt.»1 Het wetsvoorstel zoals dat nu in de Tweede Kamer ligt, bevat al de waarborgen die
ervoor zorgen dat herleiden verboden is en daarnaast in vrijwel alle gevallen ook
in de praktijk ondoenlijk. De tellingen worden op grond van het wetsvoorstel uitsluitend
gedeeld met het CBS, dat de tellingen uitsluitend met het RIVM mag delen, en beide
instanties is het verboden te proberen uit deze tellingen personen te heridentificeren.
Daarnaast maken andere waarborgen in het wetsvoorstel (zoals de drempel van 15 waaronder
geen gegevens worden verstrekt, en de limitatief opgesomde aard van de gegevens: alleen
totaalaantallen per gemeente per uur) ook dat het ondoenlijk is om individuen te herkennen
of te volgen door middel van de tellingen en in de meeste gevallen ook met excessieve
inspanning onmogelijk. Hiermee zijn de tellingen die aan het CBS worden verstrekt
volgens de Europese jurisprudentie dus al anoniem.

We nemen de zorg van de AP dat de tellingen herleidbaar zouden zijn echter serieus
en hebben daarom gezocht naar manieren om het risico op herleidbaarheid, hoewel juridisch
al verboden en vanwege de anonimiserende maatregelen in het wetsvoorstel (dataminimalisatie,
redactie en aggregatie) in de praktijk in de meeste gevallen al ondoenlijk, nog kleiner
te maken zonder af te doen aan de bruikbaarheid van de tellingen voor het RIVM bij
de bestrijding van het coronavirus. Met bijgaande nota van wijziging wordt om dat
te bereiken nog een extra anonimiserende maatregel (toevoegen van statistische ruis)
aan het wetsvoorstel toegevoegd. Hieronder gaan wij hier dieper op in.

Daarnaast wordt met de nota van wijziging duidelijker tot uitdrukking gebracht dat
de te verstrekken gegevens uitsluitend worden afgeleid uit de bestaande databases
waarin de aanbieders reeds verkeersgegevens bewaren voor de doelen genoemd in artikel 11.5
van de Telecommunicatiewet. Hiermee wordt uitgesloten dat het wetsvoorstel aanbieders
dwingt om verkeersgegevens die zij nu slechts kortstondig verwerken ten behoeve van
het kunnen leveren van hun diensten en het goed functioneren van hun netwerk, langer
te bewaren dan zij dat momenteel doen. Wij willenl daarmee tevens de indruk wegnemen
dat telecomaanbieders als gevolg van dit wetsvoorstel een «nieuwe database» moeten
bouwen waar opsporingsdiensten toegang toe zouden krijgen. Omdat de bewaarplicht niet
langer geldt, zijn de bevoegdheden van de opsporings- en veiligheidsdiensten beperkt
tot die gegevens die de aanbieder uit eigen beweging op grond van artikel 11.5 en
11.5a bewaart. Het wetsvoorstel schrijft de aanbieders niet voor om de gegevens die
zij momenteel niet langer dan bijvoorbeeld enkele uren tot een dag te bewaren, zoals
de «paraatstandgegevens», «timing advance gegevens» of het «paging systeem» waarmee
voor een soepele afhandeling van oproepen periodiek gepeild wordt waar een toestel
zich in het netwerk bevindt, langer te bewaren. Dit wordt nog eens extra verduidelijkt
met de tweede nota van wijziging. Deze gegevens worden niet gebruikt als input voor
de tellingen op grond van deze wet.

De totaalaantallen die aan het CBS worden verstrekt zijn anoniem

Voorop staat dat de regering met dit wetvoorstel geen personen wenst te volgen. Dat
is niet nodig voor het doel van het wetsvoorstel en het is ook niet wenselijk. Burgers
moeten vrij gebruik kunnen maken van mobiele telecommunicatie zonder het gevoel te
krijgen dat zij bespied of gevolgd worden. Het wetsvoorstel mag het dan ook op geen
enkele manier mogelijk maken dat individuen worden gevolgd, niet door de overheid
maar ook niet door andere partijen. Het wetsvoorstel biedt alle waarborgen om te voorkomen
dat dit kan gebeuren.

