Rapport gemeentelijke grip op private sensorgegevens.pdf

87 Art. 6 lid 1 sub f AVG; zie nader I. Kamara & P. de Hert, ‘Understanding the Balancing Act Behind the Legitimate

Interest of the Controller Ground: A Pragmatic Approach’, Brussels Privacy Hub, Vol. 4, No. 12, August 2018. 88 In het geval van personenvervoer is de verwerking van persoonsgegevens gebaseerd op artt. 6(1)(e) AVG en 32 lid 2 aanhef en onder h, Wp. 89 Art. 4 sub 7 AVG. 90 Art. 24 lid 1 AVG. Andere verplichtingen die rusten op de verwerkingsverantwoordelijke zijn onder meer dat de verwerking aan privacy by design en privacy by default methoden moet voldoen (art. 25 AVG); dat een register van de verwerkingsactiviteiten wordt bijgehouden (art. 30 AVG); of dat beveiligingsmaatregelen moeten worden getroffen (art. 32 AVG). 91 Achtereenvolgens artt. 15, 17, 20 en 22 AVG; zie ook B. Schermer, D. Hagenauw en N. Falot, Handleiding Algemene Verordening Gegevensbeschermingen Uitvoeringswet Algemene Verordening Gegevensbescherming 2018 (rapport opgesteld in opdracht van het Ministerie van Justitie en Veiligheid), met name hoofdstuk 7. 92 Art. 2 lid 2 sub c en Overweging 18 AVG. 93 Zie EU HvJ C-212/13 (11 december 2014) František Ryneš v Úřad pro ochranu osobních údajů, EU:C:2014:2428; H. Janssen, J. Cobbe, C. Norval en J. Singh, ‘Decentralised dataprocessing. Personal data stores and the GDPR’, (2020) International Data privacy Law 10(4), pp. 356. 94 Overweging 18 AVG.

17

Gemeentelijke grip op private sensorgegevens

gegevensbeschermingseffectbeoordeling (DPIA) uit te voeren met het oog op het mitigeren van risico’s voor de ‘rechten en vrijheden van individuen’ die zich bij de voorgenomen verwerking van persoonsgegevens kunnen voordoen.95 De DPIA verplicht private partijen bij de toetsing van de voorgenomen gegevensverwerking niet alleen risico’s voor rechten gerelateerd aan gegevensbescherming te beoordelen, maar ook risico’s voor het bredere spectrum van fundamentele rechten te beoordelen.96 Wanneer de verwerking hoge risico’s oplevert die de verwerkingsverantwoordelijke niet kan adresseren, raadpleegt deze de AP.97 De AVG kent geen publicatieplicht voor DPIA’s.

3.1.2 Vrij verkeer van niet-persoonsgebonden gegevens De Verordening voor het vrije verkeer van niet-persoonsgebonden gegevens heeft tot doel één markt tot stand te brengen voor diensten op het gebied van gegevensopslag en -verwerking. Niet-persoonsgebonden gegevens betreffen informatie die niet is gekoppeld aan een identificeerbare of geïdentificeerde persoon, oftewel andere gegevens dan persoonsgegevens als gedefinieerd de AVG.98 Deze gegevens kunnen interessant zijn voor de gemeente, bijvoorbeeld als zij voor de borging van de fysieke veiligheid van personen in de openbare ruimte informatie wenst te verkrijgen over het aantal personen dat zich met een metro of trein naar het centrum van de stad beweegt.99 Private partijen die hun niet-persoonsgebonden sensorgegevens buiten Nederland opslaan of verwerken, kunnen de gemeente bij een rechtmatig verzoek om B2G-gegevensdeling niet de toegang weigeren tot die gegevens met een beroep op nationale localisatierestricties.100 Het ‘wegsluizen’ van gegevens naar het buitenland is voor private partijen daarmee geen manier om te ontkomen aan een (potentiële) verplichting tot het verstrekken van toegang tot gegevens.

3.2 Juridisch kader bij het gemeentelijk handelingsperspectief In dit deel van het juridisch kader gaan we indachtig de twee deelvragen (ter opfrissing: (i) mogelijkheden voor de gemeente om met het bestaande bestuurlijk instrumentarium een betere bescherming van de fundamentele rechten in de openbare ruimte te bieden waar het de inzet en het gebruik van private sensoren betreft en (ii) mogelijkheden en beperkingen voor B2G-gegevensdeling met het oog op de gemeentelijke vervulling van de publieke taak en verdere deling van sensorgegevens door de gemeente), nader in op een aantal wetten dat van toepassing is op de verzameling en het delen van private sensorgegevens. Daartoe presenteren we per wet eerst een algemene introductie. Daarna gaan we in op wat de gemeente op basis van de betreffende wet kan doen om de bescherming van de fundamentele rechten te verbeteren in situaties waar gegevensverzameling door private sensoren in de openbare ruimte aan de orde is. Vervolgens geven we aan wat de gemeente op basis van dezelfde wet kan doen om toegang te verkrijgen tot de private sensorgegevens te verkrijgen. In hoofdstuk 4 volgen aanbevelingen voor de verbetering van het juridisch handelingsperspectief van de gemeente.

95 Art. 35 lid 1 AVG.

96 Art.35 lid 1 AVG spreekt over “een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen”, hetgeen

ook fundamentele rechten omvat. Zie ook H. Janssen, ‘An approach for a fundamental rights impact assessment to automated decision-making’ (2020) Internatinonal Data Privacy Law 10(1), p. 76. 97 Art. 36 lid 1 AVG. 98 Verordening 2018/1807 van het Europees Parlement en de Raad van 14 november 2018 inzake een kader voor het vrije verkeer van niet-persoonsgebonden gegevens in de Europese Unie, Pb L 303/59; art. 3 lid 1 Verordening vrij verkeer nietpersoonsgebonden gegevens en art. 4 sub 1 AVG. 99 Art. 5 lid 1 Verordening. 100 Art. 5 lid 1 van de Verordening. Een uitzondering geldt uitsluitend voor verboden die evenredig en gerechtvaardigd zijn in het kader van openbare veiligheid.

18

Gemeentelijke grip op private sensorgegevens

3.2.1 Grondwet, EVRM en EU-Handvest van de grondrechten Juridisch kader Het wettelijk kader voor de fundamentele rechten is neergelegd in de Grondwet, het Europees Verdrag voor de Rechten van de Mens (EVRM) en het EU-Handvest van de Grondrechten (EU-Handvest). Dit kader, inclusief de bijbehorende beperkingssystematiek, normeert de gemeente in haar relaties met burgers en met private organisaties binnen de gemeente, die soms eveneens rechten kunnen ontlenen aan het fundamenteelrechtelijk kader.101 Fundamentele rechten omvatten onder meer het recht op bescherming van de persoonlijke levenssfeer (privacy),102 het recht niet te worden gediscrimineerd,103 vrijheidsrechten,104 eigendomsrechten105 inclusief intellectuele eigendomsrechten,106 het recht op toegang tot een onafhankelijke en onpartijdige rechter,107 het recht je vrijelijk te verplaatsen en het recht op vrijheid van beroep en bedrijf, en ondernemerschap.108 De kerngedachte achter fundamentele rechten is dat de burger moet worden beschermd tegen een almachtige overheid die een op de wet berustend geweldsmonopolie kan uitoefenen, en dat overheidsregulering die inbreuken (beperkingen) op de fundamentele rechten met zich kan meebrengen, beperkt blijft tot het hoogstnoodzakelijke.

In het licht van de huidige en opkomende sensortoepassingen in de openbare ruimte zijn in de rechtspraak al diverse fundamenteelrechtelijke risico’s geduid ten aanzien van het recht op privacy. Het Europees Hof voor de Rechten van de Mens (hierna: EHRM) heeft in de afgelopen decennia de betekenis en de toepasselijkheid van het recht op privacy in de openbare ruimte meermaals bevestigd in het licht van de opkomst en een groeiend aantal toepassingen van nieuwe informatie- en communicatietechnologieën, die voortdurende verzameling, opslag, verspreiding, koppeling en hergebruik van persoonsgegevens mogelijk maken.109 Deze toepassingen worden niet alleen benut door opsporings- en vervolgingsinstanties of inlichtingen- en veiligheidsdiensten, maar ook door private partijen. Onder meer in Von Hannover t. Duitsland (waarin het EHRM bepaalde dat publieke figuren zoals een lid van een koninklijk huis ook een recht op privéleven toekomt, en dat zij effectief beschermd moeten worden tegen de roddelpers) merkte het EHRM op dat effectieve bescherming van het recht op privacy van staatswege geboden is.

