20231102 commissie FKD conceptverslag

 Wat zijn de twee of drie grootste risico’s van dit moment? En wat wordt hiermee gedaan?  Wat vindt de wethouder van hoe het nu gaat met compliancy en de risico’s? Lid IJMKER vindt het naar aanleiding van de technische sessie, de gesprekken daarna en door de raadsbrief duidelijk hoe de gemeente omgaat met compliancy en in kaart brengt wat de risico’s zijn. Zij stelt twee vragen aan de wethouder:  Zij verzoekt de wethouder om een bevestiging hoe de publicatie van het verwerkingsregister verbeterd kan worden door dit in real time te doen met een datering.  Zij verzoekt de wethouder om via de WOO open source en broncode openbaar maken, als dit al niet gebeurt. Lid BELKASMI concludeert uit de rapportage Informatiebeveiliging dat er een stijging is van ICT-gerelateerde incidenten. Hij vraagt de wethouder of hij deze toename kan verklaren en hoe dit in 2023 is. Het valt lid Belkasmi op dat in het auditrapport WPG veel punten rood zijn gemarkeerd, zoals bij gegevensbescherming door Beveiliging en Ontwerp en bij Toezicht en Handhaving op Leerplicht en Aanpak Thuiszitters. Wat doet de gemeente met de mogelijkheden en risico’s die daarmee gepaard gaan in dit geval? Welke acties worden er momenteel ondernomen om de archivering van de WOOverzoeken te archiveren?

19

Gemeente Amsterdam Raadscommissie Financiën, Kunst en Diversiteit. Concept raadscommissieverslag, 2 november 2023

FKD

Lid MEERBURG plaatst een kritische noot bij de toenemende digitalisering, die de stad minder privacy-vriendelijk en dit maakt de stad kwetsbaarder voor cyberaanvallen en alles wat met ICT mis kan gaan. Hij benadrukt het feit dat de Partij voor de Dieren al jaren bezig is te proberen een halt toe te roepen aan de enorme dataficatie en de groei van de behoefte om steeds meer persoonsgegevens van mensen te verzamelen en de behoefte om alle systemen, soms zelfs onnodig, te digitaliseren. Hij dringt er bij de wethouder op aan om de schriftelijke vragen van inmiddels twee jaar geleden over alles wat de gemeente in de openbare ruimte doet, zo snel mogelijk te beantwoorden. Voor Partij voor de Dieren is het uitblijven van een reactie een bevestiging dat er nog geen grip op digitalisering is, mede doordat er nog geen overzicht beschikbaar is. Hij verzoekt de wethouder toe te zeggen dat op uiterlijk 14 december tijdens de FKD-commissie van die datum de antwoorden op de schriftelijke vragen er zijn. Wethouder SCHOLTES verwijst naar de agenda Digitale Stad die de wethouder binnenkort aan de raad zal toezenden. De wethouder gelooft in de kansen bij inzet van technologie, maar erkent het belang van het inzetten van technologie op een verantwoorde manier. Een belangrijk aandachtspunt is de basis op orde brengen en houden.

Hiervoor voert de wethouder gesprekken met betrokken partijen, verwijst hij naar de ACAM en is hij zich bewust van de aandachtspunten van de raad. Het werk hierbij is feitelijk nooit af en vraagt een voortdurende alertheid. In de raadsbrief staan verschillende acties beschreven die moeten voorkomen dat er dingen misgaan in het kader van de AVG. De wethouder geeft aan dat compliancy veel aandacht vraagt. Dit houdt tevens in dat er moet worden gekeken naar hoe het interne toezicht wordt georganiseerd. De Functionaris Gegevensbescherming voert het toezicht op de naleving van de AVG bij de gemeente uit. In een brief die de wethouder binnenkort aan de raad toezendt zal worden beschreven hoe deze Functionaris Gegevensbescherming sterker en onafhankelijker zal worden gepositioneerd binnen de gemeente. Dit wordt bewerkstelligd in samenspraak met de Autoriteit Persoonsgegevens. Het inzicht in risico’s is verbeterd en zal binnenkort worden verkregen door het risicomonitoringsysteem waar nu aan wordt gewerkt. Er wordt gemonitord vanuit het informatiebeveiligingsperspectief en privacy-gevoeligheidsperspectief. In 2024 zijn de risico’s in dat monitorsysteem ingevoerd. Gegevens hiervan ontvangt de raad in de rapportages van de SISO, Functionaris Gegevens Bescherming, alsmede in de Najaarsnota.

