Jaarverslag CPA 2020

Jaarverslag 2020 Commissie Persoonsgegevens Amsterdam

2

CPA Jaarverslag 2020

Inhoud

1.

Inleiding en samenvatting

2

2.

De CPA

4

3.

Werkzaamheden

5

4.

Adviezen

6

Bijlage 1 11

1

1. Inleiding en samenvatting De bescherming van persoonsgegevens en de Commissie Persoonsgegevens Amsterdam (CPA) in vogelvlucht: • Op de overheid rust een bijzondere verantwoordelijkheid als er met behulp van nieuwe technologieën gegevens worden verzameld en geanalyseerd. Die bijzondere verantwoordelijkheid houdt in dat dergelijke vormen van ‘data gedreven’ werken alleen zijn toegestaan indien rechtmatig en als er wordt voorzien in voldoende waarborgen om aantasting van de persoonlijke levenssfeer van de betrokkenen en discriminatie te voorkomen. De CPA verwijst graag naar de notitie van de Autoriteit Persoonsgegevens (hierna: AP) die op 17 februari 2020 is gepubliceerd.1 De AP wijst erop dat de beginselen van ‘rechtmatigheid’, ‘transparantie’ en ‘behoorlijkheid’ een goed aangrijpingspunt vormen voor de toetsing door de verwerkingsverantwoordelijke voor verwerkingen waarbij gebruik wordt gemaakt van algoritmes. Een organisatie die algoritmes gebruikt, moet vooraf in kaart brengen welke risico’s er hierdoor voor de rechten en vrijheden van personen ontstaan. Oftewel: goed nadenken over het ontwerp van het systeem. Is het gekozen algoritme wel passend bij het doel waarvoor het wordt ingezet? Ook betekent dit het testen van de werking van het algoritme en het nemen van gepaste maatregelen en implementeren van waarborgen voordat het systeem gebruikt wordt.

Het gaat daarbij bijvoorbeeld over wat er gebeurt wanneer algoritmes onbedoeld een verkeerde uitkomst geven en de vraag of door het gebruik van algoritmes misschien bepaalde groepen in de samenleving stelselmatig worden gediscrimineerd. Daarnaast moet een verwerkingsverantwoordelijke voorafgaand aan een bepaalde verwerking een beoordeling uitvoeren van het effect hiervan op de bescherming van

persoonsgegevens, een zogeheten gegevensbeschermingseffectbeoordeling, ook wel DPIA genoemd. Dit is vereist als de verwerking gelet op de aard, de omvang, de context en de doeleinden waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen. De relatie tussen burger en overheid wordt beheerst door wettelijke taken en bevoegdheden die moeten worden uitgeoefend volgens algemene beginselen van behoorlijk bestuur. Die beginselen moeten daarom ook betrokken worden bij het in kaart brengen van risico’s rond datamining, profilering en selectie. Het transparantie-, doelbinding- en dataminimalisatiebeginsel spelen evenzeer een belangrijke rol bij de toetsing door de verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens waarbij gebruik wordt gemaakt van algoritmes. De CPA wijst hierbij ook op de bepalingen uit de Algemene verordening gegevensbescherming (hierna: AVG) met betrekking tot profilering en een verbod op geautomatiseerde individuele besluitvorming, waaronder profilering.

In artikel 4 aanhef en onder 4 van de AVG is profilering gedefinieerd als “elke vorm van geautomatiseerde verwerking van persoonsgegevens waarbij aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van een natuurlijk persoon worden geëvalueerd, met name met de bedoeling zijn beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen”. Op grond van artikel 22 van de AVG geldt een algemeen verbod op volledig geautomatiseerde besluitvorming, met inbegrip van profilering, waaraan voor de betrokkenen juridische of anderszins aanmerkelijke gevolgen zijn verbonden. Zie de adviezen in paragraaf 4.1. en 4.4.

1 https://autoriteitpersoonsgegevens.nl/nl/nieuws/toezicht-op-algoritmes 2

CPA Jaarverslag 2020

• De CPA heeft de laatste jaren geadviseerd over de samenwerking met derde partijen. De CPA constateerde in het jaarverslag van 2019 dat er vaak een gebrek is aan voldoende inzicht en besef van het belang om als gemeente te beoordelen of een verwerking niet onverenigbaar is met het doel waarvoor de gemeente de persoonsgegevens verwerkt. De CPA heeft in het jaarverslag 2019 herhaald dat het van belang is om een afwegingskader voor samenwerking met derde partijen op te stellen. In de bestuurlijke reactie op het jaarverslag van 2019 is aangegeven dat het College hiervoor het Stedelijk kader verwerken persoonsgegevens toepast dat in september 2019 is vastgesteld. Hierbij worden standaardovereenkomsten gebruikt voor datadeling met derde partijen. De noodzaak voor een separaat afwegingskader wordt onderzocht. In 2020 ontbreekt dit kader nog altijd hetgeen ook is terug te zien in de twijfels over de exacte privacyrechtelijke rollen (wel of geen gezamenlijke verwerkingsverantwoordelijkheid?). Naast het belang van een afwegingskader merkt de CPA in haar adviezen van 2020 ook op dat bij samenwerking met derde partijen de omgang met de rechten van betrokkenen, waaronder inzageprocedures, van belang is. Zie hiervoor artikelen 12 en 13 van de AVG.

