Gegevensbeschermingseffectbeoordeling (PIA)

Ministerie EZK – DG B&I
Directie Digitale Economie
Den Haag, 25 mei 2020

Ministerie EZK – DG B&I - Directie Digitale Economie

Vaststelling verwerkersverantwoordelijke: Selecteer/typ datum
Naam: Typ naam/functie
Advies functionaris voor gegevensbescherming: Selecteer/typ datum
Naam: Typ naam/functie
Advies CIO: Selecteer/typ datum
Naam: Typ naam/functie

2 | 17

Gegevensbeschermingseffectbeoordeling | PIA

Ministerie EZK – DG B&I - Directie Digitale Economie

Gegevensbeschermingseffectbeoordeling (PIA)

Ministerie EZK – DG B&I
Directie Digitale Economie

Contact:
Ministerie EZK, DGB&I, Directie DE
xxx
xxx
xxx
x
x
x
x
Versie: 1.0 December 2017

3 | 17

Gegevensbeschermingseffectbeoordeling | PIA

Ministerie EZK – DG B&I - Directie Digitale Economie

Inhoudsopgave
Inleiding .............................................................................................................................. 5
A. Beschrijving kenmerken gegevensverwerkingen ................................................................... 6
1.

Voorstel .............................................................................................................. 6

2.

Persoonsgegevens ................................................................................................ 6

3.

Gegevensverwerkingen ......................................................................................... 6

4.

Verwerkingsdoeleinden ......................................................................................... 7

5.

Betrokken partijen ................................................................................................ 8

6.

Belangen bij de gegevensverwerking

7.

Verwerkingslocaties .............................................................................................. 9

8.

Techniek en methode van gegevensverwerking ........................................................ 9

9.

Juridisch en beleidsmatig kader ............................................................................ 10

10.

Bewaartermijnen ................................................................................................ 10

..................................................................... 8

B. Beoordeling rechtmatigheid gegevensverwerkingen............................................................. 11
11.

Rechtsgrond ...................................................................................................... 11

12.

Bijzondere persoonsgegevens .............................................................................. 11

13.

Doelbinding ....................................................................................................... 12

14.

Noodzaak en evenredigheid ................................................................................. 12

15.

Rechten van de betrokkene ................................................................................. 13

C. Beschrijving en beoordeling risico’s voor de betrokkenen ..................................................... 14
16.

Risico’s .............................................................................................................. 14

D. Beschrijving voorgenomen maatregelen ............................................................................ 15
17.

4 | 17

Maatregelen ....................................................................................................... 15

Gegevensbeschermingseffectbeoordeling | PIA

Ministerie EZK – DG B&I - Directie Digitale Economie

Inleiding
Het Rijksinstituut voor volksgezondheid en milieu (RIVM) van het Ministerie van Volksgezondheid,
Welzijn en Sport heeft tot taak om namens de minister van VWS werkzaamheden te verrichten bij
de bestrijding van infectieziekten. Voor een goede uitvoering van die taak bij de bestrijding van het
novel coronavirus (ook wel COVID19) heeft het RIVM informatie nodig over de bewegingen en
verplaatsingen van de Nederlandse bevolking. Deze informatie kan worden afgeleid uit de verkeersen locatiegegevens die aanbieders van openbare telecommunicatienetwerken in het kader van hun
dienstverlening verwerken. Het wetsvoorstel tot wijziging van de Telecommunicatiewet (Tw) waar
deze PIA betrekking op heeft, creëert de tijdelijke grondslag voor de minister van EZK, in
overeenstemming met de minister van VWS, om bij de bestrijding van de epidemie van het novel
coronavirus aanbieders van openbare mobiele telecommunicatienetwerken te verplichten de in de
wet beschreven informatie te verstrekken aan het RIVM ten behoeve van de taak op grond van
artikel 6c van de Wet publieke gezondheid (Wpg).

5 | 17

Gegevensbeschermingseffectbeoordeling | PIA

Ministerie EZK – DG B&I - Directie Digitale Economie

A. Beschrijving kenmerken
gegevensverwerkingen
Beschrijf op gestructureerde wijze de voorgenomen gegevensverwerkingen, de
verwerkingsdoeleinden en de belangen bij de gegevensverwerkingen.
Onder A wordt de eerste stap beschreven van de PIA: een overzicht van de relevante feiten van de
voorgenomen gegevensverwerkingen. Als de feiten onduidelijk zijn, werkt dit door in de
beoordeling.

