Rechtbank Den Haag: SUWI-wetgeving als basis voor de inzet van SyRI in strijd met de EHRM-criteria

Gelukkig! Ik heb ongelijk gekregen!
In mijn prognose 'SyRI is in strijd met de EHRM-criteria, maar de lagere rechter zal het gebruik van SyRI rechtmatig oordelen', sprak ik mijn verwachting uit, dat de rechtbank de toepassing van SyRI rechtmatig zou bevinden. Ik gaf aan dat de inzet van SyRI evident in strijd is met de EHRM-criteria inzake het recht op eerbiediging van de persoonlijke levenssfeer (art. 8 EVRM), omdat niet voldaan is aan de eisen van voorzienbaarheid, noodzakelijkheid in een democratie, de daaruit volgende eisen van proportionaliteit, subsidiariteit en dataminimalisatie. De inbreuk op het privéleven wordt bovendien niet gecompenseerd bij gebreke van waarborgen in de wet die ten grondslag ligt aan SyRI.

Mijn verwachting was specifiek dat de civiele rechter zou oordelen dat aan het formele vereiste van een wettelijke basis zou zijn voldaan door artikel 65 Wet SUWI en hoofdstuk 5a Besluit SUWI toe te passen. Juist die verwachting is niet uitgekomen. Dat lijkt goed nieuws, maar aan de uitspraak mogen niet te hoge verwachtingen worden verbonden!

Wat is het concrete gevolg van de uitspraak van de rechter in de SyRI-zaak? 
De rechtbank Den Haag acht de SyRI-wetgeving '..strijdig met het recht op eerbiediging van de persoonlijke levenssfeer als bedoeld in art. 8 lid 2 EVRM, voor zover deze SyRI-wetgeving de inzet van SyRI betreft (Rb. Den Haag 5 februari 2020, ECLI:NL:RBDHA:2020:865, rechtsoverweging 6.111)'.

Deze wat overvloedig ogende rechtsoverweging houdt in, dat artikel 65 Wet SUWI en Hoofdstuk 5a van het Besluit SUWI onverenigbaar is met art. 8 lid 2 EVRM.
De consequentie is dat alleen artikel 65 Wet SUWI en Hoofdstuk 5a van het Besluit SUWI onverbindend verklaard worden, vanwege de strijd van deze bepalingen met hoger recht (art. 8 EVRM).

De case law van het Europese Hof voor de Rechten van de Mens inzake artikel 8 EVRM krijgt nu eindelijk gestalte in de Nederlandse rechtspraktijk. Dat art. 65 Wet SUWI en Hoofdstuk 5a van het Besluit SUWI onverbindend moeten worden geacht, is het gevolg van de criteria die het EHRM heeft aangelegd, onder meer in de zaken EHRM 21 juni 2011, 30194/09 (Shimovolos/Rusland) (r.o. 68) en EHRM 4 december 2008, 30562/04 en 30566/04 (S. en Marper/Verenigd Koninkrijk) (r.o. 95).

Dit komt duidelijk naar voren bij de behandeling van de 'fair balance'-test in rechtsoverwegingen 6.7, 6.80 en 6.86 van de rechtbank Den Haag. In de wetgeving waarop de toepassing van SyRI is gebaseerd, wordt naar het oordeel van de rechtbank onvoldoende voorzien in waarborgen ter bescherming van het recht op eerbiediging van het privéleven. De SyRI-wetgeving biedt zonder inzicht in de risico-indicatoren en het risicomodel, althans zonder nadere wettelijke waarborgen die dit gebrek aan inzicht compenseren, onvoldoende handvatten voor de conclusie dat met de inzet van SyRI de inmenging in het privéleven in het licht van het misbruik en de fraude die wordt beoogd te bestrijden steeds proportioneel en daarmee noodzakelijk is, zoals artikel 8 lid 2 EVRM vereist (rechtsoverweging 6.95). Gelet op de beginselen van doelbinding en dataminimalisatie bevat de wetgeving onvoldoende waarborgen (r.o. 6.106). 

