Waarom een buitenstaander dit hoort bij te houden¶

Een register van welke gegevens de overheid naar het buitenland stuurt, hoort door een onafhankelijke buitenstaander te worden bijgehouden, niet door de overheid zelf. De reden is simpel. Wie zijn eigen datastromen registreert, bepaalt ook wat er buiten het register valt. De partij die de pen vasthoudt, tekent de rand van de kaart. Alles wat net buiten die rand ligt, is dan formeel geen onderdeel van het register en dus ook geen probleem.

Dat is geen kwade wil van een ambtenaar. Het is de logica van elk zelfrapport. Je ziet wat je wilt zien, je meet wat je van plan was te meten, en de gaten in je eigen scope voelen als afgeronde randen. Een buitenstaander heeft die reflex niet. Hij begint bij het verkeer dat werkelijk over de lijn gaat en werkt terug naar de vraag wie het ontvangt.

Wat een intern register wel en niet toont¶

De AVG kent al een verplicht register. Artikel 30 schrijft voor dat elke verwerkingsverantwoordelijke een register van verwerkingsactiviteiten bijhoudt. Daarin staan de doelen, de categorieën betrokkenen, de ontvangers en de doorgiften naar derde landen. Dat klinkt als precies wat ik wil. Het verschil zit in twee dingen.

Ten eerste is dat register intern. De toezichthouder mag het opvragen, de burger krijgt het in de regel niet te zien. Ten tweede is het een beschrijving door de verwerker van zijn eigen voornemens. Het beschrijft wat men bedoelt te doen. Het bewijst niet wat de code op het toestel van de bezoeker werkelijk uitvoert. Artikel 5 lid 2 legt de verantwoordingsplicht bij dezelfde partij die de verwerking uitvoert. Dat is verdedigbaar als beleidsinstrument. Als controlemiddel voor een buitenstaander is het rond: de gecontroleerde levert het bewijs van zijn eigen naleving.

Een extern gemeten register keert die volgorde om. Ik begin bij de waarneming, een verzoek dat het toestel verlaat, en pas daarna vraag ik welk beleidsstuk daarbij zou moeten horen. Het bewijsniveau van zo'n register is gemeten, niet beloofd.

Bewust scherp afgebakend¶

Mijn overheid-meetproject is met opzet strak begrensd. Het gaat alleen over Nederlandse overheidsdiensten, hun apps en de rijksbrede contracten. Banken, retail en telecom horen er uitdrukkelijk niet bij, hoe interessant hun datastromen ook zijn. Die grens is een keuze, en het is de belangrijkste keuze in het hele project.

Een strakke scope maakt de claim verdedigbaar. Zodra ik zeg "de Nederlandse overheid stuurt gegevens naar deze ontvangers in deze landen", kan iedereen precies nagaan wat ik daarmee bedoel. Welke diensten, welke apps, welke domeinen. Er is geen ruimte voor het verwijt dat ik appels en peren optel. Een tegenpartij die de scope wil aanvechten, moet dan ingaan op de meting zelf, en dat is precies waar ik hem hebben wil.

Liever een kleine claim die klopt¶

Volledigheid is hier het doel niet. Verdedigbaarheid is het doel. Liever een kleine claim die je op elk punt kunt narekenen dan een breed overzicht dat bij het eerste tegenargument bezwijkt. Een register dat honderd stromen noemt waarvan er drie niet kloppen, is in een discussie waardeloos geworden. De tegenpartij pikt die drie eruit en de andere zevenennegentig staan meteen in de verdachtenbank. Zie ook Een naam in de code is nog geen tracker voor precies dat mechanisme.

Een register dat tien stromen noemt die allemaal kloppen, houdt stand. Het kan groeien, langzaam, stroom voor stroom, en elke toevoeging draagt hetzelfde bewijsgewicht als de vorige. Dat is de manier waarop een claim betrouwbaar groot wordt.

