Bijlage 1 bij nadere toelichting - Onderzoeksrapport Smart Cities

Smart Cities Onderzoeksrapport bescherming van persoonsgegevens in de ontwikkeling van Nederlandse Smart Cities

Juli 2021

Over de Autoriteit Persoonsgegevens Iedereen heeft recht op een zorgvuldige omgang met zijn persoonsgegevens. De Autoriteit Persoonsgegevens houdt toezicht op de naleving van de wettelijke regels voor bescherming van persoonsgegevens en adviseert over nieuwe regelgeving.

Voorwoord Steeds vaker worden door gemeenten persoonsgegevens verzameld in de openbare ruimte met smart citytoepassingen. Bij de term smart cities blijf ik vaak hangen op het woord ‘smart’, want wat betekent een smart city? Met welk doel en voor wie moet de openbare ruimte slim zijn? Inzet van technologie kan gemeenten meer inzicht geven in het gebruik van de openbare ruimte of zorgen voor nieuwe manieren om het gebruik van de openbare ruimte te sturen. Daarom is het belangrijk om stil te staan bij de prijs die u en ik betalen wanneer wij ons in zo’n smart city bevinden. Hoe verhoudt het verzamelen van onze persoonsgegevens in de openbare ruimte zich tot onze vrijheid? Data kan gebrekkig zijn, ambigu, of kan zelfs discrimineren. Het gevaar bestaat dat dataïsme en digitale solutionisme de overhand krijgen: het geloof dat alles is te vatten in data en met technologie beheersbaar is. Zeker in de openbare ruimte, waar de hoeveelheid mensen even groot als divers is, is het maar de vraag of dit zich laat vatten in data laat staan zich er daarvoor laat beheersen. Het gevaar bestaat dat we naar een surveillancemaatschappij gaan waar je niet meer ongedwongen op straat kunt lopen.

Om die reden pleiten wij daarom ook om een verbod op gezichtsherkenning in de openbare ruimte.1 Met dit rapport wijzen wij op het belang van een openbare ruimte waarin burgers zich vrij en onbespied kunnen bewegen. Wij roepen bestuurders en ambtenaren op om stil te staan bij de rechten en vrijheden van burgers en die ook daadwerkelijk mee te nemen bij elke stap in de ontwikkeling naar een smart city. En zich daarbij bewust te zijn dat een gemeente niet zomaar inbreuk mag maken op het grondrecht van gegevensbescherming van burgers, maar daarvoor een wettelijke basis nodig heeft of vrije toestemming van burgers. Laat privacy het startpunt zijn van innovatie, niet het sluitstuk. Gemeenteraadsleden wil ik specifiek meegeven om u te verdiepen in het (ethisch) kader bij ieder technologisch voorstel en te wegen of dat voorstel de rechten en vrijheden van burgers respecteert. Vraag ook advies aan de Functionaris voor gegevensbescherming. Zorg ervoor dat u zorgvuldig, compleet en vanuit meerdere invalshoeken tot uw afweging komt. Niet om een AVG-vinkje te zetten, maar omdat u het beste wilt voor de inwoners en bezoekers van uw gemeente en verantwoorde innovatie wilt stimuleren. Want uiteindelijk is het niet de technologie maar de mens die de openbare ruimte slim maakt. Monique Verdier Vicevoorzitter Autoriteit Persoonsgegevens

1 https://autoriteitpersoonsgegevens.nl/nl/nieuws/privacytoezichthouders-pleiten-voor-verbod-op-gezichtsherkenning

2

Inhoudsopgave Voorwoord

2

1.

Samenvatting

5

2.

Inleiding

7

2.1 2.2 2.3 2.4 2.5

Definitie smart city Doel onderzoek Aanpak Medewerking aan onderzoek Reflecties op het onderzoek en de Nederlandse smart city

7 7 8 8 8

3.

Basisbeginselen AVG voor de smart city

9

3.1 3.2 3.3 3.4

Rechtmatigheid Doelbinding Noodzakelijkheid 3.3.1 Subsidiariteit Transparantie

9 10 10 11 12

4.

DPIA

13

4.1 4.2 4.3

4.4 4.5 4.6

DPIA-plicht Uitvoering van een DPIA Beeld AP ontvangen DPIA’s 4.3.1 Ontbrekende DPIA’s? 4.3.2 Kwaliteit DPIA’s Voorafgaande raadpleging Openbaarheid DPIA Betrokkenheid burgers

13 13 14 14 16 16 17 18

5.

Reflectie: Participatory DPIAs and administrative law mechanisms in Smart Cities

19

6.

Grip op de smart city

22

6.1 6.2 6.3

6.4

Beleid smart cities Ethiek en smart cities Een democratische smart city 6.3.1 Rol gemeenteraad en college 6.3.2 Betrokkenheid burgers Regulering door gemeenten en sensorregisters

22 23 23 24 25 26

7.

Reflectie: Voorbij de participatie, zet de burger centraal in slimme stad

28

8.

Privacyorganisatie in de gemeente

30

8.1 8.2 8.3

Privacy in de haarvaten Functionaris voor Gegevensbescherming (FG) Samenwerking

30 30 31

3

9.

Ontwikkeling in de praktijk: MaaS

33

10.

Aanbevelingen

35

10.1 10.2 10.3 10.4 10.5

Basisbeginselen AVG voor de smart city DPIA’s Grip op de smart city Privacyorganisatie in de gemeente Mobility as a Service (MaaS)

35 35 35 36 36

11.

