Rapport gemeentelijke grip op private sensorgegevens.pdf

In de Algemene Subsidieverordening Amsterdam 2013 is weliswaar neergelegd dat het college van burgemeester en wethouders nadere regels kan vaststellen met betrekking tot de verplichtingen die aan de subsidie kunnen worden verbonden, maar dit lijkt ons een te magere grondslag om ook de bevoegdheid te behelzen dat regels kunnen worden gesteld inzake oneigenlijke verplichtingen. Het is wel mogelijk dat de gemeenteraad zelf een bijzondere subsidieverordening vaststelt waarin aanvullende niet-doelgebonden verplichtingen zijn opgenomen.251 Let wel, los van de vraag of thans een voldoende wettelijke grondslag bestaat voor het opleggen van de oneigenlijke verplichting dat (bepaalde) private sensorgegevens die in de openbare ruimte zijn verkregen, met de gemeente Amsterdam moeten worden gedeeld, moet ook zijn voldaan aan de eis dat deze verplichting betrekking heeft op de wijze waarop of de middelen waarmee de gesubsidieerde activiteit wordt verricht.

Uit de schaarse jurisprudentie over artikel 4:39 Awb blijkt dat de bestuursrechter kritisch is ten aanzien van oneigenlijke verplichtingen.252 Uit de jurisprudentie blijkt namelijk dat het verband tussen de oneigenlijke verplichting en de gesubsidieerde activiteit niet te ver verwijderd mag zijn.253 Ten slotte plaatsen wij bij het voorgaande voor de zekerheid nog de kanttekening dat het anders ligt indien de private sensorgegevens ook persoonsgegevens bevatten. In dat geval geldt immers het kader van de AVG (§3.2.2). Wanneer private partijen persoonsgegevens verwerken door middel van sensoren, dan kunnen zij die niet zomaar overdragen aan derden (waaronder de gemeente). Wanneer het overdragen van sensorgegevens op grond van de AVG niet mogelijk is, dan kan dit niet worden omzeild door middel van het opleggen van subsidieverplichtingen.

250 Zie over oneigenlijke verplichtingen Den Ouden, Jacobs & van den Brink 2021, p. 167 e.v.

251 Wij nemen aan dat de laatste zin van de toelichting op art. 11 van de Algemene Subsidieverordening Amsterdam 2013

hierop doelt. 252 Zie hierover uitgebreid Den Ouden, Jacobs & Van den Brink 2021, p. 168 e.v. 253 Zie ABRvS 4 mei 2016, ECLI:NL:RVS:2016:1177, AB 2016/285, m.nt. W. den Ouden.

45

Gemeentelijke grip op private sensorgegevens

3.3.3 Privaatrechtelijke instrumenten Naast de in de vorige paragraaf besproken publiekrechtelijke instrumenten, zou de gemeente Amsterdam ook privaatrechtelijke instrumenten kunnen inzetten om i) de fundamentele rechten te beschermen van personen op wie private sensorgegevens betrekking hebben en ii) toegang te verkrijgen tot (bepaalde) private sensorgegevens die zijn verkregen in de openbare ruimte. Alvorens wij ingaan op een aantal specifieke privaatrechtelijke instrumenten, schetsen wij eerst de algemene juridische kaders die gelden bij privaatrechtelijk overheidshandelen. De gemeente Amsterdam heeft, net als elke publiekrechtelijke rechtspersoon, in beginsel de vrijheid om te kiezen tussen de publiekrechtelijke of de privaatrechtelijke weg om voormelde doelen te bereiken. Die keuzevrijheid wordt echter beperkt door de zogenoemde tweewegenleer en de bijbehorende doorkruisingsformule uit het Windmill-arrest.254 In dat arrest heeft de Hoge Raad overwogen dat, wanneer de wet niet voorziet in een antwoord op de vraag of de overheid gebruik mag maken van haar privaatrechtelijke bevoegdheden in plaats van of in aanvulling op haar publiekrechtelijke bevoegdheden, voor de beantwoording van die vraag beslissend is of het gebruik van privaatrechtelijke bevoegdheden de betrokken publiekrechtelijke regeling op onaanvaardbare wijze doorkruist.

Daarbij moet onder meer worden gelet op:   

de inhoud en strekking van de publiekrechtelijke regeling (mede in het licht van de wetsgeschiedenis); de wijze waarop en de mate waarin in het kader van die publiekrechtelijke regeling de belangen van burgers zijn beschermd; en of de overheid door gebruikmaking van de publiekrechtelijke regeling een vergelijkbaar resultaat kan bereiken als met de inzet van de privaatrechtelijke bevoegdheid, omdat dit een belangrijke aanwijzing is dat geen plaats is voor de privaatrechtelijke weg.

De voorvraag is dus altijd of de wet duidelijk is over de toelaatbaarheid van privaatrechtelijk overheidshandelen. Dat is meestal niet zo. Als de wet niet duidelijk is, moet de doorkruisingsformule worden toegepast aan de hand van onder meer de bovenstaande drie ijkpunten. Deze ijkpunten zijn niet limitatief: de rechter betrekt soms ook andere maatstaven bij de beantwoording van de vraag of privaatrechtelijk overheidshandelen is toegestaan, zoals de regel dat de overheid geen misbruik mag maken van een privaatrechtelijke bevoegdheid (artikel 3:13 BW).255 De ijkpunten zijn ook niet cumulatief: privaatrechtelijk overheidshandelen kan reeds op basis van één ijkpunt worden uitgesloten of juist toegestaan. De formulering dat het privaatrechtelijk overheidshandelen de betrokken publiekrechtelijke regeling niet ‘op onaanvaardbare wijze’ mag doorkruisen, laat zien dat de rechter niet snel geneigd is om aan te nemen dat de overheid haar privaatrechtelijke bevoegdheden niet mag gebruiken in plaats van of naast haar publiekrechtelijke bevoegdheden. De meest voor de hand liggende publiekrechtelijke regeling die de gemeente Amsterdam zou kunnen doorkruisen door via de privaatrechtelijke weg voorwaarden te stellen aan de verzameling en/of het gebruik van private sensorgegevens, is de (Uitvoeringswet) Algemene verordening gegevensbescherming (hierna: (U)AVG).

De (wetsgeschiedenis van de) (U)AVG geeft zelf geen antwoord op de vraag of de gemeente dergelijke voorwaarden via het privaatrecht mag opleggen. Als het gaat om het doel dat de gemeente met die voorwaarden de fundamentele rechten van personen op wie de private sensorgegevens betrekking hebben, (beter) wil beschermen, dan doorkruist de gemeente vermoedelijk niet de (U)AVG door die 254 HR 26 januari 1990, ECLI:NL:HR:1990:AC0965 (Windmill). Zie hierover uitgebreid P.J. Huisman en F.J. van Ommeren,

Hoofdstukken van privaatrechtelijk overheidshandelen. Publiekrechtelijke en privaatrechtelijke rechtspersonen op de grens van publiek- en privaatrecht, Deventer: Wolters Kluwer 2019, p. 417 e.v. 255 HR 5 juni 2009, ECLI:NL:HR:2009:BH7845 (Amsterdam/Geschiere). Zie over deze maatstaven uitgebreid Huisman & Van Ommeren 2019, p. 437 e.v.

46

Gemeentelijke grip op private sensorgegevens

voorwaarden via het privaatrecht op te leggen. Het beschermen van de fundamentele rechten van personen op wie sensorgegevens betrekking hebben, is immers in lijn met de inhoud en strekking van de (U)AVG en de wijze waarop de (U)AVG de belangen van burgers beschermt. In beginsel kan de gemeente verdergaande bescherming van die fundamentele rechten vereisen dan strikt genomen op grond van het EU-recht, waaronder de AVG, noodzakelijk is, mits daardoor de voorrang, eenheid en werking van het EU-recht c.q. de AVG niet in gevaar komen.256 Anderzijds heeft de overheid, althans de AP, op grond van de (U)AVG allerlei publiekrechtelijke bevoegdheden om de bescherming van die fundamentele rechten te waarborgen, waaronder het opleggen van een bestuurlijke boete of een last onder dwangsom. Zodoende kan de overheid in het algemeen via het publiekrecht een vergelijkbaar resultaat bereiken als door via het privaatrecht voorwaarden te stellen over de bescherming van fundamentele rechten bij de verzameling van sensorgegevens. Als het gaat om het doel dat de gemeente met de voorwaarden toegang verkrijgt tot (informatie over) private sensorgegevens, niet zijnde persoonsgegevens in de zin van de (U)AVG, voor de verwezenlijking van publieke doeleinden, dan is er (nog) geen wet die dit mogelijk maakt en die dus zou kunnen worden doorkruist.

