Bestuurlijke reactie Jaarverslag CPA 2023.pdf

Raadsinformatiebrief

Aan:

Portefeuillehouder(s): Behandeld door

De leden van de gemeenteraad van Amsterdam 1 oktober 2024 ICT en Digitale Stad Alexander Scholtes Digitale Strategie en Informatie (bestuurszaken.dii@amsterdam.nl)

Onderwerp

Bestuurlijke reactie op het Jaarverslag 2023 van de CPA

Datum Portefeuille(s)

Geachte leden van de gemeenteraad, Het college maakt zich sterk voor de bescherming van digitale rechten van de Amsterdammer. Die vormen immers de basis voor inclusief en verantwoordelijk gebruik van data en technologie. Om vertrouwen in digitalisering te hebben en te behouden, moeten we als gemeente zorgvuldig omgaan met data en technologie. Wat daarbij helpt is de ‘blik van buiten’: onafhankelijke deskundigen die het college gevraagd en ongevraagd adviseren over de verwerking en openbaarmaking van persoonsgegevens, algoritmen, data-ethiek en digitale (mensen-)rechten. Hiervoor kan de gemeente al sinds jaar en dag een beroep doen op de Commissie Persoonsgegevens Amsterdam (CPA). De CPA heeft over haar werkzaamheden in 2023 een jaarverslag opgesteld. Het verslag is door de CPA op 26 augustus 2024 aan het college aangeboden voor een bestuurlijke reactie. In deze brief geeft het college een bestuurlijke reactie op dit verslag. Deze bestuurlijke reactie gaat in op de uitgebrachte adviezen en de drie onderwerpen waar de CPA aandacht voor vraagt: rol van de CPA bij algoritmen, de wettelijke grondslag bij proactieve dienstverlening en het gebruik van de handreiking Non-discriminatie by design. Daarnaast wijst de CPA nog op de toegenomen aandacht voor het onderwerp profilering. De CPA heeft hierover op 12 september een leerzaam en interessant symposium gehouden.

Adviezen De CPA heeft in 2023 zes adviesaanvragen ontvangen van verschillende gemeentelijke directies organisatie over diverse onderwerpen. Met uitzondering van het advies over de levering van persoonsgegevens ten behoeve van een UMC-onderzoek naar chronische longziekten, zijn de CPA opgestelde adviezen opgevolgd. Hierbij moet worden opgemerkt dat: • het advies over de levering van persoonsgegevens uit de Basisregistratie Personen ten behoeve van een UMC-onderzoek naar chronische longziekten is gepubliceerd in april 2024. De uitnodigingsbrieven voor het onderzoek waren in december 2023 verstuurd, nadat de adviesaanvraag was toegelicht in de CPA-vergadering van november 2023. Deze verzending kon in verband met de start van het onderzoek niet worden uitgesteld. Doordat de brieven al verstuurd waren, is het advies daarin niet verwerkt. Mocht er nog

Gemeente Amsterdam, raadsinformatiebrief

Datum 1 oktober 2024 Pagina 2 van 4

een tweede aanschrijving plaats gaan vinden, dan zullen de aanbevelingen van de CPA daarin nagevolgd worden. • u in een separate raadsinformatiebrief bent geïnformeerd over de volledige opvolging van het advies over de uitvoering van het raadsbesluit Grip op Tech1. • er nog twee evaluatieonderzoeken plaatsvinden van de ROSA-aanpak (een persoonsgerichte aanpak voor jonge vrouwen die slachtoffer zijn van herhaald seksueel geweld). Aan de hand van de uitkomsten daarvan wordt de verdere navolging van de aanbevelingen uit het ROSA-advies van de CPA bepaald. • de opmerkingen van de CPA uit in het advies Cloudvoorziening ten aanzien van het overwegen van een andere leverancier (nu Microsoft) worden meegenomen in het onderzoek dat plaatsvindt naar aanleiding van het raadsbesluit Amsterdam Digitaal Onafhankelijk. Hierover wordt u voor het einde van het jaar nog nader geïnformeerd. De overige aandachtspunten van de CPA zijn meegenomen in de acties die zijn uitgevoerd ten aanzien van (bedrijfs-)continuïteit en risicomanagement. Ook is er een specifieke privacy-analyse (een Data Transfer Impact Assessment) uitgevoerd en is in het privacykader voor de cloud opgenomen dat er in voorkomende gevallen advies wordt gevraagd aan de CPA.

• naar aanleiding van het advies Gegevensverstrekking VTH Bibob-team worden de privacyverklaring en de DPIA voor integriteitstoetsen herzien wanneer de desbetreffende nieuwe privacy officer start met diens werkzaamheden. Het advies Armoedeframework, dat op 24 juni 2024 gepubliceerd is, nog nader wordt bestudeerd door de ambtelijke organisatie (en zo nodig besproken met de Functionaris Gegevensbescherming).

De rol van de CPA bij algoritmen De CPA ziet een toename in adviesaanvragen over het gebruik van algoritmen. Tegelijkertijd constateert de CPA ook dat niet alle algoritmen die ter advisering kunnen worden voorgelegd, ook daadwerkelijk zijn voorgelegd. De CPA merkt op dat nergens geformaliseerd is dat de CPA om advies moet worden gevraagd. Evenmin is er volgens de CPA vastgelegd dat er aan de CPA moet worden gerapporteerd over de opvolging van dit advies. De CPA vindt het verder van belang om haar rol hierbij nader te definiëren, waarbij ook wordt aangegeven waar de grenzen van die rol liggen. Reactie college: Het college heeft in het Plan van Aanpak Algoritmen (zoals besproken in de raadsvergadering van 26 juni 2024) onderkend dat er behoefte is aan duidelijkheid over de definitie van een algoritme, de classificatie ervan en de governance. Daar wordt aan gewerkt. Daarbij staat voorop dat alle algoritmen met de classificatie ‘hoogrisico’ moeten worden voorgelegd aan de CPA. We zullen dus vaker een advies vragen aan de CPA, waarbij het aan de CPA is om te bepalen of er een advies wordt opgesteld.

