Antwoord schriftelijke vragen : Antwoord op vragen van het lid Buitenweg over het bericht dat het CBS toegang kreeg tot privacygevoelige locatiedata van klanten van T-Mobile

Antwoord van Minister Blok (Economische Zaken en Klimaat) (ontvangen 1 juni 2021).
Zie ook Aanhangsel Handelingen, vergaderjaar 2020–2021, nr. 2244.

Vraag 1

Bent u bekend met het artikel «Hoe het CBS en T-Mobile de privacy schonden»?1

Antwoord 1

Ja.

Vraag 2

Wat is uw reactie op deze berichtgeving, die erop wijst dat het Centraal Bureau voor
de Statistiek (CBS) jarenlang toegang had tot gevoelige locatiegegevens van klanten
van T-Mobile?

Antwoord 2

Het Agentschap Telecom en de Autoriteit Persoonsgegevens doen op dit moment als toezichthouders
samen onderzoek naar aanleiding van het NRC-artikel. In dit onderzoek wordt bekeken
wat er precies gebeurd is en of daarbij privacyregels zijn geschonden. De resultaten
van dit onderzoek zullen moeten worden afgewacht alvorens hierop een reactie kan worden
gegeven.

Vraag 3

Klopt het dat medewerkers van het CBS toegang hadden tot verkeersgegevens voor facturering
van T-Mobile klanten, waarmee kan worden achterhaald wie wanneer op welke locatie
was en met wie men contact had?

Antwoord 3

Het is aan de toezichthouders het Agentschap Telecom en de Autoriteit Persoonsgegevens
om dit te beoordelen. Volgens het CBS heeft het geen toegang gehad tot individuele
klantgegevens van personen. Het CBS en T-Mobile hebben aangegeven dat het CBS inzicht
heeft gehad in gegevens die niet herleidbaar zijn tot klanten en dat de gegevens waar
het om gaat geen exacte plaatsbepaling aangeven. Dit neemt niet weg dat er toch vragen
zijn gerezen over het verstrekken van gegevens van T-Mobile aan het CBS. Daarom is
er een onderzoek ingesteld door het Agentschap Telecom daarin bijgestaan door de Autoriteit
Persoonsgegevens.

Vraag 4

In hoeverre zijn dergelijke verkeers- en factureringsgegevens te beschouwen als anonieme
datasets?

Antwoord 4

Verkeers- en factureringsgegevens zijn te beschouwen als persoonsgegevens en dus niet
anoniem.

Vraag 5

Welke definitie hanteert u van gepseudonimiseerde persoonsgegevens in dit verband?
Zijn gegevens van telecommunicatieverkeer waaruit enkel de unieke IMSI-nummers zijn
verwijderd nog steeds persoonsgegevens, of niet?

Antwoord 5

De definitie die wordt gehanteerd is afkomstig uit artikel 4 lid 5 van de AVG: het
verwerken van persoonsgegevens op zodanige wijze dat de persoonsgegevens niet meer
aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens
worden gebruikt, mits deze aanvullende gegevens apart worden bewaard en technische
en organisatorische maatregelen worden genomen om ervoor te zorgen dat de persoonsgegevens
niet aan een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld.

Of de gegevens van het telecommunicatieverkeer na verwijdering van de IMSI-nummers
nog zijn te beschouwen als persoonsgegevens hangt af van de inhoud van de resterende
gegevens (maken die nog steeds herleiding tot persoon mogelijk) en kan dus niet zonder
nader onderzoek beantwoord worden.

Vraag 6

Klopt het dat CBS-medewerkers zelfs toegang hadden tot direct herleidbare persoonsgegevens,
met inbegrip van IMSI-nummers?

Antwoord 6

Het CBS heeft aangeven dat de CBS-medewerkers geen IMSI-nummers hebben gezien en ook
geen toegang hebben gehad tot individueel herleidbare persoonsgegevens. Het is aan
de toezichthouders om hier een oordeel over te vellen.

Vraag 7

Hoe verhoudt de samenwerking tussen het CBS en T-Mobile zich tot het voorstel voor
de Tijdelijke wet informatieverstrekking RIVM in verband met COVID-19? Is de verstrekking
van de data, zoals die heeft plaatsgevonden tussen het CBS en T-Mobile, enigszins
vergelijkbaar met het voorstel om informatie door te geven via het CBS aan het Rijksinstituut
voor Volksgezondheid en Milieu (RIVM)?