Het EVRM is volgens het Hof immers niet bedoeld om rechten te garanderen die theoretisch of illusoir zijn, maar om rechten te beschermen die praktisch en effectief zijn – ook in verhoudingen tussen burgers en private partijen onderling.110 Voor de vraag naar de toepasselijkheid van het recht op privacy in openbare ruimten is tevens van belang dat het EHRM meermaals heeft bevestigd dat privacy in artikel 8 EVRM ook ‘sociale’ en ‘openbare aspecten van iemands leven’ omvat, alsook het ‘recht op het ontwikkelen en vestigen van relaties met anderen en de buitenwereld’, het recht op de bescherming van persoonsgegevens en het recht op het leiden van een sociaal privéleven in een meer publieke context.111 Deze deelaspecten van het recht op privacy 101 Respectievelijk de Grondwet, het EVRM (inclusief de bijbehorende Protocollen die door Nederland zijn ondertekend)

en het EU-Handvest. 102 Art. 8 EVRM, art. 10 Grondwet en art. 7 EU-Handvest. 103 Art. 14 EVRM en Protocol 12 bij het EVRM, art. 1 Grondwet en artt. 21 en 23 EU-Handvest. 104 Art. 10 en 11 EVRM, artt. 7, 8 en 9 Grondwet en artt. 11, 12 EU-Handvest. 105 Art. 1 lid 1, eerste Protocol bij het EVRM, art. 14 Grondwet en art. 17 EU-Handvest. 106 Art. 17 lid 2 EU-Handvest. 107 Art. 6 EVRM, Art. 17 Grondwet en art. 47 EU-Handvest. 108 Art. 19 lid 3 Grondwet en art. 16 EU-Handvest. 109 Zie M. Galič, Surveillance and privacy in smart cities and living labs: Conceptualising privacy for public space. (Diss. UvT 2019), Optima Grafische Communicatie, Rotterdam: 2019). 110 Von Hannover t. Duitsland, EHRM 24 juni 2004, nr. 59320/00, paragrafen 72 en 73; zie ook EHRM 24 juni2004 (Caroline von Hannover t. Duitsland) NJ 2005, 22 (m.nt. E.J. Dommering). 111 Niemietz t. Duitsland (16 december 1992), nr. 13710/88, paragraaf 27; Pretty t. Verenigd Koninkrijk (29 april 2002) nr. 2346/02, paragraaf 61; Peck t. het Verenigd Koninkrijk (28 januari 2003), nr. 44647/98; Von Hannover t. Duitsland EHRM 24 juni 2004; Gillan en Quinton t. Verenigd Koninkrijk, (12 januari 2010) nr. 4158/05, paragraaf 6; Vukota-Bojić v. Switzerland (18 oktober 2016) nr. 61838/10, paragraaf 62; Bărbulescu t. Roemenië (5 september 2017) nr. 61496/08, paragraaf 70.

19

Gemeentelijke grip op private sensorgegevens

geven het recht ook betekenis buiten de enger gedefinieerde intieme of huiselijke persoonlijke levenssfeer. Het EHRM heeft de betekenis van het recht op privacy in horizontale verhoudingen (zoals tussen werkgever en werknemer, tussen verzekeraar en verzekerde, en tussen pers en persoon van wie afbeeldingen worden gemaakt en verspreid) inmiddels ook bevestigd – ook ten aanzien van de bescherming van persoonsgegevens.112 De kans is reëel dat iemand een sensor in de openbare ruimte niet opmerkt of zich er niet van bewust is dat informatie over haar of hem wordt verzameld, omdat sensoren niet altijd goed zichtbaar zijn.113 Wanneer personen zich ervan bewust zijn dat een sensor in hun nabijheid is, is het voor de meesten lastig te bepalen welke gegevensverwerkende apparatuur een sensor bevat, met welk doel informatie wordt verzameld en door wie, hoe lang de gegevens worden opgeslagen, met welke andere bestanden de gegevens worden gekoppeld en of ze met derden worden gedeeld.

Dit kan burgers het gevoel geven dat zij voortdurend worden bespied, waardoor zij mogelijk hun fundamentele rechten minder snel of met terughoudendheid uitoefenen (en er een zogenoemd verkillend effect op de uitoefening van de grondrechten optreedt).114 Het hoeft bij het vastleggen van gedrag met sensoren overigens niet steeds te gaan om specifiek gedrag.115 Er kan al sprake zijn van een inmenging wanneer het gedrag of de daarop betrekking hebbende gegevens op zichzelf beschouwd niet bijzonder gevoelig zijn, zoals het vastleggen van de bewegingen van een persoon in het centrum van zijn woonplaats, of op straat lopen en een winkel binnengaan om boodschappen te doen. Dergelijke verwerkingen kunnen echter wel van belang worden bij systematische inzet en/of koppeling van private sensoren, bijvoorbeeld ten behoeve van de bewaking van een openbare ruimte, waar zulke gegevens meer stelselmatig worden vastgelegd, opgeslagen en geanalyseerd. In deze ogenschijnlijk onschadelijke situaties is belangrijk dat deze informatie met behulp van de huidige verwerkings-, koppelings- en aggregatietechnieken kan leiden tot allerlei soorten afgeleide informatie en/of profielen, waardoor vervolgens veel meer persoonlijke en bijzonder gevoelige informatie over een persoon kan worden onthuld.

Beperkingen op het recht op bescherming van de persoonlijke levenssfeer, bijvoorbeeld wanneer de gemeente met eigen sensoren (bijvoorbeeld camera’s) toezicht houdt op een uitgaansgebied met als doel de fysieke veiligheid te bewaken, kunnen juridisch toelaatbaar zijn, mits deze inzet van sensoren voldoet aan de cumulatieve set van vereisten, zoals die is neergelegd in het eerdergenoemd wettelijk kader. Het gemeentelijk gebruik van de sensoren en de verwerking van gegevens die daarmee gepaard gaat, moeten een legitiem doel dienen116 en berusten op een formeel-wettelijke grondslag.117 De betreffende wet moet voor burgers toegankelijk en voorzienbaar zijn, zodat burgers weten wat de gemeente precies beoogt met de camera’s en het gebruik van de gegevens, en daar zo nodig hun gedrag op kunnen afstemmen. Ook moet de gemeentelijke verwerking van de gegevens noodzakelijk zijn in een democratische samenleving. ‘Noodzakelijk’ houdt in dat het gebruik van die gegevens ook echt noodzakelijk is voor het 112 Halford t. Vereningd Koninkrijk (25 juni 1997), nr. 20605/92; Vukota-Bojić v. Switzerland (18 oktober 2016) nr. 61838/10,

paragraaf 58 [in deze zaak werd de klager werd voortdurend gefilmd in de openbare ruimte door een professionele partij in opdracht van een verzekeraar]; Reklos en Davourlis t. Griekenland (15 januari 2009) nr. 1234/05, paragraaf 40; Bărbulescu t. Roemenië (5 september 2017) nr. 61496/08, paragraaf 80; 113 Dit geldt bij bijvoorbeeld gezichtsherkenningstechnieken, zie E. Keymolen, M. Noorman, B. van der Sloot, C. Cuijpers en B-J. Koops, Op het eerste gezicht. Een verkenning van gezichtsherkenning en privacyrisico’s in horizontale relaties. Studie verricht in opdracht van het Wetenschappelijk Onderzoek- en Documentatiecentrum (2020) p. 122. 114 Zie bijvoorbeeld R. L. Finn, D. Wright en A. Donovan, L. Jacques en P. de Hert, Study on privacy, data protection and ethical risks in civil remotely piloted aircraft: final report, Publications Office, 2015, https://data.europa.eu/doi/10.2769/756525; deze studie belicht in het bijzonder risico’s bij het gebruik van drones. 115 Zie hierover P. de Hert & S. Gutwirth, ‘Data protection in the case law of Strasbourg and Luxemburg: Constitutionalisation in action’ in: Y. Poullet, S. Gutwith, C. De Terwanghe, & P. de Hert (Eds.), Reinventing Data Protection? Springer: Dordrecht 2009, p. 26. 116 Art. 8 lid 2 EVRM; artt.7 en 8 EU-Handvest. Art. 8 EU-Handvest is nader uitgewerkt in de AVG. 117 Art. 10 lid 1 en 2 Grondwet. Een verwijzing naar art.

