Raadsinformatiebrief bestuurlijke reactie IVIR.pdf

Raadsinformatiebrief

Aan: Datum Portefeuille(s) Portefeuillehouder(s): Behandeld door Onderwerp

De leden van de gemeenteraad van Amsterdam 23 juni 2023 ICT en Digitale Stad Alexander Scholtes Dick de Maa (directeur DS&I), bestuurszaken.dii@amsterdam.nl Bestuurlijke reactie op het rapport Gemeentelijke grip op private sensorgegevens van het Instituut voor Informatierecht (IVIR)

Geachte leden van de gemeenteraad, Het college biedt u via deze weg de rapportage Gemeentelijke grip op sensorgegevens aan. In deze raadsinformatiebrief geeft het college aan hoe het de adviezen van het Instituut voor Informatierecht gaat opvolgen. Daarnaast worden met deze raadsinformatiebrief ook diverse toezeggingen afgedaan. Onderzoeksopdracht In het najaar van 2021 heeft de gemeente een opdracht verstrekt aan het Instituut voor Informatierecht van de Universiteit van Amsterdam. Het college wilde graag weten of het naast haar stedelijke kader verwerking persoonsgegevens Amsterdam nog andere mogelijkheden had om de oneigenlijke dataverzameling in de openbare ruimte te beperken.

Het college heeft de volgende vraag gesteld: Wat zijn voor de gemeente Amsterdam in het licht van de verschillende bestuurlijke instrumenten (vergunningverlening, subsidietoekenning, concessies, aanbestedingen, samenwerkingsverbanden, etc.) de juridische mogelijkheden om ten aanzien van de verzameling en het gebruik van data (waaronder persoonsgegevens) door private organisaties met een professioneel doel in de openbare publieke ruimte, aanvullende voorwaarden te stellen, met het oog op (i) het beter borgen van de fundamentele rechten (in het bijzonder het recht op privacy en de bescherming van persoonsgegevens) van de betrokkene/Amsterdammers, en (ii) het belang van de gemeente en andere in de stad opererende organisaties om toegang tot data te verkrijgen ter verwezenlijking van publieke doeleinden? Het Instituut voor Informatierecht heeft in december 2022 zijn rapportage opgeleverd. In de volgende paragrafen wordt ingegaan op de twee onderwerpen uit het onderzoek: bescherming van fundamentele rechten en het delen van gegevens met derden. Adviezen over betere bescherming van persoonsgegevens in de openbare ruimte Het Instituut voor Informatierecht heeft op basis van een analyse van relevante wetgeving, rechtspraak en literatuur de onderzoeksvraag beantwoord. Hiervoor heeft zij ook een workshop

Gemeente Amsterdam, raadsinformatiebrief

Datum 23 juni 2023 Pagina 2 van 7

georganiseerd waarin de gevonden informatie werd getoetst op volledigheid en de juiste duiding van het juridisch kader. Uit het onderzoek van de inzet van private sensoren en de beschikbare wettelijke kaders komen de onderzoekers tot 6 adviezen voor de gemeente. 1. Beperkte regelgevende rol voor de gemeente. De onderzoekers concluderen op basis van analyse van de beschikbare wetten dat de gemeente geen rol heeft om het wetgevend kader aan te passen om de rechten van de Amsterdammer in de openbare ruimte beter te kunnen naleven. Deze rol ligt bij de rijksoverheid. De onderstaande adviezen kunnen wel helpen bij betere naleving van deze rechten door private partijen die sensoren in de openbare ruimte plaatsen en beheren. Het college herkent bovenstaande conclusie en stelt dat zij met het opstellen van de Verordening meldingsplicht sensoren bijdraagt aan de transparantie en naleving van de rechten. Daarnaast zal het college zich inzetten bij landelijke en Europese wetgevers om waar nodig het beleid te veranderen, als hiervoor in de praktijk aanleiding is. 2. De Verordening meldingsplicht sensoren biedt een beperkte verbetering van de bescherming van fundamentele rechten. Het college wordt gesteund door de bevestiging dat het met zijn Verordening meldingsplicht sensoren de juiste keuze heeft gemaakt om het uitgangspunt ‘onbespied in de openbare ruimte’ nader uit te werken.

