Niet meer dan een glimp van jezelf

Joey de Jong merkte dat organisaties nauwelijks begrijpen waarom iemand wil weten wat zij van hem weten. (Beeld Lex Draijer/De Beeldredaktie)

De Waag is een onderzoeksinstituut in Amsterdam dat de toepassing van technologie in de samenleving bestudeert. Joey de Jong, die onlangs afstudeerde aan de UvA in de discipline nieuwe media en digitale cultuur, deed onder de vlag van de Waag onderzoek naar de opslag van persoonsgegevens bij de overheid. Hij wendde zich tot een twintigtal overheidsorganisaties met het verzoek om informatie over wat voor gegevens zij van hem in huis hadden. “Het ging om een lijstje van de grootste en bekendste instanties”, vertelt hij. “Je moet daarbij denken aan de Sociale Verzekeringsbank, het UWV, de gemeente, de Belastingdienst.” Een ander verzoek waarmee De Jong de organisaties aanschreef was om de instanties te vermelden waarmee zijn persoonsgegevens werden gedeeld.

Tegenzin

“De correspondentie verliep uiterst moeizaam. Overheidsinstanties worden geacht binnen twee à drie weken te reageren op een dergelijke brief, desnoods met enkel een ontvangstbevestiging waarin ze aangeven waarom en hoe lang een inhoudelijke reactie op zich laat wachten. Ik kreeg in eerste instantie opvallend veel automatisch gegenereerde antwoorden waar je weinig chocola van kunt maken.” De Jong signaleerde grote tegenzin in het voldoen aan zijn verzoek. Over het algemeen duurde het drie weken tot een maand voor de aangeschreven organisaties over de brug kwamen met de gevraagde informatie. De Wet bescherming persoonsgegevens geeft de overheid daarvoor maximaal vier weken de tijd. De Belastingdienst en Sociale Verzekeringsbank kwamen pas in beweging onder druk van een officiële klacht, de gemeente Haarlem had tweeënhalve maand nodig om over haar aarzeling heen te komen. De Belastingdienst deed er drie maanden over, en was vooral verbaasd over De Jongs verzoek. Een medewerker benaderde hem zelfs met het voorstel om zijn bedoelingen toe te lichten bij een kopje koffie. Van een echte afspraak kwam het niet; De Jong moest genoegen nemen met een brief met een algemene uitleg over de opslag van persoonsgegevens door de Belastingdienst. “Niet waar ik om vroeg, met andere woorden.”

Kafka

Het meest verrassende gegeven dat De Jong (25) boven water haalde was dat het UWV hem in zijn systeem had staan als een meneer die in 1946 geboren werd, op een volslagen andere datum dan hij. Behalve recht op inzage heeft iedere burger ook het recht op correctie van gegevens. “In dit geval had de verkeerde informatie geen heftige gevolgen, maar er bestaat een reëel gevaar dat organisaties blind vertrouwen op de juistheid van hun gegevens. Je kunt dan toch in aardig Kafkaëske situaties verzeild raken.” Als dat soort gegevens wordt doorgesluisd naar derden, zal de hardnekkigheid ervan alleen maar toenemen, met alle nare gevolgen van dien.

Wat doorsluizen van gegevens betreft deed De Jong ook wat verrassende ontdekkingen. Zo bleek hij voor te komen in de bestanden van de Stichting CIS, een stichting die verzekeringsgegevens bewaart voor verzekeringsmaatschappijen en gevolmachtigd agenten met het oog op mogelijk misbruik van financiële diensten. Persoonsgegevens bleken ook te zijn gedeeld met de politie en het netwerk van gerechtsdeurwaarders. In alle drie gevallen heeft De Jong geen flauw idee van het waarom en dat bleef zo, want dit soort instanties stelt dat die informatie geheim blijft in het belang van hun onderzoekswerk. De gemeente deelt veel gegevens, zo ervoer de onderzoeker. “Ik moet zeggen dat de lijst van instanties die iets van mij weten me uiteindelijk wel meeviel”, aldus de onderzoeker, “maar dat zal zeker te maken hebben met het feit dat ik nog geen gesetteld bestaan heb opgebouwd: ik heb geen auto, geen eigen huis, ben niet getrouwd en heb geen kinderen.” Op basis van zijn bevindingen heeft De Jong een begin gemaakt met een ‘overheidsmetadatabase’ aan de hand waarvan iedereen via 25 gesloten vragen kan uitvinden in welke databanken hij voorkomt (zie de site www.waag.org). Vragen naar de burgerlijke staat, naar mogelijke aanspraken op de AWBZ, mogelijke werkzaamheid in de kinderopvang et cetera. Wie overal ja op antwoordt, scoort het hoogst: hij krijgt een overzicht van de 35 databases waarin hij minimaal voorkomt. Het werkelijke aantal is waarschijnlijk veel groter.

Sluipend

De transparantie is ver te zoeken. De Jong kreeg slechts een indruk van een chaotisch stelsel van contacten waarin iedereen zijn eigen tokootje heeft en waarin organisaties maar moeilijk kunnen inzien waarom iemand wil weten wat zij van hem weten. “Het is een beginnetje waarmee de Waag mensen wil mobiliseren voor een debat over de sluipende informatisering”, zegt Frank Kresin, research director bij de Waag en initiatiefnemer van De Jongs onderzoek. “We willen ook in gesprek komen met politici en bestuurders, degenen die beslissen over het aanleggen van databases. Dat is een stuk moeilijker.”
Kresin had gehoopt dieper door te dringen in het hoe en waarom van dataopslag en het deelgedrag van overheden: “Maar helaas krijg je op veel vragen gewoonweg geen antwoorden. Misschien niet eens uit kwade wil, maar uit onvermogen en onbegrip over waarom een burger dat allemaal zou willen weten. Ik zie wel een laag van bezorgde burgers ontstaan die in de gaten heeft dat de private ruimte centimeter voor centimeter wordt omgevormd in publieke ruimte.”