6 lid 1 sub c of e AVG of naar bijvoorbeeld art. 160 Gemeentewet kan niet volstaan omdat deze bepaling onvoldoende specifiek is.

20

Gemeentelijke grip op private sensorgegevens

behalen van het doel (in voornoemd voorbeeld het bewaken van de fysieke veiligheid) en dus niet enkel ‘wenselijk’, ‘handig’ of ‘efficiënt’: die laatste redenen zijn op zichzelf genomen onvoldoende om een inbreuk op een fundamenteel recht te kunnen rechtvaardigen.118 Noodzakelijk in een democratische samenleving betekent bovendien dat de gewenste verwerking van private sensorgegevens noodzakelijk is om een dringend maatschappelijk probleem effectief te kunnen aanpakken.119 Het doel waarvoor de gemeente de private sensorgegevens verwerkt moet daarnaast evenredig zijn aan de grondrechtelijke inbreuk.120 Zo kan het borgen van de fysieke veiligheid evenredig zijn aan de inbreuk op iemands recht op verplaatsingsvrijheid, wanneer de inbreuk kortdurend en effectief is en niet al te diep ingrijpt in het recht op iemands recht zich vrijelijk te verplaatsen.121 Naast het bewaken van de evenredigheid moet de gemeente voor het bereiken van het doel kiezen voor de middelen die het minst ingrijpen in het grondrecht.

Deelvraag 1: handelingsperspectief bij betere naleving van de fundamentele rechten Anders dan de overheid worden private partijen in beginsel niet genormeerd door de Grondwet of het EVRM, maar dat betekent niet dat zij zich geheel aan grondrechtelijke normen kunnen onttrekken. Het gedrag van private partijen wordt namelijk op diverse wijzen grondrechtelijk genormeerd. Zo is er wetgeving die de informatieverzameling van private partijen in de openbare ruimte kan beperken, zoals de AVG en de ePrivacy Verordening (zie §3.1.1). Dergelijke beperkingen worden tot stand gebracht door de formele wetgever. De grondwettelijk beschermde rechten op informatieverzameling, het recht op vrijheid van bedrijf en beroep en de vrijheid van ondernemerschap kunnen immers enkel worden ingeperkt wanneer die inperking is terug te voeren op een formele wet.122 Private partijen kunnen in hun gedrag ook op andere manieren worden genormeerd door fundamentele rechten. Wanneer het handelen van een bedrijf de fundamentele rechten van personen raakt, kunnen de fundamentele rechten helpen bij het invullen van civielrechtelijke ‘vage’ normen.

Fundamentele rechten kunnen bijvoorbeeld een rol spelen bij de beoordeling of het handelen van een private partij maatschappelijk betamelijk is, of bij de beoordeling of sprake is van goed werkgeverschap zoals vastgelegd in het Burgerlijk Wetboek (hierna: BW).123 Verder vloeit uit de rechtspraak van het EHRM voort dat nationale autoriteiten burgers actief dienen te beschermen tegen inbreuken door private partijen.124 Het EHRM verplichtte nationale overheden eerder al regelgeving inzake de inzet van surveillancetechnieken binnen de arbeidsrelatie aan te nemen; werkgevers moeten bijvoorbeeld werknemers met voorafgaande communicatie inlichten over dergelijke monitoring, terwijl overheden voor eventuele conflicten hierover een toegankelijke en passende rechtsgang moeten bieden.125 In navolging hiervan is in de literatuur geopperd dat uit artikel 8 EVRM een positieve verplichting voor de overheid zou kunnen voortvloeien om het gebruik van sensoren door private partijen nader te reguleren.126 De bevoegdheid wettelijke regels vast

118 Handyside t. Verenigd Koninkrijk, EHRM 7 december 1976, nr. 5493/72, paragraaf 48; EU HvJ C‑293/12 en C‑594/12

Digital Rights Ireland, paragraaf 54. 119 S. and Marper v the UK (Grote Kamer), 4 december 2008, nrs. 30562/04 & 30566/04, paragraaf 101. 120 ECHR Leander v Sweden, 26 maart 1987, nr. 9248/81, paragrafen 50 en 58. De indringendheid van de verwerking voor het grondrecht bepaalt de strengheid van de eisen die aan de toegang tot de private sensorgegevens worden gesteld: naarmate een beperking op het grondrecht indringender is, worden de eisen aan de toelaatbaarheid van de beperkende activiteit strenger. 121 Art. 2, Protocol 4 bij het EVRM. 122 Artt. 10 lid 2 en 19 lid 3 Grondwet; art. 10 EVRM; artt. 11 lid 1, 16 en 52 lid 1 EU-Handvest. 123 Respectievelijk art. 6:162 BW en art. 7:611 BW. 124 Zie bijvoorbeeld Evans t. het Verenigd Koninkrijk, EHRM 10 april 2007, nr. 6339/05, paragraaf 75; zie ook Zie M.J. Vetzo, J.H. Gerards en R. Nehmelman, Algoritmes en fundamentele rechten, Den Haag: Boom juridisch 2018, pp. 76 – 78 en 177 – 178. In art. 10 lid 2 en 3 Grondwet zijn daarnaast twee positieve verplichtingen gecodificeerd, namelijk tot het stellen van regels omtrent persoonsgegevens en omtrent kennisneming van vastgelegde gegevens, zie ook A.K. Koekkoek, De Grondwet: een systematisch en artikelsgewijs commentaar, derde druk, Deventer 2000, p. 4. 125 EHRM 5 september 2017, app nr 61496 (Bărbulescu t. Roemenië). 126 M.J. Vetzo e.a. 2018, pp. 126 – 127.

21

Gemeentelijke grip op private sensorgegevens

te stellen met het oog op normering van private partijen ligt kortom niet primair bij gemeenten, maar bij de formele wetgever127 en in voorkomende gevallen bij de rechter. Dat betekent niet dat er nu geen lokale wetgeving tot stand kan worden gebracht die meer specifiek de inzet van sensoren door private partijen in de openbare ruimte reguleert. Met het oog op de verbetering van de naleving van de fundamentele rechten vanwege het groeiend aantal sensoren in de openbare ruimte, nam de gemeente Amsterdam in 2021 de Verordening meldingsplicht sensoren aan. Deze verordening verplicht alle partijen die met een professioneel doel gegevens in de openbare ruimte inwinnen door middel van vaste of mobiele sensoren, daarover transparant te zijn.128 Ook private partijen dienen melding te maken van sensoren die zij in de openbare ruimte plaatsen.129 Aan de melding zelf worden door de gemeente nadere eisen gesteld; deze is dus niet vormvrij. In het digitale meldformulier moet worden aangegeven of met de sensor persoonsgegevens worden verwerkt en als dat het geval is, op basis van welke wettelijke grondslag dit gebeurt. Ook dient bij de verwerking van persoonsgegevens een link naar de privacyverklaring van de meldende partij te worden opgenomen.130 Het meldingsformulier kan desgewenst met nieuwe informatievereisten worden uitgebreid.

De informatie in het meldingsformulier wordt in een openbaar register opgenomen, zodat gebruikers van openbare ruimten kunnen nagaan welke gegevens over hen worden ingewonnen. Zo nodig kunnen zij daarover contact opnemen met de partij die deze gegevens inwint of een klacht indienen bij de AP. Hoewel de verordening al in werking is getreden, laat het register vooralsnog overwegend gemeentelijke sensoren zien.131 De gemeente Amsterdam is na een ‘wenperiode’ voornemens te verordening te gaan handhaven. In aanvulling op de bescherming van de grondwettelijke persoonlijke levenssfeer verdient artikel 441b in het Wetboek van Strafrecht vermelding. Deze bepaling beoogt burgers te beschermen tegen inbreuken op dit grondrecht door onder meer private partijen.132 Het verbiedt de structurele inzet van technische hulpmiddelen waarmee een afbeelding van een persoon wordt vervaardigd in openbare ruimten en in voor het publiek toegankelijke ruimten, waarvan de aanwezigheid niet op duidelijke wijze kenbaar is gemaakt. Voor de strafbaarstelling is bepalend of de afgebeelde persoon zich op een voor het publiek toegankelijke of openbare plaats bevond en niet of het technisch hulpmiddel op een voor het publiek toegankelijke of openbare plaats is aangebracht.

