Bestaan is geen toetsing¶

Een risicoafweging die je nergens kunt inzien, functioneert als geruststelling. Ze zegt tegen de buitenwereld: wees gerust, er is over nagedacht. Wat ze niet toelaat, is dat iemand controleert of dat nadenken hout snijdt. Toetsen kan niemand haar, want het document ligt niet op tafel.

Verwijzen naar een uitgevoerde DPIA is iets anders dan hem laten toetsen. Het bestaan claimen kost niets. Het openbaar maken en de conclusies laten narekenen kost wel iets, en juist dat gebeurt in de gevallen die ik meet niet. De verwijzing blijft staan, het stuk zelf komt nooit.

Wat een DPIA hoort te zijn¶

De DPIA, in het Nederlands de gegevensbeschermingseffectbeoordeling, staat in artikel 35 van de AVG. Ze is verplicht wanneer een verwerking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van betrokkenen. Het artikel schrijft ook voor wat erin hoort. Lid 7 noemt onder meer een beschrijving van de verwerkingen, een beoordeling van de noodzaak en evenredigheid, een inschatting van de risico's en de maatregelen om die risico's te beperken.

Een DPIA is dus geen vinkje. Het is een gestructureerde afweging die de aannames expliciet maakt. Wanneer die afweging klopt en de maatregelen deugen, staat er iets toetsbaars op papier. Artikel 36 gaat nog een stap verder: blijft het risico ondanks de maatregelen hoog, dan moet de verwerkingsverantwoordelijke vooraf de toezichthouder raadplegen. De DPIA is met andere woorden bedoeld als werkend controlemiddel, met een keten naar de toezichthouder toe.

Wat de meting blootlegt¶

In de gevallen die ik onderzoek, keert een patroon terug. Er wordt naar een DPIA verwezen, maar het document is nergens in te zien. Tegelijk noemt de privacyverklaring geen subverwerkers en geen internationale doorgifte. Dat zijn precies de punten die mijn meting wél blootlegt.

Het verkeer laat zien dat er gegevens naar ontvangers gaan die de verklaring niet noemt, en in gevallen naar servers buiten de EER. Dat is een gemeten bevinding, af te lezen uit de HAR en de ontvangende domeinen. De informatieplicht van artikel 13 en 14 vraagt juist om openheid over ontvangers en doorgifte. De afweging die zou moeten bestaan, dekt daarmee juist de dingen niet die er gebeuren. Waar de meting iets toont, zwijgt het papier, en het papier dat er wél is, kan ik niet inzien.

Waarom uitgerekend die twee punten ontbreken¶

Het is de moeite waard om stil te staan bij wat er precies verzwegen wordt. De twee dingen die de privacyverklaring niet noemt, subverwerkers en internationale doorgifte, zijn geen willekeurige details. Het zijn de twee punten die het meest zeggen over waar je gegevens werkelijk terechtkomen.

Een subverwerker is een derde partij die namens de verwerkingsverantwoordelijke gegevens verwerkt, bijvoorbeeld een hostingpartij, een analytics-dienst of een advertentienetwerk. De informatieplicht van artikel 13 en 14 vraagt om openheid over de ontvangers van je gegevens. Internationale doorgifte gaat over de vraag of die ontvangers buiten de EER zitten, waar het beschermingsniveau anders kan zijn en waar sinds Schrems II extra waarborgen nodig zijn. Dit zijn precies de gegevens die een burger nodig heeft om te beoordelen wat er met hem gebeurt.

Dat juist deze twee ontbreken terwijl mijn meting laat zien dat er wél sprake van is, maakt de stilte veelzeggend. Ik trek er geen opzet uit, want dat kan ik niet meten. Wat ik wel vaststel is dat de openbare documenten het spoor doodlopen op precies de plek waar het interessant wordt, en dat de meting daar juist wél iets toont.

