Jaarverslag CPA 2023.pdf

Commissie Persoonsgegevens Amsterdam (CPA)

Jaarverslag 2023

Inhoud 1.

Samenvatting ..................................................................................................... 2

2.

Rode draden in 2023 (ontwikkelingen) .................................................................. 2

3.

De CPA............................................................................................................... 5

4.

Adviezen 2023..................................................................................................... 6

5.

Geagendeerde onderwerpen/bijeenkomsten zonder schriftelijk advies .................. 10

6.

Conclusie, reflectie en vooruitblik ....................................................................... 12

1

1. Samenvatting Hierbij treft u aan het jaarverslag van de Commissie Persoonsgegevens Amsterdam (CPA) betreffende het jaar 2023, conform artikel 8 lid 1 van het Reglement van de CPA 2021.1 Eerst wordt een algemeen beeld gegeven van de ontwikkelingen in 2023. Daarna volgt een korte toelichting over de taken en samenstelling van de CPA. Vervolgens worden de adviezen van 2023 toegelicht. Ook komen de onderwerpen aan bod die tijdens de vergaderingen zijn besproken, maar waaruit geen formeel advies is voortgekomen. Ten aanzien van deze onderwerpen kon worden volstaan met het meegeven van enkele specifieke aandachtspunten. Het jaarverslag wordt afgesloten met een reflectie en vooruitblik.2

2. Rode draden in 2023 (ontwikkelingen) Advies Rekenkamer Verschillende kwesties die verband houden met de taakuitbreiding van de CPA zijn in 2023 voorgelegd aan de CPA. In 2023 heeft de Rekenkamer Metropool Amsterdam (hierna: de Amsterdamse Rekenkamer) haar voorlopige bevindingen van het onderzoek 'Algoritmen' besproken met de leden van de CPA3, waarbij ook is gesproken over de vraag welke interventies helpend zijn voor de gemeente Amsterdam om algoritmen in de toekomst verantwoord toe te passen voor het uitvoeren van publieke taken. In het onderzoek van de Amsterdamse Rekenkamer is ten aanzien van algoritmen opgemerkt dat in de praktijk de CPA met name over algoritmen heeft geadviseerd met een hoog risico of algoritmen waarbij bijzondere persoonsgegevens worden verwerkt. De CPA constateerde naar aanleiding van het onderzoek dat niet alle algoritmen die binnen de taakomschrijving van de CPA vallen ter advisering worden voorgelegd. Aan de andere kant merkten de onderzoekers van de Rekenkamer op dat de directies van de gemeente Amsterdam in toenemende mate algoritmen in een vroeg stadium ter advisering voorleggen aan de CPA. De verwachting is gerechtvaardigd dat het aantal adviesaanvragen betreffende het gebruik en inzet van algoritmen een stijgende lijn zal vertonen.

Desalniettemin is nergens geformaliseerd dat de CPA om advies moet worden gevraagd, noch dat de CPA moet worden gerapporteerd over de opvolging van dit advies.4 Teneinde de effectiviteit van de adviserende rol van de CPA te waarborgen, verdient dit punt nadere aandacht. Profilering Daarnaast is in de afgelopen jaren binnen de gemeente Amsterdam en op landelijk niveau veel aandacht besteed aan de mogelijk negatieve gevolgen die de verwerking van persoonsgegevens in profilerende algoritmen kunnen hebben op de rechtspositie van de burger. De Amsterdamse

1 Zie het Reglement van de CPA, december 2021. 2 Zie paragraaf 6. 3 Zie het onderzoek ‘Algoritmen’ van de Amsterdamse Rekenkamer, oktober 2023. In het onderzoek ‘Algoritmen’

staat de vraag centraal: in hoeverre is het Amsterdamse beheerskader voor algoritmen toereikend voor een verantwoorde toepassing van algoritmen en welke lessen kunnen getrokken worden over het toepassen van algoritmen in de Amsterdamse praktijk? 4 Onderzoeksrapport ‘Algoritmen’, p. 64, 2023.