Als voorbeelden van de risico’s noemt de wethouder de achterstanden die er zijn ten aanzien van de AVG-compliancy. De vertragingen met betrekking tot de WOO brengen met zich mee dat het vertrouwen in de overheid daalt. Risico’s met een grote impact zijn bijvoorbeeld een datalek met persoonsgegevens of een hack met losgeld. Op 1 december zal er een volgende versie van het verwerkingsregister online komen, waarin ook versienummer en datum vermeld zullen worden. In overleg met Utrecht en Rotterdam wordt er gekeken naar de mogelijkheden om het verwerkingsregister real time te publiceren. In de loop van 2024 zal de wethouder hier verder over rapporteren. De wethouder geeft aan dat broncode al openbaar wordt gemaakt via GitHub. De software-code bevindt zich niet bij de eerste elf categorieën die de wetgever voorschrijft, dus er wordt op gefocust om dat te doen via de WOO. Er is geld beschikbaar om de afhandeling via de WOO te verbeteren. De wethouder noemt een aantal oorzaken die de toename van ICT-incidenten verklaart: er worden meer meldingen gedaan, de registratie van incidenten is verbeterd en er zijn 2022 meer pogingen van phishing geconstateerd. De keren dat er sprake was van incidenten met classificatie ‘hoog’ betrof het uitval van systemen door technische verstoring in de ICT-structuur. Het aantal incidenten in 2023 is ten opzichte van 2022 stabiel.

Het archiveren van WOO-verzoeken gaat vaak mis, omdat de verzoeken veelal gedaan worden via e-mail en deze e-mailberichten komen vaak niet terecht in een dossier. Er wordt gezocht naar een oplossing om bij sleutelfiguren de mailboxen integraal te bewaren en met zoektechnologie te kunnen doorzoeken. Voor tekstberichten op social media is nog geen technologische oplossing voorhanden, maar er wordt gezocht naar een mogelijkheid bij sleutelfiguren. De focus ligt dus op sleutelfiguren, zoals bestuurders.

20

Gemeente Amsterdam Raadscommissie Financiën, Kunst en Diversiteit. Concept raadscommissieverslag, 2 november 2023

FKD

De wethouder erkent dat er ten aanzien van Wet politiegegevens nog een inhaalslag moet worden gemaakt. Er wordt momenteel een BIAS uitgevoerd op de hoofdprocessen waarin wordt gewerkt met politiegegevens. Een kortetermijnmaatregel is het afschermen van de politiegegevens. Uiteindelijk moet er een applicatie komen waarbij elke handeling wordt gelogd. Ook worden er werkinstructies toegevoegd die ervoor moeten zorgen dat de gegevensbescherming beter geregeld is. In tegenstelling tot de mening van het lid Meerburg ziet de wethouder vooral kansen bij digitalisering en meent hij dat digitalisering vaak onvermijdelijk is. Toch erkent de wethouders dat digitalisering risico’s met zich meebrengt. In de agenda Digitale Stad zal ook steeds de keuze gemaakt moeten worden waar er gedigitaliseerd wordt en waar niet. Digitalisering moet een meerwaarde hebben en uitgevoerd worden op een verantwoorde manier. De wethouder erkent dat de beantwoording op de vragen over sensoren in de openbare ruimte lang op zich laat wachten en hij is het eens met de constatering van lid Meerburg dat er een overzicht ontbreekt. De wethouder zegt toe de beantwoording begin december aan de raad toe te zenden. Lid GARMY vraagt of de raad een uitdraai ontvangt van het nieuwe risicomanagementsysteem, zodat het duidelijk is wat de risico's zijn en hoe de raad hierop kan sturen.

Wethouder SCHOLTES geeft aan dat het risicomanagementsysteem hiervoor te omvangrijk is, het is een intern systeem. De wethouder kan toezeggen dat er over de kern wel gerapporteerd kan worden via de SISO, de FG en via de Najaarsnota. De VOORZITTER stelt vast dat het onderwerp voldoende is behandeld TOEGEVOEGDE AGENDAPUNTEN Bespreekpunten Deelnemingen (excl. AEB en Schiphol) 11. Terugkoppelen uitkomsten aandeelhoudersvergaderingen van gemeentelijke deelnemingen eerste deel 2023 (VN2023-022964) De VOORZITTER leidt het agendapunt in en deelt mee dat het punt is geagendeerd door het lid Mangal, die een aantal vragen heeft over de vergaderingen en verslagen. Het punt kan openbaar worden besproken, maar een deel van de verslagen van de aandeelhoudersvergaderingen is geheim. Lid MANGAL heeft gelezen in de raadsbrief dat de wethouder een bedrag van 10 miljoen euro geeft aan het GVB, dat wordt ‘ontfutseld’ aan de raad. Hij vraagt de wethouder hierop te reflecteren; wat doet de wethouder als hij de 10 miljoen euro niet krijgt? Waarom heeft de wethouder ingestemd met de dividenduitkering aan Alliander in plaats van uitkering in aandelen? Bij de N.V. Zeedijk is de stemverhouding aangepast. Lid Mangal vraagt de wethouder toe te lichten op welke wijze deze is aangepast en welke gevolgen dit heeft voor de gemeente als aandeelhouder.

