ICT-ellende (14) – Als je niet zomaar je eID laat uitlezen…

Materiaal ontlenen

Een muziekvereniging waar ik lid van ben organiseert een concert. Zij ontleent daarvoor bij de provinciale uitleendienst verlichtingsmateriaal; twee dagen voor het concert mag dat afgehaald worden. Ik wordt aangeduid als vrijwilliger en krijg van onze verantwoordelijke een document met een lijst van het ontleende materiaal. Daar staat ook op vermeld dat de afhaler zijn eID moet laten scannen. Maar mag de uitleendienst dat wel eisen? Ik vraag het aan MS Copilot, waarvan je intussen weet dat ik altijd waarschuw voor de beperkte betrouwbaarheid. Voordeel van AI-tools als CoPilot en ChatGPT is dat je, net door het mechanisme van statistische selectie van woorden, een goed leesbare tekst krijgt. Of die dan ook klopt is een andere kwestie (zie Gen-AI produceert onzin). Voor deze materie heb ik echter nuttig bronmateriaal om de beweringen te controleren, nl:
– het boek Privacy en gegevensbescherming op basis van de AVG, Leo Besemer, ISBN 978-9-403-76461-0;
– het boek The EU General Data Protection Regulation (GDPR), Springer, ISBN 978-3-319-57958-0;
– de website van de Gegevensbeschermingsautoriteit of GBA.
Voor de duidelijkheid: 'AVG' of 'Algemene verordening gegevensbescherming' is de Nederlandstalige versie van 'GDPR' of 'General Data Protection Regulation'.

Mag eID-uitlezing geëist worden?

Een verhuurbedrijf wil mijn ID digitaal inlezen vooraleer ik materiaal meekrijg. Is dat wettelijk toegestaan?

Korte conclusie – Een verhuurbedrijf mag je identiteitskaart niet zomaar digitaal inlezen of kopiëren. Ze moeten aantonen dat dit noodzakelijk is, en zelfs dan moet de minst ingrijpende methode worden gebruikt. In de meeste verhuursituaties volstaat een visuele controle van je eID.

Wat zegt de Gegevensbeschermingsautoriteit (GBA)?

De GBA is hier heel duidelijk:
– Je mag enkel worden geïdentificeerd als dat noodzakelijk is voor de dienst.
– Als een dienst kan worden verleend zonder identificatie, moet dat zo gebeuren.
– Een kopie of digitale scan nemen is niet toegestaan als een visuele controle volstaat.

Met andere woorden: waar een eenvoudige visuele controle van uw identiteitskaart kan volstaan, moet deze weg worden gevolgd.

Wanneer is digitaal inlezen wel toegestaan?

Alleen als het verhuurbedrijf kan aantonen dat identificatie absoluut noodzakelijk is voor de transactie, én een visuele controle niet volstaat, én ze niet méér gegevens verwerken dan nodig (dataminimalisatie).

In de praktijk is dat zelden het geval voor materiaalverhuur.

Wat mag zeker niet?

– Je eID kopiëren of scannen zonder noodzaak.
– Je rijksregisternummer verwerken zonder wettelijke basis.
– Je ID gebruiken als waarborg; dat is expliciet verboden.

Wat mag een verhuurbedrijf wél doen?

– Je ID bekijken om te controleren of jij bent wie je zegt dat je bent.
– Je naam en contactgegevens noteren, indien nodig voor het contract.

Ik maak een documentje met deze informatie, om mee te nemen naar de uitlener.

Gerechtvaardigd belang?

In deze materie wordt nogal eens geschermd met het begrip "gerechtvaardigd belang", dat één van de redenen is (mogelijk de meest voorkomende) waarom een dienst persoonsgegevens mag verwerken. Ik stel een nieuwe vraag aan Copilot.

Een ontlener heeft een contract met een uitlener voor het lenen van materiaal. Het materiaal wordt echter afgehaald door een derde. De uitlener wil de eID van de afhaler uitlezen, maar de afhaler betwijfelt de rechtmatigheid daarvan, omdat er andere manieren bestaan om de afhaler te identificeren. Kan hier sprake zijn van gerechtvaardigd belang van de uitlener?

Dit is precies zo'n situatie waar het GBA‑standpunt over eID‑uitlezing en het concept van gerechtvaardigd belang elkaar raken. En het antwoord is genuanceerd: ja, het kan, maar alleen onder strikte voorwaarden, en in de praktijk gaat het vaak mis.

1. Mag een uitlener zich beroepen op "gerechtvaardigd belang"?

In theorie: ja. In praktijk: alleen als aan alle voorwaarden wordt voldaan, en dat is zelden het geval bij eID‑uitlezing.

Volgens artikel 6(1)(f) GDPR moet de uitlener aantonen:
1. Doeltest – Er is een legitiem belang (bv. voorkomen van fraude, zeker weten dat het materiaal aan de juiste persoon wordt meegegeven).
2. Noodzakelijkheidstest – De verwerking is noodzakelijk om dat doel te bereiken.
3. Belangenafweging – De privacy‑impact voor de betrokkene weegt niet zwaarder dan het belang van de uitlener.
Het struikelblok is bijna altijd stap 2: noodzakelijkheid.

2. Waarom eID‑uitlezing meestal niet "noodzakelijk" is

De GBA is hier heel duidelijk over geweest: het uitlezen van de chip van de eID is een zware vorm van verwerking (veel meer gegevens dan nodig). De GBA stelt dat organisaties altijd eerst moeten kijken naar minder ingrijpende alternatieven, zoals:
– visuele controle van de eID,
– noteren van naam + documentnummer,
– laten tekenen van een afhaalbewijs,
– gebruik van een volmacht van de ontlener.

Als er minder ingrijpende middelen bestaan die hetzelfde doel bereiken, dan is uitlezen van de eID niet noodzakelijk. Dus: geen gerechtvaardigd belang.

3. Specifiek voor jouw scenario:
Situatie – Contract is tussen ontlener en uitlener, derde komt materiaal afhalen. De uitlener wil zekerheid dat deze derde effectief gemachtigd is.
Analyse – De uitlener heeft een legitiem belang: voorkomen dat materiaal aan de verkeerde persoon wordt meegegeven.

Maar: de identiteit van de afhaler kan perfect worden vastgesteld via minder ingrijpende middelen:
– visuele controle van de eID,
– volmacht van de ontlener,
– vooraf doorgegeven naam van de afhaler,
– handtekening bij afhaling. 
Daarom is uitlezen van de chip niet noodzakelijk.

Conclusie – Nee, in deze situatie is gerechtvaardigd belang vrijwel zeker onvoldoende om eID‑uitlezing te rechtvaardigen. De uitlener mag de eID visueel controleren, maar niet uitlezen, tenzij hij kan aantonen dat er geen enkel alternatief bestaat, dat uitlezing proportioneel is, en dat de privacy‑impact beperkt is.

Dat is in dit soort afhaalscenario's praktisch onmogelijk.

4. Wat mag de uitlener wél doen?
– Identiteit visueel controleren
– Naam en documentnummer noteren
– Een volmacht vragen
– Een afhaalbewijs laten tekenen
– De ontlener vooraf laten bevestigen wie komt afhalen
Allemaal volledig GDPR‑conform.

5. Extra nuance: contractuele relatie

De afhaler is geen partij in het contract. Dat maakt de belangenafweging nog moeilijker voor de uitlener: hij verwerkt gegevens van iemand die geen contractuele relatie heeft en die geen verplichting heeft om zijn eID te laten uitlezen.

Bij de uitlener

Bij de afhaling uit ik mijn bezwaar tegen de magazijnier, maar die is onvermurwbaar, wellicht omdat het informatiesysteem niet kan werken zonder uitlezing. De overhandiging van mijn documentje met informatie kan hem dan ook niet van gedacht doen veranderen. Niettemin lijkt hij geïmponeerd, want hij belt wel de baas. Het is overigens niet mijn bedoeling om iemand te imponeren, wel om mijn eID niet te moeten laten uitlezen. Maar hun beleid is duidelijk: het materiaal kan alleen meegegeven worden als de eID wordt uitgelezen. Ik kan het materiaal niet om die reden achterlaten, omdat het die avond moet beschikbaar zijn in de concertzaal. M.a.w. ik wordt gedwongen mijn eID te laten uitlezen.

De baas laat het daar niet bij, en stuurt een geërgerde mail naar mijn vereniging.

