Persoonsgegevens van medewerkers van verscheidene universiteiten worden binnenkort gedeeld met het CBS in het kader van de ‘Barometer Culturele Diversiteit’. Medewerkers kunnen individueel bezwaar maken, maar die termijn is kort en verloopt in sommige gevallen al vandaag, vrijdag 9 april. Dat is geen zuivere koffie, waarschuwt docent Tim Goudriaan in een artikel voor EW Podium.
Update 15 april:De Universiteit Utrecht heeft deze week de deelname aan de Barometer Culturele Diversiteit van het CBS opgeschort, meldt NRC. VVD-Kamerleden Ulysse Ellian en Hatte van der Woude stelden naar aanleiding dit EW Podium-artikel Kamervragen aan minister van Onderwijs, Cultuur en Wetenschap Ingrid van Engelshoven (D66). De universiteitsraad van de Universiteit Utrecht riep het college van bestuur vervolgens op om deelname aan de Barometer op te schorten. Het college gaf maandag 12 april gehoor aan aan die oproep, in afwachting van een spoedoverleg met de raad. Tot dat overleg worden geen data van medewerkers gedeeld.
Ook aan andere universiteiten, waaronder de Universiteit Leiden en de Universiteit van Amsterdam, worden steeds meer vraagtekens geplaatst bij de Barometer Culturele Diversiteit.
Diverse universiteiten, waaronder de Vrije Universiteit, de Universiteit Leiden, de Erasmus Universiteit, de Universiteit van Amsterdam en de Universiteit Utrecht, staan op het punt persoonsgegevens van hun medewerkers over te dragen aan het Centraal Bureau voor de Statistiek (CBS) ten behoeve van verwerking op basis van ras en etnische afkomst. De onoplettende, net uit dienst of even met verlof zijnde medewerker zal binnenkort raar op zijn neus kijken. Per volgende week worden diens persoonsgegevens verwerkt in een databank en een daaraan gekoppelde tabel op de website van het CBS. Dit alles in het kader van de ‘Barometer Culturele Diversiteit’.
Tim Goudriaan (1985) is oprichter van onderwijsplatform Teachmehowtodothat en docent aan de Universiteit Utrecht. Als docent combineert hij gamification met experiential learning in digitale en hybride omgevingen, met een specialistische focus op het Midden-Oosten en Oost-Azië. Daarnaast ontwikkelt en verkoopt hij e-learning modules omtrent academische en professionele vaardigheden.
Dit is een artikel van EW Podium. Daarop publiceert de redactie van EW elke week diverse artikelen van jonge schrijvers, die vanuit hun eigen onderzoek, expertise of werkervaring willen bijdragen aan het publieke debat.
Barometer Culturele Diversiteit
De Barometer is controversieel. Joop Schippers, hoogleraar arbeids- en emancipatie-economie aan de Universiteit Utrecht, maakte zich vorig jaar al zorgen over privacy in relatie tot deze barometer en noemde het plan dan ook ‘nogal ondoordacht’. Afgelopen december nog ‘torpedeerde’ de Tweede Kamer plannen voor diversiteit in het hoger onderwijs. Kamerleden van VVD, CDA, ChristenUnie, SGP, PVV en FVD kregen moties aangenomen met de boodschap: ‘stop met de registratie van afkomst en maak geen “barometer” voor diversiteit in het hoger onderwijs.’ Bovendien is het CBS nota bene sinds maart van dit jaar onderwerp van diepgravend onderzoek door zowel de Autoriteit Persoonsgegevens als het Agentschap Telecom, in verband met mogelijk grootschalige, jaren durende privacyschendingen rondom ‘gepseudonimiseerde’ gegevens van klanten van T-Mobile.
Desalniettemin kozen universiteiten voor deelname en stelden hun individuele medewerkers hiervan (pas) drie weken geleden op de hoogte. Zij konden binnen een termijn van twee à drie weken bezwaar maken – in het geval van de Universiteit Utrecht eindigt die termijn vandaag, 9 april. Doen zij dat niet, dan worden hun persoonsgegevens verwerkt in de Barometer.
Uitlevering gegevens voldoet niet aan privacywet- en regelgeving
Dit is geen zuivere koffie. De functionaris voor gegevensbescherming (FG) van de Universiteit Utrecht – belast met het toezicht houden op de toepassing en naleving van de Algemene verordening gegevensbescherming (AVG) binnen de organisatie – heeft dan ook zijn bedenkingen bij deze plannen. ‘Compliance’ met de AVG (dus het voldoen aan privacywet- en regelgeving) lijkt niet geborgd te zijn. Verplichte onderdelen als een Data protection impact assessment (DPIA) oftewel gegevensbeschermingseffectbeoordeling (GBEB) conform regelgeving, een heldere uitwerking van de belangenafweging die bij gerechtvaardigd belang hoort, expliciete dataminimalisatiebeoordeling, en bestuurlijke consultatie van de FG, lijken te ontbreken.
