Even je paspoort scannen, een barcode ontvangen en zonder gedoe het stadion in. Voor supporters klinkt dat als een logische stap richting gemak.
Maar wat gebeurt er eigenlijk met de gegevens op je identiteitsbewijs zodra de chip wordt uitgelezen? Blijven die echt alleen op je telefoon staan, of worden ze ergens anders verwerkt?
Een recent privacyonderzoek naar het toegangssysteem Persoonlijke Digitale Toegang (PDT) laat zien hoe snel gebruiksgemak kan botsen met privacy. En belangrijker nog: het bevat lessen waar iedere organisatie die persoonsgegevens verwerkt, iets van kan leren.
In de discussie gaat het al snel over AWS, de Cloud Act en internationale gegevensdoorgifte. Belangrijke onderwerpen, maar eigenlijk komen die pas ná de eerste en meest fundamentele AVG-vraag.
Waarom is het überhaupt nodig om de chip van een paspoort uit te lezen om een voetbalwedstrijd te bezoeken?
De AVG schrijft voor dat organisaties alleen persoonsgegevens mogen verwerken die noodzakelijk zijn voor het doel. Dat heet het beginsel van dataminimalisatie. Als hetzelfde doel ook bereikt kan worden met minder of minder gevoelige gegevens, dan heeft die minder ingrijpende oplossing de voorkeur.
Een paspoortchip bevat veel meer informatie dan alleen je naam of geboortedatum. Denk aan een pasfoto, de machineleesbare zone, een digitale handtekening en, afhankelijk van de verwerking, mogelijk ook het BSN. Dat zijn persoonsgegevens die onder de AVG extra zorgvuldig moeten worden behandeld. Zeker het BSN kent in Nederland een bijzonder beschermingsregime en mag niet zomaar worden verwerkt.
Dat betekent dat de centrale juridische vraag niet alleen is waar deze gegevens terechtkomen, maar vooral waarom ze überhaupt nodig zijn. Kan een stadion dezelfde mate van veiligheid en toegangscontrole bereiken zonder de volledige chip van een identiteitsbewijs uit te lezen? Als het antwoord daarop ‘ja’ is, wordt het lastig om een dergelijke verwerking onder de AVG te rechtvaardigen.
Juist daarom is deze casus interessant. Nog voordat er wordt gesproken over beveiliging, servers of internationale doorgifte, moet eerst worden aangetoond dat de verwerking zelf noodzakelijk en proportioneel is.
Het Nederlandse bedrijf Siip ontwikkelde Persoonlijke Digitale Toegang (PDT). Supporters registreren zich eenmalig door de chip van hun paspoort of identiteitskaart te scannen. Daarna krijgen zij toegang tot het stadion met een barcode.
Verschillende betaaldvoetbalclubs maken inmiddels gebruik van het systeem en volgens berichtgeving wil de KNVB deze vorm van digitale toegang de komende jaren breder uitrollen. Dat betekent dat uiteindelijk miljoenen stadionbezoeken gekoppeld kunnen zijn aan een digitale identiteitscontrole.
Privacyonderzoeker Mick Beer analyseerde het dataverkeer van de app en kwam tot een aantal opvallende conclusies.
Volgens zijn onderzoek worden tijdens de registratie onder andere het BSN, de pasfoto, de machineleesbare zone en de digitale handtekening van het identiteitsbewijs doorgestuurd naar een server van Siip die draait op AWS in Ierland. Omdat AWS een Amerikaans bedrijf is, stelt Beer dat ook de Amerikaanse Cloud Act een rol kan spelen, ondanks dat de data fysiek binnen de EU wordt opgeslagen.
Daarnaast concludeert hij dat de praktijk volgens zijn metingen niet overeenkomt met wat in de privacyverklaring wordt beschreven. Waar gebruikers lezen dat gegevens versleuteld op hun eigen telefoon blijven, zou de ruwe data volgens het onderzoek toch het toestel verlaten.
Ook wijst Beer erop dat de uitgevoerde DPIA (Data Protection Impact Assessment) niet openbaar is. Daardoor is voor buitenstaanders niet te controleren hoe de privacyrisico’s zijn beoordeeld.
Tegelijkertijd is zijn analyse genuanceerd. Hij geeft aan dat de technische beveiliging van de gevoelige onderdelen goed lijkt te zijn ingericht en dat hij geen externe advertentietracking heeft aangetroffen.
Siip bestrijdt de belangrijkste conclusies uit het onderzoek. Volgens het bedrijf verlaten identiteitsgegevens niet op de manier die Beer beschrijft het toestel en worden geen gebruikersprofielen opgebouwd zoals wordt gesuggereerd.
Wel bevestigt de leverancier dat het systeem commerciële mogelijkheden biedt voor clubs en geeft het aan dat privacy daarbij een belangrijke randvoorwaarde is. Daarnaast stelt Siip dat er wel degelijk een DPIA is uitgevoerd en dat de techniek periodiek wordt gecontroleerd door onafhankelijke partijen.
Wie uiteindelijk gelijk heeft, zal afhangen van verdere technische en juridische beoordeling. Maar juist dát maakt deze casus zo interessant.
Los van de uitkomst laat deze situatie zien waar organisaties in de praktijk vaak tegenaan lopen.
Deze discussie gaat uiteindelijk niet alleen over voetbal.
Het gaat over vertrouwen, transparantie en over de vraag of organisaties daadwerkelijk kunnen aantonen dat zij zorgvuldig omgaan met persoonsgegevens.
Juist daarom is het verstandig om regelmatig kritisch te kijken naar leveranciers, verwerkersovereenkomsten, DPIA’s en internationale gegevensdoorgiften. Niet pas wanneer een privacyonderzoek of toezichthouder vragen stelt, maar voordat dat gebeurt.
Twijfelt u of uw organisatie voldoet aan de AVG of wilt u weten of uw leveranciers persoonsgegevens op de juiste manier verwerken? Neem gerust contact met ons op. Wij helpen organisaties dagelijks met praktische AVG-compliance.
Benieuwd naar wat wij voor uw organisatie kunnen betekenen? Neem contact op en we helpen u graag.
Meer lezen? Het onderzoek van Mick Beer leest u hier.
