Discussienotitie Verantwoord datagebruik en de rol van de raad inclusief bijlagen

Discussienotitie Verantwoord datagebruik en de rol van de raad

Datagebruik Data, big data, small data, algoritmen, het zijn termen die veelvuldig in het nieuws zijn. Hoewel het gebruik van gegevens geen nieuw fenomeen is, is het gebruik van gegevens in combinatie met digitale toepassingen (computers, mobiele telefoons, sensoren voor het verzamelen van gegevens) relatief nieuw en ontwikkelt dit gebruik zich in hoog tempo. Bij het combineren van gegevens en digitale toepassingen die zorgdragen voor de verzameling, verwerking en opslag van deze gegevens, spreken we van data. Ook wordt er gesproken over ‘big data’, al is dat een relatief begrip omdat wat voor de gemeente big data zijn, zal voor bedrijven als Google en Facebook small data zijn. De toepassingen zijn echter veelal hetzelfde, voor het gemak spreken we in deze notitie verder van ‘data’. Digitale technieken maken het mogelijk om veel data te verzamelen, te verwerken en op te slaan. Het verwerken van veel data maakt nieuwe analyses mogelijk en geeft context aan andere data. Tevens is het binnen deze toepassingen mogelijk om geautomatiseerde beslis- of rekenregels (algoritmen) te ontwikkelen. Verantwoord datagebruik Het nieuws wordt gedomineerd door berichtgeving over voorbeelden waarin datagebruik kwetsbaarheden laat zien. Persoonlijke data komen op straat te liggen, mensen worden geautomatiseerd uitgesloten van bepaalde rechten op basis van algemene data-analyses.

In die berichtgeving over datagebruik speelt niet zelden de overheid een negatieve rol. De Algemene Verordening Gegevensbescherming (AVG) is de centrale wet die voorschrijft onder welke voorwaarden gegevens verzameld en verwerkt mogen worden. De regelgeving is hiervan afgeleid. Wet- en regelgeving kan niet overal een antwoord op kan geven, het laat ruimte voor interpretatie. Zo wordt niet bepaald hoeveel data in welke gevallen gebruikt mogen worden. Ook is niet altijd al jurisprudentie beschikbaar. In die gevallen is het ook als gemeente belangrijk om vooral aan te geven binnen welke kaders data toegepast mogen worden. Daarbij zijn ethiek en transparantie belangrijke punten. De vraag is dan ook wat onder verantwoord datagebruik moet worden verstaan en welke rol de raad daarin heeft. Hoe verhoudt de overheid zich tot zijn inwoners? Van dezelfde overheid wordt namelijk verwacht dat hij zijn inwoners bescherming biedt, ook tegen misbruik van persoonsgegevens. Aan de andere kant wordt er steeds meer gevraagd van de dienstverlening door dezelfde overheid en het tegengaan van fraude. Hieraan kunnen data een belangrijke bijdrage leveren. Datagebruik binnen de gemeente Ook in de gemeente ’s-Hertogenbosch spelen data een rol in het vormgeven van beleid en in het nemen van bestuurlijke beslissingen. De stad ’s-Hertogenbosch profileert zich al enkele jaren als dé toonaangevende datastad.

Ook om die reden is het zinvol om te onderzoeken hoe de gemeente het privacy-beleid heeft geïmplementeerd en zorgdraagt voor verantwoord datagebruik.

De rekenkamercommissie heeft in de jaren 2018 en 2019 verkennende onderzoeken laten uitvoeren naar privacy en datagebruik door de gemeente. Deze onderzoeken tonen aan dat de beveiliging én bescherming van informatie en persoonsgegevens binnen de gemeente op basis van de wet- en regelgeving op orde zijn. De gemeente ’s-Hertogenbosch gebruikt bijvoorbeeld algoritmes om het toekomstig beroep op de Wmo of de jeugdhulp te voorspellen. Deze data zijn niet terug te leiden tot individuen. In het onderzoek naar de Leefbaarheid en Veiligheid van de Gestelse Buurt is de mogelijke relatie tussen financiële situatie en crimineel gedrag onderzocht. Het onderzoek toont een verband aan tussen financiële problematiek en de kans dat iemand verdacht wordt van een criminele activiteit. Een nuttig onderzoek dat oorzaken voor een onveilige buurt kan blootleggen, maar ook de basis kan zijn (maar nog niet is) voor een aantal geautomatiseerde beslisregels op basis waarvan de kans wordt bepaald dat iemand verdacht wordt van criminele activiteiten. Zo wordt in het rapport een keuzeboom weergegeven die aan de hand van enkele kenmerken van een individu (vrouw/man, jong/oud, wel/niet financiële problemen) laat zien of het individu onderdeel uitmaakt van een groep (met genoemde specifieke kenmerken) die relatief veel verdachten van een criminele handeling kent.