Mocht een dergelijke wet er komen, bijvoorbeeld in navolging van de concept-Dataverordening (§3.2.9), dan zou die ertoe kunnen leiden dat het de gemeente op grond van de doorkruisingsformule niet langer vrijstaat om via het privaatrecht sensorgegevens te verkrijgen. Het privaatrechtelijk verkrijgen van sensorgegevens die in strijd met de (U)AVG zijn verwerkt, doorkruist overigens zonder meer de (U)AVG, aangezien dergelijk privaatrechtelijk overheidshandelen evident in strijd zou zijn met de wet (artikel 3:40, eerste lid, BW) en bovendien de fundamentele rechten zou schenden van de personen op wie de sensorgegevens betrekking hebben (artikel 3:14 BW).257 Zoals gezegd kan de gemeente de normering van fundamentele rechten en algemene beginselen van behoorlijk bestuur immers niet ‘ontlopen’ door gebruik te maken van haar privaatrechtelijke bevoegdheden.258 Al met al is het uitgangspunt voor privaatrechtelijk handelen door de overheid (ja, de gemeente mag privaatrechtelijk handelen, tenzij zij daarmee het publiekrecht onaanvaardbaar doorkruist) fundamenteel anders dan het uitgangspunt voor publiekrechtelijk handelen door de overheid (nee, de gemeente mag niet publiekrechtelijk handelen, tenzij daar een wettelijke grondslag voor bestaat).

Dit uitgangspunt voor publiekrechtelijk handelen is immers gestoeld op het legaliteitsbeginsel, dat niet geldt voor privaatrechtelijk overheidshandelen. Vergelijk hierover verder §3.3.2. In de rest van deze paragraaf bespreken wij drie privaatrechtelijke instrumenten die voor dit rapport in het bijzonder relevant zijn. Het gaat dan om de ‘gewone’ privaatrechtelijke overeenkomst, de overheidsopdracht en de concessie. In het kader van dit onderzoek zijn twee vragen van belang: 



Kan de gemeente Amsterdam in een privaatrechtelijke overeenkomst, een overheidsopdracht of een concessie voorwaarden opnemen die ertoe strekken dat de fundamentele rechten van personen op wie de private sensorgegevens die de wederpartij verzamelt betrekking hebben, worden beschermd? Kan de gemeente Amsterdam in een privaatrechtelijke overeenkomst, een overheidsopdracht of een concessie voorwaarden opnemen die ervoor zorgen dat de wederpartij verplicht is om de gemeente Amsterdam private sensorgegevens die zijn verkregen in de openbare ruimte over te dragen, zodat de gemeente die gegevens kan gebruiken voor publieke doeleinden?

256 Vergelijk HvJ EU 26 februari 2013, C-399/11, ECLI:EU:C:2013:107 (Melloni), r.o. 58-60. 257 HR 26 april 1996, ECLI:NL:HR:1996:ZC2051 (Rasti Rostelli).

Zie art. 3:14 BW en art. 3:1, tweede lid, Awb. Zie ook HR 27 maart 1987, ECLI:NL:HR:1987:AG5565 (Amsterdam/IKON), HR 24 april 1992, ECLI:NL:HR:1992:ZC0582 (Zeeland/Hoondert) en HR 26 april 1996, ECLI:NL:HR:1996:ZC2051 (Rasti Rostelli). 258

47

Gemeentelijke grip op private sensorgegevens

Privaatrechtelijke overeenkomst Een overeenkomst is een meerzijdige rechtshandeling, aangezien een of meer partijen met een of meer andere partijen een verbintenis aangaan (artikel 6:213 BW). De gemeente Amsterdam is net als een ‘gewone’ natuurlijke persoon of een privaatrechtelijke rechtspersoon bevoegd tot het sluiten van overeenkomsten (artikel 2:1 en 2:5 BW). In de praktijk zijn de organen (bestuursorganen) van de gemeente dan aan zet. Het college van burgemeester en wethouders is bevoegd te besluiten tot privaatrechtelijke rechtshandelingen van de gemeente, waaronder het sluiten van overeenkomsten (artikel 160 Gemeentewet).259 De burgemeester is bevoegd om namens de gemeente overeenkomsten te sluiten en kan die bevoegdheid opdragen aan een door hem/haar aan te wijzen persoon (artikel 171 Gemeentewet). Uit de jurisprudentie blijkt dat de vraag of degene die namens een publiekrechtelijke rechtspersoon een overeenkomst sluit daartoe wel bevoegd is, een belangrijk aandachtspunt is dat in de praktijk nog weleens wordt vergeten.260 De gemeente heeft in beginsel contractsvrijheid.

Contractsvrijheid vloeit voort uit het beginsel van partijautonomie en betekent dat het een partij vrijstaat om wel of niet een overeenkomst aan te gaan, te kiezen voor een contractspartner en de inhoud van het contract naar eigen inzicht te bepalen.261 De contractsvrijheid van de overheid wordt evenwel beperkt door publiekrechtelijke regels, zoals in bepaalde gevallen de Aanbestedingswet en in alle gevallen de fundamentele rechten en algemene beginselen van behoorlijk bestuur (artikel 3:14 BW). Op zichzelf zien wij geen beperkingen met betrekking tot het opnemen van voorwaarden die zien op de verzameling en/of het delen van sensorgegevens in een ‘gewone’ privaatrechtelijke overeenkomst, mits de gemeente – zoals gezegd – daarmee niet het publiekrecht onaanvaardbaar doorkruist en/of in strijd handelt met geschreven of ongeschreven publiekrechtelijke regels, waaronder de fundamentele rechten en algemene beginselen van behoorlijk bestuur. De zojuist beschreven contractsvrijheid komt echter ook de wederpartij van de gemeente toe, die waarschijnlijk niet (zomaar) akkoord zal gaan met voorwaarden die zien op de verzameling en/of het delen van sensorgegevens. Dat akkoord is wel nodig voor een geldige overeenkomst, want die komt tot stand door een aanbod en de aanvaarding daarvan, oftewel wilsovereenstemming (artikel 6:217, eerste lid, BW).

Anders gezegd: de gemeente kan een private partij met een overeenkomst niet eenzijdig dwingen tot het accepteren van voorwaarden die zien op de verzameling en/of het delen van sensorgegevens. Dat ligt anders als de gemeente bepaalde publiekrechtelijke instrumenten inzet (§3.3.2). Zo kan de gemeente met een vergunningstelsel een private partij die de vergunningplichtige activiteit wil uitvoeren, eenzijdig dwingen tot het accepteren van bepaalde voorwaarden (voorschriften). Overigens hebben derden, in het bijzonder de personen op wie de sensorgegevens betrekking hebben, géén wilsovereenstemming bij een overeenkomst tussen de gemeente en een private partij die die sensorgegevens verzamelt. Zij zijn immers geen partij bij die overeenkomst. Dit benadrukt het reeds besproken belang van de bescherming van hun fundamentele rechten, bijvoorbeeld door als gemeente alleen niet tot personen herleidbare sensorgegevens te accepteren. Hoewel de gemeente een private partij met een overeenkomst dus niet eenzijdig kan dwingen tot het accepteren van voorwaarden die zien op de verzameling en/of het delen van sensorgegevens, ligt de verhouding anders c.q. is de positie van de gemeente sterker als zij die voorwaarden verbindt aan het gunnen van een overheidsopdracht of een concessie aan de private partij. De gemeente heeft dan immers een (lucratieve) overheidsopdracht of concessie te bieden.

De vraag is vervolgens welke grenzen het aanbestedingsrecht stelt aan het opleggen van voorwaarden aan gegadigden c.q. de ondernemer aan wie de gemeente de overheidsopdracht of de concessie gunt.

259 Daarbij kan het college van burgemeester en wethouders overigens niet de gemeenteraad eenzijdig binden ten aanzien

van een bevoegdheid van de gemeenteraad. Vergelijk recent ABRvS 20 januari 2021, ECLI:NL:RVS:2021:113, r.o. 5.3. 260 Zie hierover uitgebreid Huisman & Van Ommeren 2019, p. 140 e.v. 261 Asser/Sieburgh 6-III 2022/41.

