Privacy Impact Assessment: Tijdelijke bepaling in verband met de informatieverstrekking aan het RIVM bij de bestrijding het novel coronavirus (2019-nCoV) (Tijdelijke wet informatieverstrekking RIVM i.v.m. COVID-19)

Gegevensbeschermings- effectbeoordeling (PIA) Ministerie EZK – DG B&I Directie Digitale Economie Den Haag, 25 mei 2020 Ministerie EZK – DG B&I - Directie Digitale Economie 2 | 17 Gegevensbeschermingseffectbeoordeling | PIA Vaststelling verwerkersverantwoordelijke: Selecteer/typ datum Naam: Typ naam/functie Advies functionaris voor gegevensbescherming: Selecteer/typ datum Naam: Typ naam/functie Advies CIO: Selecteer/typ datum Naam: Typ naam/functie Ministerie EZK – DG B&I - Directie Digitale Economie 3 | 17 Gegevensbeschermingseffectbeoordeling | PIA Gegevensbeschermings- effectbeoordeling (PIA) Ministerie EZK – DG B&I Directie Digitale Economie Contact: Ministerie EZK, DGB&I, Directie DE xxx xxx xxx x x x x Versie: 1.0 December 2017 Ministerie EZK – DG B&I - Directie Digitale Economie 4 | 17 Gegevensbeschermingseffectbeoordeling | PIA Ministerie EZK – DG B&I - Directie Digitale Economie 5 | 17 Gegevensbeschermingseffectbeoordeling | PIA Inleiding Het Rijksinstituut voor volksgezondheid en milieu (RIVM) van het Ministerie van Volksgezondheid, Welzijn en Sport heeft tot taak om namens de minister van VWS werkzaamheden te verrichten bij de bestrijding van infectieziekten. Voor een goede uitvoering van die taak bij de bestrijding van het novel coronavirus (ook wel COVID19) heeft het RIVM informatie nodig over de bewegingen en verplaatsingen van de Nederlandse bevolking. Deze informatie kan worden afgeleid uit de verkeers- en locatiegegevens die aanbieders van openbare telecommunicatienetwerken in het kader van hun dienstverlening verwerken. Het wetsvoorstel tot wijziging van de Telecommunicatiewet (Tw) waar deze PIA betrekking op heeft, creëert de tijdelijke grondslag voor de minister van EZK, in overeenstemming met de minister van VWS, om bij de bestrijding van de epidemie van het novel coronavirus aanbieders van openbare mobiele telecommunicatienetwerken te verplichten de in de wet beschreven informatie te verstrekken aan het RIVM ten behoeve van de taak op grond van artikel 6c van de Wet publieke gezondheid (Wpg). Ministerie EZK – DG B&I - Directie Digitale Economie 6 | 17 Gegevensbeschermingseffectbeoordeling | PIA A. Beschrijving kenmerken gegevensverwerkingen Beschrijf op gestructureerde wijze de voorgenomen gegevensverwerkingen, de verwerkingsdoeleinden en de belangen bij de gegevensverwerkingen. Onder A wordt de eerste stap beschreven van de PIA: een overzicht van de relevante feiten van de voorgenomen gegevensverwerkingen. Als de feiten onduidelijk zijn, werkt dit door in de beoordeling.

Persoonsgegevens Som alle categorieën van persoonsgegevens op die worden verwerkt. Geef per categorie van persoonsgegevens tevens aan op wie die betrekking hebben. Deel deze persoonsgegevens in onder de typen: gewoon, bijzonder, strafrechtelijk en wettelijk identificerend. De informatie die aanbieders van openbare mobiele telecommunicatienetwerken moeten verstrekken op grond van het voorgestelde artikel 14.7 wordt door hen afgeleid uit de locatie- en verkeersgegevens van hun eindgebruikers. Locatie- en verkeersgegevens zijn ‘gewone persoonsgegevens’ die betrekking hebben op de abonnees en eindgebruikers van aanbieders van openbare telecommunicatienetwerken en -diensten.

