FvD Advies verwerking persoonsgegevens(62326398.1).pdf

AAN

DATUM ONS KENMERK

ONDERWERP

1

Anton van Schijndel Forum voor Democratie - Amsterdam

8 juli 2025 1006234

Juridisch kader verwerking van persoonsgegevens

INLEIDING Naar AKD begrijpt heeft de Amsterdamse politie naar aanleiding van de gebeurtenissen rondom de wedstrijd Ajax-Maccabi Tel Aviv1 toegang gekregen dan wel (zich) toegang verschaft tot bepaalde WhatsApp- en Telegramgroepen. De berichten in die groepen zouden handmatig2 zijn geanalyseerd door de politie. In dit memo wordt het algemeen juridisch kader van de rechtmatige verwerking van persoonsgegevens (zeer beknopt) geschetst. Specifiek wordt ingegaan op de beginselen van proportionaliteit en subsidiariteit. In dit memo wordt geen oordeel geveld over de (rechtmatigheid van de) werkwijze van de Amsterdamse politie. Ook wordt de toelaatbaarheid van het ‘deelnemen’ van de politie aan WhatsApp- en Telegramgroepen buiten beschouwing gelaten. Dit memo bevat enkel juridische perspectieven en heeft geen politieke lading.

2

ACHTERGROND De heer Van Schijndel heeft een aantal vragen gesteld over de werkwijze van de Amsterdamse politie ten aanzien voornoemde WhatsApp- en Telegramgroepen, waaronder: “Waarom werd geen data-analyseprogramma gebruikt om gedurende de dag, avond en nacht de patronen in het enorme berichtenverkeer te onderkennen?”. Tijdens de vergadering Raadscommissie Algemene Zaken van 3 juli jl. heeft de heer Chiu Man namens de Amsterdamse politie gereageerd. De heer Chiu Man stelt ten aanzien van dergelijke analyseprogramma’s (geparafraseerd) dat de politie “niet kan handelen zonder juridische grondslag” en dat sprake moet zijn van een sluitende “juridische onderbouwing”.3 Aan AKD is de vraag voorgelegd of dit standpunt juist is.

1

https://www.amsterdam.nl/bestuur-organisatie/college/burgemeester/persberichten/onderzoeksrapport-ajax-

2

Dat wil zeggen, naar AKD begrijpt, niet-geautomatiseerd: het lezen van voorbijkomende berichtjes en het maken

3

Zie Vergadering Raadscommissie Algemene Zaken 03-07-2025 Gemeente Amsterdam, 3:37.

macabbi/. van aantekeningen daarvan.

#62326398v1 #62326398v1

pagina 1 van 5

3

JURIDISCH KADER VERWERKING VAN PERSOONSGEGEVENS

3.1

Algemeen De verwerking van persoonsgegevens – in algemene zin – wordt gereguleerd door de Algemene Verordening Gegevensverwerking (‘AVG’).4 Daarnaast zijn er een aantal species die zien op specifieke verwerkingsactiviteiten, zoals de Wet justitiële en strafvorderlijke gegevens en de Wet politiegegevens (‘Wpg’). Die laatste is “van toepassing op de verwerking van politiegegevens door een bevoegde autoriteit die in een bestand zijn opgenomen of die bestemd zijn daarin te worden opgenomen”.5 Als de Wpg van toepassing is, is de AVG dat niet – en vice versa. Van belang is dus om per geval allereerst te beoordelen welk regime van toepassing is. Niet alle verwerkingen van de politie vallen onder de Wpg; verwerkingen die niet gerelateerd zijn aan ‘de politietaak’ vallen over het algemeen onder de AVG. Het is aannemelijk dat de verwerking van chatberichten door de politie in onderhavige casus onderworpen is aan het regime van de Wpg.6 Desalniettemin worden beide wettelijke kaders hieronder kort toegelicht.

