Eerste blog van een reeks

Na 35 jaar werken aan digitalisering in de publieke sector geniet ik tijdelijk van een sabbatical. Het grootste deel van mijn loopbaan (tot nu) werkte ik binnen de overheid aan digitalisering. Een volgens sommigen slechte combinatie. Van verschillende kanten komt daarom ook de roep om een Minister voor digitalisering. Met reden, wat mij betreft. Maar er zijn veel meer verbetermogelijkheden. Dit is de eerste blog in een reeks die daarover gaat. Startend daar waar beleid maken begint: in de politieke arena.

Waan van de dag

Wie de politiek een beetje volgt valt het al snel op. Krantenartikelen leiden tot talloze sets schriftelijke vragen, voor het vragenuurtje op dinsdag komen op basis van nieuwsberichten elke keer weer meer verzoeken dan er tijd is, debatten worden samengevat in promotiefilmpjes van enkele tientallen seconden en de inhoud lijdt onder de waan van de dag. In een recent interview met Diederik Samsom werd dit treffend beschreven:

Het verschil tussen Den Haag en Brussel is volgens Samsom dat tussen de waan van de dag en de rust van de maand.

'Als je in Den Haag ’s ochtends over een politieke bananenschil struikelde, was je de hele dag bezig om weer recht overeind te komen, onderweg links en rechts allerlei brandjes blussend en aan het eind van de dag dolblij dat je überhaupt het avondjournaal haalde. Dan had je verder weinig gedaan.'

Instrumentele daadkracht

Samsom beschrijft de invloed van de waan van de dag in Den Haag. Daar waar beleid wordt gemaakt en in het parlement wordt besproken .

Het maken van beleid begint idealiter bij het goede gesprek over beleidsdoelen en de eisen die we stellen aan de realisatie van die doelen. Een voorbeeld. Eén van de ambities van het huidige kabinet is niemand in de steek te laten bij digitalisering. Dat is met reden een ambitie, omdat je nooit klaar zult zijn. Zo ben ik op dit moment best digitaal vaardig, maar de kans is groot dat dit over 20 jaar veel minder is.

Het is ook een brede ambitie. Van aandacht voor digitale vaardigheid in het primair onderwijs en in het bedrijfsleven tot fysieke overheidsdienstverlening voor wie digitaal niet meekomt. Daarom zijn er ook allerlei mogelijke manieren om de beleidsdoelen te realiseren. Aan welke digitale kloof willen we, als de beschikbare middelen niet eindeloos zijn moet je immers keuzes maken, de meeste aandacht geven? Willen we de groep mensen die het niet zelf kan vooral bedienen via digitaal vaardige mensen in hun eigen netwerk of daarvoor ook overheidsloketten openhouden? Beleid maken vraagt om het maken van keuzes in schaarste waarbij de weging van principes en publieke waarden belangrijk is.

Eén van de gevolgen van de waan van de dag is of het niet "stoer" is om lang stil te staan bij dergelijke bredere beschouwingen. Politici en bestuurders worden als daadkrachtig gezien als ze direct ook vertellen hoe ze iets precies gaan realiseren en wanneer het af is. Een reflex die met enige regelmaat leidt tot complexe uitvoering en bijbehorende digitalisering.

Een voorbeeld daarvan is de in 2009 gedane toezegging om het werkadres van zorgverleners op te nemen in het BIG-register waarin alle zorgverleners te vinden zijn. Zo zou het voor mensen makkelijker zijn hun zorgverlener in het register op te zoeken. Er werd jaren aan gewerkt, maar het bleek een moeilijk haalbare toezegging. Daarover schreef de toenmalige minister van VWS in 2016, ik was toen CIO van dat ministerie, aan de Tweede Kamer:

Al bij de tweede evaluatie van de Wet BIG in 2007 werd aanbevolen om in het BIG-register het werkadres van beroepsbeoefenaren beter geregistreerd te krijgen en registratie te verplichten. Dit zou leiden tot meer transparantie voor patiënten. Implementatie van een dergelijke registratie bleek complex. Beroepsbeoefenaren werken vaak op verschillende locaties, wisselen van werk, werken tijdelijk ergens anders, vallen in voor een andere beroepsbeoefenaar of hebben, als ze online diensten verlenen, niet een fysiek werkadres waar ze cliënten te woord staan.

Om een complexe (ICT-)registratie te voorkomen en administratieve lasten te reduceren heb ik daarom in 2015 een alternatief geformuleerd, namelijk het verplicht stellen dat BIG-geregistreerden het BIG-nummer vermelden in uitingen als websites en facturen.

De complexiteit van vraagstukken als deze vraagt om goede analyses van mogelijkheden en onmogelijkheden in het toepassen van ICT. Het is daarom van belang om in gesprekken met partners in het veld en uw Kamer steeds tijd te blijven vragen voor het ontwikkelen van instrumenten bij de afgesproken doelen en om op voorstellen terug te komen als er haalbaardere alternatieven blijken te zijn.

Uitvoerbaarheid op de tweede plaats

Uitvoerbaarheid staat dus niet automatisch centraal in het gesprek over beleidsdoelen en hun realisatie. Een politicus die zegt nog geen uitspraken te kunnen doen over hoe en wanneer iets zal zijn gerealiseerd staat met een beetje pech direct als besluiteloos te boek. Een recent voorbeeld daarvan is de politieke wens om werkende Oekraïners eigen bijdragen te laten betalen.

Tijdens het debat daarover werd duidelijk dat de Tweede Kamer het voorstel steunt, mits het uitvoerbaar is. Ondanks die onzekere uitvoerbaarheid wil een deel van de Kamer toch dat het alvast bij wet verplicht wordt:

Veldkamp (NSC) wil de zekerheid dat de eigen bijdrage er komt. Daarom wil hij dat dit in de tijdelijke wet wordt vastgelegd. Volgens Ceder (ChristenUnie) en Koekkoek (Volt) moet eerst goed gekeken worden naar de uitvoerbaarheid van een dergelijke regeling.

Het amendement werd aangenomen zonder dat al duidelijk was dat het uitvoerbaar was.

Twitter bericht dat amendement is aangenomen

Zo'n politieke wens leidt tot veel uitvoeringsgevolgen, met bijbehorende digitalisering. In de Staat van de Uitvoering 2022 is de oproep dan ook: "Betrek de uitvoering vanaf het allerprilste begin bij de beleidsvorming":

Door het dagelijkse contact met burgers en ondernemers weten uitvoerders heel veel van de praktijk, over de maatschappelijke problemen en de opgaven. Als politiek en departementen zich concentreren op de vraag wat zij willen bereiken, geef de uitvoering dan het voortouw in het gesprek over hoe die doelen in de praktijk gerealiseerd kunnen worden.

Om complexiteit te reduceren, vraagt het beleidsvormingsproces om een permanente dialoog van politiek en opdrachtgever met de uitvoering; met voldoende tijd, begrip en ruimte voor ieders rol en taak.

Daarnaast is een brede oriëntatie op het te voeren beleid nodig met als insteek om concurrerende beleidsopties op tafel te krijgen. Betrek burgers, ondernemers en de wetenschap, kijk naar goede internationale praktijken, breng de juridische consequenties in kaart (complexiteit van wetgeving, rechtsstatelijkheid), evenals de digitaliseringsmogelijkheden en -onmogelijkheden.

Weinig ruimte voor een brede beschouwing

Als lid van de Tweede Kamer, zeker bij kleinere fracties, is het bijna ondoenlijk om de stroom aan informatie vanuit de departementen tot je te nemen en te doorzien. Met weinig eigen medewerkers en beperkte spreektijd in debatten is focus nodig. Voor een brede beschouwing over zoiets als digitalisering is daarom meestal weinig ruimte. Veel aandacht gaat uit naar incidenten die zich voordoen. Dat het wel mogelijk is liet Henri Bontenbal (CDA) zien in een Debat op hoofdlijnen over digitale zaken op 30 juni 2022. De inleiding die hij uitsprak voorafgaand aan het stellen van vragen staat me nog bij:

Voorzitter. Digitale technologieën gaan een belangrijke bijdrage leveren aan het oplossen van de grote maatschappelijke vraagstukken van de komende decennia. Dat is het voeden van 10 miljard monden, het tegengaan van klimaatverandering, het bieden van kwalitatieve zorg in een vergrijzende samenleving, precisielandbouw, duurzame energievoorziening, toegankelijke zorg. Digitalisering is hierin onmisbaar. Maar we zien ook de schaduwzijde van digitale technologieën. De Amerikaanse sociaal psycholoog Jonathan Haidt schreef een paar weken geleden een deprimerend artikel over de rol van sociale media in de samenleving. Een gezonde democratie wordt gestut door drie belangrijke pijlers, schrijft hij: het sociaal kapitaal in de samenleving, sterke instituties en een gedeeld verhaal. Sociale media hebben alle drie ondermijnd, is zijn sombere analyse.

Voorzitter. We kunnen op drie manieren kijken naar digitale technologieën. Een aantal van die visies zijn net ook in de Kamer gedeeld. De eerste is een optimistische, instrumentalistische visie. Technologie is dan een instrument waarmee we als mensen onze doelen kunnen bereiken. We zijn vrij in het benutten van deze technologieën en we zetten ze in als ze nuttig zijn voor ons. De tweede visie is een pessimistische, deterministische visie. Technologie is dan niet een instrument, maar een autonome kracht die ons kan gaan beheersen. Wij hebben daar de controle niet meer over, de samenleving is een technisch systeem geworden en wij zijn daarvan het slachtoffer. Maar er is ook een derde perspectief mogelijk, een waarin we niet zozeer de vraag stellen of een technologie goed of fout is, maar vooral de vraag stellen hoe wij ons tot technologie verhouden. De vraag is dan deze: draagt technologie bij aan de mens als verantwoordelijk, vrij en creatief wezen of ondermijnt ze de menselijke waardigheid? Wat zijn de consequenties van technologieën voor het goede samenleven van mensen?

