Hieronder zijn opgenomen het advies van de Afdeling advisering van de Raad van State d.d. 25 mei 2020 en het nader rapport d.d. 29 mei 2020, aangeboden aan de Koning door de Staatssecretaris van Economische Zaken en Klimaat, mede namens de Minister van Volksgezondheid, Welzijn en Sport. Het advies van de Afdeling advisering van de Raad van State is cursief afgedrukt.
Blijkens de mededeling van de Directeur van Uw kabinet van 25 mei 2020, nr. 2020001050, machtigde Uwe Majesteit de Afdeling advisering van de Raad van State haar advies inzake het bovenvermelde voorstel van wet rechtstreeks aan mij te doen toekomen. Dit advies, gedateerd 25 mei 2020, nr. W18.20.0144/IV, bied ik U hierbij aan.
Het voorstel heeft de Afdeling advisering (hierna: de Afdeling) aanleiding gegeven tot opmerkingen ten aanzien van het standpunt dat de van verkeers- en locatiegegevens afgeleide informatie die aan het Centraal Bureau voor de Statistiek (hierna: CBS en aan het Rijksinstituut voor Volksgezondheid en Milieuhygiëne (hierna: RIVM) wordt verstrekt, geen persoonsgegevens betreffen, de onderbouwing van de bewaartermijn, het toevoegen van enkele aanvullende waarborgen, specificering van wettelijke taken en periodieke toetsing van het voorstel. De Afdeling adviseert rekening te houden met deze opmerkingen voordat het voorstel bij de Tweede Kamer der Staten-Generaal wordt ingediend.
Graag ga ik op deze opmerkingen in het navolgende in. De tekst van het advies treft u hieronder aan, met tussengevoegd de reactie daarop.
Bij Kabinetsmissive van 25 mei 2020, no. 2020001050, heeft Uwe Majesteit, op voordracht van de Staatssecretaris van Economische Zaken en Klimaat, bij de Afdeling advisering van de Raad van State ter overweging aanhangig gemaakt het voorstel van wet houdende tijdelijke bepaling in verband met de informatieverstrekking aan het RIVM bij de bestrijding het novel coronavirus (2019-nCoV) (Tijdelijke wet informatieverstrekking RIVM i.v.m. COVID-19), met memorie van toelichting.
Het voorstel wijzigt de Telecommunicatiewet zodat aanbieders van openbare telecommunicatienetwerken en -diensten verplicht kunnen worden om informatie op basis van verkeers- en locatiegegevens te verstrekken aan het RIVM ten behoeve van de bestrijding van infectieziekten. Het betreft een tijdelijke voorziening, in beginsel voor de duur van een jaar.
De Afdeling advisering van de Raad van State begrijpt dat in het licht van de huidige crisis de inzet van bijzondere maatregelen noodzakelijk kan zijn om daarmee beter zicht te krijgen op risico’s voor, en (potentiële) uitbraken van Covid-19. In de nieuwe fase van versoepeling van de beperkingen kan informatie over drukte en verplaatsingen op bevolkingsniveau nuttig zijn om de effecten van de versoepelingen te kunnen monitoren.
De Afdeling heeft een aantal opmerkingen over het voorstel, mede in het licht van de regels omtrent de verwerking van verkeers- en locatiegegevens (persoonsgegevens). De Afdeling onderschrijft het standpunt dat de van de verkeers- en locatiegegevens afgeleide informatie die aan het Centraal Bureau voor de Statistiek (hierna: CBS en aan het Rijksinstituut voor Volksgezondheid en Milieuhygiëne (hierna: RIVM) wordt verstrekt, geen persoonsgegevens betreffen. Niettemin is het, gelet op het belang van het onderwerp, wenselijk dat de toelichting wordt aangevuld naar aanleiding van relevante jurisprudentie van het HvJEU.