2

Rekenkamer heeft voor dit vraagstuk ook in het bovengenoemde rapport aandacht gevraagd. Sinds de publicatie van dit rapport heeft het Hof van Justitie van de Europese Unie (HvJ EU) zich voor het eerst gebogen over de reikwijdte van artikel 22, eerste lid, AVG.5 In deze bepaling is het verbod op besluitvorming gebaseerd op profilering neergelegd. Deze uitspraak van de hoogste Europese rechter heeft ook in Nederland tot ontwikkelingen geleid. Zo heeft de Landsadvocaat een lijvige notitie gepubliceerd over de gevolgen die deze uitspraak heeft voor de profileringspraktijken van Nederlandse bestuursorganen. Indachtig deze ontwikkelingen heeft de CPA ervoor gekozen haar tweejaarlijkse symposium in 2024 te wijden aan het onderwerp ’profilering in de publieke sector’. Tijdens dit symposium zullen sprekers uit zowel de gemeente Amsterdam, de rechtspraktijk en de rechtswetenschap met elkaar van gedachten wisselen over dit vraagstuk. De CPA benadrukt in haar adviezen telkens het belang van transparantie tegenover de burger, bijvoorbeeld ten aanzien van de inzet van algoritmes. Wanneer de overheid opereert in het publieke domein is transparantie eens te meer nodig met het oog op betrouwbaarheid van overheid naar de burger toe, en met het oog op het vertrouwen van de burger in diezelfde overheid.

Dit is ook één van de aanbevelingen die de Amsterdamse Rekenkamer deed in haar onderzoeksrapport. Proactieve dienstverlening Tot slot signaleert de CPA dat de toepassing van de AVG om proactieve dienstverlening mogelijk te maken de nodige uitdagingen met zich meebrengt. Sinds 1 januari 2024 is in artikel 2:1 van de Algemene wet bestuursrecht een rechtsstatelijk zorgplicht opgenomen. Deze plicht houdt in dat bestuursorganen aan burgers passende ondersteuning moeten bieden in hun contact met de overheid. De afgelopen jaren is meermaals gesignaleerd dat burgers om uiteenlopende redenen vaak niet over het “doenvermogen” beschikken om (financiële) voorzieningen aan te vragen die bedoeld zijn om hen te helpen.6 In dat verband kan worden verwezen naar het rapport ’Met te weinig genoegen nemen’ van de Nationale ombudsman.7 Bestuursorganen kunnen deze burgers actief een helpende hand bieden in de aanvraagprocedure. Vaak weten zij echter niet welke burgers voorzieningen die bedoeld zijn om hen te helpen onbenut laten. Dit niet-gebruik kan in sommige gevallen worden tegengegaan als bestuursorganen binnen de overheid bekende gegevensbestanden koppelen. In de praktijk bestaat terughoudendheid om deze koppeling te laten plaatsvinden. De redenering is doorgaans dat in wetgeving geen expliciete grondslag is neergelegd om deze verwerking te laten plaatsvinden.

In haar advies over ’Vervanging Socrates Armoedeframework’ heeft de CPA zich over dit vraagstuk gebogen.8 De Commissie wijst het college van B en W erop dat in wetgeving aanknopingspunten te vinden zijn op grond waarvan deze verwerking wel kan plaatsvinden. Daarnaast merkte de CPA in haar advies op, dat in het kader van proactieve dienstverlening het grondrechtelijke kader voor ogen moet worden gehouden. De gegevenskoppeling die wordt verricht in het geval van het Armoedeframework dient de verwezenlijking van het grondrecht op bestaanszekerheid. Uiteraard moet bij de verwezenlijking van dit grondrecht rekening worden gehouden met artikel 10 GW (het recht op de persoonlijke levenssfeer), en met de artikelen 8 EVRM en 8 van het EU-Grondrechtenhandvest. 5 HvJ EU 7 december 2023, C-634/21, ECLI:EU:C:2023:957 (SCHUFA-uitspraak) 6 Zie: WRR-rapport Weten is nog geen doen, april 2017. 7 Zie: Rapport Met te weinig genoegen nemen van de Nationale ombudsman, juni 2022. 8 Zie: Advies Vervanging Socrates - Armoedeframework – Gemeente Amsterdam

