Universiteit Leiden verwijdert honderden slimme camera’s na privacyzorgen

De Universiteit Leiden gaat honderden slimme camera’s die het tijdens de coronapandemie inzette en eind 2021 na grote ophef uitschakelde definitief verwijderen, las ik bij Security.nl. Het ging om bijna vierhonderd camera’s die zonder eerst een DPIA te doen werden ingezet, en bovendien consequent als ‘sensoren’ of ‘scanners’ werden aangeduid terwijl het dus video-camera’s waren. Ze gingen uit, maar begin januari werd bekend dat de universiteit de camera’s weer wilde inschakelen. Dat leidde tot Kamervragen en nu gaan ze dus definitief uit.

Ik citeer even het universiteitsblad Mare, dat een en ander onthulde:

De beveiliging van de 371 slimme camera’s die de Leidse universiteit tijdens de coronacrisis liet installeren, bevatte grote fouten. Daarnaast is de privacy van studenten en medewerkers geschonden en de medezeggenschap onvoldoende ingelicht. … [G]ebruikers konden zonder in te loggen informatie over de camera zien, en wachtwoorden waren met een onveilige en verouderde versleuteling beveiligd.

De camera’s waren er aan het begin van de corona-lockdownperiode gekomen met als kennelijk doel personen te tellen. Maar ze kunnen veel meer.

Het zijn camera’s van de Zwitserse fabrikant Xovis, en die kunnen veel meer dan tellen. De camerasensoren zijn uitgerust met kunstmatige intelligentie die de beelden constant analyseert. Naast tellen, kunnen ze looproutes volgen van de voorbijgangers, hun lengtes weergeven, inschatten hoe oud personen zijn, wat hun geslacht of humeur is, en zelfs kijken of iemand een gezichtsmasker draagt.

Dat is dan als je alle opties aanzet, maar de universiteit zou voor het enalaagste niveau hebben gekozen: alleen registratie van ‘silhouetten’ en daaruit extraheren van algemene getallen zoals aantal mensen in tijdvak door de gang. Maar de beveiliging daarvan was buitengewoon slecht, zodat iedereen met een béétje kennis dit zo omhoog had kunnen zetten. (Ik citeer “Wie ‘Xovis Universiteit Leiden’ googelt komt meteen uit bij het inlogscherm voor de administrator.” en doe een facepalm.)

De ophef gaf dus aanleiding tot nader onderzoek en vervolgens alsnog een DPIA, maar de druk was zo groot dat men nu besluit de camera’s definitief uit te zetten.

Arnoud