35 479 Tijdelijke bepaling in verband met de informatieverstrekking aan het RIVM bij de bestrijding het novel coronavirus (2019-nCoV) (Tijdelijke wet informatieverstrekking RIVM i.v.m. COVID-19)

Nr. 10 BRIEF VAN DE STAATSSECRETARIS VAN ECONOMISCHE ZAKEN EN KLIMAAT

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 2 oktober 2020

De vaste commissie voor Economische Zaken en Klimaat heeft op 25 juni 2020 besloten het wetsvoorstel Tijdelijke wet informatieverstrekking RIVM i.v.m. COVID-19 (Kamerstuk 35 479) aan te melden voor plenaire behandeling en op 30 juni 2020 besloten om voorafgaand aan de plenaire behandeling een rondetafelgesprek te organiseren.

Voorafgaand aan de plenaire behandeling van het wetsvoorstel wil ik samen met de Minister van Volksgezondheid, Welzijn en Sport nog een aantal punten verduidelijken en een nota van wijziging indienen (Kamerstuk 35 479, nr. 11).

In deze brief lichten wij uitgebreider toe hoe we aan de kritiekpunten in het advies van de Autoriteit Persoonsgegevens (14 mei 2020) tegemoet zijn gekomen in het wetsvoorstel zoals dat bij de Kamer is ingediend (Bijlage bij Kamerstuk 35 479, nr. 7). In de zomer hebben wij nogmaals contact gehad met de AP over dit wetsvoorstel. In deze gesprekken heeft de AP laten weten dat ondanks de aanpassingen die in het wetsvoorstel zijn gedaan, de vrees blijft bestaan dat de tellingen die de telecomaanbieders op grond van dit wetsvoorstel met het CBS ten behoeve van het RIVM moeten delen, heridentificeerbaar zijn.

Volgens jurisprudentie van het Europese Hof van Justitie van de EU moet, om te bepalen of een individu identificeerbaar is, worden gekeken naar «alle middelen waarvan redelijkerwijs valt te verwachten dat zij worden gebruikt door degene die voor de verwerking verantwoordelijk is, of die door een derde partij worden gebruikt om het individu te identificeren.» Het Europese Hof heeft overwogen dat het heridentificeren van personen «in ieder geval niet aan de orde is als de identificatie van de betrokkene bij de wet verboden wordt of in de praktijk ondoenlijk is, bijvoorbeeld omdat zij – gelet op de vereiste tijd, kosten en mankracht – een excessieve inspanning vergt, zodat het gevaar voor identificatie in werkelijkheid onbeduidend lijkt.»¹ Het wetsvoorstel zoals dat nu in de Tweede Kamer ligt, bevat al de waarborgen die ervoor zorgen dat herleiden verboden is en daarnaast in vrijwel alle gevallen ook in de praktijk ondoenlijk. De tellingen worden op grond van het wetsvoorstel uitsluitend gedeeld met het CBS, dat de tellingen uitsluitend met het RIVM mag delen, en beide instanties is het verboden te proberen uit deze tellingen personen te heridentificeren. Daarnaast maken andere waarborgen in het wetsvoorstel (zoals de drempel van 15 waaronder geen gegevens worden verstrekt, en de limitatief opgesomde aard van de gegevens: alleen totaalaantallen per gemeente per uur) ook dat het ondoenlijk is om individuen te herkennen of te volgen door middel van de tellingen en in de meeste gevallen ook met excessieve inspanning onmogelijk. Hiermee zijn de tellingen die aan het CBS worden verstrekt volgens de Europese jurisprudentie dus al anoniem.

We nemen de zorg van de AP dat de tellingen herleidbaar zouden zijn echter serieus en hebben daarom gezocht naar manieren om het risico op herleidbaarheid, hoewel juridisch al verboden en vanwege de anonimiserende maatregelen in het wetsvoorstel (dataminimalisatie, redactie en aggregatie) in de praktijk in de meeste gevallen al ondoenlijk, nog kleiner te maken zonder af te doen aan de bruikbaarheid van de tellingen voor het RIVM bij de bestrijding van het coronavirus. Met bijgaande nota van wijziging wordt om dat te bereiken nog een extra anonimiserende maatregel (toevoegen van statistische ruis) aan het wetsvoorstel toegevoegd. Hieronder gaan wij hier dieper op in.

