Bedrijven en overheden houden ons permanent in de gaten: slimme thermostaten, deurbellen, televisies, koelkasten en smartphones registreren waar we zijn en wat we doen. Privacy lijkt ten dode opgeschreven, maar er is ook hoop: privacywaakhonden pakken Google en Facebook aan en een verbod op gezichtsherkenning is in de maak.

Uit Maarten! 2021-3. Bestel losse nummer hier

Binnen een uur nadat Peter R. de Vries was neergeschoten in de Lange Leidsedwarsstraat reed de politie de verdachten klem op de A4 bij Leidschendam. Tot een aantal jaren geleden was de kans op zo’n succes een stuk kleiner. Omstanders zouden dan een signalement van daders en auto hebben doorgegeven en hopelijk het complete kenteken. De meldkamer zou dan bij de meest gebruikte uitvalswegen surveillancewagens hebben neergezet – en dan maar hopen dat de gesignaleerde auto voorbij zou rijden.

Sinds de vorming van de Nationale Politie hebben alle tien de regio’s en de Landelijke Eenheid een zogenoemd Real Time Intelligence Center (RTIC). In elk centrum verwerken enkele tientallen politiemensen meldingen, zoeken er in allerlei databanken relevante informatie bij en geven die meteen door aan de collega’s op straat. Na de aanslag op De Vries gaven ooggetuigen het type auto door waar de daders in reden (een Renault Kadjar).

Op camerabeelden konden de medewerkers van het Amsterdamse RTIC slechts een deel van het kenteken zien. Door snel en slim zoeken in databanken wisten de politiemensen in het RTIC al gauw het volledige kenteken te achterhalen, zo reconstrueerden NRC en Het Parool later. Vervolgens gingen de ANPR-camera’s (Automatic Number Plate Recognition) die boven de snelweg hangen op zoek naar de vluchtauto. Die ANPR’s scannen automatisch alle nummerplaten die eronderdoor rijden. Omdat ze door heel Nederland hangen, kwam de auto al snel in beeld en kon het arrestatieteam de verdachten klemrijden op de A4.

Het debat over privacy, veiligheid en de bevoegdheden van overheidsdiensten verdient de meeste aandacht

Los van de camera’s boven de snelweg zijn de daders vele tientallen malen gefilmd. De omgeving van het Leidseplein hangt vol met beveiligingscamera’s: van de gemeente, de politie en van restaurants en cafés. De politie heeft een databank met daarin honderdduizenden particuliere camera’s, zodat ze na een melding snel kunnen zien welke camera’s in de buurt misschien bruikbaar beeld kunnen opleveren.

Daarnaast heeft tegenwoordig iedere voorbijganger een camera in zijn telefoon. Sommigen van hen hebben Peter R. de Vries liggend op straat gefilmd. Uit piëteit heeft vrijwel geen enkel medium die beelden getoond – alleen GeenStijl koos er bewust voor om alles te laten zien.

Datahonger
De vraag is niet of Nederland anno 2021 een surveillancestaat is – dat staat wel vast. De vraag is wat we daarvan moeten vinden. Het recht op privacy staat sinds 1983 in de grondwet: ‘Ieder heeft recht op eerbiediging van de persoonlijke levenssfeer,’ zo stelt artikel 10. Dat grondrecht leidde altijd een wat sluimerend bestaan – tot aan de aanslag op het World Trade Center in 2001, waarna overheden wereldwijd een stortvloed aan antiterreurmaatregelen invoerden.

Ook de politie kreeg meer bevoegdheden en toegang tot talloze databanken. Daarnaast zorgde een stroom technologische doorbraken (internet, Facebook, Google, de smartphone) voor steeds nieuwe inbreuken op de persoonlijke levenssfeer. Die trends versterken elkaar: alles wat bedrijven uit commerciële overwegingen over burgers verzamelen kan in principe interessant zijn voor opsporingsdiensten en opgevraagd worden.

Het meest schokkende recente voorbeeld is het schandaal rond Pegasus, spionagesoftware van het Israëlische bedrijf NSO die alles wat een mobiele telefoon doet kan uitlezen en doorgeven. Een samenwerkingsverband van internationale media zoals The Washington Post, The Guardian en Le Monde onthulde een lijst van duizenden journalisten, politici en activisten die doelwit zouden zijn van de software. NSO is een privaat bedrijf, maar nauw gelieerd aan Israëlische veiligheidsdiensten. De spyware is van een kwaliteit die normaal gesproken alleen inlichtingendiensten kunnen produceren.