Wat wordt met deze uitspraak níet bereikt?
Het is goed om te beseffen dat SyRI nergens onrechtmatig wordt geoordeeld. De media zijn onbezonnen in de uitspraak gedoken, waardoor de dagbladen en nieuwssites onjuiste headlines verspreiden als "Rechter verbiedt omstreden fraudeopsporingssysteem SyRI".

Door de uitvoerige behandeling van de proportionaliteits- en subsidiariteitseis, noodzakelijkheideis ('pressing social need in a democratic society'), voorzienbaarheidseis, het Privacy Impact Assessment (PIA/DPIA) komt de rechtbank niet meer toe aan de verenigbaarheid van SyRI met specifieke AVG-bepalingen.

Opvallend is dat de rechtbank er blijk van geeft dat de 'black box' zodanig niet transparant is, dat niet getoetst kan worden wat SyRI precies is, omdat de risicomodellen niet openbaar zijn gemaakt (r.o. 6.49). Inzicht in de validatie van risicomodellen in SyRI wordt niet geboden door de SyRI-wetgeving en de rechtbank kan deze risicomodellen niet controleren (r.o. 6.65, 6.89 en 6.90).

Alle overwegingen ten spijt, wordt slechts één vordering toegewezen: de verklaring voor recht, dat artikel 65 SUWI en Hoofdstuk 5a Besluit SUWI onverbindend is. Het is de vraag wat de praktische betekenis van deze uitspraak voor betrokkenen (iedere onverdachte burger die onder de sociale zekerheid valt) is:

1. De Staat is niet gehouden om de reeds in het kader van SyRI verzamelde persoonsgegevens te vernietigen (r.o. 6.117). De vordering tot vernietiging van de persoonsgegevens moet per individueel geval worden beoordeeld;
2. De 'black box' zal niet worden geopend. De Staat is niet gehouden om de risicomodellen openbaar te maken (r.o. 6.115);
3. Voor openbaarmaking van specifieke risicomodellen dient de betrokkene de bestuursrechtelijke weg te volgen (r.o. 6.115);
4. Over discriminatie bij de inzet van SyRI wordt geen oordeel geveld, omdat discriminatie geen inbreuk hoeft te maken op art. 8 lid 2 EVRM (r.o. 6.93-6.94).

Wordt vervolgd?
Alle uitvoerige overwegingen ten spijt, heeft uiteindelijk alleen de uitspraak directe betekenis. De basis van SyRI is ongeldig, maar daarmee wordt SyRI niet als onverbindend terzijde gesteld. De wetgever heeft na de uitspraak op 5 februari 2020 besloten dat SyRI niet meer kan worden ingezet als middel voor handhaving. Mijn verwachting is dat de wetgever ofwel met een reparatie komt van de onregelmatigheden in de wet SUWI en het Besluit SUWI, of op dit moment druk in de weer is met de ontwikkeling van een ander Systeem Risico Indicatie.

4-4.1 De verenigbaarheid van de toepassing van Big Data in het strafrecht met het recht op privéleven: conclusies en aanbevelingen

4.1 Conclusie

In deze bijdrage heb ik onderzocht, in hoeverre de toepassing van Big Data-analyses en predictive policing-methoden in het kader van strafrechtelijke opsporing en vervolging, verenigbaar is met het recht op eerbiediging van het privéleven als bedoeld in artikel 8 EVRM en artikel 10 van de Grondwet. Daarbij is de invloed van de nieuwe, nog in werking te treden Wpg en het gemoderniseerde Boek 2 van het Wetboek van Strafrecht beoordeeld. 

Om antwoord te kunnen geven op de hoofdvraag, is in het eerste hoofdstuk ingegaan op de technische aspecten en de strafvorderlijke relevantie van enkele in de Nederlandse strafrechtelijke praktijk toegepaste Big Data-analysetechnieken en predictive policing-methoden. Het begrip ‘Big Data’ is niet te definiëren, omdat over dit abstracte begrip, dat zich voortdurend blijft ontwikkelen door uitdijende informatie en een veelheid aan bronnen, geen consensus zal worden bereikt. Die onuitputtelijkheid neemt niet weg dat een benadering mogelijk is met factoren als Volume (de kwantiteit van de data), Velocity (de snelheid waarmee de hoeveelheid data toeneemt) en Variety (de verscheidenheid aan bronnen). Het doel van de verkrijging van Big Data is de Value; in het strafrecht is de Value gelegen in betrouwbaar bewijsmateriaal.