Verder merkt de Afdeling op dat de maximale termijn voor het bewaren van de informatie door het RIVM gemotiveerd moet worden. Daarnaast ontbreken nog enkele aanvullende waarborgen, is specificering van de wettelijke taken nodig en ligt een periodieke toetsing van het voorstel in de rede. In verband daarmee is aanpassing wenselijk van bepaalde onderdelen van het wetsvoorstel en de toelichting.
Het voorstel creëert een tijdelijke bevoegdheid voor de Minister van Economische Zaken en Klimaat (EZK) om, in overeenstemming met de Minister van Volksgezondheid, Welzijn en Sport (VWS), aanbieders van openbare telecommunicatienetwerken en openbare telecommunicatiediensten (hierna: aanbieders) te verplichten om op basis van verkeers- en locatiegegevens informatie te verstrekken aan het RIVM, ten behoeve van diens taak bij de bestrijding van infectieziekten, en aanwijzingen te geven met betrekking tot deze verstrekking.2 Het voorstel bepaalt dat deze regeling een jaar na inwerkingtreding vervalt. Het voorstel bevat ook de mogelijkheid om de regeling bij koninklijk besluit te verlengen, telkens voor ten hoogste twee maanden.3
Nu de strenge maatregelen ter voorkoming van de verspreiding van het coronavirus in Nederland zijn versoepeld, is het volgens de toelichting nodig dat andere middelen worden ingezet om de «exitstrategie» succesvol te laten verlopen en verdere besmetting met het virus te voorkomen. Het is in deze nieuwe fase noodzakelijk voor het RIVM om drukte en verplaatsingen op bevolkingsniveau te kunnen gaan monitoren.4 Aanbieders worden daarom verplicht om van de verkeers- en locatiegegevens die zij in het kader van hun dienstverlening verwerken, daarvan afgeleide informatie te verstrekken aan het RIVM.5
Het RIVM kan met de gegevens die zij van de aanbieders verkrijgt de effectiviteit van de maatregelen toetsen en ook sneller handelen bij een opleving van het aantal besmettingen, aldus de toelichting.6 Aan de hand van de gegevens kan het «mengen» van groepen personen tussen gemeenten worden vastgesteld zodat potentiële risico’s van het virusoverdracht tussen personen in beeld komt. Het RIVM kan vervolgens de GGD’en waarschuwen en adviseren over een mogelijk handelingsperspectief voor landelijk en lokaal bestuur.
De verwerking van de verkeers- en locatiegegevens verloopt als volgt. De aanbieders verstrekken aan het RIVM, via het CBS, afgeleide informatie van verkeers- en locatiegegevens.7 De afgeleide informatie is een telling per uur van totaalaantallen van mobiele telefoons per gemeente, uitgesplitst naar de afgeleide herkomst (woongemeente) van de houder van de telefoon.8 De aanbieders verwerken hiervoor de beschikbare verkeers- en locatiegegevens om te bepalen in welke gemeente de telefoon zich bevindt, en om de «afgeleide herkomst» van de telefoon te bepalen. Bij deze verwerking worden de verkeers- en locatiegegevens, alsmede de afgeleide herkomst, gepseudonimiseerd.9
De afgeleide herkomst wordt bepaald door na te gaan waarmee de telefoon gemiddeld over de afgelopen 30 dagen het grootste deel van de tijd verbinding heeft gemaakt. Hiervoor worden verkeersgegevens verwerkt in combinatie met een antennekaart, bodemgebruikkaarten, of publieke geografische informatie.10 Voor buitenlandse telefoonnummers wordt de herkomst afgeleid uit de landencode. Deze herkomst is ingedeeld in negen categorieën.11 Door het verwerken van de verkeers- en locatiegegevens worden nieuwe persoonsgegevens verkregen, namelijk de afgeleide herkomst van de (tot een individuele persoon herleidbare) mobiele telefoon. Deze nieuwe persoonsgegevens moeten de aanbieders vernietigen zodra zij de informatie hebben verkregen.12 De aanbieders verstrekken vervolgens aan het CBS de geaggregeerde data, oftewel de totaalaantallen.13 Wanneer een totaalaantal lager is dan 15 wordt geen getal verstrekt, om herleidbaarheid tot personen te voorkomen.14