Bijlage: begripsbepalingen

37

12.

Bijlage: vragenlijst gemeenten

39

13.

Slotwoord

40

4

1. Samenvatting De openbare ruimte wordt in toenemende mate onderworpen aan de inzet van technologie. Denk aan wifi- en bluetoothtracking, (mobiele of gedragen) camera’s of sensoren die data verzamelen over verkeer of geluid. Gemeenten benutten deze technologie steeds vaker om meer inzicht te krijgen in de openbare ruimte om deze te kunnen optimaliseren, beïnvloeden of beter te kunnen beheren. Deze smart citytoepassingen kunnen daarbij persoonsgegevens in of over de openbare ruimte verwerken. Verschuiving van doelen, middelen, en daarmee dus de inzet van persoonsgegevens voor andere doeleinden dan oorspronkelijk bedoeld komt regelmatig voor en vormt een potentiële bedreiging voor de grondrechten van personen die zich in de openbare ruimte begeven. Tevens bestaat het risico dat kennis over de openbare ruimte wordt ingewisseld voor data over de openbare ruimte; data die gebrekkig kan zijn, ambigu kan zijn, of kan discrimineren. De AP heeft daarom onderzoek gedaan naar de bescherming van persoonsgegevens bij de ontwikkeling en inzet van smart city-toepassingen door gemeenten. De AP constateert dat er grote verschillen bestaan in de inzet van smart city-toepassingen. Waar een groep gemeenten voorop loopt in de ontwikkeling van smart city-toepassingen, zijn er ook gemeenten die (nog) geen of beperkt smart city-toepassingen in de openbare ruimte inzetten.

Dit verschil lijkt sterk beïnvloed te worden door specifieke vraagstukken en door grootte, verstedelijking en bevolkingsdichtheid van de gemeente. Het verschil tussen gemeenten uit zich in zowel het aantal toepassingen als het innovatieve karakter van de gekozen technologie voor de toepassingen. Het grootste gedeelte van de toepassingen is gericht op mobiliteit en (verkeers)veiligheid, variërend van het meten van bezoekers- en verkeersstromen tot het monitoren van uitgaansgebieden. Om smart city-toepassingen verantwoord verder te ontwikkelen dienen vrijwel alle gemeenten meer kennis te ontwikkelen en aandacht te besteden aan specifieke gemeentelijke kaders en een sterker bewustzijn over de gevolgen van smart city-toepassingen op rechten en vrijheden van burgers, waaronder de bescherming van persoonsgegevens. De inzet van het meten van persoonsgegevens in de openbare ruimte is aan strenge eisen gebonden. Niet altijd is de vaststelling of de verwerkingen rond de smart citytoepassing wel rechtmatig zijn in voldoende mate onderbouwd of gedocumenteerd. Dit start bij de vraag of het verzamelen van persoonsgegevens in de openbare ruimte door een gemeente wel rechtmatig is. Daarbij moeten gemeenten gemaakte afwegingen over de verwerking van persoonsgegevens bij smart city-toepassingen ook goed vastleggen, bijvoorbeeld in DPIA’s, en deze ook bijwerken.

Pas wanneer de rechtmatigheidsvraag positief is beantwoord, is het verstandig ook te kijken naar ethische vraagstukken. De smart city is meer dan de som der toepassingen. Waar een smart city-toepassing afzonderlijk nog niet zo spannend of risicovol lijkt, kan het geheel van toepassingen wel degelijk zorgen voor grotere of nieuwe risico’s. Een helder gemeentelijk beleid, democratische controle en het betrekken van burgers kan helpen bij het controleren van risico’s en verantwoord ontwikkelen van smart city-toepassingen. Transparantie is hiervoor noodzakelijk. De inzet van technologie in de openbare ruimte is immers een zwaarwegend besluit waarbij alle aspecten zorgvuldig afgewogen dienen te worden. Niet alles hoeft of kan immers met technologie of data opgelost te worden. Om de juiste vragen te stellen en burgers centraal te stellen bij het bepalen van het doel van smart city-toepassingen kan een ethisch kader behulpzaam zijn. In het onderzoek bleek in groeiende mate aandacht voor ethiek in de ontwikkeling van smart city-toepassingen, bijvoorbeeld door het aanstellen van een (ethische) commissie. Deze dient wel op een concrete wijze onderdeel uit te maken van het ontwikkelproces, anders bestaat het risico dat de burger niets merkt van deze goedbedoelde gesprekken.

5

Op basis van het onderzoek komt de AP tot de volgende aandachtspunten voor gemeenten:  Basisbeginselen van de AVG moeten op orde zijn. Stel vast of de wijze waarop persoonsgegevens worden verwerkt rechtmatig is. Wat is het concrete doel van de inzet van smart city-toepassing en welke rechtmatige grondslag bestaat er voor de gegevensverwerking? En is het echt noodzakelijk om persoonsgegevens te verwerken om het doel te bereiken? Als er geen grondslag is voor de verwerking of als de gegevensverwerking niet noodzakelijk is voor het vastgestelde doel, dan mag de smart city-toepassing niet worden ingezet. Doelverschuiving is een reëel risico dat de rechten en vrijheden van burgers kan schaden.  DPIA als proces. Het opstellen van een DPIA is een belangrijk proces om te beoordelen of de verwerking van persoonsgegevens bij smart city-toepassingen rechtmatig en behoorlijk is, welke risico’s er zijn en om intern en extern verantwoording af te leggen over de gemaakte keuzes. Het opstellen van een DPIA voor smart city-toepassingen die persoonsgegevens verwerken is vaak verplicht. Er zijn verbeterpunten voor gemeenten bij het opstellen van de DPIA’s. Gemeenten zouden DPIA’s bij smart city-toepassingen vaker kunnen publiceren om verantwoording af te leggen over datavergaringen in de openbare ruimte.  Grip op de smart city.