In een van de verkennende onderzoeken die de rekenkamercommissie heeft laten uitvoeren is specifiek gekeken naar de wijze waarop datagebruik plaatsvindt in het sociaal domein. Een conclusie die in dit werkveld kan worden getrokken is dat er ten behoeve van een goede dienstverlening veel waarde wordt gehecht aan het integraal werken. Zogenaamde ‘één gezin, één plan, één regisseur- methodieken’ vragen om meer informatie-uitwisseling. Er gaan echter tegelijkertijd tegengestelde krachten werken. De politiek vraagt ten behoeve van een goede dienstverlening en het gewenste maatwerk om ontschotting van de hulpverlening. En de AVG werpt vanwege privacy-overwegingen en de bescherming van persoonsgegevens juist schotten op. De overheid vraagt van de (hulpvragende) burger om maximale transparantie, maar moet diezelfde burger tegen de overheid in bescherming nemen waar het betreft de verzameling en verwerking van teveel persoonlijke data. De rekenkamercommissie heeft geconstateerd dat het voor raadsleden moeilijk is om inzicht te krijgen in de verschillende vormen waarin door de gemeente gebruik wordt gemaakt van data.

Welke rol spelen data in de uiteindelijke bestuurlijke besluitvorming? Wie neemt de beslissing om gebruik te maken van data in de uitvoering en de ontwikkeling van beleid en aan welke eisen wordt deze beslissing getoetst? Hoe controleert een raadslid of de gebruikte algoritmen wel voldoen aan de gestelde politieke voorwaarden en voorwaarden van goed bestuur? De rekenkamercommissie is van mening dat er voor de gemeenteraad van ’sHertogenbosch een verantwoordelijkheid ligt om kaders te stellen voor het gebruik van data door de gemeente. Hulpmiddel Als bijlage bij deze discussienotitie treft u de samenvatting van de twee verkennende onderzoeken aan onder de titel Privacy, verantwoord datagebruik, en de rol van de raad: Een verkenning van beleid en uitvoering. U leest hierin ook meer over de mogelijke uitgangspunten voor het debat over data. Gezien het belang van het onderwerp wil de rekenkamercommissie de raad een handvat bieden. De rekenkamercommissie heeft hiervoor de DataWijzer voor de gemeenteraad ’sHertogenbosch laten ontwikkelen. Het doel van deze DataWijzer, een doorklikbaar hulpmiddel, is raads- en commissieleden te helpen om in het reguliere besluitvormingsproces

tot een afgewogen en onderbouwd besluit te komen bij raadsvoorstellen waarbij data worden ingezet. De DataWijzer bestaat uit drie fases: de beeldvormende fase, de oordeelsvormende fase en de besluitvormende fase. Bij elke fase geeft de DataWijzer suggesties voor vragen die u als raads- commissielid zou kunnen stellen. Bovendien kunnen de opgeworpen vragen in de DataWijzer helpen bij de eventuele ontwikkeling van kaders door het gemeentelijk datagebruik. De wijze waarop u als raads-commissielid de Datawijzer in uw werkzaamheden zou kunnen gebruiken is ook in een kort animatiefilmpje toegelicht. Vragen aan de Commissie Bedrijvigheid 1. Bent u als raad voldoende op de hoogte op welke beleidsterreinen (welke) dataanalyses worden uitgevoerd, wat het doel is van deze analyses, en in hoeverre geautomatiseerde beslisregels (algoritmen) worden gebruikt? 2. Onderschrijft u de stelling dat er kaders ontbreken op basis waarvan het college tot politiek gedragen uitvoering kan komen waar het de toepassing betreft van complexe data analyses en algoritmen m.b.t. de realisatie van beleidsdoelstellingen? Bent u het met de rekenkamercommissie eens dat er een verantwoordelijkheid voor de raad is om kaders te stellen aan het gebruik van data-analyses en algoritmen door de gemeente? 3.

Onder welke voorwaarden vindt u het acceptabel dat er voor de uitvoering en ontwikkeling van beleid gebruik wordt gemaakt van complexe data-analyses en algoritmen? Wat vindt u echt niet acceptabel en wat wel? Eventuele hulpvragen hierbij: a. Welke eisen moeten gesteld worden aan algoritmes die worden gebruikt? b. In hoeverre heeft de burger zicht en invloed op de gegevens die over hem/haar worden verzameld door de gemeente? c. Met wie mag de gemeente data delen? d. Onder welke voorwaarden mogen data van externe partijen (die misschien de grenzen van het mogelijke opzoeken) worden gebruikt? 4. Vindt u, met ons, dat u voor de invulling van uw kaderstellende en controlerende taken, op dit onderwerp, inzicht nodig heeft in: a. Welke gemeentelijke data-projecten er lopen? b. Waarom deze projecten lopen (oftewel: wat is de initiële doelstellingen en waarom wordt hiervoor gebruik gemaakt dan data)? c. Welke data er, op hoofdlijnen, gebruikt worden in deze projecten? d. Hoe de gemeente daarover communiceert met burgers? -----