Iedere partij zou moeten aangeven op welke manier de burger inzage kan krijgen in de bestanden die onder verantwoordelijkheid van de deelnemers vallen. Als de verantwoordelijkheid van de partijen verdeeld is over processen dan moet dat voor de overzichtelijkheid goed en helder beschreven worden. Zie de adviezen in paragraaf 4.2. • Om de validiteit van toestemming als wettelijke verwerkingsgrondslag te kunnen bepalen, is het onder meer belangrijk om de factor ‘pressure’ te wegen versus de vrijwilligheid van deelname. Bij de afweging adviseert de CPA om het Braincompass onderzoek van de AP te raadplegen.2 In dit onderzoek komt

naar voren dat er slechts sprake is van toestemming indien deze ‘vrij’, ‘specifiek’ en ‘geïnformeerd’ is. ‘Vrij’ betekent dat de betrokkene in vrijheid zijn wil moet kunnen uiten. Dat wil zeggen zonder dat aan het weigeren of intrekken van toestemming negatieve consequenties verbonden zijn. ‘Specifiek’ betekent dat de wilsuiting betrekking moet hebben op een bepaalde gegevensverwerking of een beperkte categorie van gegevensverwerkingen (geen algemeen geformuleerde machtiging). Duidelijk moet zijn welke verwerking, van welke gegevens, voor welk doel zal plaatsvinden, en als het daarbij gaat om een verstrekking aan derden, ook aan welke derden. ‘Geïnformeerd’ kan de betrokkene slechts verantwoord zijn toestemming geven wanneer hij zo goed mogelijk is ingelicht. Naast het onderzoek van de AP heeft de European Data Protection Board (hierna: EDPB) aangegeven dat het voor werkgevers problematisch is om persoonsgegevens van huidige of toekomstige werknemers te verwerken op basis van toestemming, omdat het onwaarschijnlijk is dat deze vrijelijk wordt verleend.3 In de bestuurlijke reactie op het jaarverslag 2019 geeft het College met betrekking tot toestemming als wettelijke grondslag aan dat de adviezen van de CPA met name zijn gericht op die verwerkingen die worden gedaan bij langdurige relaties tussen gemeente en burger.

Het College onderzoekt de mogelijkheden om in die gevallen op een andere wettelijke grondslag gegevens te mogen verwerken. Waar nodig zal dat worden omgezet naar overeenkomsten tussen de gemeente en betreffende burger(s). De CPA is benieuwd naar dit onderzoek. Zie de adviezen in paragraaf 4.3. • De CPA benadrukt het belang van transparantie van de verwerking van persoonsgegevens tegenover de burger. De gemeente moet in klare taal de burgers informeren over hoe de gemeente met hun persoonsgegevens omgaat. Hierdoor krijgt

2 https://autoriteitpersoonsgegevens.nl/nl/nieuws/ap-verwerking-bijzondere-persoonsgegevens-door-braincompass-strijd-met-privacywet 3 https://edpb.europa.eu/our-work-tools/our-documents/guideline/consent_nl

3

een burger zicht op wat er met hem/ haar betreffende persoonsgegevens gebeurt. Zorgen van burgers kunnen hierdoor worden weggenomen. In het jaarverslag 2019 had de CPA ook een stuk gewijd aan het belang van transparantie. In de bestuurlijke reactie op het jaarverslag 2019 komt naar voren dat het College achter het principe van transparantie staat en bevordert dat de privacyverklaringen op een inzichtelijke wijze worden gecommuniceerd. De mogelijkheid van het gebruik van pictogrammen is in onderzoek. Echter, het gebruik van pictogrammen in plaats van trefwoorden heeft het nadeel dat het voor Amsterdammers geen resultaten geeft bij zoekacties via internet. De huidige werkwijze geeft dat wel. Er is daarbij sprake van een zogenaamde gelaagde privacyverklaring, waarbij de gemeente Amsterdam enerzijds algemene informatie geeft en verwijst naar het door het College vastgestelde stedelijk kader verwerken persoonsgegevens en anderzijds specifieke verklaringen publiceert voor thema’s die voor de Amsterdammer van belang zijn. Het College benadrukt dat in het kader van de zorgvuldigheid en de naleving van de AVG niet alle privacyverklaringen worden samengevoegd in een uniforme privacyverklaring.