Antwoord 7

De Telecommunicatiewet maakt het de aanbieders van telecommunicatiediensten mogelijk
om zonder toestemming van de gebruikers locatiegegevens te verwerken onder de voorwaarde
dat deze gegevens zijn geanonimiseerd. Na de anonimisering mogen de gegevens, als
de aanbieders van telecommunicatiediensten dat zouden willen, ook met derden worden
gedeeld. Het CBS geeft aan dat het in de pilot ging om vrijwillig door de aanbieder
ter beschikking gestelde geanonimiseerde gegevens. Voor wat betreft het gebruik van
telecommunicatiedata voor de bestrijding van Covid-19 hebben diverse aanbieders verklaard
hieraan alleen te willen meewerken als zij daartoe wettelijk verplicht worden. In
de Tijdelijke wet informatieverstrekking RIVM in verband met de bestrijding van Covid-19
is een dergelijke verplichting voor aanbieders opgenomen. Daarnaast zijn in het wetsvoorstel
regels opgenomen over de wijze waarop de telecommunicatie-aanbieders de gegevens aan
het CBS moeten leveren.

Vraag 8

Hoe kijkt u nu naar het antwoord in de nota naar aanleiding van het verslag, waarin
u schreef dat CBS-medewerkers op het kantoor van T-Mobile werkzaam waren in het kader
van een pilot om te kunnen meekijken en overleggen, en dat gedurende de pilot enkel
anonieme uitkomsten (tellingen) aan het CBS zijn geleverd? Deelt u de mening dat dit
antwoord niet correct was? Zo ja, hoe verklaart u dit?

Antwoord 8

Nee. In de nota naar aanleiding van het verslag heeft de regering opgemerkt dat het
op grond van de Telecommunicatiewet toegestaan is verkeersgegevens te verwerken als
deze geanonimiseerd zijn. Voorts is melding gemaakt van het feit dat het CBS heeft
aangegeven dat bij de samenwerking met T-Mobile sprake is geweest van verwerking van
anonieme gegevens. Dit neemt niet weg dat er vragen zijn gerezen over het verstrekken
van telecommunicatiegegevens van T-Mobile aan het CBS. Daarom is er een onderzoek
ingesteld door het Agentschap Telecom daarin bijgestaan door de Autoriteit Persoonsgegevens.

Vraag 9

Klopt het dat het CBS in regulier overleg met de toezichthouders heeft verzwegen toegang
te hebben gehad tot niet-geanonimiseerde locatiedata van T-Mobile klanten? Zo ja,
wat vindt u hiervan?

Antwoord 9

Naar eigen zeggen heeft het CBS geen toegang gehad tot niet-geanonimiseerde locatiedata
van T-Mobile klanten. Het Agentschap Telecom en de Autoriteit Persoonsgegevens doen
op dit moment als toezichthouders samen onderzoek. In dit onderzoek wordt bekeken
wat er precies gebeurd is en of daarbij privacyregels zijn geschonden. De resultaten
van dit onderzoek zullen moeten worden afgewacht.

Vraag 10

Klopt het dat de Autoriteit Persoonsgegevens wegens tijdgebrek nog niet was toegekomen
aan het bekijken van opgevraagde CBS-documenten? Deelt u de mening dat deze casus
eens te meer aantoont dat een forse intensivering nodig is van de capaciteit van de
Autoriteit Persoonsgegevens?

Antwoord 10

De Autoriteit Persoonsgegevens heeft besloten nadere vragen te stellen aangaande de
situatie bij het CBS in relatie tot de pilot. Het CBS heeft aan de Autoriteit Persoonsgegevens
documentatie over de pilot aangeleverd. Deze aangeleverde documentatie van CBS heeft
de Autoriteit Persoonsgegevens eind 2020 behandeld. Zoals hierboven benoemd, doen
het Agentschap Telecom en de Autoriteit Persoonsgegevens momenteel gezamenlijk onderzoek.
Uit deze gang van zaken zijn geen conclusies te trekken over de noodzaak van een capaciteitsintensivering
voor de Autoriteit Persoonsgegevens.

Vraag 11

Klopt het dat in het projectplan voor deze samenwerking staat vermeld dat medewerkers
van het CBS volledige toegang zouden hebben tot gevoelige locatiedata, terwijl het
contract enkel gaat over geaggregeerde gegevens?

Antwoord 11

De overeenkomst tussen het CBS en T-Mobile waarin de voorwaarden voor samenwerking
zijn opgenomen, is openbaar gemaakt2. Het CBS heeft te kennen gegeven dat in het projectplan staat dat er, conform de
overeenkomt, wordt gewerkt met geaggregeerde gegevens.