Enkele voorbeelden van Big Data-analyses die met het oog op strafvordering worden ingezet, zijn uitgelicht. Hansken is een methode om databestanden van inbeslaggenomen datadragers te analyseren; de geanalyseerde data kunnen als bewijsmateriaal in een strafzaak dienen. iColumbo en het netwerk iRN dienen ertoe om (groepen van) personen te profileren en systematisch op geautomatiseerde wijze data betreffende personen of groepen via internet te verzamelen, te analyseren en te presenteren aan opsporingsinstanties. iColumbo kan worden ingezet om ‘verdacht’ gedrag via internet te detecteren. Typerend aan iColumbo is dat dit instrument continu het internet afspeurt om data van een betrokkene, die geen verdachte in de zin van artikel 27 Sv hoeft te zijn, te verzamelen en te analyseren. 

De Raffinaderij is een instrument waarin Big Data-analysemethoden worden samengevoegd om de capaciteit van het geautomatiseerde proces van het vinden van patronen tussen data en het vormen van informatie uit data te vergroten. De Nederlandse toepassingen van predictive policing-methoden zijn onder meer PredPol en het Criminaliteits Anticipatie Systeem (CAS), te verrijken met het systeem Cognos. De mogelijkheden en beperkingen van door algoritmen aangedreven predictive policing-methoden zijn besproken. Een belangrijke beperking van allerlei algoritmische toepassingen is dat onderzoek naar het causaal verband tussen oorzaak en gevolg buiten beschouwing blijft. Het verklaren van fenomenen blijft noodzakelijk en hoofdzakelijk afhankelijk van menselijke interventie.

In het tweede hoofdstuk is het wettelijke kader voor de regulering van de inzet van Big Data-analyses voor strafvorderlijke doeleinden toegelicht. Bij gebreke van een wettelijke definitie van Big Data, wordt aansluiting gezocht bij het begrip ‘persoonsgegeven’ als bedoeld in artikel 4 onder 1 AVG. De verzameling van data in het kader van strafrechtelijke data-analyses wordt gebaseerd op de algemene politietaak, de handhaving van de openbare orde en veiligheid (artikel 3 Politiewet in samenhang met artikel 142 Sv). De verwerking van persoonsgegevens, waaronder de opslag, het gebruik en de automatische vergelijking begrepen, wordt bestreken door de Wpg en Wjsg. Onder de huidige wettelijke regulering bestaan knelpunten ten aanzien van de inzetvan Big Data-analyses in het strafrecht. 

Een belangrijk knelpunt is dat het doelbindingsprincipe, dat inhoudt dat de gegevensverzameling en -verwerking wordt beperkt door een vooraf bepaalde doelstelling, onder druk komt te staan door het karakter van Big Data-analyse. Big Data-analyse kan tot doel hebben om (zoveel mogelijk) data te verzamelen, maar ook meebrengen dat data-analyse met het oog op de dagelijkse politietaak in de handhaving van de openbare orde, wordt gebruikt voor de bewijsverzameling voor eventuele strafvorderlijke beslissingen. Opsporingsambtenaren die de Raffinaderij gebruiken, drukken zelfs uit ‘booming informatie’, ofwel een zo groot mogelijke verzameling persoonsgegevens om verbanden uit te construeren met gecombineerde data-analyses, als doel te beschouwen. 

Het Moderniseringsproject van Boek 2 van het Wetboek van Strafvordering en de nieuwe, nog in werking te treden Wpg zijn ter discussie gesteld, evenals deadviezen van de Commissie-Koops, die volgens de wetgever grotendeels directzullen worden opgenomen in de wet. De gegevensbeschermingseffectbeoordeling (PIA) die in artikel 4c van de nieuwe Wpg zal worden opgenomen, dwingt de gegevensverwerkende instantie om alle belangen af te wegen. De proportionaliteit en subsidiariteit van een methode voor gegevensverwerking, waaronder gegevensverwerking in het kader van strafrechtelijke Big Data-analyses, moeten standaard worden getoetst voorafgaand aan de inzet. De privacy van de burger is één van de belangen die tegen het belang van de inzet van de methode moet worden afgewogen. Een ‘soft-law’-instrument is de aanbeveling om een Kafkaknop in te bouwen, voor de situatie waarin een systeemfout optreedt. De fout moet natuurlijk wel worden ontdekt en het systeem zou direct moeten worden uitgeschakeld bij een geconstateerde fout, anders kan de Kafkaknop weer tot Kafkaëske toestanden leiden. 

