A - 14 ICT en Digitale Stad (42) BRIEF Bestuurlijke Reactie jaarverslag CPA

Bezoekadres Amstel 1 1011 PN Amsterdam Postbus 202 1000 AE Amsterdam Telefoon 14 020 amsterdam.nl

Retouradres: Postbus 202, 1000 AE Amsterdam

Aan de leden van de gemeenteraad

Datum

2 maart 2021

Ons kenmerk Uw kenmerk Behandeld door … Kopie aan Bijlage(n) Jaarverslag Commissie Persoonsgegevens Amsterdam 2019 Onderwerp

Bestuurlijke reactie jaarverslag Commissie Persoonsgegevens Amsterdam 2019

Geachte leden van de raad, Het internet en het gebruik van digitale technologie is onderdeel van ons dagelijkse leven. Het brengt ons veel, maar het zorgt er ook voor dat onze digitale mensenrechten (zoals privacy) onder druk komen te staan. Deze rechten wil de gemeente Amsterdam, zo goed als we kunnen, beschermen. Samen met steden als Helsinki, Barcelona en New York werken wij aan de erkenning en bescherming van digitale rechten van burgers via de coalitie van Steden voor Digitale Rechten. We komen op voor mensenrechten op internet zoals privacy, bescherming van data, gelijke toegang tot veilig internet en digitale geletterdheid; voor iedereen. Binnen onze eigen organisatie verwerken wij vanzelfsprekend ook persoonsgegevens, anders zouden wij onze publieke taken niet kunnen verrichten. Daarbij denken wij goed na over het grondrecht privacy, over wat er kan en wat er mag. Niet alles wat kan mag ook en niet alles wat er mag moeten we ook willen. Om erop toe te zien dat we de goede dingen doen, heeft de gemeente –conform de Algemene verordening gegevensbescherming (AVG)- een interne toezichthouder aangesteld; de Functionaris Gegevensbescherming.

Naast deze functionaris beschikt de gemeente ook nog over de –externe- Commissie Persoonsgegevens (CPA), een onafhankelijke adviescommissie van het college, die de gemeente adviseert over complexe of gevoelige verwerkingen van persoonsgegevens. De Functionaris Gegevensbescherming en de CPA werken samen om de verwerking van persoonsgegevens door de gemeente binnen de kaders van de wet te laten plaatsvinden. Onlangs heeft het college het jaarverslag van de CPA over het jaar 2019 ontvangen. Deze brief gaat in op het jaarverslag en op welke wijze de inzichten door het college worden opgepakt. De

Een routebeschrijving vindt u op www.amsterdam.nl

Gemeente Amsterdam

Datum 2 maart 2021 Pagina 2 van 5

onderwerpen waar de CPA aandacht voor vraagt zijn hieronder weergegeven en voorzien van een reactie. Kunstmatige intelligentie en algoritmes De CPA wijst erop dat het gebruik van kunstmatige intelligentie -en met name algoritmes- alleen toegestaan is als er voldoende waarborgen worden geboden om aantasting van de persoonlijke levenssfeer van de betrokkenen en discriminatie te voorkomen. Er moet vooraf in kaart gebracht worden welke risico’s er kunnen ontstaan. De CPA adviseert om in ieder geval te toetsen aan de beginselen van transparantie, doelbinding en minimale gegevensverwerking. In veel gevallen zal er een zogeheten Data Protection Impact Assessment (DPIA, een door de Algemene verordening gegevensbescherming voorgeschreven privacy-analyse) moeten worden uitgevoerd. Daarnaast moet het algoritme vooraf getest worden en moeten er maatregelen en waarborgen geïmplementeerd zijn om de rechten van de betrokkenen te beschermen. Reactie college Het college is zich bewust dat het gebruik van kunstmatige intelligentie en algoritmes moet voldoen aan bepaalde waarborgen zodat negatieve effecten worden voorkomen. Hiervoor heeft het college onder andere het algoritmeregister opgericht. Het college heeft daarnaast een plan van aanpak opgesteld met maatregelen om betrouwbare en transparante algoritmes te gebruiken in de stad.

Hierbij houdt de gemeente zich onder andere aan de TADA-waarden. De AVG verplicht de gemeente om bij verwerkingen met een hoog risico op het gebied van gegevensbescherming een Data Protection Impact Assessment (DPIA) uit te voeren. Deze wordt vaak in combinatie uitgevoerd met een Algoritme Impact Assessment of een Kunstmatige Intelligentie Impact Assessment. Hierbij worden de standaarden van de Electronic Commerce Platform (ECP) toegepast. Advies voor separaat afwegingskader voor samenwerking met derden De persoonsgegevens waarvoor de gemeente Amsterdam de verwerkingsverantwoordelijke is, mogen niet zonder nader onderzoek en afspraken met een derde partij worden gedeeld. Het college had naar aanleiding van het Jaarverslag van de CPA over 2018 toegezegd om na te gaan of er hiervoor een afwegingskader kan worden opgesteld. Nu er sindsdien nog geen afwegingskader is opgesteld, herhaalt de CPA haar aanbeveling om een dergelijk afwegingskader op te stellen. Reactie college Het college past hiervoor het Stedelijk kader verwerken persoonsgegevens toe dat in september 2019 is vastgesteld. Hierbij worden standaardovereenkomsten gebruikt voor datadeling met derde partijen. De noodzaak voor een separaat afwegingskader wordt onderzocht.