Vraag 12

Hoe is het mogelijk dat het CBS, als zelfstandig bestuursorgaan, deze samenwerking
is aangegaan? Op welke manier wordt binnen de organisatie getoetst of projectplannen
voldoen aan de privacy-wetgeving? Hoe is het mogelijk dat niemand hierover aan de
bel heeft getrokken? Bent u bereid om een extern onderzoek te starten naar de wijze
waarop het CBS omgaat met privacy-vraagstukken?

Antwoord 12

Het CBS heeft als wettelijke taak om van overheidswege statistieken te produceren
en te publiceren. Nieuwe maatschappelijke en technologische ontwikkelingen hebben
geleid tot meer vraag naar data. Samenwerking van het CBS met wetenschap en private
partijen biedt voor het CBS mogelijkheden om voor het ontwikkelen van statistieken
meer inzicht te krijgen in unieke data of methoden.

Volgens het CBS en T-Mobile hebben zij zich ervan vergewist dat dit onderzoek binnen
de kaders van de Telecommunicatiewet en de AVG was toegestaan. Bovendien worden jaarlijks
audits door externe auditors uitgevoerd naar de taakuitoefening door het CBS, waaronder
op het gebied van privacy. HetCBS heeft onlangs opnieuw het privacy certificaat «Privacy
Audit Proof», dat gebaseerd is op het Privacy Control Framework, ontvangen3. Zoals eerder aangegeven neemt dit niet weg dat er vragen zijn gerezen over het verstrekken
van telecommunicatiegegevens van T-Mobile aan het CBS. Daarom is er een onderzoek
ingesteld door het Agentschap Telecom daarin bijgestaan door de Autoriteit Persoonsgegevens.

Vraag 13

Hoe beoordeelt u het feit dat het CBS, een zelfstandig bestuursorgaan, bekostigd uit
de rijksbegroting, opereert op basis van een business plan dat inzet op het combineren
van datasets, waarmee tientallen miljoenen euro’s per jaar kunnen worden verdiend?
Vindt u dit wenselijk?

Antwoord 13

Het CBS heeft als wettelijke taak om van overheidswege statistieken te produceren
en te publiceren. Om dat op een doelmatige en veilige wijze te doen, worden ook onderzoeken
gedaan naar de gebruiksmogelijkheden van nieuwe databronnen. Het doel is daarbij altijd
het genereren van informatie die aansluit bij de maatschappelijke behoefte. Alle uitkomsten
en methoden worden openbaar gemaakt.

Het CBS ontvangt ieder jaar een lumpsumbijdrage van het Ministerie van Economische
Zaken en Klimaat voor de uitvoering van het werkprogramma, waaruit onder andere de
verplichte Europese statistieken worden bekostigd. Hiernaast kunnen overheden, vanuit
hun eigen begrotingen, het CBS verzoeken om aanvullende statistische dienstverlening.
Hiervoor brengt het CBS de integrale kostprijs in rekening conform artikel 5 van de
Beleidsregel taakuitoefening CBS. Het CBS heeft geen winstoogmerk, maar moet de kosten
voor dienstverlening waar de bijdrage van het Ministerie van Economische Zaken en
Klimaat niet in voorziet, wel in de vorm van een integrale kostprijs aan zijn opdrachtgevers
doorberekenen om te voorkomen dat er sprake is van oneerlijke concurrentie met private
statistische dienstverleners. Het is van belang dat het handelen van het CBS niet
leidt tot marktverstorend gedrag. Om duidelijkheid te scheppen over de rolverdeling
tussen private statistische dienstverleners en het CBS, zijn sinds 1 juli 2020 de
Beleidsregel taakuitoefening CBS en de Regeling werkzaamheden derden CBS in werking
getreden.

Vraag 14

Vindt u het wenselijk dat het CBS contracten aangaat met private bedrijven waar toegang
tot gevoelige gegevens als het ware wordt uitgewisseld tegen het leveren van algoritmen
waar die private bedrijven dan weer van kunnen profiteren? In hoeverre is dit verenigbaar
met de publieke taak van het CBS?

Antwoord 14

De mogelijkheid van samenwerking met private bedrijven is wenselijk om het CBS in
staat te kunnen stellen te voldoen aan zijn wettelijke taak om van overheidswege statistieken
te produceren en te publiceren ten behoeve van praktijk, beleid en wetenschap. De
algoritmen en andere kennis die uit dergelijke samenwerkingen voortvloeien, worden
altijd publiekelijk beschikbaar gesteld, zodat ook anderen, zoals bedrijven, overheden
of onderzoeksinstellingen daarvan gebruik kunnen maken. Op de website van het CBS
is een overzicht van innovatieve projecten te vinden4.