Beste,
Vandaag werden materialen opgehaald voor jullie vereniging.
De persoon die de materialen kwam afhalen deed heel erg moeilijk over het uitlezen van zijn eID. Ik ben beleefd en zelfs vriendelijk gebleven, dus dat "heel erg moeilijk" is serieus overdreven.
Dit leidde ertoe dat ik telefonisch contact kreeg van de balieverantwoordelijke, omdat de persoon in kwestie dreigde met klachten tegen ons. Klopt in feite wel; ik heb allicht de GBA vermeld.
Aan de balie kreeg de persoon de volgende keuze:
– De eID laten uitlezen en de materialen mee nemen.
– De eID niet laten uitlezen; in dat geval konden de materialen niet meegegeven worden, maar wordt de factuur voor de reservatie wel opgemaakt wegens laattijdige annulatie. Dat werd niet uitgelegd, maar dat zou ook geen verschil gemaakt hebben.

De betrokken persoon koos uiteindelijk voor de 1^ste optie. Een weigering had te grote gevolgen voor de vereniging.
Het uitlezen van de eID is een standaardprocedure bij het uitlenen van materialen, zodat wij kunnen verifiëren wie het materiaal in ontvangst neemt. Kan wel zijn, maar daar zijn ook andere methoden voor.
Deze procedure is vastgelegd in:
– het oude reglement, artikel 5, paragraaf 6; Moet dat nog gemeld worden?
– het nieuwe reglement, artikel 7, paragraaf 6. Daar staat dat de afhaler bij afhaling zijn/haar identiteitskaart dient te laten uitlezen. De dienst werkt dus in overeenstemming met het reglement, maar (1) dat zegt nog niet dat het reglement wettelijk in orde is, en (2) ik heb dat reglement niet ondertekend.

Ons privacybeleid is volledig in overeenstemming met de GDPR en is raadpleegbaar via de provinciale website … Dat zal ik zeker nagaan. Zeggen dat het reglement in overeenstemming is met de GDPR is nog geen bewijs. Bovendien werkt deze webpagina niet zonder AdGuard uit te schakelen, wat toch wel uitzonderlijk is. Lijkt mij ook niet pluis; wat zit daarachter? Wie wil hier cookies plaatsen zonder mijn toestemming…?
Concreet:
– Gegevens van afhalers en terugbrengers worden bewaard tot de reservatie volledig is teruggebracht. Zie verder.
– Bij schade worden gegevens twee jaar bewaard.

De persoon legde bovendien een door ChatGPT gegenereerd document voor (zie bijlage). Dit is klein. De baas had dat beter eens grondig gelezen. Maar hij had allicht geen redelijk antwoord.
Met deze mail hoop ik eventuele ongerustheid weg te nemen. Ongerustheid?? Waarover dan? Over de heisa die hij zelf maakt waarschijnlijk…
Door van onze dienstverlening gebruik te maken gaat u akkoord met ons reglement en onze procedures. Dat is weer dubbel. Als je moet akkoord gaan met een reglement met privacy-inbreuken om van een dienst gebruik te maken, kan je in heel veel gevallen naar je privacy fluiten, en dat is fundamenteel niet OK. Onder druk van technologische "oplossingen" (voor problemen die de techsector zelf creëert) wordt een loopje genomen met de privacy; als burger kan je je schikken, of de ambetanterik uithangen.
Mag ik u daarom verzoeken om in de toekomst personen die materialen komen afhalen of terugbrengen vooraf te informeren over deze procedures, zodat wij aan de balie geen onnodige discussies moeten voeren en bovendien tijd verliezen. (1) Ik was daar op dat moment de enige klant, dus er was tijd genoeg. (2) Bovendien zal ik zelf wel uitmaken of die discussie nodig was of niet. (3) Deze verantwoordelijke kan zich blijkbaar niet inbeelden dat zich hier een privacyprobleem stelt.
Alvast bedankt voor uw begrip en medewerking.

Het is ook niet eenvoudig in te schatten hoe groot dat privacyprobleem is. Maar het gaat hier wel om het uitlezen van de eID, terwijl het gebruik van die eID op de sites van de overheid nog altijd als meest veilige toegangsmethode wordt aangeduid. Moeten we dan niet extra voorzichtig zijn? We kunnen er immers van uitgaan dat alle gegevens die ergens worden opgeslagen ook kunnen gehackt worden (hoe komt Big Tech anders aan al die gegevens voor AI-chatbots?). Groot vraagteken daarbij is welke gegevens een handelaar of dienstverlener uit een eID kan aflezen; ik vermoed dat dat afhangt van de machtiging die is verleend door de privacycommissie, maar dat gebeurt nogal eens vanuit de losse pols; zie ook ICT-ellende (5) – Farys en het RRN. (Tussen haakjes: een PIN-code zit niet op de eID-kaart; blijkbaar is er voor de PIN-functie een veilig systeem uitgedacht.)

Het is allicht vooral de context die het standpunt van een medewerker m.b.t. privacy bepaalt. De magazijnier van een uitleendienst wil graag zeker zijn dat hij geen materiaal meegeeft aan een bedrieger. Door de afhaler te identificeren via uitlezing van een eID voelt de magazijnier zich veilig, en zijn baas ook. Net omdat de gemoedsrust van beiden afhankelijk is van de eID-uitlezing zullen ze die niet in vraag stellen. Iemands privacy kan hen dan gestolen worden. Het is allicht daarom dat organisaties door de GDPR worden verplicht een privacybeleid uit te werken.

Op de website

Bij het privacybeleid van de provincie is een sectie voorzien voor uitleningen; zie "Uitleendienst – Materiaal ontlenen". Onder de hoofding "Welke gegevens verwerken we?" / "Contactgegevens" staat dit: "Afhalers en terugbrengers van materiaal: naam, voornaam, rijksregisternummer gsm- en/of telefoonnummer". Mijn naam en voornaam en allicht ook het rijksregisternummer hebben ze waarschijnlijk van mijn eID gelezen; naar een telefoonnummer hebben ze niet gevraagd. Ik ben in elk geval niet gediend met het onrechtmatig uitlezen van mijn rijksregisternummer.

Onder "Gegevensverwerking en beveiliging": "We verwerken jouw gegevens in Rentmagic. Deze uitleensoftware is ontwikkeld en wordt onderhouden door Infodatek Software BV (dit zijn in feite de boosdoeners). Infodatek Software BV neemt passende beveiligingsmaatregelen (vermoedelijk volgens eigen goeddunken). Zij hebben toegang tot de gegevens maar verwerken deze niet voor eigen doeleinden (wat niet te controleren valt; valt verkoop ook onder verwerking?).

Op diezelfde pagina over het privacybeleid staat onderaan een knop "Bekijk en/of download machtigingen en protocollen". Hier is niet duidelijk welke machtigingen van toepassing zijn. Wel duidelijk is dat er machtigingen zijn waarmee betrokkenen het Rijksregister kunnen raadplegen. Ik wil in elk geval niet dat de uitleendienst mijn gegevens in het Rijksregister kan raadplegen; uitlezing van mijn eID opent die mogelijkheid wel.

Ook interessant: "We verwerken jouw persoonsgegevens steeds op basis van één van deze grondslagen:
– jouw toestemming; Heb ik niet gegeven; de mail van de baas bewijst dat overigens onomstotelijk :-)
– een contract dat we onderling afsluiten; Heb ik zelf niet afgesloten. Mogelijk de ontlener wel, maar een verbintenis van de ontlener sijpelt niet door naar de afhaler.
– een wettelijke verplichting waaraan we moeten voldoen; Geen idee wat dat zou kunnen zijn; de wet verplicht immers geen eID-uitlezing.
– een taak die we als overheid moeten uitvoeren in het kader van algemeen belang of openbaar gezag". Nog meer benieuwd; lijkt mij niet van toepassing bij verhuur.

Dus mijn standpunt wordt niet gewijzigd.
– Ik denk dat zij ten onrechte de uitlezing van de eID verplichten.
– Daarom wil ik weten (1) welke wettelijke basis ze gebruiken, (2) waarom een visuele controle niet volstaat, (3) welke gegevens ze precies opslaan en hoe lang, en (4) naar welke verwerkers de gegevens werden doorgestuurd.
– Ik wil een melding zodra mijn gegevens uit hun systeem zijn verwijderd.
Dus dat ga ik vragen. Dat kan volgens de pagina over privacybeleid per mail, of online via een webformulier. Verder verwijzen ze naar de mogelijkheid om een klacht neer te leggen bij de Vlaamse Toezichtcommissie (VTC).