Privacy, verantwoord datagebruik, en de rol van de raad Een verkenning van beleid en uitvoering Aanleiding Gemeenten verzamelen en gebruiken veel persoonsgegevens van burgers. Het gebruik van deze gegevens in combinatie met ICT-toepassingen, noemen we data. Een groot deel van die data heeft de gemeente nodig om de taken uit te voeren. Zo kan er in het sociaal domein meer zicht komen op welke mensen een hulpvraag hebben, en in het fysieke domein kan men doelmatiger omgaan met bijvoorbeeld onderhoud, parkeren en het ophalen van afval. Maar het bezit en gebruik van al deze data brengt in deze tijd van toenemende digitalisering, ook verantwoordelijkheden met zich mee. Welke data kan en mag een gemeente gebruiken en welke niet? Hoe kan een gemeente zo transparant mogelijk zijn naar burgers toe over wat de gemeente van hen weet en hoe data gebruikt worden? Hoe voorkomt de gemeente risico’s zoals een datalek waardoor gegevens van burgers op straat liggen? Kortom: hoe is het privacy-beleid geïmplementeerd en hoe gaat de gemeente verantwoordelijk om met de data van burgers? De stad ’s-Hertogenbosch profileert zich al enkele jaren als dé toonaangevende datastad. Juist om die reden is het de vraag of de gemeente het privacy-beleid heeft geïmplementeerd en zorgdraagt voor verantwoord datagebruik.

Dit is de aanleiding geweest voor de rekenkamercommissie om in de jaren 2018 en 2019 twee verkennende onderzoeken uit te laten voeren naar het privacy-beleid en het datagebruik van de gemeente ’s-Hertogenbosch. Het eerste onderzoek gaat in op het privacy-beleid van de gemeente. De resultaten van dit onderzoek schetsen een positief beeld van de wijze waarop de gemeente ’s-Hertogenbosch het privacy-beleid heeft geïmplementeerd. Wel is het de vraag of de raad zich voldoende met het privacy-beleid en verantwoord datagebruik bezighoudt. Het tweede onderzoek richt zich op het gebruik van data in het algemeen en specifiek op het sociaal domein van de gemeente ’s-Hertogenbosch. Bovendien richt het onderzoek zich op de mogelijkheden van de gemeenteraad om ten aanzien van het gebruik van data vooraf kaders te stellen. Deze twee onderzoeken zijn vanwege het karakter – een verkenning – destijds niet aangeboden aan de raad. De rekenkamercommissie hecht er vanuit transparantie en verantwoording aan om over beide onderzoeken terug te koppelen aan de raad. Bovendien heeft de rekenkamercommissie naar aanleiding van beide onderzoeken en in samenwerking met de Utrecht Data School een doorklikbaar hulpmiddel, de DataWijzer, laten ontwikkelen dat raadsleden kan ondersteunen bij het beoordelen van het gebruik van data en de keuzes die daaraan ten grondslag liggen.

Bij de totstandkoming van dit hulpmiddel hebben zowel enkele raadsleden als het Hoofd van de afdeling Onderzoek & Statistiek van de gemeente ’s-Hertogenbosch input geleverd. De DataWijzer wordt hierbij aangeboden.

I.

Privacy-beleid gemeente ’s-Hertogenbosch

In het eerste verkennende onderzoek, dat door PBLQ is uitgevoerd, is nader gekeken naar de wijze waarop het privacy-beleid is vastgelegd in beleidskaders en andere documenten. Daarnaast is onderzocht hoe het beleid in de organisatie vorm is gegeven. De hoofdvragen waren: -

In hoeverre is de bescherming van persoonsgegevens van burgers van de gemeente 's-Hertogenbosch gewaarborgd, zowel in beleid, maatregelen en uitvoeringspraktijk?

-

Hoe kan de gemeenteraad zijn rol hierbij vervullen?

Ter beantwoording van deze hoofdvragen is een viertal sub-vragen gesteld. Deze sub-vragen worden achtereenvolgens weergegeven en beantwoord.

1

1. WELKE BELEIDSKADERS, REGELS EN RICHTLIJNEN HANTEERT DE GEMEENTE VOOR DE BORGING VAN DE PRIVACY VAN DE INWONERS ? Het onderzoek toont aan dat de gemeente alle relevante beleidsdocumenten heeft ontwikkeld en deze regelmatig actualiseert. Daarnaast wordt er sinds jaren (door PBLQ is dit herleid tot tenminste 2001) gewerkt met een informatiebeveiligingsbeleid. Ook op dat vlak beschikt de gemeente over beleids- en uitvoeringsplannen en wordt er regelmatig geactualiseerd. De gemeente kent een model voor convenanten met ketenpartners waarin privacy is opgenomen, modellen voor verwerkersovereenkomsten en een procedure voor datalekken. In de voorbereiding op de Algemene Verordening Gegevensbescherming (AVG) zijn in nagenoeg alle onderdelen van de organisatie de relevante processen geïnventariseerd en geanalyseerd. Indien nodig zijn ze heringericht. Er wordt een gestructureerde auditsysteem toegepast om voldoende garantie te bieden voor een adequate bescherming van de privacy van burgers. De relaties tussen processen, gegevens, systemen, beheer en de gerelateerde Baseline Informatiebeveiliging Gemeenten (BIG)-normen zijn vastgelegd in een systeem, zodat er overzicht is en er grip op kan worden gehouden. 2.