Sinds een jaar of twintig woeden er felle discussies over de vraag in hoeverre privacy moet wijken voor bijvoorbeeld veiligheid (denk aan camera’s), gezondheid (denk aan de corona-app) of gebruiksgemak (denk aan de algoritmes die Facebook, Google en Amazon gebruiken om ons precies voor te schotelen wat we willen). Er is dan ook niet één privacydebat, het zijn telkens oplaaiende discussies op allerlei terreinen die nu eens over bedrijven als Facebook gaan, dan weer over de privacy van patiënten of slachtoffers en dan weer over veiligheid.

In de media gaat de meeste aandacht uit naar de datahonger van het bedrijfsleven. Dat is logisch. Zelfs mensen die weinig geven om privacy vinden het ongemakkelijk dat het Chinese bedrijf TikTok talloze gegevens verzamelt over jonge kinderen, terwijl die zelf alleen maar bezig zijn met onnozele filmpjes maken en kijken. En Mark Zuckerberg, die bij Facebook steeds meer macht naar zich toe trekt en bergen data van miljarden gebruikers beheert, is met zijn hebzucht en zijn emotieloze gezicht voor veel mensen a man you love to hate.

Maar hoe grof de privacyschendingen door bedrijven soms ook zijn, de ontwikkelingen bij de overheid zijn uiteindelijk belangwekkender. De algoritmes van een bedrijf kunnen je in een te hoog risicoprofiel duwen of je op grond van je zoekgeschiedenis een te dure vliegvakantie aanbieden. Maar bedrijven kunnen je niet arresteren, niet opsluiten, je niet verbieden om ’s avonds de straat op te gaan en je niet tegenhouden aan de grens. De staat kan dat allemaal wel. Daarom verdient het debat over privacy, veiligheid en de bevoegdheden van overheidsdiensten de meeste aandacht.

Niet afschrikwekkend
In die discussie lijkt de moord op Peter R. de Vries op het eerste gezicht een klinkklare overwinning voor degenen die veiligheid boven privacy stellen. De vermoedelijke daders zijn vrijwel direct gepakt en er is overweldigend veel beeldmateriaal van hen beschikbaar van voor, tijdens en na de moord. Een van de verdachten had foto’s van zichzelf online gezet met dezelfde camouflagejas die later ook zichtbaar was op camerabeelden uit de Lange Leidsedwarsstraat. Knappe advocaat die deze mannen nog vrij kan pleiten. En veel geluk voor de privacy-activist die nu nog met een principieel pleidooi tegen cameratoezicht en kentekenscans aan komt zetten.

Toch is het goed om wat langer stil te staan bij dit evidente succes van de politie, omdat in deze zaak zo’n beetje alle principiële en praktische punten rond privacy en surveillance samenkomen: de vermeende afschrikwekkende werking van camera’s, de effectiviteit, de principiële vraag hoeveel de overheid eigenlijk mag weten van burgers, de proportionaliteit en de rechtmatigheid van het beleid en de samensmelting van private en publieke opsporing. Het maakt uiteindelijk niet uit van wie de camera’s zijn – politie en justitie kunnen ze gebruiken.

De moord op Peter R. de Vries laat zien dat daders zich niets aantrekken van camera’s.

Eerst een praktische observatie. De moord op Peter R. de Vries bevestigt helaas weer het trieste feit dat daders zich niets aantrekken van camera’s. Dat is een belangrijke constatering, omdat een van de meest gehoorde argumenten voor beveiligingscamera’s is dat ze afschrikwekkend zouden werken. Onderzoekers hebben dat effect nooit kunnen aantonen, maar dat dringt niet door tot het publieke debat. Camera’s kunnen hun nut hebben als de live-ogen van de politie en ze kunnen achteraf bewijs aanleveren, maar ze schrikken niet af.

Dan de principiële vragen. Toen Camiel Eurlings in 2010 als minister van Verkeer en Waterstaat het rekeningrijden wilde invoeren viel heel autorijdend Nederland over hem heen. De Telegraaf hield een online enquête waarin maar liefst 89 procent van de lezers tegen bleek te zijn. Niet alleen omdat ze vreesden dat autorijden duurder zou worden (het klassieke ‘automobilistje pesten’ waar de krant van wakker Nederland altijd alert op is), maar ook om principiële redenen. Veel lezers wilden geen ‘Big Brother-kastje’ in hun auto – de verplichte ingebouwde gps-tracker die zou bijhouden waar de auto reed.