Mail naar de verwerker

"Verwerker" is een algemene term die in AVG-verband regelmatig wordt gebruikt voor personen die verantwoordelijk zijn voor het proces of het systeem waarmee persoonsgegevens worden verwerkt. In dit geval stuur ik een mail naar de dienst Persoonsgegevens van de provincie, met o.m. deze vraag:

Kunt u mij laten weten:
(1) waarom een visuele controle van het ID van de afhaler niet volstaat,
(2) welke wettelijke basis wordt gebruikt om de uitlezing te verplichten,
(3) welke gegevens precies worden opgeslagen en voor hoe lang, en
(4) naar welke verwerkers de gegevens werden doorgestuurd?
Met dank bij voorbaat.
Bij deze wil ik meteen vragen om verwijdering van mijn persoonsgegevens, bij alle verwerkers.
Graag bevestiging daarvan.

Antwoord van de verwerker (1)

Twee dagen later is er al een antwoord. Veel sneller dan ik kon verwachten, gezien de maximale termijn van 30 dagen. Er zijn diensten die met opzet 30 dagen wachten om te antwoorden, zoals Farys.

Geachte,
Wij hebben uw vragen betreffende het uitlezen van uw e-ID en het verwijderen van uw persoonsgegevens goed ontvangen. Aangezien het ontleende materiaal reeds werd teruggebracht zijn de persoonsgegevens van de afhaler, u in dit geval, reeds automatisch verwijderd. Bijgevoegd document toont een leeg veld. Ik hoop u hiermee voldoende gerust te stellen.
Uw andere vraag wordt verder onderzocht, hiervan zal u op een later moment een antwoord ontvangen.
Met vriendelijke groeten,

Moest ik gerust gesteld worden? Ik denk het niet, en anders is dat niet gelukt. Er wordt door allerlei private en openbare ICT-systemen zodanig gespeeld met diverse data dat je al lang niet meer zeker kan zijn omtrent de veiligheid van je persoonsgegevens. Wat telt voor Deckers Advies is de correcte werking van systemen die hier worden gebruikt bij het verlenen van diensten aan klanten, en ook dáárover ben ik niet gerustgesteld. Want:

• Er wordt een Word-document meegestuurd met daarin zo te zien een screen print uit één of ander IT-systeem, maar ik weet niet welk (voor zover ik zie kon die screen print ook dadelijk in de mail worden opgenomen, maar dit terzijde). Ik neem echter aan dat dit euvel geldt voor elke vraag naar verwijdering van persoonsgegevens: als je het gebruikte IT-systeem niet kent, kunnen ze je in feite gelijk wat voorschotelen. Dat geldt dus niet alleen voor deze provincie.
• Een titel met daarin het ordernummer en de naam van de klant bevestigen dat het om de bedoelde levering gaat. Hier duikt hetzelfde probleem op: of die gegevens werkelijk uit dat IT-systeem komen, of manueel werden toegevoegd, kan je als klant niet weten. Maar dat geldt waarschijnlijk ook voor alle andere leveranciers en IT-systemen. Je moet in feite de leverancier op zijn woord geloven.
• Onder de titel staan een tiental woorden, die blijkbaar dienen als selectietabs; "Identificatie" staat in rood, de andere niet. Nu moet ik weer aannemen dat die rode kleur betekent dat dit beeld de beschikbare identificatiegegevens toont van de bij dit order betrokken personen, maar dat blijkt helemaal niet uit dat beeld.
• In deze transactie zijn allicht nog andere personen betrokken, alvast de ontlener; ik zie geen reden waarom diens gegevens ook zouden verwijderd zijn, maar ze worden niettemin niet getoond (!).
• Onder die selectietabs staat een veld met daarin in grijze letters "Zoeken…". En nu wordt ik achterdochtig. Dit is blijkbaar een zoekveld, m.a.w. een veld waarin je een naam of een deel daarvan kan ingeven om een regel te zoeken in de lijst eronder. Maar er is geen lijst, alleen dat zoekveld. Klopt dat wel?

Als klant heb je er het raden naar of een dergelijke screen print al dan niet bewijst dat je persoonsgegevens zijn gewist. Er is geen lijst te zien (wat inderdaad zou kunnen betekenen dat er geen persoonsgegevens meer te tonen vallen), maar er is ook niets te zien van kolomnamen voor die persoonsgegeven (naam, voornaam, rijksregisternummer, …), en dat is wel verdacht.

Dit kan dus een probleem zijn voor een kritische klant, maar dat is het misschien ook voor de leverancier zelf, die geen andere middelen kreeg om die informatie op te diepen en door te geven. Een persoon die vraagt om verwijdering krijgt idealiter een soort officieel document dat verklaart dat de gegevens zijn verwijderd. Wat er niet is kan je ook niet tonen. Conclusie: dit beeld bewijst voor mij weinig of niets.

Antwoord van de verwerker (2)

Vijf dagen later komt de rest van de informatie. Ik voeg hieronder mijn commentaar meteen toe.

Geachte,
Zoals in de vorige mail aangekondigd werden uw vragen betreffende de verwerking van uw persoonsgegevens verder onderzocht.
U had hierbij volgende vragen:
(1) waarom een visuele controle van het ID van de afhaler niet volstaat,
(2) welke wettelijke basis wordt gebruikt om de uitlezing te verplichten,
(3) welke gegevens precies worden opgeslagen en voor hoe lang, en
(4) naar welke verwerkers de gegevens werden doorgestuurd?
De identificatie van de afhaler is belangrijk omdat in de meerderheid van de gevallen de persoon die het materiaal komt ophalen niet dezelfde is als degene die de reservatie heeft aangevraagd. Dat de afhaler niet altijd dezelfde is als de reserveerder is evident, maar dat zegt nog niet waarom de identificatie van de afhaler belangrijk is; hier is duidelijk een argument weggelaten. De uitleendienst kan op dat moment niet zeker zijn dat die afhaler gemachtigd is. Na een identificatie ook niet! Wanneer materiaal verdwijnt of beschadigd is, riskeert de uitleendienst het verlies van zeer waardevol materiaal. Maar ook de betrokken vereniging loopt het risico van onterechte aansprakelijkstelling. Het provinciebestuur zal immers proberen de schade te verhalen bij de betrokken vereniging. Dus de redenering is deze: als het materiaal wordt meegegeven aan een onbekende bedrieger, wordt de vereniging onterecht aansprakelijk gesteld. Als de afhaler wordt geïdentificeerd kan die afhaler aangesproken worden, en is de vereniging niet aansprakelijk. (1) Maar is dat wel zo? Staat dat in een contract? Indien niet, dan is dit geen argument voor de identificatie van de afhaler. (2) Wat staat er in feite in het contract omtrent de machtiging van de afhaler? Moet de uitlener niet eerder nagaan of de afhaler wel gemachtigd is? (1+2) Voorlopige conclusie: het nazicht van de machtiging van de afhaler ontbreekt in het proces (!).
(1) Bij een louter visuele controle van een identiteitskaart is er geen technische registratie van de gegevens van de afhaler die gekoppeld kan worden aan de ontlening. (1) Dat zou opgelost worden door de afhaler een machtiging mee te geven. (2) Moet dat absoluut een 'technische' registratie zijn? Als de gegevens toch moeten worden verwijderd bij het terugbrengen van het materiaal, kunnen ze beter ergens manueel genoteerd worden; elektronische gegevens raken zelden weer helemaal verwijderd. Bij problemen kan de uitleendienst niet onbetwistbaar aantonen wie het materiaal heeft afgehaald. Is iets van. Bovendien zijn hier bijkomende risico's voor de afhaler zelf. Er worden (bij een visuele controle) onbedoeld méér gegevens bekeken dan louter noodzakelijk (foto/geboortedatum/plaats/geslacht…). (1) Bij een vluchtige bezichtiging valt dat doorgaans nogal mee (vluchtig bekeken gegevens worden snel vergeten), en desnoods kan de betrokkene daar maatregelen tegen nemen. (2) Bij een eID-uitlezing wordt nog meer gelezen, terwijl de klant niet weet wat daarmee gebeurt. Vreemde redenering. (3) Pervers, maar regelmatig terugkerend: privacy wordt zelf gebruikt als argument om fouten in systemen te vergoelijken, bv. leeftijdscontrole bij toegang tot sociale media wordt door de techsector geweerd, zogenaamd omwille van privacy. Maar anoniem en ongeremd bagger produceren mag dan wel…
(2) De provincieraad keurde het reglement goed waarin het uitlezen van de e-ID is opgenomen (artikel 7, paragraaf 6). In het vorige reglement dat in 2025 van toepassing was stond dit in artikel 5, paragraaf 6. Beetje verwarrend, vermits ook nu nog het reglement op de website dateert van juni 2025, en de uitlezing staat vermeld in art. 7, §6. Maar ongeacht de versie van het reglement: de goedkeuring door de provincieraad bewijst niet dat dit wettelijk in orde is, tenzij de provincieraad het recht heeft de wet te negeren.
(3) Er worden niet meer persoonsgegevens uitgelezen dan noodzakelijk voor de identificatie. Het betreft voornaam, naam en rijksregisternummer. Ook het kaartnummer wordt momenteel nog geregistreerd maar dat zal in de toekomst wegvallen. Wel eerlijk. Dus het kaartnummer wordt alvast ten onrechte uitgelezen.
(1) Ik wil niet dat mijn rijksregisternummer wordt gelezen zonder een wettelijke toelating daarvoor. (2) Het lijkt mij ook niet correct dat bij een eID-uitlezing niet wordt aangegeven om welke gegevens het gaat, en dat daar geen enkele controle op lijkt te bestaan (maar dat ligt niet aan de uitleendienst). (3) Ze geven hier toe dat het kaartnummer ten onrechte wordt uitgelezen: (a) zo gemakkelijk gaat dat dus…; (b) wat nog allemaal? 
De gegevens worden bewaard tot de reservatie volledig is teruggebracht en administratief verwerkt in het softwaresysteem. De software staat zo ingesteld dat de gegevens op dat moment automatisch gewist worden. (velden worden leeg gemaakt) Het daaromtrent doorgestuurde beeld vormt echter geen enkel bewijs.
In geval van een schadedossier worden de gegevens automatisch gewist na 2 jaar.
(4) De gegevens worden verwerkt in de toepassing RentMagic. De gegevens worden binnen de EER gehost. Meer bepaald bij https://www.hetzner.com/unternehmen/zertifizierung/
Ik hoop u hiermee voldoende geïnformeerd te hebben over de verwerking van uw persoonsgegevens. (1) Ik zou toch ook één of andere bevestiging verwachten van de verwijdering van mijn gegevens bij Hetzner. (2) Online wordt een lijst getoond van machtigingen voor het uitlezen van gegevens uit het Rijksregister. Als de uitlener mijn RRN mag uitlezen, en een machtiging heeft, dan kan hij mijn gegevens in het Rijksregister nakijken, en dat wil ik zeker niet. Het verband tussen de uitlener of provincie en de machtigingen wordt nergens aangegeven. Een eventuele eenvoudige ontkenning daarvan door de provincie zal m.i. niet volstaan als bewijs van afwezigheid van een potentieel risico.
Met vriendelijke groeten,
Functionaris voor de gegevensbescherming

