“We denken dat we enorm veel innovatie hebben en dan wijzen de mensen naar de grote techbedrijven, maar dat zijn natuurlijk voornamelijk softwarebedrijven. Het winstmodel van dat type bedrijven is gebaseerd op één bron van inkomsten: adverteren. Dus advertenties leiden op dit moment de wereld van de toekomst. Dat is niet goed. Onze maatschappelijke doelen, waar we met de wereld naartoe willen, zijn niet noodzakelijk dezelfde doelen die bedrijven hebben om advertentie-inkomsten te genereren.” aldus Robbert Dijkgraaf in een interview met nu.nl.
Bescherming bijzondere persoonsgegevens onder de PSD2 (1)
De PSD2 verplicht banken gegevens te delen (op basis van artikel 66 PSD2 na de uitdrukkelijke toestemming uit artikel 94 lid 2 PSD2). Omdat banken alles moeten delen, leveren ze ook gegevens mee die aan te duiden zijn als bijzondere persoonsgegevens. Bijzondere persoonsgegevens (art. 9 AVG) vragen om extra bescherming en mogen alleen onder in de AVG artikel 9 lid 2 opgenomen voorwaarden verwerkt worden. Welke transactiegegevens ook bijzondere persoonsgegevens kunnen zijn is de ene keer eenvoudig vast te stellen, denk aan het lidmaatschap van een vakvereniging of politieke partij: contributie = lidmaatschap. Een andere keer geven transactiedata geen directe informatie, maar kunnen heel eenvoudig een indicatie geven waarmee simpele profilering plaats kan vinden. Denk bijvoorbeeld aan de hoogte en frequentie van afrekeningen bij een apotheek, hoe snel je door je eigen risico heen bent of het lidmaatschap van een patiëntenorganisatie.
Het verwerken (in dit geval, verstrekken door de bank en vervolgens opslaan door de AIPS) mag alleen als het verbod op de verwerking (art. 9 lid 1 AVG) niet meer van toepassing is door een van de in art. 9 lid 2 genoemde voorwaarden. Maar laten we eerlijk zijn: alleen artikel 9 lid 2 sub 1 (uitdrukkelijke toestemming van de persoon) of sub d (gegevens nodig voor de betreffende organisatie) zullen veel voorkomen; waarbij je je nog moet afvragen hoe je om moet gaan met het verbod op de verstrekking, zie de laatste zin van sub d. Een eerste vraag is dus al, mag een bank die gegevens wel verstrekken? Ja, is het antwoord, want dat moet op basis van de wettelijke verplichting. Nee, zou je denken, want omdat geen maatregelen worden afgedwongen zoals filtering van informatie is het risico op ongewenst delen veel te groot. Hier botsen de rechtsgebieden en ik zou denken: laat de rechter hier naar kijken.
Het risico op onrechtmatige verwerking van bijzondere persoonsgegevens wordt daarmee levensgroot. Waarborgen worden de AISP gelegd, maar omdat dit thema geen of nauwelijks aandacht heeft gekregen is maar de vraag of AISP’s maatregelen treffen of hebben getroffen zoals het filteren van deze gegevens. Daarbij komt dat verdere verwerkingen onder de AVG vallen, wat – laten we wel wezen – eufemistisch een wet is waarbinnen veel mogelijk is.
Een oplossing: filteren van gegevens
De meest simpele oplossing is het kunnen filteren van de gegevens, om te voorkomen dat gegevens verstrekt en vervolgens verwerkt worden. Kunnen, want het verbod tot verwerking kan immers worden opgeheven. Een filter zou weinig meer hoeven zijn dan een lijst met te filteren rekeninggegevens, en een query die deze rekeninggegevens verwijdert of verhaspelt. De techniek is het probleem niet. Maar ook al wil een AISP willen filteren, hoe zouden ze dit moeten doen? Maar hoe weet je welke rekeninggegevens je moet filteren?
Welke informatie filteren?
Je wilt rekeninggegevens kunnen filteren van organisaties, waarvan de transactiedata als bijzondere persoonsgegevens aangemerkt moeten worden. Het gaat dan om transacties tussen de organisatie en de persoon. Het gaat om vakverenigingen, politieke partijen waarbij een betaling vrijwel altijd gelijk staat aan contributie en daarmee lidmaatschap. Maar, ik zet hier ook organisatie in de gezondheidszorg bij omdat je weliswaar niet meteen ziet wat iemand heeft, maar in dit geval transacties op zich al veel onthullen. Organisaties worden gerangschikt volgens de Standaard Bedrijfsindeling (SBI), die door het CBS wordt omschreven als “een hiërarchische indeling van economische activiteiten die het CBS onder meer gebruikt om bedrijfseenheden in te delen naar hun hoofdactiviteit.” Het interessante is dat de SBI vijf niveaus kent en eigenlijk een internationale standaard is: “De eerste vier cijfers van de SBI zijn, op enkele uitzonderingen na, gelijk aan de Europese NACE Rev 2.” Dit betekent dat een Nederlandse oplossing, ook kan werken in andere Europese landen!