Dit betekent dat ongeacht waar het hulpmiddel is aangebracht, sprake kan zijn van een strafbare gedraging, wanneer het hulpmiddel is gericht op een voor een voor het publiek toegankelijke plaats of openbare plaats. Private partijen die dergelijke hulpmiddelen ten behoeve van het maken van afbeeldingen inzetten, moeten passanten aldus op duidelijke wijze over het cameratoezicht informeren; het nalaten hiervan is strafbaar.

Deelvraag 2: normering B2G-gegevensdeling en deling met derde partijen Waar private partijen en particulieren in beginsel vrij zijn om binnen de grenzen van de wet te handelen, kunnen overheden in het algemeen alleen op basis van en in overeenstemming met een wet handelen. Dit betekent dat de gemeente bij de verkrijging van private sensorgegevens door middel van B2G-gegevensdeling steeds moet nagaan of daarbij de fundamentele rechten en de bijbehorende wettelijke grenzen in acht worden genomen. We behandelen hier de eisen die voortvloeien uit het fundamenteelrechtelijk kader met betrekking tot B2G-gegevensdeling. In §3.2.2 gaan we in op de eisen die de AVG stelt aan de gemeentelijke verkrijging van toegang tot private sensorgegevens waarbij persoonsgegevens betrokken zijn. 127 De formele wetgever kan voorts wetgeving tot stand brengen die voor private partijen nadere inkleuring geeft aan

grondwetsnormen (zie bijvoorbeeld de Algemene wet gelijke behandeling). 128 Verordening van de Raad van de gemeente Amsterdam tot wijziging van de Algemene Plaatselijke Verordening 2008 in verband met het invoeren van een meldingsplicht voor sensoren (inwerkingtreding 1 oktober 2021). 129 Zie §3.2.2. 130 https://formulier.amsterdam.nl/thema/privacy/sensorregistratie/sensorregistratie/. 131 Zie Sensorenregister Amsterdam. 132 Memorie van toelichting bij Wijziging van artt. 139f en 441b Wetboek van Strafrecht (uitbreiding strafbaarstelling heimelijk cameratoezicht), Kamerstukken II 2000-2001, 27732, nr. 3. Doel was het toepassingsbereik van de bepaling uit te breiden van winkels en horecagelegenheden naar voor het publiek toegankelijke plaatsen en openbare ruimten.

22

Gemeentelijke grip op private sensorgegevens

Voor zover een B2G-gegevensdeling een inbreuk maakt op (fundamentele) rechten van de delende private partij, zal steeds een formeelwettelijke grondslag vereist zijn. De gemeente zal aldus bij elke voorgenomen B2G-gegevensdeling moeten nagaan of zich bij de beoogde gegevensdeling inbreuken op deze rechten kunnen voordoen. In die gevallen is een formeelwettelijke basis vereist. Zo kunnen fundamentele rechten van private partijen, waaronder de eerdergenoemde informatierechten, het recht op eigendom, intellectuele eigendom en/of de rechten op de vrijheid van beroep en bedrijf of het ondernemerschap worden geraakt, indien de gemeente B2G-gegevensdeling afdwingt. Een verplichte B2Ggegevensdeling kan enkel worden gelegitimeerd, wanneer daarvoor een wettelijke grondslag bestaat. Indien private partijen vrijwillig tot B2G-gegevensdeling overgaan (bijvoorbeeld op basis van een overeenkomst), dan zal van een fundamenteelrechtelijke inbreuk op de rechten van de betreffende private partijen in beginsel geen sprake zijn. B2G-gegevensdeling kan ook de fundamentele rechten van burgers raken. Indien met de gemeente een gegevensbestand wordt gedeeld waarin zich een bias ten aanzien van personen of groepen bevindt of waarin zich discriminerende profielen van personen bevinden, bestaat een risico dat het gebruik van het betreffende gegevensbestand door de gemeente discriminerend kan uitwerken.

Een inbreuk op fundamentele rechten kan zich daarnaast voordoen wanneer de beoogde private sensorgegevens werden verzameld in een openbare ruimte waar bijvoorbeeld veel manifestaties plaatsvinden. B2G-gegevensdeling kan in die situatie een verkillend effect hebben op de betogings- en vergaderingsrechten, omdat burgers niet weten voor welk doel de gemeente de met behulp van B2G-gegevensdeling vergaarde informatie zal gebruiken. Zij kunnen hierdoor minder genegen zijn van deze rechten gebruik te maken op de plaats waar de private sensor zich bevindt. Een formeelwettelijke grondslag is in deze gevallen van B2G-gegevensdeling aangewezen. Deze wettelijke grondslag dient burgers adequaat te informeren over het doel, de noodzaak en de proportionaliteit van die specifieke B2G-gegevensdeling, alsook over de wijze waarop de risico's die met de B2G-gegevensdeling kunnen optreden, worden gemitigeerd. In navolging hiervan moet de gemeente voorafgaand aan elke specifieke B2G-gegevensdeling nagaan of zich bij de beoogde B2G-gegevensdeling inbreuken op fundamentele rechten van bedrijven kunnen voordoen.

Diverse geïnterviewden melden dat bij gemeentelijke verzoeken om B2G-gegevensdeling betreffende gegevens over menselijk gedrag in de openbare ruimte niet altijd duidelijk was of een dergelijke deling noodzakelijk was, en voor zover die nodig werd geacht, op welke wettelijke basis het verzoek om B2G-gegevensdeling werd gebaseerd. Ook gaven zij aan dat de noodzaak voor het delen niet altijd even helder was geformuleerd.133 In een van de interviews gaf een gemeentemedewerker aan dat informatie over drukte op perrons (in dit geval informatie van vervoersbedrijven) de gemeente in specifieke gevallen zou kunnen helpen bij het beheer van de openbare ruimte, bijvoorbeeld na afloop van een voetbalwedstrijd. De gemeente wil de fysieke veiligheid in de openbare ruimte waarborgen, voorkomen dat mensen worden verdrukt door de massa en de doorstroom bevorderen. Als bijvoorbeeld een Ajax-wedstrijd of een ander grootschalig evenement is afgelopen, moet de gemeente in real-time op de hoogte zijn van de drukte en de hoeveelheid metro’s en treinen die worden ingezet, zodat mensenmassa’s niet ophopen in de stations, op de perrons en in de openbare ruimte grenzend aan de stations, die onder het beheer van de gemeente valt. Dan ontstaan immers onveilige situaties. De gemeente moet en wil daarom zicht houden op mensenmassa’s tijdens grote evenementen.134

Of en op welke wijze in dit specifieke voorbeeld fundamentele rechten van private partijen en/of van burgers als gevolg van de B2G-gegevensdeling worden geraakt, hangt zoals hiervoor uiteengezet af van diverse factoren en vergt daarmee een context-specifieke beoordeling. Verder kan B2G-gegevensdeling gebaseerd op sensorgegevens die werden verkregen uit voor burgers niet-waarneembare sensoren – zoals sensorgegevens die werden vergaard met camera’s in 133 Dit werd gemeld door medewerkers van zowel bedrijven als van de gemeente. 134 Gemeentemedewerker.

23

Gemeentelijke grip op private sensorgegevens

reclamezuilen, in rugtassen van personen die de stedelijke omgeving voor een bedrijf in kaart brengen of in auto’s van incassobedrijven die daarmee wanbetalers in de openbare ruimte proberen te traceren – meer algemeen leiden tot wantrouwen van burgers tegenover de gemeente.135 Bovendien leidt een dergelijke gemeentelijke praktijk tot spanning met het uitgangspunt van de gemeente dat iedereen in Amsterdam het recht heeft op respect voor zijn of haar privéleven, en dat voor iedereen in Amsterdam het uitgangspunt geldt dat zij zich onbespied en anoniem moet kunnen bewegen in de openbare ruimte.136 De gemeente zal voorafgaand aan de verwerking van gegevens die met B2G-gegevensdeling werden verkregen steeds moeten onderzoeken en verantwoorden of en waarom B2G-gegevensdeling in die situaties in overeenstemming is met de fundamentele rechten van burgers en private partijen. Bij de gemeentelijke beoordeling van de naleving van het fundamenteelrechtelijk kader bij een voorgenomen B2G-gegevensdeling zijn de AVG, de Awb en overige wetgeving die hierna worden behandeld van groot belang.