VOLDOET HET BELEID BINNEN DE GEMEENTE ’S-HERTOGENBOSCH AAN DE BEPALINGEN VAN HET BASISNORMKADER BASELINE INFORMATIEBEVEILIGING G EMEENTEN (BIG) EN AAN DE ALGEMENE VERORDENING GEGEVENSBESCHERMING (AVG)? Er kan worden geconstateerd dat het beleid van de gemeente grotendeels voldoet aan de bepalingen van de BIG en de AVG. Ten tijde van het onderzoek (2018) moest nog wel het verwerkersregister worden voltooid. Daarnaast werd in het betreffende onderzoek geconcludeerd dat het privacy-beleid nog een regulier onderdeel moest worden van de PDCA-cyclus1, waarbij de verantwoording over de naleving nadrukkelijk de aandacht moet krijgen. Tot slot benoemden de onderzoekers de dubbelfunctie van de Functionaris Gegevensbescherming (FG) en de Chief Information Security Officer (CISO) als een punt van aandacht. 3. HOE IS DIT BELEID UITGEWERKT EN GEBORGD IN PROCESSEN OP DE WERKVLOER ? Er bestaan in de organisatie voor bijna alle processen uitgewerkte procesbeschrijvingen die een basis vormen voor de informatiehuishouding die getoetst is aan de criteria van de AVG. Het onderzoek constateert dat er een procedure is voor datalekken. Deze procedure wordt als leerinstrument gebruikt en niet om medewerkers op af te rekenen. Het beeld dat uit het onderzoek naar voren komt is dat er veel energie is gestoken in de bewustwording van medewerkers.

Dit is gedaan door op basis van een Onderwijs- en communicatieplan kennis over te dragen door middel van e-learning en een bewustwordingscampagne. Daarnaast is er een privacy-organisatie ingericht. Dit betekent concreet dat elke afdeling een aanspreekpunt (of buddy) kent die als vraagbaak fungeert en die eventueel zelf te rade kan gaan bij de gespecialiseerde privacy officer en de Functionaris Gegevensbescherming. 4. O P WELKE WIJZE IS DE RAAD TOT NU TOE BIJ DE ONTWIKKELING VAN HET PRIVACY- BELEID EN INFORMATIEVEILIGHEID BETROKKEN GEWEEST ? Het onderzoek toont aan dat de raad van ’s-Hertogenbosch zich op verschillende momenten heeft gebogen over het vraagstuk van privacy-beleid en datagebruik. Er is geconstateerd dat de onderwerpen privacy en verantwoord datagebruik meerdere malen in de raad zijn besproken de afgelopen jaren. Het is echter de vraag of de raad zich de afgelopen jaren voldoende met deze vraagstukken heeft bezig gehouden.

Tussenconclusie 1 De rekenkamercommissie acht het, vanwege het toenemend maatschappelijk belang en de toenemende risico’s, van belang dat de raad zich in de toekomst intensiever met deze vraagstukken gaat bezighouden. Om die reden heeft de rekenkamercommissie de Nederlandse School voor het Openbaar Bestuur (NSOB) gevraagd hoe de gemeenteraad van ’s-Hertogenbosch invulling kan geven aan zijn kaderstellende en politieke rol binnen het privacy-beleid en het verantwoord datagebruik. Gevraagd is daarbij specifiek te kijken naar deze aspecten binnen het sociaal domein in de gemeente.

1

PDCA staat voor: Plan Do Check Act. Veel toegepaste beleidsevaluatie cyclus.

2

II.

De Politiek van Data en Privacy

In dit tweede verkennende onderzoek, uitgevoerd door het NSOB, wordt ingegaan op het toenemend gebruik van data door de overheid, meer in het bijzonder de gemeente ‘s-Hertogenbosch. Wat betekent de rol van de gemeenteraad voor het verantwoord gebruik van data? Er is ingezoomd op het gebruik van data in het sociaal domein in ‘s-Hertogenbosch. Dat heeft met name inzicht opgeleverd over de relevante vragen die door de raad gesteld kunnen worden ten aanzien van verantwoord datagebruik. Als achtergrond voor het onderzoek wordt een algemene wereldwijde ontwikkeling in de technologie geschetst die het mogelijk heeft gemaakt dat we heden ten dage over (zoveel) data beschikken. Dit past in de technologische ontwikkeling die ook wel de vierde industriële revolutie wordt genoemd. Deze industriële revolutie heeft geleid tot nieuwe technische mogelijkheden en maatschappelijke ontwikkelingen die nieuwe mogelijkheden bieden in opslag, verzamelen, verspreiden en analyseren van data. Er zijn bedrijven die geld verdienen met de verkoop van data. De onderzoekers stellen dat er steeds meer data worden gebruikt, omdat de gebruikers menen zo meer inzicht te verkrijgen en het beleid op objectieve feiten te baseren. Echter, zo stelt de NSOB, weten we dat feiten nooit voor zich spreken maar altijd duiding nodig hebben. Feiten betekenen in verschillende contexten iets anders.