1. Voorstel
Beschrijf het voorstel waar de gegevensbeschermingseffectbeoordeling op ziet en
context waarbinnen deze plaatsvindt op hoofdlijnen.
De voorgestelde wijziging van de Telecommunicatiewet creëert de tijdelijke grondslag voor de
Minister van Economische Zaken en Klimaat om, in overeenstemming met de Minister van
Volksgezondheid, Welzijn en Sport, bij de bestrijding van de epidemie van het novel coronavirus
aanbieders van openbare mobiele telecommunicatienetwerken te verplichten de in de wet
opgesomde informatie te verstrekken aan het RIVM ten behoeve van de taak op grond van artikel
6c van de Wpg.

2. Persoonsgegevens
Som alle categorieën van persoonsgegevens op die worden verwerkt. Geef per categorie
van persoonsgegevens tevens aan op wie die betrekking hebben. Deel deze
persoonsgegevens in onder de typen: gewoon, bijzonder, strafrechtelijk en wettelijk
identificerend.
De informatie die aanbieders van openbare mobiele telecommunicatienetwerken moeten
verstrekken op grond van het voorgestelde artikel 14.7 wordt door hen afgeleid uit de locatie- en
verkeersgegevens van hun eindgebruikers. Locatie- en verkeersgegevens zijn ‘gewone
persoonsgegevens’ die betrekking hebben op de abonnees en eindgebruikers van aanbieders van
openbare telecommunicatienetwerken en -diensten.

3. Gegevensverwerkingen
Geef alle voorgenomen gegevensverwerkingen weer.
De door de aanbieder van openbare mobiele telecommunicatienetwerken in het kader van hun
dienstverlening gegenereerde locatie- en verkeersgegevens moeten volgens het voorgestelde
artikel 14.7 door de aanbieders worden verwerkt om te komen tot een telling, per uur, per
gemeente, van het totaal aantal mobiele telefoons dat daar aanwezig is, verdeeld naar de
afgeleide herkomst. Deze afgeleide herkomst van de mobiele telefoon wordt door de aanbieders
bepaald aan de hand van de gemeente waar de telefoon gemiddeld over de afgelopen 30 dagen

6 | 17

Gegevensbeschermingseffectbeoordeling | PIA

Ministerie EZK – DG B&I - Directie Digitale Economie

het grootste deel van de tijd verbinding heeft gemaakt met het openbare mobiele
telecommunicatienetwerk. De herkomst van telefoons uit het buitenland wordt ingedeeld in 9
categorieën voor de meest voorkomende landen en werelddelen en kan worden afgeleid uit de
mobiele landencode (de drie eerste cijfers) uit het IMSI-nummer. Het wetsvoorstel schrijft voor
dat de nieuwe persoonsgegevens die worden gegenereerd door de afgeleide herkomst van elk
apparaat te bepalen, direct moeten worden vernietigd zodra de totalen per gemeente, per uur,
per groep met dezelfde afgeleide herkomst, zoals die aan het RIVM moeten worden verstrekt,
zijn verkregen. Bij de verstrekking aan het RIVM wordt een minimum gehanteerd van 15 per
groep, per uur en per gemeente als extra waarborg om individuele herleiding te voorkomen.
Hierdoor zijn deze gegevens naar het oordeel van het kabinet statistische gegevens die niet
herleidbaar zijn tot identificeerbare natuurlijke personen.
Het CBS neemt de informatie van de aanbieder namens het RIVM in ontvangst, combineert deze
met de informatie van de andere aanbieders, en bewerkt de informatie ten behoeve van en op
instructie van het RIVM. Omdat het hier naar het oordeel van het kabinet niet-herleidbare
gegevens betreft, is deze bewerking door het CBS geen gegevensverwerking in de zin van de
AVG.