3.2.2 Algemene Verordening Gegevensbescherming Juridisch kader We behandelden in §3.1.1 de wijze waarop de AVG van toepassing is op de verwerking van persoonsgegevens door private partijen. In deze paragraaf gaan we in op de wijze waarop de AVG van toepassing is op verwerkingen van persoonsgegevens door de gemeente. De AVG stelt immers andere eisen aan publieke actoren dan aan private. Wanneer de gemeente met behulp van B2G-gegevensdeling gegevens verzamelt en deze vervolgens verwerkt, en deze gegevens herleidbaar zijn tot specifieke personen, verwerkt zij persoonsgegevens in de zin van de AVG.137 De gemeente treedt in die gevallen steeds op als verwerkingsverantwoordelijke voor zover zij het specifieke doel en middelen met betrekking tot de verwerking van die gegevens bepaalt.138 Daarbij dient de gemeente zich als verwerkingsverantwoordelijke ervan te vergewissen dat de verwerking van private sensorgegevens die tevens persoonsgegeven zijn, in overeenstemming is met de beginselen inzake de verwerking van persoonsgegevens zoals die zijn vastgelegd in de AVG.139 De gemeentelijke verwerking van deze persoonsgegevens dient daarnaast gebaseerd te zijn op een verplichting die is vastgelegd in de wet, en noodzakelijk te zijn voor de vervulling van een publieke taak of een taak in het kader van de uitoefening van openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen.140

Bijzondere persoonsgegevens – toepasselijk in het geval van bijvoorbeeld de verwerking van (optische) sensoren die biometrische gegevensverwerking, of bij de verwerking van gegevens waaruit etnische afkomst of religieuze overtuigingen blijken – mogen in beginsel niet worden verwerkt, tenzij aan een van de voor de overheid geldende uitzonderingen is voldaan.141 De verwerkingsverantwoordelijke is steeds gehouden passende technische en organisatorische maatregelen te treffen ter bescherming van de rechten en vrijheden van personen.142 Een gegevensbeschermingseffectbeoordeling (of DPIA) is verplicht bij verwerkingen van persoonsgegevens die waarschijnlijk een hoog risico met zich meebrengen voor de fundamentele rechten 135 In Amsterdam waren oudere gevallen bekend van incassobedrijven die ANPR gebruikten om in contact te komen met

klanten die in gebreke bleven met de betaling van hun leningen, maar die niet reageerden op pogingen van de private schuldeiser om contact op te nemen. Hiertoe rustte een incassobureau auto’s uit met camerasensoren die door de stad reden om kentekengegevens van aangetroffen auto’s vast te leggen en te verwerken met het oog op identificatie van de debiteur. Dit voorbeeld werd genoemd door een gemeentemedewerker; zie ook L. Fang, ‘Debt collectors fight privacy advocates over limits for automated licence plate readers’, The Intercept (8 mei 2015); Marcis en Bego 2022, p. 35. 136 Gemeente Amsterdam, Stedelijk kader verwerken persoonsgegevens door de gemeente Amsterdam, 25 september 2018. 137 Art. 4 lid 1 AVG. 138 In de praktijk is binnen de gemeente de burgemeester verwerkingsverantwoordelijke. 139 Art. 5 lid 1 AVG. 140 Art. 6 lid 1 sub c en e AVG. 141 Art. 9 lid 2 AVG. 142 Art. 24 lid 1 AVG.

24

Gemeentelijke grip op private sensorgegevens

en vrijheden van personen.143 Of dit risico aan de orde is, moet de verwerkingsverantwoordelijke per situatie waarin B2G-gegevensdeling wordt nagestreefd, beoordelen. Een DPIA is in ieder geval verplicht bij B2Ggegevensdelingen waarbij bijzondere persoonsgegevens worden verwerkt144 of wanneer grootschalig en stelselmatig personen in openbare ruimten of in voor het publiek toegankelijke ruimten worden gevolgd.145 Betrokkenen hebben het recht jegens de verwerkingsverantwoordelijke de aan hen toegekende rechten in de AVG uit te oefenen. Zo hebben zij hebben het recht te worden geïnformeerd over de vraag of hun persoonsgegevens al of niet worden verwerkt en als dat het geval is, inzage te verkrijgen in onder meer de doeleinden en de ontvangers van die gegevens.146 Wanneer de private partij erin slaagt de persoonsgegevens voorafgaand aan de B2G-gegevensdeling te anonimiseren en de gegevens daarmee niet langer als persoonsgegevens kunnen worden aangemerkt, vervallen in beginsel de voor de verwerkingsverantwoordelijke toepasselijke verplichtingen uit de AVG.

Het anonimiseren zelf kan echter niet altijd duurzaam worden gegarandeerd; zo kan het anonimiseren van een bepaald gegevensbestand in bepaalde gevallen teniet worden gedaan doordat het betreffende gegevensbestand wordt gecombineerd met een of meer andere gegevensbestanden: de combinatie van gegevens kan dan toch weer leiden tot gegevens die leiden naar identificeerbare personen in het geanonimiseerde gegevensbestand.147 Ook andere factoren kunnen het succesvol anonimiseren van persoonsgegevens beperken.148

Deelvraag 1: handelingsperspectief bij betere naleving van de fundamentele rechten Wat het handelingsperspectief van de gemeente betreft bij het beter beschermen van de fundamentele rechten bij de private verwerking van sensorgegevens uit de openbare ruimte, is het van belang te kijken naar de belegging van toezichthoudende en handhavende bevoegdheden in de AVG. De AP houdt toezicht op de naleving en de handhaving van de AVG. De AP is daartoe door de wetgever toegerust met een stevig sanctie- en boetestelsel.149 Dit betekent dat voor gemeentelijk toezicht op de naleving van de AVG door private partijen geen formele rol is weggelegd. Daarmee is niet gezegd dat de gemeente in het geheel geen handelingsperspectief bij de naleving van de AVG toekomt. De eerdergenoemde Amsterdamse Verordening meldingsplicht sensoren kan voor het afdwingen van een betere naleving van de grondrechten en meer specifiek de AVG door private partijen een nuttige basis bieden. Waar nu niet altijd duidelijk is of en waar private partijen met behulp van sensoren in de openbare ruimte persoonsgegevens verzamelen, moeten verwerkingsverantwoordelijken ingevolge deze verordening verplicht aangeven op het daartoe voorgeschreven meldformulier of met de sensor persoonsgegevens worden verwerkt en als dat het geval is, op basis van welke wettelijke grondslag dit gebeurt.

In het meldingsformulier dient de verwerkingsverantwoordelijke ook een link naar de privacyverklaring op te nemen.150 Op het moment van het schrijven van dit rapport was de link naar het meldingsformulier nog niet gemakkelijk vindbaar. Voor een goede naleving van de meldingsplicht is gemakkelijke vindbaarheid (eventueel in diverse talen) een belangrijke voorwaarde. Indien in de praktijk 143 Art. 35 lid 1 AVG. 144 Art. 35 lid 3 sub a.

145 Art. 35 lid 3 sub c.

146 Betrokkenenrechten zijn neergelegd in de artt. 13 – 22 AVG, maar niet alle rechten kunnen voluit jegens de gemeente

worden uitgeoefend. Zie verder B. Schermer, D. Hagenauw en N. Falot, Handleiding Algemene Verordening Gegevensbeschermingen Uitvoeringswet Algemene Verordening Gegevensbescherming 2018 (rapport opgesteld in opdracht van het Ministerie van Justitie en Veiligheid), met name hoofdstuk 7. 147 B. Van der Sloot, S. van Schendel & C. Augusto Fontanillo López, De invloed van (technische ontwikkelingen op het begrip persoonsgegevens in relatie tot de AVG, Rapport in opdracht van het Wetenschappelijk Onderzoek- en Documentatiecentrum (Tilburg University, December 2022). 148 Zie voor een overzicht van factoren die het anonimiseren kunnen hinderen of uitsluiten Agencia Espagñola Protección Datos, ‘10 Misunderstandings of anonymisation’ (2021) https://edps.europa.eu/system/files/2021-04/21-04-27_aepdedps_anonymisation_en_5.pdf, bezocht op 12 september 2022. 149 Zie onder meer artt. 83 AVG. 150 https://formulier.amsterdam.nl/thema/privacy/sensorregistratie/sensorregistratie/.