Gegevensverwerkingen Geef alle voorgenomen gegevensverwerkingen weer. De door de aanbieder van openbare mobiele telecommunicatienetwerken in het kader van hun dienstverlening gegenereerde locatie- en verkeersgegevens moeten volgens het voorgestelde artikel 14.7 door de aanbieders worden verwerkt om te komen tot een telling, per uur, per gemeente, van het totaal aantal mobiele telefoons dat daar aanwezig is, verdeeld naar de afgeleide herkomst. Deze afgeleide herkomst van de mobiele telefoon wordt door de aanbieders bepaald aan de hand van de gemeente waar de telefoon gemiddeld over de afgelopen 30 dagen Ministerie EZK – DG B&I - Directie Digitale Economie 7 | 17 Gegevensbeschermingseffectbeoordeling | PIA het grootste deel van de tijd verbinding heeft gemaakt met het openbare mobiele telecommunicatienetwerk. De herkomst van telefoons uit het buitenland wordt ingedeeld in 9 categorieën voor de meest voorkomende landen en werelddelen en kan worden afgeleid uit de mobiele landencode (de drie eerste cijfers) uit het IMSI-nummer. Het wetsvoorstel schrijft voor dat de nieuwe persoonsgegevens die worden gegenereerd door de afgeleide herkomst van elk apparaat te bepalen, direct moeten worden vernietigd zodra de totalen per gemeente, per uur, per groep met dezelfde afgeleide herkomst, zoals die aan het RIVM moeten worden verstrekt, zijn verkregen. Bij de verstrekking aan het RIVM wordt een minimum gehanteerd van 15 per groep, per uur en per gemeente als extra waarborg om individuele herleiding te voorkomen. Hierdoor zijn deze gegevens naar het oordeel van het kabinet statistische gegevens die niet herleidbaar zijn tot identificeerbare natuurlijke personen. Het CBS neemt de informatie van de aanbieder namens het RIVM in ontvangst, combineert deze met de informatie van de andere aanbieders, en bewerkt de informatie ten behoeve van en op instructie van het RIVM. Omdat het hier naar het oordeel van het kabinet niet-herleidbare gegevens betreft, is deze bewerking door het CBS geen gegevensverwerking in de zin van de AVG.