De meldplicht bestaat inmiddels meer dan een jaar. Het beheer en vulling van het register wordt door de gemeente continue uitgevoerd. Het instellen van een sensorenregister door het college heeft een beperkte impact op de verbetering van de bescherming van de rechten van Amsterdammers. Dit komt vooral doordat een register actief moet worden beheerd om de juiste informatie te tonen. Amsterdammers kunnen misstanden melden bij de Autoriteit Persoonsgegevens, dit hangt echter af van de bereidwilligheid van de Amsterdammer. De Autoriteit Persoonsgegevens is volgens de uitvoeringswet Algemene Verordening Gegevensbescherming de nationaal toezichthouder. 3. Breng de Verordening meldingsplicht sensoren, de meldingsplicht en het meldformulier actief onder de aandacht. De onderzoekers concluderen dat deze zaken lastig te vinden zijn op de gemeentelijke website. Het college gaat actief communiceren over de meldingsplicht en de vindbaarheid vergroten. Het college gaat in overleg met betrokken private partijen om de meldingsplicht actief onder de aandacht te houden 4. Ondersteun organisaties die collectieve uitoefening van de AVG-betrokkenenverzoeken mogelijk willen maken. Uit het onderzoek blijkt dat het doen van een verzoek door een burger op basis van de AVG bij de gemeente of bedrijf met sensoren veel tijd en energie kost voor een individu.

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 23 juni 2023 Pagina 3 van 7

Partijen die namens een groep belanghebbenden dergelijke verzoeken indienen hebben meer kans van slagen om rechten af te dwingen. De onderzoekers stellen voor om te onderzoeken of de gemeente op basis van subsidies of andere maatregelen dergelijke partijen kan ondersteunen. Het college heeft een speciale website gepubliceerd waarop een Amsterdammer eenvoudig een AVG-verzoek kan indienen. De gemeente zal de vindbaarheid van deze website verbeteren. Daarnaast zal de gemeente onderzoeken op welke wijze de bewustwording bij de Amsterdammer over de mogelijkheid van een AVG-verzoek kan worden vergroot. Voorlopig zal de gemeente dan ook inzetten op het faciliteren van de Amsterdammer. 5. Laat onderzoeken hoe de naleving en handhaving van sensorenregisters kan worden verbeterd. Uit het onderzoek blijkt dat er nog veel onbeantwoorde vragen zijn over de handhaving en naleving van private partijen aan de hand van sensorenregisters . De verschillende wetten kennen verschillende mogelijkheden voor handhaving. De onderzoekers adviseren om te onderzoeken of het opnemen van handhaving in een nationale wet meer duidelijkheid kan scheppen. De gemeente zal samen met andere gemeenten optrekken om dit bij de VNG en de verschillende ministeries onder de aandacht te brengen. 6.

Zoek binnen het bestaande kader ruimte om te experimenteren De onderzoekers benadrukken dat de gemeente op dit moment haar beleid op basis van proportionaliteit uitvoert. Hierdoor wordt de inzet van sensoren getoetst aan de wet. Deze afweging op basis van wetten moet echter niet in de weg komen te staan van innovatie. De onderzoekers stellen voor om de nadere regelgeving over de naleving van fundamentele rechten op een weloverwogen wijze te doen. Hiermee wil zij de ruimte creëren om innovatie te laten plaatsvinden. Het college ondersteunt dit advies en zal bij de betrokken gemeentelijke onderdelen deze weloverwogen werkwijze blijvend inzetten. In het Responsible Sensing Lab1 wordt de manier van experimenteren aan de hand van de Amsterdamse waarden opgenomen. In de kern is het een laboratorium waar rigoureus, transparant en repliceerbaar onderzoek wordt uitgevoerd naar hoe slimme technologieën in de openbare ruimte zo ontworpen kunnen worden dat ze bijdragen aan een ‘verantwoorde’ digitale stad. Adviezen over de gegevensdeling tussen private organisaties en de gemeente Ook worden in het onderzoeksrapport 6 bevindingen en adviezen gegeven over B2Ggegevensdeling en het delen van gegevens met derden:

1

https://responsiblesensinglab.org/nl De gemeente heeft het lab een plaats gegeven in de Agenda Digitale Stad.