In plaats van het vaststellen van de kaders voor gegevensbescherming (en ethiek) per smart city-toepassing, dienen gemeenten beleid te ontwikkelen voor de inzet van smart city-toepassingen. Deze moet ook worden vertaald naar concrete handvatten voor de praktijk, dit gebeurt nog niet altijd. Daarnaast hebben gemeenten ook een rol in het verkrijgen van inzicht in de sensoren die door derden in de openbare ruimte worden geplaatst. Gemeenten kunnen de mogelijkheid en wenselijkheid onderzoeken om gemeentelijke voorwaarden te verbinden voorafgaand aan de inzet van sensoren in de openbare ruimte door derden.  Gemeenteraad als tegenmacht. Digitalisering en de inzet van smart city-toepassingen verdienen meer aandacht bij de gemeenteraad. Gemeenteraden moeten voldoende kennis en informatie daarover krijgen om hun democratische taak goed uit te kunnen voeren. Het betrekken van experts kan helpen om de juiste vragen te stellen.  Privacy in de haarvaten. Veel gemeenten organiseren nog onvoldoende privacy in de uitvoering van hun werkzaamheden. Het vrijmaken van voldoende mensen en middelen en het goed positioneren van privacyprofessionals in de organisatie is essentieel. In het bijzonder dient daarbij aandacht te zijn voor de FG, die een specifiek takenpakket met bescherming heeft om diens rol te kunnen uitoefenen.

Dit draagt bij aan een positief ontwikkelklimaat waarin toepassingen volgens het privacy by design principe worden ontwikkeld.  Oplossing of probleem. Gemeenten, zeker indien zij onvoldoende kennis hebben van verwerkingen van persoonsgegevens, gaan soms te snel in zee met leveranciers van ‘mooie oplossingen’. Wees kritisch ten aanzien van uitlatingen van een leverancier ten aanzien van het voldoen aan de AVG of de stelling dat er geen persoonsgegevens worden verwerkt.  Burgers als brein. De echte kennis over de openbare ruimte zit bij de gebruikers daarvan. Burgers kennen niet alleen de problemen, maar zien vaak andere risico’s van het verwerken van persoonsgegevens in of over de openbare ruimte. De AP ziet bij risicovolle smart citytoepassingen in de praktijk niet hoe de gemeente alle risico’s voorafgaand in kaart kan brengen zonder de burgers om hun mening te vragen. Het betrekken van burgers lijkt in smart citytoepassingen een sleutel tot succes, echter wordt dit nog maar zelden uitgevoerd. Pas als aan deze aspecten aandacht wordt besteed is verantwoorde verdere ontwikkeling van de smart city mogelijk. Zonder aandacht voor deze aspecten loopt de Nederlandse smart city het risico om de burger uit het oog te verliezen en zelfs de rechten en vrijheden van het individu te bedreigen.

Dit risico geldt juist in de openbare ruimte, waarin burgers zich vrij en onbespied moeten kunnen wanen.

6

2. Inleiding De Autoriteit Persoonsgegevens (AP) heeft in de Focus 2020-2023 digitale overheid als één van de drie focusgebieden bestempeld. Smart cities is hierin een belangrijk aandachtsgebied vanwege de groeiende inzet van datagedreven toepassingen die persoonsgegevens verwerken in de openbare ruimte. Deze toepassingen zitten veelal in nog de ontwikkelings- of groeifase, waarbij ook vragen rondom de bescherming van persoonsgegevens een belangrijke rol spelen. De AP heeft vanuit dit aandachtsgebied besloten een onderzoek te starten naar smart city-toepassingen door gemeenten om de omgang met persoonsgegevens in de Nederlandse smart city in kaart te brengen. Hiermee beoogt de AP duurzame innovatie, waarbij de privacy van betrokken burgers in smart cities is gewaarborgd, te stimuleren. De AP wil met dit onderzoek onder andere inzicht verkrijgen in het gebruik van persoonsgegevens in smart city-toepassingen, de inzet van de gegevensbeschermingseffectbeoordeling (DPIA), de rol van de Functionaris voor Gegevensbescherming (FG), en ervaringen van gemeentes en experts. Daarvoor heeft de AP bij 12 Nederlandse gemeenten documentatie opgevraagd en een vragenlijst voorgelegd. Ook zijn er interviews gehouden met wethouders, FG’s, betrokken ambtenaren en experts.

Het doel van dit onderzoek is niet geweest om mogelijke overtredingen op te sporen, maar om inzicht te verkrijgen en deze constateringen te delen om duurzame innovatie te stimuleren. De verkregen inzichten deelt de AP met dit rapport. In dit rapport gaan we in op de opzet van het onderzoek, de relevante basisbeginselen uit de Algemene verordening gegevensbescherming (AVG) in het kader van smart cities, de DPIA’s die de AP heeft bestudeerd in het kader van dit onderzoek, op welke wijzen de gemeenteraad en het college grip kan houden op de smart city en de rol van burgers, het belang van de privacyorganisatie van gemeenten, Mobility as a Service en sluiten we af met aanbevelingen en een conclusie over de stand van zaken betreffende gegevensbescherming in de Nederlandse smart city.