1 Zie:

https://amsterdam.raadsinformatie.nl/document/12983415/1/Raadsinformatiebrief+Grip+op+Tech_def

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 1 oktober 2024 Pagina 3 van 4

De verplichte voorlegging is vastgelegd in de raadsinformatiebrief2 ter afdoening van motie 005.24, die betrekking had op de werkzaamheden van de CPA. Hierin is aangegeven dat het bij projecten met complexe en/of politiek gevoelige vraagstukken verplicht is om advies aan te vragen bij de CPA. Hierbij kan gedacht worden aan risicovolle verwerkingen van persoonsgegevens, hoogrisicoalgoritmen en ethische dilemma’s die blijken uit een Ethische Bijsluiter. Dit is ook opgenomen in de Quality Assurance Acceptatiecriteria die gelden voor elk op te starten project met een digitale component. Voor het informeren van de CPA over de opvolging van de adviezen zijn de inhoudelijk betrokken (lijn)directies verantwoordelijk, in afstemming met de CPA. De privacy officers worden vanzelfsprekend door de directies betrokken bij de opvolging van de adviezen. De ambtelijk secretaris monitort de opvolging en in voorkomende gevallen kan zij de betrokken directies verzoeken om de CPA hierover nader te informeren. Naar aanleiding van het verzoek van de CPA tot nadere afbakening van haar rol is het college in gesprek met de CPA. In het Plan van Aanpak Algoritmen (zoals besproken in de raadsvergadering van 26 juni 2024) is onder andere beschreven dat risico-classificatie en de governance aangepast worden (hoofdstuk 1) en dat de CPA meer betrokken zal worden (hoofdstuk 4).

Dit vraagt echter om nadere uitwerking om een goede balans te vinden tussen de hoeveelheid werk (i.c. het aantal hoogrisicoalgoritmen) en beschikbare tijd van de CPA.

Proactieve dienstverlening Burgers laten voorzieningen die bedoeld zijn om hen te helpen (zoals bijvoorbeeld armoedevoorzieningen) soms onbenut omdat ze onbekend zijn met de voorzieningen. De gemeente kan hen hierover proactief benaderen, maar moet daarvoor gegevensbestanden koppelen. De CPA constateert dat de gemeente in de praktijk terughoudend is om dat te doen. De reden hiervoor is dat er in de wetgeving geen expliciete grondslag wordt gevonden voor deze verwerking van persoonsgegevens van burgers. De CPA adviseert om hierbij ook meer te kijken naar de Grondwet, zoals de verwezenlijking van het grondrecht op bestaanszekerheid. Dit moet worden afgewogen tegen andere grondrechten. Reactie college: Het college herkent dat de situatie dat we in sommige gevallen burgers graag willen wijzen op voorzieningen die ze hard nodig zouden kunnen hebben, terwijl dat op gespannen voet staat met de (expliciete) wettelijke grondslag die nodig is voordat we persoonsgegevens over mensen mogen verwerken. Dit wordt ook op rijksniveau onderkend. Zo werkt het kabinet bijvoorbeeld aan een wetsvoorstel om proactieve dienstverlening voor inkomensondersteunende regelingen in de sociale zekerheid expliciet wettelijk te regelen3.

2

Zie: https://amsterdam.raadsinformatie.nl/document/14133732/1/09012f97810e65fe

3

Zie: https://wetgevingskalender.overheid.nl/Regeling/WGK025463

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 1 oktober 2024 Pagina 4 van 4

Het college is blij met de aanmoediging van de CPA om ook hogere wetgeving mee te wegen bij het inrichten van proactieve dienstverlening, en neemt dat mee in toekomstige Data Protection Impact Assessments (DPIA's) en eventueel de Impact Assessment Mensenrechten en Algoritmes (IAMA).

Het gebruik van de handreiking Non-discriminatie by design De CPA adviseert de gemeentelijke organisatie om de landelijke handreiking Non-discriminatie by design te gebruiken. Deze handreiking is opgesteld in opdracht van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties. Hierin wordt uitgelegd hoe organisaties die kunstmatige intelligentie willen inzetten, kunnen voorkomen dat hun algoritmes discrimineren door bias (vooringenomenheid). Reactie college: Het college bedankt de CPA voor de suggestie om de handreiking Non-discriminatie by design te gebruiken om discriminatie in algoritmes tegen te gaan. In het Plan van Aanpak Algoritmen is opgenomen dat het college de ambitie heeft om bias te minimaliseren. Hierin stellen we ook dat deze ambitie nader uitgewerkt wordt, onder andere in samenwerking met de CPA. We zien deze suggestie dus als onderdeel van dat proces en de handreiking zal daarin worden meegenomen.

Tot slot Het college waardeert de inzet van de CPA aan de verantwoorde verwerking van persoonsgegevens, algoritmen, data-ethiek, digitale (mensen-)rechten en de openbaarmaking van persoonsgegevens. Het college dankt de CPA voor haar werk dat zij voor de gemeentelijke organisatie doet. Met vriendelijke groet, Namens het college van burgemeester en wethouders van de gemeente Amsterdam,

Alexander Scholtes Wethouder ICT en Digitale Stad

Bijlagen 1. Jaarverslag CPA 2023

Een routebeschrijving vindt u op amsterdam.nl