In de richtsnoeren van de EDPB wordt invulling gegeven aan het transparantiebeginsel en worden best practices gegeven4 Dit betreft onder meer zeer concrete aanbevelingen voor wat betreft lay-out van de informatie en taalgebruik. De volgende beschrijvingen uit de richtsnoeren van de EDPB voldoen niet aan de vereiste transparantie: ‘nieuwe diensten’, ‘onderzoeksdoeleinden’ en ‘gepersonaliseerde diensten’. Aangezien dit passages zijn die veelvuldig voorkomen in kennisgevingen van verwerkingsverantwoordelijken, zullen veel organisaties hun formulering moeten aanpassen en dan ook nader dienen te specificeren waar het om gaat. Ook is noemenswaardig dat de aanbeveling wordt

gedaan om de betrokkene te informeren over de belangrijkste consequenties van de verwerking. Zie de adviezen in paragraaf 4.4. • Door de veelsoortigheid van de privacyverklaringen kunnen deze het zicht voor de burgers belemmeren op wat de gemeente en instellingen waarmee de gemeente samenwerkt, met hun persoonsgegevens doen. Veelsoortigheid kan leiden tot versnippering van informatie. De CPA adviseert de gemeente om zicht te houden op het aantal privacyverklaringen, de weergave en de vindbaarheid van de privacyverklaringen, om versnippering te voorkomen. Zie hiervoor de adviezen in paragraaf 4.6.

2. De CPA Het gemeentebestuur is verantwoordelijk voor het beleid van de gemeente Amsterdam op het gebied van de informationele privacy, oftewel de bescherming van persoonsgegevens. De Commissie Persoonsgegevens Amsterdam (CPA) is een onafhankelijke adviescommissie, ingesteld door het College van B&W. De CPA heeft signalerende, adviserende taken en fungeert hierbij als een maatschappelijk klankbord voor het bestuur en ambtelijk management. (www.amsterdam.nl/cpa). Per 1 december 2020 was de samenstelling als volgt: Mr. dr. U. van de Pol, voorzitter Mw. mr. E.F. van Hasselt, vicevoorzitter Drs. C. de Bakker, lid Mw. drs. M. McCabe, lid Mw. mr. F.C. van der Jagt- Vink, lid Mr. A. Commandeur, lid Mr. B. J. P. Hulsman, lid Drs. H. Belarbi, lid Drs. F. van Rootselaar, lid Mr. T. Kalayciyan, ambtelijk secretaris (cpa@amsterdam.nl). Per 1 januari 2020 zijn de heer H. Belarbi en

4 https://edpb.europa.eu/our-work-tools/our-documents/guideline/transparency_nl 4

CPA Jaarverslag 2020

de heer F. van Rootselaar op voordracht van de CPA door het College van B&W benoemd tot nieuwe commissieleden. Zij zijn gekozen uit 34 kandidaten die zich n.a.v. advertenties hiervoor hebben gemeld. In 2020 is negenmaal digitaal vergaderd.

3. Werkzaamheden 3.1 Signalering en contacten CPA Op ambtelijk niveau zijn, in aanloop naar de plenaire vergaderingen van de CPA, voorbereidende gesprekken gevoerd met de contactpersonen van de Informatievoorzieningseenheden van de Clusters. In het vakoverleg Privacy zijn de Privacy Offers per Cluster van de gemeente Amsterdam vertegenwoordigd. Het hoofd van de CIO-office, de Functionaris Gegevensbescherming (hierna: FG) en voorzitter en secretaris van de CPA voeren enkele malen per jaar afstemmingsoverleg. In voorkomende gevallen brengt de voorzitter een advies van de CPA uitdrukkelijk onder de aandacht van de FG, die als interne toezichthouder bij de gemeente fungeert. Sinds kort geven het team FG, de concern adviseur gegevensbescherming van de CIO- office, de directie Basisinformatie en de directie Juridische Zaken aan de CPA vragen met betrekking tot de agendapunten door via de ambtelijk secretaris. Zij wonen ook de vergaderingen van de CPA bij. Deze inbreng en samenwerking is vruchtbaar gebleken.