2.1

Definitie smart city Onder een smart city-toepassing verstaat de AP het verzamelen en verwerken van (persoons)gegevens over of in de openbare ruimte door de inzet van sensoren, technologie of andere toepassingen om inzicht in, of analysemogelijkheden over de openbare ruimte te verkrijgen, of sturing van de openbare ruimte mogelijk te maken. Er bestaat een breed scala aan smart city-toepassingen die mogelijk onder deze definitie vallen. Te denken valt aan de inzet van wifi- en bluetoothtracking, inzet van (mobiele of gedragen) camera’s, of sensoren die data verzamelen over verkeer of geluid. De AP gebruikt smart city als term die alle openbare ruimte in Nederland omvat, ook dorpen, natuur en agrarische gebieden.

2.2

Doel onderzoek Het doel van dit onderzoek is meerledig. Op basis van het onderzoek wil de AP:  inzicht verkrijgen in de verwerkingen van persoonsgegevens binnen smart city-toepassingen;  de inzet van de DPIA als middel onderzoeken, stimuleren, en daarbij de voorafgaande raadpleging in de zin van artikel 36 van de AVG onder de aandacht brengen;  best practices over smart city-toepassingen verzamelen en delen;  de rol van de FG bij de ontwikkeling van smart city-toepassingen onderzoeken;  privacyvriendelijke innovatie stimuleren in het gehele proces van ontwikkeling van smart citytoepassingen;

7



het bewustzijn bij gemeenten vergroten dat smart city-toepassingen grote risico’s voor de rechten en vrijheden van het individu met zich mee kunnen brengen. Bij het onderzoek is de focus gelegd op smart city-toepassingen waarbij de gemeente optreedt als verwerkingsverantwoordelijke. Daarnaast hebben we in het kader van dit onderzoek ook aandacht besteed aan de regulering van smart city-toepassingen door gemeenten (bijvoorbeeld private partijen die sensoren in de openbare ruimte inzetten) en samenwerkingsverbanden.

2.3

Aanpak Om bovenstaande doelen te bereiken zijn 12 gemeenten in twee groepen onderzocht. De eerste groep betrof vijf gemeenten in meer stedelijke gebieden. De tweede groep betrof zeven gemeenten met een meer diverse ligging en verschillende samenstelling in Nederland. Er is gekozen voor een groep waarbij gemeenten zijn geselecteerd die zich profileerden als smart city of door het hebben van smart city-beleid, en gemeenten waarbij dit niet bekend was en die een doorsnee representeren van bijvoorbeeld een middelgrote gemeente of kleine gemeente. Smart cities worden snel geassocieerd met de grote steden of de Randstad, maar speelt ook bij kleinere gemeenten in Nederland. Bij deze 12 gemeenten is een overzicht van smart city-toepassingen opgevraagd, de bijbehorende DPIA’s, en is gevraagd een vragenlijst in te vullen, die te vinden is in de bijlage bij dit rapport. Op basis daarvan zijn in een aantal gevallen vervolgvragen gesteld en interviews met wethouders, ambtenaren en FG’s gehouden. Ook zijn enkele experts uit wetenschap en praktijk geïnterviewd over specifieke vraagstukken die op het snijvlak van technologie, ethiek en bestuur spelen in smart cities. De eerste fase van het onderzoek betrof vijf gemeenten en duurde van september 2019 tot februari 2020. De tweede fase van het onderzoek betrof zeven gemeenten en duurde van maart 2020 tot augustus 2020.

Gesprekken en interviews zijn gehouden tussen april 2020 en november 2020, waarbij de afronding van het onderzoek vertraging heeft opgelopen door de effecten van COVID-19 op de organisatie.

2.4

Medewerking aan onderzoek Gemeenten zijn op basis van de AVG en de Algemene wet bestuursrecht (Awb) verplicht om mee te werken aan een onderzoek van de AP.2 In dit onderzoek heeft de AP informatie meermaals moeten vorderen en in één instantie een normoverdragend gesprek moeten voeren met een gemeente die onvoldoende meewerkte aan het verzoek en de vordering van de AP. Juist publieke organisaties dienen de belangen en grondrechten van de burger te beschermen, transparant te handelen en daartoe ook te voldoen aan verzoeken en vorderingen van de toezichthouder. Dat geldt in dit geval des te meer omdat de opgevraagde informatie grotendeels aanwezig dient te zijn bij gemeenten op grond van de accountabilityverplichtingen uit de AVG.

2.5

Reflecties op het onderzoek en de Nederlandse smart city Om te stimuleren dat gesprekken tussen alle partijen plaatsvinden, heeft de AP een aantal deskundigen gevraagd om een onafhankelijke reflectie te schrijven op basis van dit rapport en hun visie op elementen van de smart city. Deze deskundigen hebben inzage gekregen in het conceptrapport en zijn gevraagd op basis van hun expertise om een reflectie te schrijven zonder sturing op inhoud. De AP heeft deze reflecties in zijn geheel zonder redactie overgenomen om een onafhankelijke reflectie mogelijk te maken. Er is geen vergoeding of tegenprestatie verstrekt aan de schrijvers of organisaties. De inhoud van deze reflecties is onafhankelijk geschreven en is niet getoetst of goedgekeurd door de AP en dient ook niet als zodanig te worden gelezen.

