Mag je P2000-meldingen publiceren? Over de AVG en de ethiek van open hulpdienstdata

Waarom je dit überhaupt kunt ontvangen

P2000 is het alarmeringsnetwerk waarmee Nederlandse hulpdiensten hun mensen oproepen. Het is eind jaren negentig gebouwd op FLEX-pagingtechniek, met één ontwerpdoel: een korte tekst moet altijd aankomen, ook in een kelder, ook als het mobiele netwerk plat ligt, ook als er duizend mensen tegelijk gealarmeerd worden. Vertrouwelijkheid stond niet in dat eisenpakket. De berichten gaan onversleuteld de ether in, en met een USB-ontvanger van vijfentwintig euro leest iedereen ze mee.

Dat luisteren zelf is niet verboden. De wetgever heeft ongerichte radio-ontvangst uitdrukkelijk buiten het afluisterverbod gehouden: wie een signaal opvangt dat gewoon door de lucht komt, zonder bijzondere inspanning en zonder verboden apparatuur, pleegt geen strafbaar feit. Dat is ook wel logisch — anders zou half Nederland strafbaar zijn met een scanner op zolder, een traditie die zo oud is als de scanner zelf.

Maar hier begint de denkfout die in vrijwel elke discussie hierover terugkomt: mogen ontvangen is iets anders dan mogen publiceren. Op het moment dat ik die berichten opsla, verrijk, doorzoekbaar maak en aan honderdduizenden mensen toon, ben ik geen luisteraar meer. Dan ben ik verwerkingsverantwoordelijke, en dan gelden er andere regels.

Is een P2000-melding een persoonsgegeven?

Een binnenkomende melding ziet er ongeveer zo uit: prioriteit, discipline, een ritnummer, een straat met huisnummer, een plaatsnaam en de opgeroepen eenheden. Geen naam, geen geboortedatum, geen burgerservicenummer. Op het eerste gezicht dus geen persoonsgegeven.

Zo werkt de AVG alleen niet. Een gegeven is al een persoonsgegeven als een persoon er indirect mee identificeerbaar is, en een huisadres is dat bijna per definitie: op de meeste adressen in Nederland woont precies één huishouden. Combineer dat adres met een tijdstip en met de mededeling dat er met spoed een ambulance naartoe ging, en je hebt niet alleen een persoonsgegeven, maar een gegeven dat iets zegt over iemands gezondheid. Dat is in de AVG een bijzondere categorie, met een verbod als uitgangspunt en een korte, gesloten lijst uitzonderingen.

En dat is precies waarom je bij dit soort data niet met één beleidsregel wegkomt. Een brandweeruitruk naar een containerbrand op een parkeerterrein is iets heel anders dan een reanimatie op een woonadres, ook al komen ze door dezelfde antenne binnen. De grondslag waar je voor open data meestal op leunt — gerechtvaardigd belang, na een eerlijke afweging tegen de belangen van de betrokkene — is voor gezondheidsgegevens nu juist geen geldige grondslag. Wie ambulancemeldingen op adresniveau publiceert en zich beroept op “het is openbaar”, heeft de vraag niet beantwoord maar overgeslagen.

Blijft over de journalistieke uitzondering, die in de Nederlandse uitvoeringswet grote delen van de AVG buiten werking stelt voor verwerkingen met een journalistiek doel. Daar wordt in deze hoek graag naar gewezen. Ik vind dat te makkelijk. Een redactie die een brand uitzoekt en er een verhaal over maakt, doet aan journalistiek. Een geautomatiseerde feed die elke melding binnen twee seconden doorzet, doet iets anders: die publiceert ruwe operationele data zonder afweging per geval. Ik gebruik dat schild dus niet. Dan moet de rest kloppen, en dat betekent dat elke keuze op zichzelf te verdedigen moet zijn — ook de keuzes die van buitenaf op een omissie lijken.

Wat er wél goed staat

Drie dingen zijn bewust geregeld, en het eerlijke is dat er van die drie maar twee mijn verdienste zijn.

1. Straat, geen huisnummer

Voor de vraag “is het druk in mijn regio” en “wat gebeurt er in mijn dorp” heb je geen huisnummer nodig. 112Radar toont daarom de straat en niet het nummer. Dat scheelt de bewoner van nummer 12 dat zijn adres vastzit aan een incident dat hij liever niet toelicht op de verjaardag van zijn schoonmoeder, en het kost de lezer niets: op straatniveau is het verhaal precies even goed te volgen.