3.2. Advisering Bij complexe en/of politiek gevoelige kwesties waarin het gebruik van persoonsgegevens een rol speelt, is volgens het Stedelijk kader van 2018 verplicht advies te vragen aan de CPA.5 Het initiatief ligt bij de organisatieonderdelen. Doorgaans worden de organisaties uitgenodigd voor een presentatie van de onderwerpen op de

vergaderingen van de CPA. Hierna vindt een gedachtewisseling plaats en geeft de CPA haar oordeel over de gepresenteerde plannen. In 2020 zijn 21 adviezen uitgebracht. Deze adviezen zijn vastgelegd in de notulen van de openbare plenaire vergaderingen. De adviezen en de notulen zijn te vinden op de website van de CPA. De onderwerpen zijn weergegeven in bijlage 1. Negentien (19) maal is het advies daarnaast ook per brief uitgebracht. Bijgaand een kort overzicht van de 21 adviezen zijn uitgebracht: Thema

aantal

voorwaarden

3

4

Dienstverlening en informatie

2

2

Ruimte en Economie

3

3

Sociaal

1

Stadsdelen

1

CTO

1

Interne dienstverlening

positief

negatief

anders

1

Alle uitgebrachte (openbare) adviezen van de afgelopen drie jaar staan op de CPAwebsite.6 Oudere adviezen kan men opvragen door te mailen naar cpa@amsterdam.nl.

3.3 Onderzoek Onderzoek naar de geschiedenis van de CPA ‘Amsterdam regelt privacy liever zelf’ De CPA bestond in 2020 veertig jaar. Om dit lustrum te gedenken heeft de CPA aan journalist Belia Heilbron verzocht om in vogelvlucht de geschiedenis te beschrijven en daarbij ook een doorkijkje te maken naar de toekomst van de CPA.7 Zij heeft hieraan voldaan door archiefonderzoek en gesprekken met (oud) commissieleden en andere betrokkenen binnen de gemeente te voeren. Zij heeft de opkomst, bijna ondergang en doorstart van de CPA in beeld gebracht en geplaatst in de

5 https://www.amsterdam.nl/privacy/privacybeleid/ 6 www.amsterdam.nl/cpa 7 www.amsterdam.nl/cpa , onder het kopje ‘thema’s en jaarverslagen’ 5

bestuurlijke veranderingen in de gemeente, die vaak van bepalende invloed zijn geweest op het functioneren van de CPA. Enkele hoogtepunten uit het onderzoek: • De CPA heeft een lange geschiedenis: ze gaat terug tot 1980 toen Amsterdam als een van de eerste gemeenten speciale privacyregels opzette, bijna tien jaar voordat de eerste landelijke privacywet, de Wet Persoonsregistraties, van kracht werd. • Met de komst van de Wet bescherming persoonsgegevens en daarna de Algemene Verordening Gegevensbescherming (AVG), werd de positie van de CPA opnieuw tegen het licht gehouden, mede in verband met de komst van de FG. Daarbij diende vastgesteld te worden wie binnen de gemeente toezicht houdt op de naleving van de privacywetgeving. De uitkomst was dat de FG toezicht houdt en de commissie zich kan richten op advies. • Onbespied door de stad lopen is volgens de CPA al lang geen realiteit mee, maar vormt eerder een uitzondering op de regel. In het jaarverslag 2018 schrijft de CPA dat de belofte van het College ‘voorbijgaat aan de talloze volgsystemen die door of namens de gemeente inmiddels in de openbare ruimte zijn of worden ingezet’. • De verschuiving die de CPA de afgelopen veertig jaar heeft gemaakt van controleur van privacyreglementen naar een commissie die meedenkt en adviseert over allerhande politieke en complexe zaken, reflecteert de ontwikkelingen in het privacylandschap.

In 2021 wil de CPA nagaan of een nader onderzoek naar het gebruik van DPIA’s waarbij ook ethische vraagstukken een plek krijgen. Symposium ‘40- jarig bestaan & profilering’ op 30 januari 2020 In 2020 heeft de CPA de vijfde editie van het breed toegankelijke symposium ’40- jarig bestaan & profilering’ georganiseerd in de Rode Hoed op de Keizersgracht. Wethouder Meliani opende het symposium met een speech over ICT en de digitale stad.

Tweehonderdenvijf (205) professionals van binnen en buiten de gemeente waren aanwezig en leverden een bijdrage aan de privacyvraagstukken bij de gemeentelijke overheid. Journalist mevrouw B. Heilbron vertelde in vogelvlucht over haar onderzoek naar de geschiedenis van de CPA en maakte een doorkijkje naar de toekomst van de CPA. Naast het 40-jarig bestaan kreeg ook het onderwerp profilering aandacht tijdens het symposium. Profilering kan bruikbaar zijn voor organisaties, zoals de gemeente. Diensten en producten kunnen beter afgestemd worden op de individuele behoeften. Echter, er is een keerzijde aan profilering. Het kan namelijk door onjuiste en/ of onvolledige data sprake kan zijn van onjuiste voorspellingen. Ook zijn burgers vaak niet op de hoogte van het feit dat ze geprofileerd worden. Tijdens het symposium werd hierop ingegaan. Zo werden ook de juridische en maatschappelijke aspecten van het SyRI proces besproken. Het SyRI proces ging om een systeem van risicoselectie voor (sociale) fraude van het ministerie van Ministerie van Sociale Zaken en Werkgelegenheid, dat door de rechtbank Den Haag onrechtmatig is verklaard.8 Daarnaast werd tijdens het symposium ingegaan op het onderzoek naar smart cities door de Autoriteit Persoonsgegevens en op de ontwikkelingen van de digitale stad door de directie Onderzoek, Informatie en Statistiek.