Daarnaast wordt met de nota van wijziging duidelijker tot uitdrukking gebracht dat de te verstrekken gegevens uitsluitend worden afgeleid uit de bestaande databases waarin de aanbieders reeds verkeersgegevens bewaren voor de doelen genoemd in artikel 11.5 van de Telecommunicatiewet. Hiermee wordt uitgesloten dat het wetsvoorstel aanbieders dwingt om verkeersgegevens die zij nu slechts kortstondig verwerken ten behoeve van het kunnen leveren van hun diensten en het goed functioneren van hun netwerk, langer te bewaren dan zij dat momenteel doen. Wij willenl daarmee tevens de indruk wegnemen dat telecomaanbieders als gevolg van dit wetsvoorstel een «nieuwe database» moeten bouwen waar opsporingsdiensten toegang toe zouden krijgen. Omdat de bewaarplicht niet langer geldt, zijn de bevoegdheden van de opsporings- en veiligheidsdiensten beperkt tot die gegevens die de aanbieder uit eigen beweging op grond van artikel 11.5 en 11.5a bewaart. Het wetsvoorstel schrijft de aanbieders niet voor om de gegevens die zij momenteel niet langer dan bijvoorbeeld enkele uren tot een dag te bewaren, zoals de «paraatstandgegevens», «timing advance gegevens» of het «paging systeem» waarmee voor een soepele afhandeling van oproepen periodiek gepeild wordt waar een toestel zich in het netwerk bevindt, langer te bewaren. Dit wordt nog eens extra verduidelijkt met de tweede nota van wijziging. Deze gegevens worden niet gebruikt als input voor de tellingen op grond van deze wet.

De totaalaantallen die aan het CBS worden verstrekt zijn anoniem

Voorop staat dat de regering met dit wetvoorstel geen personen wenst te volgen. Dat is niet nodig voor het doel van het wetsvoorstel en het is ook niet wenselijk. Burgers moeten vrij gebruik kunnen maken van mobiele telecommunicatie zonder het gevoel te krijgen dat zij bespied of gevolgd worden. Het wetsvoorstel mag het dan ook op geen enkele manier mogelijk maken dat individuen worden gevolgd, niet door de overheid maar ook niet door andere partijen. Het wetsvoorstel biedt alle waarborgen om te voorkomen dat dit kan gebeuren.

Het beginsel van dataminimalisatie schrijft voor dat wanneer persoonsgegevens worden verwerkt, de gegevens die verwerkt worden voor het doel toereikend en ter zake dienend zijn, en dat er niet méér persoonsgegevens worden verwerkt dan noodzakelijk voor het doel. Het RIVM en het CBS hebben geen persoonsgegevens nodig voor het doel dat met dit wetsvoorstel wordt gediend, uitsluitend de door het CBS statistisch berekende totaalaantallen personen (afgeleid uit het totaalaantal naar schatting aanwezige mobiele telefoons), per gemeente, per uur, opgesplitst naar de vermoedelijke woonplaats (in de vorm van de afgeleide herkomst: de gemeente waar de telefoon de afgelopen dertig dagen het meest is geweest). Omdat het RIVM en het CBS vanuit het doel waarvoor deze gegevens worden opgevraagd, geen informatie over herleidbare individuen nodig hebben, worden uitsluitend de totaalaantallen aan het CBS verstrekt, met een minimale waarde van 15, zodat hieruit geen individuele personen of groepen personen kunnen worden herleid.

Dat de totaalaantallen zoals die aan het CBS worden verstrekt anoniem zijn, wordt mede bereikt door het door het kabinet beoogde proces waarmee de aanbieders de totaalaantallen afleiden uit de verkeersgegevens die zij verwerken.

