Marie-José Klaver
(Informatiebeveiliging, augustus 2001)

John Borking is vicevoorzitter van de Registratiekamer. Borking, die als jurist is afgestudeerd, gelooft dat het recht alleen niet voldoende is om de privacy te beschermen. De Registratiekamer krijgt straks meer macht om privacyschendingen juridisch aan te pakken, maar moet ook blijven zoeken naar technische oplossingen.

Binnenkort treedt de nieuwe privacywet, de Wet bescherming persoonsgegevens (WBP), in werking. Wat voor nieuwe bevoegdheden krijgt de Registratiekamer?
Borking "De Registratiekamer, die onder de nieuwe wet College Bescherming Persoonsgegevens zal gaan heten, krijgt het recht om vooraf onderzoek in te stellen bij bedrijven en instanties die privacygevoelige gegevens willen verwerken of uitwisselen. We mogen ook boetes opleggen aan bedrijven die zich niet aan de wet houden. Onder de huidige Wet persoonsregistraties (WPR) hebben we maar één wapen: publiciteit. Daar gaan we voorzichtig mee om. Publiciteit kan geweldig veel schade aanrichten, soms disproportioneel. We doen wel veel onderzoeken, maar publiceren relatief weinig omdat publiciteit zo'n bot wapen is."

Is het bedrijfsleven bang voor de nieuwe privacywet?
Borking "Ik denk het niet. De Registratiekamer krijgt meer macht, maar ook meer verantwoordelijkheden. De onderzoeken die we kunnen gelasten kosten bedrijven veel geld en tijd. Als een bedrijf de indruk heeft dat een onderzoek onrechtmatig is, kan het naar de rechter gaan. Wij moeten dus verdomd goed weten wat we doen voordat we een onderzoek beginnen. En als we de resultaten bekend maken, moet het onderzoek 100 procent kloppen. Er mag geen speld tussen te krijgen zijn anders kunnen we voor de rechter gesleept worden."

Moeten bedrijven meewerken aan een onderzoek van de Registratiekamer?
Borking "Als we er niet samen uitkomen, kunnen we bestuursdwang toepassen. Als we het vermoeden hebben dat er ernstige privacyschendingen plaats vinden kunnen we computersystemen stil leggen en op kosten van het bedrijf verbeteringen doorvoeren. Maar we zullen daar zeer terughoudend in zijn."

Helpt strengere wetgeving om de privacy van burgers beter te beschermen?
John Borking "Privacy wordt nog steeds gedomineerd vanuit de juridische wereld. Men dacht dat het privacyprobleem wel op te lossen zou zijn als alles maar goed geregeld zou zijn in de wet. Maar het recht heeft een relatief karakter. Ook informatie- en communicatietechnologie kan privacy beschermen. De techniek wordt nu vooral gebruikt om sporen vast te leggen en profielen te maken. Diezelfde techniek kun je de opdracht geven privacy te beschermen. De oplossing ligt volgens mij in een combinatie van techniek en recht."

Met wat voor technische oplossingen is de Registratiekamer bezig?
Borking "We hebben een identity protector ontwikkeld, een soort black box die de identiteit van de gebruiker vertaalt in pseudo-identiteiten. Je krijgt een aantal maskers die ervoor zorgen dat transacties geverifieerd kunnen worden terwijl de identiteit van de gebruiker geheim blijft. Je kunt niet getraceerd worden. Er zijn al enkele bedrijven en instellingen die een identity protector in hun computersystemen hebben ingebouwd. Er is bijvoorbeeld een instelling die drugsverslaafden volgt, zonder de identiteit van de deelnemers aan het afkickproject te kennen."

Betekent dat dat straks iedereen volledig anoniem is?
Borking "Volledige anonimiteit werkt dehumaniserend. In de elektronische wereld wordt de fysieke wereld weerspiegeld. Ook in het echte leven ben je bijna nooit helemaal anoniem. Bij de bakker kun je een brood kopen zonder je identiteit prijs te geven. De bakker of een andere klant kan je echter wel aanspreken. In een volledige anonieme wereld heb je geen sociale contacten meer. Zo'n samenleving zou een heel trieste samenleving zijn. De sociale controle verdwijnt. Het risico bestaat dat je dan niets meer tegen criminaliteit kunt ondernemen."

Hoe kun je de privacy beschermen en criminaliteit aanpakken?
Borking "Je moet naar een balans zoeken. Als het nodig is moeten politie en justitie kunnen achterhalen wie er achter een pseudo-identiteit schuil gaat. Onder bepaalde omstandigheden moet een pseudoniem opengebroken kunnen worden. Belangrijk is dat bedrijven en overheidsinstanties niet zonder reden toegang krijgen tot te veel gegevens over mensen. Als iemand in een ziekenhuis ligt, hoeft de portier niet te weten waar de patiënt aan lijdt. Ook de administratie van het ziekenhuis hoeft niet te weten wat voor ziekte iemand heeft."

