Voorgestelde wijziging van de Telecommunicatiewet in verband met de Covid-19 crisis. Wat vindt de Autoriteit Persoonsgegevens?

De Autoriteit Persoonsgegevens (hierna: AP) is bij bericht van 13 mei 2020 geraadpleegd over het concept voor wijziging van de Telecommunicatiewet in verband met informatieverstrekking aan het RIVM. Het concept ziet op het belang van de taak van het RIVM bij de bestrijding van epidemieën. Er wordt een uitzondering gemaakt op het beginsel van de vertrouwelijkheid van elektronische communicatie door op verkeers- en/of locatiegegevens gebaseerde informatie op te vragen bij de telecomoperators. Het concept wordt beoordeeld aan de hand van de vereisten van artikel 15 ePrivacy-richtlijn.

Het doel van de ePrivacy-richtlijn

Er zijn diverse (strenge) regelingen inzake de verwerking van verkeers- en locatiegegevens. De ePrivacy-richtlijn bevat doelstellingen die het mogelijk maken om een landelijke regeling op te stellen die een uitzondering maakt op de verwerking van deze gegevens. In artikel 15 van de ePrivacy-richtlijn vinden wij terug dat de doelstellingen zien op de waarborging van de staatsveiligheid, de landsverdediging, de openbare veiligheid of het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten of van onbevoegd gebruik van het elektronische communicatiesysteem. Het Europees recht laat slechts in beperkte situaties verwerking van verkeers- en locatiegegevens toe en eist hierbij dan ook een heldere omschrijving van het doel en het moet dan ook gaan om een doel dat valt onder het opgesomde in artikel 15 van de ePrivacy-richtlijn.
Het doel van het gebruik van de telecommunicatiegegevens dient duidelijk te zijn omschreven. In de toelichting op het concept wordt besproken dat de data iets kunnen zeggen over het potentiële risico van virusoverdracht tussen personen en daarmee kan er een eerste signaal gegeven worden aan de onderzoekers van het RIVM over een eventuele opleving van het virus. Volgens de AP is dit doel onvoldoende helder. In de toelichting staat verder dat het concept is bestemd ter waarborging van de openbare veiligheid, daaronder begrepen de bestrijding van de epidemie van een infectieziekte.
Het doel dient ook in verhouding te staan tot de ernst van de ingreep in de grondrechten die de toegang tot de gegevens meebrengt. Uit rechtspraak van het Hof van Justitie volgt dat de mate van inmenging wordt bepaald aan de hand van de mate waarin de gegevens zich lenen tot het maken van nauwkeurige conclusies. Een smartphone heeft de mogelijkheid om in alle details aan te geven waar iemand is geweest, wat iemand zijn verblijfplaats is en welke dagelijkse activiteiten iemand bezighouden. Het verwerken van locatiegegevens in Nederland voor een in beginsel ongelimiteerde duur, in het kader van de verspreiding van de infectieziekte, is dan ook aan te merken als een ernstige inmenging in de grondrechten van de personen waarop de gegevens betrekking hebben.
De AP acht het noodzakelijk duidelijk te maken wat het doel van de informatie is en in relatie tot dat doel de noodzaak voor de maatregel nader te onderbouwen in het licht van de eisen die het Europees recht stelt.

De systematiek

Een nationale regeling moet zowel de materiële als de procedurele voorwaarden bepalen voor de toegang van de nationale autoriteiten tot de bewaarde gegevens.
Op het moment dat de Minister van Volksgezondheid, Welzijn en Sport leiding geeft aan de bestrijding van een epidemie van een infectieziekte behorende tot groep A, of een directe dreiging daarvan bestaat ontstaat de bevoegdheid voor het opvragen van de verkeers- en locatiegegevens van de telecomoperators. De Ministers van Economische Zaken en Klimaat zijn in overeenstemming met de Minister van Volksgezondheid, Welzijn en Sport bevoegd om bindende aanwijzingen te geven aan telecomoperators ten aanzien van de verwerking van informatie op basis van verkeers- en locatiegegevens en deze gegevens te verstrekken aan het RIVM.
De AP heeft bezwaar tegen deze systematiek. Alle belangrijke afwegingen worden namelijk aan de minister(s) overgelaten. De bindende aanwijzingen die worden gegeven worden niet getoetst door een rechterlijke instantie of een onafhankelijke bestuurlijke entiteit. Dit komt niet overeen met het treffen van voldoende waarborgen in de zin van artikel 15 ePrivacy-richtlijn. Het is van wezenlijk belang dat de toegang van de bevoegde autoriteit tot de bewaarde gegevens in beginsel wordt onderworpen aan voorafgaand toezicht door een rechterlijke instantie of door een onafhankelijke bestuurlijke entiteit.
De AP stelt dat in dit geval een soortgelijke voorziening zou moeten worden getroffen en het concept van het wetsvoorstel op dit punt aan te vullen.
Het gaat hier om een voorziening met een permanent karakter, want bij een eventuele volgende epidemie zal dezelfde systematiek worden toegepast. Dit wetsvoorstel is gemaakt onder hoge tijdsdruk, waardoor de AP het handiger vindt om de wet enkel te beperken tot de huidige Covid-19 crisis.

De waarborgen

De AP adviseert op een aantal punten het concept aan te vullen om te voorzien van voldoende waarborgen. Uit het oogpunt van bescherming van persoonsgegevens is het belangrijk hoe groot de gebieden zijn waarover informatie wordt geleverd. Het concept bevat geen minimum interval, zodat bijna permanente monitoring in overeenstemming met de tekst zou kunnen worden gebruikt.
Uit het oogpunt van voorzienbaarheid voor de betrokkene is het bezwaarlijk dat er enkel bepalingen in het concept zijn opgenomen over het eind van de periode waarover gegevens mogen worden verwerkt. Er zijn geen bepalingen over het begin ervan, waardoor gegevens die nog beschikbaar zijn uit de periode voor de richtlijn van kracht werd ook betrokken kunnen worden. De wet zou deze periode moeten beperken tot wat strikt nodig is.
Ook blijkt uit het concept dat er geen vaste, maximale bewaartermijn voor deze gegevens geldt. De periode waarin de gegevens bewaard kunnen worden hangt af van de beoordeling van de noodzaak door het RIVM zelf.

Conclusie

De AP is van mening dat het wetsvoorstel nog op vele punten aangevuld moet worden en schrijft dus een vernietigend advies over het concept. Wilt u meer weten over het privacyrecht? Neem dan contact op met onze privacyrecht specialist mr. Jop Fellinger.