Vak-P luidt noodklok in fel statement tegen PDT en eist actie van FC Twente

Vak-P heeft zich fel uitgesproken tegen de invoering van Persoonlijke Digitale Toegang (PDT) in het betaald voetbal. Vanaf het seizoen 2028-2029 moeten alle profclubs gebruikmaken van het systeem, waarbij supporters zich persoonlijk moeten identificeren voordat ze een ticket kunnen gebruiken. De meest fanatieke supportersvereniging van FC Twente maakt zich grote zorgen over de privacy, veiligheid van persoonsgegevens en de gevolgen voor supporters. Vak-P is van mening dat ook FC Twente zich uit moet spreken tégen de verplichte invoering van PDT. Hieronder het volledige statement van Vak-P.

Persoonlijke Digitale Toegang (PDT), een soort DigiD voor supporters, is een digitale identiteitscontrole voor stadionbezoekers. Vóórdat je een ticket kunt gebruiken, moet je een persoonlijk account aanmaken en eenmalig met een identiteitsbewijs aantonen wie je bent. Daarna wordt ieder ticket gekoppeld aan jouw gecontroleerde account.

Grote kans dat je hier nog nooit van hebt gehoord. Het blijft ook akelig stil rond zo’n grote dwangmaatregel. Toch ligt de route al vast. In seizoen 27/28 moet iedere profclub bezig zijn met een vorm van PDT. Vanaf seizoen 28/29 is PDT voor alle profclubs verplicht.

Waarom zijn wij tegen? Omdat identiteitsregistratie een voorwaarde wordt voor stadionbezoek, het doorgeven van jouw seizoenskaart bij verhindering onnodig ingewikkeld wordt, de beloofde voordelen nauwelijks zijn aangetoond en nog altijd vragen bestaan over de verwerking en beveiliging van onze gegevens (zie verder in het bericht).

De ontwikkeling van PDT begon in seizoen 21/22, midden in de coronatijd. Digitale toegangscontrole en identiteitsregistratie werden toen steeds normaler. Nu wil de KNVB deze controle blijvend het stadion binnenhalen.

Volgens de KNVB is de identiteitscontrole maar één keer nodig. Dat klinkt geruststellend, maar een eenmalige verplichte controle blijft een verplichte controle. Zonder persoonlijk account en controle van je identiteitsbewijs kun je geen PDT-ticket gebruiken en mag je dus niet naar binnen. Voor een lege of kapotte telefoon verwijst de KNVB naar serviceloketten. Maar welk volwaardig alternatief er is voor supporters zonder smartphone of voor mensen die identiteitsregistratie weigeren, blijft onduidelijk.

Je kunt dus al dertig jaar op dezelfde tribune staan. Straks geldt: eerst registreren en identificeren, daarna pas naar binnen, zo niet? AJU! Je gaat toch geen fucking staatsgrens over?! Je gaat naar je FC!

De KNVB zet daar verschillende voordelen tegenover:

• Soepelere toegang tot het stadion. De beloofde tijdwinst werd bij meerdere clubs niet teruggezien. Een goede gemeten vergelijking met de gewone seizoenkaart ontbreekt en bij veel clubs was de snelheid bij de ingang vooraf geen probleem.
• Betere handhaving van stadionverboden en meer veiligheid. Zelfs de effectmeting die in opdracht van de KNVB en Sportinnovator werd uitgevoerd, kon nog nauwelijks een bijdrage aan de veiligheid aantonen. Ondertussen daalt het aantal door de politie geregistreerde incidenten al drie seizoenen op rij, zonder landelijke PDT.

En wat gebeurt er met onze gegevens?
De KNVB zegt dat persoonsgegevens na de identiteitscontrole versleuteld op je telefoon staan en pas met de club worden gedeeld wanneer je een ticket accepteert. Maar dat zegt nog niets over wat er tijdens die identiteitscontrole gebeurt.