3

Cijfers In het jaar 2023 zijn in totaal zes adviezen uitgebracht zoals weergegeven in het volgende overzicht (aantal adviezen per cluster): Cluster Bedrijfsvoering Digitalisering, Innovatie en Informatie (DII) Bestuur en Organisatie Ruimte en Economie Sociaal Gebiedsgericht werken en Stadsbeheer (GWS)

Aantal adviezen 0 3 1 0 1 1

4

3. De CPA Het college van B en W is (eind) verantwoordelijk voor het opstellen, uitvoeren en beheren van het privacy- en gegevensbeschermingsbeleid van de gemeente Amsterdam. Het college heeft hiertoe een stedelijk beleidskader opgesteld voor de verwerking van persoonsgegevens door de gemeente Amsterdam. De rol van de CPA met betrekking tot de bescherming van privacy en persoonsgegevens is meerledig. De CPA heeft een signalerende en adviserende taak en fungeert daarnaast ook als (maatschappelijk) klankbord. De CPA adviseert het college van B en W en het ambtelijk apparaat van de gemeente Amsterdam over beleid dat raakt aan de bescherming van persoonsgegevens. De Commissie adviseert, gevraagd dan wel ongevraagd, over complexe en/of politiek gevoelige persoonsgegevensverwerkingen. De adviezen van de CPA hebben betrekking op de juridische, technische en ethische aspecten van gegevensbescherming in de breedste zin van het woord. In dat kader heeft haar advisering betrekking op onderwerpen zoals de bescherming van persoonsgegevens, de regulering van algoritmen, data-ethiek, (digitale) mensenrechten en openbaarmaking van persoonsgegevens.

Naar aanleiding van de taakuitbreiding van de CPA in 2021 is de samenstelling van de CPA ook gewijzigd.9 De CPA bestaat thans uit leden met verschillende achtergronden en disciplines om op basis van de pijlers recht, techniek en ethiek gedegen te kunnen adviseren. Mevrouw E.F. van Hasselt heeft per 1 oktober 2023 als voorzitter afscheid genomen van de Commissie. Mevrouw Van Hasselt heeft zich ingezet als voorzitter en heeft veel betekend voor de Commissie en de gemeente. De Commissie wil ook via deze weg mevrouw Van Hasselt hartelijk danken voor haar inzet. Per 1 oktober 2023 vervult mevrouw H. Janssen de rol van voorzitter, met de heren F. van Rootselaar en A. Commandeur in de rol van vicevoorzitter. Per 1 oktober 2023 was de samenstelling als volgt:10 H. Janssen voorzitter F. van Rootselaar vicevoorzitter A. Commandeur vicevoorzitter H. Belarbi lid F. Çapkurt lid I. Kist lid M. Berk lid M. Steketee lid

9 Op 17 december 2021 is het takenpakket van de CPA uitgebreid. Sindsdien adviseert de CPA niet alleen over de

verwerking van persoonsgegevens, maar ook over de regulering van algoritmen, data-ethiek en digitale (mensen)rechten. 10 Voor een actueel overzicht, zie: De leden van de CPA - Gemeente Amsterdam.

5

4. Adviezen 2023 De Commissie heeft in 2023 totaal acht keer vergaderd. Daaruit zijn zes adviezen voortgekomen. Een samenvatting van de adviezen volgt hieronder. De adviezen zijn vastgelegd in de notulen van de openbare plenaire vergaderingen. De uitgebrachte (openbare) en uitgebreidere versie van de adviezen zijn toegankelijk op de webpagina van de CPA.11 Het advies ROSA aanpak12 De ROSA aanpak van het Actiecentrum Veiligheid en Zorg (hierna: AcVZ) in AmsterdamAmstelland is een persoonsgerichte aanpak voor jonge vrouwen en meiden die slachtoffer zijn van herhaald seksueel geweld en vastzitten in een spiraal van vernedering, geweld en schaamte. In tegenstelling tot de Top600 aanpak, waarbij het accent op ‘veiligheid’ ligt, ligt het accent van de ROSA-aanpak meer op ‘zorg’. De CPA adviseert in dit advies te onderzoeken en te onderbouwen welke wettelijke grondslagen, uitzonderingen op verwerkingsverboden en categorieën van persoonsgegevens aan de orde dan wel noodzakelijk zijn in deze aanpak. Daarnaast adviseert de CPA te onderzoeken of een pilot met een minder ingrijpende aanpak en een evaluatie achteraf meer passend is. Op deze manier kan worden nagegaan of eventuele inbreuken op de grondrechten van de betrokken personen proportioneel zijn.