48

Gemeentelijke grip op private sensorgegevens

Overheidsopdracht Een overheidsopdracht is een schriftelijke overeenkomst onder bezwarende titel tussen een aanbestedende dienst en een ondernemer, die betrekking heeft op het verlenen van een dienst, het leveren van een product of de uitvoering van een werk (artikel 1.1 Aanbestedingswet). Simpel gezegd koopt de overheid met een overheidsopdracht iets in. Dat kan gaan om bureaustoelen voor in het gemeentehuis, maar ook het ontwerp en de bouw van een heel nieuw gemeentehuis. Naar Nederlands recht is een overheidsopdracht een privaatrechtelijk instrument. Voor overheidsopdrachten geldt de Aanbestedingswet, op grond waarvan aanbestedende diensten verplicht kunnen zijn om een opdracht aan te besteden. De gemeente Amsterdam is een aanbestedende dienst (artikel 1.1 Aanbestedingswet). Over de band van artikel 3:14 BW heeft de gemeente Amsterdam zich ook als aanbestedende dienst aan de fundamentele rechten en algemene beginselen van behoorlijk bestuur te houden. Welke voorwaarden ten aanzien van de verzameling en/of het gebruik van sensorgegevens kan de gemeente Amsterdam stellen aan deelnemers aan aanbestedingen? Voor alle voorwaarden geldt dat zij proportioneel moeten zijn.

Dit betekent dat de gemeente uitsluitend voorwaarden mag stellen die in een redelijke verhouding staan tot het voorwerp van de opdracht.262 Bovendien is de gemeente op grond van het transparantiebeginsel verplicht de relevante eisen en criteria voorafgaand aan de inschrijving bekend te maken.263 Tot slot kunnen voorwaarden ten aanzien van de verzameling en/of het gebruik van sensorgegevens mogelijk worden aangemerkt als zogenoemde bijzondere voorwaarden, aangezien deze voorwaarden verband houden met de verwezenlijking van bepaalde publieke doeleinden. Bijzondere voorwaarden moeten bij Europese aanbestedingen verband houden met het voorwerp van de opdracht en worden vermeld in de aankondiging of de aanbestedingsstukken (artikel 2.80 Aanbestedingswet). Het is lastig om precies te voorspellen welke voorwaarden over de verzameling en/of het gebruik van sensorgegevens door de aanbestedingsrechtelijke beugel kunnen. Veel hangt af van het voorwerp van de opdracht.

Als de opdracht bijvoorbeeld draait om ICT-diensten waarmee persoonsgegevens zijn gemoeid, dan ligt het voor de hand om aan de opdrachtnemer eisen op te leggen die zien op de bescherming van de personen op wie de gegevens betrekking hebben.264 Als de opdracht echter weinig tot niets te maken heeft met het verzamelen van sensorgegevens door de opdrachtnemer, die de sensorgegevens buiten het bestek van de opdracht in de eigen bedrijfsvoering verzamelt, dan staat de Aanbestedingswet niet toe dat de gemeente binnen het bestek van de opdracht over de verzameling van sensorgegevens voorwaarden stelt. Dergelijke voorwaarden zouden over de band van artikel 3:13 BW voorts kunnen leiden tot misbruik van een privaatrechtelijke bevoegdheid, in dit geval de bevoegdheid tot het sluiten van een overeenkomst van opdracht (artikel 7:400 BW). Nog lastiger is het om via een overheidsopdracht af te dwingen dat de opdrachtnemer de aanbestedende dienst toegang verschaft tot door hem verzamelde sensorgegevens. De gemeente Amsterdam zou de verzameling van sensorgegevens als dienst kunnen inkopen, zodat het logisch is dat zij aan die opdracht de voorwaarde verbindt dat de opdrachtnemer de gemeente toegang verschaft tot de sensorgegevens.

Maar ook hier geldt: als de opdracht daarentegen weinig tot niets te maken heeft met het verzamelen van sensorgegevens door de opdrachtnemer, die de sensorgegevens buiten het bestek van de opdracht in de eigen bedrijfsvoering verzamelt, dan staat de Aanbestedingswet niet toe dat de gemeente eist dat de opdrachtnemer die sensorgegevens met de gemeente deelt.

Zie art. 1.10 Aanbestedingswet voor Europese aanbestedingen, art. 1.13 Aanbestedingswet voor nationale aanbestedingen en art. 1.16 Aanbestedingswet voor meervoudig onderhandse procedures. Deze artikelen verwijzen naar de Gids Proportionaliteit (GP) als verplicht te volgen richtsnoer. Afwijkingen van de GP moet de aanbestedende dienst kunnen motiveren (comply or explain). 263 Zie voor Europese aanbestedingen art. 1.9 Aanbestedingswet en voor nationale aanbestedingen art. 1.12, tweede lid, Aanbestedingswet. 264 Vergelijk art. 25 Gemeentelijke inkoopvoorwaarden bij IT (GIBIT) van de gemeente Amsterdam en Sensoren en de rol van gemeenten. VNG Realisatie Whitepaper, Den Haag: VNG 2018, p. 16. 262

49

Gemeentelijke grip op private sensorgegevens

Daar komt bij dat sensorgegevens waarde hebben. Het is niet proportioneel om de toegang tot waardevolle sensorgegevens over de band van een overheidsopdracht te vereisen, als de kostprijs voor de uitvoering van die opdracht daar niet op is afgestemd. Dan bestaat er immers geen redelijke verhouding tussen de voorwaarde (toegang tot sensorgegevens) en het voorwerp van de opdracht, die niet gaat over het verzamelen van de sensorgegevens en dus ook qua prijs daar niet op is afgestemd. Dergelijke voorwaarden zouden over de band van artikel 3:13 BW voorts kunnen leiden tot misbruik van een privaatrechtelijke bevoegdheid, in dit geval de bevoegdheid tot het sluiten van een overeenkomst van opdracht (artikel 7:400 BW). In het uitzonderlijke geval dat voorwaarden over de verzameling of het gebruik van sensorgegevens de proportionaliteitstoets doorstaan en voldoende verband houden met het voorwerp van de opdracht, geniet de gemeente belangrijke voordelen: het is gebruikelijk dat aanbestedende diensten de inschrijvers op een aanbesteding om een onvoorwaardelijke aanvaarding van de conceptovereenkomst vragen.265 Elk voorbehoud dat de inschrijver daarin maakt, zal leiden tot ongeldigheid van zijn inschrijving.266 Dit laat onverlet dat potentiële inschrijvers altijd de kans dienen te krijgen om suggesties te doen voor aanpassingen aan de conceptovereenkomst.

Het opleggen van een contract zonder enige mogelijkheid voor de inschrijver om daarover suggesties in te dienen, is in beginsel disproportioneel.267 Los daarvan loopt de gemeente het risico om weinig tot geen (serieuze) inschrijvers op een opdracht aan te trekken, als zij de waarde van de opdracht niet (voldoende) afstemt op de kosten die de opdrachtnemer direct of indirect moet maken om te voldoen aan de eisen over de verzameling of het gebruik van sensorgegevens.

Concessie Een concessie is een beschikking of een schriftelijke overeenkomst onder bezwarende titel waarbij een handeling wordt toegestaan en tot uitvoering van die handeling wordt verplicht. Een concessie kan dus zowel publiekrechtelijk als privaatrechtelijk van aard zijn. Een privaatrechtelijke concessie wordt ook wel concessieopdracht genoemd. Een concessieopdracht is een schriftelijke overeenkomst onder bezwarende titel die is gesloten tussen een ondernemer en een aanbestedende dienst en die betrekking heeft op het verlenen van diensten of de uitvoering van werken, waarvoor de tegenprestatie bestaat uit het recht de diensten of werken te exploiteren, al dan niet inclusief een betaling (artikel 1.1 Aanbestedingswet). Simpel gezegd gaat het bij concessies meestal om een privaatrechtelijke rechtspersoon die een bepaalde publieke taak verricht, zoals het verzorgen van openbaar vervoer.

