J Reactie CS op brief NDW met kenmerk RWS-2021-41755 zwart

Nationaal Dataportaal Wegverkeer T.a.v. dhr. C.P. de Vries Postbus 24016 3502 MA Utrecht

Venhuizen, 9 december 2021 Betreft: reactie op uw schrijven met uw kenmerk RWS-2021/41755 Geachte heer De Vries, Naar aanleiding van uw schrijven, met uw kenmerk RWS-2021/41755, willen wij graag als volgt reageren. Wij betreuren de situatie die is ontstaan en hebben een grondig intern onderzoek gedaan naar de oorzaak van het gebeurde. Onze Privacy Officer heeft in opdracht van de directie iedere intern betrokkene gesproken en de situatie volledig in kaart gebracht, hetgeen wij uiteen zullen zetten. Tevens heeft er op dinsdag 7 december jl. een constructief gesprek plaatsgevonden tussen uw hr. Qayoumi en onze Manager Business & Sales, waar tijdens dit gesprek de situatie uitgebreid is toegelicht, vragen van NDW zijn beantwoord en een deel van de zorgen zijn weggenomen. Middels dit schrijven willen wij een toelichting geven en de eventueel nog resterende zorgen bij NDW verder wegnemen. Inzet ondersteunende camera Tijdens het offertetraject is er overeengekomen dat we een verkeersonderzoek met snelheidsmeting zouden uitvoeren met als basistechniek een radar sensor. Na opdrachtverlening door NDW heeft er voor de uitvoering van de opdracht een bij Connection Systems (verder: CS) interne overdracht plaatsgevonden naar de operationele afdeling.

Tijdens de werkvoorbereiding is er vanuit de gedachte van kwaliteitsborging bepaald om naast de radar sensor een ondersteunende camera te installeren waarmee op gezette momenten live meegekeken kon worden. Enerzijds zodat onze kwaliteitsafdeling tijdens de installatie aanwijzingen kon geven aan monteurs ter plaatse om de radar sensor op de juiste manier af te stellen. Anderzijds om bij (ver)storingen adequate opvolging te kunnen geven om deze (ver)storingen te verhelpen. Met andere woorden: het functioneel gebruik van een dergelijke ondersteunde camera diende enkel ter borging van de kwaliteit, op daartoe noodzakelijke momenten en primair enkel op basis van kortstondig live meekijken. Bij de inzet van deze camera ontbrak het bewustzijn dit niet vooraf was overeengekomen met het NDW. Schade door aanrijding en gebruik camerabeelden Onze meetsensoren, waaronder de radars voor deze opdracht, worden 24/7 door onze kwaliteitsafdeling gemonitord op functioneren en (ver)storingen. Een medewerker van onze kwaliteitsafdeling heeft op de dag dat ons desbetreffende systeem werd aangereden naar de camerabeelden gekeken, omdat we een signaal vanuit onze monitoringsysteem kregen dat de radar offline was.

Om te kunnen bepalen wat de aard van de storing was en hoe dit hersteld kon worden, is er op de beelden gekeken welk voorval zich heeft voorgedaan om hierna een adequate actie uit te zetten en de monteur naar de locatie te sturen om de storing op te lossen. Conform onze autorisatiematrix heeft de datakwaliteitsmedewerker toegang tot deze camera. De vervoerder, welke de plaatselijke groenteboer bevoorraadt, heeft per mail contact met ons opgenomen om aan te geven welke schade zij aan hun vrachtwagen hadden, doordat zij tegen onze

systeem waren aangereden. Onze financiële afdeling, verantwoordelijk voor verzekeringsgevallen en schadeafhandeling, heeft hierop mailuitwisseling gehad met betreffende vervoerder, waaruit een onderlinge afstemming volgde dat iedere partij diens eigen schade voor eigen rekening zou nemen. Binnen deze mailuitwisseling hebben wij aangegeven dat wij op de beelden hebben gezien dat ons systeem door betreffende vervoerder was aangereden. Dit had niet op deze wijze gecommuniceerd mogen worden, temeer omdat het primaire gebruik van de ondersteunende camera hier niet voor bedoeld is. Echter, gezien de beeldkwaliteit met een dermate lage resolutie was afgesteld waardoor persoonsgegevens zoals kentekens en gezichten onherkenbaar te zien waren, achtte onze financiële afdeling dit onterecht als onschuldig. In de veronderstelling dat de zaak naar tevredenheid van alle partijen was opgelost, nam de plaatselijke groenteboer telefonisch contact met ons op om verhaal te halen. In dit gesprek kwam naar voren dat de persoon in kwestie contact had opgenomen met de gemeente om dit voorval aan de kaak te stellen. Onze algemeen directeur heeft hierop persoonlijk de groenteboer gebeld en uitgelegd wat het doel van het onderzoek was, namelijk een snelheidsmeting met een radar sensor. Het was de persoon in kwestie duidelijk en hij zou dit terugkoppelen aan de gemeente.