Dit is de belangrijkste knop die er is, en tegelijk de goedkoopste. Elk detail dat de gebruikerservaring niet meetbaar beter maakt, is puur risico voor iemand anders.

2. De ambulance is grover — maar niet door mij

Medische inzetten komen minder gedetailleerd binnen dan brandweeruitrukken. Dat is geen keuze van mij: de meldkamers zijn het zelf zo gaan alarmeren, precies omdat de zorgsector zich realiseerde dat een openbaar netwerk en gezondheidsgegevens slecht samengaan. Mijn enige bijdrage is dat ik die grofheid laat staan en niet probeer terug te rekenen wat de bron bewust heeft weggelaten.

Dat klinkt als weinig, en het is ook weinig. Maar het is precies de plek waar het bij dit soort platforms misgaat: verrijken kan technisch bijna altijd, en de verleiding om een melding “completer” te maken dan de meldkamer hem verstuurde is groot. Het onderscheid dat de AVG maakt tussen gewone en bijzondere persoonsgegevens is hier al voor me gemaakt. Ik hoef het alleen niet ongedaan te maken.

3. Foto's gaan langs een mens

Op GrootIncident en 112Radar kunnen bezoekers foto's van incidenten insturen. Daar zit geen automatische publicatie op: alles wordt door een mens bekeken voordat het zichtbaar wordt, en foto's met slachtoffers, herkenbare gezichten of leesbare kentekens komen er niet op. Dat is geen AVG-verplichting waar ik naartoe ben geredeneerd, dat is gewoon fatsoen.

Waar de grens ligt, en wat daaruit volgt

Alles hierboven komt neer op één streep: een melding op straatniveau, zonder huisnummer, wijst niet naar een persoon of een huishouden. In een straat gebeurt iets, en dat is alles wat er staat. Drie dingen die van buitenaf op een omissie lijken, volgen rechtstreeks uit die streep — en ze zouden alle drie omvallen op het moment dat ik wél nummers ging tonen.

Geen verwijderknop voor meldingen — wel voor foto's

Er is geen procedure om een melding te laten weghalen, en dat is een keuze. Als een regel niet naar jouw huishouden wijst, beschermt weghalen niemand; er is dan niets om te beschermen, en je zou een gat slaan in een archief waar anderen wel wat aan hebben.

Waar het wél kan wringen is bij het materiaal dat aan een melding hangt. Een foto kan een incident opeens heel precies maken: een herkenbaar huis, een gezicht, een kenteken. Zulke inzendingen keur ik vooraf af, en als er ooit toch iets doorheen glipt, gaat het eruit — net als een gekoppeld nieuwsartikel dat verder gaat dan de melding zelf. De verwijderroute zit dus precies op de plek waar hij iets kan uitrichten, en niet op de plek waar hij alleen maar goed zou staan.

Het archief wordt niet geaggregeerd

Het klinkt netjes om oude meldingen na verloop van tijd op te rollen tot alleen nog patronen. Ik doe het niet, en niet uit luiheid. Ruwe meldingen die blijven staan, houden vier dingen in stand die me meer waard zijn dan de winst van het oprollen: cijfers blijven herberekenbaar — wie mijn analyses wil narekenen moet bij de bron kunnen; gekoppelde nieuwsartikelen houden hun waarde; foto's blijven bij het incident waar ze bij horen; en oude incidenten blijven terugvindbaar voor wie ze zoekt.

Daar staat, gegeven diezelfde streep, weinig winst tegenover. Aggregeren beschermt iets wat op straatniveau al niet blootligt. Het zou een maatregel zijn die goed oogt in een privacyparagraaf en in de praktijk vooral archief vernietigt.

Geen noindex op de detailpagina's

Zoekmachines indexeren de incidentpagina's gewoon. Bij huisnummers zou dat onverdedigbaar zijn: Google is bij dit soort data de echte versterker, en het verschil tussen “vindbaar op een kaart” en “over drie jaar nog het eerste zoekresultaat op jouw adres” is precies waar het misgaat. Een geïndexeerde straatnaam met een incident is van een andere orde dan een geïndexeerd huisadres.

Dit is wel de knop die als eerste om moet zodra de korrel fijner wordt. Alle drie de keuzes hangen aan diezelfde aanname, en dat is het soort afhankelijkheid dat je beter opschrijft dan onthoudt.