De concessiehouder is, anders dan een vergunninghouder (§3.3.2), verplicht om de concessie in gebruik te nemen en uit te voeren.268 De in artikel 1.9 en 1.10 Aanbestedingswet opgenomen beginselen van transparantie en proportionaliteit zijn in beginsel ook van toepassing op het plaatsen van een concessieopdracht, zodat de bovenstaande analyse over de toelaatbaarheid van voorwaarden over de verzameling of het gebruik van sensorgegevens bij overheidsopdrachten in zoverre van gelijke strekking is bij concessieovereenkomsten.269 Wat betreft het openbaar vervoer binnen de gemeente Amsterdam geldt op grond van artikel 63a, eerste lid, Wp een uitzondering op de aanbesteding van de concessie voor openbaar vervoer, anders dan per trein. Daarom exploiteert GVB Exploitatie BV tot op heden een onderhands gegunde concessie voor openbaar vervoer met metro, bus en tram. Voor een dergelijke concessieverlening is vereist dat de 265 Vergelijk de soepele opstelling van de rechter ten aanzien van de vereiste overdracht van auteursrechten op in het kader

van een overheidsopdracht verzamelde sensorgegevens en de openbaarmaking daarvan in Rechtbank Den Haag 27 maart 2019, ECLI:NL:RBDHA:2019:3623, JAAN 2019/114, m.nt. J.I. Kohlen en Gerechtshof Den Haag 25 april 2019, ECLI:NL:GHDHA:2019:906, JAAN 2019/105, m.nt. J.I. Kohlen. 266 M.J.J.M. Essers en C.A.M. Lombert, Aanbestedingsrecht voor overheden. Naar een maatschappelijk verantwoord aanbestedingsbeleid, Deventer: Vakmedianet 2017, p. 216 e.v. 267 Voorschrift 3.9 B GP. 268 F.J. van Ommeren, ‘Concessies 2.0: de concessie op de grens van de vergunning, de overheidsopdracht en de subsidie’, NTB 2020/257, p. 639-648. 269 De wetgever kan het aanbestedingsrecht van toepassing verklaren op publiekrechtelijke concessies, zoals in art. 61, eerste lid, Wp.

50

Gemeentelijke grip op private sensorgegevens

Vervoerregio Amsterdam als concessieverlener over GVB net als over haar eigen diensten zeggenschap uitoefent (quasi-inbesteding). Aangezien de gemeente Amsterdam slechts een van de vijftien gemeenten is die onderdeel uitmaken van de Vervoerregio Amsterdam, kan de gemeente Amsterdam niet op eigen houtje voorwaarden opleggen aan GVB die zien op de verzameling en/of het gebruik van sensorgegevens.270 Op grond van artikel 30c Wp kunnen bij of krachtens algemene maatregel van bestuur regels worden gesteld over het beschikbaar stellen van geanonimiseerde en niet tot personen herleidbare gegevens over reizigersstromen, die uit het gebruik van vervoerbewijzen zijn af te leiden. De minister van Infrastructuur en Waterstaat heeft aangegeven van deze mogelijkheid gebruik te willen gaan maken.271 Dit zou ertoe kunnen leiden dat GVB dit type sensorgegevens moet delen met de Vervoerregio Amsterdam en de gemeente Amsterdam. De gemeente Amsterdam heeft echter zelf geen (directe) invloed op de inzet van deze bevoegdheid, aangezien algemene maatregelen van bestuur als instrument zijn voorbehouden aan de regering.

Wel is het mogelijk dat de gemeente er – al dan niet via de VNG en andere netwerkpartners – toe oproept om een algemene maatregel van behoorlijk bestuur op grond van artikel 30c Wp vast te stellen, zoals de minister van Infrastructuur en Waterstaat heeft aangegeven te willen gaan doen, maar tot op heden nog niet heeft gedaan. In de interviews met bedrijfsmedewerkers kwam naar voren dat voor het voldoen aan een dergelijke algemene maatregel van behoorlijk bestuur mogelijk meer capaciteit (geld) nodig is. Naast GVB exploiteert ook N.V. Nederlandse Spoorwegen (hierna: NS) diensten met betrekking tot het openbaar vervoer in Amsterdam, meer specifiek het openbaar treinvervoer. Daartoe is een landelijke concessie voor het hoofdrailnet onderhands gegund aan NS door de staatssecretaris van Infrastructuur en Milieu.272 Het enkele feit dat NS met die concessie een publieke dienst verricht, leidt er niet toe dat NS verplicht is sensorgegevens te delen met de gemeente Amsterdam. De voorwaarden uit de concessie zijn wat dat betreft leidend. In de concessie voor het hoofdrailnet 2015-2025 zijn voorwaarden opgenomen die zien op het verzamelen en delen van (sensor)gegevens door NS.273 Hetzelfde geldt voor het Programma van Eisen (hierna: PvE) voor de nieuwe concessie voor het hoofdrailnet.274 De voorwaarden uit het PvE zijn uitgebreider en gedetailleerder dan die uit de huidige concessie.

Zo verwijst het PvE expliciet naar een DPIA, Mobility as a Service (MaaS) en een deels open-source Data Management System (DMS). De voorwaarden uit het PvE geven de Vervoerregio Amsterdam en de gemeente Amsterdam vermoedelijk meer slagkracht bij het verkrijgen van (sensor)gegevens van NS dan zij op basis van de huidige concessie hebben, met dien verstande dat het nog niet om definitieve concessievoorwaarden gaat. Uit de interviews met gemeentemedewerkers is gebleken dat er vanuit de gemeente bezien behoefte is aan die slagkracht. Ook ten aanzien van NS is overigens een regierol weggelegd voor de minister van Infrastructuur en Waterstaat, aangezien deze directe invloed heeft op de (handhaving van) nieuwe concessievoorwaarden, en omdat de gegevensuitwisseling door NS niet alleen voor de gemeente Amsterdam van belang is.275 De gemeente kan – al dan niet via de VNG en/of in samenwerking met andere netwerkpartners – de minister oproepen om die regierol (meer) te voeren in aanloop naar de nieuwe concessieperiode. Hetzelfde geldt 270 Art. 3, derde lid, Gemeenschappelijke regeling Vervoerregio Amsterdam.

271 Kamerbrief van de minister van Infrastructuur en Waterstaat over Wetgevingsopties bij het beschikbaar stellen van OV-

reizigersinformatie van 24 maart 2020. 272 Thans: staatssecretaris van Infrastructuur en Waterstaat. Vergelijk Rechtbank Den Haag 13 december 2022, ECLI:NL:RBDHA:2022:13391. 273 Zie met name artt. 7, 11, 19, 28 en 57. Let wel: de gemeente Amsterdam is geen decentrale overheid volgens de definitie in art. 1. Gedeputeerde Staten en de Vervoerregio Amsterdam zijn dat wel (zie art. 20 lid 2 en 3 Wp en art. 36b Besluit personenvervoer 2000). 274 Bijlage bij Kamerbrief van de staatssecretaris van Infrastructuur en Waterstaat over Programma van Eisen voorgenomen concessie hoofdrailnet van 3 oktober 2022. Zie met name artt. 7, 32, 37, 47, 48 en 49 en bijlage 6, tabel 4. Ook hier is de gemeente Amsterdam geen decentrale overheid volgens de definitie in het PvE. Gedeputeerde Staten en de Vervoerregio Amsterdam zijn dat wel (zie art. 20 lid 2 en 3 Wp en art. 36b Besluit personenvervoer 2000). 275 Vergelijk Decisio, TwynstraGudde en inno-V in opdracht van het ministerie van Infrastructuur en Waterstaat, Effecten van openbaar aanbesteden in het Openbaar Vervoer. Een overzicht van de ervaringen in de periode 2000-2020, 18 maart 2020, p. 39 en 69-70.

51

Gemeentelijke grip op private sensorgegevens

voor de oproep om ook ten aanzien van NS een algemene maatregel van bestuur op grond van artikel 30c Wp vast te stellen.

3.3.4 Soft law-instrumenten Het laatste instrument dat wij hier bespreken, zijn de zogenoemde soft law-instrumenten, die zowel publiekrechtelijk als privaatrechtelijk van karakter kunnen zijn. Hierbij kan bijvoorbeeld worden gedacht aan convenanten, intentieverklaringen en maatschappelijke akkoorden.276 Het betreft geen vastomlijnde of wettelijk gedefinieerde begrippen.277 Afspraken vastgelegd in dergelijke soft law-instrumenten zijn meestal niet in rechte afdwingbaar en zullen de gemeente Amsterdam daarom geen garanties kunnen bieden met betrekking tot de navolging van voorwaarden die zien op de verzamelen en/of het delen van sensorgegevens door private partijen.278 Wel kan de inzet van soft law-instrumenten een (positief) effect hebben op de bewustwording bij private partijen en op de algemene publieke opinie in het voordeel van de betrokken private partijen. Zo bezien kan de inzet van soft law-instrumenten private partijen stimuleren om de fundamentele rechten van personen op wie hun sensorgegevens betrekking hebben, beter te beschermen.279 Een voorbeeld biedt het in 2019 tussen de gemeente Amsterdam en Uber gesloten ‘Social Charter’. Daarin zijn onder meer afspraken opgenomen over het proactief delen van in overeenstemming met de APV geaggregeerde sensorgegevens met de gemeente Amsterdam (onder 6).