Een sterk punt is het voorstel van de Commissie-Koops, om een expliciteringseis in het Wetboek van Strafvordering op te nemen. Deze houdt in dat bij een beslissing die is genomen naar aanleiding van de uitkomst van geautomatiseerde besluitvorming, waaronder de inzet van een predictive policing-methode of het instellen van de vervolging, uitdrukkelijk uitgelegd zal moeten worden hoe en waarom tot de strafvorderlijke beslissing is gekomen. Een zwakte is dat géén normering voorafgaand aan de inzet van data-analyses inhoudt, zodat het risico blijft bestaan dat begrippen als doelbinding, dataminimalisatie en subsidiariteit niet (voldoende) worden toegepast.

In het derde hoofdstuk is uiteengezet hoe het recht op eerbiediging van het privéleven van burgers en de bescherming van persoonsgegevens zich tot elkaar verhouden en hoe de bescherming van persoonsgegevens bij de geautomatiseerde verwerking, in het Europese recht geïntroduceerd met het Dataprotectieverdrag/Conventie 108, in de zaak-Amann/Zwitserland expliciet onder de reikwijdte van artikel 8 EVRM inzake het recht op eerbiediging van het privéleven van de burger is gebracht. Artikel 10 van de Nederlandse Grondwet heeft ten aanzien van het recht op eerbiediging van de privacy vooral een formele functie, in die zin dat overheidsinmenging slechts geoorloofd is als de bevoegdheid waarmee de inmenging wordt gemaakt, in een wet in formele zin is neergelegd. Voor de materiële rechtsbescherming van de privacy van burgers is artikel 8 EVRM van de grootste betekenis.

Concreet zijn de inzet van iColumbo en het gebruik van het iRN-netwerk voor Big Data-analyse voor strafvorderlijke doeleinden, getoetst aan artikel 10 van de Grondwet en de EHRM-criteria inzake het recht op eerbiediging van het privéleven van burgers. Ten aanzien van artikel 10 van de Grondwet is het voldoende dat de inzet van iColumbo en iRN worden gebaseerd op de Politiewet, de Wpg en Wjsg, omdat daarmee is voldaan aan de eis van een wettelijke grondslag in formele zin. 

Ten aanzien van artikel 8 EVRM zijn iColumbo en iRN onderworpen aan het toetsingskader van het EHRM inzake de beoordeling van overheidsinmenging in het recht op eerbiediging van het privéleven van burgers. Het eerste criterium houdt in, dathet overheidsoptreden met iColumbo en iRN een inmenging moet opleveren in het privéleven van de betrokkene. In de opvatting van het EHRM moet het privéleven zo worden uitgelegd, dat niet slechts het leven binnen de muren van de eigen woning of het leven binnen de eigen familie beschermd wordt door artikel 8 EVRM; de burger mag ook redelijkerwijs verwachten dat contacten die worden onderhouden in een werkomgeving en overige ‘buitenwereld’, onder de privésfeer vallen. Betoogd is dat het handelen van de burger in een internetomgeving, als een digitale plaats bestemd voor communicatie met de ‘buitenwereld’, onder de reikwijdte van het privéleven valt. Het privéleven van de burger wordt geraakt als iColumbo persoonlijke informatie over het leven van de burger via internet verzamelt en analyseert. iColumbo levert daarnaast een inmenging in het privéleven van de burger op, door het continue karakter (stelselmatige ‘dataveillance’) waarmee de data van de burger worden verzameld en geanalyseerd. 