2 Artikel 5:20, eerste lid, Awb jo. artikel 31 AVG.

8

3. Basisbeginselen AVG voor de smart city Steden, stedelijke gebieden en gemeenten zijn steeds vaker op zoek naar slimme oplossingen voor vraagstukken op het gebied van onder andere mobiliteit, energie, veiligheid en huisvesting. Deze slimme oplossingen worden gevonden in sensoren en data. Ondersteund door technologieën zoals machine learning kunnen gemeenten data verzamelen of data combineren over bijvoorbeeld bezoekersstromen, verkeer of veiligheid. Door gebruik van de data kunnen bewoners worden ‘verleid’ tot betere keuzes en kunnen gemeenten het gebruik van de openbare ruimte optimaliseren. De inzet van slimme oplossingen in de openbare ruimte raakt ontegenzeggelijk aan een aantal grondrechten. Zo kan het gebruik van data voor het indelen of uitsluiten van (groepen) mensen op basis van gedrag of uiterlijke kenmerken leiden tot discriminatie. Het verwerken van persoonsgegevens is per definitie een inbreuk op het recht op gegevensbescherming. De ontwikkeling van smart cities raakt ook aan ethische aspecten en maatschappelijke vraagstukken.

Vragen die gemeenten zich in dit kader kunnen stellen zijn bijvoorbeeld de volgende: Kunnen problemen in complexe ecosystemen zoals steden bijvoorbeeld wel worden opgelost met data, als de vergaarde data per definitie beperkt is en niet objectief? Sluit het gebruik van data alternatieve oplossingsrichtingen uit? Kan je je in een smart city nog vrij voelen of afwijkend gedrag vertonen? Om duurzame innovatie te stimuleren waarbij de grondrechten van het individu serieus worden afgewogen en burgers centraal staan, dient elke gemeente bij elke verwerking een aantal basiselementen op orde te hebben om tot een rechtmatige verwerking van persoonsgegevens te komen. Deze inbreuk dient niet lichtzinnig gemaakt te worden. Aan de inzet van gegevensverwerking in de openbare ruimte zijn strenge eisen verbonden. De verwerking van persoonsgegevens kan enkel rechtmatig plaatsvinden als daarvoor een rechtmatige grondslag is. In dat licht is het daarom belangrijk om, voordat we dieper ingaan op de resultaten van dit onderzoek, stil te staan bij een aantal van deze basiselementen.

3.1

Rechtmatigheid De AVG bepaalt aan de hand van open normen in welke gevallen een verwerking van persoonsgegevens, zoals door middel van smart city-toepassingen, rechtmatig is. Een gegevensverwerking is rechtmatig als aan ten minste één van de grondslagen genoemd in de AVG is voldaan. Het doel van de verwerking bepaalt welke grondslag van toepassing is. Daarom moet steeds voorafgaand aan de start van de gegevensverwerking worden bepaald wat het doel is van de smart city-toepassing en of een verwerking van persoonsgegevens met die toepassing rechtmatig is. Als er geen grondslag is voor de verwerking van persoonsgegevens, dan kan de smart city-toepassing niet worden ingezet. Zelfs niet als een smart citytoepassing wel persoonsgegevens verwerkt, maar het niet het doel is om persoonsgegevens te verwerken: ook dan wordt immers een inbreuk gemaakt op een grondrecht. Een grondslag die voor gemeenten specifiek van belang is voor de verwerking van persoonsgegevens in de openbare ruimte is “de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag (artikel 6 lid 1 sub e AVG)”. Gemeenten mogen met andere woorden alleen gegevens verwerken in het kader van de uitoefening van hun taken als de wetgeving deze daartoe passende bevoegdheden heeft gegeven. Gemeenten hebben bijvoorbeeld de publieke taak om de openbare ruimte te beheren.

Deze algemene taak alleen is echter niet voldoende om daarvoor persoonsgegevens te mogen verwerken. De AVG eist namelijk dat wetgeving op basis waarvan verwerkingen voor een publieke taak plaatsvinden voldoende concreet en voorzienbaar is. Gemeenten moeten dus een voldoende precieze

9

wettelijke grondslag kunnen aantonen; een algemene taakomschrijving is daarvoor vaak onvoldoende. Wat precies ‘voldoende voorzienbaar’ is, zal per geval moeten worden afgewogen. In de openbare ruimte is het vrijwel niet mogelijk om van individuele burgers toestemming te vragen. Dit betekent dat de grondslag toestemming vrijwel niet bruikbaar is voor smart city-toepassingen.3 Voor de beantwoording van de vraag of er voor de verwerking een grondslag bestaat moet een gemeente ook aan kunnen tonen dat een verwerking van persoonsgegevens noodzakelijk is voor het doel dat wordt nagestreefd. Hierbij dient de gemeente af te wegen of er minder ingrijpende alternatieven voorhanden zijn, en of de inbreuk wel opweegt tegen het doel dat verwezenlijkt wordt, waarover meer verderop in dit hoofdstuk. Dit vereist een goede afweging, die moet worden gemaakt (en gedocumenteerd) voordat de verwerking van persoonsgegevens start. Pas wanneer er een rechtmatige grondslag aanwezig is, kan een gemeente persoonsgegevens verwerken. Zonder rechtmatige gegevensverwerking kunnen smart city-toepassingen niet ontwikkeld of toegepast worden. Dit geldt ook voor pilots. Het enkele feit dat de verwerking rechtmatig is, betekent echter niet dat een smart city-toepassing zomaar kan worden ingezet. Uit de AVG volgen nog diverse verplichtingen waaraan de verwerking van persoonsgegevens moet voldoen.