Het CBS combineert de totaalaantallen van de aanbieders en bewerkt de verstrekte gegevens ten behoeve van, en op instructie van het RIVM.15 Het CBS verstrekt op basis van de bewerkte totaalaantallen aan het RIVM een dagelijkse rapportage.16 Als de gecombineerde gegevens niet meer nodig zijn voor de taak van het RIVM, worden de gecombineerde gegevens door het RIVM vernietigd, in ieder geval uiterlijk een jaar nadat de informatie is verstrekt.17
Op een eerder concept van het voorstel heeft de Autoriteit Persoonsgegevens een advies uitgebracht.18 Naar aanleiding van dit advies is het voorstel op verschillende punten ingrijpend aangepast.19
Verkeers- en locatiegegevens betreffen gevoelige gegevens waaruit een gedetailleerd beeld oprijst van het privéleven van individuele personen. Het verwerken van gevoelige verkeers- en locatiegegevens, waarmee de bewegingen van burgers nauwgezet in kaart kunnen worden gebracht, is een inbreuk op het recht op gegevensbescherming en het recht op privéleven, en is slechts mogelijk onder strenge voorwaarden.20 Ook aan het gebruik van geaggregeerde, geanonimiseerde gegevens, kan een risico van inbreuk op het recht op gegevensbescherming en het recht op privéleven verbonden zijn omdat deze gegevens onder omstandigheden kunnen worden herleid tot individuele personen. In dat geval dient ook met deze gegevens uit privacy-oogpunt zorgvuldig te worden omgegaan.21
Als het om de verwerking van verkeers- en locatiegegevens gaat, is de Richtlijn betreffende privacy en elektronische communicatie, ook wel de «e-Privacyrichtlijn» genoemd, van toepassing.22 Deze richtlijn moet worden gelezen in het licht van het recht op gegevensbescherming en het recht op privéleven.23 Deze richtlijn is geïmplementeerd in de Telecommunicatiewet, met name in hoofdstuk 11. In dit verband is ook van belang om te wijzen op verschillende richtsnoeren en mededelingen van de Europese Commissie en het Europees comité voor gegevensbescherming waarin bepaalde uitgangspunten van het gegevensbeschermingsrecht zijn uitgewerkt voor het gebruik van locatiegegevens om Covid-19 te kunnen bestrijden.24 Zodra aan de hand van verkeers- en locatiegegevens een natuurlijke persoon direct of indirect kan worden geïdentificeerd, is de Algemene Verordening Gegevensbescherming (AVG) van toepassing. Dan is immers sprake van de verwerking van persoonsgegevens.25
De toelichting doet een beroep op artikel 15 van de e-Privacyrichtlijn en artikel 23 van de AVG.26 Ten behoeve van de bestrijding van de epidemie van een infectieziekte, wordt met het voorstel afgeweken van de rechten en plichten die zijn verbonden aan de verwerking van verkeers- en locatiegegevens.27 Artikel 15 van de e-Privacyrichtlijn staat dit toe om bepaalde redenen van zwaarwegend algemeen belang. Een wettelijke maatregel die in een beperking voorziet dient van beperkte duur te zijn en in overeenstemming met de algemene beginselen van het Unierecht.
De Afdeling begrijpt dat in het licht van de huidige crisis de inzet van bijzondere maatregelen noodzakelijk kan zijn om daarmee beter zicht te krijgen op risico’s voor, en (potentiële) uitbraken van Covid-19.28 In de nieuwe fase van versoepeling van de beperkingen kan informatie over drukte en verplaatsingen op bevolkingsniveau nuttig zijn om de effecten van de versoepelingen te kunnen monitoren. De Afdeling gaat er, gelet op de e-Privacyrichtlijn en de AVG, van uit dat er sprake is van een voldoende zwaarwegende doelstelling om verwerking van verkeers- en locatiegegevens door de aanbieders toe te staan, en te voorzien in de verstrekking van daarvan afgeleide informatie aan het CBS en het RIVM.