Toch deed dat kastje principieel gezien niets anders dan wat de ANPR-scans nu boven de snelweg doen: permanent in de gaten houden waar auto’s rijden. Bernard Welten noemde in 2003, toen hij korpschef was van Amsterdam, privacy eens ‘de schuilplaats van het kwaad’. Hij pleitte voor een digitale slotgracht rond Amsterdam. Die kwam er, toen GroenLinks in 2008 een sluitend systeem van kentekenscans bij de afritten van de Ring A10 bepleitte om vervuilende, oude auto’s te kunnen weren. Het duurde niet lang voordat de politie permanente toegang vroeg, en kreeg, tot die data – mede dankzij die kentekenscanners zijn de moordenaars van Peter R. de Vries jaren later gepakt.

Het is een loepzuiver voorbeeld van function creep: wetgeving die voor een bepaald doel ontworpen is voor andere zaken toepassen. Het zorgt voor een sluipende uitholling van privacy, omdat de grenzen steeds verder opgerekt worden. Preventief fouilleren is bijvoorbeeld zeer geschikt om agressieve voetbalhooligans die elkaar dood willen slaan te ontwapenen, maar burgemeesters passen deze vergaande bevoegdheid ook toe op onschuldige burgers in binnensteden om ‘het veiligheidsgevoel’ te versterken.

Veel problemen rond privacy ontstaan op die manier. Dat de politie kentekenscans inzet om zware criminelen te pakken is prima. Het is iets anders als de Belastingdienst diezelfde data gebruikt om te controleren of mensen met leaseauto’s wel het correcte aantal privékilometers hebben opgegeven en of de motorrijtuigenbelasting wel is betaald. Dat is precies de ‘Big Brother’ waar de Telegraaf-lezers tien jaar geleden bang voor waren.

De techniek zelf is vaak niet het probleem, maar de manier waarop die wordt ingezet wel. In juli 2021 maakte de Nederlandse politie bekend dat ze 218.000 gezichten uit haar databank had verwijderd, omdat ze er ten onrechte in stonden. De politie gebruikt dit systeem (Catch) om beelden van verdachten te vergelijken met 2,65 miljoen gezichten die ze al in de computer hebben. Nu.nl had de fouten in deze omstreden databank vorig jaar al aan de kaak gesteld. Wie pessimistisch is over privacy ziet hierin de ergste vermoedens bevestigd: ‘Zie je wel, de politie had kennelijk honderdduizenden onschuldige burgers in de computer.’ Optimistischer gezien kun je stellen dat onze democratie naar behoren werkt: journalisten onthullen een misstand, politici grijpen in, de politie herstelt de fouten.

Onthullingen
Sinds de onthullingen van Edward Snowden in 2013 weten we dat Amerikaanse inlichtingendiensten ongelooflijke datastofzuigers zijn, maar de Nederlandse overheid kan er ook wat van. Het afgelopen jaar onthulden journalisten dat de Belastingdienst onschuldige burgers als fraudeurs profileerde, dat gemeentes onrechtmatig data verzamelen over burgers, dat defensie stiekem informatie verzamelde over Nederlandse burgers in verband met de corona-epidemie, dat de politie zich niet hield aan de regels rond het inzetten van hackingtools, dat de Nationaal Coördinator Terrorismebestrijding met nepaccounts mensen online volgde zonder daar bevoegd toe te zijn, en dat de AIVD zich bij het verzamelen van inlichtingen niet altijd aan de wet houdt.

De overheid ziet de Nederlander allereerst als verdachte, risico of object van onderzoek – in plaats van als een burger met grondrechten.

Ook hier zou een pessimist somber van worden. Het is een moedeloos makende opsomming van overheidsdiensten die de regels overtreden en die kennelijk de Nederlander allereerst zien als verdachte, risico of object van onderzoek – in plaats van als een burger met grondrechten. Aan de andere kant werkt de democratie ook hier. Politiemensen en militairen met gewetensbezwaren hebben heimelijk contact gezocht met journalisten, politici zijn na onthullingen in actie gekomen en de betrokken diensten zijn aan banden gelegd of hebben beterschap beloofd. Dat is belangrijk om in het achterhoofd te houden.