4. Verwerkingsdoeleinden
Beschrijf de doeleinden van de voorgenomen gegevensverwerkingen.
De voorgenomen gegevensverwerkingen hebben tot doel de voornoemde informatie te
verstrekken aan het RIVM, die deze informatie gebruikt ter ondersteuning van de uitoefening van
de wettelijke taak van het RIVM op grond van artikel 6c, eerste lid, van de Wet publieke
gezondheid, om namens de minister van VWS werkzaamheden te verrichten bij de bestrijding
van het novel coronavirus. Voor het monitoren van de epidemie is het belangrijk inzicht te
hebben in de mate van drukte in een plaats (gemeente) en bijdrage aan deze drukte door
mensen uit andere gemeenten. Met deze gegevens wordt een beeld verkregen van
risicocontacten op populatieniveau, en niet op individueel niveau, om GGD’en te waarschuwen en
te adviseren over handelingsperspectief voor landelijk en lokaal bestuur. Doel is dus om 1)
regionale signalen af te kunnen geven en 2) de effecten van maatregelen te kunnen monitoren.
Dit betreft bijvoorbeeld de vraag of een advies/maatregel die alleen in de spits geldt, wordt
opgevolgd door de bevolking. Zo niet dan moet wellicht de maatregel worden bijgesteld.
Bij regionaal maatwerk gaat het om twee soorten acties. De eerste en belangrijkste soort van
acties zijn signalen af te geven aan GGD’en. De GGD’en vormen de regionale organisatie voor
infectieziektebestrijding en de gemeenten de lokale autoriteit om deze signalen om te zetten tot
maatregelen op lokaal niveau. Als er bijvoorbeeld in een regio zoals Noord-Brabant meer COVID19 voorkomt dan in de rest van Nederland, en in enkele gemeenten, zoals Breda en Tilburg veel
mensen op hetzelfde tijdstip in het weekend naar elkaars gemeente reizen, zouden GGD-en
West-Brabant en Hart voor Brabant met de gemeenten kunnen besluiten om bezoek te
ontmoedigen.
Een tweede soort van acties bestaat uit het verwerken van de tellingen tot een ranglijst van
gemeenten naar risico om de infectie, indien deze voorkomt in de gemeente, te verspreiden naar
andere gemeenten. Dit kan voor GGD’en reden zijn om bij schaarse menskracht en middelen
deze bij voorrang in te zetten in een gemeente en daarna in een andere. Het zou bijvoorbeeld
mogelijk zijn dat op basis van de tellingen blijkt dat de gemeente Amsterdam meer bezoekers
met verschillende herkomst heeft, en dus een hoger risico op verdere verspreiding heeft, dan de
gemeente Amstelveen. Dit zou de GGD Amsterdam kunnen gebruiken om intern te prioriteren en
eerst clusters van infecties in de gemeente Amsterdam op te sporen en daarna pas de clusters

7 | 17

Gegevensbeschermingseffectbeoordeling | PIA

Ministerie EZK – DG B&I - Directie Digitale Economie

van infecties in de gemeente Amstelveen.
De informatie wordt alleen door het RIVM zelf gebruikt om signalen af te geven aan GGD’en,
veiligheidsregio’s en zorgaanbieders, de informatie wordt zelf niet openbaargemaakt. De
informatie wordt niet in het ‘dashboard’ opgenomen. In het dashboard worden diverse gegevens
overzichtelijk bijeengebracht die nu al in diverse rapportages vanuit bijvoorbeeld het RIVM te
vinden zijn, met het doel beleidsbeslissingen op nationaal, regionaal en lokaal niveau te sturen.
In de voorlopige plannen staan verplaatsingsgegevens genoemd als indicator op nationaal
niveau. De waarschijnlijke invulling hiervan is dat uitsluitend het landelijk percentage mensen dat
in de eigen gemeente verblijft, met een afwijking ten opzichte van het gemiddelde voor de
invoering van maatregelen, via het dashboard openbaar wordt gemaakt.

5. Betrokken partijen
Benoem welke organisaties betrokken zijn bij welke gegevensverwerkingen. Deel deze
organisaties per gegevensverwerking in onder de rollen: verwerkingsverantwoordelijke,
verwerker, verstrekker en ontvanger. Benoem tevens welke functionarissen binnen deze
organisaties toegang krijgen tot welke persoonsgegevens.
Verstrekker van niet-herleidbare informatie: aanbieders van openbare mobiele
telecommunicatienetwerken
Verwerker van persoonsgegevens: eventuele door de aanbieders in te schakelen verwerker
Verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens: aanbieders van
openbare mobiele telecommunicatienetwerken
Ontvanger van niet-herleidbare informatie: RIVM
N.B. Voor zover uit artikel 18 van de Wet op het Centraal bureau voor de statistiek, waarin onder
meer is opgenomen dat de directeur-generaal van het CBS de methoden bepaalt waarmee de in
de werk- en meerjarenprogramma's opgenomen onderzoeken worden uitgevoerd, voortvloeit dat
het CBS geen instructies kan opvolgen, is in het vierde lid expliciet bepaald dat in afwijking van
genoemd artikel 18 het CBS dat in dit specifieke geval wel kan. Hoewel wordt uitgegaan van
statistische informatie die niet herleidbaar is tot identificeerbare natuurlijke personen, kan in het
geval dit toch nodig blijkt, onder ‘instructies’ ook worden verstaan de verwerkersovereenkomst
die in dat geval met RIVM als verwerkingsverantwoordelijke zou moeten worden gesloten.

