De grote paspoortroof in het Nederlandse voetbal

Wie een voetbalstadion wil betreden, moet steeds vaker eerst zijn paspoort scannen. Voetbalclubs en de KNVB introduceren in rap tempo 'Persoonlijke Digitale Toegang' (PDT). De belofte is prachtig: een snelle doorstroom, optimale veiligheid en volledige controle over je eigen gegevens. De leverancier van deze technologie, het Zwolse bedrijf SIIP, schermt met termen als 'privacy by design'. Maar achter deze glanzende marketingcampagne schuilt een schokkende werkelijkheid. Onafhankelijk technisch onderzoek van expert Mick Beer toont aan dat de beloofde privacy een totale illusie is. In plaats van lokale opslag op de telefoon, worden de meest gevoelige identiteitsgegevens van supporters direct doorgestuurd naar Amerikaanse cloudservers. Dit artikel legt bloot hoe voetbalclubs, de KNVB en SIIP de privacywetgeving bewust negeren voor commercieel gewin.

De valse belofte van controle

SIIP presenteert zichzelf als een ethische speler op de markt van digitale identificatie. Het bedrijf belooft dat supporters de volledige regie behouden over hun persoonsgegevens via een digitale wallet op hun smartphone. Volgens de marketingboodschappen hanteert SIIP de principes van 'privacy by design' en 'privacy by default'. Ook voetbalclubs nemen deze claims klakkeloos over. PSV stelt bijvoorbeeld in haar privacyverklaring dat de gegevens uitsluitend op de smartphone van de gebruiker blijven staan. De club beweert dat SIIP ervoor zorgt dat er geen onnodige gegevens worden gedeeld. Dit klinkt prachtig in een tijd waarin privacywetgeving streng is. De werkelijkheid achter de schermen is echter compleet anders. De belofte van lokale opslag is een fabeltje. Supporters geven onbewust veel meer prijs dan hen wordt verteld. De AVG-transparantieplicht wordt hierbij op grove wijze geschonden. De clubs en hun technische partner sussen de supporters in slaap met mooie woorden, terwijl de technische infrastructuur heel andere dingen doet. De kans is groot dat clubs zoals PSV door het geven van valse informatie in de privacyverklaring onrechtmatig bezig zijn.

De ontmaskering door data-analyse

Privacyonderzoeker Mick Beer besloot de proef op de som te nemen en analyseerde de app van PEC Zwolle. Zijn bevindingen zijn schokkend en leggen een grote datastroom bloot. Zodra een supporter zich registreert in de app, verlaat een schat aan gevoelige gegevens de telefoon. Het gaat hierbij niet alleen om een naam of e-mailadres. De app stuurt het Burgerservicenummer (BSN), de pasfoto uit de chip van het paspoort en zelfs de unieke staatshandtekening door naar een server. Ook het documentnummer en de nationaliteit worden direct geüpload. Deze server draait op de cloudinfrastructuur van Amazon Web Services (AWS) in Ierland. Omdat AWS een Amerikaans bedrijf is, valt deze data onder de Amerikaanse CLOUD Act. Dit betekent dat Amerikaanse opsporingsdiensten in theorie toegang kunnen eisen tot deze uiterst gevoelige Nederlandse identiteitsgegevens. De bewering dat gegevens het toestel niet verlaten is hiermee onomstotelijk weerlegd. Bovendien hebben voetbalclubs geen grondslag om BSN nummers te verzamelen.

Commercieel opportunisme en illegale tracking

De honger naar data stopt niet bij het paspoort. De apps van clubs als PEC Zwolle, FC Eindhoven, ADO Den Haag en NAC Breda zijn gebouwd op hetzelfde sjabloon van SIIP. Dit 'white-label' systeem blijkt direct bij het opstarten al gegevens te lekken. Zonder dat de gebruiker hiervoor toestemming heeft gegeven, verstuurt de app telemetrie en trackingdata naar Amerikaanse partijen zoals Google Firebase en Sentry. Dit is een directe overtreding van de AVG, die expliciete toestemming vereist voor dit soort tracking. De achterliggende motivatie is puur commercieel. SIIP ziet de geïdentificeerde bezoeker namelijk als een commercieel goudmijntje. Het bedrijf adverteert met de mogelijkheid om voor, tijdens en na de wedstrijd direct contact te zoeken met de bezoeker. Dit zogenaamde 'customized communication' model verandert een voetbalticket in een permanent marketingkanaal. De supporter betaalt niet alleen voor zijn kaartje, maar betaalt vooral met zijn meest intieme digitale identiteit.

De KNVB als aanjager van de dataroof

In plaats van in te grijpen, treedt de KNVB op als de grootste promotor van dit systeem. De voetbalbond presenteert 'Identity Based Access' als een innovatieve oplossing voor de veiligheid in stadions. Samen met SIIP, SportInnovator en het Ministerie van Volksgezondheid, Welzijn en Sport (VWS) probeert de bond het systeem te legitimeren. Het doel is ambitieus en dwingend. De KNVB streeft ernaar om deze Persoonlijke Digitale Toegang (PDT) vanaf juli 2027 de standaard te maken voor alle Nederlandse profclubs. De bond zet clubs onder druk om de adoptie onder supporters snel naar de honderd procent te brengen. Hiervoor worden zelfs overheidssubsidies ingezet. De KNVB negeert hierbij de enorme privacyrisico's die onafhankelijke experts blootleggen. De geschiedenis leert dat de bond niet blind moet vertrouwen op zijn eigen digitale veiligheid. In 2023 werd de KNVB nog getroffen door een grote cyberinbraak waarbij persoonsgegevens van medewerkers werden gestolen. Het centraliseren van paspoortgegevens is spelen met vuur.

Toezicht faalt en supporters protesteren

De juridische onderbouwing van het project rammelt aan alle kanten. Er is geen onafhankelijke en openbare Data Protection Impact Assessment (DPIA) beschikbaar die de werkelijke datastromen dekt. De bestaande documenten worden door experts omschreven als oppervlakkige checklists. Ze zwijgen in alle talen over de verwerking van het BSN en de doorgifte naar Amerikaanse cloud-verwerkers. De Autoriteit Persoonsgegevens (AP) heeft tot nu toe nog niet handhavend opgetreden tegen SIIP of de clubs. Dit komt mede doordat de technische feiten pas zeer recent door onafhankelijk onderzoek zijn aangetoond. De KNVB heeft bovendien een moeizame relatie met de toezichthouder, getuige eerdere slepende rechtszaken over privacyboetes. Ondertussen groeit de maatschappelijke weerstand. Supportersorganisaties kwamen al massaal in opstand tegen het ticketsysteem. Zij weigeren hun paspoort te laten scannen door commerciële partijen. De angst voor een gigantisch datalek is volkomen terecht. Als deze centrale database met BSN's en pasfoto's wordt gehackt, zijn de gevolgen voor identiteitsfraude niet te overzien.