Privacy onderzoek gebruik van publiek toegankelijke bronnen

Privacy onderzoek

Gebruik van publiek toegankelijke bronnen

November 2021 Alex van den Berg Functionaris Gegevensbescherming Gemeente Delft

Gebruik van publiek toegankelijke bronnen: Privacy onderzoek - November 2021

Inhoudsopgave 1 Management Samenvatting

2

2 Inleiding

3

3 Definities en begrippen

4

4 Onderzoek

7

5 Processen

11

6 Conclusie

20

5.1 5.2 5.3 5.4

Webcare TamTam en omgevingsanalyse Fraudeonderzoek Participatiewetgeving Openbare Orde en Veiligheid

11 12 14 16

Bijlagen 1 2

Voorbeeld TamTam Protocol Internetonderzoek gemeente Delft

1

Gebruik van publiek toegankelijke bronnen: Privacy onderzoek - November 2021

1 Management Samenvatting In mei 2021 publiceerde de Onderzoeksgroep Cybersafety van de Thorbecke Academie van NHL Stenden Hogeschool samen met de Rijksuniversiteit Groningen (RuG) de onderzoeksresultaten naar gemeentelijke onlinemonitoring 1. De onderzoeksresultaten werden door de media opgepikt en verschenen op verschillende nieuwssites. De Functionaris Gegevensbescherming heeft een onderzoek ingesteld naar het gebruik van publiek toegankelijke bronnen door de gemeente Delft. Het onderzoek moet antwoord geven op de volgende vragen: 1. Voor welke doelen maakt de gemeente gebruik van publiek toegankelijke bronnen? 2. Zijn deze verwerkingen vanuit de AVG toegestaan? 3. Welke aanbevelingen zijn er te geven? Voor welke doelen maakt de gemeente gebruik van publiek toegankelijke bronnen? Het onderzoek richt zich op het gebruik van publiek toegankelijke informatie en de vraag of dit vanuit de privacywetgeving (AVG) wel is toegestaan. Het onderzoek beperkt zicht tot informatie die door burgers zelf online is gezet op social media zoals bijvoorbeeld Facebook en Twitter. In een aantal situaties wordt social media gebruikt in het kader van de werkzaamheden van de gemeente. Het gaat hierbij om processen rond klantcontact, communicatie, uitvoering Participatiewet en openbare orde en veiligheid.

Zijn deze verwerkingen vanuit de AVG toegestaan? Bijna alle verwerkingen zijn toegestaan vanuit de AVG. Alleen voor het uitvoeren van casusanalyses door de gemeente ontbreekt voldoende wettelijk onderbouwing. Wel dienen er verbeteringen doorgevoerd te worden om te zorgen dat de verwerkingen op alle vlakken volledig AVG-compliant zijn. Welke aanbevelingen zijn er te geven? Bij dergelijke verwerkingen is het van belang dat er een protocol ligt die periodiek geactualiseerd wordt. Dit is nu onvoldoende het geval. Tevens dienen er voor een aantal verwerkingen een gegevensbeschermingseffectbeoordeling (DPIA) uitgevoerd te worden. Zorg voor meer transparantie door informatie hierover te vermelden op de website van de gemeente Delft en stap over van geheime accounts naar algemene accounts. Conclusie In de media werd gesuggereerd dat er sprake was van een ‘soort mini-AIVD’ bij de gemeente Delft. Uit het onderzoek zijn geen onregelmatigheden naar voren gekomen die een dergelijke uitspraak rechtvaardigen. Er is zeker ruimte voor verbetering, maar er lijkt geen noodzaak te zijn tot grote structurele veranderingen aan de huidige werkwijze of processen.

1

https://www.politieenwetenschap.nl/cache/files/6183b8b7b6878PK109.pdf

2

Gebruik van publiek toegankelijke bronnen: Privacy onderzoek - November 2021

2 Inleiding Aanleiding In mei 2021 publiceerde de Onderzoeksgroep Cybersafety van de Thorbecke Academie van NHL Stenden Hogeschool samen met de Rijksuniversiteit Groningen (RuG) de onderzoeksresultaten naar gemeentelijke onlinemonitoring 2. De onderzoeksresultaten werden door de media opgepikt en verschenen op verschillende nieuwssites. Vanuit de gemeenteraad zijn hierover vragen gesteld aan het college van B&W; heeft een burger een klacht ingediend bij de Functionaris Gegevensbescherming (FG); en is er een klacht ingediend bij de Autoriteit Persoonsgegevens. De FG heeft, mede op verzoek van de gemeenteraad, besloten een onderzoek in te stellen. Het onderzoek richt zich op het gebruik van persoonsgegevens die door de gemeente zijn verzameld uit publiek toegankelijke bronnen zoals Facebook, Twitter en LinkedIn. Het onderzoek moet antwoord geven op de volgende vragen: 1. Voor welke doelen maakt de gemeente gebruik van publiek toegankelijke bronnen? 2. Zijn deze verwerkingen vanuit de AVG toegestaan? 3. Welke aanbevelingen zijn er te geven? Het onderzoek richt zich op informatie die door burgers zelf online is gezet en daarmee niet tot bijvoorbeeld informatie van het kadaster of de Kamer van Koophandel. Buiten scope Het onderzoek richt zich op het gebruik van publiek toegankelijke data op social media.

Of partijen als Facebook en Twitter zich op de juiste wijze aan de AVG houden wordt hierin niet meegenomen. De minister van Binnenlandse Zaken heeft opdracht gegeven voor een onderzoek naar het gebruik van facebookpagina’s door overheidsinstanties en bijbehorende privacyaspecten. 3 Aanpak Voor het onderzoek heeft de FG meerdere gesprekken gevoerd met medewerkers van de gemeente Delft die online-persoonsgegevens verzamelen c.q. verwerken. Hierbij zijn de werkwijzen in kaart gebracht. Daarnaast is er gekeken naar de wettelijke kaders, protocollen en jurisprudentie die van toepassing zijn. Op basis hiervan heeft de FG een conceptrapport opgesteld met conclusie en aanbevelingen. Aan de verantwoordelijke afdelingen is gevraagd het conceptrapport te beoordelen op onjuistheden en waar van toepassing is dit verwerkt in het rapport. Aan de FG’s van 2 gemeenten is gevraagd om mee te lezen en feedback te geven. Het definitieve rapport is aangeboden aan het college van B&W en het directieteam van de gemeente Delft.

2 3

https://www.politieenwetenschap.nl/cache/files/6183b8b7b6878PK109.pdf https://www.tweedekamer.nl/downloads/document?id=ffc366ae-c5b1-44da-af5e10fc495ec8ff&title=Reactie%20op%20verzoek%20commissie%20over%20het%20NRC-artikel%20%27Duitse%20privacywaakhond%3A%20regering%20moet%20Facebookpagina%E2%80%99s%20sluiten%27.pdf

3

Gebruik van publiek toegankelijke bronnen: Privacy onderzoek - November 2021

3 Definities en begrippen AVG en UAVG AVG staat voor Algemene Verordening Gegevensbescherming en is de Nederlandse naam voor de Europese verordening 2016/679. In de verordening staan de regels voor de verwerking van persoonsgegevens voor alle organisaties wereldwijd die persoonsgegevens verwerken van personen in de Europese Unie. De UAVG is de Nederlandse Uitvoeringswet AVG en geeft Nederlandse inkleuring aan die onderdelen in de AVG waar dit van toepassing is. Als er in dit document gesproken wordt over de AVG wordt hier ook de UAVG mee bedoeld. Persoonsgegevens De AVG hanteert als definitie voor persoonsgeven 4: “alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon ("de betrokkene"); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;” Grond 26 van de AVG voegt daaraantoe: “Gepseudonimiseerde persoonsgegevens die door het gebruik van aanvullende gegevens aan een natuurlijke persoon kunnen worden gekoppeld, moeten als gegevens over een identificeerbare natuurlijke persoon worden beschouwd.