Belofte tegenover gemeten werkelijkheid¶

Zo staan twee dingen tegenover elkaar. De DPIA is de belofte dat er is nagedacht. De meting is wat er werkelijk over de lijn gaat. Van die twee is alleen de meting bewijs, want alleen die kan ik tonen en kan een ander narekenen.

Dat is dezelfde scheiding die door al mijn werk loopt. Een verklaring beschrijft de bedoeling, de code voert iets uit, en die twee kunnen uiteenlopen. Zie Een naam in de code is nog geen tracker voor de meetkant van datzelfde principe. Een belofte die je niet kunt controleren, verandert niets aan wat het toestel doet. De gemeten werkelijkheid is het enige spoor dat standhoudt in een discussie.

Hoe ik ermee omga in de weging¶

Mijn regel is nuchter. Zolang de afweging niet te toetsen is, telt ze in mijn weging als afwezig. Dat is geen beschuldiging dat er niet is nagedacht. Het is een weigering om iets als vaststaand aan te nemen dat ik op geen enkele manier kan controleren.

Ik behandel de verwijzing naar een DPIA dus als een vermoed pluspunt, niet als een gemeten feit. Tegenover dat vermoeden staat wat ik wél heb gemeten: verkeer naar ongenoemde ontvangers, doorgifte die de verklaring verzwijgt. In de weging wint het gemeten spoor, want dat is het enige met bewijskracht. Zie Label elke bevinding op bewijsniveau voor hoe ik die niveaus consequent uit elkaar houd.

Belangrijk is dat "telt als afwezig" niet hetzelfde is als "bestaat niet". Ik beweer nergens dat er geen DPIA is opgesteld. Het is goed mogelijk dat er een degelijk stuk in een la ligt. Mijn punt is enger en daarom houdbaarder: voor mij, als buitenstaander die het rapport maakt, kan een afweging die ik niet kan inzien geen gewicht in de schaal leggen. Zou ik haar wél laten meewegen op gezag van de verwijzing alleen, dan zou ik precies de fout maken die ik anderen verwijt, namelijk een claim aannemen zonder de meting die haar draagt. De asymmetrie is bewust. Een controleerbaar feit weegt, een oncontroleerbare belofte niet, ongeacht welke kant die belofte op wijst.

Wat het voor mijn werk betekent¶

Dit bepaalt hoe ik omga met elke belofte op papier die ik niet kan controleren. Een certificaat, een keurmerk, een verwijzing naar een uitgevoerde beoordeling: het zijn signalen die mijn aandacht sturen, en het is bewijs zodra ik het kan inzien en narekenen. Tot dat moment weegt het als afwezig, en weegt de meting.

Het scherpt ook waar ik naar kijk. Wanneer een organisatie naar een DPIA verwijst maar geen subverwerkers en geen doorgifte noemt, is dat voor mij een reden om juist die twee dingen te meten. De kloof tussen de belofte en de meting is vaak het meest sprekende deel van het rapport. Zie Een register van wat de overheid uitstuurt hoort particulier te zijn voor waarom ik dat spoor het liefst als onafhankelijke buitenstaander vastleg.

Er zit ook een grens aan wat ik hiermee zeg, en die grens bewaak ik. Ik lever de meting en de constatering dat de openbare afweging het gemeten gedrag niet dekt. Ik lever geen eindoordeel dat de organisatie de wet overtreedt. Die stap vraagt om de context die ik als buitenstaander niet volledig heb: de rechtsgrond, de eventuele waarborgen bij doorgifte, de inhoud van de DPIA zelf zodra iemand die wél inziet. Mijn werk maakt de vraag scherp en toetsbaar. Het beantwoorden ervan is aan een partij die het volledige dossier kan opvragen. Door die grens te respecteren, blijft mijn bevinding staan waar een groter oordeel zou wankelen.

Zie ook Een naam in de code is nog geen tracker, Label elke bevinding op bewijsniveau en Een register van wat de overheid uitstuurt hoort particulier te zijn.