276 P.J. Huisman, ‘Maatschappelijke akkoorden en de Aanwijzingen voor convenanten: tijd voor een update!’, RegelMaat

2021, nr. 3, p. 210-229. 277 In de Aanwijzingen voor convenanten (Stcrt. 2003, 18) staat weliswaar een definitie van een convenant, maar deze Aanwijzingen zien alleen op afspraken die de centrale overheid maakt en zijn niet juridisch afdwingbaar. 278 Als deze afspraken wel in rechte afdwingbaar zijn, is waarschijnlijk materieel sprake van een overeenkomst. Vergelijk HR 13 maart 1981, ECLI:NL:HR:1981:AG4158 (Haviltex). 279 Zoals ook naar voren gebracht door meerdere geïnterviewde gemeentemedewerkers. Vergelijk H.E. Bröring & K.J. de Graaf (red.), Bestuursrecht 1. Systeem, bevoegdheid, bevoegdheidsuitoefening, handhaving, Den Haag: Boom juridisch 2022, p. 584; Astrid Voorwinden & Sofia Ranchordás, ‘Soft Law in City Regulation and Governance’, in: U. Morth, E. Korhea-aho en M. Eliantonio (red.), Research Handbook on Soft Law, Edward Elgar Publishing 2022 (digitaal beschikbaar via https://doi.org/10.2139/ssrn.3978959) en Jorgen Schram, Henk den Uijl en Mark van Twist, Actuele kwestie, klassieke afweging. Een verkenning naar de governance van het Nederlandse digitaliseringsbeleid, Den Haag: NSOB 2021, p. 36-37.

52

Gemeentelijke grip op private sensorgegevens

4 Bevindingen en aanbevelingen De centrale vraag in dit onderzoeksrapport luidde wat voor de gemeente Amsterdam de juridische mogelijkheden zijn om ten aanzien van de verzameling en het gebruik van gegevens die door private partijen met behulp van sensoren in de openbare ruimte worden verzameld, binnen het bestuurlijke instrumentarium aanvullende voorwaarden te stellen. Deze vraag valt uiteen in twee deelvragen, te weten: biedt het huidige juridisch kader mogelijkheden voor de gemeente om meer bescherming te bieden aan de fundamentele rechten van personen op wie de private sensorgegevens betrekking hebben? En: kan het juridisch kader de gemeente helpen om ten behoeve van de uitvoering van haar publieke taken – en in het verlengde daarvan, het belang van andere in de stad opererende organisaties – toegang te verkrijgen tot private sensorgegevens die zijn verkregen in de openbare ruimte? Hiertoe hebben we in hoofdstuk 3 het relevante juridisch kader dat nodig is om deze deelvragen te beantwoorden weergegeven en per deelvraag geanalyseerd. In dit hoofdstuk vatten we per deelvraag de gevonden knelpunten en kansen uit hoofdstuk 3 samen en geven we per deelvraag enkele aanbevelingen die de gemeente in overweging zou kunnen nemen bij verdere beleidsvorming op deze twee deelvragen.

4.1

Betere bescherming van de fundamentele rechten

4.1.1 Knelpunten Wanneer een private partij gegevens verwerkt en die gegevensverwerking raakt aan fundamentele rechten, waaronder het recht op privacy, dan is die gegevensverwerking in beginsel toegestaan, tenzij de formele wet daar beperkingen aan stelt. De verwerking van persoonsgegevens door private partijen wordt bijvoorbeeld gereguleerd door de AVG en de Telecommunicatiewet. In specifiek omschreven gevallen kan het Wetboek van Strafrecht van toepassing zijn. Uit de verdere analyse van de wetgeving komt naar voren dat de gemeente in beginsel geen rol toekomt bij het normeren van gegevensverwerkingen door private partijen; die taak is primair belegd bij de formele wetgever. Gemeentelijke inzet van publiekrechtelijke instrumenten (verordening, vergunning, subsidie) moet terug te voeren zijn op een wettelijke grondslag. Wat betreft de handhaving van de AVG is primair een rol weggelegd voor de AP, al kan de gemeente meldingen doen over de omgang van persoonsgegevens bij de AP. In de analyse constateerden we verder dat de gemeentelijke Verordening meldingsplicht sensoren tot doel heeft meer zichtbaarheid te bieden in het aantal sensoren dat in de stad aanwezig is, inclusief sensoren van private partijen. De meldingsplicht is niet vrijblijvend. Private partijen zijn verplicht kenbaar te maken welke gegevens (kunnen) worden ingewonnen.

Daarnaast zijn zij, indien daarbij persoonsgegevens worden verwerkt, verplicht aan te geven op basis van welke wettelijke grondslag uit de AVG de persoonsgegevens worden verwerkt. Daarbij moeten zij een link naar hun privacy-beleid opnemen. Deze informatie komt in een openbaar register te staan, zodat gebruikers van openbare ruimten kunnen nagaan welke gegevens daar over hen worden ingewonnen. Met de Verordening meldingsplicht sensoren kan de gemeente op indirecte wijze bescherming van de fundamentele rechten aan burgers bieden. Een cruciale voorwaarde hierbij is dat de genoemde Verordening door alle partijen met sensoren in de openbare ruime wordt nageleefd en dat sensoren worden gemeld zoals voorgeschreven in het meldingsformulier van de gemeente; dat de Verordening wordt gehandhaafd wanneer het aan de naleving schort (bijvoorbeeld als blijkt dat partijen hun sensor niet of gebrekkig aanmelden); en dat het register wordt onderhouden (bijvoorbeeld doordat wijzigingen in het gebruik van een sensor die gevolgen hebben voor hetgeen zij waarnemen, de duur van de waarneming, etc., tijdig worden doorgegeven aan de registerhouder). Handhaving kan lastig zijn, omdat niet elke private sensor direct zichtbaar is voor gemeentelijke handhavers.

53

Gemeentelijke grip op private sensorgegevens

Het sensorenregister geeft, indien het accuraat is, burgers de mogelijkheid kennis te nemen van de identiteit van private partijen die mogelijk hun persoonsgegevens verwerken. Zij kunnen op basis van die informatie bijvoorbeeld besluiten hun AVG-betrokkenenrechten jegens de verwerkings-verantwoordelijke uit te oefenen.280 Zij kunnen eventuele klachten over niet-naleving van die rechten melden bij de AP. Met de invoering van de betrokkenenrechten in het EU-Handvest en in de AVG is een belangrijk instrument voor de rechtsbescherming van betrokkenen gecreëerd.281 De EU-wetgever had de bedoeling de uitoefening van deze rechten eenvoudig en toegankelijk te maken voor betrokkenen. In de praktijk blijkt echter dat betrokkenenverzoeken zelden leiden tot betekenisvolle informatie voor betrokkenen of tot (betere) naleving van de AVG door de verwerkingsverantwoordelijke in kwestie. Dit heeft te maken met problematische naleving door verwerkingsverantwoordelijken282 en vaak ook met de afwezigheid van expertise, kennis, tijd en middelen bij betrokkenen.

Het indienen en effectueren van een betrokkenenverzoek kan maanden duren en veel correspondentie in vaktaal en (andere) bureaucratische obstakels met de verwerkingsverantwoordelijke met zich meebrengen.283 De effectieve uitoefening van betrokkenenrechten blijkt in de praktijk aldus weerbarstig, al kan de WAMCA hier mogelijk betere perspectieven bieden.

4.1.2 Aanbevelingen Maak de link naar het meldingsformulier goed vindbaar De gemeente Amsterdam is na een ‘wenperiode’ voornemens de Verordening meldingsplicht sensoren te gaan handhaven. Het meldformulier is nu echter nog niet goed vindbaar. Het verdient aanbeveling om het te hechten aan het portaal waar het register kan worden ingezien en op andere plaatsen die door de betrokken partijen regelmatig worden bezocht. Van belang is dat de betrokken partijen die straks verplicht worden te melden, snel terecht kunnen bij het meldingsformulier en bij andere relevante informatie.