4 Adviezen Enkele onderwerpen verdienen bijzondere aandacht:

4.1. Belangrijke kanttekeningen algoritmes De afgelopen jaren heeft de CPA steeds vaker de gemeente geadviseerd over het verwerken van persoonsgegevens bij het inzetten van algoritmes. Als er met behulp van nieuwe technologieën gegevens worden verzamelen en geanalyseerd dan rust er op de overheid een

8 Rechtbank Den Haag 5 februari 2020, ECLI:NL:RBDHA:2020:865. 6

CPA Jaarverslag 2020

bijzondere verantwoordelijkheid. Die verantwoordelijkheid houdt in dat vormen van data gedreven werken alleen zijn toegestaan als er wordt voorzien in voldoende waarborgen om aantasting van de persoonlijke levenssfeer van de betrokkenen en discriminatie te voorkomen. Over de toepassing van algoritmes heeft de Autoriteit Persoonsgegevens op 17 februari 2020 een notitie gepubliceerd, waarnaar de CPA graag verwijst.9 De AP wijst erop dat een organisatie die algoritmes gebruik vooraf in kaart moet brengen welke risico’s er hierdoor voor de rechten en vrijheden van personen ontstaan. Ook wijst de AP erop dat de beginselen van rechtmatigheid, transparantie, en behoorlijkheid een goed aangrijpingspunt vormen voor de toetsing door de verwerkingsverantwoordelijke voor de verwerking waarbij gebruik wordt gemaakt van algoritmes. In het advies gebruik van algoritme voor het prioriteren van meldingen t.b.v. toezicht, advies bias analyse algoritmes en het advies convenant zoeklicht komt naar voren dat de notitie van de AP concreet betekent dat vooraf goed over het ontwerp van het systeem nagedacht moet worden. Is het gekozen algoritme wel passend bij het doel waarvoor het wordt ingezet? Ook betekent het dat de werking van het algoritme getest moet worden en dat gepaste maatregelen moeten worden genomen en waarborgen moeten worden geïmplementeerd voordat het systeem wordt gebruikt.

Het gaat daarbij bijvoorbeeld over wat er gebeurt wanneer algoritmes onbedoeld een verkeerde uitkomst geven en de vraag of door het gebruik van algoritmes misschien bepaalde groepen in de samenleving stelselmatig worden gediscrimineerd. Daarnaast moet een verwerkingsverantwoordelijke voorafgaand aan een bepaalde verwerking een beoordeling uitvoeren van het effect op de bescherming van persoonsgegevens, een DPIA. Dit is vereist als de verwerking een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Het transparantie-, doelbindings-, en dataminimalisatiebeginsel vormen goede

startpunten voor de toetsing door de verwerkingsverantwoordelijke van verwerkingen waarbij gebruik wordt gemaakt van algoritmes. Het transparantiebeginsel vergt dat aan de betrokkene toegankelijke en begrijpelijke informatie over de identiteit van de verwerkingsverantwoordelijke en de doeleinden van de verwerking wordt verstrekt, waarbij gebruik wordt gemaakt van eenvoudig taalgebruik. Los daarvan moet op grond van dit beginsel actief verdere informatie worden verschaft om te zorgen voor een behoorlijke en transparante verwerking van de persoonsgegevens en moeten alle betrokkenen zich bewust worden van de risico’s, regels, waarborgen en rechten in verband met de verwerking van persoonsgegevens en de wijze waarop zij hun privacyrechten kunnen uitoefenen. In de uitspraak van het SyRI-proces10 acht de rechter als waarborgen in ieder geval voldoende transparantie en onafhankelijke toetsing vooraf noodzakelijk. Op grond van het Europees Verdrag voor de Rechten van de Mens (hierna: EVRM) moet er worden voldaan aan het vereiste van ‘fair balance’: de redelijke verhouding tussen het maatschappelijke belang dat de wetgeving dient en de inbreuk op het privéleven die de wetgeving oplevert.

Het doelbindingsbeginsel houdt in dat persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden moeten worden verzameld en dat zij vervolgens niet verder op een met die doeleinden onverenigbare wijze mogen worden verwerkt. Het dataminimalisatiebeginsel vereist dat persoonsgegevens toereikend, ter zake dienend en beperkt zijn tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. In 2021 wil de CPA meer indringend kijken naar de afwegingskaders voor kunstmatige intelligentie (AI) gerelateerde onderwerpen. De CPA merkt op dat de maatschappelijke discussie hierover ethische vragen oproept. In Q2 van 2021 wil de CPA een brainstorm sessie organiseren met een data ethicus om de awareness op dit vlak te vergroten.

