Raadsinformatiebrief Jaarverslag CPA 2021-2022_def.pdf

Raadsinformatiebrief

Aan:

Kopie aan

De leden van de gemeenteraad van Amsterdam 14 november 2023 ICT en Digitale Stad Alexander Scholtes Digitale Strategie en Informatie (bestuurszaken.dii@amsterdam.nl) Commissie Persoonsgegevens Amsterdam

Onderwerp

Jaarverslagen CPA 2021-2022

Datum Portefeuille(s) Portefeuillehouder(s): Behandeld door

Geachte leden van de gemeenteraad,

Met deze brief informeert het college u over het volgende. Het college hecht veel waarde aan een zorgvuldige verwerking van informatie, vooral als het persoonsgegevens betreft. Daarbij wordt het college sinds jaar en dag gesteund door de Commissie Persoonsgegevens Amsterdam (CPA). De CPA bestaat uit onafhankelijke deskundigen en adviseert het gemeentebestuur en de ambtelijke organisatie gevraagd en ongevraagd over de verwerking van persoonsgegevens, algoritmen, data-ethiek, digitale (mensen-)rechten en de openbaarmaking van persoonsgegevens. De CPA heeft over haar werkzaamheden in 2021 en 2022 een verslag opgesteld, dat op 21 september 2023 door de CPA aan het college is aangeboden voor een bestuurlijke reactie. Het jaarverslag wordt u bij deze aangeboden. Hiermee wordt tevens toezegging TA2023-000709 afgedaan. In deze brief geeft het college een bestuurlijke reactie op dit verslag. Deze bestuurlijke reactie gaat in op de uitgebrachte adviezen, het onderzoek naar het gebruik van Data Protection Impact Assessments (DPIA’s) en de twee thema’s waar de CPA aandacht voor vraagt: zeggenschap van burgers en transparante communicatie over algoritmen.

Adviezen De CPA heeft in 2020 en 2021 twintig adviezen uitgebracht over diverse onderwerpen die zijn aangedragen door de ambtelijke organisatie. De adviezen van de CPA zijn opgevolgd, waarbij moet worden aangetekend dat:  er nog drie openstaande aanbevelingen zijn uit het CPA-advies WPI-risicomodel (slimme check bijstandsaanvragen. Op dit moment vindt er nadere besluitvorming plaats over de voortzetting van de pilot. Bij een positief besluit zullen de overige 3 aanbevelingen worden doorgevoerd.  er nog één openstaande aanbeveling is uit het CPA-advies Verstrekking BRP-gegevens ten behoeve van de Puntenteller. Het uitvoeren van de aanbeveling over de controle op inzage

Gemeente Amsterdam, raadsinformatiebrief



Datum 14 november 2023 Pagina 2 van 4

in de gegevens van de Basisregistratie Personen (BRP) kost meer tijd vanwege het voornemen om deze aanbeveling toe te passen op alle processen binnen de desbetreffende directie waarin deze gegevens worden verstrekt. Dit is naar verwachting medio 2024 gereed. er nog één openstaande aanbeveling is uit het CPA-advies Ontwikkelingen Jeugd en Veiligheid Volgsysteem. Voor de opvolging van deze aanbeveling loopt er nog een juridische adviesuitvraag. De uitkomst hiervan zal in de DPIA (privacy-analyse) worden opgenomen.

Verder kan ik u nog melden dat niet alle projecten die ter advisering zijn voorgelegd aan de CPA ook uiteindelijk zijn gerealiseerd. Dit geldt voor het digitale instrument voor de aanpak van illegale onderverhuur, het convenant cameratoezicht Johan Cruijff Arena, het versturen van uitnodigingsbrieven voor het UvA-onderzoek Opgroeien in Amsterdam en het algoritme Alpha.

Onderzoek DPIA-praktijk De CPA heeft in 2022 onderzoek laten doen naar het gebruik van Data Protection Impact Assessments (DPIA’s). Dit zijn -wettelijk voorgeschreven- analyses naar privacyrisico’s die kunnen optreden als de gemeente persoonsgegevens verwerkt of wil gaan verwerken. De CPA stelt dat een DPIA niet mag worden gezien als een eenmalige toets die moet worden doorlopen om verder te mogen met een project. De CPA adviseert om vooraf goed na te denken over hoe de DPIA moet worden uitgevoerd (een pre-assessment) en daarbij ook te kijken naar mogelijke risico’s op schending van andere mensenrechten (bijvoorbeeld discriminatie en bias bij algoritmen) en de weging van de risico’s. Ook vraagt de CPA aandacht voor het monitoren van de risico’s die uit een DPIA naar voren komen. Het college deelt de opvatting van de CPA dat het identificeren van privacyrisico’s een doorlopende activiteit is die gedurende het gehele traject moet blijven plaatsvinden, waarbij de geïdentificeerde risico’s gemonitord moeten worden. Op dit moment wordt de werkwijze Opgavegericht en Wendbaar Werken doorgevoerd binnen de gemeentelijke organisatie. In deze werkwijze worden de disciplines die betrokken zijn bij de compliancy, zoals bijvoorbeeld de privacy officers, niet alleen aan het begin van een project betrokken, maar blijven zij dat gedurende het gehele traject.