Het beginsel van dataminimalisatie schrijft voor dat wanneer persoonsgegevens worden
verwerkt, de gegevens die verwerkt worden voor het doel toereikend en ter zake dienend
zijn, en dat er niet méér persoonsgegevens worden verwerkt dan noodzakelijk voor het
doel. Het RIVM en het CBS hebben geen persoonsgegevens nodig voor het doel dat met
dit wetsvoorstel wordt gediend, uitsluitend de door het CBS statistisch berekende
totaalaantallen personen (afgeleid uit het totaalaantal naar schatting aanwezige mobiele
telefoons), per gemeente, per uur, opgesplitst naar de vermoedelijke woonplaats (in
de vorm van de afgeleide herkomst: de gemeente waar de telefoon de afgelopen dertig
dagen het meest is geweest). Omdat het RIVM en het CBS vanuit het doel waarvoor deze
gegevens worden opgevraagd, geen informatie over herleidbare individuen nodig hebben,
worden uitsluitend de totaalaantallen aan het CBS verstrekt, met een minimale waarde
van 15, zodat hieruit geen individuele personen of groepen personen kunnen worden
herleid.

Dat de totaalaantallen zoals die aan het CBS worden verstrekt anoniem zijn, wordt
mede bereikt door het door het kabinet beoogde proces waarmee de aanbieders de totaalaantallen
afleiden uit de verkeersgegevens die zij verwerken.

Proces om tot de aan het CBS te verstrekken gegevens te komen

Ter verduidelijking zouden wij graag het proces bij de aanbieders willen beschrijven
om tot de gegevens te komen die aan het CBS zullen moeten worden verstrekt. De werkwijze
die daarbij moet worden gehanteerd bij de aanbieders zou worden vastgelegd in de aanwijzingen
op grond van de voorgestelde wettelijke bepaling. Met deze brief dienen wij zoals
gezegd een nota van wijziging in die de belangrijkste aspecten van deze werkwijze,
die de tellingen (statistisch) representatiever maken maar bovenal de tellingen zoals
de aanbieders die aan het CBS moeten verstrekken verder anonimiseren, vastlegt in
de wet.

1. Tellingen per uur

De aanbieder dient uit diens bestaande database van verkeersgegevens voor elk uur
af te leiden in welke gemeente een toestel gebruik heeft gemaakt van het mobiele communicatienetwerk,
door bijvoorbeeld te bellen, sms’en of een dataverbinding te starten. In deze databases
wordt alleen bijgehouden via welke antenne een telefoon dat heeft gedaan. Dit moet
dus nog vertaald worden naar een gemeente met een antennekaart.

Het geografische gebied waar een antenne dekking geeft is uiteraard niet gelijk aan
de gemeentegrenzen. Om tellingen per antenne te kunnen vertalen naar tellingen per
gemeente wordt vooraf, aan de hand van de antennekaart van de betreffende aanbieder,
een schatting gemaakt van de kans dat een toestel dat verbinding maakt met een bepaalde
antenne zich bevindt in een gemeente waarmee het dekkingsgebied van de antenne overlapt.
Met welke antenne een telefoon in een bepaald uur daadwerkelijk verbinding maakte
leest de aanbieder af uit diens database van verkeersgegevens. Voor de tellingen wordt
het toestel voor dat uur «uitgesmeerd» over meerdere gemeenten aan de hand van de
kans dat de telefoon, gelet op de gebruikte antenne, in die gemeenten aanwezig was.
Om te bepalen welke telefoons in welke gemeente worden meegeteld is het dus niet relevant
waar in het dekkingsgebied van de antenne de telefoon zich daadwerkelijk bevond.

Een voorbeeld kan illustreren hoe deze bewerking, waarbij de zogeheten «statistische
ruis» wordt toegevoegd, eruit ziet:

Voor antenne x wordt vooraf vastgesteld dat de kans dat iemand die via die antenne
verbinding maakt, zich in een bepaalde gemeente bevindt, als volgt is: gemeente A: 0,5,
gemeente B: 0,3 en gemeente C: 0,2.