Om te bepalen of een natuurlijke persoon identificeerbaar is, moet rekening worden gehouden met alle middelen waarvan redelijkerwijs valt te verwachten dat zij worden gebruikt door de verwerkingsverantwoordelijke of door een andere persoon om de natuurlijke persoon direct of indirect te identificeren, bijvoorbeeld selectietechnieken. Om uit te maken of van middelen redelijkerwijs valt te verwachten dat zij zullen worden gebruikt om de natuurlijke persoon te identificeren, moet rekening worden gehouden met alle objectieve factoren, zoals de kosten van en de tijd benodigd voor identificatie, met inachtneming van de beschikbare technologie op het tijdstip van verwerking en de technologische ontwikkelingen. De gegevensbeschermingsbeginselen dienen derhalve niet van toepassing te zijn op anonieme gegevens, namelijk gegevens die geen betrekking hebben op een geïdentificeerde of identificeerbare natuurlijke persoon of op persoonsgegevens die zodanig anoniem zijn gemaakt dat de betrokkene niet of niet meer identificeerbaar is” Als definitie voor persoonsgegeven wordt in dit rapport de definitie van de AVG gevolgd. In lekenterm is dit: Persoonsgegeven Alle informatie over een levend persoon, zolang redelijkerwijs te achterhalen is over wie het gaat.

4

Artikel 4 lid 1 - https://www.privacy-regulation.eu/nl/artikel-4-definities-EU-AVG.htm

4

Gebruik van publiek toegankelijke bronnen: Privacy onderzoek - November 2021

Verwerken De AVG hanteert als definitie voor verwerken 5: “een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;” Als definitie voor verwerken wordt in dit rapport de definitie van de AVG gevolgd. In lekenterm is dit: Verwerken Elke vorm van bekijken, opslaan, wijzigen of verwijderen van persoonsgegevens is verwerken. Publiek toegankelijke bronnen In 2017 heeft het Ministerie van Justitie en Veiligheid de Commissie modernisering opsporingsonderzoek in het digitale tijdperk opgericht. In het eindrapport van deze commissie wordt geadviseerd om de termen ‘open bron’ en ‘openbare bron’ niet te gebruiken, omdat hier ten onrechte van gedacht wordt dat deze onbeperkt gebruikt mogen worden. De commissie adviseert om de term ‘publiek toegankelijke bron’ te hanteren omdat dit beter aansluit bij de context. Het gaat om informatie die voor iedereen te benaderen is. Daarmee is echter niet gezegd dat ook iedereen er gebruik van mag maken.

In dit rapport wordt de term ‘publiek toegankelijke bron’ gebruikt. Hieronder wordt verstaan internetbronnen die toegankelijk zijn zonder een beveiliging te doorbreken of te omzeilen en zonder het aannemen van een valse identiteit. Ongeacht of er betaald moet worden voor deze toegang of dat er een account voor nodig is. Zolang in principe iedereen een dergelijk account kan aanmaken en daarmee toegang tot deze informatie kan krijgen. In lekenterm betekent dit: Publiek toegankelijke bron Alle informatie op het Internet die door iedereen benaderd kan worden met of zonder een account zonder dat je je voordoet voor iemand anders. ‘Nep account’ en ‘neutraal account’ In de discussie over online monitoring worden de begrippen “nep account” en “neutraal account” door elkaar gebruikt. Eenieder heeft hier reeds een eigen betekenis aan gehangen. Om misvattingen te voorkomen worden deze termen in dit rapport niet gebruikt. In dit rapport zullen de volgende begrippen gebruikt worden om accounts aan te duiden: ‘Algemeen account’ – Dit is een account van een organisatie waarmee de organisatie aanwezig is op de publiek toegankelijke bronnen. Dit account is niet aan een specifieke medewerker gebonden, maar voor de andere bezoekers van de bron is het duidelijk dat het een account van de specifieke organisatie is.

5

Artikel 4 lid 2 - https://www.privacy-regulation.eu/nl/artikel-4-definities-EU-AVG.htm

5

Gebruik van publiek toegankelijke bronnen: Privacy onderzoek - November 2021

‘Geheim account’ – Dit is een account waarmee een organisatie publiek toegankelijke bronnen bezoekt, maar haar aanwezigheid verborgen probeert te houden. De organisatie doet zich voor als een niet bestaand persoon en het is voor anderen niet duidelijk dat het hier om een organisatie en welke organisatie hierachter zit. In lekenterm betekent dit: Algemeen account Een account gebruikt door een organisatie, waar meerdere medewerkers gebruik van kunnen maken. Het is voor iedereen duidelijk welke organisatie achter dit account zit. Geheim account Een account waarmee de ware identiteit van de gebruiker en diens organisatie geheim wordt gehouden. Stelselmatig Het gebruik van publiek toegankelijke bronnen wordt al snel in verband gebracht met onderzoeken in het kader van openbare orde en veiligheid en sociale recherche. Een belangrijk kenmerk in de wetgeving omtrent deze zaken is het begrip “stelselmatig”. Het begrip “stelselmatig” wordt gebruikt om iets te zeggen over de mate waarop er inbreuk plaatsvindt in de persoonlijke levenssfeer van een persoon. In de fysieke wereld wordt “stelselmatig” gemeten op basis van duur, intensiteit en frequentie van de observatie. In de online wereld zijn echter andere criteria nodig. In de fysieke wereld wordt de hoeveelheid aan informatie die je kan vergaren sterk bepaald door de tijdsduur van de observatie.

Hoe langer en hoe vaker er geobserveerd wordt, hoe meer er wordt waargenomen en hoe meer informatie kan worden vergaard. In de online wereld is dit anders. Veel informatie kan in een kort tijdsbestek worden verzameld. Met bijvoorbeeld een kwartier kijken op iemands facebookpagina kan je informatie over de afgelopen 5 jaar verzamelen. In de online wereld is het daarom van belang om bij bepalen of er sprake is van stelselmatige observatie ook naar andere factoren te kijken, zoals de periode waarover de data verzameld is. Data Protection Impact Assessment (DPIA) Een DPIA of gegevensbeschermingseffectbeoordeling (geb) is een verplichting vanuit de AVG als een verwerking waarschijnlijk een hoog risico bevat voor de rechten en vrijheden van personen 6. Een DPIA geeft antwoord op vragen als de verantwoordelijkheid en de rechtmatigheid. Ook wordt in de DPIA vastgelegd welke gegevens er verwerkt worden, of privacy-bydesign en gegevensminimalisatie is toegepast, en welke partijen erbij betrokken zijn. Als laatste geeft de DPIA inzicht in de privacy risico’s de verwerking met zich mee brengt en welke maatregelen er zijn getroffen om deze risico’s te mitigeren. Een DPIA moet altijd voorzien zijn van een advies van de FG.

6

https://www.privacy-regulation.eu/nl/artikel-35-gegevensbeschermingseffectbeoordeling-EU-AVG.htm

6

Gebruik van publiek toegankelijke bronnen: Privacy onderzoek - November 2021

4 Onderzoek Het onderzoek richt zich op het gebruik van publiek toegankelijke informatie en de vraag of dit vanuit de privacywetgeving (AVG) wel is toegestaan. Het onderzoek beperkt zich tot informatie die door burgers zelf online is gezet op social media zoals bijvoorbeeld Facebook en Twitter. Om te bepalen waar dergelijke informatie gebruikt wordt, is aan de afdelingshoofden gevraagd om aan te geven of binnen hun afdeling hier gebruik van wordt gemaakt. Uit deze inventarisatie kwam naar voren dat op verscheidene afdelingen weleens op social media wordt gekeken. Bijvoorbeeld naar het twitteraccount van een wethouder of een LinkedIn-pagina van een sollicitant. Dit gebeurt echter vanuit persoonlijke interesse. Hiervoor wordt of geen account gebruikt of gebruik gemaakt van een persoonlijk account van de medewerker zelf. In een aantal situaties wordt social media gebruikt in het kader van de werkzaamheden van de gemeente. Het gaat hierbij om processen rond klantcontact, communicatie, uitvoering Participatiewet en openbare orde en veiligheid. Algemene Verordening Persoonsgegevens (AVG) Om te bepalen of de AVG van toepassing is, dient vastgesteld te worden of er sprake is van een verwerking van persoonsgegevens en of deze verwerking voldoet aan het toepassingsgebied van de AVG (artikel 2).

