Dit artikel verscheen op 9 april, 2021, op EW.

Diverse universiteiten, waaronder de Vrije Universiteit, de Universiteit Leiden, de Erasmus Universiteit, de Universiteit van Amsterdam en de Universiteit Utrecht, staan op het punt persoonsgegevens van hun medewerkers over te dragen aan het Centraal Bureau voor de Statistiek (CBS) ten behoeve van verwerking op basis van ras en etnische afkomst. De onoplettende, net uit dienst of even met verlof zijnde medewerker zal binnenkort raar op zijn neus kijken. Per volgende week worden diens persoonsgegevens verwerkt in een databank en een daaraan gekoppelde tabel op de website van het CBS. Dit alles in het kader van de ‘Barometer Culturele Diversiteit’.

Barometer Culturele Diversiteit

De Barometer is controversieel. Joop Schippers, hoogleraar arbeids- en emancipatie-economie aan de Universiteit Utrecht, maakte zich vorig jaar al zorgen over privacy in relatie tot deze barometer en noemde het plan dan ook ‘nogal ondoordacht’. Afgelopen december nog ‘torpedeerde’ de Tweede Kamer plannen voor diversiteit in het hoger onderwijs. Kamerleden van VVD, CDA, ChristenUnie, SGP, PVV en FVD kregen moties aangenomen met de boodschap: ‘stop met de registratie van afkomst en maak geen “barometer” voor diversiteit in het hoger onderwijs.’ Bovendien is het CBS nota bene sinds maart van dit jaar onderwerp van diepgravend onderzoek door zowel de Autoriteit Persoonsgegevens als het Agentschap Telecom, in verband met mogelijk grootschalige, jaren durende privacyschendingen rondom ‘gepseudonimiseerde’ gegevens van klanten van T-Mobile.

Desalniettemin kozen universiteiten voor deelname en stelden hun individuele medewerkers hiervan (pas) drie weken geleden op de hoogte. Zij konden binnen een termijn van twee à drie weken bezwaar maken – in het geval van de Universiteit Utrecht eindigt die termijn vandaag, 9 april. Doen zij dat niet, dan worden hun persoonsgegevens verwerkt in de Barometer.

Uitlevering gegevens voldoet niet aan privacywet- en regelgeving

Dit is geen zuivere koffie. De functionaris voor gegevensbescherming (FG) van de Universiteit Utrecht – belast met het toezicht houden op de toepassing en naleving van de Algemene verordening gegevensbescherming (AVG) binnen de organisatie – heeft dan ook zijn bedenkingen bij deze plannen. ‘Compliance’ met de AVG (dus het voldoen aan privacywet- en regelgeving) lijkt niet geborgd te zijn. Verplichte onderdelen als een Data protection impact assessment (DPIA) oftewel gegevensbeschermingseffectbeoordeling (GBEB) conform regelgeving, een heldere uitwerking van de belangenafweging die bij gerechtvaardigd belang hoort, expliciete dataminimalisatiebeoordeling, en bestuurlijke consultatie van de FG, lijken te ontbreken.

De uitwerking van dit plan leidt bijvoorbeeld tot een onvolledige informatiepositie van betrokkenen, onduidelijkheid over de relatie methode en doel, maar ook tot ontbrekende overdenking betreffende het bereiken van medewerkers die op de peildatum wél, maar inmiddels níet meer in dienst zijn.

Ook de bezwaarprocedure is problematisch. Ten eerste hebben de meeste medewerkers de beperkte en onvolledige communicatie per e-mail hierover simpelweg gemist. Reacties van collega’s met wie ik dit bespreek, lopen uiteen van schrik tot schok. Daarbij werd de e-mail op één universiteit alleen in het Nederlands verzonden, wat mogelijk gevolgen zal hebben voor bijvoorbeeld de representativiteit van de gegevens. Ten tweede kunnen medewerkers soms alleen bezwaar maken bij nota bene een diversity officer of diversity dean. De Nederlandse traditie van besluiten zonder last of ruggespraak is hiermee in het geding. En tot slot komen verontrustende berichten bovendrijven over medewerkers die zijn benaderd door leidinggevenden naar aanleiding van hun bezwaar.

Twijfelachtige grondslagen

De timing en het gebrek aan inspraak en historisch besef van deze aanpak zijn stuitend. De grondslagen en uitzonderingen waarop universiteiten zich beroepen zijn zowel juridisch als ethisch discutabel, en bovendien onvoldoende gecommuniceerd aan de medewerkers die het betreft.

Jazeker, de AVG biedt mogelijkheden voor de verwerking van persoonsgegevens waarover betrokkenen niet of nauwelijks zijn geïnformeerd. Universiteiten lijken zich te beroepen op de wettelijke voorwaarde dat de verwerking van persoonsgegevens ‘noodzakelijk’ is ‘voor de behartiging van een gerechtvaardigd belang’ (art. 6, lid 1e). Bezien de controverse rondom de Barometer, de hierboven geschetste problematiek rondom de huidige implementatie, en het ontbreken van een heldere uitwerking van een belangenafweging die hierbij hoort, is het ten zeerste de vraag of hier daadwerkelijk sprake is van een gerechtvaardigd belang.

Maar zelfs een gerechtvaardigd belang geeft universiteiten nog niet het recht om persoonsgegevens aan het Centraal Bureau voor de Statistiek over te dragen ten behoeve van verwerking op basis van ras en etniciteit. Volgens diezelfde AVG, in artikel 9, lid 1, is de verwerking van (bijzondere) persoonsgegevens waaruit ras of etnische afkomst blijken, in principe niet toegestaan. Hierop bestaan uitzonderingen (lid 2) zoals dat betrokkenen ‘uitdrukkelijke toestemming’ geven voor de verwerking – een optie die geheel ontbreekt in het huidige plan van de Barometer. Ook daarop zijn weer uitzonderingen mogelijk als uitlevering van persoonsgegevens ‘noodzakelijk’ is.

De universiteit kan de verantwoordelijkheid voor het naleven van artikel 9 bij het CBS leggen, dat immers de wettelijke taak heeft (persoons)gegevens te verwerken. Ook al is deze procedure legaal, het vraagt om een uitzondering op een verbod. Het feit dat zo’n constructie bestaat die dit omzeilt, lijkt mij ook relevant om te weten voor medewerkers. Maar noch over het verbod, noch over de uitzondering, wordt met een woord gerept. Zelfs al klopt dit technisch gezien, zou ook dit geen onderwerp van discussie moeten zijn?

Schort de Barometer op

Aldus ontvouwt zich een scenario waarbij de verwerking van persoonlijke gegevens van de medewerkers van verscheidene universiteiten op z’n minst juridisch en ethisch discutabel is, en mogelijk zelfs onrechtmatig.

Ten gevolge van bovenstaande vraag ik de betrokken universiteiten de deelname aan de Barometer Culturele Diversiteit per direct op te schorten totdat de hier besproken risico’s adequaat geadresseerd zijn, en onze collega’s volledig en tijdig geïnformeerd zijn zodat zij zonder last of ruggespraak toestemming kunnen geven conform hun geweten.