BRIEF bestuurlijke reactie jaarverslag CPA 2020

Raadsinformatiebrief

Aan: Datum Portefeuille(s) Portefeuillehouder(s): Behandeld door Kopie aan Bijlagen Onderwerp

De leden van de gemeenteraad van Amsterdam 23 november 2021 ICT en Digitale Stad Touria Meliani CIO-office, bestuurszaken.cio@amsterdam.nl Commissie Persoonsgegevens Amsterdam Jaarverslag Commissie Persoonsgegevens Amsterdam 2020 Bestuurlijke reactie op het jaarverslag van de Commissie Persoonsgegevens Amsterdam 2020

Geachte leden van de gemeenteraad, Het college heeft begin september 2021 het jaarverslag 2020 ontvangen van de Commissie Persoonsgegevens Amsterdam (CPA) waarna deze bestuurlijke reactie is opgesteld. Het college zet zich in voor de borging van de persoonsgegevens van de Amsterdammer. Het is een belangrijk thema in het collegeakkoord en wordt uitgedragen via de portefeuille ICT en Digitale Stad. De belangrijkste rollen en verantwoordelijkheden met betrekking tot de borging van persoonsgegevens zijn door het college op 25 september 2018 vastgesteld in het Stedelijk Kader verwerken persoonsgegevens door de gemeente Amsterdam. Dit kader en het toezicht daarop wordt uitgevoerd in opdracht van de wethouder ICT en Digitale Stad. Het toepassen en naleven ervan is een verantwoordelijkheid van het gehele college. Het jaarverslag gaat in op het reguliere werk van de commissie en haar leden. In het afgelopen jaar is de samenwerking met de gemeentelijke organisatie op een nieuwe manier vormgegeven. De Functionaris Gegevensbescherming (FG), de concern adviseur gegevensbescherming van de CIOoffice, de directie Basisinformatie en de directie Juridische Zaken screenen de stukken van de vergadering van de CPA. Ter voorbereiding sturen zij hun inhoudelijke vragen aan het secretariaat van de CPA.

Deze wisselwerking is zeer vruchtbaar en draagt bij aan de toepassing van adviezen van de CPA door de gemeentelijke organisatie. Deze bestuurlijke reactie gaat in op thema’s waar de CPA aandacht voor vraagt en aanbevelingen over doet: algoritmes, transparantie en de verwerking van persoonsgegevens in de bedrijfsvoering. Constateringen en aanbevelingen ten aanzien van algoritmes Portefeuille ICT en Digitale Stad, portefeuille Bouwen en Wonen en portefeuille Sociale Zaken De CPA constateert dat de inzet van algoritmes voor het automatiseren van processen door de gemeente zorgvuldig moet gebeuren. De gemeente Amsterdam kan deze zorgvuldigheid bereiken door de drie beginselen uit de Algemene Verordening Gegevensbescherming (AVG) in acht te nemen:

Gemeente Amsterdam, raadsinformatiebrief

• • •

Datum 23 november 2021 Pagina 2 van 4

rechtmatigheid; transparantie. De CPA benadrukt dat de gemeente een verplichting heeft om proactief te communiceren over de verwerking door algoritmes. Behoorlijkheid (fairness). Bij deze beoordeling dient ook rekening gehouden te worden met de bepalingen uit de AVG over profilering en het verbod op geautomatiseerde besluitvorming.

Het college erkent de complexe materie rondom de inzet van algoritmen en neemt de aanbevelingen van de CPA ter harte. Zoals beschreven in de raadsbrief Amsterdamse Intelligentie van 29 juni 2021 wil Amsterdam vooroplopen in het stimuleren van het stimuleren van het gebruik van algoritmes. Maar wij onderkennen de risico’s die bestaan bij het inzetten van algoritmes en proberen die actief te beheersen. Daarom is de gemeente Amsterdam de Algoritme Lifecycle Aanpak gestart, waarover u bij brief van 9 juli 2021 bent geïnformeerd. We realiseren daarbij verschillende instrumenten om het gebruik van algoritmen transparanter en behoorlijker (eerlijker te maken voor onze inwoners. Hieronder vallen onder meer: • Algoritmeregister: sinds 28 september 2020 heeft de gemeente een algoritmeregister, waarin is in te zien welke algoritmen er zijn, waarvoor ze ingezet worden en hoe ze werken. Dit register wordt steeds verder aangevuld met de algoritmen en is toegankelijk voor de Amsterdammer. • Contractvoorwaarden: sinds november 2020 hebben we in contractvoorwaarden vastgelegd welke informatie leveranciers van algoritmen met de gemeente moeten delen, zodat de gemeente die informatie met Amsterdammers kan delen. • Biasanalyse: om vooringenomenheid tegen te gaan bij het gebruik van algoritmen werken we aan een standaard voor een bias-analyse.