Is dit het geval, dan zal per situatie getoetst worden of deze voldoen aan de beginselen zoals geuit in artikel 5 van de AVG. Alle informatie op social media is gekoppeld aan een bepaald persoon. Dit is het uitgangspunt van social media. Informatie op social media is daarmee altijd herleidbaar tot een persoon. Ook als deze persoon een pseudoniem of artiestennaam gebruikt. Onder de definitie van verwerking wordt ook het raadplegen van persoonsgegevens geschaard. Het bekijken van informatie op social media is daarmee een verwerking zoals gesteld in de AVG. Nu we hebben vastgesteld dat er sprake is van een verwerking van persoonsgegevens dient gekeken te worden naar het toepassingsgebied van de AVG. Artikel 2 lid 1 en 2 van de AVG luidt als volgt: “Artikel 2 Materieel toepassingsgebied 1. Deze verordening is van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen. 2. Deze verordening is niet van toepassing op de verwerking van persoonsgegevens: a. in het kader van activiteiten die buiten de werkingssfeer van het Unierecht vallen; b. door de lidstaten bij de uitvoering van activiteiten die binnen de werkingssfeer van titel V, hoofdstuk 2, VEU vallen; c.

door een natuurlijke persoon bij de uitoefening van een zuiver persoonlijke of huishoudelijke activiteit; d. door de bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van 7

Gebruik van publiek toegankelijke bronnen: Privacy onderzoek - November 2021

straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid.” Artikel 2 geeft aan dat de AVG van toepassing is op het geheel of een gedeeltelijk geautomatiseerde verwerking. De betekenis van ‘geautomatiseerd’ volgens Van Dale is: “met behulp van computers”. 7 Elke vorm van verwerking waarbij computers worden ingezet, valt hiermee onder het toepassingsgebied van de AVG. Grond 18 van de AVG gaat verder in op het gebruik van persoonsgegevens voor persoonlijke of huishoudelijke activiteiten en het gebruik daarvan door organisaties. “Grond 18 AVG: 8 Deze verordening is niet van toepassing op de verwerking van persoonsgegevens door een natuurlijke persoon in het kader van een louter persoonlijke of huishoudelijke activiteit die als zodanig geen enkel verband houdt met een beroeps- of handelsactiviteit. Tot persoonlijke of huishoudelijke activiteiten kunnen behoren het voeren van correspondentie of het houden van adresbestanden, het sociaal netwerken en online-activiteiten in de context van dergelijke activiteiten.

Deze verordening geldt wel voor verwerkingsverantwoordelijken of verwerkers die de middelen verschaffen voor de verwerking van persoonsgegevens voor dergelijke persoonlijke of huishoudelijke activiteiten” Op basis van bovenstaande blijkt dat het raadplegen van informatie van personen op sociale media door de gemeente in het kader van haar werkzaamheden gezien moet worden als een verwerking waarop de AVG van toepassing is. Beginselen van de AVG Artikel 59 van de AVG benoemt de beginselen van de AVG. “Artikel 5 Beginselen inzake verwerking van persoonsgegevens 1. Persoonsgegevens moeten: a. worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is ("rechtmatigheid, behoorlijkheid en transparantie"); b. voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd ("doelbinding"); c. toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt ("minimale gegevensverwerking"); d.

juist zijn en zo nodig worden geactualiseerd; alle redelijke maatregelen moeten worden genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren ("juistheid"); e. worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden https://www.vandale.nl/gratis-woordenboek/nederlands/betekenis/geautomatiseerd https://www.privacy-regulation.eu/nl/r18.htm 9 Https://www.privacy-regulation.eu/nl/artikel-5-beginselen-inzake-verwerking-van-persoonsgegevens-eu-avg.htm 7 8

8

Gebruik van publiek toegankelijke bronnen: Privacy onderzoek - November 2021

f.

verwerkt noodzakelijk is; persoonsgegevens mogen voor langere perioden worden opgeslagen voor zover de persoonsgegevens louter met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden worden verwerkt overeenkomstig artikel 89, lid 1, mits de bij deze verordening vereiste passende technische en organisatorische maatregelen worden getroffen om de rechten en vrijheden van de betrokkene te beschermen ("opslagbeperking"); door het nemen van passende technische of organisatorische maatregelen op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging ("integriteit en vertrouwelijkheid").

2. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen ("verantwoordingsplicht").” In dit onderzoek ligt de focus op de rechtmatigheid, behoorlijkheid en transparantie (artikel 5 lid 1a), minimale gegevensverwerking (artikel 5 lid 1c) en in welke mate dit ook aantoonbaar is (artikel 5 lid 2). Rechtmatigheid, behoorlijkheid en transparantie Onder de AVG moet de verwerking van persoonsgegevens rechtmatig, behoorlijk en transparant zijn. Grond 39 10 van de AVG gaat hier in meer detail op in. “Grond 39 Elke verwerking van persoonsgegevens dient behoorlijk en rechtmatig te geschieden. Voor natuurlijke personen dient het transparant te zijn dat hen betreffende persoonsgegevens worden verzameld, gebruikt, geraadpleegd of anderszins verwerkt en in hoeverre de persoonsgegevens worden verwerkt of zullen worden verwerkt. Overeenkomstig het transparantiebeginsel moeten informatie en communicatie in verband met de verwerking van die persoonsgegevens eenvoudig toegankelijk en begrijpelijk zijn, en moet duidelijke en eenvoudige taal worden gebruikt.

Dat beginsel betreft met name het informeren van de betrokkenen over de identiteit van de verwerkingsverantwoordelijke en de doeleinden van de verwerking, alsook verdere informatie om te zorgen voor behoorlijke en transparante verwerking met betrekking tot de natuurlijke personen in kwestie en hun recht om bevestiging en mededeling te krijgen van hun persoonsgegevens die worden verwerkt. Natuurlijke personen moeten bewust worden gemaakt van de risico's, regels, waarborgen en rechten in verband met de verwerking van persoonsgegevens, alsook van de wijze waarop zij hun rechten met betrekking tot deze verwerking kunnen uitoefenen. Meer bepaald dienen de specifieke doeleinden waarvoor de persoonsgegevens worden verwerkt, expliciet en gerechtvaardigd te zijn en te zijn vastgesteld wanneer de persoonsgegevens worden verzameld. De persoonsgegevens dienen toereikend en ter zake dienend te zijn en beperkt te blijven tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Dit vereist met name dat ervoor wordt gezorgd dat de opslagperiode van de persoonsgegevens tot een strikt minimum wordt beperkt. Persoonsgegevens mogen alleen worden verwerkt indien het doel van de verwerking niet redelijkerwijs op een andere wijze kan worden verwezenlijkt.