Hoe je zo'n register meetbaar maakt¶

De methode is bewust saai en herhaalbaar. Per dienst of app leg ik het netwerkverkeer vast als HAR-bestand, gemeten zoals een gewone bezoeker het toestel gebruikt. Uit dat verkeer haal ik de ontvangende domeinen. Per domein bepaal ik het bijbehorende bedrijf en, via het IP en een offline geolocatiebestand, het land waar de ontvangende server staat. Dat laatste raakt aan de doorgifte-regels van hoofdstuk V van de AVG, de artikelen 44 en verder, waar het Schrems II-arrest de lat legde voor doorgifte naar landen buiten de EER.

De kern van een verdedigbaar register is de scheiding van bewijsniveaus per regel:

ontvanger        | land | bewijs        | bron
-----------------+------+---------------+---------------------------
voorbeeld-a.example | US | gemeten       | HAR, request 142
voorbeeld-b.example | IE | gemeten       | HAR, request 210
verwerker-c         | ?  | afgeleid      | subverwerkerslijst, niet in verkeer

Wat in het verkeer zit, krijgt het label gemeten. Wat alleen uit een contract of een subverwerkerslijst volgt, krijgt afgeleid. Wat ik vermoed maar niet kan tonen, komt er niet in, of hooguit als expliciet gemarkeerd vermoeden. Zo blijft het register op elk punt te herleiden naar de ruwe bron. Zie ook Label elke bevinding op bewijsniveau en Netwerkverkeer lezen via HAR-files voor de onderliggende werkwijze.

Het belangenconflict dat een zelfrapport altijd draagt¶

De diepere reden om dit particulier te doen, is een belangenconflict dat in elk zelfrapport zit ingebakken. De partij die het register bijhoudt, wordt door datzelfde register beoordeeld. Wie in die positie zit, heeft er belang bij dat het overzicht netjes oogt. Niet uit kwade wil, maar omdat een probleem in je eigen register een probleem is dat je zelf moet opruimen. De weg van de minste weerstand is dan om de scope zo te trekken dat het lastige geval er net buiten valt.

Een concreet voorbeeld van hoe subtiel die grens werkt. Stel dat een overheidsapp een kaartdienst van een externe partij inlaadt. Vindt de opsteller van het interne register dat een "eigen datastroom" of "een dienst van een leverancier"? Beide antwoorden zijn verdedigbaar, en het gekozen antwoord bepaalt of de stroom in het register komt. Een buitenstaander die het verkeer meet, hoeft die vraag niet vooraf te beantwoorden. Hij ziet dat het toestel een verzoek naar de kaartdienst stuurt, legt dat vast, en laat de discussie over de juridische kwalificatie aan de lezer. De meting staat er los van hoe je de stroom noemt.

Dat is precies waarom de onafhankelijkheid materieel is. Het gaat niet om wantrouwen tegen ambtenaren. Het gaat erom dat de registrator en de geregistreerde niet dezelfde partij horen te zijn, om dezelfde reden dat een slager zijn eigen vlees niet keurt.

Wat het voor mijn werk betekent¶

Dit bepaalt hoe ik het overheid-meetproject opbouw. Ik weersta de neiging om het breed te maken. Elke keer dat ik in de verleiding kom een sector erbij te trekken of een claim op te rekken, vraag ik of de meting het draagt. Zo niet, dan blijft het buiten het register of het krijgt het label vermoed.

Het resultaat is een register dat langzaam groeit en zwaar weegt. Een buitenstaander houdt het bij, iedereen kan het narekenen, en het staat naast wat de overheid zelf publiceert in plaats van erop te vertrouwen. Dat is de rol die een particulier hier het beste kan spelen: het onafhankelijke spoor dat de belofte tegen de gemeten werkelijkheid houdt.

Zie ook Een DPIA die niemand kan inzien, is geruststelling, geen afweging, Label elke bevinding op bewijsniveau en Dezelfde meetlat voor de overheid en de app in je broekzak.