Het tweede criterium van het EHRM-toetsingskader houdt in, dat inmenging geoorloofd is, mits het overheidsoptreden aan drie subcriteria voldoet: het overheidsoptreden moet gebaseerd zijn op een wettelijke basis, die toegankelijk is voor de burger en het overheidsoptreden moet voorzienbaar zijn. De wettelijke basis voor de inzet van iColumbo en iRN en de toegankelijkheid van de wet zijn niet problematisch. Voldoende is dat de inzet wordt gebaseerd op een wettelijke bepaling. Sinds de Politiewet, Wpg en Wjsg aan het strengere vereiste van een ‘wet in formele zin’ als bedoeld in artikel 10 van de Grondwet voldoen én deze wetten voor een ieder in Nederland toegankelijk zijn, is aan de eerste twee subcriteria voldaan. De voorzienbaarheid van de inzet van iColumbo en iRN levert een eerste probleem op. Het is voor burgers niet voorzienbaar welke categorieën van burgers kunnen worden geprofileerd met iColumbo, op grond van welke gedragingen de burger aan deze Big Data-analysemethoden kan worden onderworpen. 

De inmenging door het overheidsoptreden in het recht op eerbiediging van het privéleven van de burger hoeft geen schending van artikel 8 EVRM te betekenen. De inmenging is geoorloofd als wordt voldaan aan één van de legitimerende grondenvan artikel 8 lid 2 EVRM (waaronder de bescherming van de democratische samenleving) en de inmenging strikt noodzakelijk is voor het bereiken van dit legitieme doel. Het is onduidelijk, in hoeverre de inzet van iRN en iColumbo voldoet aan de eis van strikte noodzakelijkheid. Eén van de genoemde doelen van iRN is het verzamelen van gegevens van betrokkene die eventueel als strafvorderlijk bewijs kunnen dienen. De mogelijkheid om de democratische rechtsorde beter te beveiligen kan daarnaast worden vergroot door de uitvoering van stelselmatige data-analyses op grond van iColumbo en het iRN-netwerk. Niet is gebleken of gebruikers van deze methoden (opsporingsambtenaren) in overweging nemen dat het stelselmatig verzamelen, opslaan en analyseren van persoonsgegevens, zonder dat sprake is van een verdenking in de zin van artikel 27 Sv, strikt noodzakelijk is om de veiligheid in de democratische samenleving te waarborgen. 

Tot slot kunnen compenserende factoren maken dat een inbreuk op het privéleven vande burger geoorloofd moet worden geacht. De compensatie van de onmogelijkheid van de burger om zijn recht op eerbiediging van het privéleven ingevolge artikel 8 EVRM uit te oefenen, kent een aantal minimumvereisten. Zo dient in ieder geval onafhankelijk en effectief toezicht te bestaan. De Autoriteit Persoonsgegevens is belast met het toezicht op de naleving van de Wpg bij de inzet van iColumbo. De effectiviteit van het toezicht kan in het gedrang zijn komen bij Big Data-analyses. Bij de vergaande automatische analyse van persoonsgegevens in de Fietstas van iColumbo bestaat het risico op ontoereikend toezicht, zoals onderkend is door het EHRM. Dat risico heeft te maken met met het gebrek aan inzicht in de geautomatiseerde processen die plaatsvinden na de menselijke interventie, die ‘verdwijnt’ na het invoeren van de zoekopdracht in het netwerk iRN en pas weer terugkeert in de fase van de beoordeling van de resultaten van een volledig automatische analyse van de data van betrokkene. 

Op grond van de overwegingen tot dusver is mijn conclusie, dat de inzet van Big Data-analysemethoden zoals iColumbo en het netwerk iRN, op een aantal punten niet verenigbaar is met het recht op eerbiediging van het privéleven van de burger als bedoeld in artikel 8 EVRM. Aan artikel 10 van de Grondwet is wel voldaan. De inzet van iColumbo en iRN doorstaat de EHRM-toets niet op het punt van de voorzienbaarheid, omdat het voor betrokkene onduidelijk en niet inzichtelijk is onder welke omstandigheden hij aan de instrumenten kan worden onderworpen. Onduidelijk is hoe de ‘fair balance’-test als bedoeld in S. en Marper/Verenigd Koninkrijk door de opsporingsinstanties concreet wordt toegepast.