Verder wijst de CPA, mede met het oog op het lage aantal deelnemers, op het belang van alternatieve opties ten aanzien van nieuwe wettelijke ontwikkelingen, zoals de Wet aanpak meervoudige problematiek sociaal domein (Wams). Het AcVZ heeft een regisserende rol binnen de ROSA-aanpak, waarbij de partners elk hun eigen verantwoordelijkheden en wettelijke grondslagen hebben voor de verwerking van persoonsgegevens. De CPA acht het om die reden raadzaam om de regisseurs en partners te scholen in het zorgvuldig omgaan met persoonsgegevens. Voorts wordt geadviseerd op transparante wijze te communiceren over de gegevensverzameling met betrekking tot betrokkenen en hun omgeving, alsook over het delen van gegevens met derden voor zover die deling noodzakelijk is. De CPA adviseert aandacht te besteden aan ethische kwesties binnen de werkprocessen van de ROSA-aanpak en nodigt uit deze aspecten nader te bespreken. Tot slot adviseert de CPA op termijn een audit uit te voeren ten aanzien van de ROSA aanpak. Het advies Grip op Technologie13 De CPA werd verzocht kennis te nemen van de evaluatie en verbetervoorstellen naar aanleiding van het raadsinitiatief "Grip op Technologie" en hierover te adviseren teneinde de inhoud en richting van de verbetervoorstellen aan te scherpen.

De CPA adviseert de verbetervoorstellen in "Grip op Technologie" meer “SMART” (specifiek, meetbaar, aanvaardbaar, realistisch en tijdgebonden) te formuleren. Tevens adviseert de CPA de Tada-waarden te heroverwegen en concretiseren. Voorts geeft de Commissie enkele algemene reflecties mee aan de gemeente Amsterdam over de gebruikelijke wijze van haar advisering in relatie tot de voorgelegde adviesaanvragen. De CPA benadrukt het socio-technisch perspectief dat het gebruik van nieuwe technologieën telkens met zich meebrengt: systemen, ook die waar de gemeente mee werkt, zijn niet alleen technisch van aard. Systemen kennen ook juridische en organisatorische aspecten die moeten worden meegewogen om te beoordelen of een systeem in overeenstemming is met het recht en met ethiek. Om deze reden beoordeelt de CPA projecten niet geïsoleerd op technologische aspecten, aangezien het bij algoritmes en AI altijd om meer dan technologie alleen gaat. Deze technologieën

11 Voor een uitgebreidere versie van de adviezen, zie: www.amsterdam.nl/cpa.

12 13

Zie: Advies aanpak ROSA - Gemeente Amsterdam Zie: Advies Grip op Technologie – Gemeente Amsterdam

6

worden ingericht en gebruikt met bepaalde waarden. Dergelijke waarden dienen steeds expliciet te worden gemaakt en te worden afgewogen tegen de relevante publieke en mensenrechtelijke waarden en bepalingen. Tot slot wijst de CPA erop dat een ethische beoordeling niet een eenmalige gebeurtenis is, maar als dat die als een doorlopend proces dient te worden gezien. Het advies Cloud Voorziening (Cloud Platform) van de Gemeente Amsterdam14 De gemeente Amsterdam heeft op basis van een door haar opgestelde Cloudstrategie een Cloud Platform ontwikkeld als basis voor nieuwe dienstverlening in de cloud van de directie Digitale Voorzieningen. De applicatiebouw en hosting vindt in de Azure Cloud van Microsoft plaats. In dit advies15 benadrukt de CPA, gelet op de afhankelijkheidsrelatie van de gemeente van Microsoft, het belang van effectief risicomanagement omdat de applicatiebouw en hosting geplaatst worden van ICT-systemen in de Azure cloud. De CPA adviseert daarnaast te onderzoeken of er voldoende maatregelen zijn getroffen voor het geval het platform onverwacht niet beschikbaar is, zeker wanneer hierdoor (kritieke) processen van de gemeente stil komen te vallen. De CPA voegt hieraan toe dat wanneer Microsoft nu of in de toekomst keuzes maakt die in strijd zijn met de Tada-waarden die de gemeente hanteert, overwogen moet worden om over te stappen naar een andere cloudomgeving.