Overweeg het ondersteunen van collectieve uitoefening van betrokkenenrechten Zoals gezegd blijkt de effectieve uitoefening van betrokkenenrechten in de praktijk weerbarstig. Niettemin doemen nieuwe perspectieven op die een meer kansrijke uitoefening en daarmee mogelijk een betere naleving van deze rechten (en in het verlengde daarvan de AVG) kunnen bewerkstellingen. Het sensorenregister kan daarbij meer indirect van betekenis zijn. De waarde en effectiviteit van betrokkenenrechten kunnen met name tot uitdrukking komen wanneer die rechten gezamenlijk worden uitgeoefend.284 Wanneer betrokkenenrechten collectief en dus op schaal worden uitgeoefend, is de kans groter dat ze kwestieuze praktijken en niet-naleving van de AVG en andere fundamentele rechten onthullen. Zo hebben recentelijk enkele NGO’s en ad hoc burgerrechtbewegingen de uitoefening van betrokkenenrechten, waaronder het inzagerecht, in collectief verband gecoördineerd. Campagnevoerders in Duitsland hebben bijvoorbeeld strategisch en in collectief verband gebruikgemaakt van betrokkenenrechten om discriminerende algoritmes bij de berekening van

280 Respectievelijk artt. 15 en 17 AVG.

281 Respectievelijk art. 8 lid 2 EU-Handvest; art. 12 – 22 AVG. Zie ook G. Gonzáles Fuster, The emergence of Personal Data

Protection as a Fundamental Right of the EU (Law, Governance and Technology Series, Springer 2014), p. 194; O. Lynskey, The foundations of EU Data Protection Law (Oxford Studies in European Law, OUP 2016), 11. 282 J. Ausloos & P. Dewitte, ‘Shattering One-way mirrors – data subject rights in practice’ (2018) International Data Privacy Law (8) 4; Privacy International, ‘Our complaints against Axciom, Criteo, Equifax, Experian, Oracle, Quantcast, Tapad’, Rapport 8 november 2018, https://privacyinternational.org/advocacy/2426/our-complaints-against-acxiom-criteo-equifaxexperian-oracle-quantcast-tapad, bezocht op 29 augustus 2022. 283 R. Mahieu, H. Ashgari en M. van Eeten, ‘Collectively exercising the right of access: individual effort, societal effect’ (2018) Internet Policy Review 1 284 Mahieu e.a., ‘Collectively exercising the right of access: individual effort, societal effect’ (2018) Internet Policy Review 1.

54

Gemeentelijke grip op private sensorgegevens

kredietscores aan het licht te brengen.285 Een andere NGO kreeg met een vergelijkbare methode zicht op de niet-naleving van werknemersrechten.286 Op basis van de antwoorden van de verwerkingsverantwoordelijke in reactie op de betrokkenenverzoeken, kon de coördinerende NGO inzicht verkrijgen in de werkwijze van de betreffende verweringsverantwoordelijke. Zonder coördinatie van de betrokkenverzoeken door een NGO waren deze praktijken waarschijnlijk onder de radar gebleven, omdat deze in individuele betrokkenenverzoeken nauwelijks of niet te detecteren zijn. Daarnaast vereisen analyses van een groot aantal inzageverzoeken specialistische kennis, die bij gespecialiseerde organisaties voorhanden is. Coördinatie van collectieve betrokkenenverzoeken door het maatschappelijk middenveld kan aldus effectief zijn bij het detecteren van niet-naleving van de AVG. Betrokkenenrechten zijn in hun doelstelling immers niet gebonden aan een AVG-doelstelling.287 In het verlengde hiervan zou de gemeente kunnen overwegen organisaties te steunen (subsidiëren) die zich willen toeleggen op het collectief uitoefenen van betrokkenenrechten.

Laat onderzoeken hoe naleving en handhaving van sensorenregisters kan worden verbeterd Het succes van het sensorenregister als instrument om de naleving van de AVG en daarmee ook het bredere mensenrechtelijk kader te borgen, hangt mede af van de mate waarin het register wordt nageleefd en gehandhaafd. Omdat sensoren niet altijd zichtbaar zijn en omdat het aan partijen zelf is een sensor te melden, zal de gemeente moeten nadenken over effectieve handhaving. Op dit moment kan de gemeente Amsterdam de verplichtingen die voortvloeien uit de Verordening meldingsplicht sensoren bestuursrechtelijk handhaven door middel van het opleggen van een last onder bestuursdwang of onder dwangsom. Naast Amsterdam zijn meer gemeenten bezig met het opzetten van een sensorenregister. Aandacht voor de naleving en handhaving op nationaal niveau kan helpen bij de bewustwording van ‘meldingsplichtige’ partijen.288 Dit kan met name van bang zijn voor partijen die mobiele sensoren exploiteren die in openbare ruimten van verschillende gemeenten operationeel zijn. Mogelijk kan daarbij worden meegenomen onder welke voorwaarden niet-naleving strafbaar zou moeten worden, indien en voor zover strafbaarstelling wenselijk wordt geacht.

De gemeente Amsterdam kan samen met andere gemeenten, die waarschijnlijk met vergelijkbare vragen en onzekerheden rondom de naleving en handhaving zullen moeten omgaan, door wetenschappers en/of de regering en haar adviesorganen laten onderzoeken of beleid en/of wetgeving ten behoeve van de naleving en handhaving op landelijk niveau zou kunnen bijdragen aan de verbetering van de naleving.

‘OpenSCHUFA – Shedding Light on Germany’s Opaque Credit Scoring’, AlgorithmWatch 22 mei 2017, https://algorithmwatch.org/en/openschufa-shedding-light-on-germanys-opaque-credit-scoring-2, bezocht op 17 augustus 2022; R. Mahieu & J. Ausloos, ‘Recognising and Enabling the Collective Dimension of the GDPR and the Right of Access’ ArXiv, 2 July 2020, https://osf.io/preprints/lawarxiv/b5dwm/, bezocht op 28 augustus 2022; L Kelion, ‘Amazon’s Ring logs every doorbell press and app action’, BBC News 4 maart 2020 https://www.bbc.com/news/technology-51709247; L. Kelion, ‘Amazon: Why Amazon knows so much about you’, BBC News, blog 2020, https://bbc.co.uk/news/extra/CLQYZENMBI/amazon-data, bezocht op 28 augustus 2022. 286 Zo kon een NGO (onder meer Workers Info Exchange) op basis van informatie uit inzageverzoeken die waren gedaan door een grote groep taxichauffeurs een analyse opmaken over de wijze waarop hun werkgever (Ola en Uber) gebruik maakte van hun persoonsgegevens en algoritmische besluitvorming; zie J. Toh, ‘Empowering Workers Through Digital Rights’, Digital Freedom Fund, 30 April 2021, https://digitalfreedomfund.org/empowering-workers-through-digital-rights/ bezocht 18 maart 2022; zie ook Rb AMS 11 maart 2021, ECLI:NL:RBAMS:2021:1020. 287 Rb AMS 11 maart 2021, ECLI:NL:RBAMS:2021:1020; J. Ausloos, R. Mahieu & M. Veale, ‘Getting Data Subject Rights Right.

A Submission to the European Data Protection Board from International Data Rights Academics, to Inform Regulatory Guidance (2020) 10 Journal of International Property, Information Technology and Electronic Commerce Law (JIPITEC). 288 Zie bijvoorbeeld Interprovinciaal Overleg (IPO), ‘Gezamenlijke oproep ontwikkeling landelijk sensorenregister’, 20 juni 2022, https://www.ipo.nl/lobby/gezamenlijke-oproep-ontwikkeling-landelijk-sensorenregister/; VNG, ‘Gemeenten starten meteen algoritme- en sensorenregister’, 15 juni 2022, https://vng.nl/nieuws/gemeenten-starten-met-eenalgoritme-en-sensorenregister en Sensorenregister NL, een initiatief van het Kadaster (2020) waarbij meer gemeenten zich hebben aangesloten, en dat een nationaal gestandaardiseerd sensorenregister nastreeft (zie https://www.digitaleoverheid.nl/innovatieproject/sensorenregister-nl/) alle bezocht op 28 november 2022. 285

55

Gemeentelijke grip op private sensorgegevens

Zoek binnen het bestaande wettelijk kader ruimte om te experimenteren De inzet van vrijwel alle bestuurlijke instrumenten vereist ten eerste proportionaliteit van de eisen met betrekking tot de naleving van fundamentele rechten, indien de gemeente dergelijke eisen wil opnemen als voorwaarde voor bijvoorbeeld het verkrijgen van een vergunning. Daarnaast vereist de inzet van die instrumenten een duidelijk en nauw verband tussen die eisen en het achterliggende doel van de inzet van het instrument (connexiteit). Daarbij geldt in het algemeen dat de drempels voor het opleggen van eisen met betrekking tot de naleving van fundamentele rechten, lager zijn dan voor het opleggen van eisen met betrekking tot B2G-gegevensdeling. De gemeente dient, gelet op de vereiste proportionaliteit, connexiteit en de noodzaak van een specifieke wettelijke grondslag, het opleggen van eisen met betrekking tot het naleven van de fundamentele rechten op weloverwogen wijze te doen. Zij zou daarbij echter niet bang moeten zijn om te experimenteren. Hier kan ‘regulatory sandboxing’ wellicht mogelijkheden bieden om te verkennen welke ruimte de gemeente heeft. Of en welke experimenteerruimte bestaat is niet op voorhand te zeggen, aangezien die ruimte afhangt van de specifieke context van de regelgeving.