Duidelijke, gedetailleerde regels omtrent de gedragingen van de burger die aanleiding kunnen geven tot de inzet van iColumbo, zouden de onmogelijkheid tot de uitoefening van het recht op eerbiediging van het privéleven kunnen compenseren, ware het niet dat dergelijke regels ontbreken. Het onafhankelijke toezicht op de inzet van data-analysemethoden als iColumbo komt in gevaar door het gebrek aan inzicht in volledig geautomatiseerde processen die plaatsvinden na de invoering van de zoekopdracht. Een ‘karaktertrek’ van Big Data-analyse bemoeilijkt zoals gezegd de proportionaliteit en subsidiariteit van het onderzoek: het doel van data-analyse kan gelegen zijn in het zoveel mogelijk en ongericht verzamelen van gegevens.[1] Het doelbindingsprincipe als onderdeel van de proportionaliteit komt op losse schroeven te staan door het formuleren van nieuwe doeleinden voor hergebruik van data.[2] Onder 4.2 zet ik uiteen hoe de overheid bij de toepassing van methoden voor Big Data-analyse, waaronder iColumbo, kan voldoen aan de eisen die het EHRM stelt aan het overheidsoptreden.

---

[1] WRR, Big Data in een vrije en veilige samenleving, Den Haag/Amsterdam 2016, p. 106 en 109.

[2] WRR, Big Data in een vrije en veilige samenleving, Den Haag/Amsterdam 2016, p. 108-109.

3.3.2 Toetsing van strafrechtelijke Big Data-analyses aan de EHRM-criteria: 'strikt noodzakelijk in een democratische samenleving' (3)

3. Proportionaliteits- en subsidiariteitstoets: is de overheidsinmenging in het privéleven van de betrokkene (strikt) noodzakelijk voor het bereiken van één van de gerechtvaardigde doeleinden in de zin van artikel 8 lid 2 EVRM?      

Gerechtvaardigde doeleinden

De overheidsinmenging in het privéleven van de betrokkene moet voldoen aan de eisen dat het overheidsoptreden gerechtvaardigde doeleinden dient (artikel 8 lid 2 EVRM en artikel 8 leden 2 en 3 van het EU-Handvest) en noodzakelijk is (artikel 8 lid 2 EVRM en artikel 52 lid 1 van het EU-Handvest). De overheid van een lidstaat heeft discretionaire bevoegdheid ten aanzien van de invulling van de gerechtvaardigde doeleinden; het beschermen van de openbare orde en veiligheid is een voorbeeld van een gerechtvaardigd doel.[1] Ten aanzien van het gebruik van iRN en de inzet van iColumbo kan de handhaving van de openbare orde in het kader van de algemene politietaak (artikel 3 Polw) en in het bijzonder ten aanzien van de verwerking van persoonsgegevens in iColumbo kan de handhaving van de rechtsorde in een bepaald geval (artikel 9 Wpg) als rechtvaardiging worden gebruikt. De strafrechtelijke handhaving van de openbare orde is een gerechtvaardigd doel in de zin van artikel 8 lid 2 EVRM. Daarmee is nog niet aan het proportionaliteits- en subsidiariteitsvereiste voldaan.  

Als het overheidsoptreden geheime surveillancemethoden betreft, is de kans op willekeur groter.[2] Inherent aan geheime surveillance is dat betrokkenen onbekend zijn met het feit dat op hen controlebevoegdheden worden uitgeoefend, maar dit mag niet tot effect hebben dat het recht op eerbiediging van het privéleven illusoir wordt.[3] Het EHRM is erop bedacht dat nationale overheden bij de invulling van hun discretionaire bevoegdheid gerechtvaardigde doeleinden kunnen misbruiken: ‘..a system of secret surveillance, set up to protect national security, may undermine democracy or even destroy it under the cloak of defending it.’[4] Daarvoor moet de inmenging in het privéleven van betrokkene aan het criterium van strikte noodzakelijkheid in een democratische samenleving worden getoetst.

