Datum

8 oktober 2020

Auteur

Jasper Spanbroek

Versie

1.0

KPN inbreng hoorzitting Tijdelijke wet informatieverstrekking RIVM i.v.m. COVID-19
Als het RIVM, het kabinet en het parlement tot de conclusie komen dat telecomlocatiegegevens nodig zijn
voor een effectieve bestrijding van het COVID-19 virus dan heeft KPN de volgende aandachtspunten:
-

-

De bescherming van de privacy van onze klanten is voor KPN van zeer groot belang. De gevraagde
berekening zal KPN dan ook alleen maken om te voldoen aan deze wet. De betreffende gegevens
zullen voor geen enkel ander doeleinde gebruikt worden of anderszins beschikbaar worden gemaakt.
De voorgestelde wettekst en de tweede nota van wijziging bevestigen dat de in artikel 14.7 lid 2
gevraagde ‘afgeleide herkomst’ berekening door telecomproviders moeten worden gemaakt. Er
worden dus geen bronbestanden gedeeld met het CBS. Alleen zo kan KPN waarborgen dat
privacygevoelige informatie niet onnodig wordt verstrekt of gedeeld.
In de tweede nota van wijziging wordt verduidelijkt dat voor de gevraagde berekening alleen gebruikt
gemaakt mag worden van gegevens als een telefoon actief verbinding maakt met het netwerk. In de
begeleidende brief wordt terecht aangegeven dat het dus uitsluitend gaat om gegevens die providers
nu ook bewaren voor doeleinden genoemd in artikel 11.5 van de telecommunicatiewet (facturering).
Door deze dataminimalisatie komt privacy van klanten zo min mogelijk in het geding en is het voor
klanten duidelijk welke data als bron worden gebruikt voor de berekening die geleverd zal moeten
worden aan het CBS.

Inleiding
Voor KPN is de privacy van onze klanten van het grootste belang. Het vertrouwen dat onze klanten hebben in
onze dienst, het veilig en vertrouwelijk overbrengen van communicatie, staat aan de basis van ons
bestaansrecht. KPN heeft sinds het uitbreken van het COVID-virus aangegeven graag te helpen bij de
bestrijding hiervan. Dit hebben we onder meer gedaan door onze klanten te voorzien van extra connectiviteit
waar dat nodig was toen heel Nederland thuis kwam te werken. Ook hebben we leerlingen die thuis geen
internet hadden voorzien van connectiviteit zodat ze online lessen kunnen volgen. Binnen de kaders van de
Algemene Verordening Gegevensbescherming (hierna: AVG) en de sectorspecifieke regels in de
Telecommunicatiewet (hierna: Tw) zijn we ook bereid locatiedata te delen mocht dit noodzakelijk worden
geacht voor de bestrijding van het COVID-virus. Daarbij moet de privacy van onze klanten uiteraard worden
gewaarborgd.
De centrale vraag die moet worden beantwoord is of de inzet van telecomlocatiegegevens voldoende
bijdraagt aan de bestrijding van het COVID-virus om de voorgestelde wetswijziging door te voeren en de extra
bewerking die wordt gevraagd te maken. Dat oordeel is aan uw Kamer.
De Autoriteit Persoonsgegevens (hierna: AP) heeft aangegeven dat telecomlocatiegegevens die voor de
bestrijding worden gevraagd niet als anoniem kunnen worden gezien en daarom binnen de huidige kaders
van de wet niet mogen worden gedeeld.1 Als het RIVM, het kabinet en het parlement tot de conclusie komen
dat telecomlocatiegegevens nodig zijn voor een effectieve bestrijding van dit virus dan biedt het wetsvoorstel
dat nu voorlicht, inclusief de tweede nota van wijziging, voldoende waarborgen om de inbreuk op de privacy
van onze klanten tot een minimum te beperken.

Praktijk en privacy
Zowel voor de bescherming van de privacy als voor de praktische uitwerking van de voorgestelde wet is het
belangrijk dat de gevraagde locatiegegevens aansluiten bij data die telecomproviders ook nu al bewaren in
het kader van hun dienstverlening. Er hoeven dan immers geen nieuwe gegevens te worden verzameld. In
het kader van de normale bedrijfsvoering creëert KPN gegevens om geleverde diensten te kunnen factureren,
ook wel aangeduid als de factureringsdatabase.2 KPN slaat deze gegevens een aantal maanden op om te
kunnen factureren en voor de afhandeling van facturatieklachten. Deze verwerking is ook beschreven in ons
privacy statement, en onze klanten weten daarvan.
1

https://autoriteitpersoonsgegevens.nl/nl/nieuws/ap-beoordeelt-tijdelijke-wet-telecomdata-op-waarborgen-privacy

2 De technische term voor deze gegevens is Call Detail Records (CDRs). In de Telecommunicatiewet wordt gesproken

over ‘verkeersgegevens’. Deze CDRs worden alleen gecreëerd bij bellen, sms of bij gebruik van data als een bepaalde
hoeveelheid data wordt bereikt. Het verversen van appjes op de achtergrond, als het eindapparaat niet actief wordt
gebruikt, wordt hier niet in opgeslagen.
1