25

Gemeentelijke grip op private sensorgegevens

blijkt dat deze informatie niet voldoende is, kan de gemeente het meldingsformulier met nieuwe informatievereisten uitbreiden. Het sensorenregister geeft daarmee een nadere en eigentijdse uitwerking aan de AVG.151 Het sensorenregister waarin de informatie uit het meldingsformulier wordt opgenomen, is toegankelijk voor het publiek en kan zo bijdragen aan een betere borging van onder meer het transparantiebeginsel.152 Daarnaast kan het sensorenregister degenen die gebruik maken van openbare ruimten de mogelijkheid bieden te onderzoeken welke gegevens over hen worden ingewonnen. Met de publicatieplicht kan, indien de verordening wordt nageleefd, het probleem van het voor veel burgers onzichtbare karakter van veel gegevensverwerkingen met behulp van sensoren door private partijen in de openbare ruimte (deels) worden weggenomen.153 De verplichte melding van onder meer de wettelijke grondslag zal hen informeren over de rechtmatigheid van de verwerking van de persoonsgegevens. Met het voor eenieder toegankelijke sensorenregister wil de gemeente burgers wijzen op mogelijkheden tot uitoefening van de AVG-betrokkenenrechten (zoals inzagerechten,154 het recht op gegevenswissing155 en het recht niet te worden onderworpen aan geautomatiseerde besluitvorming156) jegens private partijen die met behulp van sensoren persoonsgegevens verwerken.

Verwerkingsverantwoordelijken zijn zoals aangegeven in §3.2.1 gehouden de betrokkenenrechten na te leven. Zij blijken in de praktijk echter niet altijd genegen aan deze rechten gehoor te geven.157 Op basis van zijn of haar bevindingen kan een betrokkene zelf besluiten een klacht in te dienen bij de AP, die vervolgens bij constatering van niet-naleving van de AVG (forse) administratieve boetes kan opleggen.158 Blijkens recente publicaties reageert de AP om diverse redenen niet of traag op individuele klachten.159 Dit kan de effectiviteit van betrokkenenrechten ondergraven, hetgeen onwenselijk is, omdat deze rechten en de mogelijkheid tot het indienen van een klacht de kurk zijn waarop de naleving van de AVG drijft.160 Individuele klagers kunnen in plaats van het indienen van een klacht bij de AP ook overwegen een rechtszaak tegen de betreffende private partij aan te spannen wegens beweerde niet-naleving van de AVG.161 Daarbij moet worden aangetekend dat rechtszaken lang kunnen duren en kostbaar kunnen zijn en dat (met name grotere) private spelers in de openbare ruimte veelal meer kunnen spenderen aan rechtsbijstand, waardoor deze weg vaak niet realistisch is. In dat verband verdient het overwegen van een collectieve actie op basis van de Wet afwikkeling massaschade in collectieve actie (‘WAMCA’) aanbeveling.

Belangenorganisaties kunnen dergelijke acties voor individuen op touw zetten; gemeenten kunnen overwegen belangenorganisaties die zich toeleggen op kwesties die zich voordoen in gemeentelijke context steunen (subsidiëren).162

151 De verordening verplicht alle partijen die gegevens inwinnen voor een professioneel doel in de openbare ruimte met

behulp van vaste of mobiele sensoren, de sensoren die zij in de openbare ruimte plaatsen te melden, en kenbaar te maken welke gegevens worden ingewonnen of ingewonnen kunnen worden. Deze informatie wordt opgenomen in een openbaar register (zie §3.2.1). 152 Art. 5 lid 1 sub a AVG. 153 Dit zal ten dele het geval zijn, omdat de publicatieverplichting op zichzelf niet kan leiden tot nadere inzichten in details over waarom een bepaalde gegevensverwerking dient te geschieden of in de bedrijfsmodellen die de partijen hanteren. De betrokkenenrechten kunnen nog wel enkele nadere inzichten in de gegevensverwerking geven. De verordening ziet niet op voor het publiek toegankelijke plaatsen. 154 Art. 15 AVG. 155 Art. 17 AVG. 156 Art. 22 AVG. 157 J. Ausloos & P. Dewitte, ‘Shattering One-Way Mirrors – Data Subject Access Rights in Practice’ (2018) 8 International Data Privacy Law 4. 158 Voor het indienen van een klacht zie art. 77 AVG; voor het opleggen van boetes zie Art. 83 lid 5 AVG. 159 Q. Tjeenk Willink, ‘Tempo moet omhoog bij de Autoriteit Persoonsgegevens’, Het Financieele Dagblad 24 november 2021; C. Prins, ‘Rutte IV: toezichtreflex en Autoriteit Persoonsgegevens’, NJB 2022/233. 160 G González Fuster, The Emergence of Personal Data Protection as a Fundamental Right of the EU (Law, Governance and Technology Series, Springer 2014), p. 194. 161 Art. 79 lid 2 AVG. 162 Zie nader §3.3.

26

Gemeentelijke grip op private sensorgegevens

Tot slot schrijft de AVG voor dat de verwerkingsverantwoordelijke betrokkenen bij het uitvoeren van een DPIA ‘in voorkomend geval’ vraagt naar hun mening over de voorgenomen verwerking met inachtneming van de bescherming van commerciële en andere belangen.163 Omdat bedrijven zelf mogen invullen wat ‘in voorkomend geval’ inhoudt, valt gelet op de huidige praktijk niet te verwachten dat bedrijven hun gedrag – dat wil zeggen betrokkenen nauwelijks of niet polsen over een voorgenomen verwerking – zullen wijzigen. De AP kan bedrijven uitdrukkelijker wijzen op deze verplichting.

Deelvraag 2: normering B2G-gegevensdeling en deling met derden De AVG biedt de gemeente zoals gezegd twee grondslagen op basis waarvan zij persoonsgegevens kan verwerken. Die gelden ook wanneer zij via B2G-gegevensdeling persoonsgegevens ontvangt van een private partij. Voorafgaand aan de ontvangst van de private sensorgegevens dient het specifieke doel van de verwerking vast te staan.164 Het doel van de verwerking van de persoonsgegevens dient herleidbaar te zijn tot een formele wet. De gemeente moet ook de noodzaak en de evenredigheid van de verwerking kunnen aantonen.165 Het tijdvak waarop het verzamelen en de opslag van de persoonsgegevens betrekking heeft, mag niet langer duren dan strikt noodzakelijk is om het door de gemeente gestelde doel te bereiken.166 De AVG is met andere woorden in volle omvang van toepassing op B2G-gegevensdeling waarin persoonsgegevens worden verwerkt en op verdere verwerkingen van die gegevens door de gemeente (bijvoorbeeld het delen van persoonsgegevens met derden). Private partijen kunnen op basis van een vraagstelling van de gemeente diverse typen gegevensbestanden aanleveren bij de gemeente.

Zij kunnen een gegevensbestand samenstellen dat gebaseerd is op ruwe persoonsgegevens (zoals ze werden verzameld door de sensor), op zogenoemde ‘preprocessed gegevens’ (oftewel gegevens die werden geprepareerd om te kunnen worden verwerkt), op geaggregeerde gegevens (waarbij de gegevens reeds werden gecombineerd met andere gegevens) en/of als onderdeel van een overzicht op basis van de resultaten van de aggregatie(s).167 In elk van deze vier typen gegevensbestanden kunnen persoonsgegevens aanwezig zijn. Indien de gemeente via B2G-gegevensdeling toegang verkrijgt tot een gegevensbestand waarin zich nog persoonsgegevens bevinden, is de gemeente verwerkingsverantwoordelijke ten aanzien van dat gegevensbestand. In de praktijk geeft de gemeente blijkens de afgenomen interviews echter de voorkeur aan het ontvangen van gegevensbestanden zonder persoonsgegevens: In de praktijk blijkt dat de gemeente omwille van de strikte vereisten uit de AVG bij voorkeur geen persoonsgegevens ontvangt, maar alleen ‘schone gegevens’, zoals puntjes op bepaalde plekken in de openbare ruimte, getallen die aangeven hoeveel mensen in- en uitstappen bij bepaalde stations en punten waar deelscooters in de openbare ruimte worden gestald, omdat dat in overeenstemming met de privacywetgeving is.