Bij een dergelijke kansverdeling wordt de kans dat het toestel zich in gemeente A
bevindt dus het grootst geacht, maar er is ook een kans dat de telefoon verbinding
maakt in gemeente B of C. Op die wijze wordt een telefoon ook meegeteld bij de tellingen
die naar het CBS gaan: een telefoon die met antenne x verbinding maakte wordt voor
0,5 meegeteld als aanwezig in gemeente A, voor 0,3 als aanwezig in gemeente B en voor
0,2 als aanwezig in gemeente C.

Voor antenne y wordt de kans dat het toestel dat daar verbinding mee maakt, zich in
gemeente B bevindt, ingeschat als 1. In dat geval is het vermoeden dus dat het toestel
zich uitsluitend in gemeente B bevond (omdat het dekkingsgebied van de antenne volledig
binnen de gemeentegrenzen van gemeente B valt).

Als in eenzelfde uur er 100 telefoons verbinding maakten met antenne x en 200 telefoons
met antenne y, dan wordt voor de tellingen voor dat uur geregistreerd: 50 in gemeente A,
230 in gemeente B en 20 in gemeente C.

2. Tellingen per uur per afgeleide herkomst

De totaalaantallen per uur per gemeente moeten de aanbieders uitsplitsen aan de hand
van de afgeleide herkomst van de telefoons. Bij buitenlandse nummers wordt deze herkomst
afgeleid uit de landencode die de aanbieders reeds bijhouden in hun database met verkeersgegevens.
Bij binnenlandse nummers moet de aanbieder de afgeleide herkomst van elke telefoon
bepalen aan de hand van de gemeenten waarin deze telefoon is meegenomen in de tellingen
van de dertig dagen daarvoor. De gemeente waarin de telefoon in de afgelopen dertig
dagen het vaakst is meegeteld in de tellingen is de afgeleide herkomstgemeente. Ook
deze informatie is alleen bekend bij de aanbieder die ook al de verkeersgegevens behorende
bij de telefoon bewaart. Met de nota van wijziging wordt verduidelijkt dat de aanbieder
de informatie over de gemeenten waarin de telefoon op een bepaalde datum is meegeteld
na dertig dagen, na het vaststellen van de afgeleide herkomst voor die dag, moet vernietigen.
De verkeersgegevens waaruit deze informatie is afgeleid kunnen – zoals nu ook het
geval is – blijven bewaard door de aanbieder voorzover en zo lang dat is toegestaan
voor de doelen genoemd in artikel 11.5 van de wet.

3. Doorgeven aan het CBS

Aan het CBS wordt uitsluitend doorgegeven dat van de x telefoons die in een bepaald
uur in gemeente A aanwezig waren, er y uit gemeente A kwamen en z uit gemeente B etc.
Als het aantal telefoons met eenzelfde afgeleide herkomst kleiner dan 15 is geeft
de aanbieder daar geen gegevens voor door aan het CBS. De tellingen per uur, per gemeente
en per afgeleide herkomst worden door de aanbieder één keer per 24 uur aan het CBS
verstrekt.

4. Combineren door het CBS

De tellingen die het CBS van elk van de drie aanbieders ontvangt, worden bij elkaar
opgeteld, waarna de tellingen per aanbieder door het CBS worden vernietigd.

5. Bewerken door het CBS

Het CBS bewerkt de tellingen om ze representatiever te maken. Niet iedereen gebruikt
immers een mobiele telefoon, en zeker niet elk uur. Het CBS zal de tellingen hierop
statistisch corrigeren. Tot slot worden de statistisch gecorrigeerde tellingen afgerond
op vijftigtallen voordat zij aan het RIVM ter beschikking worden gesteld.

6. RIVM

Het RIVM ontvangt naar behoefte dagelijks of wekelijks matrixen met gecorrigeerde
tellingen per gemeente en per afgeleide herkomst. Aan de hand van deze matrixen kan
op gemeenteniveau toenemende mobiliteit of drukte worden gesignaleerd en beter inzicht
worden verkregen in de herkomst van bezoekers aan een bepaalde gemeente en in de effectiviteit
van maatregelen op de mobiliteit of drukte.