Dit vind ik eigenlijk een prima antwoord, goed gestructureerd, volledig, in perfect Nederlands; dergelijke reacties zijn zeldzaam tegenwoordig. De inhoud is wat anders…

Moet ik nu nog iets terugsturen? Ik ben weliswaar niet tevreden met hun antwoord, maar is het nodig om hen dat nog te laten weten? De analyse (in groen hierboven) bevat argumenten genoeg om hen opnieuw aan te schrijven. Maar met welk doel?
(1) Als de afhaler gemachtigd is volstaat een visuele controle van de eID. Het niet nagaan van de machtiging is een fout in het proces. Uitlezing van de eID wordt gemakkelijkheidshalve gezien als een vervanging van de ontbrekende machtiging. Dit lijkt mij een directe grond voor een klacht bij de GBA.
(2) Voor de wettelijke basis wordt alleen verwezen naar de goedkeuring van het reglement door de provincieraad; dit is belachelijk.
(3) Zelfs bij dit eerder eenvoudig punt zijn er onduidelijkheden. Ze zeggen zelf dat het kaartnummer ten onrechte wordt uitgelezen, maar dat zal veranderen, maar wanneer? Niet dat dat nog een verschil zal maken… En dan kunnen ook nog andere gegevens ten onrechte uitgelezen worden.
(4) Volgens een computerbeeld zijn de gegevens weg uit RentMagic, maar (a) dat beeld bewijst niets, en (b) ik kreeg geen informatie over Hetzner.
Kan ik niet zonder meer naar de GBA? Of kan ik een dreiging met een klacht bij de GBA gebruiken om nog meer informatie te verkrijgen? Kan de privacyverantwoordelijke mij in dat laatste geval nog iets meer vertellen? De ontbrekende controle van de machtiging van de afhaler is een fout die wel de provincie kan aanzetten om RentMagic of het bedrijfsproces aan te passen (in het beste geval…), maar die de GBA niet zal interesseren. Bovendien kan ik de provincie daarvan inlichten, maar dan wachten op een oplossing is zinloos, vermits die het euvel niet ongedaan maakt, en ik er niets aan zal hebben.
In feite kan de provincie (of de privacyverantwoordelijke) zelf nagaan wat de GDPR-regels zijn, en ze weten ook dat ze moeten antwoorden op vragen van een betrokkene, maar ze gooien er met de klak naar, mogelijk omdat ze totaal niet gewend zijn dat iemand dergelijke vragen stelt. Is het aan mij om hen daarop te wijzen? Of is een klacht bij de GBA de betere weg? Ik laat het even bezinken.

"Privacy en gegevensbescherming op basis van de AVG"

Ik kijk nog een paar aspecten na in het boek van Leo Besemer. Dat is beter leesbaar dan de "praktische gids" van Springer, die echter wel de originele bepalingen van de AVG of GDPR bevat, en meer waarde heeft als referentie. Vermelding met 'AVG' hieronder verwijzen naar die officiële GDPR-reglementering.

Hier vind ik interessante informatie in de paragrafen 2.1.2, 3.1.2, 3.2, 3.3, 4.1.1, 4.1.2, 4.1.3, 4.1.4, 4.1.5 en 4.1.6, die ik ook verwerk in een volgend bericht aan de verwerker; zie verder onder "Terug naar de verwerker" / "3 – De wettelijke basis".

Betreffende §2.1.2 – Implementeren van gegevensbescherming door ontwerp en door standaardinstellingen, is niet alles duidelijk. Het proces van de uitleendienst is slecht ontworpen: uitlezing van de eID wordt gezien als bescherming tegen onrechtmatig afhalen, maar is dat niet, en er zijn minder ingrijpende werkwijzen om de afhaler te identificeren. Een legitimatie voor de afhaler kan beter aan die afhaler meegegeven worden door de ontlener. Ik had een document bij, maar dat is niet eens bekeken. Bovendien bedenk ik nu: de ontlener zal allicht wel door het contract verantwoordelijk gesteld worden voor het in goede staat terugbrengen van het ontleende materiaal, maar ook in dát geval moet de uitlener nagaan of de afhaler een toelating heeft van de ontlener. De AVG-regels gaan over een correct ontwerp dat rekening houdt met de gegevensbescherming, maar laat onduidelijkheid over de mogelijkheid om gegevensverwerking te vermijden. Anderzijds is digitalisering hier een complicerende factor. Een identificatie van de afhaler zonder uitlezing van diens eID is in theorie altijd mogelijk, maar dan moet iemand iets opschrijven, of lezen en manueel ingeven (en daarbij is nog onzeker of daar bv. een RRN mag bij zijn). Eén en ander betekent dat het IT-systeem zou moeten gewijzigd worden, waarvoor de provincie allicht een andere organisatie moet contacteren (en betalen…).

Uit het boek:

• De AVG stelt in art. 25, lid 1, dat het geheel van passende technische en organisatorische maatregelen nodig is om de noodzakelijke waarborgen in de verwerking te integreren om de rechten van de betrokkenen te beschermen. Wat dus wel minimalisatie inhoudt.
• Art. 25, lid 2 van de AVG verplicht de verwerkingsverantwoordelijke om passende technische en organisatorische maatregelen te nemen om ervoor te zorgen dat standaard alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking. Dit geldt voor de hoeveelheid verzamelde persoonsgegevens, de omvang van de verwerking ervan, de periode van opslag eb de toegankelijkheid van die gegevens.

Over dataminimalisatie zegt Wikipedia dit (vertaald): "Gegevensminimalisatie is het beginsel waarbij alleen de hoeveelheid persoonsgegevens wordt verzameld, verwerkt en opgeslagen die strikt noodzakelijk is voor een specifiek doel. Dit beginsel vloeit voort uit het feit dat de verwerking van overbodige gegevens onnodige risico's voor de betrokkene met zich meebrengt, zonder voordeel of waarde. De risico's van de verwerking van persoonsgegevens variëren van identiteitsdiefstal tot onbetrouwbare conclusies die leiden tot onjuiste, onrechtmatige en potentieel gevaarlijke beslissingen. Het beginsel van gegevensminimalisatie is een wereldwijd, universeel beginsel van gegevensbescherming en is dan ook terug te vinden in vrijwel elke wettelijke of regelgevende tekst over gegevensbescherming/privacy". Gezien het klaarblijkelijke belang van dataminimalisatie is het min of meer verwonderlijk dat er zo weinig aandacht aan besteed wordt bij systeemontwikkeling. Het ingebakken waanidee van veel ontwikkelaars dat zij de wereld gaan redden zal daar niet vreemd aan zijn; de neiging van bestuurders allerhande tot managerialisme evenmin.