Met het oog op de vraag of bij de door het wetsvoorstel geregelde verwerkingen sprake is van persoonsgegevens, is van belang om de verschillende fases van verwerking goed van elkaar te onderscheiden.29 Buiten twijfel staat dat de aanbieders op grond van het voorstel persoonsgegevens moeten verwerken. Daarop zijn de waarborgen van de e-Privacyrichtlijn en de AVG zonder meer van toepassing. Minder duidelijk is dat met betrekking tot de van de verkeers- en locatiegegevens afgeleide informatie die door de aanbieders aan het CBS en het RIVM wordt verstrekt en vervolgens door het CBS en het RIVM verder wordt verwerkt.
De toelichting gaat in dat licht bezien terecht in op de vraag in hoeverre de van de verkeers- en locatiegegevens afgeleide informatie die aan het CBS en aan het RIVM wordt verstrekt, moet worden aangemerkt als persoonsgegevens. In de toelichting wordt de conclusie getrokken dat de door de aanbieders te verstrekken informatie niet herleidbaar is tot identificeerbare, natuurlijke personen. Dit oordeel is gebaseerd op de in het kader van het Unierecht geldende «redelijkheidstest». Gelet op de in de toelichting genoemde factoren valt niet redelijkerwijs te verwachten dat de verwerkingsverantwoordelijke of een andere persoon de betreffende informatie zal herleiden tot individuele personen. De kosten van en de tijd benodigd voor identificatie zonder daarbij gebruik te maken van de verkeers- en locatiegegevens die de aanbieders beheren maken een dergelijke identificatie onwaarschijnlijk, aldus de toelichting.30
De Afdeling onderschrijft het standpunt dat de van de verkeers- en locatiegegevens afgeleide informatie die aan het CBS en aan het RIVM wordt verstrekt, geen persoonsgegevens betreffen. Niettemin is aanvulling van de toelichting op dit punt wenselijk, gelet op het belang van het onderwerp. Met het oog daarop is, zoals de toelichting terecht stelt, van belang dat het wetsvoorstel de aanbieders31 en het RIVM32 verplicht de gegevens na de noodzakelijke verwerking te vernietigen. Voor zover in die situatie er nog een risico op herleidbaarheid is, zou dat vooral kunnen worden veroorzaakt door handelingen van derde partijen. Deze zouden indien zij de geaggregeerde informatie zouden verkrijgen, deze wellicht kunnen herleiden tot identificeerbare gegevens door ze te combineren met andere bij die partijen beschikbare gegevens. Bepaalde derde partijen kunnen daar belang bij hebben omdat deze gegevens een potentieel belangrijke (ook commerciële) waarde vertegenwoordigen.
In de toelichting wordt er terecht van uitgegaan dat om te bepalen of een individu identificeerbaar is, moet worden gekeken naar alle middelen waarvan redelijkerwijs valt te verwachten dat zij worden gebruikt door degene die voor de verwerking verantwoordelijk is, of die door een derde partij worden gebruikt om het individu te identificeren.33 Het Hof van Justitie van de EU (HvJEU) heeft overwogen dat het heridentificeren van personen in ieder geval niet aan de orde is als de identificatie van de betrokkene bij de wet verboden wordt of in de praktijk ondoenlijk is, bijvoorbeeld omdat zij – gelet op de vereiste tijd, kosten en mankracht – een excessieve inspanning vergt, zodat het gevaar voor identificatie in werkelijkheid onbeduidend lijkt.34
Uit deze rechtspraak blijkt dat niet alleen de feitelijke mogelijkheden om gegevens te herleiden bepalend zijn maar ook de wettelijke beperkingen voor de verwerkingsverantwoordelijke of derde partijen om identificatie mogelijk te maken. Met het oog op het laatste mist de Afdeling in de toelichting een nadere uiteenzetting over de wettelijke beperkingen zoals door het HvJEU bedoeld, die heridentificatie moeten voorkomen.35
De Afdeling adviseert gelet op het voorgaande de toelichting aan te vullen en in dat kader in te gaan op de genoemde jurisprudentie van het HvJEU.
