Persoonsgegevens naar China sturen mag niet, maar bedrijven doen het toch

Bij bananen of koffie is het duidelijk: bedrijven zijn medeverantwoordelijk voor mensenrechtenschendingen in hun productieketen, ook aan de andere kant van de wereld. Hoe zit het met data? KPN werkt samen met Tencent, de Chinese internet­gigant die in verband wordt gebracht met vergaande staatssurveillance en onderdrukking van minderheden in China. Het Nederlandse telecom­bedrijf heeft een app ontwikkeld voor het WeChat-platform gericht op Chinese reizigers.

De privacywet: Waarschuw gebruikers voor datadoorgifte naar China

De app WeGoEU van KPN helpt Chinezen in Europa op weg en wijst ze bijvoorbeeld op musea, restaurants, toeristenbureaus, openbaar vervoer en hulpdiensten. Omgekeerd volgt deze digitale reisgids de Chinezen bij alles wat ze doen. De app verzamelt persoonsgegevens, zoals locatie en betalingen, en bewaart die in Nederlandse datacentra.

Hierbij is de Europese privacywet van kracht. De Algemene verordening gegevensbescherming (AVG) garandeert sinds 2018 het recht van personen op bescherming van hun gegevens. Of je een Chinees of een Nederlands paspoort hebt, doet er niet toe.

De AVG trekt een virtuele grens rond de Europese Unie, die persoonsgegevens niet zomaar mogen passeren. “Persoonsgegevens de EU uit brengen, mag alleen als het land van bestemming een passend niveau van gegevensbescherming biedt”, zegt Els de Busser, als universitair docent verbonden aan het Institute of Security and Global Affairs van de Universiteit Leiden en gespecialiseerd in gegevensbescherming.

China staat niet op de lijst van goedgekeurde landen

Of een land voldoende bescherming biedt, bepaalt de Europese Commissie. Die kijkt daarvoor naar privacywetgeving, de bescherming van mensenrechten en de onafhankelijkheid van de rechtsstaat. China staat niet op de lijst met goedgekeurde landen. En dus mogen persoonsgegevens niet naar China worden verstuurd.

Er zijn uitzonderingen. Een daarvan is dat de app-gebruiker “uitdrukkelijk met de voorgestelde doorgifte heeft ingestemd, na te zijn ingelicht over de risico’s die dergelijke doorgiften voor hem kunnen inhouden.” Zo staat het in de AVG. Een gebruiker moet dus in heldere taal worden ­gewezen op de risico’s van datadoorgifte naar China.

Afgaande op de privacyvoorwaarden verzamelt WeGoEU persoon­lijke gegevens zoals naam, telefoonnummer, thuisadres en e-mail. Verder worden zoekopdrachten, bezochte websites en betalingen binnen WeChat Pay en binnen de WeGoEU-app opgeslagen. Ook kan de locatie van de smartphone worden bewaard.

“We kunnen uw persoonlijke data delen met een aantal derde partijen”, staat in de privacyverklaring, waarna Tencent als voorbeeld wordt genoemd. Tencent bewaart gegevens op servers in China, meldt de privacyverklaring ook. Waarschuwt KPN de gebruikers van de app voor de risico’s van datadoor­gifte naar China?

De tekst van de privacyvoorwaarden zal worden verduidelijkt

In een reactie zegt een woordvoerder van KPN dat de privacyvoorwaarden een verkeerd beeld oproepen en dat deze tekst zal worden verduidelijkt. De KPN-start-up WeGoEU stuurt geen data naar China, zegt hij. Dat WeChat toegang heeft tot gebruikersdata komt doordat WeGoEU ‘als mini-programma binnen de grotere WeChat-omgeving draait, waar de Chinese toerist zelf een account heeft’.

Hoe zit dat? Is dit onderscheid tussen de app en het platform terecht? Of zoekt KPN de grens op van de AVG door een app te maken voor een Chinees platform, waardoor data direct naar China vloeien zonder tussenkomst van een Nederlandse computerserver? De Autoriteit Persoonsgegevens (AP) zegt op basis van de voorgelegde informatie en zonder zelf onderzoek te doen geen uitspraak te kunnen doen over dit dossier.