Terug naar de verwerker

Ik mail terug naar de verwerker, op basis van de analyse.

Dank voor uw antwoord; zie uw mail onderaan. Ik heb echter nog één en ander opgezocht, en denk dat ik niet de antwoorden kreeg die ik mocht verwachten. Hier zit materiaal in voor een klacht bij de GBA, maar zo ver wil ik nog niet gaan. Ik geef u hieronder mijn zicht op diverse punten en enkele bijkomende vragen, en ben in eerste instantie enkel benieuwd naar uw mening daarover. Als dat voor u beter uitkomt mag u ook antwoorden in verschillende mails, zoals de vorige keer. De eventuele fouten van individuele medewerkers in uw organisatie interesseren mij overigens niet; de organisatie- en informatiesystemen des te meer. Als functionaris voor de gegevensbescherming bent u allicht in staat om systeemfouten te melden bij de instantie die ze kan oplossen. Hier alvast een samenvatting:
– er is m.i. geen wettelijke basis voor het uitlezen van het eID (argumentatie volgt);
– in het uitleenproces ontbreekt het nazicht van de machtiging vanwege de ontlener voor de afhaler.

Deze vraag om extra informatie is overigens nog steeds mijn persoonlijk initiatief; dit staat los van de ontlenende vereniging, waar ik wel lid van ben. Ik wil een ontlening bij volgende gelegenheden niet hinderen, en zal bij ongewijzigde toestand geen afhaling meer doen.

Met dank bij voorbaat voor uw reactie.

1 – Verwijdering van gegevens

In uw mail meldt u dat mijn persoonsgegevens al zijn verwijderd omdat het materiaal intussen werd teruggebracht. U voegt daarbij een screen print. Dit is een screenshot van een mij onbekend IT‑systeem, die geenszins aantoont dat mijn persoonsgegevens effectief zijn verwijderd. Ik zou dit probleem verder voor u kunnen beschrijven (indien interesse, graag een seintje), maar misschien volstaat de suggestie om een dergelijk beeld niet naar een betrokkene te sturen, omdat het bij nader toezien meer vragen oproept dan beantwoordt.

Art. 12 van de AVG beschrijft het recht van een betrokkene op transparantie, bij communicatie omtrent o.m. art. 17 over de verwijdering van gegevens. Ik heb uw tijdige en vriendelijke reactie op mijn vraag geapprecieerd, maar ervaar wel een gebrek aan transparantie. Daarom wil ik opnieuw vragen:
– welke persoonsgegevens van mij werden verwerkt,
– uit welke systemen deze zijn verwijderd (RentMagic? andere?),
– op welke datum de verwijdering heeft plaatsgevonden,
– wat gebeurt met eventuele back‑ups of logbestanden waarin deze gegevens mogelijk nog voorkomen (bv. Hetzner? andere?).

2 – Visuele controle van de ID

(Ik zet de tekst uit uw mail van 09-01 schuin en tussen aanhalingstekens, mijn opmerking achter '>>'.) "De identificatie van de afhaler is belangrijk omdat in de meerderheid van de gevallen de persoon die het materiaal komt ophalen niet dezelfde is als degene die de reservatie heeft aangevraagd." >> Dat de afhaler niet altijd dezelfde is als de ontlener is evident, maar dat zegt nog niet waarom de identificatie van de afhaler belangrijk is.
"De uitleendienst kan op dat moment niet zeker zijn dat die afhaler gemachtigd is." >> Na enkel een identificatie ook niet!
"Wanneer materiaal verdwijnt of beschadigd is, riskeert de uitleendienst het verlies van zeer waardevol materiaal. Maar ook de betrokken vereniging loopt het risico van onterechte aansprakelijkstelling. Het provinciebestuur zal immers proberen de schade te verhalen bij de betrokken vereniging." >> Dus dit lijkt de redenering te zijn: als het materiaal wordt meegegeven aan een onbekende bedrieger, wordt de vereniging onterecht aansprakelijk gesteld, maar als de afhaler wordt geïdentificeerd kan die afhaler aangesproken worden, en is de vereniging niet aansprakelijk. (a) Maar is dat wel zo? Staat dat in een contract? Indien niet, dan is dit geen argument voor de identificatie van de afhaler. (b) Wat staat er in feite in het contract omtrent de machtiging van de afhaler? Moet de uitlener niet eerder nagaan of de afhaler wel gemachtigd is? (a+b) Een nazicht van de machtiging van de afhaler ontbreekt in het proces.
"(1) Bij een louter visuele controle van een identiteitskaart is er geen technische registratie van de gegevens van de afhaler die gekoppeld kan worden aan de ontlening." Die registratie kan ook op andere manieren gebeuren, bv. door contactgegevens van de afhaler manueel in het systeem op te nemen, na een visuele controle van de ID. Dat dit IT-technisch kan vereenvoudigd worden door een uitlezing van de eID kan geen reden zijn om de GDPR te negeren; dit zet immers de deur open voor onduidelijkheden over de gelezen gegevens.
"Bij problemen kan de uitleendienst niet onbetwistbaar aantonen wie het materiaal heeft afgehaald." >> Er zijn andere methoden te bedenken, op basis van de naam van de afhaler (met visuele (!) controle van de ID-kaart), of nummerplaat van het voertuig e.d.  Hier heeft ook de ontlener een verantwoordelijkheid. Een machtiging van de afhaler door de ontlener maakt aan de magazijnier duidelijk dat het materiaal kan meegegeven worden aan de afhaler; een visuele controle van de ID van de afhaler volstaat dan om de overeenkomst met de machtiging te verifiëren.
"Bovendien zijn hier bijkomende risico's voor de afhaler zelf. Er worden onbedoeld méér gegevens bekeken dan louter noodzakelijk (foto/geboortedatum/plaats/geslacht…)" >> (a) Vermoedelijk doelt u op de visuele controle van de ID. Dat u die dan vervangt door een nog minder doorzichtige uitlezing van de eID is onbegrijpelijk. (b) De foto moet net wél bekeken worden (!), samen met de naam, om de afhaler te identificeren.

Ik benadruk nog even wat m.i. het basisprobleem is: een nazicht van de machtiging van de afhaler ontbreekt in het proces. De vervanging van die controle door de uitlezing van de eID creëert net het privacyprobleem.

De aantrekkingskracht van de uitlezing van een eID is overigens begrijpelijk. Dit is informatietechnisch vrij eenvoudig te realiseren, en lijkt op een onomstotelijke identificatie van de afhaler. Maar een frauduleuze afhaler die aan de informatie kan geraken, en dan ook nog wil bedriegen, kan ook een vals ID gebruiken. Dus dit systeem is evenmin waterdicht.

3 – De wettelijke basis

"(2) De provincieraad keurde het reglement goed waarin het uitlezen van de e-ID is opgenomen (artikel 7, paragraaf 6). In het vorige reglement dat in 2025 van toepassing was stond dit in artikel 5, paragraaf 6."  >> Beetje verwarrend, vermits ook nu nog, februari 2026, het reglement op de website dateert van juni 2025, en de uitlezing staat vermeld in art. 7, §6. Maar ongeacht de versie van het reglement: de goedkeuring door de provincieraad bewijst niet dat dit wettelijk in orde is, tenzij de provincieraad het recht heeft de GDPR te negeren, waar ik niet van uitga.

Voor de evaluatie van de wettelijke basis baseer ik mij op het boek "Privacy en gegevensbescherming op basis van de AVG" van Leo Besemer (dat het standpunt van een leverancier inneemt). Ik voeg de sectienummers uit het boek toe; tekst uit het boek schuin, mijn opmerkingen recht. Ik geef deze informatie omdat ze mijn argumentatie ondersteunt, maar veronderstel uiteraard dat u die kent.