De anonimiserende bewerkingen die in stap 1, 2 en 3 worden uitgevoerd door de aanbieder
bestaan samengevat uit:

a. dataminimalisatie: van de verkeersgegevens die de aanbieder over diens gebruikers bewaart worden uitsluitend
de tijd en cell-ID (nummer van de gebruikte antenne) van elke actieve verbinding gebruikt
als input voor de tellingen;

b. pseudonimisering: direct tot een natuurlijke persoon herleidbare gegevens, in dit geval een IMSI-nummer
of telefoonnummer, worden bij de bewerking ten behoeve van de tellingen vervangen
door een random gegenereerde waarde;

c. redactie: het tijdstip van (de start van) een actieve verbinding wordt afgerond op hele uren;

d. redactie en toevoegen van statistische ruis: het dekkingsgebied van een antenne wordt vertaald naar een gemeente (en dus over
een groter gebied verspreid), waarbij de verdeelsleutel gebaseerd is op schattingen
van kansen dat een telefoon zich in die gemeente bevond, waarmee de tellingen minder
precies (maar statistisch relevanter) worden gemaakt; en

e. aggregatie: voor tellingen van minder dan 15 per gemeente, per uur, per afgeleide herkomst verstrekt
de aanbieder geen informatie aan het CBS.

Bij toepassing van deze maatregelen zijn de tellingen die aan het CBS worden geleverd
anoniem. Er kan niet worden geïdentificeerd welke individuen of groepen individuen
in een telling zijn meegenomen, en bovendien kunnen geen bewegingen van individuen
worden gevolgd, ook niet van gepseudonimiseerde personen.

Er bestaat onder bijzondere omstandigheden wel een restrisico op groepsherkenning.
De omstandigheden waaronder een reizende groep als zodanig herkend zou kunnen worden
in de tellingen die aan het CBS worden verstrekt zijn, doen zich voor als het gaat
om een groep met minstens 15 personen, die:

– allen dezelfde afgeleide herkomst hebben, en

– allen gebruik maken van dezelfde aanbieder, en

– allen in hetzelfde uur in dezelfde gemeente een verkeersgegeven genereren dat door
de aanbieder wordt bewaard, en

– als enige personen uit de afgeleide herkomstgemeente naar een of meer andere gemeenten
reizen, bijvoorbeeld vanwege het tijdstip (in de nacht), en daardoor herkenbaar zijn
in de tellingen.

Iemand die over meer informatie over een dergelijke groep beschikt, bijvoorbeeld dat
een bepaalde sportvereniging ’s nachts naar een andere gemeente reist om vroeg in
de ochtend bij een wedstrijd te kunnen zijn, zou in dat geval met behulp van die externe
contextinformatie de groep en de groepsleden kunnen identificeren zo lang deze groep
aan bovengenoemde voorwaarden voldoet. Zodra de groep uiteen gaat (of niet meer aan
alle bovengenoemde omstandigheden voldoet) zijn de groep en de groepsleden niet langer
te herkennen in de tellingen.

Dit restrisico wordt geadresseerd met de juridische waarborgen die reeds in het wetsvoorstel
zijn opgenomen, waardoor het voor het CBS en het RIVM verboden is om de data terug
te herleiden. Het CBS mag de data immers uitsluitend gebruiken ten behoeve van het
RIVM voor de wettelijke taak van het RIVM bij de bestrijding van het coronavirus,
en ook het RIVM is gehouden aan dat doel. Ook mogen het CBS en het RIVM de dataset
niet openbaar maken of met derden delen2.

Op grond van bovenstaande maatregelen is het kabinet er van overtuigd dat de tellingen
die aan het CBS en RIVM worden verstrekt op grond van dit wetsvoorstel geen persoonsgegevens
zijn. Zoals ook al in de memorie van toelichting is uitgelegd heeft het kabinet, gezien
de gevoeligheid van de materie, in het wetsvoorstel desalniettemin als extra waarborgen
bepaald dat het CBS de door elke aanbieder afzonderlijk aangeleverde data moet vernietigen
zodra het CBS deze heeft samengevoegd, en dat het CBS en het RIVM alle data na een
jaar moeten vernietigen, of eerder indien de data voor die tijd niet meer nodig is
voor de wettelijke taak van het RIVM bij de bestrijding van het coronavirus.