Verwerkingsdoeleinden Beschrijf de doeleinden van de voorgenomen gegevensverwerkingen. De voorgenomen gegevensverwerkingen hebben tot doel de voornoemde informatie te verstrekken aan het RIVM, die deze informatie gebruikt ter on dersteuning van de uitoefening van de wettelijke taak van het RIVM op grond van artikel 6c, eerste lid, van de Wet publieke gezondheid, om namens de minister van VWS werkzaamheden te verrichten bij de bestrijding van het novel coronavirus. Voor het monitoren van de epidemie is het belangrijk inzicht te hebben in de mate van drukte in een plaats (gemeente) en bijdrage aan deze drukte door mensen uit andere gemeenten. Met deze gegevens wordt een beeld verkregen van risicocontacten op populatieniveau, en niet op individueel niveau, om GGD’en te waarschuwen en te adviseren over handelingsperspectief voor landelijk en lokaal bestuur. Doel is dus om 1) regionale signalen af te kunnen geven en 2) de effecten van maatregelen te kunnen monitoren. Dit betreft bijvoorbeeld de vraag of een advies/maatregel die alleen in de spits geldt, wordt opgevolgd door de bevolking. Zo niet dan moet wellicht de maatregel worden bijgesteld. Bij regionaal maatwerk gaat het om twee soorten acties. De eerste en belangrijkste soort van acties zijn signalen af te geven aan GGD’en. De GGD’en vormen de regionale organisatie voor infectieziektebestrijding en de gemeenten de lokale autoriteit om deze signalen om te zetten tot maatregelen op lokaal niveau. Als er bijvoorbeeld in een regio zoals Noord-Brabant meer COVID- 19 voorkomt dan in de rest van Nederland, en in enkele gemeenten, zoals Breda en Tilburg veel mensen op hetzelfde tijdstip in het weekend naar elkaars gemeente reizen, zouden GGD-en West-Brabant en Hart voor Brabant met de gemeenten kunnen besluiten om bezoek te ontmoedigen. Een tweede soort van acties bestaat uit het verwerken van de tellingen tot een ranglijst van gemeenten naar risico om de infectie, indien deze voorkomt in de gemeente, te verspreiden naar andere gemeenten. Dit kan voor GGD’en reden zijn om bij schaarse menskracht en middelen deze bij voorrang in te zetten in een gemeente en daarna in een andere. Het zou bijvoorbeeld mogelijk zijn dat op basis van de tellingen blijkt dat de gemeente Amsterdam meer bezoekers met verschillende herkomst heeft, en dus een hoger risico op verdere verspreiding heeft, dan de gemeente Amstelveen. Dit zou de GGD Amsterdam kunnen gebruiken om intern te prioriteren en eerst clusters van infecties in de gemeente Amsterdam op te sporen en daarna pas de clusters Ministerie EZK – DG B&I - Directie Digitale Economie 8 | 17 Gegevensbeschermingseffectbeoordeling | PIA van infecties in de gemeente Amstelveen. De informatie wordt alleen door het RIVM zelf gebruikt om signalen af te geven aan GGD’en, veiligheidsregio’s en zorgaanbieders, de informatie wordt zelf niet openbaargemaakt. De informatie wordt niet in het ‘dashboard’ opgenomen. In het dashboard worden diverse gegevens overzichtelijk bijeengebracht die nu al in diverse rapportages vanuit bijvoorbeeld het RIVM te vinden zijn, met het doel beleidsbeslissingen op nationaal, regionaal en lokaal niveau te sturen. In de voorlopige plannen staan verplaatsingsgegevens genoemd als indicator op nationaal niveau. De waarschijnlijke invulling hiervan is dat uitsluitend het landelijk percentage mensen dat in de eigen gemeente verblijft, met een afwijking ten opzichte van het gemiddelde voor de invoering van maatregelen, via het dashboard openbaar wordt gemaakt.

Betrokken partijen Benoem welke organisaties betrokken zijn bij welke gegevensverwerkingen. Deel deze organisaties per gegevensverwerking in onder de rollen: verwerkingsverantwoordelijke, verwerker, verstrekker en ontvanger. Benoem tevens welke functionarissen binnen deze organisaties toegang krijgen tot welke persoonsgegevens. Verstrekker van niet-herleidbare informatie: aanbieders van openbare mobiele telecommunicatienetwerken Verwerker van persoonsgegevens: eventuele door de aanbieders in te schakelen verwerker Verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens: aanbieders van openbare mobiele telecommunicatienetwerken Ontvanger van niet-herleidbare informatie: RIVM N.B. Voor zover uit artikel 18 van de Wet op het Centraal bureau voor de statistiek, waarin onder meer is opgenomen dat de directeur-generaal van het CBS de methoden bepaalt waarmee de in de werk- en meerjarenprogramma's opgenomen onderzoeken worden uitgevoerd, voortvloeit dat het CBS geen instructies kan opvolgen, is in het vierde lid expliciet bepaald dat in afwijking van genoemd artikel 18 het CBS dat in dit specifieke geval wel kan. Hoewel wordt uitgegaan van statistische informatie die niet herleidbaar is tot identificeerbare natuurlijke personen, kan in het geval dit toch nodig blijkt, onder ‘instructies’ ook worden verstaan de verwerkersovereenkomst die in dat geval met RIVM als verwerkingsverantwoordelijke zou moeten worden gesloten.