George Orwell schreef 1984 in 1948. Sommige voorspellingen zijn akelig precies uitgekomen, zoals het televisiescherm met camera waarmee Big Brother de huiskamer in kijkt, maar onze democratie en rechtsstaat staan nog rechtovereind – met een paar deuken, dat wel. Ondanks alle nieuwe bevoegdheden die inlichtingendiensten en politie erbij hebben gekregen, is Nederland geen politiestaat geworden. Sterker nog: het aantal opgehelderde misdrijven en het aantal gedetineerden zijn de afgelopen tien jaar flink gedaald.

De veelgebruikte verwijzing naar Big Brother is dan ook wat ongelukkig. Er is geen sinistere dictator die ons wil onderdrukken. De bedreiging zit ’m veel meer in een eindeloze stroom van maatregelen en wetten van allerlei overheidsinstanties, die vaak met de beste bedoelingen worden ingevoerd, maar die alles bij elkaar onze vrijheid of onze persoonlijke levenssfeer langzaam uithollen. Daar is geen magische oplossing tegen.

Sommige voorspellingen van Orwell zijn uitgekomen, maar onze democratie en rechtsstaat staan nog rechtovereind.

Nieuwe technologie blijft voor nieuwe vragen zorgen. Het fundamentele probleem is dat de ontwikkeling van de technologie de afgelopen decennia het beleid bepaald heeft. Omdat de techniek steeds krachtiger en goedkoper werd, werd het steeds makkelijker om op talloze manieren data over mensen te verzamelen, te verwerken en te bewaren. De burgers verwerden tot grondstof en rekeneenheden voor multinationals en overheden. ‘Data zijn de olie van de eenentwintigste eeuw’ is een veelgehoord cliché – en volkomen waar. De multimiljardairs uit de negentiende en twintigste eeuw verdienden hun geld met olie, staal en auto’s – denk aan John D. Rockefeller, Andrew Carnegie en Henry Ford. Hedendaagse multimiljardairs verdienen hun geld aan de data van hun klanten – denk aan Mark Zuckerberg, Jeff Bezos en Larry Page.

Maar het is geen onwrikbare natuurwet dat Google praktisch monopolist is bij de zoekmachines en Facebook bij de social media. Net zomin als de machtspositie van Rockefeller met Standard Oil in graniet gebeiteld was. De Amerikaanse overheid brak de monopolist in 1911 in 34 verschillende bedrijven op. Los van dergelijke drastische ingrepen staat de overheid niet machteloos. Amerikaanse en Europese privacywaakhonden stellen het ene na het andere onderzoek in naar Google en Facebook, en delen forse boetes uit. Boze ouders eisen een collectieve schadevergoeding van TikTok.

Verbod op gezichtsherkenning
Ook de macht van de staat kan aan banden worden gelegd. Verontruste burgers, onder wie schrijvers Tommy Wieringa en Maxim Februari, spanden een proces aan tegen de overheid om het omstreden antifraudesysteem SyRI (Systeem Risico Indicatie) verboden te krijgen. De rechter gaf hun vorig jaar gelijk, waarna SyRi stopgezet werd. De Autoriteit Persoonsgegevens (de Nederlandse privacytoezichthouder) leidt al jarenlang een kwakkelend bestaan en moet door capaciteitsgebrek de meeste privacyschendingen laten lopen. Na een gigantisch lek in de coronasystemen van de GGD besloot de Kamer begin dit jaar dat de AP van 184 naar 470 werknemers gaat. De krachten die tegen privacy in werken hebben een sterke tegenmacht nodig.

De Europese koepel van privacytoezichthouders, de European Data Protection Board, pleitte afgelopen juni voor een algeheel verbod op gezichtsherkenning in openbare ruimtes. Dergelijke intelligente camera’s maken van iedere Europese burger een wandelende streepjescode, zo waarschuwde Aleid Wolfsen de voorzitter van de Nederlandse Autoriteit Persoonsgegevens. Daarmee gaan de toezichthouders nog een stap verder dan de Europese Commissie. Die wil burgers weliswaar beschermen tegen kunstmatig intelligente systemen, maar laat nog wel ruimte over voor gezichtsherkenning voor wetshandhaving.