Daar zitten enkele grote problemen:

• Meer gegevens dan toegestaan. In het officiële kader staat dat technische maatregelen moeten voorkomen dat het BSN wordt verwerkt. Onderzoeker Mick Beer zegt bij de PEC Zwolle-app iets anders te hebben gemeten. Zijn BSN, pasfoto en andere paspoortgegevens werden volgens hem al tijdens de registratie naar de server van leverancier Siip verstuurd, nog voordat hij een ticket had gekocht of geaccepteerd.
• De gegevens verlaten je telefoon. Siip heeft bevestigd dat gegevens uit het identiteitsbewijs versleuteld via zijn systeem worden geleid. Het bedrijf zegt dat ze daarna direct worden verwijderd. Dat bewijst niet dat Siip ze bewaart, maar wel dat onze gevoelige gegevens tijdens de controle door de systemen van een commerciële leverancier gaan. Volgens Beer draaide de onderzochte server in de Ierse regio van Amazon Web Services.
• De beveiliging bleek kwetsbaar. Beveiligingsonderzoeker Abdoul Rasnab kon bij de PSV-app de identiteitscontrole naar zijn eigen server omleiden. Daardoor kreeg hij gevoelige gegevens uit het identiteitsbewijs te zien, waaronder de pasfoto.

De KNVB kondigde na de privacyklachten een extern onderzoek aan. De uitkomsten werden uiterlijk in augustus verwacht, maar tot op heden is nog altijd niets openbaar gemaakt.

Het blijft dus onvoldoende duidelijk:

• Welke gegevens precies worden verwerkt;
• Via welke systemen en bedrijven ze gaan;
• Wie er bij jouw persoonlijke gegevens kan;
• Hoelang de gegevens worden bewaard;
• En hoe de privacy- en veiligheidsrisico’s zijn afgewogen.

Toch dendert de landelijke invoering door....

“Maar ik heb toch niets te verbergen?!”

Fijn voor je, daar gaat het niet om. Privacy gaat over de vraag waarom jouw gegevens nodig zijn, wie erbij kan en wat ermee gebeurt wanneer een systeem wordt misbruikt of gekraakt. Ook als je dus niets te verbergen hebt. Datalekken zien we om de haverklap. Waarom zouden juist deze apps en systemen wél waterdicht zijn?

Ook het doel van PDT wordt steeds breder. Het begon binnen een programma tegen racisme en discriminatie. Inmiddels gaat het ook over stadionverboden, incidenten, ticketdeling, zwarthandel, bezoekersregistratie en communicatie met supporters.

Daar blijft het niet bij. De directeur van Siip spreekt zelf over communicatie op maat, klantenbinding en commerciële kansen wanneer bekend is wie een stadion bezoekt. In een officieel subsidieproject van TOP Oss worden zelfs ‘databaseverrijking en marketingpotentieel’ als verwacht resultaat genoemd.

En dan onze eigen FC...

FC Twente liet eerder weten niet aan de pilot mee te willen doen. Volgens de besluitvorming omtrent PDT heeft uiteindelijk geen enkele club zich tegen de verplichte invoering uitgesproken. Ook onze FC niet.

Daarom willen wij weten:

• Welk standpunt heeft FC Twente werkelijk ingenomen?
• Welke leverancier gaat de club gebruiken?
• Welke gegevens worden verwerkt, waar gebeurt dat en wie krijgt toegang?
• Hoelang worden onze gegevens bewaard?
• Kan iemand die identiteitsregistratie weigert straks nog naar binnen?
• En hoe worden supporters bij de invoering betrokken?

Wij zijn tegen verplichte identiteitsregistratie waarvan de noodzaak en werking onvoldoende zijn aangetoond, terwijl belangrijke vragen over privacy en beveiliging van persoonlijke gegevens onbeantwoord blijven.

FC Twente moet voor zijn eigen supporters gaan staan en zich uitspreken tégen verplichte PDT!

Vak-P