Organisaties vinden het heel lastig om informatie over hun database snel en handzaam prijs te geven

Of dat debat van de grond komt, is natuurlijk vooral afhankelijk van de vraag in hoeverre het mensen iets kan schelen dat ze in talloze databases voorkomen. “Mensen die zeggen: ‘het maakt mij niks uit want ik heb niks te verbergen’ kijk ik meestal een beetje meewarig aan en zeg dan: het spijt me dat u zo’n saai leven hebt dat u niets te verbergen hebt”, aldus Jacob Kohnstamm, voorzitter van het College Bescherming Persoonsgegevens (CBP). “Het CBP sprak vijf jaar geleden naar aanleiding van het onderzoeksrapport ‘Onze digitale schaduw’ nog van duizenden digitale dossiers, publieke én private, waarin een ‘gemiddeld maatschappelijk actieve persoon’ vermeld staat. Zelfs een kluizenaar zal in enkele honderden databases opduiken.”

Context

Kohnstamm herkent de moeizaamheid van De Jongs zoektocht: “Je ziet hetzelfde in de commerciële sector: organisaties vinden het heel lastig om informatie over hun database snel en handzaam prijs te geven. De grootste bedreiging van de privacy ligt echter in de koppeling van gegevens: overheden mogen persoonsgegevens opslaan zolang het valt onder een wettelijk omschreven doel, een gebruikscontext. Maar door koppeling van al die rechtmatig aangelegde databases wordt het mogelijk om heel interessante profielen te destilleren die buiten welke context dan ook vallen. Ik vind dat beangstigend.” Volgens Kohnstamm snijdt de overheid zichzelf in de vingers als ze niet past op de risico’s van het aan elkaar knopen van databases. “Want als een burger tegenover een ambtenaar komt te zitten die zonder noodzaak zijn hele doopceel blijkt te hebben gelicht, dan is dat funest voor het vertrouwen van de burger in de overheid.”

Centrale plaats in het datanetwerk van de overheid is volgens Kresin zonder twijfel de Gemeentelijke basisadministratie. “Daaraan zijn veel instanties gekoppeld. Dat is niet per se verkeerd, want het is fijn als je niet bij elk contact met een instantie steeds weer opnieuw je basale persoonsgegevens moet ophoesten”, zegt hij. “In België is de overheid zelfs bij wet verplicht om die gegevens maar één keer te vragen.” Vanuit het oogpunt van efficiëntie en dienstverlening is dat goed te verdedigen, maar het komt ook neer op één grote samenballing van alle mogelijke gegevens.

De lijntjes

“Het Waag-onderzoekje gaat vooral over het los voorkomen van persoonsgegevens in allerlei databases. Dat is natuurlijk interessant, maar een veel gevoeliger vraag is wat en hoe die databases met elkaar uitwisselen”, aldus Bart Jacobs, hoogleraar computerbeveiliging in Nijmegen. “Je kunt op grond van de Wet bescherming persoonsgegevens wel achterhalen wat er in welke individuele databases over jou staat, maar niet welke lijntjes van daaruit lopen naar andere databases. De overheid zou Joey’s onderzoek ter harte moeten nemen en ook over die lijntjes open moeten zijn. Nederland zou goede sier kunnen maken met het ontwikkelen van een volwaardige applicatie uit zijn overheidsmetadatabase.” Jacobs ziet in Nederland nog niet veel beweging, maar in de VS wel. “In de slipstream van Snowden gebeurt daar toch wel het een en ander op het gebied van transparantie. Grote ICT-bedrijven geven sinds kort een transparancy report uit, waarmee ze klanten periodiek op de hoogte stellen aan welke instantie zij persoonsgegevens hebben moeten afstaan. In Nederland weten de Teevens en de Opsteltens dat soort transparantie vooralsnog tegen te houden.”
De datatransfer tussen overheid en bedrijfsleven viel buiten het Waag-onderzoek, maar Douwe Schmidt (Bits of Freedom) schreef eerder een aantal private instellingen en bedrijven aan met dezelfde vragen als Joey de Jong: wat hebben jullie van mij en met wie delen jullie het? Doel: het achterhalen van zijn digitale alter ego. “De GBA-kluis staat op een kier”, was een van Schmidts conclusies. Zo kwam hij erachter dat de Stichting Interkerkelijke Ledenadministratie automatisch verhuis-, overlijdens- en geboorteberichten krijgt uit de GBA.

Conservatieve zeurpieten

Toen in 1977 in Nederland de postcode werd ingevoerd, was er een kleine, maar luidruchtige minderheid die zich ertegen verzette: onder het adagium ‘ik ben geen nummer’ weigerden de tegenstanders hun post ermee te adresseren. Anno 2015 komt die actie over als een hopeloos achterhoedegevecht van conservatieve zeurpieten. Zouden de burgers die beren en wolven zien in de voortschrijdende informatisering van de samenleving over veertig jaar ook als zonderlinge conservatieven worden beschouwd, als mensen die de moderne tijd niet kunnen bijbenen? “Dat is een leuke vraag”, zegt Kresin. “We hebben het over een nog betrekkelijk jong speelveld. Een terrein waarop we de effecten van de ontwikkelingen nog niet kunnen inschatten. Maar ik denk dat het hier gaat om zaken die een heel hardnekkig bestaan kunnen gaan leiden. Waakzaamheid is geen overbodige luxe.”