Black Box Brussel

Er is goed en slecht privacynieuws uit Brussel. Hoewel, eigenlijk is er geen nieuws. Brussel is nooit een populair media-onderwerp geweest. Redacties halen er journalisten weg. De enige krant in Nederland die gestructureerd over de EU berichtte, NRC Handelsblad, heeft zijn Europapagina stilletjes uit de krant verdreven. En ook Joris Luyendijk steekt zijn verbazing over de Haagse drukte versus de Brusselse stilte niet onder stoelen of banken.En dat terwijl de afgelopen dagen weer een paar nieuwtjes boven tafel komen, die het belang van goede verslaggeving illustreren. Het nieuws gaat over privacy – en dus over burgerrechten.

Het eerste nieuws is gebracht door Webwereld (hier in de waanlink). In een uitstekend stuk doet Webwereld uit de doeken hoe Amerikaanse bedrijven en overheidsinstellingen een zeer belangrijke transatlantische privacyregeling, Safe Harbor, misbruiken of gewoon negeren. Safe Harbor is een serie afspraken waarbij Amerikaanse bedrijven zich aan Europese richtlijnen voor het gebruik van persoonsgegevens committeren.

Dat is hard nodig. De VS gelden als een ‘derde land’ waar persoonsgegevens onvoldoende beschermd worden. Dat komt mede door een andere opvatting over eigenaarschap van persoonsgegevens. In de EU blijven gegevens altijd van jou. In de VS zijn ze bezit van degene die ze verzameld. Amerikaanse bedrijven kunnen er dus zo’n beetje alles mee doen. Ook aan opsporings- en veiligheidsdiensten geven, zoals volgens Webwereld geregeld gebeurt. Als op basis daarvan een verdenking ontstaat jegens een Europese burger, komt die burger daar pas achter zodra hij op Amerikaanse bodem wordt aangehouden. Als non-citizen, hoef je overigens niet op dezelfde rechten te rekenen als Amerikanen hebben.

Je leest/ziet hier niets over in de reguliere media. Waarschijnlijk heeft u ook nog weinig gehoord over de overkoepelende privacy-onderhandelingen die thans gaande zijn tussen de VS en de EU. Die moet de doorgifte van persoonsgegevens voor eens en altijd regelen. Niet alleen voor commerciële gegevens, maar ook strafrechtelijke. Dit zou dan toch een moment zijn om invloed uit te oefenen, al is het maar vanuit de nationale parlementen (wat sinds Lissabon is vergemakkelijkt).

Een ander onderwerp dat in de categorie ‘eng’ thuishoort is de database over ‘radicale elementen’ in de EU. Ja u leest het goed. Een database waar lidstaten gestructureerd informatie kunnen vergaren over allerlei radicale personen en groepen, gezellig in een overzichtelijk format, zodat je die informatie ook makkelijker kunt delen. Wat radicaal is, is doorgaans niet eenduidig of wel zeer breed gedefinieerd. De uitstekende waakhond Statewatch heeft net een onthullend document van de Raad van Ministers hierover boven tafel gekregen. Lees het eens door. Hopelijk lezen we er ook nog iets van terug bij de andere media.

Gelukkig is er niet alleen slecht nieuws uit Brussel. Dezelfde Raad van Ministers heeft een voorstel gemaakt over het profilen van burgers – ook al zo’n onderwerp waar je zelden iets over leest. Profiling gebeurt op grote schaal door bedrijven en overheidsdiensten. Meestal komt het erop neer dat met een algoritme patronen in grote datasets worden gezocht en dat personen op basis van de uitkomsten worden geclusterd in risicoprofielen. Zo kun je op basis van de over jouw beschikbare data een stempel krijgen van ‘mogelijke terrorist’, ‘verliesgevende klant’, ‘grote kans op psychische stoornis’, etc.

Profilen is op dit moment vaak een black box. Je weet niet welke informatie wordt gebruikt, hoe die wordt gewogen en hoe die informatie beslissingen van overheden en bedrijven beïnvloeden. Laat staan dat je je tegen zo’n beslissing kan verweren. Probeer een algoritme maar eens een vraag te stellen.

Het voorstel biedt een aantal belangrijke verbeterpunten van de huidige praktijk en kan met recht revolutionair genoemd worden. De belangrijkste punten zijn:

• encourages the use of privacy-enhancing technologies and pleads in favor of sanctioning circumventing technological measures;
• restricts the legal bases available for profiling activities and provides that when consent is used as the legal basis, it is incumbent on the data controller to prove that the individual provided informed consent regarding profiling;
• provides that access to goods and services should, as much as possible, be available without the use of profiling by default;
• imposes strict requirements on data quality (for example, the data controller should take appropriate measures to correct inaccuracies in the data and limit the risk of error inherent in profiling, as well as re-evaluate the quality of the data and of the statistical inferences used periodically);
• limits the use of sensitive data for profiling; and
• enhances the rights of individuals by increasing the amount of information to be provided by data controllers and by reinforcing the rights of access, rectification, objection and deletion.

De kans dat u hierover leest, lijkt me klein. Jammer. Ik denk dat er best wel wat mensen zijn die dit willen weten.

Ik gok dat we voorlopig nog wel even over de 130 km/u, sneeuwval, Bosma, Oh Oh Cherso blijven doorwauwelen. Is ook leuk. Maar de black box die Brussel heet, die creëren we toch echt zelf. Niet klagen als we straks weer vanalles over ons ‘krijgen uitgestort’ waar we niet om hebben gevraagd.