En waar het schuurt

Want zo waterdicht is die streep niet, en een artikel over de ethiek van hulpdienstdata waarin de auteur alles sluitend heeft is geen artikel maar een advertentie. “Niet herleidbaar tot één huishouden” klopt statistisch en niet altijd sociaal. In een straat met zes huizen, op een dinsdagnacht, bij een inzet waarvan het type erbij staat, weten de buren donders goed waar het was. Wat de data niet prijsgeeft, vult de omgeving moeiteloos aan.

Dat maakt de keuze niet verkeerd — je kunt geen platform bouwen dat bestand is tegen mensen die hun eigen straat kennen. Maar het maakt hem wel een keuze en geen natuurwet, en het is de reden dat ik bij elk voorstel om iets specifieker te tonen eerst een nacht wacht.

De vraag onder de juridische vraag

“Mag het?” is een prima vraag om te eindigen, maar een slechte om mee te beginnen. Het juridisch kader vertelt je waar de grens ligt; het vertelt je niet of je er tegenaan moet gaan staan. De vragen die bij mij eerder opkomen, zijn simpeler.

Wat wordt de gebruiker hier concreet wijzer van? Bij “hoe druk is het vanavond in mijn regio” is het antwoord duidelijk. Bij “wie is er precies gereanimeerd op welk huisnummer” is het antwoord nieuwsgierigheid, en nieuwsgierigheid is geen belang dat opweegt tegen andermans slechtste dag.

En de vraag die het vaakst doorslaggevend is: hoe zou ik dit vinden als het mijn eigen ouders waren? Dat klinkt als een goedkope morele toets, maar hij werkt verrassend goed, juist omdat hij zich niets aantrekt van wat technisch mogelijk is.

Er is nog een derde overweging die je pas ziet als je zelf uitrukt. Een grote brand met een exacte locatie, live op een kaart met duizenden kijkers, trekt publiek. Dat publiek staat in de weg, filmt, parkeert op de opstelplaats en soms op de brandkraan. Ik heb aan beide kanten van dat lint gestaan — als manschap en als bouwer van de app waarmee ze het gevonden hebben. Dat is een ongemakkelijke plek om te zitten, en het heeft mijn keuzes over wat en wanneer je toont meer beïnvloed dan welk wetsartikel dan ook.

Waarom ik vóór versleuteling ben, tegen mijn eigen belang in

De echte oplossing voor dit hele vraagstuk is niet dat platformbouwers zich netjes gedragen. De echte oplossing is dat gevoelige alarmering niet meer onversleuteld door de lucht gaat. Bij de ambulancezorg is dat al aan de gang, en het werkt: die beweging heeft in één klap meer opgeleverd dan welk zelfopgelegd beleid van welke platformbouwer dan ook, juist omdat niemand er nog op hoeft te vertrouwen dat ik me gedraag.

Dat kost mijn platform functionaliteit. Het is desondanks de juiste kant op. Privacy die afhangt van de welwillendheid van degene die toevallig de data heeft, is geen privacy maar geluk — dat is ongeveer het eerste wat je als CISO leert. Als de bron zelf regelt wat er wel en niet naar buiten gaat, hoeft niemand meer te vertrouwen op de goede bedoelingen van een vrijwillig brandweerman uit Uden.

Tot die tijd is dit het eerlijkste wat ik erover kan zeggen: het is openbaar omdat het technisch onversleuteld is, niet omdat iemand heeft besloten dat het openbaar hóórt te zijn. Dat verschil is de hele ethiek van dit vakgebied, en iedereen die met deze data werkt zou hem minstens één keer serieus overwogen moeten hebben.

Conclusie

Mag je P2000-meldingen publiceren? Ontvangen mag. Publiceren mag onder voorwaarden, en die voorwaarden worden strenger naarmate de melding dichter bij iemands lichaam en iemands voordeur komt. Wie brandweeruitrukken op straatniveau toont, zit in rustig water. Wie medische inzetten op huisnummer publiceert, verwerkt bijzondere persoonsgegevens zonder deugdelijke grondslag en moet niet verbaasd zijn als daar een keer een brief over komt. Zelf zit ik op straatniveau, en alles wat ik daar wel en niet doe hangt aan die ene keuze. Verandert die korrel ooit, dan verandert de rest mee — en niet andersom.

Maar de regel waar het uiteindelijk om draait staat in geen enkel wetboek: publiceer niets over de slechtste dag van een ander wat je over je eigen slechtste dag niet zou willen lezen. De rest is uitvoering.