Als we deze twee zaken koppelen dan kom ik tot het volgende lijstje van categorieën organisaties:
Politieke opvattingen
- 9492 Politieke organisaties
- 7220? Speur- en ontwikkelingswerk op het gebied van de maatschappij- en geesteswetenschappen [geldt voor beperkt aantal partijen waarschijnlijk]
Religieuze of levensbeschouwelijke overtuigingen
- 94911 Religieuze organisaties
- 94919 Beleven, verdiepen en/of verbreiden van een levensbeschouwing niet zijnde een religie
- 85599? Studiebegeleiding, vorming en onderwijs (rest) [af te leiden uit bepaalde trainingen en cursussen]
Lidmaatschap van een vakbond
- 9411? Bedrijfs- en werkgeversorganisaties
- 9420 Werknemersorganisaties
Gegevens over gezondheid
- 86 Gezondheidszorg; Gezondheidszorg Deze afdeling omvat de groepen: 861 Ziekenhuizen 862 Medische en tandheelkundige praktijken 869 paramedische praktijken en overige ambulante gezondheidszorg
- 87 Verpleging, verzorging en begeleiding met overnachting; Verpleging, verzorging en begeleiding met overnachting. Deze afdeling omvat de groepen: 871 Verpleeghuizen 872 Huizen en dagverblijven voor verstandelijk gehandicapten en psychiatrische cliënten 873 Huizen en dagverblijven voor niet-verstandelijk gehandicapten en verzorgingshuizen 879 Jeugdzorg en maatschappelijke opvang met overnachting
- 4773 Apotheken
Genetische gegevens
- Niet uit transactiedata af te leiden
Biometrische gegevens
- Niet uit transactiedata af te leiden
Ras of etnische afkomst
- Af te leiden uit gedrag zoals zender/ontvanger van bedragen, betalingen aan bepaalde organisaties
Gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid
- Af te leiden uit gedrag zoals zender/ontvanger van bedragen, betalingen aan bepaalde organisaties
Omdat organisaties ingeschreven moeten staan bij de Kamer van Koophandel, ben ik met deze codes naar de Kamer van Koophandel gegaan en heb een adressenbestand aangekocht. Ik ontving na betaling van iets meer dan €100 een adressenlijst met daarop ruim 2400 organisaties. De rekeningnummers van deze organisaties zouden als eerste gefilterd moeten worden. wordt vervolgd.
Sophie, wat zeg je nu?
De reactie van Sophie in ’t Veld in een interview met Investico over PSD2 en privacy overviel me. “Volgens D66 Europarlementariër Sophie in ’t Veld, een van de voorstanders van de nieuwe betaalregeling, kent de wet geen privacy-probleem omdat zonder toestemming van de consument, niemand bankgegevens mag gebruiken. ‘Die toestemming mag niet bestaan uit vier pagina’s juridisch Engels, het moet in duidelijke taal. Als mensen alsnog ja zeggen, is dat hun eigen keuze. Je bent de baas over je eigen vinger. Je hoeft niet te klikken.’”
Dit laatste klinkt wel heel erg als Google’s CEO Eric Schmidt in een interview met CNBC van 3 december 2009 op de vraag “People are treating Google like their most trusted friend. Should they?” Schmidt antwoordt vervolgens “If you have something that you don’t want anyone to know, maybe you shouldn’t be doing it in the first place” en legde daarmee de verantwoordelijkheid voor gevolgen bij de persoon.
Wat gebeurt als een van de meest bekende pleitbezorgers van privacy in Europa aangeeft dat er geen privacy-probleem is? Wie zal dan nog moeite steken in het zoeken naar privacyverbeteringen? Ik snap je opmerking niet, Sophie!
Investico: Bankoverschijving particulier ‘zonder toestemming’ naar financiële databedrijven
Europese betaalwet PSD2 van kracht in Nederland: Vertrouwelijke betaalgegevens van particulieren die tot dusver alleen bekend waren bij de bank, kunnen vanaf komend jaar in databases van fintechbedrijven terechtkomen. Ook als klanten daarvoor geen toestemming geven, kan rekeninginformatie in handen komen van bedrijven die handelen in financiële data. Dat blijkt uit onderzoek van Platform voor onderzoeksjournalistiek Investico voor De Groene Amsterdammer en Follow the Money. Lees verder bij de bron.