Daarnaast verzoekt de CPA om verstrekking van het document waaruit acceptatie of het niet opvolgen van de mitigerende maatregelen door de opdrachtgever van de gemeente Amsterdam blijkt.16 De CPA verzoekt de gemeente de in het Cloud Platform te plaatsen applicaties ter advisering voor te leggen aan de CPA, in het bijzonder als sprake is van applicaties waarmee bijzondere persoonsgegevens en/of gegevens van medewerkers worden verwerkt, of wanneer de uitbreiding van de scope tot het uitvoeren van een (aanvullende) Data Transfer Impact Assessment (DTIA) leidt. De CPA adviseert de gemeente met het oog hierop het format van het Privacy Control Framework (PCF) aan te passen, en daarin een verwijzing naar de CPA in op te nemen met het oog op het verhogen van de transparantie tegenover Amsterdammers en de medewerkers van de gemeente Amsterdam. Tot slot merkt de CPA op dat de keuze voor Microsoft de weg voor alternatieven uitsluit die mogelijk duurzamer, open-source, privacy-vriendelijker en/of democratischer zijn. De CPA adviseert de Amsterdamse Cloudstrategie bijtijds te evalueren en te herijken en te bezien of deze (nog) aansluit bij de publieke en maatschappelijke waarden en ambities van de gemeente.

Het advies gegevensverstrekking VTH Bibob-team17 De gemeente Amsterdam kan conform de Wet Bevordering integriteitsbeoordeling door het Openbaar Bestuur (hierna: de Wet Bibob) bij bepaalde vergunning- of subsidieaanvragen en bij vastgoedtransacties met de gemeente een Bibob-onderzoek uitvoeren. Een Bibob-onderzoek wordt bijvoorbeeld uitgevoerd bij een aanvraag voor een alcoholwetvergunning of een kansspelautomatenvergunning. De strekking van het uitvoeren van een Bibob-onderzoek betreft 14

Zie: Advies Cloud Voorziening (Cloud Platform) – Gemeente Amsterdam

15 Disclaimer: Dit advies is gebaseerd op informatie die beschikbaar was tot en met mei 2023. Sinds 10 juli 2023 zijn

er nieuwe afspraken, met name het adequaatheidsbesluit als onderdeel van het 'Data Privacy Framework', van kracht geworden met betrekking tot het doorgeven van persoonsgegevens vanuit de Europese Economische Ruimte naar de Verenigde Staten. Om de actuele status en naleving van deze afspraken te verifiëren, is het raadzaam de website van het Data Privacy Framework te raadplegen. Deze website biedt informatie over welke organisaties zich aan deze nieuwe afspraken hebben gecommitteerd en welke software compatibel is met deze afspraken. 16 Zoals vermeld in de DPIA van het ‘Azure Cloud Competence Center’ van 7 maart 2022, p. 13. 17 Zie: Advies gegevensverstrekking VTH Bibob-team – Gemeente Amsterdam

7

het beoordelen van de integriteit en achtergrond van bedrijven en personen met wie de gemeente zakendoet, om te voorkomen dat zij onbewust criminaliteit faciliteert. Het doel is dus om te voorkomen dat de overheid onbewust betrokken raakt bij of bijdraagt aan criminaliteit door zakelijke relaties aan te gaan met onbetrouwbare partijen. Dit helpt bij het handhaven van de integriteit van het openbaar bestuur en het voorkomen van fraude, corruptie en georganiseerde criminaliteit. Onderdeel van het uitvoeren van een Bibob-onderzoek betreft het raadplegen van de gemeentelijke en landelijke Basisregistratie Personen (BRP). Het voorgenomen gebruik van raadpleegschermen met informatie uit de BRP is bedoeld voor het team dat verantwoordelijk is voor de uitvoering van de Wet Bibob. Dit team maakt deel uit van Vergunningen, Toezicht en Handhaving (VTH) Stadsdelen en staat bekend als het VTH Bibob-team, afgekort als het VBT. De CPA adviseert de DPIA die eerder in 2021 werd uitgevoerd op ‘Integriteitstoetsen, Bibobtoetsen’ te herijken en actualiseren. Daarnaast adviseert de CPA de privacyverklaring met betrekking tot de Bibob-procedure te verduidelijken door het (voorgestelde) werkproces samen te vatten en het raadplegen van de BRP, met name in geval van familierelaties, als onderdeel van het Bibob-onderzoek duidelijk en transparant voor betrokkenen te beschrijven.