Proces om tot de aan het CBS te verstrekken gegevens te komen

Ter verduidelijking zouden wij graag het proces bij de aanbieders willen beschrijven om tot de gegevens te komen die aan het CBS zullen moeten worden verstrekt. De werkwijze die daarbij moet worden gehanteerd bij de aanbieders zou worden vastgelegd in de aanwijzingen op grond van de voorgestelde wettelijke bepaling. Met deze brief dienen wij zoals gezegd een nota van wijziging in die de belangrijkste aspecten van deze werkwijze, die de tellingen (statistisch) representatiever maken maar bovenal de tellingen zoals de aanbieders die aan het CBS moeten verstrekken verder anonimiseren, vastlegt in de wet.

1. Tellingen per uur

De aanbieder dient uit diens bestaande database van verkeersgegevens voor elk uur af te leiden in welke gemeente een toestel gebruik heeft gemaakt van het mobiele communicatienetwerk, door bijvoorbeeld te bellen, sms’en of een dataverbinding te starten. In deze databases wordt alleen bijgehouden via welke antenne een telefoon dat heeft gedaan. Dit moet dus nog vertaald worden naar een gemeente met een antennekaart.

Het geografische gebied waar een antenne dekking geeft is uiteraard niet gelijk aan de gemeentegrenzen. Om tellingen per antenne te kunnen vertalen naar tellingen per gemeente wordt vooraf, aan de hand van de antennekaart van de betreffende aanbieder, een schatting gemaakt van de kans dat een toestel dat verbinding maakt met een bepaalde antenne zich bevindt in een gemeente waarmee het dekkingsgebied van de antenne overlapt. Met welke antenne een telefoon in een bepaald uur daadwerkelijk verbinding maakte leest de aanbieder af uit diens database van verkeersgegevens. Voor de tellingen wordt het toestel voor dat uur «uitgesmeerd» over meerdere gemeenten aan de hand van de kans dat de telefoon, gelet op de gebruikte antenne, in die gemeenten aanwezig was. Om te bepalen welke telefoons in welke gemeente worden meegeteld is het dus niet relevant waar in het dekkingsgebied van de antenne de telefoon zich daadwerkelijk bevond.

Een voorbeeld kan illustreren hoe deze bewerking, waarbij de zogeheten «statistische ruis» wordt toegevoegd, eruit ziet:

Voor antenne x wordt vooraf vastgesteld dat de kans dat iemand die via die antenne verbinding maakt, zich in een bepaalde gemeente bevindt, als volgt is: gemeente A: 0,5, gemeente B: 0,3 en gemeente C: 0,2.

Bij een dergelijke kansverdeling wordt de kans dat het toestel zich in gemeente A bevindt dus het grootst geacht, maar er is ook een kans dat de telefoon verbinding maakt in gemeente B of C. Op die wijze wordt een telefoon ook meegeteld bij de tellingen die naar het CBS gaan: een telefoon die met antenne x verbinding maakte wordt voor 0,5 meegeteld als aanwezig in gemeente A, voor 0,3 als aanwezig in gemeente B en voor 0,2 als aanwezig in gemeente C.

Voor antenne y wordt de kans dat het toestel dat daar verbinding mee maakt, zich in gemeente B bevindt, ingeschat als 1. In dat geval is het vermoeden dus dat het toestel zich uitsluitend in gemeente B bevond (omdat het dekkingsgebied van de antenne volledig binnen de gemeentegrenzen van gemeente B valt).

Als in eenzelfde uur er 100 telefoons verbinding maakten met antenne x en 200 telefoons met antenne y, dan wordt voor de tellingen voor dat uur geregistreerd: 50 in gemeente A, 230 in gemeente B en 20 in gemeente C.