Om ervoor te zorgen dat persoonsgegevens niet langer worden bewaard dan noodzakelijk is, dient de verwerkingsverantwoordelijke termijnen vast te stellen 10

Grond 39 EU algemene verordening gegevensbescherming (EU-AVG). Privacy/Privazy according to plan. (privacyregulation.eu)

9

Gebruik van publiek toegankelijke bronnen: Privacy onderzoek - November 2021

voor het wissen van gegevens of voor een periodieke toetsing ervan. Alle redelijke maatregelen moeten worden genomen om ervoor te zorgen dat onjuiste persoonsgegevens worden gerectificeerd of gewist. Persoonsgegevens moeten worden verwerkt op een manier die een passende beveiliging en vertrouwelijkheid van die gegevens waarborgt, ook ter voorkoming van ongeoorloofde toegang tot of het ongeoorloofde gebruik van persoonsgegevens en de apparatuur die voor de verwerking wordt gebruikt.” Grond 39 geeft aan dat de doeleinden waarvoor de persoonsgegevens worden verwerkt expliciet en gerechtvaardigd moeten zijn. De gebruikte persoonsgegevens moeten ook echt nodig zijn en beperkt blijven tot wat echt noodzakelijk is. Verder mogen persoonsgegevens alleen verwerkt worden als het doel niet op een andere wijze kan worden bereikt. In grond 39 wordt verder aangegeven dat transparantie belangrijk is. Informatie en communicatie over een verwerking moet in duidelijke en eenvoudige taal worden gedaan. Hierbij wordt nadrukkelijk genoemd het informeren over de identiteit van de verwerkingsverantwoordelijke en de doeleinden van de verwerking. Een verwerking is alleen rechtmatig als er een grondslag is. In de AVG worden een zestal grondslagen benoemd waaraan een verwerking moet voldoen om rechtmatig te zijn 11. 1. Toestemming 2. Overeenkomst 3. Wettelijke verplichting 4. Vitaal belang 5.

Vervulling taak van algemeen belang of uitoefening van het openbaar gezag 6. Gerechtvaardigd belang Gerechtvaardigd belang geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.

11

Artikel 6 EU algemene verordening gegevensbescherming (EU-AVG). Privacy/Privazy according to plan. (privacy-regulation.eu)

10

Gebruik van publiek toegankelijke bronnen: Privacy onderzoek - November 2021

5 Processen 5.1 Webcare De gemeente Delft is actief op social media. Op zowel Facebook, Instagram, Twitter, Youtube, LinkedIn en Whatsapp heeft de gemeente een officieel account. Via deze kanalen deelt de gemeente informatie met de burgers. Burgers kunnen hierop reageren, maar kunnen ook direct aan de gemeente een bericht sturen. Ook kunnen burgers op bijvoorbeeld Twitter met #GemeenteDelft de gemeente meenemen in een bericht die zij zelf op het media plaatsen. Het webcare-team houdt deze kanalen in de gaten om te zien of er burgers zijn die iets vragen aan de gemeente of een klacht hebben. Het webcare-team pakt deze berichten op en zorgt ervoor dat ze op de juiste wijze worden afgehandeld. De benodigde persoonsgegevens worden ingevoerd in het CRM-systeem van de afdeling KCC. Voor het in de gaten te houden van de verschillende social media kanalen maakt het Webcare-team gebruik van Obi4wan. Hierbij wordt gebruik gemaakt van het algemene officiële account van de gemeente. Obi4wan Obi4wan is een product van de gelijknamige leverancier. Het is levert “alles-in-1 oplossingen voor webcare, messaging, chatbots, media monitoring, reputatiemanagement en dataanalyse” 12. Naast webcare-functionaliteit is het product ook gezicht voor het monitoren en analyseren van grote hoeveelheden van online informatie. Obi4wan bevat een grote lijst met online bronnen die het product kan doorzoeken.

Daarnaast is er de mogelijkheid om een eigen lijst van bronnen toe te voegen. De gemeente gebruikt dit product voor webcare, maar ook voor de TamTam en omgevingsanalyses. Rechtmatigheid, behoorlijkheid en transparantie Een belangrijk onderdeel van elke overheidsinstantie is het contact met de burger. Een gemeente moet toegankelijk zijn en laagdrempelig te benaderen. De inzet van de social media kanalen draagt hieraan bij. De gemeente geeft op deze kanalen duidelijk aan wie zij is. Burgers staan vrij om via deze route contact op te nemen met de gemeente, maar zijn dit niet verplicht. De inzet van social media is in deze een extra service richting de burger, naast de meer traditionelere contactvormen met de gemeente. Bij het overnemen van de gegevens in het CRM-systeem worden alleen die gegevens meegenomen die nodig zijn om de melding in behandeling te kunnen nemen. De burger is in deze ook de initiatiefnemer van het online contact richting de gemeente. Deze verwerking voldoet daarmee aan de AVG.

12

https://www.obi4wan.com/nl/

11

Gebruik van publiek toegankelijke bronnen: Privacy onderzoek - November 2021

5.2 TamTam en omgevingsanalyse

De afdeling Communicatie maakt gebruik van publiek toegankelijke bronnen voor enerzijds het samenstellen van de TamTam en anderzijds voor het uitvoeren van omgevingsanalyses. TamTam De TamTam 13 is een dagelijks overzicht met informatie over wat er het afgelopen etmaal heeft gespeeld in Delft. Zoals in de Tamtam zelf staat: “De TamTam geeft zicht op de beeldvorming en de publieke opinie in het afgelopen etmaal. Die wordt bepaald door media, opiniemakers, bevolking en organisaties. De TamTam verschijnt iedere werkdag voor het middaguur. Met de TamTam krijg je ook meer grip op opkomende zaken die spelen en zie je hoe het beleid en de communicatie van de gemeente landen.” Om de TamTam te maken wordt gebruik gemaakt van verschillende bronnen, zoals AD Delft, Omroepwest.nl, Indebuurt.nl, de Telegraaf, Delft op Zondag en de Delftse Post. Daarnaast worden met behulp van Obi4wan overige bronnen geraadpleegd. Hierbij wordt Obi4wan zo ingesteld dat alleen informatie wordt opgehaald over de afgelopen 24 uur. Naast de standaard set van bronnen die Obi4wan ondersteunt, heeft de gemeente ook een eigen lijst van bronnen toegevoegd. In het draaiboek van de TamTam wordt beschreven welke stappen er doorlopen moeten worden om de TamTam te maken. Hierin is ook opgenomen dat namen van inwoners, raadsleden en andere individuen niet letterlijk genoemd mogen worden.

Dit gebeurde in het verleden wel, maar is recent aangepast. Alleen de burgemeester en wethouders worden nog bij naam genoemd. Als een TamTam is opgesteld wordt deze verspreid binnen de organisatie aan iedereen die zich heeft aangemeld bij de mailinglist en geplaatst op Yammer. Rechtmatigheid, behoorlijkheid en transparantie De TamTam heeft als doel om de organisatie informatie te verschaffen over de beeldvorming en publieke opinie met betrekking tot wat er speelt in de gemeente en hoe het beleid landt. Dit past binnen het uitvoeren van een taak van algemeen belang en is rechtmatig. Om de TamTam te maken worden persoonsgegevens verwerkt, ondanks dat de namen van individuen niet meer worden genoemd. Het raadplegen van persoonsgegevens is volgens de definitie immers al een verwerking. Dit is geen probleem zolang er niet meer informatie wordt verwerkt dan strikt noodzakelijk en er geen sprake is van stelselmatig volgen van burgers. Naast de standaard lijst van bronnen is ook een eigen lijst van bronnen toegevoegd die dagelijks doorzocht wordt. In deze lijst staan facebook pagina’s en websites van verschillende organisaties in Delft en nationale media. Denk hierbij aan de facebook pagina van het AD, maar ook JinekRTL of DelftvoorElkaar. Ook de facebookpagina’s van de politieke partijen in Delft staan hiertussen. Er vallen echter ook een aantal pagina’s op.

Zo wordt ook de facebookpagina van de burgemeester gevolgd. Hoewel hier sprake is van het volgen van een persoon gaat echter niet om de privé-pagina van de burgemeester. De pagina is aangemaakt met haar gemeentelijke emailadres en bevat ook een verwijzing naar de website van de gemeente Delft (https://www.delft.nl/bestuur-en-organisatie/bestuur/college/marja-van-bijsterveldt) Het volgen van deze pagina past in de doelstelling van de verwerking.