Naar aanleiding van de opmerking van de Afdeling is paragraaf 1 van de toelichting (Te verstrekken informatie) aangevuld met een verwijzing naar de wettelijke beperkingen om identificatie mogelijk te maken en de jurisprudentie daarover.
Het voorstel bepaalt dat het RIVM de van de verkeers- en locatiegegevens afgeleide informatie, zoals verstrekt door de aanbieders, vernietigt zodra het deze heeft gecombineerd met de gegevens van de andere aanbieders. Het RIVM vernietigt de gecombineerde gegevens zodra deze niet meer nodig zijn voor de bestrijding van infectieziekten, en in ieder geval uiterlijk een jaar nadat de informatie is verstrekt.36 De aanwijzing van de Minister kan nader specificeren wanneer de informatie moet worden vernietigd, aldus de toelichting.37 De Afdeling merkt op dat de maximale bewaartermijn van een jaar niet verder wordt gemotiveerd in het voorstel. De Afdeling acht een nadere motivering van de bewaartermijn wel noodzakelijk, in het licht van voorgaande adviesopmerking.38
De Afdeling adviseert de toelichting aan te vullen, en zo nodig het voorstel aan te passen.
Naar aanleiding van de opmerking van de Afdeling is de toelichting op het vijfde lid op dit punt aangevuld.
Mede gelet op de inmenging die de verwerking van verkeers- en locatiegegevens door de aanbieders op het recht op privéleven veroorzaken, zijn in het voorstel verschillende waarborgen ingebouwd. Zo is de maatregel van tijdelijke aard, de verkeers- en locatiegegevens worden gepseudonimiseerd, en de gegevens worden onmiddellijk, dan wel na een bepaalde periode, vernietigd door de aanbieders en door het RIVM. Hiermee wordt tegemoet gekomen aan vereisten die zijn opgenomen in met name de e-Privacyrichtlijnen, de genoemde richtsnoeren en mededelingen. Het is op grond van die regelingen immers noodzakelijk dat de wettelijke maatregel van beperkte duur is en dat voldoende waarborgen worden getroffen om de vertrouwelijkheid van de gegevens te verzekeren.39
Het valt de Afdeling op dat er geen bepaling is opgenomen voor de vernietiging van de geaggregeerde gegevens door het CBS, terwijl een dergelijke verplichting wel is opgenomen voor de aanbieders en het RIVM. Hoewel het CBS alleen beschikt over van verkeers- en locatiegegevens afgeleide informatie en niet over de verkeers- en locatiegegevens zelf, is de-anonimisering niet bij voorbaat geheel uitgesloten.40 In dat licht bezien biedt een wettelijke verplichting voor het CBS tot het vernietigen van deze informatie, zodra deze is verstrekt aan het RIVM, hiervoor een extra waarborg.
De Afdeling adviseert het wetsvoorstel op dit punt aan te vullen.
Naar aanleiding van de opmerking van de Afdeling is het vijfde lid van het voorgestelde artikel 14.7 aangepast, waarmee duidelijker tot uitdrukking wordt gebracht dat de verplichting de informatie te vernietigen zowel voor het CBS als het RIVM geldt.
In het wetsvoorstel wordt bepaald dat de Minister bevoegd is aanbieders te verplichten bepaalde informatie te verstrekken aan het RIVM ten behoeve van de taak op grond van artikel 6c van de Wet publieke gezondheid en aanwijzingen te geven met betrekking tot deze verstrekking.