2. Tellingen per uur per afgeleide herkomst

De totaalaantallen per uur per gemeente moeten de aanbieders uitsplitsen aan de hand van de afgeleide herkomst van de telefoons. Bij buitenlandse nummers wordt deze herkomst afgeleid uit de landencode die de aanbieders reeds bijhouden in hun database met verkeersgegevens. Bij binnenlandse nummers moet de aanbieder de afgeleide herkomst van elke telefoon bepalen aan de hand van de gemeenten waarin deze telefoon is meegenomen in de tellingen van de dertig dagen daarvoor. De gemeente waarin de telefoon in de afgelopen dertig dagen het vaakst is meegeteld in de tellingen is de afgeleide herkomstgemeente. Ook deze informatie is alleen bekend bij de aanbieder die ook al de verkeersgegevens behorende bij de telefoon bewaart. Met de nota van wijziging wordt verduidelijkt dat de aanbieder de informatie over de gemeenten waarin de telefoon op een bepaalde datum is meegeteld na dertig dagen, na het vaststellen van de afgeleide herkomst voor die dag, moet vernietigen. De verkeersgegevens waaruit deze informatie is afgeleid kunnen – zoals nu ook het geval is – blijven bewaard door de aanbieder voorzover en zo lang dat is toegestaan voor de doelen genoemd in artikel 11.5 van de wet.

3. Doorgeven aan het CBS

Aan het CBS wordt uitsluitend doorgegeven dat van de x telefoons die in een bepaald uur in gemeente A aanwezig waren, er y uit gemeente A kwamen en z uit gemeente B etc. Als het aantal telefoons met eenzelfde afgeleide herkomst kleiner dan 15 is geeft de aanbieder daar geen gegevens voor door aan het CBS. De tellingen per uur, per gemeente en per afgeleide herkomst worden door de aanbieder één keer per 24 uur aan het CBS verstrekt.

4. Combineren door het CBS

De tellingen die het CBS van elk van de drie aanbieders ontvangt, worden bij elkaar opgeteld, waarna de tellingen per aanbieder door het CBS worden vernietigd.

5. Bewerken door het CBS

Het CBS bewerkt de tellingen om ze representatiever te maken. Niet iedereen gebruikt immers een mobiele telefoon, en zeker niet elk uur. Het CBS zal de tellingen hierop statistisch corrigeren. Tot slot worden de statistisch gecorrigeerde tellingen afgerond op vijftigtallen voordat zij aan het RIVM ter beschikking worden gesteld.

6. RIVM

Het RIVM ontvangt naar behoefte dagelijks of wekelijks matrixen met gecorrigeerde tellingen per gemeente en per afgeleide herkomst. Aan de hand van deze matrixen kan op gemeenteniveau toenemende mobiliteit of drukte worden gesignaleerd en beter inzicht worden verkregen in de herkomst van bezoekers aan een bepaalde gemeente en in de effectiviteit van maatregelen op de mobiliteit of drukte.

De anonimiserende bewerkingen die in stap 1, 2 en 3 worden uitgevoerd door de aanbieder bestaan samengevat uit:

• a. dataminimalisatie: van de verkeersgegevens die de aanbieder over diens gebruikers bewaart worden uitsluitend de tijd en cell-ID (nummer van de gebruikte antenne) van elke actieve verbinding gebruikt als input voor de tellingen;

• b. pseudonimisering: direct tot een natuurlijke persoon herleidbare gegevens, in dit geval een IMSI-nummer of telefoonnummer, worden bij de bewerking ten behoeve van de tellingen vervangen door een random gegenereerde waarde;

• c. redactie: het tijdstip van (de start van) een actieve verbinding wordt afgerond op hele uren;

• d. redactie en toevoegen van statistische ruis: het dekkingsgebied van een antenne wordt vertaald naar een gemeente (en dus over een groter gebied verspreid), waarbij de verdeelsleutel gebaseerd is op schattingen van kansen dat een telefoon zich in die gemeente bevond, waarmee de tellingen minder precies (maar statistisch relevanter) worden gemaakt; en

• e. aggregatie: voor tellingen van minder dan 15 per gemeente, per uur, per afgeleide herkomst verstrekt de aanbieder geen informatie aan het CBS.