De belangrijkste verplichtingen komen in dit rapport aan de orde. Aanbeveling: Bepaal voordat je aan enige smart city-toepassing begint of er persoonsgegevens worden verwerkt en of de verwerking van persoonsgegevens rechtmatig is. Zonder rechtmatige gegevensverwerking kunnen smart city-toepassingen niet ontwikkeld of toegepast worden.

3.2

Doelbinding Het komt bij smart city-toepassingen niet zelden voor dat deze in eerste instantie worden ingezet als oplossing voor een bepaald doel, maar later ook als ‘handig’ worden gezien voor de oplossing van andere (beleids)doelen. Dit staat op gespannen voet met het doelbindingsprincipe. Doelbinding bestaat uit twee elementen: doelen moeten welbepaald, goed omschreven en gerechtvaardigd zijn en gegevens mogen niet verder worden verwerkt op een met die doelen onverenigbare wijze. Een voorbeeld is de inzet van camera’s voor handhavingsdoeleinden, waarbij de beelden later ook worden gebruikt voor druktemetingen. Dit kan alleen wanneer het nieuwe doel verenigbaar is met het oorspronkelijke doel waarvoor de gegevens zijn verzameld en verwerkt. Bij elk nieuw doel, nieuw proces of inzet van nieuwe technologie zal opnieuw moeten worden getoetst door gemeenten of de nieuwe doelen passen bij de oorspronkelijke doelen van de gemeente. De verwachting van de burger zullen hierbij ook een rol spelen; hoe minder deze in redelijkheid kan voorzien dat zijn persoonsgegevens ook worden verwerkt voor het andere doel, hoe minder snel de gegevensverwerking verenigbaar zal zijn met het oorspronkelijke doel.

3.3

Noodzakelijkheid Een verwerking van persoonsgegevens kan alleen noodzakelijk zijn als de smart city-toepassing daadwerkelijk een bijdrage levert aan vooraf vastgestelde, concrete doelen en het nagestreefde doel in verhouding staat tot de aard en hoeveelheid persoonsgegevens die ervoor worden verwerkt (proportionaliteit). Daarbij mag er geen minder inbreukmakend alternatief zijn om hetzelfde doel te bereiken (subsidiariteit). Dit dient gedocumenteerd te worden met heldere en toetsbare onderbouwing in 3 Zie voor nadere informatie over de grondslag ook:

https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/boetebesluit_ap_gemeente_enschede.pdf, p. 20 e.v. Overigens is toestemming bij overheidsorganisaties ook meestal geen geschikte grondslag omdat toestemming ‘vrij’ moet worden gegeven. In de relatie tussen overheid en burger is sprake van een machtsverschil, waardoor toestemming niet altijd vrijelijk kan zijn gegeven.

10

de DPIA, die tevens voldoende actueel moet zijn. Elke verwerking van persoonsgegevens die niet noodzakelijk is, kan niet voldoen aan de AVG. Het Rathenau Instituut constateerde in een onderzoek naar smart cities dat het essentieel is dat gemeenten experimenten helder afbakenen met duidelijke begin- en einddatum, (meetbare) doelstellingen en indicatoren en evaluatiemomenten vaststellen. Dit vindt in de praktijk lang niet altijd plaats.4 De AP herkent zich in deze bevindingen en benadrukt dat ook voor smart city-toepassingen die reeds ‘in productie’ zijn het vaststellen van concrete doelen en het monitoren van de effectiviteit van wezenlijk belang is om te kunnen voldoen aan de AVG. Zo wordt in een toegezonden DPIA van een gemeente in het kader van dit onderzoek over pilots met bodycams als doel genoemd om “[de] veiligheid en hun gevoel van veiligheid bij de uitvoering van primaire taken [te] vergroten. En dat in die situaties deescalerend kan werken”. Vervolgens wordt aangegeven dat de resultaten van de pilot na afloop van een periode van 3 maanden “breed [worden] geëvalueerd”. Positief is dat de DPIA een duidelijke begin- en einddatum benoemt, alsmede de verplichting tot evaluatie.

Een verbeterpunt is dat uit de toegezonden documentatie niet duidelijk blijkt op basis van welke indicatoren de doeleinden worden gemeten en op basis van welke criteria wordt bepaald of de pilot ook in productie gaat. Dit is zeker van belang om vast te stellen bij ‘zachte’ doelstellingen als het verbeteren van ‘het veiligheidsgevoel’. Aanbeveling: Stel vast aan welk(e) doel(en) de smart city-toepassing moet bijdragen. Maak deze doelstellingen zo concreet en meet-/toetsbaar mogelijk om de effectiviteit van de smart city-toepassing vast te stellen. Algemene doeleinden als ‘veiligheid’ of ‘leefbaarheid’ moeten nader worden ingevuld. Stel ook vast wat de vervolgstappen zijn als een smart city-toepassing niet slaagt of er ongewenste neveneffecten optreden. 3.3.1