6. Belangen bij de gegevensverwerking
Beschrijf alle belangen die de verwerkingsverantwoordelijke en anderen hebben bij de
voorgenomen gegevensverwerkingen.
De aanbieders van telecommunicatienetwerken en -diensten
Aanbieders die op grond van het voorgestelde artikel 14.7 verplicht worden verkeers- en
locatiegegevens te verwerken ten behoeve van het kunnen verstrekken van de informatie
(totaalaantallen) aan het RIVM hebben daar zelf geen belang bij, mede gelet op het feit dat zij de
nieuw verkregen persoonsgegevens (afgeleide herkomst) ten behoeve van het kunnen verstrekken
van de totaalaantallen direct na verkrijging van de totaalaantallen moeten vernietigen.
Het RIVM
Een doelstelling van het Nederlandse bestrijdingsbeleid van COVID19 is het maximaal controleren
van de verspreiding van het virus. Dat vereist een goed zicht op de gehele epidemie: de mogelijke

8 | 17

Gegevensbeschermingseffectbeoordeling | PIA

Ministerie EZK – DG B&I - Directie Digitale Economie

momenten voor overdracht, de verspreiding van het virus, en de gevolgen daarvan voor de
aantallen mensen die ziek worden, de huisarts consulteren, in het ziekenhuis worden opgenomen,
op de intensive care terecht komen, en de aantallen die sterven ten gevolge van de ziekte. Voor elk
van deze aspecten zijn indicatoren, één van die indicatoren zijn de gegevens omtrent het aantal
mobiele telefoons in een gemeente in relatie tot de afgeleide herkomst van die mobiele telefoons.
Het RIVM heeft er daarom belang bij dat de aanbieders de afgeleide herkomst vaststellen en de aan
de hand daarvan verkregen totaalaantallen doorgeven aan het RIVM. Op basis van deze informatie
kunnen GGD’en, veiligheidsregio’s en zorgaanbieders het signaal krijgen dat zij alert moeten zijn op
een verhoogd risico op besmettingen als dat nodig is.

7. Verwerkingslocaties
Benoem in welke landen de voorgenomen gegevensverwerkingen plaatsvinden.
Nederland

8. Techniek en methode van gegevensverwerking
Beschrijf op welke wijze en met gebruikmaking van welke (technische) middelen en
methoden de persoonsgegevens worden verwerkt. Benoem of sprake is van
(semi-)geautomatiseerde besluitvorming, profilering of big data-verwerkingen en, zo ja,
beschrijf waaruit een en ander bestaat.
Het betreft de verwerking van verkeers- en locatiegegevens ten behoeve van de verstrekking van
de informatie bedoeld in artikel 14.7, tweede lid, van de wet aan het RIVM.
De door het RIVM verkregen informatie is naar het oordeel van het kabinet niet herleidbaar tot
identificeerbare personen. Het RIVM zal de verwerking laten lopen via het Centraal Bureau van de
Statistiek (CBS). Voor het geval er door nieuwe technische inzichten toch moet worden uitgegaan
van een situatie waarin de informatie bedoeld in het tweede lid persoonsgegevens bevat, is met
een tijdelijke en specifieke afwijking van art 18 van de Wet op het CBS mogelijk gemaakt dat het
CBS als verwerker optreedt. Het CBS is reeds bekend met het verwerven en verwerken van
persoonsgegevens en het analyseren daarvan. Uit de verkeersgegevens worden via algoritmen
schattingen gemaakt van het aantal personen in een gebied per uur (tellingen). Het zijn zeer
grote hoeveelheden data die verwerkt worden (big data), alleen de tellingen worden aan het CBS
verstrekt, met een minimum van 15 per groep met dezelfde afgeleide herkomst, per uur, per
gemeente. De resultaten van de analyse worden aan het RIVM verstrekt. Door gebruik te maken
van patronen in tijd en ruimte van de verkeersgegevens kunnen extra kenmerken worden
afgeleid met een zekere foutmarge. Er wordt geen gebruik gemaakt van geautomatiseerde
besluitvorming. Het proces is voorzien van een reeks aan statistische beveiligingsmaatregelen ter
voorkoming van onthulling van individuele personen.