3.1.2 – Ik had ter plaatse kunnen vragen welke gegevens worden uitgelezen, wat het doel is van de verwerking, op welke rechtsgrond dat gebeurt, wie de verantwoordelijke is, en hoe die kan bereikt worden(dit is overigens informatie die ter beschikking zou moeten zijn voor de afhaler). De conversatie met de magazijnier was er echter niet naar om enige klaarheid op dat punt te verwachten. AVG overweging 39.
3.2 – Er moet een specifiek doel zijn, en dat moet gedocumenteerd zijn door de verwerkingsverantwoordelijke. Op het reserveringsdocument is vermeld dat de afhaler zijn eID moet laten uitlezen, maar over het doel daarvan staat er niets. De doelspecificatie moet ook duidelijk maken welke gegevens relevant zijn. AVG art. 5.1.b, overweging 39.
3.3 – Minimale gegevensverwerking: persoonsgegevens mogen alleen worden verwerkt indien het doel van de verwerking niet redelijkerwijs op een ander wijze kan worden verwezenlijkt. Het is vrij duidelijk dat het noteren van naam en contactgegevens en een visuele controle van de ID-kaart kon volstaan. AVG art. 5.1.c.
4.1 – Rechtmatigheid. Van een niet bestaand of onbekend (!!) doel kan nooit worden aangetoond dat het rechtmatig is. Voorwaarden (waarvan minstens één moet voldaan zijn):
4.1.1 – Noodzakelijk voor de uitvoering van een overeenkomst. Als u een overeenkomst heeft met iemand, maar u moet daarvoor ook persoonsgegevens van een derde persoon verwerken, dan heeft de verwerking van de persoonsgegevens van die derde een andere rechtsgrond nodig dan "noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is". Die derde persoon is immers geen partij in de overeenkomst. Ik heb geen contract ondertekend met de uitleendienst.
4.1.2 – Noodzakelijk om te voldoen aan een wettelijke verplichting. U moet de wettelijke verplichting kunnen aantonen door te verwijzen naar een specifiek wetsartikel waaraan u als verwerkingsverantwoordelijke onderworpen bent, of bv. naar een website van de overheid of naar brancherichtlijnen waarin de toepasselijke verplichtingen worden uitgelegd. Mocht u denken dat dit hier het geval is, dan wil ik daar graag uitleg over.
4.1.3 – Noodzakelijk ter bescherming van een vitaal belang. M.a.w. levensbelangrijk; hier niet van toepassing.
4.1.4 – Noodzakelijk in het algemeen belang of openbaar gezag. Lijkt mij evenmin van toepassing.
4.1.5 – Noodzakelijk voor de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde. Dit zou de enige gerechtvaardigde reden zijn voor een uitlezing, maar ze houdt geen stand in de detaillering: het belang (identificatie van de afhaler) mag dan rechtmatig zijn, de verwerking is niet noodzakelijk omdat daar minder ingrijpende methoden voor bestaan. AVG art. 6.1.f.
4.1.6 – Toestemming van de betrokkene. Daar is pertinent geen sprake van.

4 – Aard van de gegevens

Dit is uiteraard een moeilijk punt, omdat de afhaler niet kan zien welke gegevens precies worden uitgelezen; ik kan enkel betrouwen op uw informatie daaromtrent. Dat momenteel het kaartnummer nog wordt uitgelezen, zoals u zelf laat weten, betekent alvast dat ook teveel kan worden uitgelezen, en dit zonder enige controle vanwege de betrokkene (!).

Niettemin, ik wil niet dat mijn rijksregisternummer wordt uitgelezen zonder een wettelijke toelating. Online wordt bovendien een lijst getoond van machtigingen voor het uitlezen van gegevens uit het Rijksregister. Als de uitleendienst mijn RRN mag uitlezen, en een dergelijke machtiging heeft, dan kan ze mijn gegevens in het Rijksregister nakijken, en dat wil ik zeker niet. Het verband tussen de uitleendienst en de machtigingen wordt nergens aangegeven. Graag meer informatie hierover.

5 – Cash betaling

(Dit staat los van de bezorgdheden over privacy.) Elke organisatie moet in principe cash betalingen aanvaarden. Er zijn enkele uitzonderingen, maar een simpele melding dat alleen betalingen met een bankkaart aanvaard worden volstaat niet. De regeling kan u nakijken op de site van de FOD Economie. Uw magazijnier verplichtte mij bij het afhalen van materiaal met de bankkaart te betalen. Dat is intussen gemeld bij ConsumerConnect. Bovendien stond de betaalterminal zonder afscherming op ooghoogte, in het zicht van de magazijnier, wat het discreet intoetsen van de code moeilijk maakte.

Antwoord van de verwerker

De verwerker is duidelijk één van die tegenwoordig zeldzame personen die nog een tekst kunnen schrijven. Ik krijg nogmaals een antwoord op mijn opmerkingen, waaruit bovendien blijkt dat die persoon ook nog kan nadenken. Hopelijk concludeert hij dan ook dat hun informatiesysteem het probleem veroorzaakt. Helaas is het voor een individu doorgaans ondoenbaar om op te roeien tegen de stroom van digitalisering. Bovendien eindigen opmerkingen van gebruikers doorgaans in het verticaal klassement.

Ik voeg mijn bedenkingen weer toe, die tevens meegaan in het laatste bericht aan de verwerker.

Dank voor uw mail. Geen dank. Hieronder wordt systematisch ingegaan op uw bijkomende vragen en bemerkingen (cursief) betreffende de verwerking van persoonsgegevens. U refereert in uw mail echter naar eventuele fouten van individuele medewerkers. Kan u verduidelijken waar u hiermee op doelt? Ik bedoelde dat het expliciet niet mijn intentie is om de medewerkers te bekritiseren. Het contact was minder aangenaam dan had gekund, maar ik wijt dat volledig aan het systeem, en niet aan de medewerkers. Idealiter had uw magazijnier mij alle informatie verschaft die nodig was om de eID-uitlezing te verantwoorden, maar ik vermoed dat hij die niet had, noch in het hoofd, noch op papier. De magazijnier heeft na mijn beleefd protest een leidinggevende geraadpleegd, die bevestigde dat ik het materiaal niet meekreeg zonder eID-uitlezing, en dat was m.i. van beide personen een normale reactie op dat ogenblik.

Uw vraag/bemerking: Dit is een screenshot van een mij onbekend IT‑systeem, die geenszins aantoont dat mijn persoonsgegevens effectief zijn verwijderd.

Het beeld toont wel degelijk aan dat de persoonsgegevens gewist zijn. Wij tonen hier een leeg veld bij "identificatie" bij het order dat u hebt afgehaald. U kan in het screenshot zien over welk order en welke vereniging het gaat. Wij kunnen enkel een leeg veld tonen als operationeel bewijs aangezien uw gegevens reeds gewist werden.
Gebruikers van het IT-systeem weten allicht wat de betekenis is van het leeg veld dat wordt getoond. Als ingenieur met IT-ervaring kan ik u zeggen dat dit beeld voor een buitenstaander absoluut niets betekent, en meer vragen oproept dan beantwoordt; uit iets dat er niet is kan je immers niet afleiden dat er iets zou geweest zijn dat er nu niet meer is. Ik herhaal dan ook mijn suggestie om dit beeld simpelweg niet door te geven aan wie vraagt om een bevestiging van de verwijdering van persoonsgegevens.

Uw vraag:

• • welke persoonsgegevens van mij werden verwerkt,
  • uit welke systemen deze zijn verwijderd (RentMagic? andere?),
  • op welke datum de verwijdering heeft plaatsgevonden,
  • wat gebeurt met eventuele back‑ups of logbestanden waarin deze gegevens mogelijk nog voorkomen (bv. Hetzner? andere?).

• • Voornaam, naam, kaartnummer en rijksregisternummer
  • De gegevens werden enkel in de toepassing Rentmagic opgeslagen en zijn daar ook uit verwijderd.
  • De gegevens werden gewist nadat de reservatie werd ingenomen, dat was op 24/12/2025
  • Back-ups worden 30 dagen bewaard, de ingelezen e-ID gegevens zijn versleuteld. Daarenboven is de back-up zelf ook nog eens versleuteld als geheel. Er bestaan geen logs met e-ID gegevens in.
  • Dit is de informatie die ik mocht verwachten.

Uw bemerking: Dat de afhaler niet altijd dezelfde is als de ontlener is evident, maar dat zegt nog niet waarom de identificatie van de afhaler belangrijk is.

De identiteit van de afhaler moet ontegensprekelijk aangetoond kunnen worden om bij eventuele schade of diefstal zekerheid te hebben over de identiteit van diegene die het materiaal heeft afgehaald. Dat is begrijpelijk, maar er zijn minder ingrijpende methoden om dat te doen (zie verder). Ik wil hier wel nog even wijzen op de twee afzonderlijke aspecten van de afhaling, nl. (1) dat de afhaler moet gemachtigd zijn door de ontlener (!), en (2) dat de afhaler moet geïdentificeerd worden; (2) kan (1) echter niet vervangen.

Uw bemerking: "De uitleendienst kan op dat moment niet zeker zijn dat die afhaler gemachtigd is." >> Na enkel een identificatie ook niet!