Voorzitter. Het CDA kijkt op deze manier naar digitale technologieën en daarbij zijn voor ons de volgende principes leidend. Allereerst dat ieder mens telt. Digitalisering mag niet tot nieuwe scheidslijnen in de samenleving leiden. Ten tweede mogen digitale technologieën niet de gewone menselijke praktijken verdringen. Als technologie de menselijke waardigheid ondermijnt, de plek inneemt van het gewone menselijke contact, het goede samenleven verdringt en onze democratie ondermijnt, dan moeten we halt houden.

Verkokerde behandeling

Sinds enkele jaren heeft de Tweede Kamer een vaste commissie Digitale Zaken. De brede beschouwing van Henri Bontenbal kwam uit een debat van die commissie. Daarmee is digitalisering, terecht wat mij betreft, hoger op de politieke agenda gekomen. Tegelijkertijd behandelt de commissie niet alle digitale zaken. Digitalisering in de zorg wordt bijvoorbeeld besproken in de commissie VWS, en digitalisering in het onderwijs in de commissie OCW. Dat is de weerspiegeling van een kabinet waarin elk van de bewindspersonen de eigen inhoudelijke portefeuille behartigt, en de staatssecretaris voor Digitalisering naast de eigen dossiers (zoals de voorzieningen van de digitale overheid of de ICT van het Rijk zelf) een beperkt coördinerend mandaat heeft.

Voor een politiek debat over een thema dat alle dossiers raakt (bijvoorbeeld: wat vinden we ervan dat rijgegevens van een elektrische auto, de patiëntengegevens uit een pacemaker of de gegevens van een tractor in handen zijn van private partijen in plaats van mensen zelf?) is daarmee niet makkelijk een arena te vinden.

En dus?

Digitalisering krijgt steeds meer politieke aandacht, en dat is met reden. Het zou mooi zijn als er iets vaker gesproken zou kunnen worden over beleidsdoelen (in plaats van direct vast te willen leggen hoe die in de praktijk behaald moeten worden) en er – naast alle details - ruimte zou zijn voor brede politieke beschouwingen over de digitalisering in alle sectoren en in de samenleving.

Tracking cookies en andere vormen van tracking liggen onder het vergrootglas. Deze week nog, omdat Sjoera Nas ontdekte dat de NRC lezers van haar nieuwsbrieven volgde via tracking pixels, zonder dat hiervoor toestemming gevraagd werd. Op 18 oktober deed de Rechtbank Amsterdam een uitspraak met mogelijk verstrekkende gevolgen. Gedaagde in dit geding was Criteo, een wereldwijd technologiebedrijf in de media- en entertainmentbranche, met hoofdkantoor in Parijs en genoteerd aan de Amerikaanse beurs Nasdaq. Het bedrijf houdt zich onder andere bezig met real time advertentie-veilingen, een sector die weinig mensen kennen. Het is een obscure "markt" met een beperkt aantal bedrijven van ruim 14 miljard dollar waarin advertentieruimte specifiek aan jou (op basis van het profiel dat een bedrijf van jou en honderden miljoenen andere mensen heeft) real time wordt geveild terwijl je een website bezoekt. Een markt waarin het dus cruciaal is om jouw gedrag op websites te volgen. Platforms als Google, Twitter en Facebook zijn vanwege hun afhankelijkheid van reclame-inkomsten grote spelers in deze markt. De Rechtbank legt in de uitspraak goed uit hoe dit werkt:

Criteo plaatst, via websites van derden, zogeheten tracking cookies (waaronder in ieder geval de zogenaamde "uid" cookie) op computers en/of andere mobiele apparaten. Tracking cookies bevatten een uniek ID, een willekeurige lijst van karakters, die wordt toegewezen aan de browser van een bepaalde websitebezoeker. Bij iedere website die een link heeft met Criteo en die met die browser wordt bezocht, wordt dezelfde tracking cookie uitgelezen. Doel is om surfgedrag, interesses en/of andere gegevens van internetgebruikers te verzamelen en te analyseren voor commerciële doeleinden. Criteo gebruikt de tracking cookies voor ‘targeted advertising’, het afstemmen van advertenties op individuele gebruikers. Dat gebeurt door het opstellen van gebruikersprofielen en het herkennen van gebruikers als zij het internet bezoeken. Binnen een fractie van een seconde wordt dankzij het Real Time Bidding (RTB)-Systeem een internetgebruiker herkend en een op de betreffende gebruiker afgestemde advertentie getoond. Tracking cookies spelen daarbij een essentiële rol.

De uitspraak is vernietigend voor Criteo. De Rechtbank bepaalt onder andere:

De voorzieningenrechter gebiedt Criteo het onrechtmatig handelen per ommegaande te (doen) staken en gestaakt te (doen) houden door niet langer, al dan niet via third-party websites, tracking cookies op de computer en/of apparaten van [eiser] te (doen) plaatsen alvorens [eiser] rechtsgeldige toestemming heeft gegeven voor het plaatsen van deze tracking cookies, op straffe van een dwangsom van € 250,00 per dag of dagdeel danwel - naar keuze van [eiser] - per overtreding, tot een maximum van € 25.000,00.

De Autoriteit Persoonsgegevens houdt toezicht op verwerking van persoonsgegevens, ook door tracking. Ze beschrijven ook de juridische eisen aan het gebruik van tracking cookies. Recent kreeg de Autoriteit Persoonsgegevens nog extra middelen voor aanvullend toezicht. Vlak daarvoor werd al uitgebreid geschreven over de juridische grondslagen voor het gebruik van cookies en de onwenselijkheid van tracking cookies bij overheidswebsites:

Los van de wettelijke eisen, vinden wij het van belang dat burgers websites van de overheid onbespied door derde partijen kunnen bezoeken. Wij vinden het daarom wenselijk dat er geen third-party cookies of andere tracking gebruikt wordt op overheidswebsites, ongeacht het verkrijgen van toestemming. Maar dat ook breder geen informatie door derde partijen verkregen kan worden die herleidbaar is tot een persoon bij het bezoeken van een overheidswebsite. Wij zullen daarom in kaart brengen waar third-party cookies en scripts gebruikt worden, en welke. Op basis daarvan willen we onderzoeken of we deze kunnen vervangen door (open source) alternatieven, die door de overheid zelf gehost worden, waardoor die informatie niet naar derden gaat.

Dit onderzoek is gestart, zowel naar huidig gebruik van tracking door de overheid als naar de mogelijke alternatieven. In verkiezingstijd is het ook interessant om te weten of de websites van politieke partijen het mogelijk maken om ons te volgen. Ik wende mij daarom tot Floor Terra, die ook het onderzoek deed dat de basis vormde voor de uitspraak van de Rechtbank Amsterdam. Ik vroeg hem of iets soortgelijks mogelijk zou zijn voor de websites van politieke partijen. Dat bleek het geval en hij was bereid dat te onderzoeken en mij de ruwe gegevens te geven. De conclusies in deze blog zijn daarmee geheel voor mijn rekening.

In de meting op 23 oktober 2023, bijna twee weken nadat de AP de politieke partijen gewaarschuwd had, werden de publieke websites bezocht van alle partijen die meedoen aan de verkiezingen op 22 november 2023. Daarbij werd vastgelegd welke cookies worden geplaatst. Van al deze cookies selecteerde ik die cookies van tracking partijen waarvan in ieder geval zeker is dat ze leiden tot tracking. Waar dat niet zeker is, tel ik ze niet mee. Daarom telde ik de cookies mee van prfct.co, adnxs.com, facebook.com, google.com (inclusief youtube.com), twitter.com (X), doubleclick.net en myfonts.net.

Zeventien partijen die meedoen aan de verkiezingen plaatsen één of meer tracking cookies van deze partijen. Het gaat om 50 Plus, BBB, BVNL, CDA, Christenunie, D66, De Groenen, FvD, Ja21, Lef, NL PlAN, Nieuw Sociaal Contract, Samen voor Nederland, SGP, SP, Splinter Politiek en de Libertaire Partij. Google is daarvan de meest populaire; twaalf partijen maken gebruik van Google en/of Youtube. Doubleclick is tweede met vijf partijen. 50Plus, BBB en FvD voeren de lijst aan. Zij maken elk gebruik van drie van de tracking partijen. De Groenen, Ja 21, NL PLAN, Nieuw Sociaal Contract, SGP en de Libertaire Partij gebruiken er elk twee. De overige gebruiken één tracking partij.

De conclusie is duidelijk. Zeventien partijen dragen bij aan profilering en online tracking. In de eerder genoemde (derde) brief van de AP aan politieke partijen gaf de AP aan dat dit zelfs met toestemming wat hen betreft niet mag.

De AP is van oordeel dat er in het kader van verkiezingscampagnes geen, direct of indirect, gebruik kan worden gemaakt van trackingsoftware zoals tracking cookies en tracking pixels.

De real time bidding markt kan door tracking de politieke interesse van mensen in een profiel opnemen en deze gevoelige gegevens verkopen. Bijvoorbeeld om gericht te adverteren. Of dit gebeurt is niet zeker, maar wel waarschijnlijk. Deze advertentiemarkt is zo weinig transparant en zo ontoegankelijk voor onderzoek dat echte zekerheid niet is te geven. IPSOS beschreef eerder waarom politieke voorkeuren belangrijk zijn in marketing. De kans dat gerichte reclame ontstaat, bijvoorbeeld door politieke partijen zelf, is reëel.

Bij het plaatsen van tracking cookies door politieke partijen is Google veruit de favoriet. Twaalf politieke partijen laten digitaal aan Google weten dat een bezoeker hun website bezoekt. Van de drie partijen die elk drie trackingpartijen cookies laten plaatsen is BBB de enige die de bezoekgegevens niet aan Google doorgeeft.

Dit onderzoek richtte zich op websites, maar politieke partijen sturen ook digitale nieuwsbrieven. Ook daarin kun je mensen tracken, zoals de krant uit het begin van deze blog. Mijn oproep aan politieke partijen is: check of je dat doet. Want ook dat valt eenvoudig te onderzoeken.

Tot slot
Naar aanleiding van deze blog schreef Floor Terra zelf een blog over wat je moet doen als je als website eigenaar wil stoppen met het zonder toestemming plaatsen van tracking cookies.