Het advies BRP – Amsterdam UMC onderzoek18 Ten behoeve van een wetenschappelijk onderzoek, de PARASOL studie, uitgevoerd door het consortium en gecoördineerd door het Amsterdam UMC, wordt aan de gemeente Amsterdam gevraagd via een aselecte steekproef 15.000 inwoners in de leeftijd van 30 tot 55 jaar uit de Basisregistratie Personen (hierna: BRP) aan te schrijven met een verzoek tot deelname aan de studie. Het verzoek tot deelname, inhoudende een uitlegbrief en een retourformulier, bevat een opt-out constructie. De CPA adviseert een heldere beschrijving op te stellen met betrekking tot de inrichting van het proces voor het verstrekken van BRP-gegevens. Daarnaast adviseert de CPA de tekst in de uitnodigingsbrief voor het ‘Onderzoek naar chronische ziekten: de PARASOL-studie’ te herzien met betrekking tot de rol van de gemeente Amsterdam. Tot slot adviseert de CPA de opt-out constructie te herijken, in die zin dat aangeschrevenen (de Amsterdamse inwoners van 30 tot 55 jaar) die binnen een nader te bepalen termijn, bijvoorbeeld zes weken, niet reageren, automatisch geacht worden te hebben gekozen voor opt-out. Dit dient ook in de uitnodigingsbrief aan de aangeschrevenen te worden opgenomen. Het advies Vervanging Socrates – Armoedeframework19 Het Armoedeframework heeft tot doel het bereik van armoedevoorzieningen te vergroten.

Door middel van bestandskoppelingen tracht het Armoedeframework inzichtelijk te maken voor de afdeling Armoedebestrijding welke burgers in aanmerking komen voor dergelijke voorzieningen. De CPA onderschrijft het doel, de uitgangspunten en het belang van het Armoedeframework. Daarnaast beschouwt de CPA de voorgestelde aanpak in het kader van het Armoedeframework als passend voor een zorgzame en responsieve gemeente. De CPA adviseert te onderzoeken of artikel 2.2.1 Wet maatschappelijke ondersteuning (Wmo) in combinatie met de zorgplicht uit artikel 2:1, eerste lid, Algemene wet bestuursrecht (Awb) als grondslag kan dienen voor het combineren van persoonsgegevens uit de verschillende sectorale wetten. Daarnaast adviseert de CPA te onderzoeken of sprake is van verenigbaar gebruik bij het combineren van gegevensbestanden voor proactieve dienstverlening. Voorts geeft CPA in 18 19

Zie: Advies BRP-Amsterdam UMC onderzoek- Gemeente Amsterdam Zie: Advies Vervanging Socrates - Armoedeframework – Gemeente Amsterdam

8

overweging mee te onderzoeken of het mogelijk is de juistheid van de inkomensgegevens beter te controleren via bronnen waartoe de gemeente gerechtigd is, daarbij rekening houdend met eventueel wisselende inkomsten van burgers. Tot slot beveelt de CPA te staken met terminologie zoals ‘klant’ en ‘populatie’, en neutralere termen zoals ‘Amsterdammer’, ‘rechthebbende’ of ‘de burger’ te hanteren.