Subsidiariteit Gemeenten zullen voorafgaand aan de inzet van smart city-toepassingen steeds moeten bepalen of er minder inbreukmakende alternatieven zijn om hetzelfde doel te bereiken. Soms zijn (menselijke) interventies of andere technische oplossingen even effectief om hetzelfde doel te bereiken, zonder dat daarbij persoonsgegevens of waarbij minder persoonsgegevens worden verwerkt.5 Veel aangeboden ‘oplossingen’ van marktpartijen moeten daarom kritisch worden bezien. Gegevensverwerkingen in smart city-toepassingen dienen immers ondersteunend te zijn en geen doel op zich. Gemeenten moeten bij de aanschaf of ontwikkelingen van smart city-toepassingen telkens motiveren waarom alternatieve oplossingen waarbij geen of minder persoonsgegevens worden verwerkt geen of onvoldoende bijdragen aan de oplossing van het nagestreefde doel. De AP kan gemeenten ook bevragen naar deze motivering. Met name in tijden van Covid-19 is een trend te zien in de ontwikkeling van allerlei technische oplossingen. Gemeenten zullen zich regelmatig de vraag moeten stellen of deze daadwerkelijk een bijdrage (blijven) leveren in bijvoorbeeld de regulering van drukte en of niet kan worden gezocht in andere oplossingen. Aanbeveling: Ga voorafgaand aan de inzet van smart city-toepassingen na of er alternatieve oplossingen zijn om het doel te bereiken waarbij geen of minder persoonsgegevens worden verwerkt.

Denk na vanuit het probleem en niet vanuit de geboden oplossing.

4 Rapport Voeten in de Aarde, p. 6. 5 Zie in dit kader ook:

https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/boetebesluit_ap_gemeente_enschede.pdf, p. 24 en 25.

11

3.4

Transparantie Burgers moeten op een goede manier volledig geïnformeerd zijn over de verzameling van persoonsgegevens in de openbare ruimte die zij niet kunnen mijden. De AP neemt waar dat de transparantie bij het ontwikkelen van smart city-toepassingen en smart city-beleid nog moet worden verbeterd. Transparantie is noodzakelijk zodat de gemeente verantwoording aflegt over smart citytoepassingen die zij ontwikkelt en inzet met als doel dat de burger controle houdt over diens persoonsgegevens en diens rechten kan uitoefenen indien nodig. Het vormgeven van transparantie mag niet een sluitpost zijn van het smart city-beleid. Transparantie begint al bij de wijze waarop besluitvorming plaatsvindt, problemen worden geïdentificeerd welke in aanmerking komen voor technologische of datagedreven oplossingen, en bij de processen die een gemeente heeft om aan te vangen met de ontwikkeling. Tijdens de ontwikkeling kan de burger een belangrijke rol vervullen in het proces om algemene en doelgroepspecifieke risico’s in kaart te brengen en de problemen scherp te krijgen, waarover later in dit rapport meer. Na uitrol van smart city-toepassingen bestaat het gevaar dat er een lappendeken van diverse toepassingen ontstaat over een gemeente waar de burger geen overzicht over kan verkrijgen.

Hier ziet de AP een zeer belangrijke uitdaging die wordt opgepakt door een aantal gemeenten middels het onderzoeken van instrumenten zoals een openbaar sensorregister, waarover meer in het hoofdstuk ‘Regulering door gemeenten en sensorregisters’. Deze initiatieven bouwen voort op de beginselen van de AVG, waaronder het verplichte register van verwerkingen. Ook de privacyverklaring van gemeenten verdient aandacht om alle doelgroepen op een juiste wijze te kunnen informeren. Niet enkel taal kan hier een rol in spelen – denk bijvoorbeeld aan een Engelse vertaling voor toeristen of tijdelijke inwoners – maar deze dient ook in redelijke mate begrijpelijk te zijn voor personen die laaggeletterd zijn of niet thuis zijn in juridische vaktaal.

12

4. DPIA In het onderzoek heeft de AP veel aandacht besteed aan de rol van de DPIA. De DPIA is bedoeld als proces aan de hand waarvan voorafgaand aan de gegevensverwerking kan worden beoordeeld of de verwerking rechtmatig en behoorlijk is, of er alternatieven zijn en om de risico’s in kaart te brengen en waar mogelijk te mitigeren door het treffen van passende maatregelen. Bovendien legt een gemeente intern en extern verantwoording af waarom bepaalde keuzes zijn gemaakt. De DPIA biedt ook tijdens de gegevensverwerking houvast als procesdocument om gegevensbeschermingsrisico’s te monitoren en mogelijke wijzigingen aan te brengen in de verwerking, bijvoorbeeld wanneer er een doelverschuiving plaatsvindt. De AP vraagt daarom in het kader van onderzoeken regelmatig naar DPIA’s, waarvan de inhoud en kwaliteit een belangrijke indicator kunnen zijn voor de AP.