Lees ook dit commentaar van Gertjan van Schoonhoven: Wees alert op linksigheid die vanuit Amerika universiteiten verovert
De uitwerking van dit plan leidt bijvoorbeeld tot een onvolledige informatiepositie van betrokkenen, onduidelijkheid over de relatie methode en doel, maar ook tot ontbrekende overdenking betreffende het bereiken van medewerkers die op de peildatum wél, maar inmiddels níet meer in dienst zijn.
Ook de bezwaarprocedure is problematisch. Ten eerste hebben de meeste medewerkers de beperkte en onvolledige communicatie per e-mail hierover simpelweg gemist. Reacties van collega’s met wie ik dit bespreek, lopen uiteen van schrik tot schok. Daarbij werd de e-mail op één universiteit alleen in het Nederlands verzonden, wat mogelijk gevolgen zal hebben voor bijvoorbeeld de representativiteit van de gegevens. Ten tweede kunnen medewerkers soms alleen bezwaar maken bij nota bene een diversity officer of diversity dean. De Nederlandse traditie van besluiten zonder last of ruggespraak is hiermee in het geding. En tot slot komen verontrustende berichten bovendrijven over medewerkers die zijn benaderd door leidinggevenden naar aanleiding van hun bezwaar.
Twijfelachtige grondslagen
De timing en het gebrek aan inspraak en historisch besef van deze aanpak zijn stuitend. De grondslagen en uitzonderingen waarop universiteiten zich beroepen zijn zowel juridisch als ethisch discutabel, en bovendien onvoldoende gecommuniceerd aan de medewerkers die het betreft.
Jazeker, de AVG biedt mogelijkheden voor de verwerking van persoonsgegevens waarover betrokkenen niet of nauwelijks zijn geïnformeerd. Universiteiten lijken zich te beroepen op de wettelijke voorwaarde dat de verwerking van persoonsgegevens ‘noodzakelijk’ is ‘voor de behartiging van een gerechtvaardigd belang’ (art. 6, lid 1e). Bezien de controverse rondom de Barometer, de hierboven geschetste problematiek rondom de huidige implementatie, en het ontbreken van een heldere uitwerking van een belangenafweging die hierbij hoort, is het ten zeerste de vraag of hier daadwerkelijk sprake is van een gerechtvaardigd belang.
Lees ook dit commentaar van Joppe Gloerich terug
Maar zelfs een gerechtvaardigd belang geeft universiteiten nog niet het recht om persoonsgegevens aan het Centraal Bureau voor de Statistiek over te dragen ten behoeve van verwerking op basis van ras en etniciteit. Volgens diezelfde AVG, in artikel 9, lid 1, is de verwerking van (bijzondere) persoonsgegevens waaruit ras of etnische afkomst blijken, in principe niet toegestaan. Hierop bestaan uitzonderingen (lid 2) zoals dat betrokkenen ‘uitdrukkelijke toestemming’ geven voor de verwerking – een optie die geheel ontbreekt in het huidige plan van de Barometer. Ook daarop zijn weer uitzonderingen mogelijk als uitlevering van persoonsgegevens ‘noodzakelijk’ is.
De universiteit kan de verantwoordelijkheid voor het naleven van artikel 9 bij het CBS leggen, dat immers de wettelijke taak heeft (persoons)gegevens te verwerken. Ook al is deze procedure legaal, het vraagt om een uitzondering op een verbod. Het feit dat zo’n constructie bestaat die dit omzeilt, lijkt mij ook relevant om te weten voor medewerkers. Maar noch over het verbod, noch over de uitzondering, wordt met een woord gerept. Zelfs al klopt dit technisch gezien, zou ook dit geen onderwerp van discussie moeten zijn?
Schort de Barometer op
Aldus ontvouwt zich een scenario waarbij de verwerking van persoonlijke gegevens van de medewerkers van verscheidene universiteiten op z’n minst juridisch en ethisch discutabel is, en mogelijk zelfs onrechtmatig.
Ten gevolge van bovenstaande vraag ik de betrokken universiteiten de deelname aan de Barometer Culturele Diversiteit per direct op te schorten totdat de hier besproken risico’s adequaat geadresseerd zijn, en onze collega’s volledig en tijdig geïnformeerd zijn zodat zij zonder last of ruggespraak toestemming kunnen geven conform hun geweten.
Wil jij een reactie geven op dit artikel? Discussieer mee! Stuur een reactie van minimaal 200 woorden naar [email protected]. Inhoudelijke reacties die voldoen aan de algemene fatsoensnormen worden geplaatst onder dit bericht. Zie voorwaarden.