Eerst het goede nieuws: de positieve privacyprijs, de Felipe Rodriquez Award, vernoemd naar de prachtige internetpionier, is uitgereikt aan Kashmir Hill. Zij is een Amerikaanse journaliste die met spraakmakende onthullingen privacyschendingen over het voetlicht weet te brengen voor ondermeer zakenblad Forbes.

‘Vaak zijn zorgen over privacy abstract, maar zij heeft de gave het belang van privacy concreet te maken en de mensen die geraakt worden een gezicht te geven. Daarmee weet zij een groot publiek te bereiken’, aldus Bits of Freedom over haar verkiezing.

Datahandel gehonoreerd

Bits of Freedom honoreert Focum met de Big Brother Award, als grootste privacyschender van 2017. Focum is een handelsinformatiebureau in Amersfoort, dat naar eigen zeggen ‘met intelligente analyses en innovatieve oplossingen maximaal rendement uit uw klantrelaties haalt’.

Focum combineert vele bestanden om met onder meer ‘socio-demografische en lifestyle-kenmerken’ bedrijven te helpen met marketing en met beoordeling van kredietwaardigheid. Data-analyse op grote schaal voor marketing gebeurt al vele decennia door voornamelijk Nederlandse dochterbedrijven van grote Amerikaanse concerns als Experian; de beoordeling van kredietwaardigheid is daarbij gekomen, en moet wettelijk worden gescheiden van marketing.

Dennis Broeders van de WRR nomineerde de datahandelaren in het algemeen, warna Bits of Freedom de naam Focum als marktleider koos voor de prijs, om de branche een gezicht te geven. Broeders: ‘Datamakelaars zijn commerciële stofzuigers voor persoonlijke gegevens. Ze combineren publieke en betaalde data en verwerken die tot allerlei profielen voor commerciële doeleinden. Naarmate dergelijke profielen vaker gebruikt worden in het dagelijks leven door banken, werkgevers, verzekeraars en de overheid, beïnvloeden ze levenskansen.’

Brinkhof dubbel betrokken

Andere privacyexperts die Bits of Freedom verzocht om nominaties: Bart de Koning (onderzoeksjournalist), Bart Schermer (Considerati), Corinne Cath (onderzoeker Oxford Internet Institute), Frederik Zuiderveen Borgesius (onderzoeker Universiteit van Amsterdam), Gerrit-Jan Zwenne (Brinkhof), Marleen Stikker (directeur De Waag), Mieke van Heesewijk (programmamanager SIDN fonds), Ot van Daalen (Universiteit van Amsterdam, AP) en Jelle Klaas (PILP).

Opvallend is de deelname van Gerrit-Jan Zwenne, want de winnaar van de BB Award is klant bij zijn advocatenkantoor Brinkhof. Hij zegt daarover: ‘Ik heb zelf niet gewerkt voor Focum, een kantoorgenoot van mij wel. Ik sta niet achter deze nominatie, en had liever gezien dat de regering de Big Brother Award had gekregen wegens het stelselmatig negeren van rechterlijke uitspraken over privacy.’

Focum blijkt overigens niet te zijn genomineerd, maar ‘de datahandelaren’. Focum krijgt als marktleider de eer. In de lijst nominaties, die niet openbaar is, staan de ‘usual suspects’. Opvallendste afwezige is overigens Facebook. De oorzaak: experts overleggen niet en nomineren individueel. Facebook ligt kennelijk te veel voor de hand.

Werkwijze Bits of Freedom

Hoe werkt de verkiezing precies? Ton Siedsma van Bits of Freedom, die dit jaar de verkiezing coördineerde, geeft antwoord. Vindt de keuze plaats in de achterkamertjes? Siedsma: ‘Een tiental experts noemt nominaties. Daaruit maken we bij Bits of Freedom een shortlist en kiezen zelf de winnaars. ’

Wat zijn de criteria precies? ‘Een aantal criteria. Onder meer: hoe groot is de impact, is het een overheidsorganisatie, of een bedrijf? Hoeveel mensen zijn geraakt? Hoe reageerde het bedrijf/de overheid? Is er al aandacht geweest voor het schender?’