PSD2 PPT op de zeepkist bij de VPR
Tijdens de jaarvergadering van de Vereniging Privacy Recht kreeg ik (te) kort de tijd om aandacht te vragen voor het PSD2 privacy keurmerk. Bijgesloten de presentatie (VPR Zeepkist PSD2 privacy keurmerk), klik de post open voor een download.
PSD2 aangenomen als hamerstuk
34.813 Implementatiewet herziene richtlijn betaaldiensten (PSD2): Het voorstel implementeert de Europese richtlijn nr. 2015/2366 van 25 november 2015PDF-document betreffende betalingsdiensten in de interne markt (PSD II) in de Nederlandse wetgeving. Daartoe worden de Wet op het financieel toezicht, de Wet bekostiging financieel toezicht, het Burgerlijk Wetboek, de Wet handhaving consumentenbescherming en de Uitvoeringswet Algemene verordening gegevensbescherming gewijzigd.
PSD II vervangt PSD I en heeft drie doelstellingen. Ten eerste het versterken van een interne Europese markt voor kaartbetalingen, internetbetalingen en mobiele betalingen. Ten tweede het stimuleren en faciliteren van innovaties, onder meer door het reguleren van verschillende betaaldiensten die zijn ontstaan na de publicatie van PSD I, zoals betaalinitiatiediensten en rekeninginformatiediensten. Tot slot beoogt PSD II gesignaleerde problemen van PSD I, zoals het gebruik van achterhaalde of vage begrippen, te verhelpen.
Het voorstel (EK, A) is op 11 september 2018 aangenomen door de Tweede Kamer.
De Eerste Kamercommissie voor Financiën (FIN) heeft op 27 november 2018 het eindverslag uitgebracht. Het voorstel wordt op 4 december 2018 door de Eerste Kamer als hamerstuk afgedaan.
Wat we als burgers bevochten…
‘Wat we als burger bevochten – iets van inspraak, iets van meebeslissen over de wereld die we aan het maken zijn – leveren we als consumenten weer in.’
Christiaan Weijts, NRC, vrijdag 23 november
Onderzoeksjournalistiek verdient steun
Ik vind onderzoeksjournalistiek een geweldige kracht die ik van harte steun. De Correspondent, Follow the money, de onderzoeksplatform Investico en ik vergeet er vast een paar. Ook privacy komt vaak langs. De makers van De Correspondent lanceren nu The Correspondent: ‘News as we know it leaves us cynical, divided, and less informed. We’re building a movement for radically different news.’ Na rondvraag welke vraagstukken bovenaan staan bij het lezerspubliek staat bovenaan het lijstje, samen met inkomensongelijkheid, het nieuwe medialandschap en immigratie, de rol van privacy in onze samenleving: “The creeping loss of privacy, the creeping (and creepy) rise of the surveillance state, and how democracy and human rights can be preserved.” Kijk aan!
Het zijn allemaal grote vragen die een belangrijke overeenkomst hebben: ze hebben een grote invloed op hoe de globale inrichting van samenlevingen wordt vormgegeven. die zijn het waard om nauwlettend te volgen. Zoek je nog een goed voornemen? Steun deze organisaties.
Keurmerk PSD2 op komst: ‘Privacy wordt papieren werkelijkheid’
Enkele Nederlandse banken en fintechs werken samen met Stichting Privacy First aan een PSD2-keurmerk. Daarmee willen de bedrijven aan consumenten duidelijk maken wie ze hun data kunnen toevertrouwen. De Volksbank schaart zich als een van de eersten achter het initiatief. Op welke behoefte spelen de betrokkenen in?
Continue Reading “Keurmerk PSD2 op komst: ‘Privacy wordt papieren werkelijkheid’”
Die 100 uur zijn allang voorbij…
Dit blog is een vervolg op mijn blog 100uurprivacy. Een blog dat ik begon om te ontdekken wat privacy is. In die ontdekkingstocht startte ik in 2012 Procis en verliet mijn werkgever. Toevallig werd in 2012 een voorstel voor een nieuwe verordening gepubliceerd die de richtlijn 95/46/EC zou moeten vervangen. De impact van wat uiteindelijk de Algemene verordening gegevensbescherming (AVG) zou worden konden op dat moment maar weinigen inschatten. De wereld van privacy is sinds 25 mei 2018 veranderd. Net zoals mijn rol in deze wereld. Daarom vind ik het belangrijk om weer een eigen kanaal en stem te hebben. Ik ben blij om zo mijn tocht te vervolgen.