Convenant tussen TU en politie ontleed: ‘Het zet deur open naar indringende gegevensverwerking’

Waarom is dit convenant in het nieuws?

Delta ontdekte in februari een e-mail uit 2024 van de TU-afdeling Integrale Veiligheid (IV) aan de politie. Daarin stonden de namen van vijf klimaatactivisten van End Fossil. Die actiegroep had een protest aangekondigd dat tijdens de Delft Career Days moest plaatsvinden. Voordat het van demonstreren kwam, besloot IV hun namen aan de politie te geven. Dit zou volgens hen nodig zijn geweest voor een risicoanalyse, want protesten elders in het land hadden wel eens tot problemen geleid.

In de e-mail die Delta onder ogen kreeg, waren de namen zwartgelakt. Achter één naam stond dat het een medewerker van de faculteit ME betrof. Het bleek te gaan om Bob van Vliet, oud-columnist van Delta: omdat hij columns had geschreven en wel eens een vreedzame demonstratie had bezocht. Amnesty International, de Autoriteit Persoonsgegevens, de Delftse fracties van GroenLinks en PvdA, journalistenvakbond NVJ, de Kring van Hogeronderwijsmedia: allemaal reageerden ze zeer kritisch.

Staat het convenant ook binnen de TU Delft ter discussie?

Jazeker. De vakbonden in het Lokaal Overleg hebben er op 23 februari al vragen over gesteld aan het College van Bestuur (CvB). Op 2 maart verklaarde het CvB dat het verstrekken van persoonsgegevens in het geval van End Fossil in 2024 onvolledig is gebeurd. “Afspraken over registratie en informatie zijn niet naar behoren uitgevoerd; onze werkwijze is daarmee niet voldoende controleerbaar”, schreef het CvB. Daarover later meer.

Op 11 en 12 maart zal het convenant weer worden besproken met het CvB, dan door respectievelijk de studentenraad (SR) en de ondernemingsraad (OR). Voor zover bekend zullen zij vooral informerende vragen stellen over inhoud en werking.

Is het convenant niet openbaar?

Inmiddels heeft de TU het convenant gedeeld met de OR. Ook Delta heeft dat stuk, mét een bijlage, gekregen. Aanvankelijk zei de TU dat het een vertrouwelijk document zou zijn, maar in het stuk zelf staat daar niks over.

Overigens had iedereen kunnen weten dat er een convenant was, want het wordt kort vermeld in het TU-jaarverslag 2015, het jaar dat het werd ondertekend. In november 2020 volgde een update. Dat is het document dat Delta en de OR hebben gekregen. Het is destijds namens het College van Bestuur ondertekend door de manager Integrale Veiligheid. Namens de politie tekende de teamchef basisteam Delft.

De bijlage, genaamd ‘Beslissing tot structurele verstrekking van politiegegevens aan derden op grond van artikel 20 van de Wet politiegegevens in het kader van ‘Veiligheid TU Delft’, dateert van april 2021. Die is ondertekend door de hoofdofficier van Justitie en de burgemeester van Delft, al ontbreekt van die laatste een daadwerkelijke handtekening. Omdat dit stuk gaat over hoe en wanneer de politie gegevens met de TU mag delen, en niet andersom, gaat dit artikel daar niet verder op in.

Wat staat er in het convenant?

Het zes pagina’s tellende document beschrijft waarom TU en politie samenwerken, wanneer en van wie ze persoonsgegevens mogen delen en hoe de informatieoverdracht in zijn werk gaat.

Vervoermiddelen met kenteken, bijzonderheden over relevante incidenten en camerabeelden

Beide schrijven dat ze ‘belang hebben bij het bevorderen van de veiligheid van personen en zaken en bij de gebouwen en terreinen van de TU Delft, zoals in het geval van demonstraties en verdachte personen en zaken, indien en voor zover er een dreiging is voor de openbare orde en veiligheid’.

Verderop staat dat ‘voor beide partijen het voorkomen en opsporen van strafbare feiten, het handhaven van de openbare orde en veiligheid, hulpverlening en het uitoefenen van toezicht op het naleven van wet- en regelgeving centraal staat’.

De TU Delft mag van het convenant alleen persoonsgegevens delen ‘indien en voor zover er een gerechtvaardigd belang of een andere grondslag voor verstrekking voorhanden is’ en ‘indien en voor zover de AVG en aanverwante wet- en regeling (sic) zich niet tegen verstrekking verzet’.

Er zijn vier categorieën mensen beschreven van wie de TU de persoonsgegevens mag delen met de politie: studenten van de TU, werknemers van de TU, bezoekers/passanten op TU-terrein en medewerkers van overige partijen.

Van studenten, werknemers en bezoekers/passanten kan in potentie veel worden gedeeld: voor- en achternaam, geboortedatum, woon- c.q. verblijfadres met postcode, contactgegevens als telefoonnummer, emailadres, vervoermiddelen met kenteken, bijzonderheden over relevante incidenten en camerabeelden.

Wat is er misgegaan in 2024?

In zijn statement van 2 maart schreef het CvB dat afspraken over registratie en informatie in 2024 niet zijn nageleefd en dat de werkwijze onvoldoende controleerbaar was.

Betrokkenen hadden bezwaar moeten kunnen maken, maar wisten nergens van

Uit het convenant is ongeveer op te maken wat het CvB bedoeld moet hebben. Er staat namelijk is dat de TU het belang van de betrokkene – in dit geval Bob van Vliet en de vier anderen – op de bescherming van hun persoonlijke levenssfeer had moeten afwegen tegen het veiligheidsbeleid. Ook staat er dat betrokkenen in staat gesteld moeten worden om bezwaar te maken. IV heeft hen alleen niet geïnformeerd, wat bezwaar maken onmogelijk maakt.