4.2 B2G-gegevensdeling en gegevensdeling met derden 4.2.1 Knelpunten Uit de analyse van het fundamenteelrechtelijke kader komt naar voren dat B2G-gegevensdeling en verwerkingen van die gegevens alleen kunnen plaatsvinden als daarvoor een specifieke wettelijke grondslag bestaat, wanneer de betrokken gegevens raken aan fundamentele rechten van burgers en private partijen en/of wanneer het om persoonsgegevens gaat. Ook de analyse van de Awb en de algemene beginselen van behoorlijk bestuur289 in §3.3 laat zien dat de gemeente weinig ruimte toekomt om B2G-gegevensdeling met behulp van een in een verordening of vergunning neergelegde verplichting te effectueren, indien de eerdergenoemde wettelijke grondslag afwezig is. Ook het subsidie-instrument lijkt de gemeente niet veel ruimte te bieden voor B2G-gegevensdeling zonder wettelijke grondslag. Wanneer persoonsgegevens bij een B2G-gegevensdeling in het geding zijn, moet de gemeente (en ook de private partij) voldoen aan alle verplichtingen die de AVG aan verwerkingsverantwoordelijken oplegt, waarbij tevens in het oog springt dat wanneer de gemeente een private partij een opdracht geeft een gegevensbestand te maken waarin zich geen persoonsgegevens (meer) bevinden, maar waarvoor wel persoonsgegevens werden gebruikt, de gemeente optreedt als verwerkingsverantwoordelijke voor het betreffende bestand.

In situaties waarin private partijen vrijwillig gegevensbestanden zonder persoonsgegevens (of andere gegevens waarop rechten rusten) deelt met de gemeente, moet zorgvuldig worden nagegaan wat de rol van de gemeente ten aanzien van het betreffende gegevensbestand is, al ligt gemeentelijke gegevensverantwoordelijkheid hier minder snel voor de hand. Wanneer de gemeente het verkregen, geanonimiseerde gegevensbestand na ontvangst koppelt aan andere gegevensbestanden, rust op haar de zorgvuldigheidsplicht om na te gaan of zich niet alsnog tot personen herleidbare gegevens in het met haar gedeelde bestand bevinden.290 Gemeenten lijken soms de overtuiging te hebben dat gegevens verzameld in de openbare ruimte het karakter van een publiek goed hebben en daarmee “van ons allemaal” zijn, mits het geen persoonsgegevens zijn. Vanuit die optiek kan meer algemeen de wens bestaan om zoveel mogelijk gegevens open te (laten) stellen met het oog op innovatie binnen de gemeentegrenzen. De gemeente dient bij het delen van private sensorgegevens echter rekening te houden met de legitieme rechten en belangen van de betrokken private partijen, waaronder intellectuele eigendomsrechten en de bescherming van 289 Meer specifiek het legaliteitsbeginsel, het specialiteitsbeginsel en het verbod van détournement de pouvoir. 290 Art. 3.2 en 3.4 lid 2 Awb.

56

Gemeentelijke grip op private sensorgegevens

handelsgeheimen, en met het feit dat er geen wet- en regelgeving is die een dergelijk ‘publiek eigenaarschap’ van gegevens erkent. De Databankenwet (en het auteursrecht), de Wet bescherming bedrijfsgeheimen, de onlangs in werking getreden Wet open overheid, de Richtlijn open data en de Wet hergebruik van overheidsinformatie (waarin de Richtlijn open data momenteel wordt geïmplementeerd) stellen meer specifieke eisen aan B2Ggegevensdeling en meer specifiek het verder delen van de verkregen gegevens door de gemeente. Uit de analyse komt naar voren dat het verder delen in beginsel mogelijk is, maar dat de gemeente telkens na dient te gaan of de bescherming van bedrijfsgeheimen en intellectuele eigendomsrechten en/of de bescherming van persoonsgegevens die door de gegevensverwerking kunnen worden geraakt, op passende wijze worden geborgd. De Datagovernanceverordening is relevant voor zover de gemeente overweegt de via B2Ggegevensdeling verkregen gegevens verder te delen, maar voegt geen nieuwe eisen toe aan de eisen omtrent het delen van gegevens uit de Richtlijn open data. De concept-Dataverordening staat een verplichting voor B2G-gegevensdeling toe in drie situaties, die uitwerking geven aan de uitzonderlijke noodzaak tot gegevensdeling.

De derde situatie – de vaststelling van wetgeving om gegevens beschikbaar te stellen voor B2G-gegevensdeling – biedt indirect aanknopingspunten voor de gemeente: de formele wetgever zal hiertoe bestaande wetgeving moeten uitwerken of initiatieven voor nieuwe wetgeving moeten nemen. De conceptDataverordening legt voor B2G-gegevensdeling in de huidige versie geen algemeen materieel normenkader vast. Dat betekent dat voor het materiële normenkader vooralsnog de huidige wetgeving zoals die in §3 is geschetst, als uitgangspunt moet worden genomen en dat mogelijke rechtsonzekerheid over de precieze toepassing van het wettelijk kader met de komende Dataverordening (nog) niet wordt weggenomen. Afrondend is B2G-gegevensdeling een relatief nieuw fenomeen waarvoor nog geen coherent en materieel omvattend wettelijk kader bestaat. De concept-Dataverordening lijkt een dergelijk kader ook (nog) niet te bieden. De gemeente is nu aangewezen op de toepassing van een mozaïek van (sectorale) wetten, waarbij het nu eerder toeval lijkt of B2G-gegevensdeling wettelijk is geregeld of niet. Om deze redenen is het voor de gemeente belangrijk meer duidelijkheid en inzicht te verkrijgen in situaties waarin B2G-gegevensdeling is toegestaan en onder welke voorwaarden B2G-gegevensdeling kan plaatsvinden.

Om de gemeentelijke slagkracht bij verplichte B2G-gegevensdeling te vergroten is ingrijpen door de Nederlandse en/of Europese wetgever noodzakelijk.

4.2.2 Aanbevelingen Onderzoek of en waar nieuwe wettelijke grondslagen nodig zijn Zonder specifieke wettelijke grondslag bieden de besproken (concept-)wetgeving en bestuurlijke instrumenten de gemeente op dit moment een beperkt handelingsperspectief bij B2G-gegevensdeling. Vrijwillige B2G-gegevensdeling in het kader van publiek-private samenwerking of op basis van contracten is binnen het geschetste wettelijk kader eveneens beperkt mogelijk. Om het perspectief voor B2Ggegevensdeling te verbreden naar diverse sectoren is ingrijpen door de formele Nederlandse en/of EUwetgever dus noodzakelijk, al dan niet gesteund door een regierol van de betrokken minister(s). De gemeente kan onderzoek (laten) verrichten naar welke wetgeving op dit moment al mogelijkheden biedt voor B2G-gegevensdeling. We gaven al aan dat artikel 30c Wp een opening biedt voor een verplichte medewerking door private partijen aan een specifiek type B2G-gegevensdeling. De gemeente zou bij de minister van Infrastructuur en Waterstaat kunnen aandringen op uitvoering van deze in de wet neergelegde mogelijkheid. Daarnaast zou de gemeente kunnen laten onderzoeken of dergelijke openingen in andere wettelijke bepalingen voorhanden zijn of kunnen laten onderzoeken bij welke wettelijke bepalingen een dergelijke opening noodzakelijk zou zijn.