Of je het nu bewust hebt gedaan of niet, als websitehouder ben je gezamenlijk verwerkingsverantwoordelijke voor het verzamelen en verstrekken van de persoonsgegevens aan de tracking partijen die op de website staan. Het verwijderen van de tracking pixel, like-buttons, of andere functionaliteit om het lekken te stoppen is niet genoeg. Persoonsgegevens die onrechtmatig verzameld zijn moeten ook worden verwijderd.

Dat verwijderen is niet gemakkelijk, maar de blog geeft daarvoor wel een handig stappenplan, inclusief voorbeeldbericht aan de partij wiens cookie geplaatst is.

Anonimiteit verbieden op sociale media? Er wordt met regelmaat om gevraagd en ook in partijprogramma’s voor de komende verkiezingen is het opgenomen. In mijn blog over “Buikpijn over client-side scanning” schreef ik eerder al dat ik ook van de vraag naar het verbieden van anonomiteit soms buikpijn heb. Net als bij de strijd tegen de verspreiding van kinderporno, waar die eerdere blog over ging, gaat het bij anonimiteit op sociale media over de balans tussen publieke waarden als veiligheid aan de ene kant en privacy aan de andere kant.

Privacy gaat daarbij zeker niet altijd boven veiligheid. En veiligheid niet altijd boven privacy. Hoe je deze publieke waarden in voorkomende gevallen weegt, kan in elke situatie anders zijn. Ook de uitkomst van de afweging kan voor iedereen, alles afwegend, anders zijn. Dat is niet zwart-wit, zoals ethicus Piek Visser-Knijff ook schrijft in haar blog ”Hoe het binaire en dilemma-denken ons in de weg zit”.

Deze blog beschrijft mijn dilemma’s en mijn afwegingen als het gaat om anonimiteit op sociale media. Jouw afweging kan anders zijn. Ik ga daarover graag het gesprek aan.

Anonimiteit op sociale media
Afgelopen jaar kwam het verbieden van anonimiteit op sociale media al een paar keer op in debatten in de Tweede Kamer. “Ook als je online een grens overgaat, moet je daarop aangesproken kunnen worden”, werd bijvoorbeeld ingebracht. Daarom zou er een einde moeten komen aan anonimiteit op sociale media.

Drie politieke partijen hebben dat nu ook in hun verkiezingsprogramma opgenomen. Het CDA schrijft in het programma:

We verbieden anoniem gescheld op sociale media. (…) Onze waarden en normen, fatsoen en respect gelden ook online. Daarom willen we anonieme sociale media-accounts kunnen verbieden.

Het programma van Nieuw Sociaal Contract bevat de volgende passage:

Grote techplatforms worden verplicht om de werkelijke identiteit achter accounts in hun administratie vast te leggen, op straffe van forse boetes. Bij een schending van richtlijnen/wetgeving, zoals discriminerende of haatzaaiende content, worden zij beboet en verplicht om de identiteit te delen met de politie.

Volt, tot slot, pleit voor pseudonimiteit:

Pseudonimiteit wordt de standaard op sociale media. Hierbij blijft het mogelijk om online anoniem te zijn, maar kan je identiteit wel worden opgevraagd op het moment dat je regels overtreedt of je je schuldig maakt aan een strafbaar feit.

Strafbare of ook onwenselijke boodschappen
Wat als eerste opvalt is dat het CDA niet alleen op dit moment strafbare uitingen, maar ook anoniem gedane "onprettige" uitingen wil verbieden. “Gescheld”, immers, is niet perse strafbaar. In de fysieke wereld zou daar naar analogie kunnen staan: “We verbieden anoniem gescheld in de dorpskroeg en willen het daarom verbieden om zonder kloppend naambordje of zonder dat de kroegbaas de identiteit vaststelt een kroeg te bezoeken”. Daarmee wordt een grens gesteld die, als het gaat om beperking van de vrijheid van meningsuiting, verder gaat dan op dit moment strafbaar is. Ook ontstaat zo een andere grens voor online gedragingen dan voor uitingen in een kroeg.

Gescheld tegengaan door altijd een naambordje te dragen? Dat gaat voor mij persoonlijk te ver. Ook al ben ik zelf ook met regelmaat verbaasd over de verwensingen naar mij als ambtenaar of naar politici. Maar niet voor niets is het zo dat de de politie alleen een identificatiebewijs mag vragen als daar een goede reden voor is. Bijvoorbeeld als je strafbare feiten pleegt of betrokken bent bij een verkeersongeluk. Onprettige, niet strafbare, uitingen verdienen zeker een blijvend maatschappelijk gesprek. Het komen tot geweldloze, fatsoenlijke, communicatie in de kroeg, op het werk of online is niet eenvoudig. Maar dat rechtvaardigt voor mij niet de oproep om altijd met een naamkaartje op te lopen.

Anonimiteit bij strafbare uitingen
De roep tot het verbieden van anonimiteit gaat er vanuit dat het lastig is daders te achterhalen bij strafbare uitingen. In de praktijk blijkt dit een minder groot probleem. Problemen in de opsporing zijn dus geen goede reden voor het verbieden van anonimiteit. Eerder dit jaar werd aan de Tweede Kamer daarover het volgende geschreven:

Er zijn op dit moment al diverse mogelijkheden om personen die strafbare feiten plegen, zoals online opruiing, te herleiden. Zo kan bij strafbare feiten de identiteit van daders, ook online, via de strafrechtketen worden achterhaald. Het civiele recht bevat ook mogelijkheden om identificerende gegevens van gebruikers op te vragen bij tussenpersonen als aannemelijk is dat sprake is van onrechtmatig handelen (…). In Nederland is het wel zo dat strafbare uitingen online via opsporing en vervolging aangepakt kunnen worden, waarbij opsporingsdiensten informatie kunnen vorderen bij digitale dienstverleners zoals platformen. Het is dus reeds mogelijk om crimineel gedrag via anonieme accounts online aan te pakken. Een ingrijpende maatregel als het verplichten dat platforms identiteit vaststellen en die aan opsporing overhandigen is wat mij betreft daarom onnodig en niet proportioneel. Zeker niet gezien de risico’s. In Nederland, en in de rest van de wereld.

De risico’s van het opheffen van anonimiteit
Grote platformen, denk aan TikTok of X (voorheen Twitter) hebben wereldwijde dekking. Als wij eisen aan ze stellen, gelden die niet alleen in Nederland. Daarbij houden ze zich toch al vaak niet vanzelf aan onze publieke waarden. Daarom mogen ambtenaren apps uit landen met een offensief cyberprogramma tegen Nederlandse belangen niet gebruiken en heeft de Europese Unie een uitgebreid wetgevingsprogramma om de digitale wereld te reguleren. Zoals de wet Digitale Diensten (DSA) en de wet Digitale Markten (DMA). Veel van deze platforms werken van buiten de EU. Waarom zouden we ze met dit in ons achterhoofd juist wel onze identiteit (bijvoorbeeld vastgesteld met een paspoort of identiteitskaart) toevertrouwen? Ik vind het onverstandig om deze wereldwijde platforms te dwingen zoiets kwetsbaars als onze identiteit vast te stellen en vast te leggen. Al was het maar omdat dergelijke megadatabases met identiteiten van alle wereldwijde gebruikers erg interessant zijn voor hackers. Wat je niet hebt, kun je ook niet – door een hack bijvoorbeeld – kwijtraken.

Anonimiteit heeft ook grote voordelen. Het zorgt ervoor dat een queer puber die de eigen identiteit aan het ontdekken is zich veilig kan oriënteren. Het zorgt ervoor dat het voor de politie uit een land met een dictatoriaal regime niet altijd zin heeft om zich bij een platform te melden om de identiteit van een dissident op te eisen (dat risico bestaat overigens ook als die buitenlandse dissident zich in Nederland bevindt en als er pseudoniemen gebruikt zouden worden). Anonimiteit zorgt er voor dat klokkenluiders misstanden kunnen melden en dat onderzoeksjournalisten veilig hun werk kunnen doen. Anonimiteit opheffen zorgt ervoor dat we juist die voordelen verliezen en altijd met een naamkaartje op lopen omdat we wellicht ooit iets zeggen dat een ander niet fatsoenlijk vindt. En dat, dat gaat voor mij persoonlijk te ver. Niet alleen voor Europeanen, maar zeker voor de vele mensen die onder dictatoriale regimes leven. Landen waar veel meer strafbaar is dan in Europa.

Tot slot
Opsporing van anonieme strafbare uitingen is geen groot probleem, anonimiteit kent vele voordelen en het opheffen ervan is extra risicovol voor kwetsbare mensen en beroepen. In de afweging van publieke waarden zorgt het voor kwetsbare mensen voor toegenomen onveiligheid en voor ons allemaal voor afgenomen privacy. Daarom is voor mij het beperken van ons grondwettelijk vastgelegd recht op zelfbeschikking en privacy een grote stap te ver.

Digitalisering bij de overheid gaat vaak best goed, maar kan ook beter. De afgelopen dagen was er online veel discussie over een manifest genaamd “herprogrammeer de overheid” met als belangrijkste boodschap:

“De ICT-infrastructuur van de Nederlandse overheid is als een oud, vervallen huis. (…) Daardoor blijven we bezig met dure reparaties uitvoeren, wordt het systeem steeds onbetrouwbaarder, en blijft nieuw beleid op de plank liggen.”

Ik juich het van harte toe dat er aandacht is voor digitalisering en de mogelijkheden daarvan voor maatschappij en openbaar bestuur. Zeker als die aandacht ook leidt tot meer aandacht voor dit onderwerp in de politiek. Tegelijkertijd: er wordt in het manifest een karikatuur gemaakt van overheidsdigitalisering en generaliserend gesteld dat die overal vervallen is. De analyse dat ICT zowel het probleem als de oplossing is en de voorstellen die worden gedaan ter verbetering doen wat mij betreft geen recht aan zowel de oorzaken van soms mislukkende projecten als aan verbeteringen die wel zinvol zijn.

Deels geschreven op de terugweg uit Estland, het land dat als lichtend voorbeeld wordt genoemd in het manifest, daarom mijn eigen analyse van de stand van de digitalisering van de Nederlandse overheid en van de mogelijkheden tot verbetering.