Belangen bij de gegevensverwerking Beschrijf alle belangen die de verwerkingsverantwoordelijke en anderen hebben bij de voorgenomen gegevensverwerkingen. De aanbieders van telecommunicatienetwerken en -diensten Aanbieders die op grond van het voorgestelde artikel 14.7 verplicht worden verkeers- en locatiegegevens te verwerken ten behoeve van het kunnen verstrekken van de informatie (totaalaantallen) aan het RIVM hebben daar zelf geen belang bij, mede gelet op het feit dat zij de nieuw verkregen persoonsgegevens (afgeleide herkomst) ten behoeve van het kunnen verstrekken van de totaalaantallen direct na verkrijging van de totaalaantallen moeten vernietigen. Het RIVM Een doelstelling van het Nederlandse bestrijdingsbeleid van COVID19 is het maximaal controleren van de verspreiding van het virus. Dat vereist een goed zicht op de gehele epidemie: de mogelijke Ministerie EZK – DG B&I - Directie Digitale Economie 9 | 17 Gegevensbeschermingseffectbeoordeling | PIA momenten voor overdracht, de verspreiding van het virus, en de gevolgen daarvan voor de aantallen mensen die ziek worden, de huisarts consulteren, in het ziekenhuis worden opgenomen, op de intensive care terecht komen, en de aantallen die sterven ten gevolge van de ziekte. Voor elk van deze aspecten zijn indicatoren, één van die indicatoren zijn de gegevens omtrent het aantal mobiele telefoons in een gemeente in relatie tot de afgeleide herkomst van die mobiele telefoons. Het RIVM heeft er daarom belang bij dat de aanbieders de afgeleide herkomst vaststellen en de aan de hand daarvan verkregen totaalaantallen doorgeven aan het RIVM. Op basis van deze informatie kunnen GGD’en, veiligheidsregio’s en zorgaanbieders het signaal krijgen dat zij alert moeten zijn op een verhoogd risico op besmettingen als dat nodig is.

Techniek en methode van gegevensverwerking Beschrijf op welke wijze en met gebruikmaking van welke (technische) middelen en methoden de persoonsgegevens worden verwerkt. Benoem of sprake is van (semi-)geautomatiseerde besluitvorming, profilering of big data-verwerkingen en, zo ja, beschrijf waaruit een en ander bestaat. Het betreft de verwerking van verkeers- en locatiegegevens ten behoeve van de verstrekking van de informatie bedoeld in artikel 14.7, tweede lid, van de wet aan het RIVM. De door het RIVM verkregen informatie is naar het oordeel van het kabinet niet herleidbaar tot identificeerbare personen. Het RIVM zal de verwerking laten lopen via het Centraal Bureau van de Statistiek (CBS). Voor het geval er door nieuwe technische inzichten toch moet worden uitgegaan van een situatie waarin de informatie bedoeld in het tweede lid persoonsgegevens bevat, is met een tijdelijke en specifieke afwijking van art 18 van de Wet op het CBS mogelijk gemaakt dat het CBS als verwerker optreedt. Het CBS is reeds bekend met het verwerven en verwerken van persoonsgegevens en het analyseren daarvan. Uit de verkeersgegevens worden via algoritmen schattingen gemaakt van het aantal personen in een gebied per uur (tellingen). Het zijn zeer grote hoeveelheden data die verwerkt worden (big data), alleen de tellingen worden aan het CBS verstrekt, met een minimum van 15 per groep met dezelfde afgeleide herkomst, per uur, per gemeente. De resultaten van de analyse worden aan het RIVM verstrekt. Door gebruik te maken van patronen in tijd en ruimte van de verkeersgegevens kunnen extra kenmerken worden afgeleid met een zekere foutmarge. Er wordt geen gebruik gemaakt van geautomatiseerde besluitvorming. Het proces is voorzien van een reeks aan statistische beveiligingsmaatregelen ter voorkoming van onthulling van individuele personen. Ministerie EZK – DG B&I - Directie Digitale Economie 10 | 17 Gegevensbeschermingseffectbeoordeling | PIA