9 | 17

Gegevensbeschermingseffectbeoordeling | PIA

Ministerie EZK – DG B&I - Directie Digitale Economie

9. Juridisch en beleidsmatig kader
Benoem de wet- en regelgeving, met uitzondering van de AVG en de Richtlijn, en het
beleid met mogelijke gevolgen voor de gegevensverwerkingen.
Artikel 11.5 en 11.5a van de Telecommunicatiewet bieden momenteel geen grondslag voor de
verwerking van locatie- en verkeersgegevens ten behoeve van het verstrekken van informatie
aan het RIVM. Ook artikel 11.13 van de Telecommunicatiewet, die de mogelijkheid biedt om
artikelen 11.5 en 11.5a buiten toepassing te laten, geeft die mogelijkheid niet voor dit doel.
Artikel 15 van richtlijn 2002/58/EG biedt echter wel de ruimte om deze bepalingen ook buiten
toepassing te laten ter waarborging van de openbare veiligheid, daaronder begrepen de
bestrijding van de epidemie van een infectieziekte, en andere doelstellingen genoemd in artikel
23, eerste lid, van de Algemene verordening gegevensbescherming, waaronder belangrijke
doelstellingen van algemeen belang van de Unie of van een lidstaat, met inbegrip van
volksgezondheid.

10.Bewaartermijnen
Bepaal en motiveer de bewaartermijnen van de persoonsgegevens aan de hand van de
verwerkingsdoeleinden.
Het voorgenomen artikel 14.7 bepaalt dat de aanbieders de nieuwe persoonsgegevens (de
afgeleide herkomst op basis van de antenne waar de afgelopen 30 dagen het vaakst verbinding is
gemaakt) die zij genereren ter verkrijging van de informatie die moet worden verstrekt (de
totaalaantallen), direct na verkrijging van de te verstrekken totaalaantallen moeten vernietigen.
Hoewel het kabinet van oordeel is dat de informatie die aan het RIVM wordt verstrekt niet
herleidbaar is, wordt wel bepaald dat het RIVM de informatie per aanbieder vernietigt zodra zij
deze gecombineerd heeft met de informatie van de andere aanbieders, en de gecombineerde
informatie vernietigt zodra deze niet meer nodig is voor de taak, en in ieder geval uiterlijk een
jaar nadat de informatie is verstrekt en of zodra artikel 14.7 buiten werking treedt. Dat is een
jaar na inwerkingtreding, met een verlengingsmogelijkheid van telkens 2 maanden, indien dat
nodig is voor de beheersing of bestrijding van het virus.

10 | 17

Gegevensbeschermingseffectbeoordeling | PIA

Ministerie EZK – DG B&I - Directie Digitale Economie

B. Beoordeling rechtmatigheid
gegevensverwerkingen
Beoordeel aan de hand van de feiten zoals vastgesteld in onderdeel A of de voorgenomen
gegevensverwerkingen rechtmatig zijn. Het gaat hier om de beoordeling van de juridische
rechtsgrond, noodzaak en doelbinding van de gegevensverwerkingen. Beoordeel tevens de wijze
waarop invulling wordt gegeven aan de rechten van de betrokkenen. Voor dit onderdeel van de PIA
is in het bijzonder juridische expertise nodig.

11.Rechtsgrond
Bepaal op welke rechtsgronden de gegevensverwerkingen worden gebaseerd.
Met het voorgestelde artikel 14.7 van de Telecommunicatiewet wordt een tijdelijke bevoegdheid
gecreëerd voor de Minister van Economische Zaken en Klimaat in overeenstemming met de
Minister van Volksgezondheid, Welzijn en Sport om bij de bestrijding van de epidemie van het
novel coronavirus aanbieders van openbare mobiele telecommunicatienetwerken te verplichten
de informatie die in de wet wordt opgesomd te verstrekken aan het RIVM ten behoeve van de
taak op grond van artikel 6c van de Wpg.
De verwerking is voor de aanbieders noodzakelijk om te voldoen aan hun wettelijke verplichting
op grond van het voorgestelde artikel 14.7 Tw om de informatie te verstrekken aan het RIVM.
Artikel 14.7 in combinatie met de aanwijzing biedt voor de aanbieders dan ook een tijdelijke
rechtsgrond voor de gegevensverwerking die nodig is om aan de opgelegde verplichting te
kunnen voldoen.
De achtergrond voor deze tijdelijke bevoegdheid is dat de door de aanbieders te verstrekken
informatie voor het RIVM noodzakelijk is voor de vervulling van een taak van algemeen belang,
tevens een wettelijke taak (artikel 6c Wet publieke gezondheid), om de verspreiding van het
virus maximaal te controleren. Het monitoren van een epidemie is vanuit een publiek belang, om
het aantal ziektegevallen beperkt te houden, en te voorkomen dat de zorg zo zwaar wordt belast
dat het zorgsysteem ontwricht raakt.

12.Bijzondere persoonsgegevens
Indien bijzondere of strafrechtelijke persoonsgegevens worden verwerkt, beoordeel of
één van de wettelijke uitzonderingen op het verwerkingsverbod van toepassing is. Bij
verwerking van een wettelijk identificatienummer beoordeel of dat is toegestaan.
n.v.t.