Bovendien is het verzamelen en verwerken van data nooit neutraal, maar berust het op waarden (namelijk keuzes die gemaakt zijn voorafgaande aan het verzamelen van de data) die vaak niet zichtbaar worden. De hoeveelheid data waarover de gemeente ’s-Hertogenbosch beschikt is in relatie tot andere actoren in de samenleving niet groot. De data van 150.000 inwoners zijn nog in één Excel-sheet te verwerken. In de gemeente ’s-Hertogenbosch wordt daarom niet gesproken over ‘Big Data’. Tegelijkertijd wordt geconstateerd dat data ook in deze gemeente een steeds grotere rol spelen. In het sociaal domein gaat het bijvoorbeeld om informatie van en over burgers. Bij de analyse van beschikbare data wordt door de gemeente ‘s-Hertogenbosch ook gebruik gemaakt van algoritmen. Veelal wordt een algoritme gebruikt in de vorm van een digitaal programma dat vervolgens de data analyseert (berekent) en daaruit een door regels gestuurde conclusies trekt. AVG Op bepaalde punten geeft de AVG duidelijk aan waar gemeentelijk beleid aan moet voldoen. Zo wordt er bijvoorbeeld gesproken over beveiligingsmaatregelen voor mobiel werken, het verwerken van persoonsgegevens wanneer de burger hier toestemming voor heeft gegeven en welke informatie een burger moet delen tijdens een keukentafelgesprek en welke rechten en plichten de gemeente heeft bij het vormgeven van keukentafelgesprekken.

De AVG laat ook ruimte voor interpretatie en juist hierin kan de gemeenteraad een belangrijke rol spelen. Het gesprek in de gemeenteraad zou dan moeten gaan over de afweging tussen privacy en informatie-uitwisseling, over het omgaan met informatie van kwetsbare burgers en over in hoeverre de gemeente burgers zorg mag opdwingen. Op ambtelijk niveau wordt er regelmatig gesproken over casuïstiek waarin de AVG geen duidelijkheid verschaft. Zo’n geanonimiseerde casus zou in de gemeenteraad kunnen dienen als voorbeeld van bovengenoemde spanningen. Sociaal domein In de samenleving bestaat een toenemende behoefte aan transparantie. Ook de overheid heeft het liefst een transparante burger, zo ook in het sociaal domein. Via allerlei monitoren wordt informatie verzameld over inwoners en daarmee worden beleidskeuzes gemaakt, zo ook binnen het sociaal domein. Het integraal werken in het sociaal domein heeft ervoor gezorgd dat hulpverleners onderling informatie uitwisselen. Mede door de invoering van de AVG ontstaat er meer discussie over deze informatie-uitwisseling. Tegelijkertijd blijft de wil om integraal te werken groot. Wijkteams komen achter de voordeur om eerder te constateren welke problemen een gezin heeft en hoe dit gezin het beste kan worden geholpen. Door middel van

3

zogenaamde keukentafelgesprekken wordt de context van een gezin in kaart gebracht. Dit roept de vraag op of er ruimte is voor geheimen. De onderzoekers stellen dat de roep om in het sociaal domein integraal te werken leidt tot een dilemma. De ‘één gezin, één plan, één regisseur’ methode vraagt om meer informatie-uitwisseling maar dit brengt de privacy van de burger in gevaar. Parallel hieraan loopt het proces van de AVG dat ervoor zorgt dat de schotten tussen de afdelingen weer moeten worden opgetrokken. Dit maakt het uitwisselen van informatie weer moeilijker. Politiek bestaat dan de wens om meer integraal te gaan werken, maar in de praktijk blijkt dat dan niet mogelijk. In het sociaal domein is doorgaans bij wet vastgelegd welke informatie door de overheid mag worden verzameld. Dit is vastgelegd omdat de burger vaak in een afhankelijkheidspositie ten opzichte van de overheid verkeert en daarom kwetsbaar is. Het is ook een taak van de raad (als volksvertegenwoordiging) om erop toe te zien dat het belang van de burger wordt beschermd tegenover de overheid. De praktijk De gemeente ’s-Hertogenbosch doet veel met data binnen het sociaal domein. In het onderzoek wordt nader ingegaan op een voorspellingsmodel dat door de gemeente ’s-Hertogenbosch is ontwikkeld. Het gaat om het voorspellen van het WMO-gebruik aan de hand van data.