De gemeente Amsterdam heeft bij het naleven van die wetgeving volgens deze gemeentemedewerkers een belangrijke voorbeeldfunctie.168

Private partijen kunnen inderdaad een gegevensbestand creëren waarvoor geen persoonsgegevens werden verwerkt. Toch moet de gemeente nagaan of en in hoeverre zij verwerkingsverantwoordelijke is voor een 163 Art. 35 lid 9 AVG. 164 Art. 6 lid 1 sub c of e, art. 6 lid 4 en overweging 50 AVG; zie ook B. Schermer, D. Hagenauw en N. Falot, Handleiding

Algemene Verordening Gegevensbeschermingen Uitvoeringswet Algemene Verordening Gegevensbescherming 2018 (rapport opgesteld in opdracht van het Ministerie van Justitie en Veiligheid), p. 35 e.v. 165 Idem. Het noodzaakcriterium in de AVG komt overeen met de wijze waarop het noodzaakcriterium dat is ook vastgelegd in het EVRM, het EU-Handvest voor de fundamentele rechten en in de Grondwet wordt ingevuld (zie §3.2.1); zie ook EU HvJ C-175/20 SS SIA t. Valsts ieņēmumu dienests (24 februari 2022) ECLI:EU:C:2022:124, r.o. 74. 166 EU HvJ C-175/20, SS SIA t. Valsts ieņēmumu dienests (24 februari 2022) ECLI:EU:C:2022:124, r.o. 80. 167 S. Verhulst, A. Young, M. Winowatan, A.J. Zahunanec (2019) ’Leveraging private data for public good. A descriptive analysis and typology of existing practices', GovLab, https://datacollaboratives.org/static/files/existing-practicesreport.pdf, bezocht op 14 december 2022. 168 Gemeentemedewerkers.

27

Gemeentelijke grip op private sensorgegevens

bestand. Een gegevensbestand dat is gebaseerd op gegevens niet zijnde persoonsgegevens (zoals meteorologische gegevens, gegevens over hoeveelheden fijnstof in de lucht of gegevens over louter aantallen deelscooters in de stad) zal onder de AVG waarschijnlijk zonder problemen kunnen worden gedeeld met de gemeente. Daarnaast kan zich de situatie voordoen waarin een private partij een geanonimiseerd gegevensbestand beschikbaar stelt aan de gemeente, waarbij de private partij voor het creëren van het bestand wel persoonsgegevens verwerkte. In dat geval rijst de vraag of de gemeente voor het creëren van dat geanonimiseerde gegevensbestand optreedt als verwerkingsverantwoordelijke of dat haar die rol niet toekomt, omdat het ontvangen gegevensbestand geanonimiseerd is (en de AVG daarmee niet van toepassing zou zijn op de gemeente). Wanneer een private partij persoonsgegevens gebruikt voor het creëren van een geanonimiseerd gegevensbestand en deze het betreffende gegevensbestand enkel in opdracht van de gemeente creëerde, ligt het voor de hand aan te nemen dat de gemeente optreedt als verwerkingsverantwoordelijke voor het betreffende gegevensbestand, ook al wordt het bestand in geanonimiseerde vorm beschikbaar gesteld aan de gemeente.

De gemeente gaf de private partij immers opdracht tot het maken van het geanonimiseerde bestand en bepaalde daarmee het doel van de verwerking van de persoonsgegevens die de private partij verwerkte met het oog op het creëren van het gevraagde bestand. Zo zou in een hypothetisch geval een gemeente die een vergunning verleent aan een bedrijf dat deelfietsen in de openbare ruimte plaatst, van dat bedrijf in de voorwaarden voor de vergunningverlening willen eisen dat het geanonimiseerde informatie deelt over locaties in de openbare ruimte waar de deelfietsen vaker betrokken zijn bij ongelukken of over locaties waar de deelfietsen schade oplopen. De gemeente vindt het noodzakelijk om deze informatie te ontvangen, omdat zij er via andere manieren niet achter komt hoeveel verkeersongevallen met (deel)fietsen plaatsvinden, terwijl die kennis voor haar noodzakelijk is om meer precies te kunnen beoordelen op welke (kruis)punten verbeteringen moeten worden aangebracht om het aantal ongevallen met de (deel)fietsen terug te brengen.

Wanneer het bedrijf voor het creëren van dat bestand ook tot personen herleidbare gegevens gebruikt (zoals tijdstippen van en locaties waarbinnen verplaatsingen plaatsvonden en de start- en eindtijd van de huur) om de door de gemeente gevraagde informatie in kaart te kunnen brengen, ligt het voor de hand aan te nemen dat de gemeente verwerkingsverantwoordelijke is. Daarnaast zullen er situaties zijn waarin een bedrijf een geanonimiseerd gegevensbestand deelt met de gemeente waarvoor de gemeente geen opdracht gaf. Het ligt dan het minder voor de hand aan te nemen dat de gemeente verwerkingsverantwoordelijke is. De private partij bepaalde immers zelf het doel van de verwerking van de persoonsgegevens en niet de gemeente. Toch zal de gemeente ook dan moeten nagaan in hoeverre haar eigen doelstelling met het op (onder meer) persoonsgegevens gebaseerde gegevensbestand overeenkomt met de doelstelling van het bedrijf. In die gevallen kan de gemeente mogelijk een rol toekomen als gezamenlijk verwerkingsverantwoordelijke met het bedrijf.169 De juiste vaststelling van de rol van de gemeente ten aanzien van de persoonsgegevens is belangrijk, omdat die bepalend is voor de maatregelen die de gemeente ter bescherming van de rechten en belangen van de betrokkenen moet treffen. De vraag is echter niet eenduidig te beantwoorden en moet steeds per specifiek geval worden beoordeeld.

Een belangrijke factor bij het bepalen van de rol is steeds of de gemeente het doel bepaalt waarvoor persoonsgegevens worden verwerkt (namelijk voor het creëren van een specifiek bestand). Voor het bepalen van de rol moet verder worden gekeken naar de bevoegdheidstoedeling in de specifieke wet en in voorkomende gevallen naar wijze waarop de gemeente een voorwaarde voor een vergunning, subsidie of concessie formuleert (zie hierna §3.3). Daarnaast moet steeds worden bedacht dat de gemeente op basis van een geïsoleerd gegevensbestand niet kan uitgaan van de gedachte dat wanneer een ontvangen bestand eenmaal anoniem is, dit ook anoniem zal blijven, en dat de AVG niet van toepassing zal zijn of worden. Op de gemeente rust

169 Art. 26 AVG.

28

Gemeentelijke grip op private sensorgegevens

een zorgvuldigheidsverplichting om regelmatig na te gaan of de anonimiteit steeds is geborgd, juist wanneer het geanonimiseerde bestand wordt gekoppeld met andere bestanden. Diverse bedrijfsmedewerkers gaven tijdens de interviews aan in beginsel open te staan voor het delen van gegevens die zij reeds zelf verzamelen, maar zij vinden het minder aantrekkelijk als zij voor de gemeente aanvullende gegevens zouden moeten verzamelen die zij zelf in eerste instantie niet verzamelen.

In sommige situaties krijgt de gemeente toegang tot gegevens via zogenoemde ‘dashboards’.170 In dergelijke dashboards kan informatie ter beschikking worden gesteld aan publieke en/of private verwerkingsverantwoordelijken (soms in publiek-private samenwerkingsverbanden), die de informatie voor eigen of gedeelde doeleinden kunnen gebruiken. Indien een dashboard persoonsgegevens bevat of informatie bevat die op persoonsgegevens is gebaseerd, dienen alle verwerkingen in of op basis van informatie uit het dashboard te voldoen aan de AVG. Wanneer meer verwerkingsverantwoordelijken voor een gemeenschappelijk doel gebruik maken van het dashboard, moeten zij als gezamenlijke verwerkingsverantwoordelijken beslissen hoe de verantwoordelijkheden ten aanzien van de persoonsgegevens verdeeld zijn. Dit met het oog op de verplichtingen die zij jegens betrokkenen hebben.

Wanneer de gemeente door middel van B2G-gegevensdeling toegang verkrijgt tot persoonsgegevens in het dashboard, treedt zij op als verwerkingsverantwoordelijke (en eventueel als gezamenlijk verwerkingsverantwoordelijke).171 Het is niet uitgesloten dat een private partij een gegevensbestand met persoonsgegevens verstrekt aan de gemeente, waarvan niet duidelijk is of de oorspronkelijke verzameling door de private partij werd gebaseerd op een rechtmatige grondslag in de AVG.172 Vanwege het beginsel van rechtsstatelijkheid en het belang van het vertrouwen van de samenleving in publieke diensten, dient de gemeente zich er steeds van te vergewissen dat de persoonsgegevens die zij eventueel verwerft door de private partij in overeenstemming met de AVG werden verwerkt. Zo is niet altijd duidelijk of voorafgaand aan de gegevensverzameling met een private sensor in openbare ruimten met (uitdrukkelijke) toestemming werd verkregen.