11 | 17

Gegevensbeschermingseffectbeoordeling | PIA

Ministerie EZK – DG B&I - Directie Digitale Economie

13.Doelbinding
Indien de persoonsgegevens voor een ander doel worden verwerkt dan oorspronkelijk
verzameld, beoordeel of deze verdere verwerking verenigbaar is met het doel waarvoor
de persoonsgegevens oorspronkelijk zijn verzameld.
De verdere verwerking berust op het voorgestelde artikel 14.7 Tw, en dus op een specifiek
wettelijk voorschrift, dat een noodzakelijke en evenredige maatregel is in een democratische
samenleving ter waarborging van de openbare veiligheid, als bedoeld in artikel 15 van richtlijn
2002/58/EG, te weten de bestrijding van een epidemie van een infectieziekte en andere
doelstellingen genoemd in artikel 23, eerste lid, van de Algemene verordening
gegevensbescherming, waaronder belangrijke doelstellingen van algemeen belang van de Unie of
van een lidstaat, met inbegrip van volksgezondheid.

14.Noodzaak en evenredigheid
Beoordeel of de voorgenomen gegevensverwerkingen noodzakelijk zijn voor het
verwezenlijken van de verwerkingsdoeleinden. Ga hierbij in ieder geval in op
proportionaliteit en subsidiariteit.
a. Proportionaliteit: staat de inbreuk op de persoonlijke levenssfeer en de bescherming
van de persoonsgegevens van de betrokkenen in evenredige verhouding tot de
verwerkingsdoeleinden?
b. Subsidiariteit: kunnen de verwerkingsdoeleinden in redelijkheid niet op een andere,
voor de betrokkene minder nadelige wijze, worden verwezenlijkt?.
a.

12 | 17

Het monitoren van een epidemie geschiedt vanuit het publiek belang, om het aantal
ziektegevallen beperkt te houden, en te voorkomen dat de zorg zo zwaar wordt belast dat
het zorgsysteem ontwricht raakt.
In de periode tussen een toename in het aantal risicocontacten in de bevolking, en dus een
toename verspreiding van het virus, en het eerste moment dat deze toename wordt
gedetecteerd kan het aantal infecties al meer dan vier keer zo groot worden. Daarna is het
moeilijk om deze uitbraak weer in te dammen. Als het op grote schaal zou gebeuren, kan
een uitbraak in deze periode al snel zo groot geworden dat de IC capaciteit in de
ziekenhuizen wordt overschreden voordat de interventies werken. Om snel te kunnen weten
of het aantal risicocontacten in de bevolking toeneemt zijn snelle en betrouwbare indicatoren
nodig. De informatie over totaalaantallen per gemeente, per uur, van mobiele telefoons in
die gemeente, uitgesplitst naar afgeleide herkomst, is één van die indicatoren. Op basis van
deze informatie kunnen GGD’en, veiligheidsregio’s en zorgaanbieders van het RIVM het
signaal krijgen dat zij alert moeten zijn op een verhoogd risico op besmettingen als dat nodig
is. De informatie op uurbasis is nodig om de dynamiek van stromen groepen goed te kunnen
zien. Een uur is voldoende fijnmazig om drukte als gevolg van bijvoorbeeld het reizen in de
spits of een markt die een bepaalde tijd heeft plaatsgevonden te kunnen herkennen.
Fijnmazigere informatie is niet nodig voor dit doel, andersom maken grotere tijdvlakken de
informatie minder goed bruikbaar.
De inbreuk op de persoonlijke levenssfeer en bescherming van persoonsgegevens wordt
bovendien in vergaande mate beperkt door uitsluitend geaggregeerde (totaalaantallen per
groep, per gemeente, per uur) gegevens te verstrekken aan het RIVM, met een
drempelwaarde van 15 om te voorkomen dat onbedoeld inzicht wordt verkregen in gedrag
van kleine groepen individuen.

Gegevensbeschermingseffectbeoordeling | PIA

Ministerie EZK – DG B&I - Directie Digitale Economie

b.

Er zijn geen andere methoden om op een voor de betrokkenen minder nadelige wijze de
noodzakelijke inzichten over veranderingen over het aantal mensen in gebieden te
verkrijgen. Mobiliteitsinformatie is weliswaar ook beschikbaar via ov-gegevens of uit
meetlussen, maar geeft een veel beperkter en onduidelijker beeld van de mobiliteit van
populaties. Niet overal zijn meetlussen en lang niet alle mobiliteit vindt plaats met openbaar
vervoer: voetgangers en fietsers komen in deze informatie bijvoorbeeld niet voor.