Is die scheiding van opslag van gegevens en toegang ook nuttig voor andere situaties?
Borking "Ook voor rekening rijden is dit model heel geschikt. Als je het wegennet indeelt in vlakken waarvoor een bepaald tarief geldt, kun je iemand gewoon een rekening sturen zonder dat je hoeft te weten waar hij heeft gereden. Roel Pieper is van een soortgelijk idee uitgegaan in zijn rapport MobiMiles."

Wat gebeurt er als gegevens niet worden beschermd?
Borking "Opslag van gegevens kan allerlei ongewenste effecten hebben. Dat weten wij uit ervaring hier. Als er eenmaal een database is, blijkt dat er allerlei partijen zijn die geïnteresseerd zijn in de inhoud van die database."

Is dat ook de reden waarom de Registratiekamer kritiek heeft op het rapport van de Commissie Mevis, waarin staat dat politie en justitie sneller toegang moeten krijgen tot allerlei databanken met persoonsgegevens?
Borking "Als die plannen doorgaan, is het einde zoek. Als er echt ernstige verdenking bestaat tegen iemand, moet de politie natuurlijk bij de benodigde gegevens kunnen komen. Maar er moet in de samenleving een balans blijven bestaan over wat je van elkaar weet. Als er een samenleving ontstaat waarbij de overheid steeds meer over haar burgers weet omdat ze profielen kunnen maken en psychogrammen gaat het vertrouwen verloren. Je krijgt een disbalans die kan leiden tot machtsmisbruik en manipulatie. Je krijgt het onbehaaglijke gevoel dat je onder controle staat, maar niet precies weet waar de bedreiging zit. Bij grote verkennende onderzoeken zal over veel personen informatie worden vergaard. Deze personen zullen hiervan doorgaans niet op de hoogte worden gesteld. Bedrijven kunnen worden verplicht over veel klanten informatie af te staan. Op die manier komt hun vertrouwensrelatie met de klant onder druk te staan."

Vinden mensen het wel erg als hun privacy wordt geschonden?
Borking "Veel mensen weten weinig van privacy en de gevolgen van privacyschending. Als je aan iemand op straat zou vragen wat het betekent dat bijvoorbeeld Albert Heijn de gegevens van de Bonuskaart gebruikt voor marketingdoeleinden, is de kans groot dat hij of zij geen idee heeft waar je het over hebt. Dat ligt met name aan gebrek aan voorlichting. Privacy is een belangrijk grondrecht. De Registratiekamer moet in de toekomst meer aandacht besteden aan voorlichting."

En hoe zit het met het bedrijfsleven? Springen bedrijven onzorgvuldig om met persoonsgegevens uit winstbejag of onverschilligheid?
Borking "Uit alle onderzoeken die we tot nu toe gedaan hebben blijkt dat er geen sprake is van kwade wil. Ik heb nooit gemerkt dat bedrijven malafide bezig zijn. Er is wel vaak wat mis. De meeste bedrijven en instellingen hebben eigenlijk geen idee van wat privacy inhoudt. Als ze het wel door hebben, zoals banken en verzekeraars, is het vooral de vertrouwensrelatie met de klanten de reden om privacybeschermende maatregelen te nemen, niet zozeer de angst voor de wet. Dat vertrouwen is zo belangrijk dat die bedrijven erg weinig risico's neemt."

Worden databanken met persoonsgegevens goed beveiligd?
Borking "Vaak niet. De meeste bedrijven maken nog geen gebruik van versleuteling en veilige identificatiemethoden als biometrie. Ze hebben geen idee dat gegevens kunnen worden afgetapt als ze verstuurd worden. Ze realiseren zich vaak ook niet dat een indringer rotzooi kan trappen in een computersysteem door bijvoorbeeld gegevens over geneesmiddelen te veranderen. Maar ik ben wel optimistisch. Het besef dat informatiebeveiliging belangrijk is, dringt steeds meer door."

Bent u het met het toekomstbeeld van infowardeskundige Winn Schwartau eens? In het vorige nummer van Informatiebeveiliging voorspelt Schwartau dat de wereld over 100 jaar helemaal wordt gedomineerd door de media en multinationals.
Borking "Het is onmogelijk om zover vooruit te kijken. De wereld verandert te snel om voorspellingen te doen die verder gaan dan 10 jaar. Ik ben redelijk optimistisch over de toekomst. Maar als de privacy van burgers en consumenten niet goed beschermd wordt, bestaat wel het risico dat we een heel repressieve maatschappij krijgen. De informatiehonger van de overheid moet in toom worden gehouden anders krijg je een politiestaat. Als de mogelijkheid bestaat om op grond van databanken met persoonsgegevens en profielen mensen uit te sluiten die er bijvoorbeeld andere denkbeelden op na houden of tot een bepaalde minderheid behoren zal dat zeker gebeuren. Dat betekent een afbraak van de democratie. We moeten ervoor waken dat het niet zover komt. Ook het bedrijfsleven mag niet te machtig worden. Het risico bestaat dat bedrijven mensen gaan uitsluiten op grond van gegevens over bijvoorbeeld gezondheid. Mensen die niet aan het ideale profiel voldoen, moeten dan meer betalen voor een verzekering en vallen buiten de boot."

(Verschenen in Informatiebeveiliging, augustus 2001)