Toestemming van de burger voor het verwerken van persoonsgegevens Omdat er geen sprake is van een gelijkwaardige relatie tussen burger en overheid, is het vragen van vrijwillige toestemming aan een burger om zijn persoonsgegevens te mogen verwerken problematisch. De CPA adviseert om te verkennen of bij het aangaan van langdurige relaties tussen burger en overheid het sluiten van overeenkomsten te gebruiken als grondslag voor de verwerking van persoonsgegevens (in plaats van burgers om toestemming te vragen). De CPA adviseert de gemeente daarnaast om in geval van persoonsgegevens die betrekking hebben op

Gemeente Amsterdam

Datum 2 maart 2021 Pagina 3 van 5

het zorgverleningsproces, de wettelijke grondslag te baseren op de publieke zorgtaak van de gemeente (Wet maatschappelijk ondersteuning). Reactie college Het advies van de CPA is met name gericht op die verwerkingen die worden gedaan bij langdurige relaties tussen gemeente en burger. Het college onderzoekt de mogelijkheden om in die gevallen op een andere wettelijke grondslag gegevens te mogen verwerken. Waar nodig zal dat worden omgezet naar overeenkomsten tussen de gemeente en betreffende burger(s). Transparantie over gegevensverwerkingen Het is van belang dat de burgers goed geïnformeerd worden over het gebruik van hen betreffende gegevens. De CPA wijst daarbij op het belang van het uniformeren van de privacyverklaringen en herhaalt haar eerdere suggestie om met pictogrammen te werken. Daarnaast merkt de CPA op dat de gemeente een pioniersrol speelt bij het in beeld brengen van registraties van burgers in de openbare ruimte. Maar volgens de CPA is de informatie op dit moment nog niet transparant. Zo zijn er diverse digitale kaarten om inzichtelijker te maken op welke punten in de stad sprake is van monitoring, maar is de informatie daarop nog versnipperd en worden niet alle vormen van monitoring weergegeven. Ook is op locatie, ter plekke, niet altijd duidelijk of er monitoring plaatsvindt en zo ja waarvoor.

Reactie college Het college staat achter het principe van transparantie en bevordert dat de privacyverklaringen op een inzichtelijke wijze worden gecommuniceerd. De mogelijkheid van het gebruik van pictogrammen is in onderzoek. Echter, het gebruik van pictogrammen in plaats van trefwoorden heeft het nadeel dat het voor Amsterdammers geen resultaten geeft bij zoekacties via internet. De huidige werkwijze geeft dat wel. Er is daarbij sprake van een zogenaamde gelaagde privacyverklaring, waarbij de gemeente Amsterdam enerzijds algemene informatie geeft en verwijst naar het door het college vastgestelde stedelijk kader verwerken persoonsgegevens en anderzijds specifieke verklaringen publiceert voor thema’s die voor de Amsterdammer van belang zijn. Het college benadrukt dat in het kader van de zorgvuldigheid en de naleving van de AVG niet alle privacyverklaringen worden samengevoegd in een uniforme privacyverklaring. Het tweede deel van dit advies gaat in op de communicatie van informatie over de monitoring in de openbare ruimte. Het college neemt dit mee in haar separate bestuurlijke reactie op het rapport Monitoring in de openbare ruimte. Openbaarheid Transparantie is voor de CPA een groot goed, maar de gemeente moet zich hierbij wel telkens afvragen tot welk detailniveau informatie toegankelijk moet zijn.