Vastgelegd met een meetlat of uit de losse pols? ‘We hebben die meetlat wel, maar al die argumenten wegen niet even zwaar en zijn elk jaar anders.’ Waarom zijn die dan geheim? ‘Ja dat is een goede vraag. Daar hebben we niet over nagedacht. We zullen dat meenemen in de evaluatie.’

Hoe beslissen jullie? ‘We beslissen gewoon met het team, negen personen. We kijken elk jaar hoe we het anders doen. Vorig jaar hebben we wegingsfactoren gebruikt zoals: hoe groot is de impact van de inbreuk of dreiging? Maar het is een afweging binnen het team. Wat vinden we als organisatie het ergst en wat is belangrijk om in de schijnwerpers te zetten?’

Ook levert de verkiezing door Bits of Freedom geen juryrapport op, we wel een uitgebreide verklaring uitgesproken bij de uitreiking. Het werk van de datahandelaren speelt zich achter de schermen af, maar de consequenties van hun werk zijn overal voelbaar, aldus die verklaring.

‘Het is daarbij twijfelachtig of deze bedrijven zich wel aan de privacywetgeving houden’, aldus Bits of Freedom. Het is niet helder of Focum de wet overtreedt, bij de Belastingdienst wel? Siedsma: ‘Inderdaad, dat weten we niet. Maar dat is ook niet de reden voor de nominatie. We hebben ze niet gehonoreerd voor overtreden van de privacyregels, maar op ethische gronden.’

Wolfsen in de fout

In zijn ijver om ferm over te komen ging de AP-voorzitter, Aleid Wolfsen, in de fout. Hij liet eerder in een reactie op BNR weten dat de praktijk van de informatiebureaus zoals Focum ‘ernstig en onrechtmatig’ is. ‘Data verhandelen mag niet, tenzij je toestemming gegeven hebt.’

Dat is in stilte gerectificeerd in de geschreven tekst op BNR, maar niet in de audio: ‘De hoofdlijn is dat jouw data, die heel gevoelig zijn, niet aan anderen mogen worden overgedragen als daar niet een grondslag voor is', zegt Wolfsen.’

Wolfsen zat fout. De Autoriteit Persoonsgegevens onderzoekt momenteel pas of de handelswijze van Focum en andere kredietbeoordelaars door de beugel kan.

De grondslag om data voor een krediettoets te verzamelen hoeft niet altijd toestemming te zijn, benadrukken Focum en haar juristen. Ook zonder ondubbelzinnige toestemming van de betrokkene mag je persoonsgegevens verzamelen en uitwisselen.

Dat is wettelijk vastgelegd en bevestigd in uitspraken van de Autoriteit Persoonsgegevens en de Europese Artikel 29-Werkgroep. Arnold Roosendaal, gepromoveerd in privacy: ‘Klopt wat Focum zegt, er zijn meerdere grondslagen voor verwerking mogelijk.’

Een tweede verwijt is dat Focum zich niet houdt aan de informatieplicht: betrokkene moeten op de hoogte worden gesteld. Maar vrijwel geen enkele van de duizenden bedrijven die onze persoonsgegevens verwerken, stelt ons op de hoogte van verwerking, het doel daarvan en aan wie data worden verstrekt. Roosendaal bevestigt dit.

Gea Buijs, woordvoerster van Vesting Finance, moederbedrijf van Focum dat onderdeel uitmaakt van de Britse Arrow Global-groep: ‘Wij verkopen geen persoonsgegevens aan andere bedrijven. Een opdrachtgever kan de kredietwaardigheid van een nieuwe klant toetsen bij Focum. Zo’n toets behoort tot de contractvoorwaarden waarvoor die klant tekent en dus van op de hoogte is.’