• Impactassessment: om de impact van het gebruik van algoritmen op de mensenrechten te analyseren hebben we een mensenrechtenimpact assessment ontwikkeld. • Audits: hierin wordt gecontroleerd of de juiste maatregelen zijn genomen om risico’s, bijvoorbeeld op discriminatie of het schenden van rechten, te voorkomen. Op het gebied van de rechtmatigheid en behoorlijkheid wordt door de gemeente er vooraf advies gevraagd aan de CPA en de FG over de inzet van algoritmes. Ook past het college het Tadamanifest actief toe bij de inzet van algoritmes (waarbij wordt gekeken naar de ethische waarden). Constateringen en aanbevelingen ten aanzien van transparantie Portefeuille ICT en Digitale Stad, burgemeester en alle andere inhoudelijke portefeuilles De CPA benadrukt dat bij de verwerking van persoonsgegevens het transparantiebeginsel essentieel is. Hierbij constateert de CPA dat het gebruik van duidelijke taal en modellen het voor de Amsterdammer eenvoudiger maken om vragen over verwerkingen te beantwoorden. Dit neemt veel zorgen weg bij de Amsterdammers. De CPA merkt op dat de Amsterdammer door de veelsoortigheid van privacyverklaringen weinig zicht heeft op wat er met zijn persoonsgegevens gebeurt bij de gemeente en instellingen waarmee de gemeente samenwerkt. De CPA adviseert om zicht te houden op het aantal type privacyverklaringen, de weergave en de vindbaarheid om dit te verbeteren.

Daarbij wijst zij op de mogelijkheid om als verwerker te verwijzen naar reeds bestaande privacyverklaringen, met als enige kanttekening dat waar dat nodig is er wel een aparte of aanvullende privacyverklaring kan worden opgemaakt. Ook vraagt de CPA ook aandacht voor transparantie bij het delen van data met derden die worden ingeschakeld bij de uitvoering van

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 23 november 2021 Pagina 3 van 4

gemeentelijke taken. De CPA constateert dat er nog geen nader kader is opgesteld voor het delen en verwerken van persoonsgegevens door derden. Tot slot wijst de CPA op de kansen en mogelijkheden ten aanzien van transparantie die de wet open overheid biedt voor de gemeente. Het college deelt de opvatting dat het transparantiebeginsel essentieel is bij de verwerking van persoonsgegevens. Het college spant zich daarom in om het verwerkingsregister dit jaar openbaar te maken. Het college wijst er op dat de Amsterdammer per proces geïnformeerd wordt over de verwerkte persoonsgegevens in een zogeheten privacyverklaring. Deze verklaringen zijn erop gericht de Amsterdammer per specifiek thema te informeren. De privacyverklaringen van de gemeente zijn terug te vinden op haar website (https://www.amsterdam.nl/privacy/). De gemeente Amsterdam maakt daarbij gebruik van een zogenaamde gelaagde privacyverklaring, waarbij de gemeente Amsterdam enerzijds algemene informatie geeft en verwijst naar het door het college vastgestelde stedelijk kader verwerken persoonsgegevens en anderzijds specifieke verklaringen publiceert voor thema’s die voor de Amsterdammer van belang zijn. Het college benadrukt dat in het kader van de zorgvuldigheid en de naleving van de AVG niet alle privacyverklaringen worden samengevoegd in een uniforme privacyverklaring.