Het valt de Afdeling op dat deze tijdelijke regeling in meer specifieke zin niet is beperkt tot informatieverstrekking voor zover dat noodzakelijk is met betrekking tot de ontwikkeling van risico’s voor en uitbraken van Covid-19. De Afdeling adviseert dit in deze zin in artikel 14.7 zelf te bepalen. Hiermee wordt de verwerking van verkeers- en locatiegegevens door aanbieders ten behoeve van de informatieverstrekking aan het RIVM duidelijk beperkt tot de noodzaak tot bestrijding van het coronavirus. In dezelfde zin zou in het wetsvoorstel bepaald moeten worden dat verwerking van de informatie door het CBS alleen plaatsvindt voor zover dat noodzakelijk is ter bestrijding van Covid-19.
De Afdeling adviseert het wetsvoorstel op dit punt aan te vullen.
Naar aanleiding van de opmerking van de Afdeling is het doel waarmee de informatie door het CBS wordt verwerkt ten behoeve van het RIVM, en het doel waarmee het RIVM de informatie gebruikt, uitdrukkelijk beperkt tot de taak van het RIVM op grond van artikel 6c van de Wet publieke gezondheid «bij de bestrijding van het novel coronavirus».
De Afdeling wijst erop dat in een aanbeveling van de Europese Commissie met betrekking tot het gebruik van mobiliteitsdata om de evolutie van het virus te modelleren en voorspellen en in een richtsnoer van het Europees comité voor de gegevensbescherming, onder de aandacht wordt gebracht dat een regelmatige evaluatie van de aanhoudende noodzaak van de verwerking van persoonsgegevens met het oog op de bestrijding van de Covid-19-crisis noodzakelijk is, en dat er passende vervalbepalingen worden vastgesteld om ervoor te zorgen dat de verwerking niet verder gaat dan wat strikt noodzakelijk is voor die doeleinden.41
Voorliggend voorstel vervalt een jaar na inwerkingtreding, en kan bij koninklijk besluit telkens met twee maanden worden verlengd. Er is echter niet voorzien in periodieke toetsing. De effectiviteit van het gebruik van de geaggregeerde en gecombineerde gegevens is nog onzeker. Gelet op de effectiviteit en het nut van de maatregel is wel van belang om, ook tussentijds, te bepalen of de verwerking van verkeers- en locatiegegevens voor afgeleide informatie ook daadwerkelijk effectief is.42 Nu de doeltreffendheid van het gebruik van de geaggregeerde en gecombineerde gegevens nog ongewis is, en gezien de grootschaligheid van de verwerking van verkeers- en locatiegegevens die daarvoor nodig is, ligt een periodieke toetsing ook gedurende de periode dat de wet geldt, daarom in de rede.
Naar aanleiding van de opmerking van de Afdeling is een achtste lid toegevoegd, waarin het opleggen van een verplichting op grond van het eerste lid van artikel 14.7 elke zes maanden wordt geëvalueerd, en hierover verslag wordt uitgebracht aan de Tweede Kamer.
De Afdeling adviseert in de toelichting op het voorgaande in te gaan en het voorstel zo nodig aan te passen.
De Afdeling advisering van de Raad van State heeft een aantal opmerkingen bij het voorstel en adviseert daarmee rekening te houden voordat het voorstel bij de Tweede Kamer der Staten-Generaal wordt ingediend.
De vice-president van de Raad van State,
Th.C. de Graaf
Ik moge U verzoeken, mede namens de Minister van Volksgezondheid, Welzijn en Sport, het hierbij gevoegde gewijzigde voorstel van wet en de gewijzigde memorie van toelichting aan de Tweede Kamer der Staten-Generaal te zenden.
De Staatssecretaris van Economische Zaken en Klimaat, M.C.G. Keijzer