Bewaartermijnen Bepaal en motiveer de bewaartermijnen van de persoonsgegevens aan de hand van de verwerkingsdoeleinden. Het voorgenomen artikel 14.7 bepaalt dat de aanbieders de nieuwe persoonsgegevens (de afgeleide herkomst op basis van de antenne waar de afgelopen 30 dagen het vaakst verbinding is gemaakt) die zij genereren ter verkrijging van de informatie die moet worden verstrekt (de totaalaantallen), direct na verkrijging van de te verstrekken totaalaantallen moeten vernietigen. Hoewel het kabinet van oordeel is dat de informatie die aan het RIVM wordt verstrekt niet herleidbaar is, wordt wel bepaald dat het RIVM de informatie per aanbieder vernietigt zodra zij deze gecombineerd heeft met de informatie van de andere aanbieders, en de gecombineerde informatie vernietigt zodra deze niet meer nodig is voor de taak, en in ieder geval uiterlijk een jaar nadat de informatie is verstrekt en of zodra artikel 14.7 buiten werking treedt. Dat is een jaar na inwerkingtreding, met een verlengingsmogelijkheid van telkens 2 maanden, indien dat nodig is voor de beheersing of bestrijding van het virus. Ministerie EZK – DG B&I - Directie Digitale Economie 11 | 17 Gegevensbeschermingseffectbeoordeling | PIA B. Beoordeling rechtmatigheid gegevensverwerkingen Beoordeel aan de hand van de feiten zoals vastgesteld in onderdeel A of de voorgenomen gegevensverwerkingen rechtmatig zijn. Het gaat hier om de beoordeling van de juridische rechtsgrond, noodzaak en doelbinding van de gegevensverwerkingen. Beoordeel tevens de wijze waarop invulling wordt gegeven aan de rechten van de betrokkenen. Voor dit onderdeel van de PIA is in het bijzonder juridische expertise nodig.

Bijzondere persoonsgegevens Indien bijzondere of strafrechtelijke persoonsgegevens worden verwerkt, beoordeel of één van de wettelijke uitzonderingen op het verwerkingsverbod van toepassing is. Bij verwerking van een wettelijk identificatienummer beoordeel of dat is toegestaan. n.v.t. Ministerie EZK – DG B&I - Directie Digitale Economie 12 | 17 Gegevensbeschermingseffectbeoordeling | PIA

Doelbinding Indien de persoonsgegevens voor een ander doel worden verwerkt dan oorspronkelijk verzameld, beoordeel of deze verdere verwerking verenigbaar is met het doel waarvoor de persoonsgegevens oorspronkelijk zijn verzameld. De verdere verwerking berust op het voorgestelde artikel 14.7 Tw, en dus op een specifiek wettelijk voorschrift, dat een noodzakelijke en evenredige maatregel is in een democratische samenleving ter waarborging van de openbare veiligheid, als bedoeld in artikel 15 van richtlijn 2002/58/EG, te weten de bestrijding van een epidemie van een infectieziekte en andere doelstellingen genoemd in artikel 23, eerste lid, van de Algemene verordening gegevensbescherming, waaronder belangrijke doelstellingen van algemeen belang van de Unie of van een lidstaat, met inbegrip van volksgezondheid.