Wel verwijst de AP naar een ‘gezaghebbende opinietekst’ van het Europees Comité voor gegevensbescherming, het samenwerkingsorgaan van toezichthouders. Daarin staat dat een app-gebruiker grote ­risico’s kan lopen door gebrek aan transparantie bij de dataverwerking door een app. Dat komt door het grote aantal spelers dat bij een app is ­betrokken, zoals app-eigenaars, app-winkels, makers van besturingssystemen en apparaten. Hierdoor ontstaat versnippering, waarvan een ­gebruiker de dupe kan worden.

De ethicus: Westerse bedrijven moeten westerse waarden hooghouden

Als het wel zou mogen van de Europese privacywet, moet je het dan ook ­willen, zo’n samenwerking met  Tencent? Voor mensenrechtenbeleid zegt KPN de richtlijnen van de VN voor bedrijven te onderschrijven. Daarin staat dat bedrijven niet mogen meewerken aan mensenrechtenschendingen. Data zijn handelswaar, een gewild ingrediënt voor analyse en onderdeel van de digitale productieketen.

De organisatie van ontwikkelde landen, Oeso, waarschuwde onlangs dat digitalisering kan bijdragen aan mensenrechtenschendingen. Zo kan surveillancetechnologie of kunst­matige intelligentie discriminatie bevorderen. Bedrijven moeten daarom onderzoek doen naar dit soort ­risico’s in hun bedrijfsvoering. De KPN-startup WeGoEU zegt geen ­invloed te hebben op wat Tencent met persoonsgegevens doet.

Dat het hier om een ethisch vraagstuk gaat, is evident, zegt ­Peter-Paul Verbeek, hoogleraar filosofie van mens en techniek aan de Universiteit Twente. “Dit vraagstuk zit in het hart van de problemen die we hebben met de digitale in­frastructuur. Het is niet alleen een ethische kwestie, maar ook een politieke kwestie, die over de verhouding tussen China en het Westen gaat.”

Verbeek: “Welke digitale infrastructuur willen wij vormgeven? Tegenwoordig kun je niet functioneren in de samenleving ­zonder digitale producten te gebruiken. Daarbij zijn er twee uitersten. Enerzijds heb je het harde ­kapitalisme van ­bedrijven als Facebook of Google. Anderzijds het radicale centralisme van de Chinese staat. Europa probeert een derde weg te initiëren, gebaseerd op vrijheid, gelijkheid en solidariteit.” Dat betekent dat bedrijven zich aan de westerse kernwaarden houden, zegt Verbeek. “En dus geen data prijsgeven aan een ­regime dat onze waarden ­afwijst.”

Zorg dat de ethiek is ingebakken als je technologie ontwikkelt

De Europese privacywet of de boetes die Brussel uitdeelt aan techbedrijven zijn stappen in de juiste richting, zegt Verbeek. Ook heeft hij veel vertrouwen in het concept ethics by design. “Zorg dat de ethiek is ingebakken als je technologie ontwikkelt. Er moet een ontwerp mogelijk zijn, dat Nederlandse bedrijven in staat stelt de Chinezen te faciliteren zonder het Chinese surveillancesysteem te ondersteunen.”

Sommige werknemers van KPN hebben kritiek op de samenwerking. Ook bij andere techbedrijven laten werknemers van zich horen. Zo was er bij het Amerikaanse bedrijf Microsoft protest over de levering van slimme brillen aan het Amerikaanse leger en de samenwerking met de Amerikaanse immigratiedienst. Verbeek: “Zo’n discussie is ontzettend belangrijk binnen onze democratie. Ook in het geval van KPN is het goed dat dit gesprek wordt gevoerd. Ik ken KPN ook niet als een amoreel bedrijf, maar juist als een bedrijf dat over deze dilemma’s nadenkt.”

Lees ook:

KPN onder vuur door samenwerking met Tencent

Voor Chinese partner Tencent maakte KPN de app WeGoEU. Peking controleert daarmee Chinezen in Europa, waardoor het Nederlandse telecombedrijf betrokken kan zijn bij mensenrechtenschendingen. Medewerkers van het bedrijf uiten kritiek op de samenwerking: ‘Ons moreel kompas is de weg kwijt’.