Uw bemerking is terecht. Wij weten inderdaad niet of een afhaler gemachtigd is. Voor verenigingen is het helaas niet haalbaar om vooraf de afhaler door te geven.
Daar ben ik het niet mee eens. (1) Mij werd door de ontlener gevraagd om de afhaling te doen. Daarop heb ik aan de ontlener een document gevraagd met informatie omtrent de reservering. De ontlener kon daarop expliciet vermelden en ondertekenen dat ik (met naam en evt. nummerplaat) gemachtigd was tot de afhaling. Dat is in elk geval een haalbare methode voor het melden van de machtiging aan de magazijnier. Ik had een kopie van de reservering mee, maar daar had niemand interesse voor. (2) In het IT-systeem is momenteel waarschijnlijk (?) niets voorzien om de afhaler op voorhand te registreren, maar ik zie geen reden waarom dat niet online zou kunnen toegevoegd worden. Een dergelijke registratie is eenvoudiger IT-technisch te realiseren dan een eID-uitlezing. (1)+(2) Het is mij duidelijk dat de inlezing van de eID in het systeem (en dus ook door de medewerkers) wordt gezien als vervanging van een controle van de machtiging, maar dat is ze helaas niet.

Uw bemerking: Dus dit lijkt de redenering te zijn: als het materiaal wordt meegegeven aan een onbekende bedrieger, wordt de vereniging onterecht aansprakelijk gesteld, maar als de afhaler wordt geïdentificeerd kan die afhaler aangesproken worden, en is de vereniging niet aansprakelijk.

Dat klopt. Als de afhaler een bedrieger blijkt te zijn zullen wij klacht indienen bij de politie en kunnen wij de afhaler ontegensprekelijk identificeren. De vereniging die het materiaal wilde ontlenen heeft op dat moment niets fout gedaan, het is de afhaler die verantwoordelijk is voor zijn eigen daden. De registratie van de afhaler is noodzakelijk om aansprakelijkheid correct te kunnen vaststellen. (1) De vraag blijft wel hoe een bedrieger aan de nodige gegevens geraakt, nl. welk materiaal, en op welk tijdstip, waardoor de aansprakelijkheid van de ontlener toch weer in het vizier komt: is de ontlener wel zorgvuldig met die gegevens omgesprongen? (2) De kans dat een bedrieger het materiaal afhaalt is zeer klein (vermits de nodige informatie daarvoor normaal niet openbaar is); de eID-uitlezing bij elke afhaling is dan ook als schieten met een kanon op een mug. De identificatie van een bedrieger is dan ook een zwak argument om een permanente privacy-inbreuk te verantwoorden; die identificatie lijkt eerder een smoes om de eID te kunnen uitlezen (en technisch mee te zijn). Ik heb geen informatie over problemen met afhalers in het verleden; het is niet eens zeker dat die er al geweest zijn. De bezorgdheid van burgers voor de privacy van hun persoonsgegevens is integendeel een argument om dergelijke technische mogelijkheden niet te gebruiken.

Uw bemerking: Die registratie kan ook op andere manieren gebeuren, bv. door contactgegevens van de afhaler manueel in het systeem op te nemen, na een visuele controle van de ID

Er werden alternatieven onderzocht zoals papieren registratie en visuele controle. Met deze andere manieren kunnen wij de identiteit van de afhaler echter niet ontegensprekelijk aantonen? Bij een manuele registratie kunnen discussies ontstaan.
Het is mij niet duidelijk waar dit op slaat. Als ik van de ontlener (die mij toch een opdracht moet geven) een document meekrijg met mijn naam erop, kan de magazijnier mijn identiteit controleren via een visuele controle van mijn eID op naam en op foto; daar dient die foto net voor.

Uw opmerking: Een machtiging van de afhaler door de ontlener maakt aan de magazijnier duidelijk dat het materiaal kan meegegeven worden aan de afhaler; een visuele controle van de ID van de afhaler volstaat dan om de overeenkomst met de machtiging te verifiëren.

Aangezien verenigingen niet vooraf aan de uitleendienst kunnen doorgeven wie de afhaler zal zijn kan een controle van de identiteit niet volstaan.
Zoals hoger aangetoond: de ontlener kan dat wel doorgeven, hetzij autonoom via een document, hetzij online na een aanpassing van het IT-systeem, of zelfs in een mail of direct message. op GSM.

Uw bemerking: In februari 2026 dateert het reglement op de website van juni 2025, en de uitlezing staat vermeld in art. 7, §6.

Het nieuwe reglement werd op de website gepubliceerd op 18 december 2025. De link naar het oude reglement werd verwijderd alsook het bestand op de webserver. Helaas kan het online soms nog via zoekmachines in de resultaten komen.
Er is geen sprake van online zoekmachines; de link naar het reglement staat op de website, op de pagina Uitleendienst | Provincie Vlaams-Brabant. Er is alleen wat verwarring omtrent de data, doordat dit reglement al in juni 2025 werd goedgekeurd.

Uw opmerking: Ik had ter plaatse kunnen vragen welke gegevens worden uitgelezen, wat het doel is van de verwerking, op welke rechtsgrond dat gebeurt, wie de verantwoordelijke is, en hoe die kan bereikt worden (dit is overigens informatie die ter beschikking zou moeten zijn voor de afhaler).

Wij geven uitleg over de gegevensverwerking in de privacyverklaring op de website en opteren daarbij voor een getrapte werkwijze wat betreft het transparantiebeginsel. Lange gedetailleerde teksten over gegevensverwerking zijn niet toegankelijk en zeker niet altijd begrijpelijk. Uit AVG overweging 39: "Overeenkomstig het transparantiebeginsel moeten informatie en communicatie in verband met de verwerking van die persoonsgegevens eenvoudig toegankelijk en begrijpelijk zijn, en moet duidelijke en eenvoudige taal worden gebruikt."
Een link naar de privacy-pagina staat ook onderaan op de pagina van de uitleendienst. Momenteel reageert de pagina niet. (Tussen haakjes: de feiten dateren van zowat een half jaar geleden; de bewuste pagina werkt nog steeds niet. Vermoedelijk zijn de ontwikkelaars met plezanter dingen bezig.)

In de privacyverklaring van het provinciebestuur geven we in eenvoudige bewoordingen informatie over de gegevensverwerking door de uitleendienst. Daarbij staan vervolgens contactgegevens voor wie bijkomende vragen heeft. De pagina met de privacyverklaring is niet bereikbaar. De koppeling onderaan de webpagina van de uitleendienst werkt niet.

Uw bemerking: Er moet een specifiek doel zijn, en dat moet gedocumenteerd zijn door de verwerkingsverantwoordelijke.

Het doeleinde is gespecifieerd en gedocumenteerd door de verwerkingsverantwoordelijke. Het doel is allicht het identificeren van de afhaler; moeilijker moet dat niet zijn. Bij de melding dat de afhaler een eID moet laten inlezen is geen doel gespecifieerd. De website kon niet verder nagekeken worden, omdat op de betrokken pagina de koppelingen niet werken.

Uw bemerking: Minimale gegevensverwerking: Het is vrij duidelijk dat het noteren van naam en contactgegevens en een visuele controle van de ID-kaart kon volstaan.

Dit volstaat niet om de identiteit van de afhaler ontegensprekelijk aan te tonen.
In combinatie met een machtiging voor de afhaler kan dat wel. Als de naam van de afhaler wordt doorgegeven, hetzij op een document, hetzij online, dan is die naam wel eenvoudig verifieerbaar bij een visuele controle van de eID, waarbij een vergelijking van de foto volstaat om uit te sluiten dat de afhaler een vals eID gebruikt. Zoals eerder gezegd: daar dient die foto voor. Nogmaals: de uitlezing wordt te gemakkelijk gezien als een vervanging van die machtiging, maar is dat niet. Als de zeer kleine kans op fraude werkelijk een argument is om de eID-uitlezing te doen, dan moet men er ook rekening mee houden dat de fraudeur een vals eID zal gebruiken, en dan vormt een uitlezing nog steeds geen sluitend systeem.

Uw bemerking: Noodzakelijk voor de uitvoering van een overeenkomst. Als u een overeenkomst heeft met iemand, maar u moet daarvoor ook persoonsgegeven van een derde persoon verwerken, dan heeft de verwerking van de persoonsgegevens van die derde een andere rechtsgrond nodig dan "noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is". Die derde persoon is immers geen partij in de overeenkomst. Ik heb geen contract ondertekend met de uitleendienst.