Noodzaak en evenredigheid Beoordeel of de voorgenomen gegevensverwerkingen noodzakelijk zijn voor het verwezenlijken van de verwerkingsdoeleinden. Ga hierbij in ieder geval in op proportionaliteit en subsidiariteit. a. Proportionaliteit: staat de inbreuk op de persoonlijke levenssfeer en de bescherming van de persoonsgegevens van de betrokkenen in evenredige verhouding tot de verwerkingsdoeleinden? b. Subsidiariteit: kunnen de verwerkingsdoeleinden in redelijkheid niet op een andere, voor de betrokkene minder nadelige wijze, worden verwezenlijkt?. a. Het monitoren van een epidemie geschiedt vanuit het publiek belang, om het aantal ziektegevallen beperkt te houden, en te voorkomen dat de zorg zo zwaar wordt belast dat het zorgsysteem ontwricht raakt. In de periode tussen een toename in het aantal risicocontacten in de bevolking, en dus een toename verspreiding van het virus, en het eerste moment dat deze toename wordt gedetecteerd kan het aantal infecties al meer dan vier keer zo groot worden. Daarna is het moeilijk om deze uitbraak weer in te dammen. Als het op grote schaal zou gebeuren, kan een uitbraak in deze periode al snel zo groot geworden dat de IC capaciteit in de ziekenhuizen wordt overschreden voordat de interventies werken. Om snel te kunnen weten of het aantal risicocontacten in de bevolking toeneemt zijn snelle en betrouwbare indicatoren nodig. De informatie over totaalaantallen per gemeente, per uur, van mobiele telefoons in die gemeente, uitgesplitst naar afgeleide herkomst, is één van die indicatoren. Op basis van deze informatie kunnen GGD’en, veiligheidsregio’s en zorgaanbieders van het RIVM het signaal krijgen dat zij alert moeten zijn op een verhoogd risico op besmettingen als dat nodig is. De informatie op uurbasis is nodig om de dynamiek van stromen groepen goed te kunnen zien. Een uur is voldoende fijnmazig om drukte als gevolg van bijvoorbeeld het reizen in de spits of een markt die een bepaalde tijd heeft plaatsgevonden te kunnen herkennen. Fijnmazigere informatie is niet nodig voor dit doel, andersom maken grotere tijdvlakken de informatie minder goed bruikbaar. De inbreuk op de persoonlijke levenssfeer en bescherming van persoonsgegevens wordt bovendien in vergaande mate beperkt door uitsluitend geaggregeerde (totaalaantallen per groep, per gemeente, per uur) gegevens te verstrekken aan het RIVM, met een drempelwaarde van 15 om te voorkomen dat onbedoeld inzicht wordt verkregen in gedrag van kleine groepen individuen. Ministerie EZK – DG B&I - Directie Digitale Economie 13 | 17 Gegevensbeschermingseffectbeoordeling | PIA b. Er zijn geen andere methoden om op een voor de betrokkenen minder nadelige wijze de noodzakelijke inzichten over veranderingen over het aantal mensen in gebieden te verkrijgen. Mobiliteitsinformatie is weliswaar ook beschikbaar via ov-gegevens of uit meetlussen, maar geeft een veel beperkter en onduidelijker beeld van de mobiliteit van populaties. Niet overal zijn meetlussen en lang niet alle mobiliteit vindt plaats met openbaar vervoer: voetgangers en fietsers komen in deze informatie bijvoorbeeld niet voor.

Rechten van de betrokkene Geef aan hoe invulling wo rdt gegeven aan de rechten van betrokkenen. Indien de rechten van de betrokkene worden beperkt, bepaal op grond van welke wettelijke uitzonderingen dat is toegestaan. De inbreuk op de persoonlijke levenssfeer en bescherming van persoonsgegevens is zeer beperkt omdat de gegevens over afgeleide herkomst alleen voor dit doel mogen worden gebruikt en direct na verkrijging van de totaalaantallen moet worden vernietigd. De informatie die aan het RIVM wordt verstrekt betreft uitsluitend niet-herleidbare statistische gegevens. Betrokkenen worden geïnformeerd over de verwerking van de verkeers- en locatiegegevens voor dit doel bij de bekendmaking van de wet in het Staatsblad. Voor zover het noodzakelijk is om de rechten van betrokkenen te beperken gebeurt dat op grond van artikel 41, eerste lid, onder c of e, van de Uitvoeringswet AVG. Ministerie EZK – DG B&I - Directie Digitale Economie 14 | 17 Gegevensbeschermingseffectbeoordeling | PIA C. Beschrijving en beoordeling risico’s voor de betrokkenen Beschrijf en beoordeel de risico’s van de voorgenomen gegevensverwerkingen voor de rechten en vrijheden van de betrokkenen. Houd hierbij rekening met de aard, omvang, context en doelen van de gegevensverwerking zoals in onderdeel A en B zijn beschreven en beoordeeld. Het gaat hierbij overigens niet om de risico’s van de verwerkingsverantwoordelijke zelf.