Er gaat veel goed
Er zijn genoeg voorbeelden van projecten bij de overheid (net zoals in het bedrijfsleven) die in de problemen komen. Het adviescollege ICT, dat grote projecten van het Rijk van advies kan voorzien, heeft ruim 20 medewerkers en toetst vooral die projecten waarbij sprake kan zijn van grotere risico’s. Het is goed dat die adviezen worden gegeven en worden gepubliceerd (net zoals het goed is dat de overheid Gateway Reviews uitvoert). Alleen naar die adviezen kijken leidt tot selectie-bias. Want er zijn ook talloze voorbeelden van projecten die goed gaan en niet van een advies voorzien worden. Die voorbeelden halen zelden de pers; we nemen ze voor vanzelfsprekend aan. De geslaagde vernieuwing van het Donorregister, die zelfs de "Legacy Modernizer Award" won, is alleen enkele experts opgevallen. Dit terwijl de veranderingen in de wetgeving rondom donorregistratie door de vernieuwing probleemloos, binnen tijd en budget en met moderne oplossingen worden ondersteund. Best slimme ICT-renovatie dus, en daar vroegen de opstellers van het pamflet ook om.

Er zijn daarvan veel meer voorbeelden. Het algoritmeregister wordt volledig open source ontwikkeld en Nederland loopt voorop met een open source voorbeeldimplementatie van de “digitale wallet”. Dat doen we juist om daarover in Nederland en in Europa de goede gesprekken te kunnen voeren.

Er zijn gelukkig ook veel jonge ICT-experts die bewust kiezen om voor de overheid te werken, en externe experts die bewust bijdragen aan overheidsprojecten. Het “gebrek aan competentie” dat het manifest noemt valt wat mij betreft dus wel mee. We doen het als land ook helemaal niet zo slecht, ook niet als je ons vergelijkt met andere landen.

Zo staat Nederland in 2023 op plaats 6 als het gaat om digitale overheidsdienstverlening in de Europese eGovernment Benchmark. Deze benchmark van de Europese Commissie vergelijkt de digitale overheidsdienstverlening van 35 Europese landen (27 EU en 8 niet-EU). In 2021 stond Nederland nog op plaats 9. We vinden het heel normaal dat we digitaal bij de overheid terecht kunnen, en dat is een teken dat veel best goed gaat. Malta staat in de lijst trouwens op plaats 1, gevolgd door Estland.

Nederland is in 2022 in vergelijking met 2021 ook gestegen in de jaarlijkse Digital Economy and Society Index (DESI) van de EU. Dat betekent een top 3 positie voor ons land. Nederland hoort bij de EU-kopgroep, alleen Finland en Denemarken scoren net iets hoger. Dit is te danken aan extra investeringen in digitale technologieën en de relatief hoge digitale vaardigheden van de Nederlanders. Daarnaast zijn vast en mobiel internet traditioneel van uitstekend niveau. De DESI index 2022 rangschikt Europese landen als het gaat om de kwaliteit van de digitale infrastructuur en het gebruik van digitale toepassingen door inwoners. Ook kijkt het naar hun online vaardigheden. Daarnaast wordt gemeten in welke mate het bedrijfsleven digitaal actief is, en hoe de digitale dienstverlening van de overheid het doet. Estland, Finland, Malta en Nederland hebben de hoogste score voor digitale overheidsdienstverlening in deze index. Estland staat op plaats 9 in de index, onder meer vanwege de telecomvoorzieningen.

Er is ruimte voor verbetering, en dat is meestal geen ICT probleem
Toch zijn er genoeg dingen die beter kunnen en ook dingen die wij van Estland kunnen leren. Met niet veel eigen ICT-experts, bijna alle diensten en producten worden door marktpartijen gemaakt, slaagt het land er in overheidsdienstverlening verregaand digitaal aan te bieden. Dat dit zo is, heeft maar beperkt iets met ICT te maken.

Politieke ambitie
Het startte met een president die, terugkomend uit de VS, begreep dat digitalisering kansen bood om een groot land met maar 1,3 miljoen inwoners toch van overheidsdiensten te voorzien. Een land dat ook nog eens, komend uit een recent communistisch verleden, weinig vertrouwen had in de overheid. In combinatie met veel beschikbare ICT-expertise (die was in de geografische spreiding in het Sovjet-tijdperk toevallig in Estland terecht gekomen) en het nabije Finland heeft dat geleid tot de politieke wens op het hoogste niveau en ook de mogelijkheid om een moderne digitale overheid te realiseren. De politieke ambitie was hoog: het digitale voorbeeld worden met een kleine, sterk gedigitaliseerde overheid die inwoners en bedrijven centraal stelt. Tot op dit moment is dat merkbaar. De Chief Data Officer van de Estse overheid kent een stuurgroep van 8 ministers en kan daardoor opgaven centraal oppakken. Niet door het zelf te doen, wel door wetenschap en bedrijfsleven te vragen om oplossingen te realiseren. Die oplossingen worden van de overheid en zijn in de regel open source, zodat er geen “locked in” ontstaat bij enkele bedrijven. Waar open source in Nederland als onderwerp wel wat meer in de belangstelling staat, maar nog niet echt hoog op de bestuurlijke agenda van veel overheidsorganisaties, is het in Estland kabinetsbeleid. Alle overheidsorganisaties moeten zich houden aan dergelijke centrale architectuureisen, en de CIO van Estland bepaalt de kaders. Eén van die eisen is dat gegevens aan de bron blijven, en dus niet op één plek zoals de opstellers van het manifest willen. Dat is bewust, want zoveel gegevens bij elkaar is om veel redenen niet verstandig.

Een politiek ambitieuze, centralistische aanpak van digitalisering is in Nederland minder makkelijk te realiseren. Het is goed dat het manifest daar toe oproept. Als eerste is digitalisering in ons land zelden onderwerp van politieke ambitie of politiek debat. Tenzij het gaat om zaken die misgaan, waarbij we vooral zoeken naar schuldigen. Lees de partijprogramma’s voor de komende verkiezingen, en als er al aandacht is voor digitalisering dan gaat die vaak uit naar het reguleren van “uitwassen”. Of het nu om algoritmes gaat of het tegengaan van anonimiteit op internet. Aandacht voor het opruimen van verouderde software, bijvoorbeeld, speelt nauwelijks een rol. Ook niet in de verkiezingsprogramma’s.

Ook het “Huis van Thorbecke” maakt dat centrale sturing op digitalisering niet gemakkelijk is. Het maakt dat elke gemeente, elke provincie en elk ministerie een grote eigen verantwoordelijkheid heeft. De coördinerend bewindspersoon voor digitalisering heeft beperkte aanwijzingsbevoegdheden. En waar die er zijn zien die vooral op de bedrijfsvoering, en niet op primaire processen. Zo kan het zijn dat alle gemeenten eigen digitalisering realiseren, dat departementen verschillende oplossingen kennen voor document management en dat niet zomaar aan een uitvoeringsorganisatie – zoals wel in Estland – kan worden opgelegd hoe de eigen digitalisering te realiseren. Wij koesteren onze autonomie en eigenheid, in beleid en in uitvoering. Dat is op allerlei manieren merkbaar. Het gevolg bijvoorbeeld is dat elke overheidsorganisatie verantwoordelijk is voor de toegankelijkheid van de eigen websites en apps en maar een kleine 25% een toegankelijkheidsscore A of B heeft. Ook maakt elke overheidsorganisatie talloze websites onder eigen domeinnamen die moeilijker van nepsites te onderscheiden zijn.

Een ander voorbeeld is de ondersteuning van het PGB. Door decentralisatie kan elke gemeente eigen PGB-beleidsregels vaststellen, waardoor digitalisering veel variatie moet ondersteunen. Variatie die we op prijs stellen, want we koesteren onze autonomie. En daarbij zijn er ook nog meerdere wetten waarin PGB geregeld wordt (zoals Jeugdwet, WMO en Zorgverzekeringswet), waarbij het vanwege de aard van die wetten steeds een beetje anders geregeld is. Dat is geen ICT-probleem.

De variatie en autonomie zijn te zien in de bedrijfsvoering van de overheid en in de oplossingen in sectoren. Die laatste komen meestal binnen het domein tot stand. Vaak niet eens zo slecht. Zo zijn de standaarden waarmee het ministerie van VWS zorgt dat wij allemaal onze eigen medische gegevens in een eigen Persoonlijke Gezondheidsomgeving kunnen krijgen modern en wereldwijd toonaangevend. Tegelijkertijd: ook in andere domeinen wordt gewerkt aan dergelijke “regie op gegevens”, en met andere standaarden en aanpakken. Politieke en inhoudelijke sturing van digitalisering over domeinen heen is maar beperkt geregeld. Er is ook geen aanwijzingsbevoegdheid daartoe, behalve voor gebruik van enkele verplichte voorzieningen (denk aan DigiD) en enkele standaarden.

De keuzes ten aanzien van autonomie en coördinatie komen ook tot uiting in het Besluit CIO-stelsel Rijksdienst. Dit besluit geeft de CIO-Rijk maar beperkte mogelijkheden om aanwijzingen te geven. De CISO-Rijk heeft in vergelijking daarmee zelfs verdergaande bevoegdheden. En een Rijksarchitect, die is er nog niet (echt).

Tot slot: waar maatschappelijke en politieke ambities en mogelijkheden tot regie beperkt zijn, is ook minder ruimte voor digitaal leiderschap onder ambtenaren. Meer ICT-expertise leidt in een dergelijke context niet vanzelf tot betere oplossingen of tot minder projecten die uit de bocht vliegen.

Verandering vergt politieke ambitie, coördinatie met doorzettingsmacht en dus ook inperking van de autonomie. Autonomie van gemeenten, provincies, waterschappen en departementen en hun uitvoeringsorganisaties. Met ruimte voor centrale architectuur, generieke voorzieningen en aanwijzingen ten aanzien van digitalisering in sectoren. Dat is geen ICT-probleem, en ICT is daarbij ook niet de oplossing. Dat meerdere politieke partijen vragen om een minister voor Digitalisering, dat snap ik dus wel. Of dat helpt heeft vooral te maken met politieke ambities, politieke wil en het mandaat.