Het model geeft extra duiding in het bepalen van richting van het WMO-gebruik in de toekomst en de kosten hiervan. De data die hiervoor worden gebruikt zijn eerder voor andere doeleinden verzameld. De data worden samengevoegd en gekoppeld aan andere databestanden, zoals de bevolkingsprognoses. Met behulp van een algoritme wordt het model gebruikt om voorspellingen te doen, in dit geval over het WMO-gebruik. Samengevat gaat het hier om een nieuwe manier om oude informatie in te zetten voor beleidsmatige interventies. Er wordt (ten tijde van het onderzoek in 2019) samen met JADS en VNG Realisatie gekeken of dit model ook toepasbaar is op het gebied van jeugdzorg. Er zijn ook onderzoeken op wijkniveau waarin op basis van informatie die voor een ander doel zijn verzameld een diepere analyse te maken om geconstateerde problematiek inzichtelijk te maken. Een voorbeeld van een dergelijk onderzoek is het onderzoek naar de relatie tussen crimineel gedrag en de financiële situatie in de Gestelse buurt2. Omdat de AVG het mogelijk maakt om gegevens te verwerken voor statistisch of wetenschappelijk onderzoek zijn in dit onderzoek databestanden gekoppeld. Voor het gebruik van databestanden die vanwege hun unieke aard specifieke toestemming van de minister van V&J behoeven, is toestemming gevraagd en verkregen.

Uiteraard geldt ook voor statistisch onderzoek dat er in de rapportage geen gegevens mogen staan die herleidbaar zijn tot individuen. Hoe kan de raad op dit terrein invulling geven aan zijn kaderstellende rol? Data zijn altijd politiek. Data berusten altijd op selectiviteit (welke data worden verzameld) en daarmee op vooringenomenheid. Data faciliteren en ondersteunen bepaalde beleidskeuzes en hoewel de uiteindelijke beslissing altijd door een mens wordt gemaakt, zijn data toch sturend geweest in deze keuze. In dit geval vloeien beleidskeuzes niet voort uit logica en rationele keuzes, als een stappenplan dat gevolgd kan worden, maar hierin zijn beleidskeuzes uitkomsten van politieke strijd in een arena waar discussie en debat centraal staan. De NSOB concludeert dat niet veel gemeenteraden beleid formuleren op het gebied van privacy ter bescherming van de burger. Men volgt doorgaans de AVG. Er is een spanning tussen wat de AVG voorschrijft en de wens om in specifieke gevallen daarvan af te wijken. Het onderwerp komt op de politieke agenda wanneer een wethouder een ontwikkeling signaleert en hiervoor een oplossing presenteert. De discussie die daarop volgt gaat dan over de aangediende oplossing en niet over de achterliggende afweging. En de discussie gaat nog minder over het gebruik van data en de gevolgen daarvan voor de privacy van burgers.

De NSOB geeft enkele uitgangspunten die in de discussie over privacy en datagebruik toegepast kunnen worden. 2

Datascience onderzoek Leefbaarheid en Veiligheid Gestelse buurt: Een onderzoek naar de relatie tussen crimineel gedrag en de financiële situatie in de Gestelse buurt.

4

Uitgangspunt in de discussie blijft de AVG. Hierin blijft echter op punten ruimte voor interpretatie. Twee belangrijke uitgangspunten zijn: ‘dataminimalisatie’ en ‘doelbinding’. De uitgangspunten bestonden al voor de dataexplosie van de laatste decennia. Het zijn inmiddels beginselen van goed bestuur geworden. Dataminimalisatie gaat ervan uit dat de overheid zo beperkt mogelijk persoonsgegevens verzamelt. De verzameling van data moet altijd proportioneel zijn. Doelbinding betekent dat data alleen gebruikt mogen worden voor het doel waarvoor het verzameld is. Dit uitgangspunt komt steeds meer onder druk te staan omdat we steeds meer data eenvoudig kunnen verzamelen en beschikbaar krijgen. Daarmee ontstaat de situatie dat data steeds vaker met elkaar worden gekoppeld. Verwezen wordt naar een door Widlak en Peeters (2018) opgesteld richtsnoer voor het politieke debat over privacy en data3.

Tussenconclusie 2 De onderzoekers geven aan dat de politieke vragen zoals: welke data over wie verzameld worden, wat met deze data gebeurt en welke doelen met de verwerking van data worden gediend, steeds urgenter worden. Zij stellen dat steeds meer beslissingen data gedreven worden, waarbij automatische beslisregels (algoritmen) een prominente rol vervullen. Dat kan bijdragen aan de effectiviteit en efficiëntie, maar de normatieve aspecten die met dataverzameling en datagebruik verbonden zijn dreigen vaak uit het zicht te raken. Voor de NSOB liggen hier de politieke gevoeligheden die voor de raad van belang zijn. Zij adviseren de gemeenteraad om hierover een debat te voeren en positie in te nemen. De raad heeft vanuit zijn controlerende en kaderstellende rol de verplichting om dit te doen. Het gaat er niet slechts om achteraf te controleren of data correct en deugdelijk zijn verzameld en gebruikt en de privacy conform alle geldende regels is beschermd, maar juist ook om vooraf kaders te stellen en waar nodig scherpe grenzen te trekken. Hoe kan de raad invulling geven aan zijn kaderstellende en politieke rol binnen het privacy-beleid met betrekking tot het gebruik van data in ’s-Hertogenbosch? Het antwoord dat NSOB geeft valt uiteen in de volgenden punten: Keuzes ·

Sturing geven aan de technologisch ontwikkeling is, zeker voor een gemeenteraad, beperkt mogelijk. Dat houdt niet in dat er geen keuzes te maken zijn. Er zijn keuzes te maken over de benutting van specifieke toepassingen, over de verzameling van data, over het gebruik van data en over de zeggenschap en bescherming van burgers.