Risico’s Beschrijf en beoordeel de risico’s van de gegevensverwerkingen voor de rechten en vrijheden van betrokkenen. Ga hierbij in ieder geval in op: a. welke negatieve gevolgen de gegevensverwerkingen kunnen hebben voor de rechten en vrijheden van de betrokkenen; b. de oorsprong van deze gevolgen; c. de waarschijnlijkheid (kans) dat deze gevolgen zullen intreden; d. de ernst (impact) van deze gevolgen voor de betrokkenen wanneer deze intreden. Een risico zou kunnen bestaan uit het toch herleidbaar tot individuen kunnen zijn van de aan het RIVM verstrekte informatie en de informatie die het CBS ten behoeve van het RIVM heeft gecombineerd en bewerkt. In zo’n geval zou de informatie toch persoonsgegevens bevatten, die als gevolg van de verplichte verstrekking aan het RIVM en de r ol van het CBS bij het in ontvangst nemen en bewerken ervan, op meerdere plaatsen worden bewaard hetgeen beveiligingsrisico’s met zich mee kan brengen. De ontvangen en gecombineerde informatie moet dus goed beveiligd worden. Het RIVM kan informatie zelf in ieder geval niet herleidbaar maken tot individuen, want zij krijgt geen toegang tot de ruwe gegevens, die immers bij de telecommunicatieaanbieders blijven. Het CBS is door de doelbinding aan de taak van het RIVM gehouden, en mag deze informatie dus niet combineren met andere datasets behalve de demografische informatie om de gegevens representatiever te maken voor de taak van het RIVM. Het wordt zeer onwaarschijnlijk geacht, gelet op de kosten en tijd die dat vereist, dat iemand de informatie die aan het RIVM wordt verstrekt, herleidbaar kan maken. Daarnaast zou een risico kunnen bestaan dat het monitoren van actuele drukte van populaties wordt ervaren als een privacy-inbreuk voor een individu, al was het maar alleen het idee dat de drukte wordt gemonitord. Ministerie EZK – DG B&I - Directie Digitale Economie 15 |

Gegevensbeschermingseffectbeoordeling | PIA D. Beschrijving voorgenomen maatregelen In onderdeel D wordt bezien welke maatregelen kunnen worden getroffen om de in onderdeel C erkende risico’s te voorkomen of te verminderen. Welke maatregelen in redelijkheid worden getroffen is een belangenafweging van de wetgever of verwerkingsverantwoordelijke. Voor dit onderdeel van de PIA is, als het gaat om beveiligingsmaatregelen, expertise over informatiebeveiliging belangrijk. 17 Maatregelen Beoordeel welke technische, organisatorische en juridische maatregelen in redelijkheid kunnen worden getroffen om de hiervoor beschreven risico’s te voorkomen of te verminderen. Beschrijf welke maatregel welk risico aanpakt en wat het restrisico is na het uitvoeren van de maatregel. Indien de maatregel het risico niet volledig afdekt, motiveer waarom het restrisico acceptabel is. Het voorgestelde artikel 14.7 van de Telecommunicatiewet biedt enkele maatregelen om de risico’s te beperken: de locatie- en verkeersgegevens worden door de aanbieders vanuit het beginsel van dataminimalisatie (AVG) zo vroeg mogelijk in het proces gepseudonimiseerd , en het artikel schrijft voor dat zij de nieuw verkregen persoonsgegevens (afgeleide herkomst van de telefoon) direct vernietigen zodra de totaalaantallen ten behoeve van het RIVM zijn verkregen. Het RIVM vernietigt op grond van artikel 14.7 de van een aanbieder verkregen informatie zodra deze is gecombineerd met de informatie van andere aanbieders, en vernietigt de gecombineerde informatie zodra deze niet langer nodig is voor de taak bedoeld in artikel 6c van de Wpg en in ieder geval een jaar nadat de informatie is verstrekt. Een andere maatregel is dat zodra artikel 14.7 komt te vervallen er geen gegevens meer kunnen worden opgevraagd bij de aanbieders. Het CBS heeft ervaring met de beveiliging en zorgvuldige verwerking van dergelijke gegevens. De aan het RIVM en CBS verstrekte informatie is in redelijkheid niet herleidbaar tot individuen. Ministerie EZK – DG B&I - Directie Digitale Economie 16 | 17 Gegevensbeschermingseffectbeoordeling | PIA