3.2

AVG Een verwerking is alleen rechtmatig wanneer een passende grondslag kan worden ingeroepen, zo volgt uit artikel 6(1) AVG. Zonder passende grondslag kan een verwerking, zelfs wanneer wel aan alle andere vereisten uit de AVG zou zijn voldaan, niet als rechtmatig worden beschouwd. De AVG kent een zestal grondslagen: (a) Toestemming; (b) Noodzakelijk voor de uitvoering van een overeenkomst; (c) Noodzakelijk voor de naleving van een wettelijke verplichting; (d) Noodzakelijk ter behartiging van vitale belangen; (e) Noodzakelijk voor de vervulling van een taak van algemeen belang; (f) Noodzakelijk ter behartiging van gerechtvaardigde belangen. Ten aanzien van elke grondslag kent de AVG specifieke eisen waaraan moet worden voldaan om een geslaagd beroep te kunnen doen op één van de grondslagen. In sommige gevallen kunnen meerdere grondslagen (tegelijk) worden ingeroepen. Na aanvang van een verwerking kan niet zonder meer worden ‘gewisseld’ van grondslag. Een verwerking is een breed begrip en wordt in de AVG gedefinieerd als “een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen,

4

Bepalingen uit het Handvest van de grondrechten van de Europese Unie (‘Handvest’) en het Verdrag tot bescherming van de rechten van de mens (‘EVRM’) zijn ook van belang, maar worden in dit memo buiten beschouwing gelaten.

5

Artikel 2(1) Wpg.

6

Een en ander wordt niet nader onderzocht in dit memo.

pagina 2 van 5 #62326398v1

vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens”.7 Uiteraard zijn de andere vereisten uit de AVG ook van belang. Deze blijven voor nu buiten beschouwing. 3.3

Wpg Op grond van artikel 3(1) Wpg mag een verwerking slechts plaatsvinden “voor zover dit noodzakelijk is voor de bij of krachtens deze wet geformuleerde doeleinden”. De Wpg bevat de volgende doeleinden: (a) De uitvoering van dagelijkse politietaak; (b) Het doen van onderzoek met het oog op de handhaving van de rechtsorde in een bepaald geval; (c) Het verkrijgen van inzicht in de betrokkenheid van personen bij bepaalde ernstige bedreigingen van de rechtsorde; (d) De controle en het beheer van informanten alsmede de beoordeling en verantwoording van het gebruik van informantgegevens; (e) De ondersteuning van de politietaak. Het begrip ‘noodzaak’ stamt uit het EVRM en vormt een belangrijke functie waar het gaat om de begrenzing van de kernbevoegdheden tot het verwerken, machtigen en verstrekken van gegevens.

De Wpg kent een soortgelijke betekenis toe aan de term ‘verwerking’ als de AVG: “elke bewerking of elk geheel van bewerkingen met betrekking tot politiegegevens of een geheel van politiegegevens, al dan niet uitgevoerd op geautomatiseerde wijze, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, samenbrengen, met elkaar in verband brengen, afschermen of vernietigen van politiegegevens”.8 Uiteraard zijn de andere vereisten uit de Wpg ook van belang. Deze blijven voor nu buiten beschouwing.

3.4

Noodzakelijkheid Zowel in de AVG als in de Wpg speelt het beginsel van noodzakelijkheid een belangrijke rol bij de bepaling of een verwerking rechtmatig kan plaatsvinden. Het noodzaakcriterium wordt nader ingevuld met de vereisten van proportionaliteit (staat het belang van de verwerking in verhouding tot de beperking van de persoonlijke levenssfeer) en subsidiariteit (zijn andere, minder in de persoonlijke levenssfeer van de burger ingrijpende maatregelen redelijkerwijs mogelijk en voldoende doeltreffend). Steeds dient de verwerkingsverantwoordelijke – veelal de (landelijke) korpschef9 – bij

7

Artikel 4(2) AVG.

8

Artikel 1(c) Wpg.