9 https://autoriteitpersoonsgegevens.nl/nl/nieuws/toezicht-op-algoritmes 10 ECLI:NL:RBDHA:2020:865 7

4.2. Delen van persoonsgegevens met derden: meer inzage en transparantie Vorig jaar adviseerde de CPA dat er meer transparantie en juridische onderbouwing nodig is over het delen van persoonsgegevens met derden. Het is nog steeds van groot belang om een afwegingskader op te stellen voor de samenwerking met derde partijen. In het convenant zoeklicht advies, advies implementatie buurtteams en het advies vitaliteit JOHAN merkt de CPA op dat gezien de verplichtingen van de gemeente samenwerking met derde partijen zoals woningcorporaties ervoor zorgt dat er effectiever gewerkt kan worden. Om de samenwerking goed te laten verlopen en om het doel te behalen is het in sommige gevallen noodzakelijk om persoonsgegevens te delen. De CPA geeft aan dat delen van gegevens met derden alleen mag als daar een wettelijke vordering aan ten grondslag ligt. Naast het belang van een afwegingskader merkt de CPA in haar adviezen van 2020 ook op dat bij samenwerking met derde partijen de omgang met de rechten van betrokkenen, waaronder inzageprocedures, van belang is. De CPA merkt op dat uit artikel 12 en 13 van de AVG o.a. naar voren komt dat inzageprocedures duidelijk kenbaar gemaakt moeten worden. Iedere partij zou moeten aangeven op welke manier men inzage kan krijgen in de bestanden die onder hun verantwoordelijkheid vallen.

Als de verantwoordelijkheid van de partijen verdeeld is over de processen dan moet dat voor de overzichtelijkheid goed en helder beschreven worden.

4.3. Vrijelijk geven van toestemming In het advies vitaliteit JOHAN adviseert de CPA om het Braincompass onderzoek van de Autoriteit Persoonsgegevens (hierna: AP) te raadplegen.11 In dit advies gaat het om het feit dat de gemeente een verzuimen mobiliteitsbeleid wil invoeren. Het doel is dat medewerkers en leidinggevenden

de regie kunnen nemen over hun eigen vitaliteit en inzetbaarheid. De opdracht is een digitaal platform te implementeren om het vitaliteitsaanbod te ontsluiten voor alle medewerkers van de gemeente.Het JOHAN-platform biedt (in de vorm van een SaaS-oplossing) een Lego doos met functionaliteiten die door elke partij naar eigen inzicht vanuit hun eigen rol ingericht kunnen worden. In het Braincompass onderzoek komt naar voren dat er slechts sprake is van toestemming indien deze ‘vrij’, ‘specifiek’ en ‘geïnformeerd’ is. ‘Vrij’ betekent dat de betrokkene in vrijheid zijn wil moet kunnen uiten. Dat wil zeggen zonder dat aan het weigeren of intrekken van toestemming negatieve consequenties verbonden zijn. ‘Specifiek’ betekent dat de wilsuiting betrekking moet hebben op een bepaalde gegevensverwerking of een beperkte categorie van gegevensverwerkingen (geen algemeen geformuleerde machtiging). Duidelijk moet zijn welke verwerking, van welke gegevens, voor welk doel zal plaatsvinden, en als het daarbij gaat om een verstrekking aan derden, ook aan welke derden. De betrokkene kan slechts verantwoord zijn toestemming geven wanneer hij zo goed wordt geïnformeerd. Ook kwam uit het advies van de AP naar voren dat door de arbeidsrelatie er geen sprake kon zijn van vrijelijk gegeven toestemming.

Naast het Braincompass onderzoek heeft de AP een forse bestuurlijke boete opgelegd aan een bedrijf dat werknemers verplicht heeft om hun vingerafdruk te laten scannen. In het boetebesluit komt naar voren dat wanverhouding zich ook kan voordoen in het kader van de arbeidsverhouding.12 “Gezien de afhankelijkheid die het gevolg is van de relatie tussen werkgever en werknemer, is het onwaarschijnlijk dat de betrokkene zijn/ haar toestemming voor gegevensverwerking zou kunnen onthouden zonder angst of reële dreiging van nadelige gevolgen als gevolg van een weigering. Het is onwaarschijnlijk

11 https://autoriteitpersoonsgegevens.nl/nl/nieuws/ap-verwerking-bijzondere-persoonsgegevens-door-braincompass-strijd-met-privacywet 12 https://autoriteitpersoonsgegevens.nl/nl/nieuws/boete-voor-bedrijf-voor-verwerken-vingerafdrukken-werknemers 8