(Strikt) noodzakelijk in een democratische samenleving

De noodzakelijkheidseis vormt een waarborg tegen misbruik van het gerechtvaardigde doel. Het EHRM oordeelt of de inmenging in het recht op eerbiediging van het privéleven van de burger noodzakelijk is in een democratische samenleving (dit is de belangenafweging die per geval plaatsvindt).[5] Het criterium ‘noodzakelijk in een democratische samenleving’ in de zin van artikel 8 lid 2 EVRM houdt in dat sprake moet zijn van een dringende maatschappelijke behoefte (‘pressing social need’) die de inmenging vereist en dat de inmenging in het privéleven van een burger proportioneel is om de gerechtvaardigde doeleinden te bereiken.[6] Daarbij houdt het EHRM strak de hand aan de subsidiariteit: indien mogelijk, moeten de minst ingrijpende methoden worden ingezet.[7]

Voor de nadere invulling van de proportionaliteitstoets heeft het EHRM (niet-uitputtende) handvatten aangereikt. In de zaak-Wypych/Polen is de positie van de betrokkene een doorslaggevende factor in de beoordeling van de proportionaliteit van de inmenging in het privéleven van betrokkene.[8] Enerzijds heeft de betrokkene, door zich in te zetten voor een publieke functie als overheidsfunctionaris en politicus, redelijkerwijs te verwachten dat zijn handelen in zekere zin kenbaar gemaakt wordt aan het publiek. Anderzijds dient het publiceren van declaraties van lokale politici in een daarvoor bestemd bulletin de controle op het overheidshandelen in een democratische samenleving te bevorderen. De afweging van de privacyverwachting die redelijkerwijs van een politicus mag worden verwacht tegen het belang van de samenleving bij overheidstransparantie inzake financiële bestedingen (‘pressing social need’), leidt tot de conclusie dat de inmenging in het privéleven van de betrokkene proportioneel moet worden geacht. 

Het is bij de behandeling van criterium 1.b (beoordeling inmenging in het privéleven) kort ter sprake gekomen dat DNA-materiaal onder privacygevoelige gegevens kan worden geschaard. De mogelijkheid om met behulp van DNA-profilering conclusies te trekken over etniciteit, maakt de opslag van DNA vatbaar voor een inmenging in het privéleven van de burger. Persoonsgegevens die de etniciteit van de burger kunnen onthullen, vallen onder privacygevoelige data waaraan een hoog beschermingsniveau wordt toegekend door Conventie 108. In de zaak-S. en Marper/Verenigd Koninkrijk kent het EHRM aan dat gegeven een doorslaggevend gewicht toe bij de uitvoering van de ‘fair balance’-test, de afweging van het recht op eerbiediging van het privéleven van de betrokkene tegen het belang van de samenleving dat met DNA-profilering gediend zou zijn.[9]

 

De ‘fair balance’-test van het EHRM in S. en Marper/Verenigd Koninkrijk bevat meerdere belangrijke vingerwijzingen voor het beoordelen van de proportionaliteit van de inmenging in het privéleven van de burger. De aard en ernst van de overtreding of misdrijf waarvan de betrokkene wordt verdacht, de duur van de bewaring van de persoonsgegevens, de mogelijkheden voor de betrokkene om zijn persoonsgegevens te laten verwijderen en de mogelijkheid tot onafhankelijk toezicht op de opslag van de persoonsgegevens zijn factoren die ertoe kunnen leiden dat de inmenging in het privéleven van de burger de proportionaliteitstoets niet doorstaat.[10]

Wanneer het om geheime surveillance gaat, wordt de discretionaire bevoegdheid van de nationale overheid ten aanzien van de invulling van de noodzakelijkheid ingeperkt: geheime surveillancemethoden zijn alleen toelaatbaar, indien de inmenging in het privéleven van de betrokkene strikt noodzakelijk is.[11] Diezelfde eis van ‘strikte noodzakelijkheid’ wordt door het Hof van Justitie van de Europese Unie bevestigd.[12] De strikte noodzakelijkheid geldt ook ten aanzien van geheime surveillancemethoden die worden ingezet binnen het strafrechtelijke kader.[13] In Szabó en Vissy/Hongarije wordt de eis van strikte noodzakelijkheid verder verzwaard door de toevoeging dat deze niet alleen in het algemeen geldt ter bescherming van de democratische samenleving, maar ook in het individuele geval ter vergaring van essentiële gegevens over de betrokkene.[14]