9

Artikel 1(f) Wpg.

pagina 3 van 5 #62326398v1

een voorgenomen verwerking af te wegen, in hoeverre de handeling ‘noodzakelijk is’; hierop dienen voornoemde criteria te worden betrokken. Om te beoordelen of sprake is van proportionaliteit moet voornamelijk worden gekeken naar de doeleinden van de voorgenomen verwerking, terwijl subsidiariteit vooral draait om de wijze waarop de voorgenomen verwerking wordt uitgevoerd. Factoren die kunnen worden meegenomen bij de beoordeling of sprake is van proportionaliteit en subsidiariteit zijn bijvoorbeeld de duur van een verwerking, de categorieën persoonsgegevens die worden verwerkt, de beoogde ontvangers, de mogelijke gevolgen voor betrokkenen, het aantal betrokkenen, of op alle betrokkenen een soortgelijke verdenking is gericht, de foutgevoeligheid van de gekozen verwerkingsmethode, waar persoonsgegevens worden opgeslagen (al dan niet door een derde partij) en de aard van de contractuele afspraken met een mogelijke derde partij. 4

ONDERHAVIGE CASUS Begrijpt AKD het goed, dan ligt in dit geval de vraag voor of het juist is dat een handmatige doorzoeking wel had mogen plaatsvinden en een geautomatiseerde doorzoeking, al dan niet door middel van AI10, niet. Toepasselijk wettelijk kader Allereerst heeft te gelden dat AKD, op basis van de tot dusver verkregen informatie en zonder dit in detail onderzocht te hebben, aanneemt dat de Wpg van toepassing is op de uitgevoerde verwerkingen. Anders dan de AVG spreekt de Wpg niet over grondslagen, maar moet een verwerking – zoals ook hierboven beschreven – noodzakelijk zijn in het licht van de doeleinden zoals opgenomen in de Wpg. AKD neemt aan dat de heer Chiu Man met de termen “juridische grondslag” en “juridische onderbouwing” (mede) doelt op de eisen de volgen uit de Wpg. Verwerking van politiegegevens Daarnaast is van belang vast te stellen dat het doorzoeken van chatberichten, zowel handmatig als geautomatiseerd, moet worden gekwalificeerd als een verwerking van politiegegevens zoals bedoeld in de Wpg. Los van de wijze waarop de verwerking wordt uitgevoerd, moet dus in beide gevallen sprake zijn van noodzakelijkheid met het oog op de doeleinden zoals opgenomen in de Wpg.

Wijze van verwerking van politiegegevens Het lijkt erop dat de politie tijdens de noodzakelijkheidstoets – aangenomen dat deze in meer of mindere mate is uitgevoerd – heeft geconcludeerd dat het inzetten van geautomatiseerde tools niet voldoet aan, in elk geval, het beginsel van noodzakelijkheid en een handmatige doorzoeking wel. Aangezien AKD niet beschikt over een concrete afweging, kunnen geen uitspraken worden gedaan over de juistheid van deze conclusie. Ook is niet duidelijk of, en zo ja naar welke, geautomatiseerde tools of werkwijzen is gekeken wat maakt dat AKD daar ook geen uitspraken over kan doen. AKD

10

Eventuele eisen volgend uit de AI Act worden buiten beschouwing gelaten.

pagina 4 van 5 #62326398v1

kan wel concluderen dat het afzien van het gebruiken van geautomatiseerde tools een uitwerking kan zijn van het beginsel van noodzakelijkheid en om die reden een valide argument zou kunnen (en moeten) zijn om te kiezen voor een handmatige variant. 5

CONCLUSIE Op basis van beschikbare informatie11 concludeert AKD dat de uitspraken van de heer Chiu Man, namelijk dat de politie “niet kan handelen zonder juridische grondslag” en dat sprake moet zijn van een sluitende “juridische onderbouwing”12, in lijn zijn met het wettelijk kader zoals volgt uit de Wpg. *** AKD

11

AKD baseert zich in dit advies op (i) correspondentie van de heer Van Schijndel, (ii) de spreektekst van de heer Van Schijndel, (iii) diverse telefoongesprekken met de heer Van Schijndel en (iv) de opname van de raadscommissie Algemene Zaken d.d. 03-07-2025.

12

Zie Vergadering Raadscommissie Algemene Zaken 03-07-2025 Gemeente Amsterdam, 3:37.

pagina 5 van 5 #62326398v1