Bij toepassing van deze maatregelen zijn de tellingen die aan het CBS worden geleverd anoniem. Er kan niet worden geïdentificeerd welke individuen of groepen individuen in een telling zijn meegenomen, en bovendien kunnen geen bewegingen van individuen worden gevolgd, ook niet van gepseudonimiseerde personen.

Er bestaat onder bijzondere omstandigheden wel een restrisico op groepsherkenning. De omstandigheden waaronder een reizende groep als zodanig herkend zou kunnen worden in de tellingen die aan het CBS worden verstrekt zijn, doen zich voor als het gaat om een groep met minstens 15 personen, die:

• allen dezelfde afgeleide herkomst hebben, en

• allen gebruik maken van dezelfde aanbieder, en

• allen in hetzelfde uur in dezelfde gemeente een verkeersgegeven genereren dat door de aanbieder wordt bewaard, en

• als enige personen uit de afgeleide herkomstgemeente naar een of meer andere gemeenten reizen, bijvoorbeeld vanwege het tijdstip (in de nacht), en daardoor herkenbaar zijn in de tellingen.

Iemand die over meer informatie over een dergelijke groep beschikt, bijvoorbeeld dat een bepaalde sportvereniging ’s nachts naar een andere gemeente reist om vroeg in de ochtend bij een wedstrijd te kunnen zijn, zou in dat geval met behulp van die externe contextinformatie de groep en de groepsleden kunnen identificeren zo lang deze groep aan bovengenoemde voorwaarden voldoet. Zodra de groep uiteen gaat (of niet meer aan alle bovengenoemde omstandigheden voldoet) zijn de groep en de groepsleden niet langer te herkennen in de tellingen.

Dit restrisico wordt geadresseerd met de juridische waarborgen die reeds in het wetsvoorstel zijn opgenomen, waardoor het voor het CBS en het RIVM verboden is om de data terug te herleiden. Het CBS mag de data immers uitsluitend gebruiken ten behoeve van het RIVM voor de wettelijke taak van het RIVM bij de bestrijding van het coronavirus, en ook het RIVM is gehouden aan dat doel. Ook mogen het CBS en het RIVM de dataset niet openbaar maken of met derden delen².

Op grond van bovenstaande maatregelen is het kabinet er van overtuigd dat de tellingen die aan het CBS en RIVM worden verstrekt op grond van dit wetsvoorstel geen persoonsgegevens zijn. Zoals ook al in de memorie van toelichting is uitgelegd heeft het kabinet, gezien de gevoeligheid van de materie, in het wetsvoorstel desalniettemin als extra waarborgen bepaald dat het CBS de door elke aanbieder afzonderlijk aangeleverde data moet vernietigen zodra het CBS deze heeft samengevoegd, en dat het CBS en het RIVM alle data na een jaar moeten vernietigen, of eerder indien de data voor die tijd niet meer nodig is voor de wettelijke taak van het RIVM bij de bestrijding van het coronavirus.

AP-advies d.d. 14 mei 2020

Zoals gezegd zouden wij in deze brief uitgebreid willen uiteenzetten hoe aan het advies van de AP van 14 mei 2020 gevolg is gegeven. Naar aanleiding van het advies van de AP is de reikwijdte van het wetsvoorstel drastisch ingeperkt:

• er is een tijdelijke bepaling van gemaakt die automatisch vervalt; en

• er is een veel specifiekere doelbinding opgenomen:

  • o de gegevens mogen uitsluitend worden gebruikt door het RIVM voor de bestrijding van de huidige epidemie van het novel coronavirus,

  • o het CBS mag de gegevens uitsluitend voor die taak van het RIVM verwerken, en

  • o het CBS en het RIVM moeten de gegevens vernietigen zodra ze niet meer nodig zijn voor dat doel;

• een andere belangrijke aanscherping is dat de gegevens die moeten worden verstrekt niet langer in een aanwijzing van de Minister worden bepaald: de te verstrekken gegevens zijn nu limitatief vastgelegd in het wetsvoorstel zelf.