AP-advies d.d. 14 mei 2020

Zoals gezegd zouden wij in deze brief uitgebreid willen uiteenzetten hoe aan het advies
van de AP van 14 mei 2020 gevolg is gegeven. Naar aanleiding van het advies van de
AP is de reikwijdte van het wetsvoorstel drastisch ingeperkt:

• er is een tijdelijke bepaling van gemaakt die automatisch vervalt; en

• er is een veel specifiekere doelbinding opgenomen:

o de gegevens mogen uitsluitend worden gebruikt door het RIVM voor de bestrijding van
de huidige epidemie van het novel coronavirus,

o het CBS mag de gegevens uitsluitend voor die taak van het RIVM verwerken, en

o het CBS en het RIVM moeten de gegevens vernietigen zodra ze niet meer nodig zijn voor
dat doel;

• een andere belangrijke aanscherping is dat de gegevens die moeten worden verstrekt
niet langer in een aanwijzing van de Minister worden bepaald: de te verstrekken gegevens
zijn nu limitatief vastgelegd in het wetsvoorstel zelf.

Met betrekking tot het laatste punt (de te verstrekken gegevens) is vanuit het belang
van dataminimalisatie goed gekeken naar welke gegevens het RIVM écht nodig heeft bij
de bestrijding van het coronavirus en, specifieker, voor de twee doelen die dit wetsvoorstel
binnen die bestrijding dient: 1) het kunnen signaleren van een verhoogd risico op
besmettingen aan de hand van de mate van drukte in een gemeente en het aantal bezoekers
uit andere gemeenten, om daarmee het lokale bestuur te kunnen waarschuwen en adviseren
over handelingsperspectief en 2) de effecten van maatregelen te kunnen monitoren (neemt
de drukte in een bepaalde regio of op een bepaald tijdstip, zoals de spits of in de
avond, af als gevolg van maatregelen). Dat heeft ertoe geleid dat er op grond van
dit wetsvoorstel in het geheel geen persoonsgegevens meer worden verstrekt aan het CBS en het RIVM. Het CBS verkrijgt van de telecomproviders geen andere informatie dan de totaalaantallen
per uur in een gemeente aanwezige telefoons, ingedeeld naar hun afgeleide herkomst,
om deze vervolgens in een bewerkte vorm aan te leveren aan het RIVM.

Het is belangrijk om te benadrukken dat de aanname in het advies van 14 mei 2020,
op grond waarvan de waarborgen werden geadviseerd, was dat het wetsvoorstel zou leiden
tot het opvragen van locatie- en verkeersgegevens (persoonsgegevens) door overheidspartijen.
De grondslag in het conceptwetsvoorstel zoals dat aan AP werd voorgelegd was, zoals
de AP terecht opmerkte, te ruim en liet het aan de Minister om in een aanwijzing te
bepalen welke gegevens precies zouden moeten worden verstrekt. Het was op dat moment
dan ook logisch dat de AP rekening hield met de mogelijkheid dat de op grond van het
wetsvoorstel aan het RIVM te verstrekken gegevens persoonsgegevens zouden bevatten,
en dus niet geanonimiseerd zouden zijn.

Naar aanleiding van het advies van AP is de aard van de te verstrekken gegevens echter
strikt ingekaderd: het wetsvoorstel schrijft nu limitatief voor welke gegevens aan
het RIVM en CBS precies moeten worden verstrekt. Dit draagt bij aan de nauwkeurigheid,
precisie en voorspelbaarheid van de wettelijke verplichting waar de AP op wijst (punt 3,
p. 5 en 6 van het advies). Ook zijn hiermee overeenkomstig het advies de aggregatie
(tellingen per gemeente en per uur) en de frequentie (eenmaal per 24 uur verstrekken)
en de aard van de informatie die moet worden verstrekt (punt 3, p. 6 van het advies)
verankerd in de wettekst zelf, zodat hier geen enkele onduidelijkheid over kan bestaan.
Uit de wettelijke opsomming van te verstrekken gegevens, met als extra waarborg tegen
herleidbaarheid een minimumwaarde van 15 per telling, blijkt dat het wetsvoorstel
niet tot gevolg zal hebben dat persoonsgegevens worden verstrekt aan het CBS en RIVM.
Hiervoor zijn zoals gezegd nog extra waarborgen voor opgenomen in het wetsvoorstel
met bijgaande nota van wijziging. De gegevens zoals die aan het CBS worden aangeleverd
zijn anoniem, en het is voor het CBS en RIVM (de enige partijen die beschikking krijgen
over de gegevens) verboden om eventueel in de data herkenbare grote groepen terug
te herleiden (indien dat al mogelijk zou zijn). Daarmee staat vast dat er geen persoonsgegevens
worden verwerkt door het CBS en RIVM. De waarborgen die door de AP werden geadviseerd
vanwege de mogelijke verwerking van persoonsgegevens door overheidspartijen zijn daarmee
niet langer (juridisch) noodzakelijk.