·

Data zijn nooit contextloos. Data zijn het gevolg van keuzes, van beslissingen, van modellenen beelden van de wereld, van tijd en geschiedenis. Het politieke debat hierover is dus urgent.

Regelgeving en kaderstelling · De regelgeving op het gebied van privacy, in het bijzonder de AVG, is op een aantal punten scherp. De raad kan de uitgangspunten (dataminimalisatie en doelbinding en zoveel mogelijk instemmingsrecht van burgers) hanteren in de kaderstelling. ·

Tegelijkertijd is de regelgeving, in het bijzonder de AVG, niet in beton gegoten. Er is altijd ruimte voor interpretatie en dus voor politieke keuzes. Welke data voor welk beleid over welke burgers en maatschappelijke ontwikkelingen is altijd een uitkomst van politieke voorkeuren en compromissen.

·

De kaderstelling inzake privacy en het gebruik van data heeft niet alleen gevolgen voor burgers en samenleving maar zeker ook voor de politiek zelf. De overheid is niet alleen de institutie die de privacy van burgers moet beschermen, maar is zelf ook een belangrijk bedreiging van de privacy. In de sfeer van handhaving en opsporing is dat evident, maar ook in het sociale domein kunnen de beste politieke bedoelingen leiden tot omvangrijk datagebruik, met alle risico’s van dien.

3

Widlak, A. en Peeters, R. (2018), De digitale kooi: (On)behoorlijk bestuur door informatiearchitectuur of hoe we de burger weer centraal zetten in een digitaliserende overheid. Den Haag: Boom Bestuurskunde

5

Beleid en evaluatie · Politiek is er een grote en breed gedeelde wens tot integraal beleid en integraal weken. Het is duidelijk dat deze voorkeur ingrijpende gevolgen heeft voor het gebruik en de verzameling van data. Ook hier is kaderstelling van een gemeenteraad noodzakelijk. ·

Er wordt ook steeds meer gesproken over maatwerk. In de uitvoering van beleid en de toepassing van regels moet zoveel mogelijk rekening worden gehouden met de bijzondere kenmerken van elke individuele burger. Dat impliceert echter weer dat de overheid kennis moet hebben van zoveel mogelijk van deze kenmerken. Politiek zal dit dilemma steeds moeten worden besproken wanneer er wordt gesproken over maatwerk.

·

Data worden gebruikt in processen van controle en verantwoording. Processen die in een democratie van belang zijn. Echter ook hier geldt dat het goed is om een kritische reflectie te houden op politieke wensen. Zeker wanneer het gaat om data waar persoonsgegevens mee gemoeid zijn.

III.

De DataWijzer

De beide onderzoeken maken voor de rekenkamercommissie duidelijk dat er voor de gemeenteraad van ’sHertogenbosch een verantwoordelijkheid ligt om kaders te stellen voor het verantwoord datagebruik door de gemeente zelf. Er is uit de onderzoeken naar voren gekomen dat de gemeente de bestaande regelgeving op het gebied van privacy correct uitvoert en onderdeel laat uitmaken van de processen op de werkvloer. Wat de onderzoeken ook laten zien is dat er nog altijd keuzes te maken zijn die door de politiek gemaakt moeten worden. Regelgeving bepaalt in grote lijnen niet hoeveel data je als gemeentebestuur wilt toepassen, wanneer je die wilt toepassen en bovenal waarvoor je die wilt toepassen. De opsomming die de NSOB geeft is weliswaar behulpzaam, maar geeft nog geen handvat aan de raad om de vragen als ‘welke data kan de gemeente gebruiken en welke consequenties zitten hieraan vast?’ te beantwoorden. Deze vragen worden bij voorkeur beantwoord door de politiek. Gezien het toenemend belang van dit onderwerp in de komende jaren, wil de rekenkamercommissie de raad ondersteunen in het proces dat leidt tot het maken van keuzes in het gebruik van data. Zoals de raad bij elk raadsvoorstel ook kijkt naar de juridische en financiële risico’s en kansen, zo kan het in de toekomst ook kijken naar de rol die data in een raadsvoorstel speelt.

Om de raad daarin te ondersteunen heeft de rekenkamercommissie op 3 september 2020 een informatieavond “Data en de rol van de raad” georganiseerd. Tijdens die avond hebben JADS en de Utrecht Data School (UDS) een toelichting gegeven op privacy-bepalingen en verantwoord datagebruik. Aan de hand van enkele voorbeelden is het gesprek met raadsleden gevoerd over wat wel en wat niet als verantwoord datagebruik wordt gezien. Naar aanleiding van deze bijeenkomst heeft de rekenkamercommissie een DataWijzer voor de gemeenteraad ’sHertogenbosch door UDS laten ontwikkelen. Het doel van deze DataWijzer, een doorklikbaar hulpmiddel, is raadsen commissieleden te helpen om in het reguliere besluitvormingsproces tot een goed afgewogen en onderbouwd besluit te komen bij raadsvoorstellen waarbij data worden ingezet. De DataWijzer bestaat uit drie fases: de beeldvormende fase, de oordeelsvormende fase en de besluitvormende fase. Bij elke fase geeft de DataWijzer suggesties voor vragen die u als raads- commissielid zou kunnen stellen. Bovendien helpt de DataWijzer bij het stellen van kaders door de raad.