Culturele factoren
Terugkomend op Estland: de verschillen zijn niet alleen politiek, maar ook cultureel. Bijvoorbeeld omdat inwoners van Estland na de omwenteling weinig vertrouwen hadden in de overheid. Dat uit zich ook in het ontwerp van de overheidsdigitalisering. Er is in Estland een hele grote mate van transparantie. Welke huizen je bezit, waar je in dienst bent, welke boetes je hebt en of je in Tallinn woont: het is voor veel organisaties en ook voor inwoners op te vragen. Iedereen mag zien hoe de digitale overheid zijn werk doet. Gegevens mogen ook worden hergebruikt voor andere doeleinden. De wettelijke basis daaronder is stevig. Alle inzage wordt gelogd en is voor inwoners in te zien. Inwoners kunnen ook zelf bepalen dat private partijen (een deel van) hun informatie mogen zien.

Wij Nederlanders daarentegen vinden het wel prettig dat we zelf kunnen kiezen welke informatie we met welke overheidsorganisatie delen. Een wet die de grondslag zou zijn voor het indien nodig uitwisselen van gegevens tussen alle overheidsorganisaties zou in ons land niet zomaar geaccepteerd worden. Publieke dienstverleners vragen er al langer om, bijvoorbeeld om mensen die geen gebruik maken van toeslagen daarop te attenderen. Zouden wij toeslagen die we zonder aanvragen krijgen ervaren als fijn, of juist protesteren omdat we er niet om gevraagd hebben onze gegevens daarvoor te gebruiken? Ook de verplichtingen die de Estse aanpak oplevert voor bedrijven, overheden en inwoners zouden in ons land niet vanzelfsprekend omarmd worden. Zo hebben alle inwoners van Estland een elektronische identiteitskaart, tenzij ze dat expliciet weigeren (opt-out). Het gevolg is dat 98% van de inwoners over een dergelijke kaart beschikt. Een vergelijkbaar voorstel, denk aan een DigiD-opt out in plaats van opt-in, ligt maatschappelijk en politiek veel gevoeliger in Nederland.

De overheid is anders dan het bedrijfsleven
De commissie Elias constateerde al dat het fout gaan van ICT-projecten bij de overheid niet alleen maar komt door gebrek aan expertise.

De Kamer, het kabinet, «de politiek» in het algemeen is te weinig doordrongen van het feit dat elk onderwerp en beleidsterrein tegenwoordig samenhangt met ICT. De Kamer toont zich onvoldoende betrokken bij de start van ICT-projecten. Hierdoor worden vragen gesteld vanuit de Kamer en toezeggingen gedaan door het kabinet die vaak niet door de starttoets van het BIT zouden komen. Een gebrek aan ICT-bewustzijn zorgt ervoor dat het moeilijk is om over ICT-gerelateerde onderwerpen het debat te voeren met de Kamer. Aangezien ICT tegenwoordig overal aanwezig is, raakt dit de kern van de taken van de rijksoverheid. De commissie concludeert dat het ICT-bewustzijn van zowel Tweede Kamer, de Kamer (Kamerleden, fracties, fractieondersteuning en ambtelijke ondersteuning) als het kabinet ernstig tekortschiet.

Er zijn als het gaat om digitalisering bij de overheid zaken die wezenlijk anders zijn dan in het bedrijfsleven. Zo wordt beleid niet alleen beoordeeld en ontworpen vanuit uitvoerbaarheid (de "Staat van de uitvoering" is lezenswaardig). Beleid moet vooral recht doen aan de gewenste variatie (denk aan PGB) en aan de gewenste gedetailleerde uitwerking die in politieke compromissen wordt bepaald. Bewindspersonen worden daarbij door maatschappij en politiek beoordeeld op ervaren daadkracht. Wie ruimte vraagt tot nadenken over mogelijke manieren van uitvoering lijkt niet daadkrachtig. Hierdoor staan in debatten vaak niet (alleen) de doelen centraal staan, maar vooral ook de precieze instrumenten om deze te bereiken. Daarbij wordt niet alleen het “wat” maar ook het “hoe” bepaald. Bijvoorbeeld door te vragen om een wet, of een register. Het is niet “stoer” om met elkaar te spreken over de gewenste doelen en ruimte te laten voor de beste manieren om die doelen te bereiken. In combinatie met de behoorlijke afstand tussen politiek, beleidsmakers en uitvoering zorgt dit ervoor dat pas in de uitvoering de consequenties zichtbaar zijn van eerder gemaakte keuzes. Op een moment dus dat de wet of het beleid al vast staan en de ruimte om dat te herstellen beperkt is. Minder afstand tussen politiek, beleid en uitvoering zou helpen om te komen tot beter uitvoerbaar beleid. Daar is ook de politiek voor nodig. Niet alleen omdat het gesprek dan eerst en vooral over doelen moet gaan. Ook omdat dan wensen, omdat ze minder makkelijk uitvoerbaar zijn, niet tot uitvoering komen. Dat kan gevolgen hebben voor (sommige) inwoners en bedrijven.

De uitvoeringsorganisaties die deze complexiteit moeten realiseren kunnen niet eerst -zoals een start-up kan doen- met een Minimum Viable Product komen waarin nog niet alles al af is. Ze moeten alles in één keer, en ook nog eens in één keer goed doen. Daarbij moeten ze tegelijkertijd voldoen aan allerlei beveiligingseisen, toegankelijkheidseisen, privacyeisen, et cetera. “'Move fast and break things” is geen optie als het gaat om digitalisering bij de overheid. Je kunt niet een deel van een wet negeren, of een bepaalde doelgroep nog even niet bedienen. En waar al geprobeerd wordt anders te werken, leidt dat niet altijd tot begrip of waardering. Publieke uitvoerders in Nederland zijn al “Digital first”, zoals de opstellers van het pamflet vragen. Maar dat zijn ze in een context waarin digitalisering niet eenvoudig is.

Zelf was ik verantwoordelijk voor de door velen verguisde “appathon” ten tijde van de recente pandemie. Een transparante marktconsultatie naar mogelijke digitale ondersteuning van de pandemie, waarom het OMT had gevraagd. Dat het een marktconsultatie was, en geen aanbesteding, werd vanaf het begin gemeld. Maar dergelijke details sneeuwen vaak onder. Het ging ook helemaal niet om onaffe producten. Zo werden twee producten als niet goed genoeg beoordeeld, die al wel in twee EU-landen werden ingezet. Wij zijn gewoon, en terecht, kritisch. Een zelfde openheid als bij de corona-apps is er ook in veel andere projecten. Het algoritmeregister bijvoorbeeld, het WOO-portaal van het ministerie van VWS of de publieke open source voorbeeld wallet. Over waarom ik aan die laatste met plezier meewerk schreef ik eerder een blog.

Ik vind het persoonlijk geen probleem om risico’s te nemen en in de wind te staan van maatschappelijke kritiek. Maar ik kan me goed voorstellen dat de publieke zichtbaarheid van overheidsinitiatieven sommige collega’s weerhoudt om op de voorgrond te treden. Risico nemen bij de overheid wordt maatschappelijk immers anders beoordeeld dan risico’s die innovators in het bedrijfsleven nemen. Niet onlogisch ook, want het gaat om belastinggeld.

De overheid is dus anders en vraagt een eigen aanpak. In de beleidsvorming zullen vanaf het begin van het politieke debat niet de instrumenten, maar vooral de doelen en de uitvoerbaarheid daarvan centraal moeten komen staan. Dan moet het stoer worden om te zeggen dat je gaat uitzoeken hoe je de besproken doelen het beste kunt bereiken. Ook vraagt het om politiek, beleid en uitvoering die (zoals de opstellers van het manifest terecht vragen) sterk verbonden zijn en om ruimte bij de uitvoering om geformuleerde doelen op een passende manier te bereiken. Zo ontstaat ruimte voor nieuwe manieren van werken en voor innovatie. Tot slot vraagt het om mildheid naar de overheid en naar ambtenaren die proberen op hun manier het beste te doen. Het breed afkraken van hun werk maakt alleen maar dat minder mensen hun hoofd boven het maaiveld willen uitsteken.

Tot slot
De verbetermogelijkheden van de digitalisering van de overheid gaan, wat mij betreft, dus maar beperkt over ICT. Het gaat over politieke ambities, over hoe we beleidskeuzes maken, over autonomie versus regie, over waarderen van durf en innovatie. Als we dat doen, dan is er veel mogelijk.

Vooraf
Op deze blog zijn in een paar dagen tijd veel reacties gekomen, die hebben geleid tot enkele verduidelijkingen in de tekst. Vaak ook kreeg ik de vraag waar ik me druk over maak, je hebt toch niets te verbergen? Die mensen verwees ik onder meer naar de recente blog van Bert Hubert en het boek van Maurits Martijn en Rob Wijnberg.

Ik merkte in die gesprekken dat een gedachtenexperiment helpt om na te denken over de eigen afweging van publieke waarden en waar de eigen grens ligt. Dat gedachtenexperiment gaat als volgt.

Huiselijk geweld vindt meestal achter de voordeur plaats. Kindermishandeling is daarom moeilijk tijdig te detecteren. Veel mensen hebben slimme speakers in huis. Om hun lampen te bedienen, om muziek te luisteren of ingebouwd in hun televisie, bijvoorbeeld. Wat zou het handig zijn als we de bedrijven achter die speakers, zoals Apple, Amazon en Google, zouden verplichten om met de ingebouwde microfoons te luisteren naar signalen van kindermishandeling en die door te geven aan opsporingsdiensten.

Ik ben benieuwd naar jouw overwegingen.


Buikpijn over client-side scanning
Ik heb buikpijn van een onderwerp dat deze week door de Commissie Digitale Zaken in de Tweede Kamer besproken zal worden. Het onderwerp is het voorkomen van de verspreiding van kinderporno. Het lijkt iets waar je niet op tegen kan zijn. Toch ben ik dat wel. Mijn buikpijn komt door de afweging van publieke waarden die ik persoonlijk maak als het gaat om het voorstel van de EU om berichten te scannen op kinderporno voordat je deze verspreidt via bijvoorbeeld Whatsapp. Ik ben tegen dat voorstel.