Waar dit niet aan een goede taakuitoefening door het RIVM in de weg zou staan zijn
de waarborgen die geadviseerd werden, opgenomen in het wetsvoorstel. Zo is er een
harde, vaste maximale bewaartermijn (AP-advies, punt 3, p. 6) voor de gegevens bij
het CBS en RIVM opgenomen: na maximaal een jaar na verstrekking van de tellingen moeten
zowel het CBS als het RIVM deze gegevens vernietigen, ook al gaat het hier niet om
persoonsgegevens. Ook is de werkingsduur van de voorgestelde bepaling beperkt tot
de huidige Covid-19-crisis (punt 5, p. 7 van het advies): de bepaling is tijdelijk
en vervalt automatisch. Dit was bij indiening van het wetsvoorstel een vervaltermijn
van een jaar na inwerkingtreding, met de mogelijkheid van een verlenging met telkens
2 maanden. Om het wetsvoorstel op dit punt gelijk te trekken met het wetsvoorstel
Tijdelijke wet maatregelen covid-19 (Kamerstukken 35 526, nr. 2) wordt dit met de tweede nota van wijziging veranderd in een automatische vervaltermijn
van een half jaar na inwerkingtreding met de mogelijkheid van een verlenging met telkens
drie maanden.

De enige geadviseerde waarborg die niet (letterlijk) kan worden overgenomen, is die
met betrekking tot de «procedurele voorwaarden voor toegang tot bewaarde gegevens»
(punt 2, p. 4 en verder van het advies), simpelweg omdat het wetsvoorstel niet tot
toegang tot de bewaarde gegevens leidt. De AP had als bezwaar tegen de eerder voorgestelde
systematiek waarin de Ministers van EZK en VWS zouden bepalen wanneer en welke gegevens
zouden moeten worden verstrekt aan het RIVM, «dat daarmee alle belangrijke afwegingen – zonder nadere (procedurele) waarborg dat
het belang van de bescherming van persoonsgegevens voldoende wordt meegewogen – aan
de Minister(s) worden gelaten. (...) Het geven van aanwijzingen wordt immers aan geen
enkele toetsing door een rechterlijke instantie of een onafhankelijke bestuurlijke
entiteit onderworpen, niet voorafgaand aan het geven van de aanwijzing noch gedurende
de periode dat deze aanwijzing geldt. Dit kan niet worden gezien als het treffen van
voldoende waarborgen in de zin van Artikel 15 Richtlijn 2002/58. Een dergelijke nationale
regeling moet immers ook de materiële en procedurele voorwaarden voor de toegang van
de bevoegde nationale autoriteiten tot de bewaarde gegevens bepalen.»

