Studenten van de Universiteit Leiden hebben dinsdagmiddag de ingang van het Lipsiusgebouw aan de Cleveringaplaats geblokkeerd. Op deze manier protesteerden ze tegen de slimme camera’s die op de campus hangen. Ze waren bedoeld om bezoekers te tellen, maar kunnen ook bijzondere persoonsgegevens opslaan. Dat meldt Omroep West.
Het is oktober 2020 als het bestuur van de Universiteit Leiden camera’s laat ophangen op het terrein van de universiteit. Het doel van de camera’s is om ‘de bezetting en benutting van onderwijszalen’ structureel te monitoren. Zo kan er op het juiste moment direct bijgestuurd worden als dat nodig is. Aan het begin van elk semester handmatig steekproeven nemen bleek te arbeidsintensief. Sinds halverwege dit jaar hangen de camera’s -door het bestuur ook wel Classroom Scanners genoemd- voor de deur van elke collegezaal.
Volgens universiteitsblad Mare heeft het bestuur in totaal 371 slimme camera’s laten installeren. De redactie maakt zich zorgen over de privacy en beveiligingsrisico’s van de camera’s. Want hoewel ze het aantal bezoekers zeer nauwkeurig tellen, kunnen de camera’s nog veel meer. Ze zijn tevens in staat om je lengte te meten, je leeftijd in te schatten, je geslacht vast te stellen, looproutes te volgen en te bepalen of studenten, medewerkers en bezoekers wel of niet een mondmasker dragen.
“Je hebt de normale camera die gebruikt wordt zodat de beveiliging kan zien wie er binnenloopt. Maar de camera’s die de universiteit nu heeft opgehangen maken gebruik van artificial intelligence. Dat betekent dat ze op eigen houtje net iets te veel kunnen. En als je dat combineert met een slecht beveiligd netwerk, dan zijn opeens je gegevens niet meer zo veilig”, zo vertelt Joris Wiebes, de initiatiefnemer van het protest.
Zijn grootste angst is dat de data die de camera’s vroeg of laat op straat belanden. “De camera’s kunnen gegevens meten en die gegevens aan een naam koppelen. Daar maak ik mij zorgen over”, vertelde Wiebes dinsdagochtend in het programma West Wordt Wakker.
Daarom had de student een protestactie opgezet. Door de ingang van het Lipsiusgebouw aan de Cleveringaplaats te blokkeren, wilde hij aandacht vragen voor het onderwerp. De blokkade duurde één uur, van 13:00 tot 14:00. Wiebes maakt zich geen illusie: de kans dat de slimme camera’s worden weggehaald is nihil. Hij hoopt echter wel dat het bestuur het gesprek met hem wil aangaan en hij inspraak krijgt.
Een woordvoerster van de universiteit zegt dat studenten zich geen zorgen hoeven te maken. De ‘personentellers’ registreren volgens haar het aantal studenten en bezoekers. “Er worden geen andere gegevens vastgelegd, dus geen persoonskenmerken geregistreerd of opgeslagen”, aldus de woordvoerster tegenover het universiteitsblad.
De camera’s hebben vier verschillende veiligheids- en privacyniveaus, variërend van 0 tot 3. Niveau 3 is het hoogste niveau en is volledig anoniem. De camera’s registreren dan alleen het aantal voorbijgangers. Niveau 0 kent daarentegen geen enkele beperkingen. De camera’s geven dan een live feed van de camerabeelden, waarop mensen duidelijk en herkenbaar in beeld komen.
De woordvoerster benadrukt dat de universiteit de camera’s op niveau 1 heeft laten afstellen. “Zodat mensen niet herkenbaar en uitsluitend als silhouetten geregistreerd worden.” Om het veiligheidsniveau anders in te stellen, is een master key nodig. Alleen de leverancier beschikt hierover en past de privacyinstellingen enkel aan als de universiteit daartoe opdracht geeft.
De beveiliging van het camerasysteem was aanvankelijk niet op orde. Door via Google de zoekopdracht ‘Xovis Universiteit Leiden’ in te tikken, verscheen het inlogscherm van de beheerders in beeld. Een doodzonde, want daarmee maak je het hackers wel erg gemakkelijk om in te breken.
Daarnaast was de inlogpagina niet voorzien van een slotje (https), wat inhoudt dat wachtwoorden onversleuteld over het internet worden verstuurd. “Van een professionele instelling is dat erg onverstandig, dat hoort gewoon echt niet meer. Het lijkt een slecht geïmplementeerd systeem te zijn waar niet goed over is nagedacht”, zo vertelt ethisch hacker Sijmen Ruwhof.
De Autoriteit Persoonsgegevens zegt dat er voor het registreren van persoonsgegevens een juridische basis of grondslag nodig is. “Bij het volgen van mensen op grote schaal, ligt de lat erg hoog. En je moet je als organisatie ook altijd de vraag stellen: kan ik dit doel ook bereiken met minder zware middelen, dus zónder een grote inbreuk te doen op de privacy van mensen?”, aldus de toezichthouder.
Bart Jacobs, hoogleraar Security, Privacy and Identity aan de Radboud Universiteit Nijmegen, vertelt dat het tellen van het aantal bezoekers wellicht een gerechtvaardigd doel is. “Maar als de camera’s meer functionaliteiten aan hebben staan, is dat illegaal.” Hij vindt dat de universiteit ‘de morele plicht’ heeft om ‘maximaal vertrouwenwekkende maatregelen’ te treffen. Bijvoorbeeld door regelmatig een audit door een externe en onafhankelijke partij te laten plaatsvinden.
Om de zorgen bij studenten en medewerkers weg te nemen, stuurde het bestuur eind november een uitgebreide e-mail. Daarin trekt het bestuur het boetekleed aan en erkent dat de communicatie over de installatie van de slimme camera’s te wensen overliet. “Dit is te laat op gang gekomen, doordat alle aandacht uitging naar het ophangen, uittesten, kalibreren en valideren van de kengetallen van het nieuwe systeem. Juist vanwege alle privacyaspecten die we kunnen en willen borgen, dient dit zo goed en zorgvuldig mogelijk te gebeuren. Maar dit geldt eveneens voor de communicatie, dat had dus zeker beter gekund en daar leren we van”, zo staat er in de e-mail.