Dat ik worstel met dit voorstel is een teken dat digitalisering niet (alleen) een technische aangelegenheid is. Het gaat er bij digitalisering niet alleen om, bijvoorbeeld, of kwantumcomputing bestaande beveiligingsmethoden onveilig zal maken, dat ICT ons helpt om makkelijker vakanties te boeken of studiefinanciering aan te vragen. Wat de afgelopen jaren duidelijk heeft gemaakt is dat digitalisering ook grote invloed heeft op onze samenleving. Helaas niet alleen ten goede.

Dat het mogelijk is om digitaal te bepalen of een uitkeringsgerechtigde in het buitenland verblijft, zoals het UWV deed, maakt het nog geen goed idee om dat te doen. Dat het mogelijk is om modellen te maken die fraudekans voorspellen, zoals de gemeente Rotterdam deed, maakt het nog geen goed idee om dat zo te doen dat je sommige groepen veel eerder verdenkt dan andere. Alle hulde overigens aan de Gemeente Rotterdam, die toen dat duidelijk werd ook de broncode van de gebruikte algoritmes ter beschikking stelde om er onderzoek naar te doen!

Digitalisering, kortom, heeft invloed op mensenrechten, op publieke waarden. Hoe je omgaat met de mogelijkheden die digitalisering biedt vraagt ook om een ethisch debat. Niet alles dat kan, is ook een goed idee. En, ook belangrijk, elke voorkomende situatie kun je van allerlei kanten bekijken. Er is niet een eenduidig waardenkader, waarin op volgorde van belangrijkheid de af te wegen waarden zijn opgenomen. Privacy, bijvoorbeeld, gaat niet altijd boven veiligheid. En veiligheid niet altijd boven privacy.

Welk waardenkader je gebruikt, en hoe je waarden in voorkomende gevallen weegt, kan in elke situatie anders zijn. Ook de uitkomst van de afweging kan voor iedereen, alles afwegend, anders zijn. Het is het gesprek dat telt. Daarom is het zo goed dat veel organisaties (zoals provincies en gemeenten) tegenwoordig ethische commissies instellen voor het beoordelen van digitalisering.

Vanuit de Commissie Digitale Zaken van de Tweede Kamer werd eerder de vraag gesteld:

Kunt u de concrete uitwerking van het waardenkader sturen, naar aanleiding van aangenomen motie Leijten en Ceder? Zo nee, wanneer kan de Kamer deze concrete uitwerking verwachten?

Het, wellicht teleurstellende, antwoord was toen:

Met uw Kamer deel ik de behoefte aan één duidelijk waardenkader dat toegepast kan worden in digitalisering in alle sectoren. Tegelijkertijd constateer ik dat er al meerdere waardenkaders zijn die tegelijkertijd gelden. Zo zijn de waarden die wij als maatschappij van fundamenteel belang achten vastgelegd in de Grondwet. Hierbij valt te denken aan non-discriminatie, privacy en vrijheid van meningsuiting. De bescherming van deze waarden is uitgewerkt in wetgeving. De AVG ziet bijvoorbeeld toe op de bescherming van persoonsgegevens. Op basis van deze wet- en regelgeving zijn er diverse handreikingen opgesteld om organisaties te helpen deze waarden ook in de praktijk te beschermen. Voorbeeld hiervan zijn de Impact Assessment Mensenrechten Algoritmen (IAMA), de handreiking non-discriminatie by design en de Code Goed Digitaal Openbaar Bestuur (CODIO).

Die laatste, de CODIO, heeft 3 kernwaarden: democratie, rechtsstaat en bestuurskracht. Daaronder liggen 30 waarden, zoals non-discriminatie, uitlegbaarheid en inclusiviteit.

Waarden uit de Codio

Ik vind het een mooi overzichtelijk kader om te gebruiken als ik een situatie van meerdere kanten probeer te bekijken. Het bevat waarden als privacy, voorkomen van schade, bescherming en veiligheid. Waarden die ook, voor mij, belangrijk zijn bij het beoordelen van het voorstel waarover de buikpijn gaat waarmee ik deze blog begon.

Het gaat over CSAM, een voorstel van de Europese Commissie voor een Verordening ter voorkoming en bestrijding van seksueel misbruik van kinderen. Een voorstel, zou je zeggen, waar je niet tegen kunt zijn. En toch bevat het elementen waarvan ik buikpijn krijg. Daarvan pak ik er één uit:

Aanbieders van hostingdiensten en aanbieders van interpersoonlijke communicatiediensten die een opsporingsbevel hebben ontvangen, voeren dit uit door technologieën te installeren en te gebruiken om de verspreiding van bekend of nieuw materiaal van seksueel misbruik van kinderen of het benaderen van kinderen, naargelang het geval, op te sporen.

Wat hier van “interpersoonlijke communicatiediensten” zoals Whatsapp, Telegram, Signal en anderen gevraagd wordt, is dat ze dat ze berichten, voordat deze worden verstuurd, moeten scannen op bekend of nieuw materiaal. Voorstanders zeggen, overigens terecht, dat hiermee de versleutelde beveiliging van de communicatie niet wordt verbroken. Want het scannen van de berichten die mensen verzenden gebeurt immers voordat deze worden versleuteld. Het is alsof je zegt dat je het briefgeheim niet verbreekt, omdat je alleen maar over de schouder meeleest voordat de envelop wordt dichtgeplakt. Feitelijk correct, maar wil jij in een digitale samenleving leven waarin big tech over je schouder meeleest met elk bericht dat je schrijft?

Artikel 13 Grondwet
Ieder heeft het recht op eerbiediging van zijn brief- en telecommunicatiegeheim.

Het voorstel voor “client side scanning”, zoals het in de volksmond is gaan heten, leidt tot allerlei inhoudelijke discussies. Of het wel mogelijk is om materiaal te herkennen bijvoorbeeld, en of communicatiediensten wel een belangrijke rol spelen bij de verspreiding van kinderporno. Voor mij is dat niet het belangrijkste, maar wel: hoe weeg je veiligheid en het voorkomen van schade af tegen privacy en autonomie. En ook: wat zijn de risico’s die eraan verbonden zijn. Risico’s die overigens niet alleen maar fictief zijn, weet de Amerikaanse vader die op verzoek van een arts een close-up van het geslachtsdeel van zijn zoontje maakte die bij Google de alarmbellen liet afgaan.

Het verbaast me dat we tech bedrijven die zich in de praktijk lang niet altijd aan onze publieke waarden houden ( waarbij we als Nederland een grote rol spelen om juist dat te beteugelen) het lezen en beoordelen van al onze communicatie toe zouden willen vertrouwen. Het verbaast me dat waar steeds meer landen gebruik van apps als TikTok verbieden we een dergelijke app wel zouden verplichten al onze communicatie te scannen. Met ook als gevolg dat zo'n app weet over wie signalen worden doorgegeven van mogelijke verspreiding van strafbaar materiaal. Best interessante informatie voor een statelijke actor.

Het voorstel vraagt overigens niet alleen vertrouwen in bedrijven, maar ook in overheden. Die immers krijgen in het voorstel alle signalen door om op te volgen. Ook daar kunnen kwaadwillenden op in spelen. Naast het herkennen van nog niet eerder gezien materiaal (dat best vaak fout zal gaan en mensen dus onterecht in een kwaad daglicht stelt en waarbij het ook niet al te moeilijk is om een beeld te maken met een andere vingerafdruk dat er toch hetzelfde uitziet) is het de gedachte dat bekend strafbaar materiaal een vingerafdruk krijgt. Communicatiediensten moeten beoordelen of die vingerafdruk aanwezig is in een bericht dat iemand wil versturen en moeten een signaal aan opsporingsdiensten geven als dat het geval is. Om iemand in een kwaad daglicht te stellen is het de uitdaging om een onschuldig plaatje met dezelfde vingerafdruk te maken. Zo'n zelfde vingerafdruk bij een ander plaatje is heel onwaarschijnlijk, maar niet onmogelijk. Net zoals het makkelijk is om door hele kleine wijzigingen aan een bekend plaatje te zorgen dat de vingerafdruk zo wijzigt dat deze niet meer herkend wordt. Jaap-Henk Hoepman schreef hier lezenswaardige blogs over.

Je begrijpt: ik heb stevige buikpijn van dit voorstel. Zoveel buikpijn heb ik niet vaak van voorstellen om digitalisering te reguleren (ik heb dat ook van het willen verbieden van anonimiteit op sociale media, maar daarover later een keer meer). Ik sta daarin niet alleen. De EDPB is kritisch, net zoals een grote groep wetenschappers en de Juridische Dienst van de Europese Commissie zelf. Die laatste vindt het een fundamentele schending van mensenrechten:

Other than the detection orders not being clear enough, the “screening of interpersonal communications” also affects “the fundamental right to respect for private life” because it gives access to interpersonal communications, such as text messages, emails, audio conversations, pictures, or any other kind of exchanged personal information.
It can also have a deterrent effect on the freedom of expression, the document says. Moreover, the data is also being processed, which “affects the right to protection of personal data.”

De afgelopen tijd voerde ik veel gesprekken over dit voorstel van de Europese Commissie. Discussies die soms erg zwart-wit werden. Maar nee, natuurlijk ben ook ik tegen het verspreiden van kinderporno! Alleen: een digitale samenleving waarin grote bedrijven moeten meelezen op alles wat ik schrijf voordat ik de envelop dicht doe, daar moet ik persoonlijk niet aan denken. Daarom heb ik buikpijn van dat voorstel. Daarom hoop ik dat we het goede ethische gesprek erover voeren. In de Tweede Kamer en in de maatschappij. En daarom hoop ik dat het uiteindelijk niet door zal gaan.

Nawoord: wat dan wel?
Het belang van het bestrijden van het maken en verspreiden van kinderporno staat voor mij buiten kijf. Die verspreiding vindt maar in beperkte mate via berichtendiensten plaats. Toch is het goed om ook daar, rekening houdend met publieke waarden, aan te doen wat kan. Voor mij zou het denkbaar zijn dat, zoals bijvoorbeeld bij antivirussoftware, de verspreiding van materiaal waarvan de strafbare aard door opsporingsdiensten is vastgesteld technisch wordt tegengegaan. Het daarna geven van een signaal aan opsporingsdiensten, met alle risico's van dien zoals hierboven beschreven, vind ik niet proportioneel.