Dat moet precies omgekeerd zijn, zei Wolfsen tegen de Volkskrant: ‘Vrijheid is de norm. Sta je camera’s toe met software die iedereen kan herkennen om zo criminaliteit te voorkomen of af en toe een crimineel te pakken, dan zijn doel en middel totaal met elkaar in disbalans.’ Dat zijn belangrijke, principiële uitspraken. China maakt massaal gebruik van gezichtsherkenning op straat, waarbij burgers die zich misdragen herkend worden en direct ‘strafpunten’ in hun elektronische dossier krijgen. IT-experts betwijfelen of het systeem echt al zo goed werkt (het is technisch nogal een uitdaging om ieder langslopend gezicht te vergelijken met 1,4 miljard gezichten in de database), maar de angst die het de burger inboezemt is voor het regime al genoeg. De BBC onthulde in mei dat China software test om emoties te herkennen bij Oeigoeren, de onderdrukte minderheid in het westen van het land.

De AP verbood gezichtsherkenning al eerder in een supermarkt. Daar diende die om mensen met een winkelverbod bij de ingang tegen te houden. Juist omdat dergelijke technieken sluipenderwijs worden ingevoerd en overspringen van privaat naar publiek en omgekeerd, is het zo belangrijk dat de privacybewakers nu voor een totaalverbod pleiten. Het is essentieel dat we dat op Europees niveau doen, want in zijn eentje houdt Nederland nieuwe technologie niet tegen. Het fundamentele punt is dat we de vrije burger als uitgangspunt nemen. Die is er niet om het bedrijfsleven of de overheid ter wille te zijn – het is precies omgekeerd. Zoals de legendarische liberaal Henk Vonhoff ooit heeft gezegd: ‘Laten wij nooit vergeten dat de overheid dóór ons is aangesteld. Niet bóven ons.’

Kaders:

Slimme deurbellen
Deurbellen van Ring, onderdeel van Amazon, zijn uitgerust met een camera. Via de Neighbors-app vormen buren een waakzaam netwerk tegen verdachte personen. Circa 2000 Amerikaanse politiekorpsen kunnen de beelden die de slimme deurbellen maken inzien. Vorig jaar vroeg de politie 22.000 keer beelden op.

Drones
De Nederlandse politie heeft 60 drones en wil gaan uitbreiden naar 130. Vorig jaar werden de drones 600 keer ingezet, dit jaar al 800 keer, vooral om demonstraties in de gaten te houden.

Kentekenscanners
In Nederland hangen op zo’n 300 locaties rond de 1500 ANPR-camera’s, die automatisch kentekens scannen en verdachte auto’s herkennen. Van een deel worden de gegevens vrijwel direct gewist, van een deel 28 dagen bewaard.

Camera in beeld
Met het project ‘Camera in beeld’ bouwt de politie aan een databank waar bedrijven en burgers hun eigen beveiligingscamera’s kunnen aanmelden voor het geval de politie beeld nodig heeft. Inmiddels staan er zo’n 280.000 camera’s in het systeem.

Een smerige waarheid
De Amerikaanse journalisten Sheera Frenkel en Cecilia Kang schreven Een smerige waarheid (An Ugly Truth) over de groei van Facebook en de drijvende rol van Mark Zuckerberg daarachter. De ‘smerige waarheid’ komt uit een intern memo dat beschrijft hoe de permanente groei van Facebook altijd ten koste zal gaan van de gebruikers.

Boete voor Google
Frankrijk heeft Google in juli een boete van 500 miljoen euro opgelegd wegens de schending van auteursrechten van uitgevers en mediabedrijven. Google misbruikte zijn machtspositie omdat het gebruikers die een onderwerp googelen naar zijn eigen Google News Service leidde. Dat kostte de uitgevers veel geld.

Boete voor Facebook
Facebook kreeg in 2019 een boete van 5 miljard dollar wegens privacyschendingen. Het bedrijf zette de telefoonnummers die gebruikers deelden om hun account te beveiligen ook in voor marketing. Het onderzoek volgde op het schandaal rond Cambridge Analytica, het schimmige bedrijf dat gegevens van miljoenen Facebook-gebruikers in handen kreeg en daarmee de Amerikaanse verkiezingen beïnvloedde.

Sleepwet
Sinds de invoering van de Wet op de inlichtingen- en veiligheidsdiensten, beter bekend als de ‘sleepwet’, moet een toetsingscommissie vooraf toestemming geven voor de diensten mogen hacken of tappen. Die toestemming werd bij de AIVD in 1,7 procent van de gevallen geweigerd, bij de MIVD in 3,1 procent. Toch vinden de diensten de wet knellen en willen ze meer bevoegdheden.