CPA Jaarverslag 2020

dat de werknemer vrijelijk zou kunnen reageren op een verzoek voor toestemming van zijn/haar werkgever voor, bijvoorbeeld, het activeren van toezichtsystemen zoals camera observatie op de werkvloer, of het invullen van beoordelingsformulieren, zonder druk te voelen om toestemming te verlenen. De EDPB is daarom van mening dat het voor werknemers problematisch is om persoonsgegevens van huidige of toekomstige werknemers te verwerken op basis van toestemming, omdat het onwaarschijnlijk is dat deze vrijelijk wordt verleend.13” In overweging 43 van de AVG staat vermeld dat om ervoor te zorgen dat toestemming vrijelijk wordt verleend, toestemming geen geldige rechtsgrond mag zijn voor de verwerking van persoonsgegevens wanneer er sprake is van een duidelijke wanverhouding tussen de betrokkene en de verwerkingsverantwoordelijke, met name wanneer de verwerkingsverantwoordelijke een overheidsinstantie is, en dit het onwaarschijnlijk maakt dat de toestemming in alle omstandigheden van die specifieke situatie vrijelijk is verleend.

Ook verwijst de CPA naar de EDPB Richtsnoeren inzake toestemming inzake privacy op de werkvloer naar voren komt dat toestemming hoogstwaarschijnlijk niet voldoet als rechtsgrondslag voor gegevensverwerking op het werk, tenzij de werknemers mogen weigeren zonder dat daar nadelige gevolgen aan verbonden zijn.14 Er mogen absoluut geen negatieve gevolgen zijn van het weigeren van toestemming.

4.4. Meer transparantie In de adviezen Integraal klantbeeld, Data inzicht applicatie, Responsible sensing lab, Telematica in dienstvoertuigen en Digitale gracht gaat de CPA in op het transparantiebeginsel. De CPA benadrukt het belang van transparantie tegenover de burger bij processen die worden ingezet in het kader van bepaalde acties en/of taken van de gemeente. In dat kader moeten de

betreffende burgers in klare taal geïnformeerd worden over hoe de gemeente met hun persoonsgegevens omgaat. Hierdoor krijgt een burger zicht op wat er met haar/ hem betreffende persoonsgegevens gebeurt. Zorgen van burgers kunnen hierdoor worden weggenomen. De CPA adviseert net als vorig jaar om naast de AVG ook de het wetsvoorstel Wet Open Overheid (hierna: Woo) te raadplegen die in januari in de Tweede Kamer is aangenomen en nu behandeld wordt in de Eerste Kamer.15 Deze nieuwe wet geeft regels over het actief openbaar en toegankelijk maken van overheidsinformatie en moet ervoor zorgen dat deze beter vindbaar, uitwisselbaar, eenvoudig te ontsluiten en goed te archiveren is. Deze wet zal in de toekomst de Wet openbaarheid van bestuur (Wob) vervangen. De Wob is vooralsnog geldig. De kern van de voorgestelde wet Woo is tweeledig. Ten eerste verplicht de wet overheidsorganisaties documenten in de volgende elf categorieën actief openbaar te maken: wet- en regelgeving, organisatiegegevens, raadsstukken, bestuurlijke stukken, stukken van adviescolleges, convenanten, jaarplannen- en verslagen, Wob/Woo-verzoeken, onderzoeken, beschikkingen en klachten. Ten tweede verplicht de Woo gemeenten om de informatiehuishouding op orde te brengen. De bepaling uit de Archiefwet, dat gemeenten documenten in een goede, geordende en toegankelijke staat moeten bewaren, wordt herhaald in de Woo.

De CPA is in 2021 van plan om nauw met de informatiecommissaris te werken die zich onder andere ontfermd over de Wob en Woo. In paragraaf 4.5. en 4.6. wordt er ingegaan op profilering en privacyverklaringen. Deze onderwerpen hangen nauw samen met het transparantiebeginsel.

13 https://edpb.europa.eu/our-work-tools/our-documents/guideline/consent_nl 14 https://edpb.europa.eu/our-work-tools/our-documents/guideline/consent_nl 15 https://www.eerstekamer.nl/wetsvoorstel/35112_novelle_initiatiefvoorstel 9

4.5. Profilering Het transparantiebeginsel krijgt onder meer vorm door hetgeen in de AVG is bepaald over de informatie die – proactief of op verzoek – moet worden gegeven over het verwerken van persoonsgegevens in algoritmes. Zo is het onder meer verplicht om, als er sprake is van profilering en/of geautomatiseerde besluitvorming, dit kenbaar te maken. Daarbij moet in bepaalde gevallen ook nuttige informatie worden gegeven over de onderliggende logica van het algoritme, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene. In het geval van profilering heeft de betrokkene het recht om daartegen bezwaar te maken. Een algoritme beoordelen op behoorlijkheid (fairness) is op zichzelf complex maar mogelijk met de juiste middelen en kennis. De vraag of een algoritme of een uitkomst van een algoritme ‘fair’ of behoorlijk is, is immers sterk verweven met de omstandigheden van het geval, maar daarnaast ook met mogelijk subjectieve opvattingen over rechtvaardigheid. Een verwerkingsverantwoordelijke zal zelf actief moeten verantwoorden en motiveren waarom een algoritme fair is en het gebruik van het gekozen algoritme niet leidt tot onbehoorlijke uitkomsten. De AVG bevat ook bepalingen met betrekking tot profilering en een verbod op geautomatiseerde individuele besluitvorming, waaronder profilering.