Kortom: het voorkomen van verspreiding van eerder herkend materiaal via digitale vingerafdrukken, zonder daarvan een melding aan opsporingsdiensten te doen, zou voor mij een denkbaar compromis zijn.

Vandaag schreef Follow the Money over de ontwikkeling van een “wallet” door de overheid. Of, zoals zij het noemen, de digitale bewijspas. Ik ben daarbij betrokken, en dus vast bevooroordeeld. Maar twee dingen vallen mij op, en doen me denken aan onderwerpen waarover ik al vaker schreef. Vandaar een nieuwe blog. Over hoe ik zelden nog betaal met een fysieke bankpas. En over dat je toch goed moet afwegen of je in een winkel ook met een app moet willen kunnen aantonen dat je 18+ bent.

Maar eerst die twee dingen die me opvielen. Over waarborgen bij regie op gegevens en over de vlag die de lading niet dekt.

Regie op - en bescherming van - je eigen gegevens

In de zorg wordt het steeds gebruikelijker: je eigen gegevens zelf ook hebben. Om samen te beslissen over jouw behandeling is het nodig om over dezelfde gegevens als je zorgverleners te beschikken. Daarom wordt veel energie gestoken in het toegankelijk maken van de eigen gegevens voor patiënten.

Gegevens- en data-uitwisseling tussen patiënt/cliënt en aanbieder en aanbieders onderling wordt, conform privacywetgeving, verbeterd waarbij uniformiteit noodzakelijk is. Een goed functionerende persoonlijke gezondheidsomgeving (PGO) voor patiënten is het einddoel, aldus het coalitieakkoord.

Aan die emancipatie van mondige patiënten is veel discussie vooraf gegaan. Maar de laatste jaren is het gewoon geworden om over dezelfde gegevens beschikken als je zorgverlener. In de meeste ziekenhuizen kun je het medisch dossier en de laatste uitslagen al inzien voordat je in de spreekkamer zit. En kun je ook die gegevens downloaden en er zelf over beschikken. Daarmee komen gegevens die (als het goed is) goed beschermd bij zorgverleners zijn opgeslagen en die ook juridisch (bijvoorbeeld door het beroepsgeheim) zijn beschermd in handen van onszelf. Wij kunnen daarmee doen wat we willen. En dus, bijvoorbeeld, ze verliezen, per ongeluk delen, of niet meer kunnen aantonen dat ze echt van de eigen zorgverlener komen, over onszelf gaan en niet gewijzigd zijn. Daarom is MedMij ontwikkeld. MedMij is een afsprakenstelsel voor persoonlijke gezondheidsomgevingen dat er voor zorgt dat, ook al is gezondheidsinformatie in het consumentendomein gebracht, mensen erop kunnen vertrouwen dat hun medische informatie klopt, veilig is en vertrouwd gedeeld kan worden. Nederland zet daarbij een stap die internationaal bijzonder is. Informatie wordt aan mensen zelf gegeven, maar er worden tegelijkertijd extra waarborgen aangebracht. Je eigen papieren medische dossier kon je ook al kopiëren en verspreiden. Maar digitalisering maakt dat risico groter, en gaat daarom gepaard met extra bescherming.

Hetzelfde is ook aan het gebeuren op andere domeinen dan de zorg. Bij de overheid, bijvoorbeeld. Onder de noemer ”Regie op gegevens” wordt er aan gewerkt dat wij allemaal de informatie kennen die de overheid over ons heeft, en daarover ook zelf kunnen beschikken. Over een bewijs van ons inkomen bijvoorbeeld, of over onze diploma’s. Gevoelige gegevens, net zoals medische gegevens. Gegevens waar we zelf, ook ik, niet altijd even precies mee omgaan. Want zeg eerlijk: sta jij een hotel toe om een kopie van je paspoort te maken, als ze je anders niet toelaten? Die kopie is bijvoorbeeld handig voor mensen die met jouw identiteit en op jouw naam een telefoonabonnement willen afsluiten. Maar zeg maar eens nee in het hotel.

Het zijn gegevens die we ongemerkt best vaak gebruiken. Om ons inkomen aan te tonen als we een woning huren of kopen, of als we solliciteren naar een functie waarbij een diploma wordt gevraagd. Ook hier geldt: op papier moet je met die gegevens al zorgvuldig omgaan. Maar digitalisering maakt verspreiding en dus ook misbruik makkelijker.

Het artikel waar ik aan het begin naar verwees beschrijft de ontwikkeling van een “voorbeeld wallet”. Een ontwikkeling waarbij de vraag precies dezelfde is als bij persoonlijke gezondheidsomgevingen: als je mensen hun eigen gegevens digitaal geeft, kun je dan extra waarborgen bieden dat die gegevens niet zomaar misbruikt kunnen worden. En kun je er zo voor zorgen dat mensen zelf regie houden over hun gegevens en het gebruik daarvan?

Je eigen gegevens ook digitaal hebben is onvermijdelijk: de meeste mensen verwachten terecht dat de overheid ze vertelt wat ze van ze weet en ook een digitaal afschrift van die gegevens verstrekt. Net als bij medische gegevens vind ik het een goed idee dat we daarbij ook nadenken over waarborgen en bescherming. Ook als die gegevens de overheid verlaten hebben en bij mensen zelf zijn.

De vlag en de lading

In 2011 werd de ontwikkeling van het landelijk EPD gestopt. Waar EPD voor stond weten nog steeds veel mensen: het Elektronisch Patiënten Dossier. Door het gebruik van het woord "dossier" dachten veel mensen dat er één landelijk dossier zou komen, met alle medische gegevens van alle Nederlanders er in. Ik schreef al eerder: dat ene dossier zou er nooit komen. Maar het woord "dossier" had desondanks blijvend veel invloed.

Misschien geldt hetzelfde wel voor woorden die we nu gebruiken in de ontwikkeling naar een persoonlijke digitale kluis voor andere dan medische gegevens. De Europese Commissie heeft voorstellen gedaan voor een dergelijke digitale kluis voor de eigen gegevens die in de hele EU te gebruiken is. Die kluis wordt "wallet" genoemd. Naar analogie van de portemonnee waarin we pasjes bewaren. Een digitale kluis waar je bijvoorbeeld een diploma in kan doen, je rijbewijs of iets anders. Een soort persoonlijke gezondheidsomgeving dus, maar dan voor andere gegevens. Zoals we vliegtickets, bankpassen of toegangskaarten voor een concert in de portemonnee kunnen stoppen maar tegenwoordig ook op de telefoon kunnen bewaren en tonen.

Met de gegevens in zo’n persoonlijke kluis kun je, zo is het idee, online aantonen dat je 18+ bent, in een ziekenhuis in Frankrijk laten zien dat je een zorgverzekering hebt, of in Denemarken als je een auto huurt aantonen dat je een rijbewijs hebt. Het is bedoeld om, in de digitalisering van veel van wat we doen, een veilig en vertrouwde kluis te bieden voor gevoelige gegevens. Dat kun je “elektronische identiteit” noemen, en dan is het moeilijk om te begrijpen wat je bedoelt (ik vind mijn diploma’s niet mijn identiteit). Of, zoals Follow the Money, bewijspas. Dat is een goed gevonden woord, want je bewijst dat je een diploma hebt, bijvoorbeeld. Maar de kluis (of “wallet” dus zoals het ding ook genoemd wordt) is eerder een opslagplek voor bewijspassen. Wat ik daarin op sla is aan mij, en wat ik wil bewijzen ook. Ik heb nog geen goed alternatief helaas. Alle voorstellen zijn dus welkom!

Open gesprek en de hoogste lat

Heb ik dan een heilig geloof in wallets? Wel nee, dat is niet waar het mij omgaat. Ik vind het mijn recht om ook digitaal over de gegevens te beschikken die de overheid van mij heeft. En om die op te slaan op een manier die ik zelf wil. En tegelijkertijd word ik graag ook een beetje beschermd tegen misbruik. Ik betaal tegenwoordig veel vaker met mijn telefoon dan met mijn fysieke bankpas. Het zou zomaar eens kunnen zijn dat over een tijdje fysieke diploma’s iets uit het verleden zijn geworden en we het heel normaal vinden dat we onze opleiding vooral digitaal bewijzen.

Net als bij medische gegevens vind ik het belangrijk dat we bij andere gegevens goed nadenken “in welke digitale samenleving we willen leven”. En dus stilstaan bij de ethische dilemma's, bij de risico’s, bij of we die acceptabel vinden en bij hoe we die beperken. Een beetje (uitstapje) zoals we privacy beschermen. We kunnen bescherming van persoonsgegevens aan “de markt” over laten. Maar zelf ben ik er blij mee dat er door de overheid extra waarborgen zijn gemaakt dat er zorgvuldig met mijn gegevens wordt omgegaan. Ik ben blij met de AVG bijvoorbeeld. Hoe lastig de vragen naar acceptatie van cookies of de privacyverklaringen op websites ook soms zijn.

Terug naar de datakluis. Als we niets doen komen die digitale kluizen er ook, van allerlei bedrijven. Net als bij medische gegevens vind ik het goed om na te denken over de grenzen en eisen daaraan, en over aanvullende waarborgen. Zodat digitalisering ons niet overkomt maar we het samen richting geven. In alle openheid en met alle dilemma’s op tafel.

Wil je, bijvoorbeeld, in een winkel als je alcohol afrekent ook met je telefoon kunnen bewijzen dat je 18+ bent of daar toch altijd een fysiek identiteitsbewijs vereisen. Wat zijn de risico’s van het gebruiken van een digitaal bewijs in de offline wereld, en wat zijn de kansen en risico’s bij online gebruik?

Wellicht kom je tot de conclusie dat extra waarborgen nodig zijn of je sommige dingen echt niet moet willen. En wellicht kom je tot nieuwe technieken die risico’s beperken. Nederland heeft veel ervaring met transparant en open ontwikkelen en ook met digitale datakluizen en online identiteit. Door voorop te lopen in het open bespreken van de dilemma’s, in het ontwikkelen van voorbeelden en het innoveren op techniek kunnen we de lat hoog leggen als het gaat om veiligheid, toegankelijkheid en privacy. En daarmee ook in Europa de toon zetten.