Wethouder SCHOLTES geeft aan dat er nooit sprake is geweest van ‘ontfutselen’ en hij verwerpt een dergelijke aanduiding. Het GVB bevond zich vorig jaar in een penibele positie en dan is het de verantwoordelijkheid van een aandeelhouder van een deelneming om de continuïteit te waarborgen. Achteraf bleek het geld niet nodig. Is dat wel het geval dan komt de wethouder naar

21

Gemeente Amsterdam Raadscommissie Financiën, Kunst en Diversiteit. Concept raadscommissieverslag, 2 november 2023

FKD

de raad met een voorstel. Overigens heeft het college de bevoegdheid om zonder goedkeuring van de raad uit een bestaand programma geld te genereren. In 2021 hebben de huidige aandeelhouders een lening verstrekt aan Alliander en er is toen afgesproken om het voorlopige dividendbeleid in stand te houden voor de reguliere winst. Op de lange termijn is de kapitaalbehoefte van Alliander heel groot en dan zal tevens het Rijk toetreden. Een verlaging van het dividend zou dan weinig soelaas bieden. Alliander heeft inmiddels een bedrijfsonderdeel verkocht. De gemeente heeft aangegeven dat Alliander een deel van het bedrag behoudt om te investeren in de elektrificering. Bij N.V. Zeedijk kende de oude statuten een drempel van 90 procent voor een aantal belangrijke aandeelhoudersbesluiten om te voorkomen dat de gemeente alles kon bepalen. Met de overname van een aantal aandelen va een aantal andere aandeelhouders kreeg de gemeente 91 procent van de aandelen en werd de drempel verhoogd naar 92 procent ten behoeve van een democratische besluitvorming. De VOORZITTER stelt vast dat het onderwerp voldoende is besproken. ICT en Digitale Stad 12. Kennisnemen van de raadsinformatiebrief over het anonimiseringsalgoritme Blurring as a Service (VN2023-022963) De VOORZITTER leidt het agendapunt in en deelt mee dat deze brief is geagendeerd door lid Mangal.

Hij heeft vragen over het niet toepassen van het anonimiseringsalgoritme. Lid MANGAL concludeert dat Blurring as a Service niet is toegepast. Hij vraagt welke gevolgen dit heeft gehad voor de privacy en op welke manier de huidige cameraopstellingen voldoen aan het recht om niet te worden gevonden of in ieder geval de belofte dat iemand onbespied door de stad kan bewegen. Lid IJMKER geeft aan dat zij een aantal standaardvragen over het project heeft. Bovenaan staat de vraag waarom de gemeente dit gaat doen. In vervolg daarop vraagt zij waarom dit project is ontwikkeld en welk probleem hiermee wordt opgelost. Aanvankelijk werd ‘blurring’ handmatig uitgevoerd. Samengevat mist het lid IJmker de context waarom de gemeente voornemens is dit project uit te voeren. Zij stelt als alternatief voor om, als het doel is om de privacy van de burgers beter te beschermen, minder beelden vast te leggen. Ook zou ervoor gekozen kunnen worden om de bewaartermijnen te verkorten. Lid IJmker is niet overtuigd van de meerwaarde van ‘blurring’ door middel van algoritmen. Wethouder SCHOLTES geeft aan dat ‘blurring’ alleen bij de gezichten wordt gedaan en dan kan er alsnog worden gedetermineerd aan andere herkenbare details wie de persoon is. Hoe lang beelden van de openbare ruimte moeten worden bewaard hangt ook af van het gebruiksdoel.

Mensen worden dan wel onherkenbaar gemaakt, maar dat werkte niet altijd even goed, bijvoorbeeld bij huidskleur. Het algoritme is ontwikkeld om de privacy van mensen zo goed mogelijk te beschermen. Dit wordt nu al toegepast bij de panoramabeelden die de gemeente al jaren maakt, aangezien bij het oude systeem bleek dat de privacy onvoldoende werd beschermd. Binnenkort worden er meer toepassingen in de openbare ruimte toegevoegd. De wethouder hoopt dat ook andere gemeenten met dit systeem aan de slag gaan om de bescherming van de privacy van mensen te verbeteren. Tweede termijn Lid IJMKER maakt zich zorgen dat nu dit systeem er is het ook zal worden gebruikt wanneer het niet nodig is.

22

Gemeente Amsterdam Raadscommissie Financiën, Kunst en Diversiteit. Concept raadscommissieverslag, 2 november 2023

FKD

Wethouder SCHOLTES geeft aan dat het een uitgangspunt is in de agenda Digitale Stad om kritisch om te gaan met het inzetten van Blurring as a Service. Het moet een toegevoegde waarde hebben en op een verantwoorde manier worden toegepast. De VOORZITTER stelt vast dat dit onderwerp voldoende is besproken. Hij geeft het woord aan wethouder Scholtes voor een mededeling. Wethouder SCHOLTES deelt mee namens wethouder Van Buren inzake agendapunt 5, Vaststellen van de Verordening Toeristenbelasting 2024, waar een fout is geslopen in het besluit tot bekendmaking over de Verordening Toeristenbelasting: in Art. 4 lid 1 staat per abuis nog een zinsnede over de vaste voet. Deze moet vervallen. Bij de raadsbehandeling zal deze fout hersteld en kort toegelicht worden. De fout heeft verder geen inhoudelijke consequenties. Sluiting De VOORZITTER dankt de aanwezigen voor hun inbreng en belangstelling en sluit de vergadering om 17.15 uur.

23