De afhaler is geen derde partij. Hoezo? De enige 2 partijen zijn de uitleendienst en de aangesloten vereniging die materiaal ontleent conform het reglement. De tweede partij is de ontlener, als vertegenwoordiger van de vereniging. De afhaler is geen ontlener. Het zou mij verbazen dat contracten afgesloten door één bestuurslid van een vereniging ineens ook bindend zijn voor elk ander bestuurslid. Bovendien hoeft een afhaler helemaal geen lid te zijn van de vereniging, dus dit is geen valabel argument.

Uw bemerking: Online wordt bovendien een lijst getoond van machtigingen voor het uitlezen van gegevens uit het Rijksregister. Als de uitleendienst mijn RRN mag uitlezen, en een dergelijke machtiging heeft, dan kan ze mijn gegevens in het Rijksregister nakijken, en dat wil ik zeker niet. Het verband tussen de uitleendienst en de machtigingen wordt nergens aangegeven. Graag meer informatie hierover.

Op basis van het KB van 8 januari 1988 is het provinciebestuur gemachtigd om het rijksregister te gebruiken met het oog op identificatie. (=wettelijke basis)
Het is niet omdat we het rijksregisternummer registeren en tijdelijk opslaan voor een specifiek doeleinde dat we daardoor het recht hebben om opzoekingen in het rijksregister te doen. Dat is niet toegestaan en zou in strijd zijn met de wetgeving. Is dat niet in tegenspraak met de vorige zin?
Geen enkele medewerker van de uitleendienst heeft de rechten om het rijksregister te raadplegen. OK.

Ik hoop hiermee voldoende verduidelijking te hebben gegeven. Indien er toch nog zaken onduidelijk zijn wil ik zeker tijd vrij maken om hierover een overleg met u in te plannen.

Met vriendelijke groeten,

Ik stuur nog een laatste antwoord (reply op de mail hierboven), met mijn commentaar erbij, en de volgende inleiding:

Wel bedankt voor dit eens te meer vlotte en volledige antwoord, waar ik nog één keer op wil reageren. Ik ben niet van plan hier een eindeloze discussie van te maken. Waar u het hieronder (zie hierboven) nog niet met mij eens bent mag u dat beschouwen als een meningsverschil dat verder geen behandeling behoeft; ik heb ook niet de intentie een dossier voor de GBA op te stellen. Uw voorstel om eventueel in overleg te gaan is zeer vriendelijk, maar ik heb mijn standpunt voldoende kunnen uiteenzetten, en ik denk dat uw tijd kostbaarder is dan die van mij als gepensioneerde. Mocht u zelf nog vragen hebben, dan merk ik het wel; u kan mij desgevallend telefonisch bereiken op 0478-781262. Als ik maar niet over de Ring van Brussel moet tijdens de spits.

Het actuele privacy-probleem ontstaat doordat de nood aan en het nut van een machtiging voor de afhaler wordt genegeerd. De uitlezing van de eID wordt blijkbaar gezien als een vervanging van die machtiging, wat ze in feite niet is. Het idee dat een machtiging van de afhaler door de ontlener niet mogelijk is, zit wel erg ingebakken in de verantwoording van het hele systeem, maar is m.i. niet correct. Argumentering volgt hieronder (zie hierboven), op basis van uw laatste mail; zie mijn commentaar daarop in blauw (klein groen).

Enkele punten van de analyse kon ik niet afwerken omdat de website niet behoorlijk lijkt te functioneren. Via de URL kunnen specifieke pagina's wel bereikt worden, maar op de pagina's werken zoekfunctie en koppelingen niet (getest met verschillende browsers). Ik weet niet sinds wanneer dit zich voordoet; misschien is het al eerder gemeld.

Samenvatting

• Het actuele privacy-probleem ontstaat doordat men de nood aan en het nut van een machtiging ontkent.
• De uitlezing van de eID wordt blijkbaar gezien als een vervanger van die machtiging, wat ze in feite niet is.
• Het idee dat een machtiging van de afhaler door de ontlener niet mogelijk is, zit wel erg ingebakken in de verantwoording van het hele systeem, maar is niet correct.
• Dat de verwerkingsverantwoordelijke mij voorstelt een overleg in te plannen zegt dat de discussie hem interesseert (terecht overigens), maar ik zie niet dadelijk nuttige inzichten te geven die nog verder gaan dan die in deze respons. Anderzijds zou ik er niets op tegen hebben een ongetwijfeld interessant overleg te hebben met deze betrokken verwerkingsverantwoordelijke, wiens tijd echter kostbaarder is dan de mijne.

Deze conversatie dateert van zowat een half jaar geleden. De werking van de website is nog niet gecorrigeerd, wat allicht betekent dat problemen niet worden doorgegeven, of niet worden opgelost, en dus ook de ontbrekende machtiging voor de afhaler niet gauw zal toegevoegd worden.

---

Basale fout

Tijdens de hele analyse zijn mij geen basale fouten echt opgevallen. Ik vind het nu zelf wat raar om uit te zoeken welke basale fout hier aan de basis ligt, vanuit het stilaan gegroeide idee dat er altijd wel een basale fout in het spel moet zijn. Anderzijds wil ik die hypothese ook niet uitsluiten. Dus: wat is hier aan de hand?

Het kernprobleem is dat voor een niet al te moeilijk oplosbaar probleem, nl. de machtiging van de afhaler door de ontlener, een technische oplossing wordt ingevoerd die het probleem niet oplost, maar wel verbergt. Het voorzien van een machtiging is een deelproces in het volledige proces van de ontlening, of zou dat moeten zijn. Eenvoudige conclusie: het gaat hier om een foutieve procedure. Lijkt mij duidelijk en voldoende.

Nu neem ik aan dat deze oplossing wel is overwogen, maar dat er daarnaast een technische optie bestond die het proces van machtiging van de afhaler overbodig leek te maken. Met een beetje druk van ontwikkelaars en van de maatschappelijk en politiek aanvaarde neiging tot digitalisering is de keuze dan snel gemaakt. De miskenning van de nadelen van de technologische oplossing is niet meer of minder dan de weg van de kleinste weerstand tegen de stroom van digitalisering.

In het algemeen streven systeemontwikkelaars ernaar om technische oplossingen in te voeren, ook al voldoen die niet aan de GDPR, en zijn er alternatieven die wél voldoen. Dat gebeurt niet alleen in deze casus, maar komt zeer regelmatig voor. Dat fenomeen heeft ook weer twee aspecten.
(1) Technologie heeft zich geleidelijk ontwikkeld sinds een eeuw of zo geleden, terwijl de GDPR-regelgeving pas werd gepubliceerd in 2016, en geactiveerd in 2018, weliswaar als vervanging van de oudere "Data Protection Directive 95/46/EC" uit 1995, die door technologische evolutie achterhaald was. De richtlijn uit 1995 was geschreven vóór sociale media, smartphones, cloud computing en big data. De EU had een modern, technologieneutraal kader nodig dat paste bij de digitale economie. Conclusie: technologie-ontwikkelaars hielden onvoldoende rekening met privacy. Best begrijpelijk als je ziet hoe bv. sociale media de privacy net zwaar ondergraven. Het indringende gedrag van Big Tech haal je ook niet meer zomaar weg, omdat daar een economisch model op gebouwd is, gebaseerd op reclame-inkomsten. De enig manier om dat model af te breken is een genadeloze taxatie, waar geen individuele regering durft aan te beginnen. Zou dat niets zijn voor Europa?
(2) Nieuwigheden zijn altijd aantrekkelijk. De mens heeft een interne onrust, of nieuwsgierigheid, die zijn aandacht afleidt naar bewegende objecten (of de historische focus op gevaar?), of meer algemeen naar alles wat verandert. Vooral bij technologie is dat opvallend. In de softwareontwikkeling gaat meer aandacht naar nieuwe ontwikkelmethoden en -omgevingen en programmeertalen dan naar de kwaliteit van de ontwikkelde systemen. Een redenering als deze wordt dan schering en inslag: "als we nu eens de eID uitlezen, dan moeten we niet verder nadenken over die machtiging van de afhaler, toch?"… Of deze: "als we nu eens het rijksregisternummer vragen aan alle klanten, dan kunnen we hun naam en wat nog allemaal uit het Rijksregister halen", zoals bij Farys. Gegevensbescherming? Wat is dat eigenlijk? Hebben wij daar last van? Of tijd voor?

En als nu eens ieder systeem voldeed aan de GDPR-reglementering, dan zijn we er nóg  niet, want ook alle gegevens die ergens rechtmatig zijn opgeslagen, kunnen vroeg of laat gehackt worden. Zullen we toch maar aannemen dat dát geen reden is om de GDPR te verwaarlozen?