Met betrekking tot het laatste punt (de te verstrekken gegevens) is vanuit het belang van dataminimalisatie goed gekeken naar welke gegevens het RIVM écht nodig heeft bij de bestrijding van het coronavirus en, specifieker, voor de twee doelen die dit wetsvoorstel binnen die bestrijding dient: 1) het kunnen signaleren van een verhoogd risico op besmettingen aan de hand van de mate van drukte in een gemeente en het aantal bezoekers uit andere gemeenten, om daarmee het lokale bestuur te kunnen waarschuwen en adviseren over handelingsperspectief en 2) de effecten van maatregelen te kunnen monitoren (neemt de drukte in een bepaalde regio of op een bepaald tijdstip, zoals de spits of in de avond, af als gevolg van maatregelen). Dat heeft ertoe geleid dat er op grond van dit wetsvoorstel in het geheel geen persoonsgegevens meer worden verstrekt aan het CBS en het RIVM. Het CBS verkrijgt van de telecomproviders geen andere informatie dan de totaalaantallen per uur in een gemeente aanwezige telefoons, ingedeeld naar hun afgeleide herkomst, om deze vervolgens in een bewerkte vorm aan te leveren aan het RIVM.

Het is belangrijk om te benadrukken dat de aanname in het advies van 14 mei 2020, op grond waarvan de waarborgen werden geadviseerd, was dat het wetsvoorstel zou leiden tot het opvragen van locatie- en verkeersgegevens (persoonsgegevens) door overheidspartijen. De grondslag in het conceptwetsvoorstel zoals dat aan AP werd voorgelegd was, zoals de AP terecht opmerkte, te ruim en liet het aan de Minister om in een aanwijzing te bepalen welke gegevens precies zouden moeten worden verstrekt. Het was op dat moment dan ook logisch dat de AP rekening hield met de mogelijkheid dat de op grond van het wetsvoorstel aan het RIVM te verstrekken gegevens persoonsgegevens zouden bevatten, en dus niet geanonimiseerd zouden zijn.

Naar aanleiding van het advies van AP is de aard van de te verstrekken gegevens echter strikt ingekaderd: het wetsvoorstel schrijft nu limitatief voor welke gegevens aan het RIVM en CBS precies moeten worden verstrekt. Dit draagt bij aan de nauwkeurigheid, precisie en voorspelbaarheid van de wettelijke verplichting waar de AP op wijst (punt 3, p. 5 en 6 van het advies). Ook zijn hiermee overeenkomstig het advies de aggregatie (tellingen per gemeente en per uur) en de frequentie (eenmaal per 24 uur verstrekken) en de aard van de informatie die moet worden verstrekt (punt 3, p. 6 van het advies) verankerd in de wettekst zelf, zodat hier geen enkele onduidelijkheid over kan bestaan. Uit de wettelijke opsomming van te verstrekken gegevens, met als extra waarborg tegen herleidbaarheid een minimumwaarde van 15 per telling, blijkt dat het wetsvoorstel niet tot gevolg zal hebben dat persoonsgegevens worden verstrekt aan het CBS en RIVM. Hiervoor zijn zoals gezegd nog extra waarborgen voor opgenomen in het wetsvoorstel met bijgaande nota van wijziging. De gegevens zoals die aan het CBS worden aangeleverd zijn anoniem, en het is voor het CBS en RIVM (de enige partijen die beschikking krijgen over de gegevens) verboden om eventueel in de data herkenbare grote groepen terug te herleiden (indien dat al mogelijk zou zijn). Daarmee staat vast dat er geen persoonsgegevens worden verwerkt door het CBS en RIVM. De waarborgen die door de AP werden geadviseerd vanwege de mogelijke verwerking van persoonsgegevens door overheidspartijen zijn daarmee niet langer (juridisch) noodzakelijk.