Maar voortschrijdend inzicht leert ons dat het leed toen al geschied was. Waarbij opgemerkt dient te worden dat wij als CS alle verantwoordelijkheid op ons nemen dat deze situatie überhaupt heeft kunnen ontstaan. Conformiteit AVG Wij zijn zeer goed bekend met de AVG-wetgeving en richtlijnen, waarbij het merendeel van onze projecten onder deze wetgeving valt. Standaard wordt vooraf bij al onze projecten getoetst of er verwerking van persoonsgegevens plaatsvindt. Zodra bekend is dat er persoonsgegevens verwerkt zullen worden, stemmen we dit altijd vooraf met de opdrachtgever af zodat de AVG-normen opgevolgd worden. Hiervoor hebben wij uitgebreide procedures ingebed in de organisatie. Wij ondersteunen opdrachtgevers zelfs bij het doorlopen van een DPIA en het opstellen van verwerkersovereenkomsten. Omdat de data-inwinning voor deze opdracht in de basis met een radar werd uitgevoerd en bij de offertefase en opdrachtverlening is getoetst op het wel of niet verwerken van persoonsgegevens (waar op dat moment nog geen sprake van was), is de standaard privacy procedure niet ingezet en doorlopen. Uit ons interne onderzoek is gebleken dat in de loop van het proces op basis van de reeds aangegeven moverende redenen, is besloten gebruik te maken van een ondersteunende camera waarmee live meegekeken kon worden.

En gezien het enkel ter ondersteuning van de installatie- en beheerwerkzaamheden werd gebruikt, is bij de desbetreffende werknemers niet het besef geweest om onze Privacy Officer op de hoogte te stellen. Wellicht ten overvloede, de beelden van de betreffende ondersteunende camera waren van dermate lage resolutie, dat bestuurders, inzittenden van een voertuig, voetgangers, fietsers en voertuigen met kenteken niet herkenbaar in beeld zijn gebracht en er daarbij dus geen sprake was van opslag van persoonsgegevens. En op het afstellen van de radar en het signaal van storing na, waarbij bleek dat de radar offline was, is er verder niet naar het live beeld gekeken en hebben wij geen beelden meer in ons bezit. Desalniettemin beseffen wij ons dat dit niet betekent dat de AVG hier niet van toepassing was en ontslaat het ons dus niet van de verplichting om aan de privacyrichtlijnen te voldoen, omdat er nog steeds persoonsgegevensverwerking in de letterlijke zin van het woord heeft plaatsgevonden.

Tot heden hebben er, naar wij hebben begrepen, twee gemeenten privacy vragen gesteld over de ondersteunende camera’s. Daarin hebben wij NDW zorgvuldig en zo volledig mogelijk voorzien in tekst en uitleg. Uiteraard staan wij paraat om NDW hierin verder te ondersteunen indien dit onverhoopt nodig mocht blijken. Beheersmaatregelen We hebben dit incident aangegeven bij onze ISO-manager, mede in het kader van ISO 9001 en 27001, die op diens beurt de processen die hebben geleid tot dit incident heeft aangescherpt. Alle betrokken afdelingen binnen CS zijn hier uitvoerig over geïnformeerd en de herziene kaders zijn nu dermate ingericht dat herhaling niet meer mogelijk is. Uiteraard zullen wij hier – zeker de aankomende tijd – extra controles op uitvoeren, waarbij de Privacy Officer erop zal toezien dat alle procedures binnen ieder project tot op de letter worden nageleefd. Voorts vindt er ieder kwartaal een sessie binnen de onderneming plaats waarin onze Privacy Officer en Security Officer een presentatie aan alle medewerkers geeft, waarin wij ook bij de eerstvolgende gelegenheid een additionele awarenesssessie zullen organiseren rondom dit incident. Concluderend kunnen wij verklaren dat er onbewust en met een integere intentie, doch onterecht, een ondersteunede camera is geplaatst.

We betreuren de gang van zaken, want we weten als geen ander hoe gevoelig privacy-aangelegenheden liggen. Temeer omdat onze handelswijze het NDW in verlegenheid heeft gebracht. Hopende dat wij middels dit schrijven de situatie rondom dit incident zorgvuldig hebben weergegeven en de zorgen op herhaling in de toekomst hebben weggenomen. Met vriendelijke groet,

F.J.A.L. Wagemans Algemeen Directeur Connection Systems B.V.