Wereldwijd worden alle mogelijke middelen ingezet om verdere verspreiding van het coronavirus (COVID-19) te voorkomen. Zelfs als er geen sprake is van een complete lock-down, ligt in de meeste landen het openbare leven helemaal plat. Alles om te voorkomen dat er te veel mensen op één plaats bij elkaar komen, zoals enkele weken geleden gebeurde op het strand bij Scheveningen.

Om dergelijke samenkomsten van mensen op te sporen en de verspreiding van het virus te monitoren, heeft de Eurocommissaris voor de Interne Markt Thierry Breton dinsdag 24 maart aangekondigd om de telecomdata van miljoenen Europeanen te willen opvragen bij de Europese telecombedrijven. Met deze telecomdata kunnen de mobiliteitspatronen van Europeanen worden geanalyseerd en kan worden ingegrepen op het moment dat te veel mensen tegelijkertijd op één plaats bij elkaar komen. Ook wil Brussel met het verzamelen van telecomdata inzicht krijgen in de verspreiding van het coronavirus.

Welke telecomdata worden gedeeld?
Om de mobiliteit van personen te kunnen analyseren, zijn metadata nodig. Deze metadata bevatten bijvoorbeeld locatiegegevens, op basis waarvan kan worden bepaald waar een persoon precies is geweest. Inhoudelijke gespreksinformatie wordt niet verzameld. Eurocommissaris Breton heeft bovendien gegarandeerd dat alle metadata worden geanonimiseerd en dat deze niet te herleiden zijn tot specifieke personen. Hiermee wordt volgens de Eurocommissaris voldaan aan de Europese privacywetgeving.

Mogen metadata inderdaad met de Europese Commissie worden gedeeld op grond van de privacywetgeving?
Het delen en verzamelen van metadata moet worden gezien als een verwerking van persoonsgegevens. De e-Privacyrichtlijn en de Algemene verordening gegevensbescherming bevatten verschillende regels over de verwerking van persoonsgegevens. Zo bepaalt de e-Privacyrichtlijn dat telecomaanbieders locatiegegevens slechts mogen verstrekken voor zover deze gegevens zijn geanonimiseerd, of indien de betrokken personen voor deze verwerking toestemming hebben gegeven. Nu de Eurocommissaris heeft gegarandeerd dat de metadata niet herleidbaar zijn tot specifieke personen, mogen we ervan uitgaan dat inderdaad wordt voldaan aan de e-Privacyrichtlijn.

Hoe zit dat dan met de Algemene verordening gegevensbescherming (AVG)? Op grond van de AVG is de verwerking van persoonsgegevens toegestaan, indien de verwerking noodzakelijk is om de vitale belangen van personen te beschermen. Bij de totstandkoming van de AVG is het monitoren van een epidemie of de verspreiding daarvan uitdrukkelijk genoemd als een vitaal belang in de zin van de AVG. Ook de AVG biedt dus de mogelijkheid voor de Europese Commissie om locatiegegevens op te vragen bij telecomaanbieders.

Wat vindt de Autoriteit Persoonsgegevens?
Hoewel uit bovenstaande blijkt dat de privacywetgeving ruimte lijkt te bieden voor het opvragen van locatiegegevens, voorziet de Autoriteit Persoonsgegevens (AP) problemen. Overheden kunnen immers niet garanderen dat eenmaal geanonimiseerde locatiegegevens ook altijd anoniem zullen blijven. Dit geldt eens temeer, nu de combinatie van geanonimiseerde locatiegegevens en gegevens over woonplaats en werklocatie al snel te herleiden zijn tot een identificeerbare persoon.

Omdat de anonimiteit van locatiegegevens niet gegarandeerd kan worden, meent de AP dat het opvragen van locatiegegevens enkel mogelijk is indien hiervoor een (spoed)wet wordt aangenomen. Bovendien moet in deze (spoed)wet duidelijk zijn vermeld voor welke doeleinden de locatiegegevens eigenlijk worden gebruikt, bijvoorbeeld voor handhaving of voor het volgen van besmette personen.

Hoe nu verder?
Op dit moment is onduidelijk of de Europese Commissie met of zonder wettelijke basis zal overgaan tot het opvragen van locatiegegevens bij telecomaanbieders. Hoewel zijzelf meent dat hiervoor een wettelijke grondslag bestaat, blijkt uit de reactie van de Autoriteit Persoonsgegevens dat er ook bezwaren tegenin kunnen worden gebracht. Het is dus nog even afwachten of het belang van volksgezondheid zonder meer prevaleert boven de privacy van individuele personen.

Mocht de Europese Commissie zonder afzonderlijke wettelijke basis overgaan tot het opvragen van locatiegegevens, dan is van belang om in de gaten te houden dat de verwerkingsgrond ’ter bescherming van de vitale belangen van personen’ vervalt zodra de coronacrisis voorbij is. Vanaf dat moment zal ook de Europese Commissie weer een andere (wettelijke) grondslag moeten hebben om metadata te mogen verwerken, bijvoorbeeld toestemming van de betrokkene.

Meer informatie
Heeft u vragen over uw privacyrechten? Neem dan contact op met een van onze specialisten van Team Privacy.

27 maart 2020
Laatst gewijzigd: 3 april 2020