Waar dit niet aan een goede taakuitoefening door het RIVM in de weg zou staan zijn de waarborgen die geadviseerd werden, opgenomen in het wetsvoorstel. Zo is er een harde, vaste maximale bewaartermijn (AP-advies, punt 3, p. 6) voor de gegevens bij het CBS en RIVM opgenomen: na maximaal een jaar na verstrekking van de tellingen moeten zowel het CBS als het RIVM deze gegevens vernietigen, ook al gaat het hier niet om persoonsgegevens. Ook is de werkingsduur van de voorgestelde bepaling beperkt tot de huidige Covid-19-crisis (punt 5, p. 7 van het advies): de bepaling is tijdelijk en vervalt automatisch. Dit was bij indiening van het wetsvoorstel een vervaltermijn van een jaar na inwerkingtreding, met de mogelijkheid van een verlenging met telkens 2 maanden. Om het wetsvoorstel op dit punt gelijk te trekken met het wetsvoorstel Tijdelijke wet maatregelen covid-19 (Kamerstukken 35 526, nr. 2) wordt dit met de tweede nota van wijziging veranderd in een automatische vervaltermijn van een half jaar na inwerkingtreding met de mogelijkheid van een verlenging met telkens drie maanden.

De enige geadviseerde waarborg die niet (letterlijk) kan worden overgenomen, is die met betrekking tot de «procedurele voorwaarden voor toegang tot bewaarde gegevens» (punt 2, p. 4 en verder van het advies), simpelweg omdat het wetsvoorstel niet tot toegang tot de bewaarde gegevens leidt. De AP had als bezwaar tegen de eerder voorgestelde systematiek waarin de Ministers van EZK en VWS zouden bepalen wanneer en welke gegevens zouden moeten worden verstrekt aan het RIVM, «dat daarmee alle belangrijke afwegingen – zonder nadere (procedurele) waarborg dat het belang van de bescherming van persoonsgegevens voldoende wordt meegewogen – aan de Minister(s) worden gelaten. (...) Het geven van aanwijzingen wordt immers aan geen enkele toetsing door een rechterlijke instantie of een onafhankelijke bestuurlijke entiteit onderworpen, niet voorafgaand aan het geven van de aanwijzing noch gedurende de periode dat deze aanwijzing geldt. Dit kan niet worden gezien als het treffen van voldoende waarborgen in de zin van Artikel 15 Richtlijn 2002/58. Een dergelijke nationale regeling moet immers ook de materiële en procedurele voorwaarden voor de toegang van de bevoegde nationale autoriteiten tot de bewaarde gegevens bepalen.»

Deze systematiek is nadien echter verlaten. In plaats daarvan is in het wetsvoorstel zelf uitdrukkelijk bepaald dat – alleen voor de taak van het RIVM bij de bestrijding van de huidige epidemie van het novel coronavirus – gedurende een half jaar met een mogelijkheid tot verlenging in overleg met de Eerste en Tweede Kamer voor zover dat nodig is voor de bestrijding van deze epidemie, de precies in de wet omschreven informatie, niet houdende persoonsgegevens, aan het CBS ten behoeve van het RIVM moet worden verstrekt. Dit is een wezenlijk verschil met de jurisprudentie van het Hof van Justitie van de EU over toegang van de overheid tot de brondata zelf (privacygevoelige locatie- en verkeersgegevens), waar de AP in haar advies naar verwijst. Er is geen sprake van «toegang van de bevoegde nationale autoriteiten tot bewaarde (persoons)gegevens», waarvoor de jurisprudentie van het Hof van Justitie een onafhankelijke voorafgaand toezicht door een rechterlijke instantie of door een onafhankelijke bestuurlijke entiteit voorschrijft. Vertaald naar de casus in het wetsvoorstel zou voorafgaand onafhankelijk toezicht nodig zijn als (bijvoorbeeld ten aanzien van positief geteste personen) de verkeersgegevens zelf aan RIVM zouden moeten worden verstrekt: dan zou er onafhankelijk toezicht moeten worden ingeregeld om misbruik van die verdergaande bevoegdheid te voorkomen. Dit is echter nadrukkelijk niet het geval in dit wetsvoorstel: in geen geval krijgt het RIVM toegang tot herleidbare verkeersgegevens die door telecommunicatieaanbieders worden bewaard.