 

Het niet duidelijk in hoeverre de inzet van iRN en iColumbo voldoet aan de eis van strikte noodzakelijkheid in de lezing van het EHRM. Eén van de genoemde doelen van iRN is het verzamelen van gegevens van betrokkene die eventueel als strafvorderlijk bewijs kunnen dienen. Het is mij niet gebleken dat de ontwerpers en gebruikers van het iRN-netwerk (opsporingsambtenaren) in overweging hebben genomen dat het stelselmatig verzamelen, opslaan en analyseren van persoonsgegevens, zonder dat sprake is van een verdenking in de zin van artikel 27 Sv, noodzakelijk is om de veiligheid in de samenleving te waarborgen, anders dan dat de mogelijkheid om de democratische rechtsorde te beveiligen, kan worden vergroot met de uitvoering van stelselmatige data-analyses aan de hand van iColumbo. De afweging van de subsidiariteit zou kunnen betekenen dat iColumbo slechts wordt ingezet als geen ander middel voorhanden is om de waarheid aan het licht te brengen; een dergelijke afweging wordt in de regel echter pas gemaakt als de betrokkene wordt verdacht van een misdrijf (artikel 27 Sv), of wanneer er bijvoorbeeld uit omstandigheden een redelijk vermoeden voortvloeit dat in georganiseerd verband misdrijven worden beraamd die gezien hun aard een ernstige inbreuk op de rechtsorde opleveren (vgl. artikel 126o Sv).         

  

Deze argumentatie is niet houdbaar bij het gebruik van iRN en iColumbo om betrokkene real-time te monitoren zonder een vermoeden dat deze een strafbaar feit heeft begaan of aan het beramen is. In het bijzonder kan worden betwijfeld of het real-time via internet monitoren van privacygevoelige aspecten, waaronder de communicatie van de betrokkene met zijn sociale netwerk met als doel het eventueel voorkomen van strafbare feiten of het verzamelen van bewijs voor een eventuele strafzaak, proportioneel is aan het voorkomen van een mogelijke inbreuk op de rechtsorde die zelfs nog niet de vorm heeft aangenomen van een ‘redelijk vermoeden’ dat een misdrijf gepleegd zal worden.

---

[1] EHRM 12 januari 2016, 37138/14 (Szabó en Vissy/Hongarije), r.o. 57.

[2] EHRM 4 december 2015, 47143/06 (Zakharov/Rusland), r.o. 229;    

[3] EHRM 6 september 1978, 5029/71 (Klass/Duitsland), r.o. 36.

[4] EHRM 12 januari 2016, 37138/14 (Szabó en Vissy/Hongarije), r.o. 57.

[5] EHRM 9 juni 2009, 72094/01 (Kvasnica/Slovenië), r.o. 80.

[6] EHRM 2 september 2010, 35623 (Uzun/Duitsland), r.o. 78; EHRM 26 maart 1978, 9248/81 (Leander/Zweden), r.o. 58.

[7] EHRM 4 december 2015, 47143/06 (Zakharov/Rusland), r.o. 232.

[8] EHRM 25 oktober 2005, Vierde Sectie ontvankelijkheidsbeoordeling, 2428/05 (Wypych/Polen).

[9] EHRM 4 december 2008, 30562/04 en 30566/04 (S. en Marper/Verenigd Koninkrijk), r.o. 125.

[10] EHRM 4 december 2008, 30562/04 en 30566/04 (S. en Marper/Verenigd Koninkrijk), r.o. 119 en 125.

[11] EHRM 6 september 1978, 5029/71 (Klass/Duitsland), r.o. 42; EHRM 12 januari 2016, 37138/14 (Szabó en Vissy/Hongarije), r.o. 54.

[12] HvJ EU 8 april 2014, 239/12 en 594/12 (Digital Rights Ireland/Seitlinger), r.o. 52; HvJ EU 6 oktober 2015, 362/14 (Schrems/Data Protection Commissioner), r.o. 92.

[13] EHRM 2 november 2006, 23543/02 (Volokhy/Oekraïne), r.o. 43.

[14] EHRM 12 januari 2016, 37138/14 (Szabó en Vissy/Hongarije), r.o. 73.