De gemeente moet private partijen het goede voorbeeld geven, door bij elke voorgenomen verwerking van private sensorgegevens met persoonsgegevens – of een vermoeden daarvan – een DPIA te verrichten en de Commissie Persoonsgegevens Amsterdam te vragen om een advies over conformiteit met de AVG.173 Indien en voor zover de gemeente voornemens is de verkregen persoonsgegevens beschikbaar te stellen aan derden, is zij gelet op het feit dat ook dan sprake is van een verwerking in de zin van de AVG, wederom gebonden aan het juridisch kader van de AVG.174

170 Geïnterviewde gemeentemedewerkers droegen hiervan diverse voorbeelden aan. Een dashboard maakt onder meer

evaluaties mogelijk nadat bijvoorbeeld een vorm van deelmobiliteit is geïmplementeerd. Op basis van het dashboard kunnen betrokken private partijen (zoals deelmobiliteitsaanbieders) en de gemeente op meer systematische wijze evalueren wat het gebruik van deelmobiliteit is, het effect op de openbare ruimte en het reisgedrag van gebruikers meten en besluiten waar ruimte voor verbetering/bijsturing ligt. CROW is een kennisplatform dat beoogt dergelijke dashboards tot ontwikkeling te laten komen zodat de betrokken verwerkingsverantwoordelijken hun eigen onderzoeken onder de gebruikers kunnen standaardiseren. Zie https://www.crow.nl/dashboard-autodelen/home/aan-de-slag-1/onderzoekendeelmobiliteit-gemeenten, bezocht op 12 september 2022. 171 Art. 26 AVG. 172 Art. 6 lid 1 sub a, b of f AVG; zie §3.1.1. 173 De Commissie Persoonsgegevens Amsterdam adviseert de gemeente Amsterdam onder meer over het privacy-beleid van de gemeente en de uitvoering daarvan. Daarnaast adviseert de commissie de ambtelijke organisatie bij complexe en/of politiek gevoelige kwesties rondom persoonsgegevens. Zie https://www.amsterdam.nl/bestuurorganisatie/organisatie/overige/adviesraden/commissie-persoonsgegevens-amsterdam/, bezocht op 28 juni 2022. 174 Art. 4 sub 2 AVG.

29

Gemeentelijke grip op private sensorgegevens

3.2.3 AI-Verordening Juridisch kader Private sensoren die gegevens over personen in de openbare ruimte verzamelen, kunnen soms worden gekwalificeerd als “artificiële-intelligentiesystemen” (AI-systemen) in de zin van het voorstel voor een Europese AI-Verordening.175 Private partijen die AI-systemen (willen) gebruiken voor de verzameling van gegevens in de openbare ruimte, zullen voorafgaand aan de inzet ervan moeten beoordelen of het systeem een ‘onaanvaardbaar’, ‘hoog’ of ‘laag’ risico met zich meebrengt voor de gezondheid, de veiligheid en de fundamentele rechten. Deze kwalificatie zal een private partij (mede) op basis van een DPIA, zoals die is voorgeschreven in AVG, moeten vaststellen.176 Afhankelijk van de risicokwalificatie gelden specifieke regels. Sensoren uitgerust met software voor biometrische identificatie op afstand – zowel in real-time als achteraf – gelden bijvoorbeeld als AI-systemen met een hoog risico.

De AI-Verordening voorziet in een meldingsplicht van hoog-risico systemen bij een toezichthoudende instantie.177 Deze instantie kent conformiteitsbeoordelingen toe aan organisaties die voldoen aan de vereisten die de AI-Verordening stelt.178 Voor publieke actoren kent de concept-AI-Verordening geen zelfstandig regime rondom het gebruik van AI-systemen, al is het gebruik van AI-systemen die de betrouwbaarheid van natuurlijke personen op basis van hun gedrag analyseren (‘social scoring’) in beginsel verboden.179 De overige bepalingen die het gebruik in de publieke sector reguleren, zien op toepassingen in de rechtshandhaving en vallen daarmee buiten het bestek van dit rapport.180 Voor het overige lijkt de AI-verordening het gebruik van biometrische identificatie op afstand toe te staan voor niet-wetshandhavingsdoeleinden, zoals crowd control of volksgezondheid.181 Deze toepassingen vallen, voor zover er persoonsgegevens worden verwerkt, ook onder het bereik van de AVG. Bij verwerkingen van biometrische gegevens voor dergelijke publieke doeleinden dient de gemeente aldus steeds te voldoen aan de AVG en aan de grondwettelijke vereisten voor de verwerking.

Gelet op het feit dat het bij de verwerking van biometrische gegevens steeds om bijzondere persoonsgegevens gaat, zullen de vereiste noodzaak, evenredigheid en subsidiariteit door de AP of de rechter aan een indringende toets worden onderworpen. Vanwege het hoge risico van AI-systemen voor fundamentele rechten en gegevensbescherming zijn publieke actoren bij voorgenomen gegevensverwerking met dergelijke systemen gehouden een DPIA uit te voeren.

Deelvraag 1: handelingsperspectief bij betere naleving van de fundamentele rechten Op dit punt dient de gemeente de juridische kaders te volgen die zijn opgenomen bij de fundamentele rechten en bij de AVG zoals beschreven in §§3.2.1 en 3.2.2.

Deelvraag 2: normering B2G-gegevensdeling en deling met derden In alle gevallen waarin de gemeente middels B2G-gegevensdeling sensorgegevens verkrijgt die met AI-systemen werden gegenereerd, gelden steeds de grondwettelijke vereisten, en waar persoonsgegevens bij de vorming van de gegevensbestanden of in de gegevensbestanden zelf aanwezig zijn, geldt bovendien 175 European Commission, Proposal for a Regulation of the European Parliament and of the Council laying down

harmonised rules on artificial intelligence (Artificial Intelligence Act) and amending certain Union legislative acts (COM(2021) 206 final); zie Art. 3 lid 1 sub 3 AI-Verordening. 176 Artt. 29 lid 6 en 13 AI-Verordening en art. 35 AVG. 177 Art. 30 AI-Verordening. 178 Artt. 33 en 43 AI-Verordening. Bij goedkeuring ontvangt de private partij een certificaat voor een door de toezichthouder vastgestelde periode (Art. 44 AI-Verordening). 179 Art. 5 lid 1 sub c AI-Verordening; het verbod wordt nader ingekleurd door twee voorwaarden, zie onder (i) en (ii) van hetzelfde artikel. 180 Art. 5 lid 1 sub d en lid 2 t/m 4 AI-Verordening zien toe op AI-toepassingen in de strafvorderlijke sfeer. 181 M. Veale & F. Zuiderveen Borgesius, ‘Demystifying the draft EU Artificial Intelligence Act’ (2021) Computer Law Review International 4, p. 97.

30

Gemeentelijke grip op private sensorgegevens

de AVG. Bij de verwerking van persoonsgegevens is de gemeente, gelet op risico’s die kleven aan informatie die wordt gegenereerd met behulp van AI gehouden een DPIA uit te voeren. De gemeente zal bij het verrichten van een DPIA in gevallen waarin AI werd gebruikt mogelijk beperkte toegang tot relevante informatie voor de risicobeoordeling hebben. De gemeente was immers niet betrokken in het ontwerp- en ontwikkelstadium van het AI-systeem en heeft daarmee beperkt inzicht in de wijze waarop het AI-systeem werd getraind, in de bias van de trainingsgegevens of in de discriminerende vooringenomenheid die de op het AI-systeem gebaseerde private sensorgegevens met zich kunnen meebrengen, of in de foutmarges die de private partij acceptabel vond, maar die in publiekrechtelijke context problematisch zouden kunnen zijn, of in de ondoorzichtigheid en daarmee (veelal) beperkte interpreteerbaarheid van de modellen en hun voorspellingen. Private partijen zullen hun ontwerp, doelstelling en overige keuzes in het ontwerp van een AI-systeem immers inkleuren met commerciële waarden. Die waarden zijn niet voor elke toepassing in de publieke sector acceptabel. Daarmee kan het voor de gemeente erg lastig zijn om bijvoorbeeld beleids- en besluitvorming die (deels) is gebaseerd op een met een AI-systeem gegenereerde gegevens te motiveren, te rechtvaardigen en te verantwoorden.