-----

6

UTRECHT

UDS DATA

SCHOOL

´

DATA (gegevens)

Dataverzameling

Dataverwerking met partners Toegang tot data

UITVOERING

Verantwoordingsparagraaf Vaste kaders

MENS

Inwoners

Communicatie

Inzet technologie “Digitalisering is een middel om een beleidsdoel te ealiseren, geen doel rrealiseren, op zich. zich.””

Het doel van de DataWijzer is raadsleden raadsleden te helpen omom helpen tot een goed afgewogen en onderbouwd besluit te komen bij raadsvoorstellen waarin de inzettechnologie van digitale digitale technologie is ingezet. voorkomt.

Alternatieven Effecten en mitigerende maatregelen

Kwetsbare burgers en autonomie

Waarden Standpunt

Beeld van de overheid

Het besluitvormingsproces van de gemeenteraad kent drie fases: beeldvorming, oordeelsvorming en besluitvorming. In deze eerste, beeldvormende fase helpt de DataWijzer het raadslid om relevante informatie te verzamelen, kaders te stellen en de controlerende taak uit te voeren.

In de oordeelsvormende fase wordt de verzamelde informatie gebruikt om als fractie of als raadslid een oordeel te gaan vormen. De DataWijzer helpt om in deze fase door middel van gesprek en debat tot een oordeel te komen.

In de besluitvormende fase helpt de DataWijzer om ook daadwerkelijk tot een besluit te komen. De vragen gaan over de waarden van de politieke partij en over de waarden die verwerkt zijn in een raadsvoorstel.

DATA Data, in de vorm van gegevens, worden gebruikt als input voor het dataproject.

Als de data niet correct en juist zijn, kan het model niet juist werken.

Hoe is de dataverwerking met partners geregeld? Wanneer er een samenwerkingsverband is tussen de gemeente en andere organisaties binnen een project, zijn er duidelijke afspraken omtrent dataverwerking nodig. Dit betreft zowel juridische als ethische kaders. Bij een publiek-private samenwerking is het van belang dat de verantwoordelijkheden en het eigenaarschap juridisch vastgelegd wordt.

Is er een protocol voor de anonimisering van data? Persoonsgegevens moeten geanonimiseerd worden, tenzij hierdoor het doel van het dataproject niet meer bereikt kan worden. Zie hiervoor de grondslagen van de AVG. De verwerking van data wordt volgens een vast protocol bepaald en er wordt dan ook besloten wie in de organisatie welke bevoegdheid krijgt over de data. Er wordt dan bijgehouden welke mensen er bij de persoonsgevoelige data kunnen.

Hoe weten we of dit voorstel beter werkt dan het huidige beleid? Er wordt regelmatig aangenomen dat digitalisering en datagedreven bestuur automatisch zorgt voor 'beter' beleid. Dit hoeft echter niet zo te zijn. Het argument voor digitalisering moet verder gaan dan alleen tijd-/kostenbesparing of innovatie. Maakt het model de dienstverlening van de gemeente daadwerkelijk beter?

UITVOERING Over hoe er binnen de gemeente wordt omgegaan met data.

De AVG schrijft voor dat u alleen persoonsgegevens mag verwerken als u zonder deze gegevens uw doel niet kan bereiken.

Zie ook: de grondslagen van de AVG

Digitalisering en algoritmisering

MENS Over de effecten van het dataproject op de burgers van uw gemeente.

Een beleid dat datagedreven is kan als indringend en aangrijpend ervaren worden door burgers.

“Digitalisering is een middel om een beleidsdoel te realiseren, geen doel op zich.”

Het beginnen van een dataproject is een politieke keuze. Een keuze waarvan de afweging toebehoort aan de fractie en het raadslid zelf.

contactpagina

Technologie is niet waardevrij!

Concept: Elise Renkema Vormgeving: Daphne Cornelisse Begeleiding: dr. Mirko Tobias Schäfer Iris Muis DataWijzer is ontwikkeld door Utrecht Data School, Universiteit Utrecht, in opdracht van en in samenwerking met de Rekenkamercommissie ’s-Hertogenbosch. © CC BY Universiteit Utrecht 2021 Datawijzer Versie 1.0 februari 2021 Noch de Universiteit Utrecht, noch de Rekenkamercommissie ’s-Hertogenbosch, zijn aansprakelijk voor (mogelijke) schade in verband met, of voortkomend uit, het gebruik van materiaal of inhoud van de ‘DataWijzer’. Aanvullende informatie Een ander bruikbaar instrument voor het beoordelen van digitaliseringsprojecten is De Ethische Data Assistent (DEDA). Vind het hier: https://dataschool.nl/deda/