13

Een voorbeeld van de TamTam is bijgevoegd als bijlage 1

12

Gebruik van publiek toegankelijke bronnen: Privacy onderzoek - November 2021

Daarnaast worden er ook facebookpagina’s gevolgd van bepaalde bewonersgroepen. Deze zijn toegevoegd voor een omgevingsanalyse. Ze worden daardoor echter ook gebruikt als bronnen voor de TamTam. De relevantie hiervoor lijkt te ontbreken en daarmee zijn de persoonsgegevens niet strikt noodzakelijk voor het doel. Ook is het voor de deelnemers van deze facebookpagina’s niet duidelijk dat deze pagina’s dagelijks doorzocht worden. Het doorzoeken van deze pagina’s past daarmee niet binnen de behoorlijkheid en transparantie, zoals vereist vanuit de AVG. Het maakt hierbij niet uit of een medewerker deze pagina’s bekijkt of een geautomatiseerd systeem dit doet. De noodzakelijkheid ontbreekt ook bij het volgen van bedrijven die geen maatschappelijke functie hebben en daarmee niet (meer) of zeer beperkt bijdragen aan het zicht op de beeldvorming en publieke opinie. Hierbij moet bijvoorbeeld gedacht worden aan een winkel of een restaurant. Dergelijke bedrijven staan wel in de lijst met toegevoegde bronnen. Hoewel er een draaiboek is waarin beschreven staat hoe de TamTam gemaakt moet worden, ontbreekt er een protocol of handboek waarin beschreven staat wat het doel is en wat wel en niet is toegestaan met betrekking tot de TamTam. Ook zijn er geen criteria opgesteld voor de eigen lijst met bronnen en het onderhouden van deze lijst. Het voornemen is om de lijst jaarlijks op te schonen.

Omgevingsbeeld analyse De afdeling Communicatie voert op verzoek ook omgevingsanalyses uit. Hierbij wordt voor een langere periode ingezoomd op een bepaald onderwerp. Denk hierbij aan bijvoorbeeld “Prinsenhof”. Op verzoek van een communicatieadviseur wordt de omgevingsanalyse gestart. Bij de start van een project wordt vaak een nulmeting gedaan en gedurende het project wordt op een aantal momenten aanvullende metingen gedaan. Rechtmatigheid, behoorlijkheid en transparantie Net als met de TamTam is het doel zicht krijgen op de beeldvorming en publieke opinie. Alleen in dit geval gericht op een specifiek onderwerp en de verandering van deze beeldvorming en publieke opinie gedurende het project. En net als bij de TamTam wordt hiervoor gebruik gemaakt van Obi4wan en wordt ook de eigen lijst met bronnen doorzocht. Om de bronnen te doorzoeken wordt gebruik gemaakt van de standaard algemene accounts van de gemeente Delft. Hierdoor kleven aan de omgevingsanalyse dezelfde bezwaren als bij het gebruik van Obi4wan voor de TamTam. Wat kan er beter? In het geval van TamTam en de omgevingsanalyse is er sprake van hetzelfde doel, namelijk: “Zicht krijgen op de beeldvorming en publieke opinie.” Dit is toegestaan, maar het is hierbij belangrijk om steeds bewust te zijn van de informatie die wordt verwerkt en of deze nog van toegevoegde waarde zijn.

Het opstellen van protocollen voor de TamTam en omgevingsanalyse kan helpen om dit te beter te borgen. Zeker als deze protocollen periodiek herzien worden. Daarnaast is het aan te bevelen om te werken met aparte eigen lijsten voor de TamTam en de omgevingsanalyses. Beide hebben namelijk een andere frequentie en tijdsperiode waarover gekeken wordt. Op deze manier wordt voorkomen dat er onnodig gegevens verwerkt worden. Als laatste is het advies om bij het toevoegen van bronnen goed te wegen of deze ook daadwerkelijk hier thuishoren en of dit niet een te grote inbreuk is van de personen die iets op deze bron plaatsen.

13

Gebruik van publiek toegankelijke bronnen: Privacy onderzoek - November 2021

5.3 Fraudeonderzoek Participatiewetgeving Binnen de gemeente is de Sociale Recherche belast met het onderzoek naar fraude in relatie tot de Participatiewetgeving. Tijdens deze onderzoeken wordt ook gebruik gemaakt van publiek toegankelijke bronnen. In november 2014 heeft het RFC Kenniscentrum Handhaving (hierna RFC) hiervoor een protocol opgesteld. Dit protocol is opgesteld voor de AVG en viel nog onder de vorige wetgeving (Wet bescherming persoonsgegevens Wbp). Conform de Wbp heeft het College bescherming persoonsgegevens (Cbp) een voorafgaand onderzoek ingesteld. Het Cbp is de voorganger van de Autoriteit Persoonsgegevens (AP). Onder de AVG is een dergelijk voorafgaand onderzoek niet meer nodig als er een DPIA is uitgevoerd voorafgaand aan de verwerking. Het Cbp heeft op basis van het voorafgaand onderzoek bepaald dat de verwerking rechtmatig is en een aantal voorwaarden gesteld waar het protocol aan voldeed 14: • Gemeenten mogen alleen internetonderzoek doen bij aantoonbare indicaties van misbruik of fraude. Preventief internetonderzoek, bijvoorbeeld bij de aanvraag van een uitkering, is niet toegestaan. •

Een tweede voorwaarde is dat gemeenten eerst kijken of zij voor de betrokkenen minder ingrijpende middelen kunnen inzetten.

•

Verder moeten gemeenten een belangenafweging maken om te kijken of het internetonderzoek proportioneel is. Dat wil zeggen of de inbreuk op de privacy van de betrokkenen niet onevenredig groot is.

•

Tot slot mogen gemeenten alleen kortdurend, incidenteel onderzoek doen, in voor iedereen rechtstreeks toegankelijke openbare bronnen.

De gemeente Delft hanteert een eigen protocol dat is afgeleid van het RFC protocol voor het uitvoeren van haar werkzaamheden 15. Zodra er een melding komt van potentiële fraude vindt er eerst een administratief onderzoek plaatst. Zo wordt er bijvoorbeeld gekeken of iemand wel een uitkering krijgt. 9 van de 10 (anonieme) meldingen geeft aanleiding voor verder onderzoek. Als blijkt uit administratief onderzoek dat verder onderzoek wenselijk is, wordt internetonderzoek ingezet. Op Facebook wordt de betrokkene opgezocht en eventueel ook een mogelijke partner. Tijdens het gehele onderzoek wordt ongeveer 2x op Facebook gekeken. Afhankelijk van de resultaten kan besloten worden tot fysieke observatie of verhoor van de betrokkene. In het verhoor wordt gemeld dat er op Facebook is gekeken. Als uit het (internet)onderzoek blijkt dat er geen fraude heeft plaatsgevonden wordt de betrokkene hierover geïnformeerd. Het onderzoek op Facebook vindt plaats met een geheim account. Het account heeft een fictieve naam met een Gmailaccount en geen pagina. Er wordt geen vrienden gemaakt en ook worden afgesloten pagina’s niet bezocht. Er wordt steeds minder op Facebook gevonden, doordat er minder ‘openbaar’ gedeeld wordt en omdat Facebook steeds minder wordt gebruikt.