15.Rechten van de betrokkene
Geef aan hoe invulling wordt gegeven aan de rechten van betrokkenen. Indien de rechten
van de betrokkene worden beperkt, bepaal op grond van welke wettelijke uitzonderingen
dat is toegestaan.
De inbreuk op de persoonlijke levenssfeer en bescherming van persoonsgegevens is zeer beperkt
omdat de gegevens over afgeleide herkomst alleen voor dit doel mogen worden gebruikt en
direct na verkrijging van de totaalaantallen moet worden vernietigd. De informatie die aan het
RIVM wordt verstrekt betreft uitsluitend niet-herleidbare statistische gegevens. Betrokkenen
worden geïnformeerd over de verwerking van de verkeers- en locatiegegevens voor dit doel bij
de bekendmaking van de wet in het Staatsblad. Voor zover het noodzakelijk is om de rechten van
betrokkenen te beperken gebeurt dat op grond van artikel 41, eerste lid, onder c of e, van de
Uitvoeringswet AVG.

13 | 17

Gegevensbeschermingseffectbeoordeling | PIA

Ministerie EZK – DG B&I - Directie Digitale Economie

C. Beschrijving en beoordeling risico’s
voor de betrokkenen
Beschrijf en beoordeel de risico’s van de voorgenomen gegevensverwerkingen voor de rechten en
vrijheden van de betrokkenen. Houd hierbij rekening met de aard, omvang, context en doelen van
de gegevensverwerking zoals in onderdeel A en B zijn beschreven en beoordeeld. Het gaat hierbij
overigens niet om de risico’s van de verwerkingsverantwoordelijke zelf.

16.Risico’s
Beschrijf en beoordeel de risico’s van de gegevensverwerkingen voor de rechten en
vrijheden van betrokkenen. Ga hierbij in ieder geval in op:
a. welke negatieve gevolgen de gegevensverwerkingen kunnen hebben voor de rechten
en vrijheden van de betrokkenen;
b. de oorsprong van deze gevolgen;
c. de waarschijnlijkheid (kans) dat deze gevolgen zullen intreden;
d. de ernst (impact) van deze gevolgen voor de betrokkenen wanneer deze intreden.
Een risico zou kunnen bestaan uit het toch herleidbaar tot individuen kunnen zijn van de aan het
RIVM verstrekte informatie en de informatie die het CBS ten behoeve van het RIVM heeft
gecombineerd en bewerkt. In zo’n geval zou de informatie toch persoonsgegevens bevatten, die
als gevolg van de verplichte verstrekking aan het RIVM en de rol van het CBS bij het in ontvangst
nemen en bewerken ervan, op meerdere plaatsen worden bewaard hetgeen beveiligingsrisico’s
met zich mee kan brengen. De ontvangen en gecombineerde informatie moet dus goed beveiligd
worden. Het RIVM kan informatie zelf in ieder geval niet herleidbaar maken tot individuen, want
zij krijgt geen toegang tot de ruwe gegevens, die immers bij de telecommunicatieaanbieders
blijven. Het CBS is door de doelbinding aan de taak van het RIVM gehouden, en mag deze
informatie dus niet combineren met andere datasets behalve de demografische informatie om de
gegevens representatiever te maken voor de taak van het RIVM. Het wordt zeer onwaarschijnlijk
geacht, gelet op de kosten en tijd die dat vereist, dat iemand de informatie die aan het RIVM
wordt verstrekt, herleidbaar kan maken.
Daarnaast zou een risico kunnen bestaan dat het monitoren van actuele drukte van populaties
wordt ervaren als een privacy-inbreuk voor een individu, al was het maar alleen het idee dat de
drukte wordt gemonitord.

14 | 17

Gegevensbeschermingseffectbeoordeling | PIA

Ministerie EZK – DG B&I - Directie Digitale Economie

D. Beschrijving voorgenomen
maatregelen
In onderdeel D wordt bezien welke maatregelen kunnen worden getroffen om de in onderdeel C
erkende risico’s te voorkomen of te verminderen. Welke maatregelen in redelijkheid worden
getroffen is een belangenafweging van de wetgever of verwerkingsverantwoordelijke. Voor dit
onderdeel van de PIA is, als het gaat om beveiligingsmaatregelen, expertise over
informatiebeveiliging belangrijk.