Tegelijkertijd zou de wetgever ook moeten voorkomen dat een gefragmenteerd beeld ontstaat van situaties waarin B2G-gegevensdeling wel of niet is toegestaan en hierop beleid moeten ontwikkelen, zodat wetgeving op dit punt wat meer voorspelbaar wordt 57

Gemeentelijke grip op private sensorgegevens

(zie ook hierna de volgende aanbeveling, waarin wordt aanbevolen aan te dringen op coherente EUwetgeving rondom B2G-gegevensdeling). Wanneer bestaande wetgeving geen eenduidig antwoord geeft op de vraag of B2G-gegevensdeling in een bepaald geval toelaatbaar is, kan de gemeente overwegen over te gaan tot ‘regulatory sandboxing’, waarbij zij een gecontroleerde testomgeving creëert om te onderzoeken of een bepaalde wet voor een specifieke B2G-gegevensdeling openingen met voldoende waarborgen biedt (of zou moeten bieden). Een dergelijke experimenteeromgeving vereist een zorgvuldige en doordachte voorbereiding en opzet, gelet op het belang van onder meer de betrouwbaarheid van het experiment en op de (borging van de) van de betrokken belangen van de gemeente, bedrijven en burgers.291

Dring aan op verduidelijking van het wetgevend kader voor B2G-gegevensdeling in de Dataverordening Meer rechtszekerheid rondom B2G-gegevensdeling is, gelet op de groeiende belangstelling in B2Ggegevensdeling en de rechten, de belangen en de machtsverhoudingen die met B2G-gegevensdeling (en verdere deling) gemoeid kunnen zijn, urgent en noodzakelijk. De concept-Dataverordening pakt deze handschoen echter (nog) niet op. Daarmee laat de EU-wetgever een belangrijke kans liggen, namelijk de gelegenheid voorwaarden te creëren voor een wetsconforme, maatschappelijk aanvaardbare en succesvolle B2G-gegevensdeling en om de machtsverschillen aan te pakken tussen de publieke sector en (grote) bedrijven, die aan B2G-gegevensdeling ten behoeve van een betere vervulling van de publieke taak in de weg staan. Hoewel de concept-Dataverordening B2G-modellen (zoals de aankoop van gegevens, vrijwillige B2G-gegevensdeling en publiek-private samenwerkingsovereenkomsten) en nationale wetgeving die B2Ggegevensdeling reguleert niet verbiedt, bevat de concept-Dataverordening geen regelgeving of beginselen om transacties rondom B2G-gegevensdeling billijker te maken voor de publieke sector.

In plaats daarvan laat de concept-Dataverordening rechtsonzekerheid rondom belangrijke concepten voortbestaan, zoals bij de definitie van de ‘taak van algemeen belang’, waardoor verdere ontwikkeling van B2G-gegevensdeling ten behoeve van taken van algemeen belang mogelijk wordt belemmerd.292 Ook kan afwezigheid van materiële normen en beginselen misbruik in de hand werken (zoals het vragen van hoge prijzen voor B2Ggegevensdeling in een monopolistische markt), omdat er geen beperkingen lijken te bestaan. De gemeente Amsterdam zou in samenwerking met andere gemeenten kunnen overwegen bij de namens Nederland onderhandelende departementen en bij het Europees Parlement te wijzen op de noodzaak van wettelijke regulering, die met een meer uitgewerkt juridisch en materieel-normatief kader meer rechtszekerheid kan bieden bij B2G-gegevensdeling, zodat rechtsonzekerheid over B2Ggegevensdeling bij gemeenten en anderen (private partijen, burgers, betrokkenen) zoveel mogelijk kan worden weggenomen. Ook kan de gemeente onderzoeken of zij samen met gelijkgestemde gemeenten in de EU kan optrekken richting het Europees Parlement.

Nederlandse gemeenten moeten zich er overigens van bewust zijn dat uit de publieksconsultatie van de concept-Dataverordening naar voren is gekomen dat de industrie geen voorstander is van bindende regels rond het delen van B2G-gegevens, en dat het Nederlandse standpunt over B2G-gegevensdeling tot nu toe terughoudend is.

Zoek binnen het bestaande wettelijk kader ruimte om te experimenteren De inzet van vrijwel alle bestuurlijke instrumenten vereist zoals gezegd proportionaliteit van de eisen met betrekking tot het verzamelen en/of delen van private sensorgegevens, alsmede een duidelijk en nauw verband tussen die eisen en het achterliggende doel van de inzet van het instrument (connexiteit). Bij de 291 Zie over de mogelijkheden en valkuilen bij

‘regulatory sandboxes’ onder meer S. Ranchordás, Sunset Clauses and Experimental Legislation: Blessing of Curse for Innovation? (diss. Tilburg), Zutphen: Koninklijke Wöhrmann 2014; M. Finck, Blockchains: regulating the unknown (2018) German Law Journal 19(4) p. 677, M.A. Heldeweg, Experimental legislation concerning technological & governance innovation – an analytical approach’ (2015) The Theory and Practice of Legislation 3(2) en M.J. Jacobs, Experimentele wetgeving (Oratie VU). Wolters Kluwer: 2018. 292 Art. 14 lid 1 concept-Dataverordening.

58

Gemeentelijke grip op private sensorgegevens

inzet van publiekrechtelijke instrumenten is een specifieke wettelijke grondslag noodzakelijk. De gemeente dient, gelet op de vereiste proportionaliteit, connexiteit en de noodzaak van een specifieke wettelijke grondslag, het opleggen van eventuele eisen met betrekking tot het verzamelen en/of delen van private sensorgegevens op weloverwogen wijze te doen, maar daarbij zou zij niet bang moeten zijn om te experimenteren. Ook hier kan ‘regulatory sandboxing’ wellicht mogelijkheden bieden. De interviews met bedrijfsmedewerkers wijzen immers uit dat niet alleen bilateraal, maar ook unilateraal ingrijpen tot positieve ervaringen voor zowel de gemeente als private partijen kan leiden. Uit de interviews met gemeentemedewerkers en bedrijfsmedewerkers komt met andere woorden geen duidelijke voorkeur naar voren voor unilaterale of bilaterale bestuurlijke instrumenten. Die voorkeur is immers contextafhankelijk. Zo zijn geïnterviewde bedrijfsmedewerkers die te maken hebben gekregen met een vergunningstelsel (een unilateraal instrument), daar over het algemeen positief over. Deze route lijkt met name aangewezen bij ‘nieuwe’ marktpartijen, die een dienst aanbieden die mede afhankelijk is van een goede inrichting van de openbare ruimte.

Anderzijds zijn ook bedrijfsmedewerkers die betrokken zijn bij individuele overeenkomsten met de gemeente over het verzamelen en/of delen van sensorgegevens (een bilateraal instrument), daar gematigd positief over. Deze route zet de gemeente met name in bij private partijen die een publieke dienst aanbieden, waaronder vervoerders, en bij gevestigde private partijen waarvan de bedrijfsvoering voor een belangrijk deel is gestoeld op de verzameling van sensorgegevens, maar niet per se op een goede inrichting van de openbare ruimte. Let wel: uit dit onderzoek kan geen causaal verband worden afgeleid. Dat wil zeggen dat vooralsnog niet kan worden geconcludeerd dat marktpartijen zich welwillend opstellen jegens de gemeente als het om het delen van sensorgegevens gaat, omdat de gemeente unilateraal of juist bilateraal heeft gehandeld om die sensorgegevens te verkrijgen of omdat het gaat om een nieuwe of juist meer gevestigde marktpartij en het type dienstverlening dat zij aanbiedt.

Gebruik naast de DPIA het IAMA voor het inschatten van risico’s bij B2G-gegevensdeling Voor de beoordeling of zich risico’s voor persoonsgegevens voordoen bij een specifieke B2Ggegevensdeling, zal de gemeente in veel gevallen een DPIA moeten verrichten. Zij zou ook kunnen overwegen naast de DPIA het IAMA te gebruiken. Het IAMA sluit in opzet aan bij de DPIA en onderzoekt niet alleen risico’s voor de verwerking van persoonsgegevens en privacy, maar biedt ook zicht op risico’s voor andere grondrechten als gevolg van B2G-gegevensdeling. Het IAMA beoogt overheden in staat te stellen in het ontwerp- en ontwikkelstadium van een voornemen tot B2G-gegevensdeling na te gaan of deze gegevens conform het fundamenteel-rechtelijk kader kunnen worden verwerkt. Het IAMA biedt een praktisch kader: het legt uit hoe de gemeente kan nagaan of het gebruik van de techniek noodzakelijk, evenredig en subsidiair is en geeft voorbeelden van maatregelen om restrisico’s te mitigeren.