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 23 juni 2023 Pagina 4 van 7

1. Business to Government-gegevensverwerking die raakt aan fundamentele rechten moet op een specifieke wettelijke grondslag berusten. De onderzoekers merken op dat de gegevensdeling tussen private partijen en de gemeente (business to government, B2G) die raakt aan de fundamentele rechten van de Amsterdammer alleen kunnen plaatsvinden als hiervoor een specifieke wettelijke grondslag bestaat. Het afgelopen jaar heeft de gemeente haar register van verwerkingen geactualiseerd: nu is opgenomen op welke wettelijke grondslag de gegevens worden verwerkt. Op 1 april 2023 is deze nieuwe versie online gepubliceerd. 2. Bij het verder delen van gegevens moeten rechten en belangen die gemoeid zijn met de gegevens worden gerespecteerd. De onderzoekers concluderen op basis van de wettelijke kaders dat de gemeente gegevens van private sensoren verder kan delen, maar dat het daarbij telkens moet nagaan of de betrokken rechten en belangen zijn beschermd. Uit het onderzoek neemt het college de verantwoordelijkheid mee om met deze mogelijkheid zorgvuldig om te gaan. 3. Onderzoek of en waar nieuwe wettelijke grondslagen voor B2G-gegevensdeling noodzakelijk zijn. De complexiteit van het wettelijk kader voor B2G-gegevensdeling kan worden weggenomen door de nationale of Europese wetgever.

Het college ondersteunt dit advies en zal bij de betrokken gemeentelijke onderdelen nagaan waar knelpunten zijn in wetgeving om innovaties te kunnen gebruiken. Daarnaast zal de gemeente samen met andere gemeenten optrekken om dit bij de VNG en de verschillende ministeries onder de aandacht te brengen. 4. Dring gezamenlijk aan op verduidelijking van het wetgevend kader voor B2G-gegevensdeling in de Dataverordening. De concept Dataverordening van de Europese commissie biedt kansen voor duidelijkheid over B2G-gegevensdeling. In de publieksconsultatie is gebleken dat het bedrijfsleven geen voorstander is voor bindende regels over de deling van gegevens. Ook de rijksoverheid is terughoudend op dit vlak. De gemeente volgt met interesse de ontwikkelingen bij de Europese en nationale wetgever en zal waar mogelijk haar ervaringen en kennis delen. 5. Zoek binnen het bestaande wettelijk kader ruimte om te experimenteren. Wederom concluderen de onderzoekers dat naast de nadruk op duidelijkheid en regels er ook nog ruimte moet blijven bestaan om als gemeente te innoveren.

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 23 juni 2023 Pagina 5 van 7

De gemeente neemt het voorstel van een innovatieruimte binnen de wettelijke kaders over. In het Responsible Sensing Lab wordt de manier van experimenteren aan de hand van de Amsterdamse waarden opgenomen. 6. Gebruik naast de DPIA het IAMA voor het inschatten van risico’s bij B2G-gegevensdeling. Uit het onderzoek komt naar voren dat de gemeente het best de risico’s over de fundamentele rechten via analyses in kaart kan brengen. De onderzoekers adviseren om naast de huidige Data Protection Impact Assessment (DPIA) ook de Impact Assessment Mensenrechten en Algoritmen (IAMA) in te voeren. Het college neemt het advies over en heeft dit opgenomen in de werkwijze van algoritmen. Uitvoering motie 480.21 inzake sterkere inzet op privacy in de openbare ruimte De gemeenteraad heeft bij de behandeling van het jaarverslag 2019 van de Commissie Persoonsgegevens Amsterdam de motie 480.21 aangenomen.

In deze motie verzoeken de leden Ijmker (GroenLinks) en Veldhuyzen (Bij1) de volgende punten te onderzoeken: In reactie op het onderzoek van de Commissie Persoonsgegevens Amsterdam ‘monitoring in de openbare ruimte’ te onderzoeken hoe privacy in de openbare ruimte sterker beschermd kan worden, met daarbij ten minste aandacht voor: – hoe het “onbespied en anoniem kunnen bewegen in de openbare ruimte” in de praktijk wordt gerealiseerd en gehandhaafd – een duidelijk afwegingskader voor de specifieke gevallen waarin van het uitgangspunt “onbespied en anoniem kunnen bewegen in de openbare ruimte” mag worden afgeweken (door overheid, bedrijven en individuen) – de inzet van verschillende type sensoren zoals livestream webcams, drones, dashboard camera’s en wifi- en bluetooth-tracking – juridische mogelijkheden om de persoonlijke levenssfeer van burgers in de openbare ruimte sterker te beschermen – een zo ruim mogelijke definitie van openbare ruimte. Het college heeft op basis van deze motie het onderzoek laten uitvoeren door het Instituut voor Informatierecht van de Universiteit van Amsterdam. De genoemde punten zijn dan ook door de onderzoekers geadresseerd en in deze brief toegelicht. Het college beschouwt de motie hiermee als afgedaan.