Daarom werk ik mee aan de ontwikkeling van de bewijspas, wallet, datakluis. Om te zorgen dat we waardengedreven digitaliseren. Dat we het niet zomaar “laten gebeuren” maar in alle openheid samen vorm geven aan een digitale samenleving waarin publieke waarden geborgd zijn.

Digitale transitie is een breed begrip en omvat veel. Dat uit zich ook in de recente brief over beleid voor digitalisering van het kabinet. Twintig pagina's beleid, ga er maar aan staan.

Aan dat beleid ga ik vanaf deze maand met heel veel mensen handen en voeten geven. Transparant en open, zoals eerder. Daarom aan jou de vraag: help je me op weg?

Ik ben heel nieuwsgierig naar jouw antwoorden op vragen als "waar moet de focus op liggen?", "wat zouden de internationale speerpunten moeten zijn?", "wie moeten zeker gevraagd worden om mee te denken en mee te doen?", "welke resultaten moeten zeker geboekt worden en hoe dan?", "wat moeten we wel doen, en wat ook niet (meer)?", "hoe en waar zorgen we voor blijvende offline en online ontmoetingen en dialoog?", "welke zinnen moeten zeker worden uitgesproken in het volgende debat over digitalisering in de Tweede Kamer?", etc.

Kortom: beleid en uitvoering voor digitalisering, dat doen we samen. Kom maar op met voorstellen en aanbiedingen om mee te doen. Bij voorkeur in een blog, een reactie, etc. Want dan kunnen anderen weer op jou reageren.

Ik ben nieuwsgierig! Reageren kan bijvoorbeeld op LinkedIn

Dit is een blog in een serie waarin ik vragen beantwoord over het wetsvoorstel “Wet elektronische gegevensuitwisseling in de zorg”. Een wetsvoorstel dat beoogt om stap voor stap de zorg te digitaliseren. Zodat faxen, brieven of DVD’s op de buik van een patiënt steeds minder voorkomen. Het is een wet waaronder gegevensuitwisselingen kunnen worden aangewezen die tenminste digitaal moeten verlopen. Dat kan op twee manieren. Door aan te wijzen dat ze elektronisch moeten verlopen (spoor 1 van de wet) of door ook aan te wijzen hoe, volgens welke norm, dat moet (spoor 2). Het is een wet waarover vragen zijn. In een serie blogs ga ik in op die vragen. Heb je ook een vraag? Laat deze gerust weten; via LinkedIn bijvoorbeeld.

De Wegiz en open API's

Van verschillende kanten wordt in de voorbereiding op de behandeling van de Wegiz gezegd dat het jammer is dat de wet geen eisen stelt aan verplicht gebruik van open API's. API's, of Application Programming Interfaces, zijn gestandaardiseerde manieren om gegevens die in informatiesystemen zijn opgenomen te raadplegen of wijzigen. Zo maken API's op de systemen van de GGD en het RIVM het mogelijk om vanuit de CoronaCheck-app vaccinatiegegevens op te vragen en er een bewijs van te maken. Ook het MedMij-afspraken stelsel, dat ten grondslag ligt aan het kunnen ophalen van de eigen informatie in een Persoonlijke Gezondheidsomgeving, werkt met dergelijke API's. Open API s maken innovatie mogelijk, door ontwikkelaars gestandaardiseerde toegang tot informatie in bronsystemen te geven. Daarom is het goed om afspraken over open API's voor de hele zorg maken (en daar wordt door Nictiz ook aan gewerkt).

Afspraken over API's kunnen ook (via opname in normen) verplicht worden gesteld onder de Wegiz. Dat kan niet in een keer voor de hele zorg, maar per gegevensuitwisseling. De Wegiz stelt namelijk eisen aan specifieke gegevensuitwisselingen, denk aan verpleegkundige overdracht of beelduitwisseling tussen ziekenhuizen. Het is dan wel nodig dat de eisen aan techniek die in normen worden opgenomen de API's bevatten.

Daar is voor gekozen omdat elke gegevensuitwisseling andere gegevens bevat en elke verplichting daardoor gaat over andere informatie die wordt uitgewisseld. Zorgprofessionals bepalen zelf in kwaliteitsstandaarden, bijvoorbeeld voor verpleegkundige overdracht, welke informatie nodig is. Als dat is gebeurd dan kan onder de Wegiz worden aangewezen hoe die gegevensuitwisseling moet plaatsvinden. Niet in de wet zelf (die bevat geen vaste technische eisen waardoor de wet innovatie mogelijk maakt), maar in een Algemene Maatregel van Bestuur (AMvB). In zo'n AMvB kan verplicht worden dat aan normen wordt voldoen. In zo'n norm worden zowel eisen gesteld aan taal als aan techniek. Zo zorg je ervoor dat de informatie over komt en ook begrepen wordt. In de aanwijzingen ten aanzien van de techniek kan (via normen waarin eisen zijn opgenomen) dus wel degelijk ook een open API worden aangewezen (bij voorkeur natuurlijk voor elke gegevensuitwisseling dezelfde).

Vanwege de opzet van de Wegiz kan het verplicht stellen van een open API dus wel, maar alleen in normen per gegevensuitwisseling. Dat hoeft niet erg te zijn, want er zijn andere manieren om zorgbrede eisen te stellen. Zo worden in het "Besluit elektronische gegevensverwerking door zorgaanbieders" eisen gesteld aan informatieveiligheid die gelden voor elk zorginformatiesysteem. Net als in de Wegiz gebeurt dat door te verplichten dat wordt voldaan aan NEN-normen. Denk aan NEN 7510 voor informatiebeveiliging en NEN 7513 voor logging. Een NEN-norm voor open API's in de zorg is er nog niet. Maar zo'n norm is best denkbaar!

Open APIs en landelijke uitwisseling
In veel regio's worden zorgspecifieke infrastructuren gebruikt voor gegevensuitwisseling tussen zorgaanbieders. Open API's hebben in de regel geen aparte infrastructuur nodig, want ze maken meestal gebruik van Internet (met beveiliging, dat natuurlijk wel). Als die open API's er zijn dan is landelijke uitwisseling ook veel makkelijker geworden. Zorgspecifieke infrastructuren kunnen dan worden vervangen door veilige communicatie over Internet met gebruik van open API's. Twee vliegen in een klap dus!

Het is een vraag die in de zorg, maar ook daarbuiten, vaak speelt. Bij het stellen van een diagnose is bijvoorbeeld soms informatie van andere artsen zinvol. Denk aan een oude MRI-scan of een eerdere diagnose. Maar wie maakte die scan ook al weer, hoe lang geleden was dat eigenlijk, is die scan nog beschikbaar? Je kunt natuurlijk een rondje bellen, maar dat is veel werk en niet altijd even doelmatig. Elektronisch de vraag stellen aan alle zorgaanbieders kan ook, maar heeft nog al wat haken en ogen. Wat als een GGZ-instelling die vraag over mij zou stellen aan alle zorgaanbieders, of een verslavingskliniek? Alleen al de vraag stellen geeft meer prijs dan je lief is.

Datzelfde vraagstuk hadden we bij het maken van CoronaCheck. Als ik in de app mijn QR-code aanmaak dan bevraagt de app meerdere bronsystemen op vaccinatie-, test- en herstelgegevens van mij. Op dit moment gaat het om de GGD, het RIVM en ZKVI (het systeem dat gebruikt wordt door ziekenhuizen die bijvoorbeeld huisartsen en ambulancepersoneel uit de eigen regio vaccineren). CoronaCheck doet dat niet door het BSN te versturen, want dat levert het privacyprobleem op dat ook de verslavingskliniek van hiervoor zou hebben. Het pseudoniem van de persoonsgegevens dat wordt verstuurd kan alleen worden gemaakt als de bron ook gegevens over de persoon bevat. Daarmee kunnen de andere bronnen niet herleiden om wie het gaat.

In de DPIA is dat alsvolgt beschreven:

Met name voor de vaccinatiegegevens geldt dat de betrokkenen die de gegevens wil opvragen om een Bewijsmiddel aan te maken niet altijd weet in welke vaccinatieadministratie zijn of haar gegevens zijn opgenomen (omdat de eerste vaccinatie mogelijk in een andere administratie is opgenomen dan de tweede of omdat men niet goed weet onder wiens verantwoordelijkheid de vaccinatie is uitgevoerd). Om toch te kunnen zorgen dat de persoon kan beschikken over een EU DCC en Coronatoegangsbewijs is de volgende oplossing ontwikkeld. Na DigiD verificatie van de persoon wordt door middel van een gepseudonimiseerde bevraging van de relevante administraties, de vaccinatie‐/test‐/herstelgegevens van de gebruiker opgevraagd bij alle (potentieel) relevante partijen.

Met het BSN en van BRP‐gegevens (voornaam, geboortenaam en geboortedatum) wordt een cryptografische hash‐waarde berekend met behulp van het SHA‐256 algoritme. Omdat genoemde invoerdata een zekere mate van voorspelbaarheid heeft, is de maximale entropie van dit deel van de hash‐waarde niet de 256 bits die het SHA‐256 algoritme potentieel biedt, maar is deze gereduceerd tot ongeveer 58 bits in de meest conservatieve schatting, maar effectief waarschijnlijk 70 bits (dit heeft te maken met de structuur van het BSN, hoe uniek achternamen zijn en dat de geboortedata in een maximaal interval van 1906 tot 2021 zullen liggen). Om deze nog relatief lage entropie te adresseren wordt bij de berekening van de hash‐waarde een voor de zorgaanbieder unieke salt gebruikt (ook wel shared secret genoemd) die de entropie voor derden verhoogt evenredig aan de lengte van de salt.

Vooralsnog wordt uitgegaan van een totale entropie (voor derden die niet bekend zijn met de salt) van 384 bits of meer. Dit vormt samen de “UNOMI‐token”.

Ik vind dit een mooie oplossing om ook op andere plekken in de zorg te beproeven. Bijvoorbeeld om mijn Persoonlijke Gezondheidsomgeving te kunnen vullen met al mijn historische gegevens. Zo'n beproeving vergt wel een passende grondslag, want het gaat ook bij een pseudoniem nog steeds om een persoonsgegeven.

Meer weten over de technische oplossing? Die is beschreven op Github.