Voorganger AP permitteerde door overheid georganiseerd datalek bij CBS

Bij het Centraal Bureau van de Statistiek(CBS) is sprake van een serieus door de overheid geïnitieerd datalek. Ik schreef er op 28 januari 2020 over. Het gaat om de microdata-faciliteit waarbij externe partijen inzage hebben in CBS-gegevens. Daarbij kunnen die derden CBS-gegevens onder, op papier, strenge voorwaarden/controles inzien. Zeer vreemd is dan het in de CBS-stukken genoemde verbod om van de Remote Access-faciliteit schermafdrukken te maken, het scherm te fotograferen of de gegevens over te schrijven. Dat betekent de facto dat blijkbaar data op het scherm staan die op enigerlei wijze een datalek vormen. De mogelijkheid om microdata te kunnen gaan gebruiken is in de wet op het CBS(20 november 2003) vastgelegd. Over die wet bracht de RegistratieKamer(RK), de voorganger van de huidige Autoriteit Persoons-gegevens(AP) destijds advies uit. Die zag geen reden om commentaar te leveren op de in de wet voorgestelde regeling(blad 3, punt 5 in deze link).

RK/CBP/AP

Wat betreft de rechtsvoorgangers van de AP is het goed te weten dat in den beginne de RegistratieKamer(RK) als privacy-toezichthouder in 1989 opgericht werd. In 2001 ging die over in het Collegae Bescherming Persoonsgegevens(CBP). Op zijn beurt ging die weer op in de Autoriteit Persoonsgegevens(AP) op in 2016.

Permissie RegistratieKamer

Zoals ik al in de eerste alinea aangaf gaf de RK haar zegen aan het via het CBS laten gebruiken van microdata door derden. Het is ook af te lezen aan de Memorie van Toelichting op de Wet op het CBS(wetsvoorstel 28277). Daar staat onder hoofdstuk 1 punt 6 dat de privacy-toezichthouder geen onoverkomelijke bezwaren had tegen het wetsvoorstel. In de toelichting op artikel 41 van de wet die handelt over de microdata-verstrekking staat de toezichthouder ook niet vermeld. Wel vermeldt de minister in hetzelfde hoofdstuk dat de toezichthouder een discussie voert met het ministerie van Sociale Zaken en Werkgelegenheid(SZW). Dat blijkt te gaan over het oprichten van een Knooppunt Beleidsinformatie, waar het ministerie van het CBS gegevens voor wil hebben op persoonsniveau ten behoeve van beleidsinformatie. Daar dringt dan de toezichthouder in de conclusie aan op een nadere bezinning op de grondslag en de inrichting van het Knooppunt.

Microdata CBS  

Het CBS verzamelt gegevens van natuurlijke personen, bedrijven en instellingen. Deze gegevensverzameling worden na binnenkomst gepseudonimiseerd en verwerkt tot statistieken. Het CBS zegt nooit herkenbare gegevens aan derden of aan andere overheidsinstellingen te leveren.  De individuele gegevens zouden niet meer herkenbaar en herleidbaar zijn. Men stelt dat onder strikte voorwaarden (wetenschappelijke) instellingen toegang kunnen krijgen tot versleutelde gegevens op persoons- en bedrijfsniveau. Dat betreft de zogenaamde microdata. Problematisch daarbij is dat gepseudonimiseerde data toch tot data op persoons-/bedrijfsniveau herleidbaar zijn. Het simpele feit dat het CBS verbiedt schermafdrukken, foto’s van een scherm, dan wel de scherminhoud schriftelijk te kopiëren, verbiedt en er sancties aan verbindt maakt dat de enige conclusie is dat er dan sprake is van een georganiseerd datalek.

Blauwe ogen

Het aparte is dat de toezichthouder op de privacy volledig op de blauwe ogen van de wetgever afging bij het beoordelen van de Wet op het CBS. Men had er op bedacht moeten zijn dat het wetsontwerp geen specifieke beschermingsmaatregel voorzag bij het gebruik van microdata. De wetgever ging uit van het nemen van passende beschermingsmaatregelen door het CBS om herkenning van afzonderlijke personen, ondernemingen of instellingen te voorkomen. De wet liet het CBS een zekere ruimte om de mate van beveiliging van de bestanden te bepalen. De wetgever vond een exacte mate van beveiliging niet in de wet te regelen. Ze vond de maatregelen die ertoe strekken onthulling van individuele gegevens te voorkomen kunnen verschillen per bestand.

Hoe kon het gebeuren?

Het geheel overziend zijn er zaken bij het mogen gaan gebruiken van microdata mis gegaan omdat wetgever, toezichthouder en CBS naar elkaar keken. Ze gaven elkaar de ruimte zelf in te vullen wat er mocht gebeuren. Daarbij creëerde men een faciliteit die totaal afbreuk doet aan het wezen van het CBS. Dat is namelijk dat men informatie van burgers en bedrijven verzamelt en er prudent mee omgaat. Het maken van een faciliteit die de facto data doet lekken maakt dat het CBS niet handelt naar haar eigen opdracht. Dat is  het gebruik van persoons-/bedrijfsgegevens voor niet tot persoon/bedrijf herleidbare statistiek die gebruik kan worden voor beleid, wetenschap en handel.

W.J. Jongejan, 26 oktober 2020

Afbeelding van Pete Linforth via Pixabay