Real-time kredietcheck

Focum is het dus niet eens met de motivatie voor het toekennen van de negatieve BB-prijs, want ze zegt zich aan de regels te houden aan de hand van advocaten van Brinkhof. Directeur Frank Buitenhuis zegt in een vraaggesprek:

* Focum onderzoekt in opdracht van zijn klanten jaarlijks de kredietwaardigheid van honderdduizenden Nederlanders die abonnee willen worden van bijvoorbeeld telefonie- en energiebedrijven, of die een woning willen huren;

* Dat gebeurt real-time met het Kadaster als belangrijke bron van adresgegevens (en hypotheken) en het curateleregister voor faillissementen. De kunst van Focum zit in het razendsnel online verzamelen van data uit een veelheid van bronnen die bijdragen aan het beeld van een persoon, zoals van incassobureaus;

* Het doel is het voorkomen van wanbetaling, die uiteindelijk ten koste gaat van de winst van bedrijven en van abonnees die hun rekeningen wel betalen; en bescherming van betrokkenen zelf. Het is volgens Buitenhuis niet aan Focum om individuen daarover te informeren, maar aan de opdrachtgever;

* De uitkomsten worden na gebruik voor klanten niet als profiel in een database opgeslagen, beweert Buitenhuis. Ook omdat bij een nieuwe check de situatie van personen veranderd kan zijn. Het is dus volgens hem pertinent  onjuist dat Focum profielen van ‘miljoenen Nederlanders’ bijhoudt;

* Wel zijn data opgeslagen van iedereen in de schuldsanering omdat ze volgens Focum zelf beschermd moeten worden tegen het aangaan van verplichtingen; en bedrijven uiteraard ook.

* Dus als je je profiel opvraagt bij Focum dan bestaat dat niet of het is summier, met bijvoorbeeld NAW-gegevens, of er sprake is van een schuld bij een incassobureau of een schuldsanering;

Dat laatste doen we. Kosteloos krijgen we het overzicht per post. Maar dat bevat geen data, wel een vermelding dat Focum zich houdt aan de gedragscode van de Nederlandse Vereniging van Handelsinformatiebureaus (NVH), goedgekeurd door de AP.

Hoe de database van Focum er exact uitziet, wordt niet helemaal duidelijk uit dit gesprek. Maar die ‘real-time’ methode met beperkte opslag is een gegeven dat boeiend is in het onderzoek van de AP naar Focum en collega’s. De profilering van personen is zeer tijdelijk en vervat in één signaal. Hoe verhoudt dit zich tot wettelijke vereisten?

Belastingdatadienst

Bits of Freedom gaf bij de Big Brother Awards 2017 een ‘oneervolle vermelding’ aan de Belastingdienst, ondermeer veroordeeld door de Hoge Raad vanwege het ten onrechte fotograferen van kentekens langs snelwegen. En kwam in beeld vanwege onverantwoorde omgang met ‘big data’. Expert Bart de Koning schreef bij deze nominatie: ‘De belastingdienst is de grootste informatiefabriek van Nederland. Vergeet de politiestaat. Welkom in de belastingstaat.’

Het kabinet wint de publieksprijs van de Big Brother Awards 2017, met 47 procent van de stemmen, vanwege het doordrukken van de inwerkingtreding van de Wet op de inlichtingen- en veiligheidsdiensten. Daarmee werd indirect ook de meerderheid van het parlement veroordeeld.

Bits of Freedom: ‘Eerder negeerde het kabinet de overweldigende kritiek van burgers, adviesorganen en maatschappelijke organisaties. Nu wil het kabinet de wet zo snel mogelijk van kracht laten zijn, ongeacht de uitslag van het referendum.’

Dat de kritiek ‘overweldigend’ was, is onjuist: het kabinet en politieke partijen lieten zich juist niet overweldigen. Dat een meerderheid van de aanhangers van Bits of Freedom de prijs toekent aan de ‘Sleepwet’ is gezien de campagne van BoF daartegen geen verrassing.

Landelijke media benadrukken met hun kop dat het kabinet de Big Brother Awards heeft gewonnen vanwege de Wiv: zoals de NOS en Telegraaf en Bright/RTL en ook Emerce. Dat betreft echter de publieksprijs.