Verder is in het convenant afgesproken dat de TU gedeelde persoonsgegevens moet vastleggen in de ‘eigen interne systemen’. En er staat dat TU en politie samen verantwoordelijk zijn voor resultaatmeting, bewaking en beheersing van de activiteiten in het kader van het convenant. In de eerste reactie aan Delta meldde IV echter dat er geen overzicht is bijgehouden.

Is een dergelijk convenant gebruikelijk?

Amnesty International kent geen andere universiteiten die een dergelijk convenant hebben, mailt senior beleidsmedewerker technologie en mensenrechten Vera Prins.

De onafhankelijke media van de andere universiteiten en enkele hogescholen deden intern navraag, maar geen enkele instelling die daar specifiek naar is gevraagd zegt een convenant te hebben met de politie. Zij zeggen alleen namen van medewerkers en studenten te delen als er (mogelijk) sprake is van een strafbaar feit.

Een tipgever wees wel op een convenant tussen de politie en het University College Roosevelt in Middelburg. Dat valt wat betreft onderwijskwaliteit onder de Universiteit Utrecht, maar bedrijfsvoering doet de instelling zelf. Aan de Utrechtse universiteitskrant DUB heeft de instelling laten weten dat zij geen namen met de politie heeft gedeeld.

Wat vindt Amnesty International van het convenant?

Prins schrijft: “Waar Amnesty zich grote zorgen over maakt is dat de politie en de universiteit gegevensuitwisseling niet beperken tot situaties waarin sprake is van een strafbaar feit. Met dit convenant sporen politie en TU elkaar aan om informatie uit te wisselen over studenten, werknemers en bezoekers aan de universiteit. Volgens het convenant kan dat gaan om een breed scala aan persoonsgegeven zoals woonadres, het kenteken van je auto, camerabeelden (dit kunnen biometrische gegevens zijn) en een ruime restcategorie ‘bijzonderheden over relevante incidenten’. In de huidige situatie kunnen medewerkers en studenten van de universiteit terecht komen in politiesystemen, zonder dat zij daarvan afweten, en zonder dat zij ook maar iets strafbaars hebben gedaan. We weten dat zodra je in politiesystemen terecht komt, het enorm lastig is om daar informatie over te krijgen en nog ingewikkelder om er weer uit te komen.

‘Het convenant stelt een brede gegevensuitwisseling voor, zonder specifiek doel of afbakening’

Omdat het verwerken van persoonsgegevens grote gevolgen kan hebben, gelden vanuit de mensenrechten strenge regels voor de bescherming van privacy en gegevensbescherming. Een belangrijk basisprincipe is dataminimalisatie: ‘zo min mogelijk’. Dat houdt in dat een organisatie niet meer gegevens mag verwerken dan noodzakelijk is voor een specifiek (legitiem) doel. Dat mist hier. Het convenant stelt een brede gegevensuitwisseling voor, zonder specifiek doel of afbakening. Met dit convenant zetten de politie en de universiteit juist de deur open voor allerlei indringende gegevensverwerkingen.

De politie en universiteit creëren zelfs expliciet de mogelijkheid om gegevens uit te wisselen in het geval van demonstraties. Daarmee lijken zij demonstranten als risico te zien, in plaats van als bezorgde burgers die vreedzaam hun mening willen uiten. Amnesty vreest dat dit een chilling effect heeft. Als je hoort dat jouw universiteit je meldt bij de politie wanneer je demonstreert, denk je daar wel twee keer over na.

Amnesty benadrukt dat demonstreren een recht is, en dat de overheid dit in de eerste plaats moet faciliteren. Ook op een universiteit kunnen mensen demonstreren (meer hierover in dit statement). Amnesty roept de universiteit op om studenten en medewerkers die zich uitspreken middels demonstraties zoveel mogelijk de ruimte te geven en hun protest, zolang dat vreedzaam is, te zien als een onderdeel van het academische debat.”

Wat kan Amnesty vertellen over wat de politie eigenlijk doet met namen van demonstranten voor het maken van risicoanalyses?

Prins: “De politie verzamelt op allerlei manieren persoonsgegevens van demonstranten: door ID-controles, het monitoren van sociale media, het inzetten van geavanceerde camera’s bij demonstraties en huisbezoeken. De politie kan vervolgens aantekeningen maken in de politiesystemen.

‘Het is niet zo dat je verdacht wordt van een strafbaar feit: je wordt geregistreerd als betrokkene’

Die aantekeningen kunnen eventueel gekoppeld worden aan een projectcode. Een voorbeeld van zo’n code is ‘CTER05’ voor zogenaamd ‘dieren– en milieu-extremisme’. Op welke wijze die analyse plaatsvindt, wordt niet geopenbaard. Het is niet zo dat je verdacht wordt van een strafbaar feit: je wordt geregistreerd als ‘betrokkene’. Politieanalisten kunnen op die projectcode zoeken om alle bijbehorende registraties te zien.

Al die gegevensverwerkingen gebeuren meestal zonder dat degene die gecontroleerd wordt dat weet. De politie informeert jou niet over welke persoonsgegevens zij over je verwerkt en welke analyses daarover worden gemaakt. Amnesty heeft onderzoek gedaan naar verschillende surveillancemethodes van de politie en geconcludeerd dat deze praktijken in strijd zijn met mensenrechten (lees hier meer).”

Hoe nu verder?

Dat is aan het vrijwel geheel nieuwe College van Bestuur van de TU Delft. Interimmer Nick Bos startte afgelopen zomer als vice president operations, Hester Bijl is sinds januari rector magnificus en Ingrid Thijssen trad op 1 maart aan als voorzitter. Wellicht dat zij tijdens de eerdergenoemde overlegvergaderingen met SR en OR meer duidelijkheid zullen geven.