De CPA adviseert om hierbij te kijken naar het wetsvoorstel Open Overheid (WOO). De WOO is de beoogde opvolger van de Wet openbaarheid van bestuur. De WOO verplicht de gemeente de volgende elf categorieën actief openbaar te maken: wet- en regelgeving, organisatiegegevens, raadsstukken, bestuurlijke stukken, stukken van adviescolleges, convenanten, jaarplannen- en verslagen, Wob/Wooverzoeken, onderzoeken, beschikkingen en klachten. Reactie college

Gemeente Amsterdam

Datum 2 maart 2021 Pagina 4 van 5

Het college heeft in haar collegeprogramma de doelstellingen van de Wet Open Overheid opgenomen. Hiervoor heeft het college in 2018 een Informatiecommissaris aangesteld als tweede gemeente in Nederland. Het college werkt actief aan het openbaar maken van de genoemde elf categorieën en zal daarbij vanzelfsprekend toetsen of die openbaarheid geen inbreuk maakt op aanwezige persoonsgegevens. Hiervoor wordt een proces ingericht. Medegebruik van ANPR-camera’s Sinds 1 januari 2019 is er een wettelijke grondslag voor de doorgifte van beelden van –met nameAutomatic Number Plate Recognition (ANPR) camera’s aan de politie, mits aan een aantal voorwaarden wordt voldaan. De beelden van de camera’s kunnen niet direct bij de bron worden gescheiden en doorgezonden naar de politie. De beelden worden eerst op één punt bij de gemeente verzameld en daarna doorgezet naar de politie. Omdat de politie een zelfstandige verwerkingsverantwoordelijke (zoals bedoeld in de AVG) is, adviseert de CPA om een overeenkomst tussen verwerkingsverantwoordelijken te sluiten op grond waarvan de gemeente de beelden –mede– ten behoeve van de politie kan verzamelen en ook aan de politie kan doorzetten. Reactie college Het college stelt een overeenkomst op tussen de gemeente Amsterdam en de politie waardoor de verantwoordelijkheden bij de verwerking van beelden op de juiste wijze wordt vastgelegd.

Het college dankt de CPA voor het advies en geeft de uitvoering over aan de ambtelijke organisatie. Bodycams van de BOA’s De CPA heeft aangegeven dat er een wettelijke grondslag is voor de inzet door buitengewoon opsporingsambtenaren. De gemeente heeft er als werkgever een gerechtvaardigd belang bij om in voorkomende situaties opnamen te maken van het gedrag van een burger om de veiligheid van de BOA’s te bevorderen. Dit betekent volgens de CPA wel dat de BOA de bodycam pas mag aanzetten op het moment dat er gevaar dreigt; de bodycam mag niet de gehele dienst van de BOA aanstaan. Reactie college Het college is zich bewust van de beperking van het gebruik van bodycams. Zij heeft in haar reactie op het CPA jaarverslag 2018 (BD2019-007829) aangegeven dat er een inzetprotocol is opgesteld. In dat inzetprotocol staat dat de BOA de opname pas zal starten als de situatie daarom vraagt. Het doel van de inzet van bodycams is het veiliger maken van de werksituatie van de BOA. De beelden worden dan ook gemaakt om de burger na afloop inzicht te geven in zijn gedrag. Het college heeft hiermee het advies van de CPA opgevolgd. Digitale perimeter De gemeente Amsterdam, de Johan Cruijff Arena, de politie TNO willen een digitale veiligheidsring aanleggen rondom de Johan Cruijff Arena, naast de fysieke veiligheidsmaatregelen die door de UEFA zijn voorgeschreven.

Omdat er meerdere partijen betrokken zijn, moeten er vooraf afspraken gemaakt worden over het gebruik en verder gebruik van persoonsgegevens. De CPA adviseert om een goede gebruikersregeling binnen de normen van de AVG op te stellen voor de deelnemers aan de perimeter, waarin ook de informatieverschaffing aan de betrokken burgers

Gemeente Amsterdam

Datum 2 maart 2021 Pagina 5 van 5

binnen het Arenagebied is opgenomen. Daarnaast acht de CPA het van belang om goed uit te zoeken of de leveranciers van de sensoren deze niet ook aan andere landen levert die de privacywetgeving minder nauw nemen. Reactie college Het college neemt het advies ter harte en zal bij de verdere ontwikkeling van de digitale perimeter een gebruiksregeling opstellen. In deze regeling wordt aandacht geschonken aan de communicatie richting de burger. Het college zal tevens onderzoeken welke sensorinformatie mogelijk wordt door geleverd aan andere landen buiten de EER. Voor een levering buiten de EER moet toestemming worden gevraagd aan de gemeente. Monitoring in de openbare ruimte Tot slot herhaalt de CPA in haar Jaarverslag de belangrijkste bevindingen en aanbevelingen uit het CPA-onderzoek naar monitoring in de openbare ruimte. Reactie college Het college geeft een separate bestuurlijke reactie op dit rapport. Tot slot Het college dankt de CPA voor haar werk en inzet en constateert met genoegen dat het werk van de CPA een positieve bijdrage levert aan de kwaliteit van het werk van de gemeente. Het college zal de CPA blijven benaderen voor onafhankelijk advies over de verwerking van persoonsgegevens.

Met vriendelijke groet, Namens het college van burgemeester en wethouders van Amsterdam,

Touria Meliani Wethouder ICT en Digitale Stad