Het delen van data met derden vindt alleen plaats als dit noodzakelijk is voor de uitvoering van een gemeentelijke taak. Dit is vastgelegd in het Stedelijk Kader verwerken persoonsgegevens door de gemeente Amsterdam. Zodra voor die uitvoering een derde partij (buiten de gemeentelijke organisatie) nodig is worden er met deze partijen passende afspraken gemaakt. Het college werkt op dit moment aan een ambtelijke instructie waarin de samenwerking derde partijen wordt beschreven en aangescherpt. Deze instructie wordt opgesteld, zodat de rechten van de Amsterdammers op uniforme wijze worden geborgd bij alle verwerkingen door derde partijen. Hierin worden onder andere maatregelen beschreven als het gebruik van een verwerkersovereenkomst volgens de landelijke standaard en het opnemen van de verwerking in het (door de AVG voorgeschreven) verwerkingenregister. De verwachting is dat deze instructie wordt toegepast in 2022. Daarnaast wordt gewerkt aan een voor iedereen toegankelijke variant van het verwerkingsregister. Het college ziet net als de CPA kansen en mogelijkheden door de invoering van de Wet open overheid. Het college heeft in 2020 als tweede gemeente in Nederland een informatiecommissaris aangesteld. De informatiecommissaris werkt aan de doelstelling van het college om meer informatie actief openbaar te maken.

In 2021 wordt door de informatiecommissaris gewerkt aan de elf categorieën uit de wet openbaar te maken. Hiervoor wordt het programma Open Amsterdam opgestart. De informatiecommissaris kijkt uit naar de samenwerking met de CPA. Constateringen en aanbevelingen ten aanzien de verwerking van persoonsgegevens op basis van toestemming in de bedrijfsvoering van de gemeente Portefeuille Personeel en Organisatie De CPA gaat specifiek in op het JOHAN-platform dat de gemeente wil invoeren in het kader van het verzuim- en mobiliteitsbeleid. Het doel hiervan is dat medewerkers en leidinggevenden de regie kunnen nemen over hun eigen vitaliteit en inzetbaarheid. De verwerking van persoonsgegevens gebeurt daarbij op basis van vrijwilligheid/ toestemming door de werknemer. Naar aanleiding van publicaties van de Autoriteit Persoonsgegevens en de European Data

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 23 november 2021 Pagina 4 van 4

Protection Board constateert de CPA dat toestemming hoogstwaarschijnlijk niet voldoet als rechtsgrondslag voor gegevensverwerking op het werk, tenzij de werknemers mogen weigeren zonder dat daar nadelige gevolgen aan verbonden zijn. Het college werkt sinds de inwerkingtreding van de Wet normalisering rechtspositie ambtenaren (wnra) met contracten in de arbeidsrelatie. Bij uitzondering wordt hierbij gewerkt met vrijwillige toestemming. De medewerker kiest er bewust voor om de arbeidsrelatie aan te gaan. De gemeente controleert dan aan de hand van het toetsingskader van de Autoriteit Persoonsgegevens of aan de vereisten wordt voldaan. Als de gemeente werkt met toestemming, dan wordt de medewerker vooraf geïnformeerd en geldt dat het weigeren van die toestemming geen impact heeft op de rechtspositie van de medewerker. Het college is van mening dat hiermee wordt tegemoetgekomen aan de wettelijk eisen die aan de toestemming worden gesteld. Tot slot Het college dankt de CPA voor haar werk dat zij inmiddels ruim 40 jaar voor de gemeentelijke organisatie doet. Het college constateert met genoegen dat het werk van de CPA een positieve bijdrage levert aan de kwaliteit van het werk van de gemeente. Het college zal de CPA blijven benaderen voor onafhankelijk advies over de verwerking van persoonsgegevens.

Daarnaast zal zij in 2021 op basis van het initiatiefvoorstel Grip op technologie de borging van persoonsgegevens nader onderzoeken en waar nodig aanpassen, zodat de Amsterdammer zich geen zorgen hoeft te maken over de verwerking van zijn persoonsgegevens door de gemeente Amsterdam. Met vriendelijke groet, Namens het college van burgemeester en wethouders van de gemeente Amsterdam,

Touria Meliani Wethouder Digitale Stad en ICT

Een routebeschrijving vindt u op amsterdam.nl