17.Maatregelen
Beoordeel welke technische, organisatorische en juridische maatregelen in redelijkheid
kunnen worden getroffen om de hiervoor beschreven risico’s te voorkomen of te
verminderen. Beschrijf welke maatregel welk risico aanpakt en wat het restrisico is na
het uitvoeren van de maatregel. Indien de maatregel het risico niet volledig afdekt,
motiveer waarom het restrisico acceptabel is.
Het voorgestelde artikel 14.7 van de Telecommunicatiewet biedt enkele maatregelen om de
risico’s te beperken: de locatie- en verkeersgegevens worden door de aanbieders vanuit het
beginsel van dataminimalisatie (AVG) zo vroeg mogelijk in het proces gepseudonimiseerd, en het
artikel schrijft voor dat zij de nieuw verkregen persoonsgegevens (afgeleide herkomst van de
telefoon) direct vernietigen zodra de totaalaantallen ten behoeve van het RIVM zijn verkregen.
Het RIVM vernietigt op grond van artikel 14.7 de van een aanbieder verkregen informatie zodra
deze is gecombineerd met de informatie van andere aanbieders, en vernietigt de gecombineerde
informatie zodra deze niet langer nodig is voor de taak bedoeld in artikel 6c van de Wpg en in
ieder geval een jaar nadat de informatie is verstrekt.
Een andere maatregel is dat zodra artikel 14.7 komt te vervallen er geen gegevens meer kunnen
worden opgevraagd bij de aanbieders.
Het CBS heeft ervaring met de beveiliging en zorgvuldige verwerking van dergelijke gegevens.
De aan het RIVM en CBS verstrekte informatie is in redelijkheid niet herleidbaar tot individuen.

15 | 17

Gegevensbeschermingseffectbeoordeling | PIA

Ministerie EZK – DG B&I - Directie Digitale Economie

18.Advies Functionaris voor Gegevensbescherming
In het aangepaste wetsvoorstel is het advies van de AP verwerkt door onder meer art 14.7 een
tijdelijke werking te geven en door in het artikel meer beperkende voorwaarden op te nemen voor
verstrekking en verwerking van de informatie. Door deze beperkingen op te nemen in het
wetsvoorstel en niet in de aanwijzingen komt dit ten goede aan de democratische legitimering van
het voorstel en daarmee aan de bescherming van de privacy van de burgers.
Een lastig punt blijft de herleidbaarheid van de gegevens, in de Toelichting bij het wetsvoorstel en
in deze PIA wordt ervan uitgegaan dat de door het RIVM/CBS ontvangen gegevens redelijkerwijs
niet meer te herleiden zijn tot geïdentificeerde of identificeerbare natuurlijke personen en daarmee
anoniem. Goede maatregelen die zijn doorgevoerd om de herleidbaarheid ingrijpend te beperken
zijn het niveau van aggregatie en de verplichtingen dat de providers en het RIVM/CBS
onderliggende en gecombineerde gegevens conform art 14.7 lid 3 en lid 5 vernietigen.
Desondanks blijft er een restrisico op herleidbaarheid. Dit restrisico wordt beperkt door zowel het
vernietigen van de onderliggende en gecombineerde informatie op grond van art 14.7 lid 3 en lid 5
als het tijdelijke karakter van het wetsvoorstel dat, behoudens verlenging, vervalt na een jaar
waarmee de bevoegdheid om gegevens op te vragen bij de aanbieders vervalt. Echter als
geaggregeerde gegevens opnieuw worden gecombineerd met andere datasets neemt het risico op
herleidbaarheid toe. Uit de PIA blijkt dat het RIVM de informatie alleen gebruikt om GGDen,
veiligheidsregio’s en zorgaanbieders een signaal te kunnen geven om alert te zijn op een verhoogd
risico en om het effect van de maatregelen te kunnen monitoren. Het is ook niet de bedoeling om
de informatie te combineren met andere datasets of om deze openbaar te maken. De enige
openbare informatie bestaat uit abstracte indicatoren in het dashboard van VWS zoals bijvoorbeeld
over de verplaatsing op nationaal niveau. Nu het gebruik van de gegevens door het RIVM veel
beperkter is dan de ruimte die art 6c Wpg aan het RIVM biedt is het advies om dit ook in het
wetsvoorstel en de toelichting nader te verduidelijken.
Gezien de uitzonderlijke situatie waarvoor art 14.7 tot stand is gekomen is het advies om in de
memorie van toelichting op te nemen dat de effectiviteit (nut en noodzaak) van het artikel wordt
geëvalueerd.

16 | 17

Gegevensbeschermingseffectbeoordeling | PIA

Ministerie EZK – DG B&I - Directie Digitale Economie

17 | 17

Gegevensbeschermingseffectbeoordeling | PIA