Afdoen toezeggingen aan de raad In de raadscommissie KDD van 12 januari 2022 heeft het raadslid Leenders (PvdA) gevraagd of er voor alle verwerkingen die door derde partijen namens de gemeente worden uitgevoerd verwerkingsovereenkomsten zijn opgesteld (TA2022-000107). Zoals in het rapport is opgenomen heeft de gemeente de taak om bij een verwerking van een persoonsgegeven als verwerkingsverantwoordelijke te toetsen of aan alle vereisten van de AVG zijn voldaan. Een verwerkingsovereenkomst is verplicht gesteld in de AVG. De gemeente geeft de verwerkingen weer in haar verwerkingsregister. In het sensorregister wordt ook de verwerkingsgrond weergegeven en verwezen naar de verwerkingsovereenkomst. Het register is geactualiseerd. Deze

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 23 juni 2023 Pagina 6 van 7

versie is op 1 april 2023 gepubliceerd. In het register is voor alle verwerkingen de wettelijke grondslag opgenomen. Tijdens de raadscommissie van 12 januari 2022 heeft de wethouder ook toegezegd om een afwegingskader op te stellen over de plaatsing van sensoren. De uitwerking hiervan wordt opgenomen in de nieuwe Agenda Digitale Stad en Overheid. Het college benadrukt dat de onderzoekers concluderen dat de gemeente al gebruik maakt van de juiste middelen om risico’s vooraf te bepalen en te beperken via de aanwezige DPIA’s en IAMA’s. Het voormalige raadslid Van Soest (Partij voor de Ouderen) heeft in de raadscommissie van 12 januari 2022 vragen gesteld over de proportionaliteit van de inzet van camera’s door V&OR. Uit het rapport blijkt dat deze inzet binnen de wettelijke kaders valt. Tijdens de behandeling van de tussenrapportage over de Agenda Digitale Stad op 8 september 2022 in de raadscommissie FKD heeft de wethouder toegezegd om u het rapport over sensorgegevens te verstrekken (TA2022-000768). Het genoemde rapport is als bijlage opgenomen bij deze raadsinformatiebrief. Tijdens dezelfde behandeling van 8 september 2022 heeft de wethouder aangegeven dat in het rapport ook aandacht zou worden geschonken aan de negatieve effecten van dataverzameling in de openbare ruimte en op welke wijze de gemeente deze effecten probeert te verminderen (TA2022-000769).

In de opvolging van de adviezen, zoals die hierboven zijn beschreven, is dit opgenomen. In de raadscommissie FKD van 29 september 2022 is u toegezegd om terug te komen op de mogelijkheid om ‘voor sensorinfrastructuur te gaan liggen’ (TA2022-000865). Zoals aangegeven in het rapport kan de gemeente slechts in beperkte mate de plaatsing van sensoren verhinderen. De onderzoekers loven de gemeente om haar meldingsplicht en transparante sensorregister. Zij benadrukken dat er meer aandacht gegeven moet worden aan de zichtbaarheid van de meldingsplicht en het register. Daarnaast adviseren de onderzoekers om als gemeente op te trekken met andere gemeenten om bij de rijksoverheid en/ of Europese instituties een wettelijke verplichting voor registratie af te dwingen. De gemeente zal hier vooral de ontwikkelingen volgen en haar ervaringen delen. Vervolg van inzet van sensoren Het college dankt het Instituut voor Informatierecht voor haar gedegen onderzoek. Het college zal de adviezen zoals aangegeven laten uitvoeren door de gemeentelijke organisatie. Met vriendelijke groet, Namens het college van burgemeester en wethouders van de gemeente Amsterdam,

Alexander Scholtes Wethouder ICT en Digitale Stad

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 23 juni 2023 Pagina 7 van 7

Bijlagen 1. onderzoeksopdracht 2. rapportage Gemeentelijke grip op private sensorgegevens 3. motie 480.21 inzake sterkere inzet op bescherming privacy in openbare ruimte

Een routebeschrijving vindt u op amsterdam.nl