In artikel 4 aanhef en onder 4 AVG is profilering gedefinieerd als “elke vorm van geautomatiseerde verwerking van persoonsgegevens waarbij aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van een natuurlijk persoon worden geëvalueerd, met name met de bedoeling zijn beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen.” Op grond van artikel 22 AVG geldt een algemeen verbod op volledig geautomatiseerde individuele besluitvorming, met inbegrip van profilering, waaraan voor de betrokkene

10

CPA Jaarverslag 2020

juridische of anderszins aanmerkelijke gevolgen zijn verbonden. Het AI team van de gemeente Amsterdam is in 2020 bezig geweest met het opzetten van een algoritmeregister dat in 2021 gelanceerd wordt. Het algoritmeregister is een overzicht van de algoritmes die de gemeente Amsterdam gebruikt bij gemeentelijke dienstverlening. Per algoritme kan men eerst algemene informatie over de bedoeling en werking van het algoritme. Daarna kan men meer gedetailleerde technische informatie vinden. De CPA is op de hoogte van dit register en is benieuwd naar de ontwikkelingen in 2021.

4.6. Privacyverklaringen De commissie merkt op dat door de veelsoortigheid van de privacyverklaringen deze het zicht voor de burgers kunnen belemmeren op wat de gemeente en instellingen waarmee de gemeente samenwerkt, met hun persoonsgegevens doen. Veelsoortigheid kan leiden tot versnippering van informatie. De CPA adviseert de gemeente om zicht te houden op het aantal privacyverklaringen, de weergave en de vindbaarheid van de privacyverklaringen om versnippering te voorkomen. In het advies Integraal klantbeeld komt naar voren dat projecten vaker volstaan met een verwijzing naar bestaande privacyverklaringen. De CPA wil dit graag stimuleren, maar adviseert tegelijkertijd om goed in de gaten te houden of er, mede vanuit het oogpunt van transparantie, toch geen aparte privacyverklaring nodig is en/of er een aanvulling op de specifieke privacyverklaringen nodig is. De Commissie Persoonsgegevens Amsterdam Amsterdam, 2020.

Bijlage 1 LIJST MET ADVIEZEN 2020 Onderwerp Gebruik van een algoritme voor het prioriteren van meldingen t.b.v. toezicht

Trefwoord Algoritmes, transparantie, doelbindingsbeginsel, SyRI

Convenant Zoeklicht

Woonfraude, samenwerking met derde

Herijking HIC- criteria top 600

Bijzondere persoonsgegevens, top 600

OIS- onderzoek naar migranten

BRP, WPI, toestemming

Project vitaliteit JOHAN

Verzuim- en mobiliteitsbeleid, samenwerking met derde partij, toestemming

Integraal klantbeeld

Applicatie, privacy- verklaring

Regeling gegevensverwerking LPGA

Top 400, Top 600, Verwerkingsverantwoordelijke

BRP aansluiting Erfpacht

Privacyverklaringen, informatiestromen

Data inzicht applicatie

Transparantie, ethische toets, DIA

Object detectie

Anonimisering, datasets, AI lead developer

Samenwerkingsovereenkomst Eigen Haard en basisinformatie

Basisregistratie adressen en gebouwen, woonfraude, BRP afwijkingen

Implementatie buurtteams Amsterdam verwerkingsverantwoordelijkheid

WMO, doelbinding,

IPGA doorgroeiers

UAVG, bijzondere persoonsgegevens, Top 600, RIEC criteria

Regeling gegevensverwerking top 400

Top 400, zwaarwegend algemeen belang, bijzondere persoonsgegevens

Woonruimteverdeling en gezamenlijk gebruik Woningnet regio Amsterdam

Proportionaliteit, clouddienst, bestandsvergelijking

Responsible sensing lab

Gemeentelijke sensoren, zichtbaarheid, transparantie, algoritme

Telematica in dienstvoertuigen

Noodzakelijkheid, rechtvaardigheid, Dataminimalisatie

Bias analyse over ontwikkelde algoritmes

Algoritmes, onterecht/ onjuist verschil

Digitale gracht

Handhaving, vignetgegevens 11

CPA

Commissie Persoonsgegevens Amsterdam

2 02 0