Vraag 15

In hoeverre zijn de nationale statistiekbureaus in andere Europese landen op een vergelijkbare
wijze ingericht, waarbij zij zich op de markt begeven als ontwikkelaar van algoritmen?

Antwoord 15

Het CBS begeeft zich niet op de markt voor algoritmen. Het CBS ontwikkelt algoritmen
die het nodig heeft voor zijn wettelijke taak en stelt deze vervolgens publiekelijk
beschikbaar.

Vraag 16

Deelt u de strekking van het artikel dat het CBS zich op de markt nadrukkelijk profileert
als een betrouwbare partij, vanwege haar banden met de overheid, om zo marktvoordeel
te behalen ten opzichte van concurrenten?

Antwoord 16

Overheidspartijen kunnen voor statistische informatie die ze nodig hebben bij de uitvoering
van hun publieke taak bij het CBS terecht. Voor dergelijke werkzaamheden brengt het
CBS de integrale kostprijs in rekening. Het CBS verricht daarnaast incidenteel werkzaamheden
voor derden (private partijen). Tegen deze achtergrond, heeft het Ministerie van Economische
Zaken en Klimaat signalen ontvangen dat marktpartijen en het CBS elkaar op de markt
voor statistische diensten steeds vaker tegenkomen. Er is onduidelijkheid ontstaan
of het CBS de aangewezen partij is om een statistische opdracht te leveren, of dat
dit aan een marktpartij moet worden overgelaten. Hiertoe zijn sinds 1 juli 2020 de
Beleidsregel taakuitoefening CBS en de Regeling werkzaamheden derden CBS in werking
getreden. Deze regelgeving heeft tot doel meer duidelijkheid te scheppen over de rolverdeling
tussen private statistische dienstverleners en het CBS. Het CBS richt zich daarvoor
zichtbaarder op zijn kerntaken en heeft bij het leveren van aanvullende diensten of
het uitvoeren van innovatieve projecten permanent aandacht voor de belangen van marktpartijen.
In 2022 worden de effecten van de Beleidsregel taakuitoefening CBS en de Regeling
werkzaamheden derden CBS geëvalueerd.

Vraag 17

Deelt u de strekking van het artikel dat zowel T-Mobile als het CBS misleidend zijn
geweest in hun externe communicatie over dit samenwerkingsproject door te benadrukken
dat het alleen zou gaan om anonieme geaggregeerde data, ook toen men al wist dat er
ook met ruwe locatiedata was gewerkt?

Antwoord 17

Het Agentschap Telecom en de Autoriteit Persoonsgegevens doen op dit moment als toezichthouders
samen onderzoek. In dit onderzoek wordt bekeken wat er precies gebeurd is en of daarbij
privacyregels zijn geschonden. De resultaten van dit onderzoek zullen moeten worden
afgewacht.

Vraag 18

Herkent u het beeld dat wordt geschetst van bedrijven en onderzoekers die pogen om
de coronacrisis aan te wenden om toegang tot gegevens te verkrijgen op een manier
die eerder niet mogelijk was? Zo ja, wat vindt u van deze trend?

Antwoord 18

Dergelijke signalen hebben het kabinet niet bereikt. Indien dit wel het geval zou
zijn, is dat natuurlijk zorgwekkend. De coronacrisis mag niet worden misbruikt om
op oneigenlijke wijze toegang tot eerder ontoegankelijke gegevens te verkrijgen.

Vraag 19

Kunt u een overzicht geven van alle vergelijkbare contracten die het CBS heeft met
private bedrijven rond toegang tot klantgegevens en de ontwikkeling en levering van
algoritmen?

Antwoord 19

Als Minister van Economische Zaken en Klimaat ben ik politiek verantwoordelijk voor
de wetgeving omtrent het CBS en het budget. Het CBS is een zelfstandig bestuursorgaan
en derhalve niet hiërarchisch ondergeschikt aan de Minister. Dit brengt met zich mee
dat ik geen aanwijzingen aan het CBS kan geven op dossierniveau en dat ik ook niet
van alle individuele contracten die het CBS sluit op de hoogte word gesteld. Op de
website van het CBS staat een overzicht van innovatieve projecten en de resultaten
daarvan, die zich soms in publiekelijk toegankelijke algoritmen vertalen5.