Deze systematiek is nadien echter verlaten. In plaats daarvan is in het wetsvoorstel
zelf uitdrukkelijk bepaald dat – alleen voor de taak van het RIVM bij de bestrijding
van de huidige epidemie van het novel coronavirus – gedurende een half jaar met een
mogelijkheid tot verlenging in overleg met de Eerste en Tweede Kamer voor zover dat
nodig is voor de bestrijding van deze epidemie, de precies in de wet omschreven informatie,
niet houdende persoonsgegevens, aan het CBS ten behoeve van het RIVM moet worden verstrekt.
Dit is een wezenlijk verschil met de jurisprudentie van het Hof van Justitie van de
EU over toegang van de overheid tot de brondata zelf (privacygevoelige locatie- en
verkeersgegevens), waar de AP in haar advies naar verwijst. Er is geen sprake van
«toegang van de bevoegde nationale autoriteiten tot bewaarde (persoons)gegevens»,
waarvoor de jurisprudentie van het Hof van Justitie een onafhankelijke voorafgaand
toezicht door een rechterlijke instantie of door een onafhankelijke bestuurlijke entiteit
voorschrijft. Vertaald naar de casus in het wetsvoorstel zou voorafgaand onafhankelijk
toezicht nodig zijn als (bijvoorbeeld ten aanzien van positief geteste personen) de
verkeersgegevens zelf aan RIVM zouden moeten worden verstrekt: dan zou er onafhankelijk toezicht moeten
worden ingeregeld om misbruik van die verdergaande bevoegdheid te voorkomen. Dit is
echter nadrukkelijk niet het geval in dit wetsvoorstel: in geen geval krijgt het RIVM toegang tot herleidbare
verkeersgegevens die door telecommunicatieaanbieders worden bewaard.

Nut en noodzaak

Tot slot zouden wij nader in willen gaan op de nut en noodzaak van het wetsvoorstel.
Verplaatsingsgegevens zijn – als onderdeel van het dashboard – essentieel om snel
en gericht op het virus te kunnen reageren. Dat is ook het doel van dit wetsvoorstel.
Snel signaleren en kunnen ingrijpen als het nodig is. Daarvoor zijn de verplaatsingsgegevens
essentieel. Ze maken het namelijk mogelijk (voor het RIVM) om snel risicoanalyses
te maken voor de aanpak van de bestrijding van het coronavirus op gemeentelijk niveau.

De context is een pandemie van een nieuw virus, waarbij deze infectie kan leiden tot
een omvangrijke zorgvraag die de beschikbare zorgcapaciteit te boven kan gaan, en
waarbij de bestrijding van de pandemie alle inwoners van Nederland diep raakt. Een
epidemie van een infectieziekte verloopt per definitie sterk geclusterd. Dat wil onder
andere zeggen dat het aantal nieuwe gevallen naar locatie zich concentreert op plekken
met een hoge intensiteit omgeven door een gebied met lagere intensiteit. Om een risico
in te schatten van het aantal nieuwe infecties op een bepaalde plaats op een bepaalde
tijd is het nodig om te weten hoeveel mensen zich op deze plaats bevinden, en hoeveel
tijd zij eerder door brachten in een gebied met hoog risico op besmetting. Deze gegevens
zijn dus noodzakelijk om nog beter in te kunnen zetten op een regionale en lokale
aanpak als het virus de kop op steekt. Het is nadrukkelijk niet nodig te weten welke
personen waar zijn geweest. Vanuit die risicoanalyses kan de epidemie worden gemonitord.
Voor het monitoren van de epidemie is het belangrijk inzicht te hebben in de mate
van drukte in een plaats (gemeente) en bijdrage aan deze drukte door mensen uit andere
gemeenten. Vanuit de risicoanalyses kunnen dan signalen worden gegeven aan het lokale
bestuur. De verplaatsingsgegevens maken het mogelijk nog sneller te signaleren en
gericht te kunnen ingrijpen als het nodig is. Er wordt een beeld verkregen van risicocontacten
op populatieniveau (niet individueel) om het lokale bestuur te waarschuwen, signalen
te geven en te adviseren over handelingsperspectief. Doel is dus om 1) regionale signalen
af te kunnen geven en 2) de effecten van maatregelen te kunnen monitoren. Juist in
deze regionale aanpak is het belangrijk gegevens te kunnen gebruiken die helpen het
regionale beeld zo compleet mogelijk te maken. De risico’s worden door het RIVM dan
ook doorgegeven aan lokaal bestuur. De te nemen acties voor preventie en bestrijding
van COVID-19 worden bepaald door de gemeente, GGD en veiligheidsregio. Het is noodzakelijk
de gegevens op het gemeenteniveau te ontvangen, want risico’s op besmetting zijn vaak
ruimtelijk geclusterd en het biedt de mogelijkheid ook regionaal/lokaal maatregelen
te nemen als dat nodig blijkt.

De Staatssecretaris van Economische Zaken en Klimaat, M.C.G. Keijzer