9

5. Geagendeerde onderwerpen/bijeenkomsten zonder schriftelijk advies De CPA brengt niet alleen (on)gevraagd (schriftelijk) advies uit. Regelmatig worden onderwerpen die raken aan de taakomschrijving van de CPA geagendeerd om deze ter discussie te stellen, waarbij de CPA als klankbord of forum dient. Ook laat de CPA zich regelmatig op openbare vergaderingen informeren door stakeholders binnen de gemeente over actuele (beleids)ontwikkelingen, en weegt hierin haar kennis en deskundigheid mee, zoals bijvoorbeeld tijdens overleggen met de Chief Technology Officer (CTO), de Vakgroep Privacy of de Ombudsman van Amsterdam. Daarnaast nemen de leden van de CPA ook deel aan externe sessies of bijeenkomsten. Hierna volgt een kort overzicht van een aantal relevante onderwerpen die op voornoemde wijze zijn voorbijgekomen.20 Presentatie handreiking ‘non-discriminatie by design’ (vergadering 11 mei 2023) In opdracht van de CPA heeft Tilburg University in 2022 een onderzoek gedaan naar het gebruik van de in Amsterdam gehanteerde template voor de ‘Data Protection Impact Assessment’ (hierna: DPIA). De CPA heeft dit onderzoek laten uitvoeren om na te gaan of ethische vraagstukken daarbij voldoende een plek krijgen.21 De onderzoekers adviseerden onder meer in het DPIA-proces voldoende aandacht te besteden aan discriminatierisico’s, bijvoorbeeld door een steekhoudend pre-assessment uit te voeren.

De onderzoekers adviseerden de handreiking ‘non-discriminatie by design’ te gebruiken.22 Bart van der Sloot, onderzoeker aan Tilburg University, verzorgde in 2023 voor de CPA en de Vakgroep Privacy gezamenlijk een presentatie over de handreiking ‘nondiscriminatie by design’ die hij in 2021 in opdracht van het Ministerie van Binnenlandse Zaken schreef en die ook relevante, nuttige en praktische aanwijzingen en adviezen bevat voor gemeenten [handreiking voor non-discriminatie by design]. Tijdens de presentatie werd onder meer gesproken over het inschakelen van private partijen voor het ontwikkelen van algoritmen en het belang van transparantie bij het gebruik van algoritmen jegens de burger benadrukt. Zo dient een grondige afweging plaats te vinden alvorens de gemeente overgaat tot het inschakelen van private partijen voor het ontwikkelen van algoritmen. Hierbij is van het belang dat mogelijke risico’s worden geïdentificeerd en dat een DPIA wordt uitgevoerd om deze risico’s in kaart te brengen en te mitigeren. Voorts wordt in de handreiking ‘non-discriminatie by design’ nadrukkelijk gewezen op het belang van divers samengestelde teams die voeling hebben met de praktische toepassingsgebieden van de te ontwikkelen algoritmen.

Kennismaking Vakgroep Privacy (vergadering 11 mei 2023) De privacy-officers van de Vakgroep Privacy bewaken samen het privacybeleid in vrijwel alle sectoren van de ambtelijke organisatie en zorgen dat de diensten en producten van de gemeente Amsterdam voldoen aan de geldende wet- en regelgeving, waaronder de Algemene verordening gegevensbescherming (AVG). De huidige voorzitter van de CPA heeft tijdens de kennismaking met de Vakgroep Privacy een toelichting gegeven op het DPIA-onderzoek dat Tilburg University (zie hierboven) uitvoerde in opdracht van de CPA. Doel van de presentatie was de conclusies van dit onderzoek te verbinden 20 De aangehaalde verslagen zijn op datum te benaderen via de webpagina van de CPA: Commissie

Persoonsgegevens Amsterdam - Gemeente Amsterdam. 21 Het DPIA onderzoek, uitgevoerd door het Tilburg Institute for Law, Technology, and Society (TILT) is inmiddels gepubliceerd en vindbaar via Data protection impact assessment methods for the urban environment. 22 Zie: Handreiking voor non- discriminatie by design | Tilburg University.

10

aan de ervaringen in de gemeentelijke praktijk waar de privacy-officers onderdeel van zijn. Uit het onderzoek bleek dat het instrument DPIA in bestuurlijke kringen leidt tot veel ruis en onduidelijkheid. Tijdens de vergadering werden de volgende highlights uit het onderzoek besproken: - op welke manier risico’s in DPIA’s worden geïdentificeerd, - in hoeverre monitoring van de geïdentificeerde risico’s plaatsvindt, - op welke wijze deze monitoring is ingericht, - of het identificeren van risico’s op schending van andere mensenrechten (bijvoorbeeld discriminatie en bias bij algoritmen) een punt van aandacht is, en - hoe het proces eventueel anders kan worden ingericht om die risico’s te ondervangen. Met betrekking tot het laatstgenoemde punt (schendingen van andere mensenrechten) acht de CPA het nuttig om de handreiking ‘non-discriminatie by design’ te gebruiken. Onderzoek Rekenkamer Metropool Amsterdam (vergadering 6 juli 2023) In 2023 heeft de Rekenkamer haar voorlopige bevindingen van het onderzoek 'Algoritmen' 23 (hierna: onderzoek) besproken met de leden van de CPA, waarbij ook is gesproken over de vraag welke interventies helpend zijn voor de gemeente Amsterdam bij het verantwoord toepassen van algoritmen in de toekomst (zie hiervoor in ‘Rode Draden’ op p.2).