Nut en noodzaak

Tot slot zouden wij nader in willen gaan op de nut en noodzaak van het wetsvoorstel. Verplaatsingsgegevens zijn – als onderdeel van het dashboard – essentieel om snel en gericht op het virus te kunnen reageren. Dat is ook het doel van dit wetsvoorstel. Snel signaleren en kunnen ingrijpen als het nodig is. Daarvoor zijn de verplaatsingsgegevens essentieel. Ze maken het namelijk mogelijk (voor het RIVM) om snel risicoanalyses te maken voor de aanpak van de bestrijding van het coronavirus op gemeentelijk niveau.

De context is een pandemie van een nieuw virus, waarbij deze infectie kan leiden tot een omvangrijke zorgvraag die de beschikbare zorgcapaciteit te boven kan gaan, en waarbij de bestrijding van de pandemie alle inwoners van Nederland diep raakt. Een epidemie van een infectieziekte verloopt per definitie sterk geclusterd. Dat wil onder andere zeggen dat het aantal nieuwe gevallen naar locatie zich concentreert op plekken met een hoge intensiteit omgeven door een gebied met lagere intensiteit. Om een risico in te schatten van het aantal nieuwe infecties op een bepaalde plaats op een bepaalde tijd is het nodig om te weten hoeveel mensen zich op deze plaats bevinden, en hoeveel tijd zij eerder door brachten in een gebied met hoog risico op besmetting. Deze gegevens zijn dus noodzakelijk om nog beter in te kunnen zetten op een regionale en lokale aanpak als het virus de kop op steekt. Het is nadrukkelijk niet nodig te weten welke personen waar zijn geweest. Vanuit die risicoanalyses kan de epidemie worden gemonitord. Voor het monitoren van de epidemie is het belangrijk inzicht te hebben in de mate van drukte in een plaats (gemeente) en bijdrage aan deze drukte door mensen uit andere gemeenten. Vanuit de risicoanalyses kunnen dan signalen worden gegeven aan het lokale bestuur. De verplaatsingsgegevens maken het mogelijk nog sneller te signaleren en gericht te kunnen ingrijpen als het nodig is. Er wordt een beeld verkregen van risicocontacten op populatieniveau (niet individueel) om het lokale bestuur te waarschuwen, signalen te geven en te adviseren over handelingsperspectief. Doel is dus om 1) regionale signalen af te kunnen geven en 2) de effecten van maatregelen te kunnen monitoren. Juist in deze regionale aanpak is het belangrijk gegevens te kunnen gebruiken die helpen het regionale beeld zo compleet mogelijk te maken. De risico’s worden door het RIVM dan ook doorgegeven aan lokaal bestuur. De te nemen acties voor preventie en bestrijding van COVID-19 worden bepaald door de gemeente, GGD en veiligheidsregio. Het is noodzakelijk de gegevens op het gemeenteniveau te ontvangen, want risico’s op besmetting zijn vaak ruimtelijk geclusterd en het biedt de mogelijkheid ook regionaal/lokaal maatregelen te nemen als dat nodig blijkt.

De Staatssecretaris van Economische Zaken en Klimaat, M.C.G. Keijzer

---

1 HvJ EU 19 oktober 2016, C-582/14, Breyer/Duitsland, ECLI:EU:C:2016:779.

2 Daarbij verwijst de regering naar HvJ EU 19 oktober 2016, C-582/14, Breyer/Duitsland, ECLI:EU:C:2016:779. Het Hof overweegt in punt 46 van dit arrest dat herleidbaarheid niet redelijkerwijs kan worden aangenomen indien de identificatie van de betrokkene bij wet verboden is.