Rechtmatigheid, behoorlijkheid en transparantie Artikel 53a lid 6 van de Participatiewet staat toe dat gemeenten onderzoek mogen instellen naar de juistheid en volledigheid van de verstrekte gegevens en voor zover daar aanleiding 14 15

https://autoriteitpersoonsgegevens.nl/nl/nieuws/besluit-internetonderzoek-door-gemeenten Zie bijlage 2 – Protocol Internetonderzoek gemeente Delft

14

Gebruik van publiek toegankelijke bronnen: Privacy onderzoek - November 2021

toe is de uitkering te herzien of in te trekken. Het doen van onderzoek op publiek toegankelijke bronnen valt hier onder. Het onderzoek wordt uitgevoerd in het kader van het bestuursrecht en valt daarmee onder de verantwoordelijkheid van het college van B&W. Pas als er sprake is van fraude die mogelijk hoger is dan 50.000 euro kan er sprake zijn van strafrecht waarna de bevoegdheden overgedragen kunnen worden aan de officier van justitie. Omdat het onderzoek op publiek toegankelijke bronnen plaatsvindt voordat de eventuele omvang van de fraude bepaald kan worden, is er sprake van een exclusieve bestuursrechtelijke aangelegenheid. Omdat de controlebevoegdheid voortvloeit uit artikel 53a van de Participatiewet zijn alle ambtenaren die belast zijn met het uitvoeren van de Participatiewet bevoegd om dergelijk onderzoek te doen. Dit is dus niet voorbehouden aan buitengewoon opsporingsambtenaar. 16 Artikel 35 van de AVG stelt dat er een DPIA uitgevoerd moet worden als er de verwerking waarschijnlijk een hoog risico bevat voor de rechten en vrijheden van natuurlijke personen. De AP heeft conform artikel 35 lid 4 en 5 van de AVG een lijst van criteria en verwerkingen opgesteld waarvoor een DPIA verplicht is. Criteria die genoemd worden door de AP zijn onder andere,: heimelijk onderzoek; fraudebestrijding, blokkeren van een recht, dienst of contract 17.

Voor het werkproces rond fraudeonderzoek in het kader van de Participatiewet is een DPIA een vereiste. Dit is ook door de Vereniging Nederlandse Gemeenten (VNG) aangegeven 18. Binnen de gemeente Delft is nog geen DPIA uitgevoerd voor dit proces. Sinds de totstandkoming van het protocol van RFC is er nieuwe wetgeving gekomen. Zowel de Participatiewet als de AVG zijn van recenter datum. Het RFC bestaat niet meer. Recent heeft de Vereniging voor Nederlands Gemeenten (VNG) een handreiking uitgebracht die het oude protocol vervangt 19. Deze handreiking gaat minder diep op het onderwerp en richt zich meer op de verantwoording van de rechtmatigheid en bevat geen beschrijving hoe het beste gehandeld kan worden. De voorwaarden die het Cbp eerder stelde in relatie tot het protocol van RFC komen daarbij onvoldoende terug in de handreiking. De gemeente Delft volgt nog haar eigen protocol en de privacy voorwaarden die hierbij horen. Elke vorm van onderzoek heeft gevolgen voor de privacy van de betrokkene. Online onderzoek is hier geen uitzondering op. Belangrijk in de toetsing op behoorlijkheid is of er ook andere, minder privacy ingrijpende, maatregelen mogelijk zijn. Het protocol van de gemeente Delft vereist dan ook dan er eerst administratief onderzoek wordt gedaan. Zoals het opvragen van inlichtingen bij andere instanties zoals benoemd in artikel 64 van de Participatiewet 20.

Pas na administratief onderzoek wordt bepaald of onderzoek van publiek toegankelijke bronnen nodig is. Het onderzoek van publiek toegankelijke bronnen kan minder privacy schendend zijn dan andere methoden. Het is belangrijk om hier de juiste afweging in te maken. Het protocol geeft aan dat deze afweging per geval gemaakt en gedocumenteerd moet worden.

Zie pag. 6 handreiking internetonderzoek Participatiewet – VNG https://vng.nl/sites/default/files/2021-08/handreikinginternetonderzoek_20210802_def.pdf 17 https://www.autoriteitpersoonsgegevens.nl/nl/zelf-doen/data-protection-impact-assessment-dpia#voor-welke-soortenverwerkingen-is-het-uitvoeren-van-een-dpia-verplicht-6667 18 https://vng.nl/nieuws/dpia-handhaving-participatiewet-beschikbaar 19 https://vng.nl/kennisbank-naleving/internetonderzoek-participatiewet-handreiking 20 https://wetten.overheid.nl/jci1.3:c:BWBR0015703&hoofdstuk=6&paragraaf=6.6&artikel=64&z=2021-10-01&g=2021-10-01 16

15

Gebruik van publiek toegankelijke bronnen: Privacy onderzoek - November 2021

Tijdens het onderzoek maakt de gemeente Delft gebruik van een geheim account. Hiermee verbergt de onderzoeker zijn identiteit.. Artikel 5.12 van de Algemene wet bestuursrecht (Awb) stelt: 1. Bij de uitoefening van zijn taak draagt een toezichthouder een legitimatiebewijs bij zich, dat is uitgegeven door het bestuursorgaan onder verantwoordelijkheid waarvan de toezichthouder werkzaam is. 2. Een toezichthouder toont zijn legitimatiebewijs desgevraagd aanstonds. 3. Het legitimatiebewijs bevat een foto van de toezichthouder en vermeldt in ieder geval diens naam en hoedanigheid. Het model van het legitimatiebewijs wordt vastgesteld bij regeling van Onze Minister van Veiligheid en Justitie. Hoewel dit artikel niet gericht is op de online wereld geeft het wel aan dat een onderzoeker zich desgevraagd moet legitimeren. Dit betekent niet dat de onderzoeker een privé-account moet gebruiken, maar het is ook niet toegestaan om een de betrokken burger te misleiden. Het gebruik van een fictieve naam is niet toegestaan, maar bijvoorbeeld het aanzetten van een privé-modus in een account wel 21. Het gebruik van een geheim account is dan ook niet toegestaan. Men zou kunnen stellen dat een algemeen account ook niet is toegestaan omdat hiermee de medewerker zelf zich niet legitimeert. In de afweging rond behoorlijkheid moet echter ook de privacy en veiligheid van de medewerker worden meegewogen.

Gelet hierop is een algemeen account toereikend. De burger kan hierdoor contact opnemen met de gemeente. Tijdens het onderzoek maakt de gemeente alleen gebruik van Facebook als publiek toegankelijke bron. Andere bronnen zoals Instagram en Twitter worden volgens de gemeente niet gebruikt, omdat hier onvoldoende kennis van aanwezig is. Daarnaast geeft de gemeente aan dat er steeds minder op Facebook te vinden is. De informatie op Facebook wordt nog wel als waardevol gezien. Dat er niet geïnvesteerd is om ook andere publiek toegankelijke bronnen te gebruiken, betekent niet dat het gebruiken van informatie van Facebook niet behoorlijk is. Zolang het onderzoek van publiek toegankelijke bronnen maar minder privacy schendend is. Belangrijk hierbij is dat de periode waarover gekeken wordt beperkt is. Hier is in het protocol rekening mee gehouden. Wat kan er beter? De gemeente volgt voor de uitvoering van de participatie wetgeving het eigen protocol, dat is gebaseerd op het protocol van RFC. Dit protocol is een zeer goede basis, maar stampt uit 2017 en is nog niet aangepast aan de AVG en aanvullende inzichten uit de handreiking van VNG. Het is aan te bevelen om het protocol te actualiseren en dit periodiek te herhalen. Laat het protocol toetsen door de FG. Omdat er nog geen DPIA is uitgevoegd is het nodig om deze alsnog uit te voeren.

Daarnaast dient er overgestapt te worden op een algemeen account.