23 Zie: Onderzoek ‘Algoritmen’ van de Rekenkamer Metropool Amsterdam.

11

6. Conclusie, reflectie en vooruitblik In 2023 heeft de CPA gereflecteerd op de positionering, inrichting en haar adviesfunctie binnen de gemeente Amsterdam. Gelet op de onafhankelijke rol en de betekenis van haar adviezen voor de burgers en voor de verbetering van de gemeentelijke organisatie waar het de naleving van de AVG, de Grondwet en ethiek betreft, blijft het belangrijk de CPA en haar bijbehorende taken actief en breed onder de aandacht te brengen. In 2023 is onverminderd aandacht besteed aan de vergroting van de bekendheid van de CPA binnen de verschillende organisatieonderdelen van de gemeente Amsterdam. De Commissie merkt evenwel op dat de taakuitbreiding van de CPA vraagt om verdere borging in de ambtelijke processen. Ten opzichte van vorig jaar is het aantal adviezen gelijk gebleven. Een rode draad in de advisering van de CPA is de aandacht voor de noodzaak voor gegevensverwerking teneinde burgers te kunnen bereiken enerzijds, en gegevensbescherming teneinde burgers passend te kunnen beschermen anderzijds. De adviezen Vervanging Socrates -Armoedeframework24 en aanpak ROSA25 weerspiegelen de wens van de gemeente burgers beter te kunnen bereiken en te beschermen. De Commissie verwacht dat het aantal adviesaanvragen een stijgende lijn zal vertonen. De CPA ziet wel een toename in adviesaanvragen betreffende het gebruik van algoritmen.

Deze ontwikkeling weerspiegelt de toenemende complexiteit die vraagstukken met algoritmetoepassingen en andere technische toepassingen met zich meebrengen en waarmee de CPA vervolgens in haar advisering te maken krijgt. In dit kader acht de CPA nadere definiëring van haar rol en reikwijdte ten aanzien van deze onderwerpen van belang, daarbij behoort ook het aangeven van waar de grenzen liggen van deze rol. De CPA wijst nogmaals op het belang van transparantie jegens de burger, in het bijzonder bij de inzet van algoritmen. De Commissie is van oordeel dat een overheid die opereert in het publieke domein optimale transparantie betracht met het oog op grondwettigheid, betrouwbaarheid en voorspelbaarheid van de overheid naar de burger toe, en op het vertrouwen van de burger in dezelfde overheid. Met het oog op de wisselingen binnen de gemeente Amsterdam, onder meer van collega’s die nauw verbonden zijn aan de CPA, verwelkomt de CPA mevrouw H. Dogan in haar functie als nieuwe Functionaris Gegevensbescherming van de gemeente Amsterdam, alsmede mevrouw G. Obispa als nieuwe ambtelijk secretaris van de CPA. De CPA is verheugd mede te delen dat zij in 2024 haar zevende symposium organiseert met als thema “profilering in de publieke sector’’.

Tijdens dit symposium zullen sprekers uit zowel de gemeente Amsterdam, de rechtspraktijk en de rechtswetenschap met elkaar van gedachten wisselen over dit complexe vraagstuk. Dit symposium beoogt een diepgaande discussie en kennisuitwisseling over dit actuele en relevante onderwerp teweeg te brengen. De Commissie Persoonsgegevens Amsterdam Amsterdam, 2024

24 Zie: Advies Vervanging Socrates - Armoedeframework – Gemeente Amsterdam 25 Zie: Advies aanpak ROSA - Gemeente Amsterdam

12

13