De risico’s die zijn geïdentificeerd en hun beheersmaatregelen worden gemonitord in een nieuw systeem voor risicomanagement (Fully in Control). Ook werken we nu aan een PDCA (Plan Do Check Act)-cyclus om 3-jaarlijks de reeds uitgevoerde DPIA’s te herijken. Het college onderschrijft de door de CPA voorgestelde werkwijze om vooraf goed na te denken over een DPIA. Daarom voeren we nu een pre-assessment uit. Het pre-assessment (genaamd pre-DPIA) vindt plaats aan het begin van een traject. Afhankelijk van de resultaten daarvan wordt er een eerste risico-gebaseerde toets uitgevoerd en daarna zal de privacy officer indien nodig besluiten tot het opstellen van een verdiepende DPIA. Sinds augustus 2023 maakt de gemeentelijke organisatie gebruik van een nieuwe DPIA-template. Die is niet alleen vereenvoudigd qua taal en jargon, maar gaat ook dieper in op het onderwerp algoritmen (profiling). Ook de weging van de risico’s worden nader uiteengezet. Momenteel bekijken we of

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 14 november 2023 Pagina 3 van 4

we de template kunnen verbeteren en uitbreiden met de risico’s op schending van andere mensenrechten. Zeggenschap van burgers De CPA geeft het college in overweging om bij de inzet van algoritmes burgerparticipatie te organiseren in de vorm van rechtstreekse inbreng door burgers: een moreel beraad. Het college is het met de CPA eens dat een brede ethische toetsing van technologische toepassingen van belang is en dat belanghebbenden daarin moeten worden betrokken. In een bijlage bij de bestuurlijke reactie op het initiatiefvoorstel Grip op technologie: een digitale gemeente met menselijke waarden heeft het college aangegeven wat er nu al gedaan is om de ethische toetsing van technologie te borgen. Het college ziet daarbij ook nadrukkelijk een rol weggelegd voor de CPA. Dat is ook de reden geweest dat het takenpakket van de CPA in 2021 is uitgebreid met algoritmen, data-ethiek, digitale (mensen-)rechten en de openbaarmaking van persoonsgegevens. In het Actieplan Grip op Tech, dat op 14 september 2023 is besproken in de vergadering van de raadscommissie FKD, is burgerparticipatie één van de actiepunten. Dat willen we gaan doen door de komende jaren stapsgewijs technologie open te ontwikkelen, wat betekent dat we bij de verwerving, realisatie en toetsing van digitale toepassingen met grote impact op bewoners en/of organisaties betrokkenheid van Amsterdammers organiseren.

Daarmee vergroten we de betrokkenheid van Amsterdammers, inclusief de morele afweging van publieke waarden.

Transparante communicatie over algoritmen De CPA wijst het college erop dat het transparant moet communiceren als er een algoritme wordt gebruikt in besluitvormingsprocedures. De gemeente moet zich dan inspannen om de individuele inwoner actief en toereikend te informeren en niet alleen te volstaan met het publiceren van een algoritmeregister. De CPA vraagt terecht aandacht voor het verbeteren van de transparantie. Dit is ook één van de aanbevelingen die de Rekenkamer Metropool Amsterdam heeft gedaan in haar rapport over algoritmen. In de bestuurlijke reactie op dit rapport heeft het college aangegeven dat we burgers, in het kader van transparantie, zo volledig en proactief mogelijk moeten informeren. Voor nieuwe algoritmen nemen we dit mee in de aanpassing van het Beheerskader Algoritmen, die we in de eerste helft van 2024 doorvoeren, zodat in het ontwerp zo goed mogelijk de persoonlijke informatievoorziening naar burgers wordt meegenomen. Voor bestaande algoritmen gaan we per algoritme beoordelen welke aanpassingen in processen en applicaties er mogelijk zijn om de burger ook persoonlijk te informeren (naast de algemene informatie die we al verstrekken). Daarbij moeten we ook kijken naar beperkende factoren, zoals arbeidsintensiviteit, beschikbare middelen en technische mogelijkheden. Deze analyse kost tijd en is uiterlijk eind 2024 gereed.

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 14 november 2023 Pagina 4 van 4

Tot slot De inzet van de CPA levert een positieve bijdrage aan de verantwoorden verwerking van persoonsgegevens, algoritmen, data-ethiek, digitale (mensen-)rechten en de openbaarmaking van persoonsgegevens. Het college dankt de CPA voor haar werk dat zij voor de gemeentelijke organisatie doet.

Met vriendelijke groet, Namens het college van burgemeester en wethouders van de gemeente Amsterdam,

Alexander Scholtes Wethouder ICT en Digitale Stad

Bijlagen 1. Jaarverslag Commissie Persoonsgegevens Amsterdam 2021-2022

Een routebeschrijving vindt u op amsterdam.nl