5.4 Openbare Orde en Veiligheid

Ook in het kader van Openbare Orde en Veiligheid (OOV) wordt binnen de gemeente Delft gebruik gemaakt van publiek toegankelijke bronnen. De gemeente deelt samen met de gemeenten Zoetermeer en Gouda een analist gespecialiseerd in Open Source Intelligence. Deze analist gebruikt publiek toegankelijke bronnen voor het uitvoeren van fenomeen-, netwerk-, signaal- en casusanalyse. Dit alles wordt gedaan op basis van artikel 172 van de Gemeentewet waarin staat: 21

Zie pag. 8 handreiking internetonderzoek Participatiewet – VNG https://vng.nl/sites/default/files/2021-08/handreikinginternetonderzoek_20210802_def.pdf

16

Gebruik van publiek toegankelijke bronnen: Privacy onderzoek - November 2021

1. “De burgemeester is belast met de handhaving van de openbare orde 2. De burgemeester is bevoegd overtredingen van wettelijke voorschriften die betrekking hebben op de openbare orde, te beletten of te beëindigen. Hij bedient zich daarbij van de onder zijn gezag staande politie. 3. De burgemeester is bevoegd bij verstoring van de openbare orde of bij ernstige vrees voor het ontstaan daarvan, de bevelen te geven die noodzakelijk te achten zijn voor de handhaving van de openbare orde. 4. De commissaris van de Koning geeft, indien een ordeverstoring van meer dan plaatselijke betekenis dan wel ernstige vrees voor het ontstaan van zodanige ordeverstoring zulks noodzakelijk maakt, de burgemeesters in de provincie zoveel mogelijk na overleg met hen, de nodige aanwijzingen met betrekking tot het door hen ter handhaving van de openbare orde te voeren beleid. De aanwijzingen worden zo enigszins mogelijk schriftelijk gegeven.” Fenomeen-, netwerk- en signaalanalyse Het grootste gedeelte van de werkzaamheden van de analist gaat zitten in fenomeenanalyse. Deze analyses richten zich op sociale bewegingen en ontwikkelingen die kunnen leiden tot een verstoring van de openbare orde. Aan de hand van de bevindingen wordt een rapport opgesteld of een presentatie gegeven. Voorbeelden van uitlatingen op de publiek toegankelijke bronnen worden hierin wel getoond, maar altijd geanonimiseerd.

Hetzelfde gaat op voor de netwerkanalyse. Bij deze analyse ligt de focus op bepaalde groepen. Deze groepen worden niet stelselmatig gevolgd, maar op verzoek kan een groep onderzocht worden. Hoewel in deze onderzoeken de individuen een rol spelen wordt anonimiseren toegepast in de beantwoording van de vraag. Er wordt geen overzicht gemaakt van individuen of hun rol in de groep. De analist verwerkt de persoonsgegevens en anonimiseert deze en stelt vervolgens een rapport op of houdt een presentatie. Bij signaalanalyse gaat het om een onderzoek naar een specifiek signaal die kan leiden tot een verstoring van de openbare orde. Bijvoorbeeld een demonstratie door een onbekende groep of een oproep tot een project-X-feest zoals in 2012 in Haren22. Ook in dit geval wordt door de analist een onderzoek gedaan en worden de geanonimiseerde resultaten gedeeld. Voor al deze onderzoeken bezoekt de analist publiek toegankelijke bronnen zoals Facebook, Instagram en Twitter. De analist meldt zich niet aan bij besloten groepen, reageert niet op berichten en wordt ook geen ‘vrienden’. Voor toegang tot deze bronnen maakt de analist gebruik van een geheim account met een fictieve naam en het logo van een voetbalploeg als profielfoto. Alle informatie in deze onderzoeken wordt handmatig verzameld. Er wordt geen dossier bijgehouden of specifieke tooling gebruikt.

Er is geen protocol of richtlijn aanwezig dat beschrijft hoe gehandeld moet worden. Ook is er door de gemeente Delft geen DPIA uitgevoerd.

22

https://nl.wikipedia.org/wiki/Project_X_Haren

17

Gebruik van publiek toegankelijke bronnen: Privacy onderzoek - November 2021

Rechtmatigheid, behoorlijkheid en transparantie De mate van rechtmatigheid is lastig te bepalen. De vraag die hierbij speelt is of het bekijken van de publiek toegankelijke bronnen gezien kan worden als een inbreuk op de persoonlijke levenssfeer, zoals benoemd in artikel 8 van de Europese Rechten Voor de Mens (ERVM) of artikel 10 van onze grondwet. Er is geen duidelijke definitie die aangeeft wat er vanuit de wet wordt verstaan onder persoonlijke levenssfeer 23. Artikel 172 lid 1 van de Gemeentewet stelt dat de burgemeester belast is met de handhaving van de openbare orde. Hierbij hoort ook het vooraf signaleren van mogelijke onrusten en waar nodig preventief optreden. Dit is echter geen vrijbrief voor het aantasten van de persoonlijke levenssfeer en het verwerken van persoonsgegevens. Om te bepalen of er sprake is van een schending van de persoonlijke levenssfeer is het belangrijk om stil te staan bij de mate van gegevensverzameling en de verwachtingen van de betrokkene. Anders dan in een offline wereld, zijn alle uitingen die je doet in de online wereld niet vluchtig. Een opmerking die je plaatst op Facebook staat er 3 jaar later nog en is voor iedereen te zien.

Door informatie openbaar op een dienst als Facebook te plaatsen, kiest de betrokkene ervoor om deze informatie met de hele wereld te delen, waarbij de boodschap voor langere tijd te bekijken is voor iedereen die dat wil. De analyses die uitgevoerd worden zijn niet gericht op personen, maar op fenomenen en groepen. Alhoewel bij deze analyses persoonsgegevens verwerkt worden, wordt niet ingezoomd op specifieke personen. Ook is er geen sprake van het stelselmatig volgen van personen. Doordat de analyses niet ingaan op personen en als doel hebben om mogelijke verstoring van de openbare orde preventief te signaleren en te voorkomen is de verwerking in lijn met artikel 172 van de Gemeentewet. Dit dient echter ook op een behoorlijke manier te gebeuren. Uit de gehouden interviews lijkt het erop dat er integer gehandeld wordt, maar dit is onvoldoende toetsbaar door het ontbreken van een protocol. Tijdens het onderzoek wordt er gebruik gemaakt van een geheim account. Alle werkzaamheden zijn erop gericht om niet kenbaar te maken dat de gemeente onderzoek heeft gedaan. Ook wordt dit niet kenbaar gemaakt via bijvoorbeeld de website van de gemeente of het privacy beleid. Casusanalyse Zeer sporadisch komt vanuit het casusoverleg (persoonsgerichte aanpak radicalisering) het verzoek om online onderzoek te doen naar een persoon.

Hierbij worden publiek toegankelijke bronnen geraadpleegd om een beeld te krijgen van bijvoorbeeld de ideologieën van een persoon. Tijdens dit onderzoek maakt de analist gebruik van een geheim account. De rapportage die er uitkomt wordt besproken in het casusoverleg persoonsgerichte aanpak waarbij ook politie en justitie betrokken kunnen zijn. Rechtmatigheid, behoorlijkheid en transparantie Om de rechtmatigheid te bepalen is het van belang om vast te stellen onder welke wetgeving de casusanalyses worden uitgevoerd en of hierbij sprake is van bestuursrecht of strafrecht. De AVG is niet van toepassing als er sprake is van strafrecht. In dat geval geldt de Wet politiegegevens (Wpg) die sterk verwant is aan de AVG. Het ministerie werkt aan een wetsvoorstel waarin de rol van de gemeenten bij casusoverleggen wordt verankerd in wetgeving (Wet casusoverleggen en meldingen over radicalisering en terroristische activiteiten 24). Dit wetvoorstel is in consultatie geweest en er is advies uitgebracht door de Raad van State. Het voorstel moet nog naar de Tweede Kamer. De Autoriteit Persoonsgegevens heeft een advies uitgebracht op het wetsvoorstel en gaat in het advies ook 23 24

https://repository.overheid.nl/frbr/sgd/19751976/0000197745/1/pdf/SGD_19751976_0004966.pdf pag. 40-41 https://wetgevingskalender.overheid.nl/Regeling/WGK010815

18

Gebruik van publiek toegankelijke bronnen: Privacy onderzoek - November 2021

in op de verschillende rollen van de gemeente in dit proces 25. De gemeente enerzijds als regisseur en anderzijds als uitvoerder van interventies vanuit haar gemeentelijke taak. In dit wetsvoorstel of reeds bestaande wetgeving is geen strafrechtelijke rol weggelegd voor de gemeente. De enige wettelijke bepaling waaronder deze analyses kan vallen is artikel 172 van de Gemeentewet. Artikel 10 lid 1 van de Grondwet stelt: “Ieder heeft, behoudens bij of krachtens de wet te stellen beperkingen, recht op eerbiediging van zijn persoonlijke levenssfeer.” Artikel 172 van de Gemeentewet is onvoldoende specifiek om de beperking van de persoonlijke levenssfeer te kunnen rechtvaardigen. Het uitvoeren van een casusanalyse door de gemeente is daarmee niet rechtmatig, omdat dit onvoldoende de persoonlijke levenssfeer eerbiedigt. Mogelijk dat dit wel rechtmatig uitgevoerd kan worden door een andere deelnemer aan het casusoverleg. Wat kan er beter? De gemeente voert verschillende analyses uit in het kader van openbare orde en veiligheid. Deze analyses zijn gestopt, hangende de uitkomsten van dit onderzoek. Op de casusanalyses na kunnen deze hervat worden als de volgende verbeteringen zijn doorgevoerd. Er dient een protocol opgesteld te worden die getoetst is door de FG. Voer een DPIA uit en stap over op het werken met een algemeen account.