Datum

8 oktober 2020

Auteur

Jasper Spanbroek

Versie

1.0

In de eerste nota van wijziging (25 juni 2020) staat terecht dat wanneer een telefoon in een bepaald uur niet
actief contact heeft gemaakt met het netwerk er voor dat uur geen factureringsgegevens worden
geregistreerd. Op grond van het huidige voorstel zullen wij die gegevens dus ook niet alsnog gaan
verzamelen.
Het wetsvoorstel verlangt dat KPN vervolgens uit de factureringsgegevens een ‘afgeleide herkomst’
berekent.3 Dat doen we nu uiteraard niet - dit wordt na inwerkingtreding van de wet een nieuwe bewerking. De
basis waarop deze nieuwe bewerking plaatsvindt, gegevens uit de factureringsdatabase, is echter niet nieuw.
De tweede nota van wijziging (2 oktober 2020) geeft in het nieuwe lid 7 (artikel 14.7 lid 7) aan dat de
aanbieder de berekening van de afgeleide herkomst direct na het delen van deze berekening met het CBS
moet verwijderen. Dat draagt naar onze mening bij aan de bescherming van de privacy van onze klanten. Het
lijkt ons onwaarschijnlijk dat gegevens die aan het CBS zijn verstrekt nog kunnen worden herleid tot
individuele gebruikers. Overigens geeft KPN in haar privacy statement ook al aan gegevens van onze klanten
niet te verkopen.4

Wettelijk kader
Telecomproviders vallen naast de AVG ook onder de striktere e-Privacyrichtlijn die is geïmplementeerd in de
Tw. Toepassingen als Google Maps of Facebook movements trends vallen alleen onder de AVG en
locatiegegevens van die diensten hebben daarom louter een verwerkingsgrondslag nodig onder de AVG,
zoals bijvoorbeeld een gerechtvaardigd belang. Hierdoor is de verwerking van dergelijke gegevens juridisch
sneller toegestaan dan het gebruik van telecomlocatiegegevens, die extra zijn gereguleerd onder de Tw. Voor
telecomdata is in artikel 11.5 Tw als hoofdregel neergelegd dat alleen anonieme gegevens zonder nadere
grondslag mogen worden verwerkt en gedeeld met derden. De AP oordeelt op basis van Opinion 05/2014 on
Anonymisation Techniques 5 dat telecomdata niet anoniem zijn zolang er een bronbestand is, waardoor er
altijd de mogelijkheid van (indirecte) herleidbaarheid bestaat. Telecomlocatiedata kunnen door de specificatie
in de Tw en de uitleg van de AP dus alleen anoniem worden gedeeld als bronbestanden worden verwijderd.
Aangezien bij KPN het bronbestand enige maanden bewaard moet blijven voor facturering en navraag c.q.
klachten daarover mogen de daarvan afgeleide gegevens op grond van de thans geldende wetgeving
gedurende die tijd dus niet worden gedeeld. Ook is er in de huidige Tw geen grondslag om locatiegegevens te
verwerken tot een afgeleide herkomst van een telefoon.6 Mochten telecomlocatiegegevens nodig worden
geacht in het tegengaan van de verspreiding van het COVID-virus, dan moet daarvoor dus een nieuwe
wettelijke basis worden gecreëerd – hetgeen met het huidige wetsvoorstel gebeurd.
KPN is ermee bekend dat toezichthouders in andere Europese landen geen bezwaar hebben gemaakt tegen
het delen van geaggregeerde gegevens en dat meerdere providers in het buitenland gegevens met de
Europese Commissie delen. KPN kan echter niet anders dan de interpretatie van de Nederlandse
toezichthouder volgen.

Conclusie
Indien uw Kamer concludeert dat telecomlocatiegegevens nodig zijn in de bestrijding van het COVID-virus
dan zal KPN daar op grond van het nu voorliggende voorstel voor wet (inclusief de tweede nota van wijziging)
aan mee kunnen werken. Deze nieuwe wettelijke basis is daarvoor echter ook echt nodig – de huidige
wettelijke regeling is – indachtig de interpretatie van het AP – ontoereikend. In de tweede nota van wijziging is
verduidelijkt dat louter gebruik wordt gemaakt van gegevens uit de factureringsdatabase. Hierdoor wordt de
impact op de privacy van onze klanten tot een minimum beperkt.

3

Tijdelijke wet informatieverstrekking RIVM i.v.m. COVID-19, Artikel 14.7 lid 2.

4 www.kpn.com/privacy
5 ARTICLE 29 DATA PROTECTION WORKING PARTY, Opinion 05/2014 on Anonymisation Techniques, 0829/14/EN

WP216.
6 In de voorliggende wettekst wordt dit aangemerkt met de term ‘mobiel eindapparaat’.
2