Advies Functionaris voor Gegevensbescherming In het aangepaste wetsvoorstel is het advies van de AP verwerkt door onder meer art 14.7 een tijdelijke werking te geven en door in het artikel meer beperkende voorwaarden op te nemen voor verstrekking en verwerking van de informatie. Door deze beperkingen op te nemen in het wetsvoorstel en niet in de aanwijzingen komt dit ten goede aan de democratische legitimering van het voorstel en daarmee aan de bescherming van de privacy van de burgers. Een lastig punt blijft de herleidbaarheid van de gegevens, in de Toelichting bij het wetsvoorstel en in deze PIA wordt ervan uitgegaan dat de door het RIVM/CBS ontvangen gegevens redelijkerwijs niet meer te herleiden zijn tot geïdentificeerde of identificeerbare natuurlijke personen en daarmee anoniem. Goede maatregelen die zijn doorgevoerd om de herleidbaarheid ingrijpend te beperken zijn het niveau van aggregatie en de verplichtingen dat de providers en het RIVM/CBS onderliggende en gecombineerde gegevens conform art 14.7 lid 3 en lid 5 vernietigen. Desondanks blijft er een restrisico op herleidbaarheid. Dit restrisico wordt beperkt door zowel het vernietigen van de onderliggende en gecombineerde informatie op grond van art 14.7 lid 3 en lid 5 als het tijdelijke karakter van het wetsvoorstel dat, behoudens verlenging, vervalt na een jaar waarmee de bevoegdheid om gegevens op te vragen bij de aanbieders vervalt. Echter als geaggregeerde gegevens opnieuw worden gecombineerd met andere datasets neemt het risico op herleidbaarheid toe. Uit de PIA blijkt dat het RIVM de informatie alleen gebruikt om GGDen, veiligheidsregio’s en zorgaanbieders een signaal te kunnen geven om alert te zijn op een verhoogd risico en om het effect van de maatregelen te kunnen monitoren. Het is ook niet de bedoeling om de informatie te combineren met andere datasets of om deze openbaar te maken. De enige openbare informatie bestaat uit abstracte indicatoren in het dashboard van VWS zoals bijvoorbeeld over de verplaatsing op nationaal niveau. Nu het gebruik van de gegevens door het RIVM veel beperkter is dan de ruimte die art 6c Wpg aan het RIVM biedt is het advies om dit ook in het wetsvoorstel en de toelichting nader te verduidelijken. Gezien de uitzonderlijke situatie waarvoor art 14.7 tot stand is gekomen is het advies om in de memorie van toelichting op te nemen dat de effectiviteit (nut en noodzaak) van het artikel wordt geëvalueerd. Ministerie EZK – DG B&I - Directie Digitale Economie 17 | 17 Gegevensbeschermingseffectbeoordeling | PIA