Zorg er ook voor dat informatie hierover wordt opgenomen op de website van de gemeente, inclusief informatie over waar men terecht kan met vragen.

25

https://www.autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/advies_wet_persoonsgerichte_aanpak_en_meldingen_ radicalisering_en_terroristische_activiteiten.pdf

19

Gebruik van publiek toegankelijke bronnen: Privacy onderzoek - November 2021

6 Conclusie In de huidige tijd is de online wereld niet meer weg te denken. Steeds meer gebeurt online. De offline en online wereld zijn steeds meer met elkaar verwerven. Gemeenten zijn zich hier bewust van en zijn ook steeds meer online actief. De gemeente Delft benadert voor verschillende processen publiek toegankelijke bronnen. Dit wordt gedaan met goede intenties en er wordt geprobeerd zo integer mogelijk te werken. Dit kwam ook naar voren tijdens de verschillende interviews waarin openhartig en soms met een kritische blik naar de eigen processen gekeken werd. In de media werd gesuggereerd dat er sprake was van een ‘soort mini-AIVD’ Uit het onderzoek zijn geen onregelmatigheden naar voren gekomen die een dergelijke uitspraak rechtvaardigen. Er is zeker ruimte voor verbetering, maar er lijkt geen noodzaak te zijn tot grote structurele veranderingen aan de huidige werkwijze of processen. De belangrijkste verbeterpunten staan bij de verschillende processen benoemd in hoofdstuk 5. Eventuele details zullen verder aan de orde komen tijdens het opstellen/ herijken van de protocollen en het uitvoeren van de DPIA’s.

20

Gebruik van publiek toegankelijke bronnen: Privacy onderzoek - November 2021

Bijlage 1 – Voorbeeld TamTam

21

TamTam Delft Van: Newsroom Delft Analyseperiode: 6 oktober 9.00 uur – 7 oktober 9.00 uur

Plan kunsthal met restaurant in watertoren onzeker, bewoners opgelucht AD Delft schrijft dat bewoners van het Kalverbos opgelucht ademhalen nu de plannen voor horeca bij de watertoren niet zomaar zullen worden doorgevoerd. Door een ‘fout in het vergunningsproces’ duurt het nog minstens acht maanden voordat er een klap wordt gegeven op het voorstel. Bovendien zal de vastgoedondernemer de Delftse politici van het plan moeten overtuigen, voordat hij groen licht krijgt. Pas na de gemeenteraadsverkiezingen voert de nieuwe gemeenteraad een debat over het plan. Het plan gaat uit van een ecologische kunsthal, een conferentieruimte en een groot restaurant. Online speelt het onderwerp verder (nog) niet.

Coronanieuws uit Delft •

•

AD Delft meldt dat STIP, Onafhankelijk Delft, VVD en Hart voor Delft willen dat gemeente de horeca de winter door helpt. De vier partijen roepen het stadsbestuur op om de terrassen in ieder geval tot het voorjaar open te houden. Delft voert aankomend weekend het polsbandje in (ad.nl). Horecaondernemers hoeven hun bezoekers vanaf vrijdag niet meer om een QR-code of legitimatiebewijs te vragen. Delft heeft bij het invoeren van de coronacheckpas van de overheid geld gekregen om extra handhavers in te zetten. Op Facebook krijgt het bericht 6 likes, waarvan 3 boos.

En verder… •

•

•

•

•

•

Het KCC meldt dat het callcenter woensdagmiddag niet goed bereikbaar was. Vragen met betrekking tot het maken van afspraken en groenbeheer zijn via whatsapp gemaakt. Op Twitter deelt de gemeente (9.975 volgers): “Vanwege technische problemen zijn we telefonisch slechter bereikbaar. Er wordt hard gewerkt om dit probleem te verhelpen. Heb je een vraag aan de gemeente? Kijk op http://delft.nl of stel je vraag via social media.” De gemeente schrijft op social media dat de nieuwe klok, die gemaakt is door kinderen van basisschool Het Mozaïek, onthuld is in het stadskantoor. De klok is de winnaar van het project Tijd. Het bericht krijgt op Facebook 51 likes. Op Twitter krijgt het 2 likes. Burgemeester @VanBijsterveldt (20.693 volgers) deelt foto’s op Twitter en schrijft: “Vandaag samen met @doekle_terpstra, @TimvanderHagen, @pauldekrom #MachteldKroon en @Bas_Vollebregt het nieuwe bouwinnovatielab van TNO geopend. In het nieuwe gebouw doet TNO onderzoek naar innovatieve oplossingen in de bouw. Een nieuwe parel in de reeks Delftse innovatielabs!” Haar tweet krijgt 10 likes en wordt 7 keer geretweet. Wethouder @LennartHarpe (1.331 volgers) deelt op Twitter dat de leden van de VVD Delft de fractievoorzitter hebben gekozen tot lijsttrekker bij de gemeenteraadsverkiezingen. Zijn tweet krijgt 15 likes.

Wethouder @Bas_Vollebregt (1.409 volgers) reageert op een tweet van @tudelftcampus (457 volgers) over bedrijven die een belangrijke bijdrage leveren aan onze stad en de behoefte aan maakruimte. Hij twittert: “Aanbieder of juist behoefte aan de juiste bedrijfsruimte? Kom volgende week dinsdag (12 oktober) naar Delft MAAKT.” Zijn tweet krijgt 3 likes en wordt 1 keer geretweet. Wethouder @LennartHarpe (1.331 volgers) reageert op Twitter op een post van VNG dat het

•

•

• •

•

Rijk afspraken negeert met overheden bij extra investeringen. Hij deelt: “Dit bewijst nogmaals dat naast de financiële verhoudingen, de verbetering van de interbestuurlijke verhoudingen zeer urgent is. #Delft #VNG”. Zijn tweet krijgt 3 likes. In Delft wordt de noodklok geluid over de zorg aan kwetsbare mensen, schrijft De Telegraaf. De dodelijke steekpartij aan de Burgwal brengt volgens o.a. de fractievoorzitter van Onafhankelijk Delft ‘aan het licht dat de opvang van personen met psychische en sociale problemen snel moet verbeteren’. Het CDA maakt zich ook zorgen. “Kwetsbare inwoners zijn ook in Delft het stiefkindje van de zorg”, zegt een raadslid. Er is een groot tekort aan studentenkamers blijkt uit landelijk onderzoek, schrijft Trouw. Het artikel noemt de zusterflat van GGZ Delfland als voorbeeld van een oplossing. Na 10 jaar lang leegstand wordt de flat sinds een paar jaar weer door 150 studenten bewoond. Een stichting houdt zich bezig met het ombouwen van leegstaande gebouwen tot studentenhuisvesting. De zusterflat is het eerste geslaagde project, daarna volgden nog drie andere. Het heeft Delft tot nu toe voor meer dan vijfhonderd studenten woonruimte opgeleverd. Bewoners aan het Oostblok en de Stille Putten zitten in de kou omdat de blokverwerking niet werkt. Woonbron laat de bewoners weten dat er een storing is in het ketelhuis.