4.1

DPIA-plicht Het uitvoeren van een DPIA is verplicht als de risico’s van de gegevensverwerking voor de betrokkene ‘hoog’ zijn. De Europese privacytoezichthouders hebben gezamenlijk negen criteria opgesteld om te beoordelen of de voorgenomen verwerking van persoonsgegevens een hoog privacyrisico oplevert voor betrokkenen. Als vuistregel is het uitvoeren van een DPIA verplicht als de verwerking aan twee of meer van de negen criteria voldoet.6 In het kader van smart cities zijn vooral de categorieën ‘evaluatie of scoretoekenning’, ‘stelselmatige en grootschalige monitoring’, ‘grootschalige gegevensverwerkingen’ en ‘gebruik van nieuwe technologieën’ relevant. Projecten binnen het smart city-kader zullen doorgaans onder twee of meer van deze categorieën vallen waardoor het opstellen van een DPIA verplicht is. De AP heeft daarnaast een lijst van verwerkingen opgesteld waarvoor het uitvoeren van een DPIA verplicht is gesteld. Dit geldt voor onder meer de volgende verwerkingen:  Grootschalige verwerkingen en/of stelselmatige monitoring van persoonsgegevens die worden gegenereerd door apparaten die verbonden zijn met internet en die via internet of anderszins gegevens kunnen versturen of uitwisselen (internet of things). Denk hierbij bijvoorbeeld aan sensoren die stelselmatig het publiek volgen in de openbare ruimte.

 Het delen van persoonsgegevens in of door samenwerkingsverbanden waarin gemeenten of andere overheden met andere publieke of private partijen bijzondere persoonsgegevens of persoonsgegevens van gevoelige aard met elkaar uitwisselen. Informatieknooppunten zijn hiervan een voorbeeld.  Grootschalige verwerkingen en/of stelselmatige monitoring van openbaar toegankelijke ruimten met camera’s, webcams of drones.  Grootschalig en/of systematisch gebruik van flexibel cameratoezicht, zoals bodycams.  Grootschalige verwerkingen en/of stelselmatige monitoring van locatiegegevens van of herleidbaar tot natuurlijke personen. Bijvoorbeeld (scan)auto’s, telefoons, of verwerking van locatiegegevens van reizigers in het openbaar vervoer.

4.2

Uitvoering van een DPIA Uit het onderzoek bleek dat een aantal gemeenten werkt met zogenaamde ‘pre-DPIA’s’. Hierbij wordt aan de hand van een vragenlijst bepaald of het verplicht is om voor een bepaalde verwerking een DPIA uit te voeren. Een dergelijke vragenlijst kan een goed en laagdrempelig instrument zijn, maar zoals een FG in gesprek met de AP terecht aangeeft moet het uitvoeren van een dergelijke pre-DPIA er niet toe leiden dat als blijkt dat er geen DPIA nodig is, er niet meer stil wordt gestaan bij de afwegingen die moeten worden 6 Zie voor meer informatie: https://autoriteitpersoonsgegevens.nl/nl/zelf-doen/data-protection-impact-assessment-dpia

13

gemaakt bij de bescherming van persoonsgegevens. De plicht om de juiste waarborgen te treffen en verantwoording af te leggen geldt immers ook als een DPIA niet vereist is. Een ander punt van aandacht is dat DPIA’s periodiek moeten worden herzien c.q. bijgewerkt. Een voorbeeld van een DPIA die de AP heeft ontvangen betreft een document uit 2016 waarin openstaande actiepunten in zijn opgenomen, waaronder het sluiten van een verwerkersovereenkomst en het consulteren van de OR. Als de actiepunten zijn ondernomen dient ook de DPIA te worden bijgewerkt. Ook bij veranderingen in de geconstateerde risico’s is het van belang DPIA’s periodiek inhoudelijk te herzien en zo nodig bij te werken. Technologie die ingezet wordt in smart city-projecten ontwikkelt zich immers ook gedurende de looptijd van het project. Ook in de huidige tijd met de Covid-19 maatregelen kunnen de risico-afwegingen anders liggen dan over een aantal maanden of jaren. In het algemeen is het aan te raden om een DPIA periodiek te controleren en indien nodig te herzien om zodoende de bestaande en mogelijke nieuwe risico’s te kunnen adresseren. Een goed voorbeeld betreft een gemeentelijke FG die aangaf een aantal DPIA’s die zijn uitgevoerd vlak na inwerkingtreding van de AVG momenteel opnieuw te doorlopen, gelet op de termijn herzieningstermijn van drie jaar die de gemeente had bepaald voor de DPIA’s.

Aanbeveling: Houd DPIA’s actueel om de huidige risico’s van de verwerking te kunnen aantonen. Openstaande actiepunten in een verouderde DPIA of het niet documenteren van technische aanpassingen in de verwerking voldoen niet aan de verantwoordingsplicht. Bepaal beleid waarbij DPIA’s periodiek worden herzien c.q. bijgewerkt.

4.3

Beeld AP ontvangen DPIA’s De AP heeft voor het onderzoek DPIA’s opgevraagd over smart city-toepassingen. Van met name de kleinere gemeenten heeft de AP enkele tot geen DPIA’s ontvangen. De eerste verklaring hiervoor is dat deze gemeenten simpelweg geen smart city-toepassingen inzetten of enkel smart city-toepassingen inzetten waarbij geen persoonsgegevens worden verwerkt (bijvoorbeeld bij het meten van luchtkwaliteit, vulgraad van containers, detectielussen, etc.). Een tweede verklaring is dat het vaak een verwerking betreft die reeds vóór de AVG werd toegepast en die met inwerkingtreding van de AVG niet is veranderd (voorbeelden zijn kentekenregistraties voor diverse doeleinden, cameratoezicht in openbare ruimtes, etc.). Ten derde geven gemeenten aan dat de risico’s van het desbetreffende project niet als ‘hoog’ kwalificeren en daarom geen DPIA is vereist.

4.3.1

Ontbrekende DPIA’s? Wel stelt de AP in sommige gevallen vraagtekens bij de motivering waarom er geen DPIA is uitgevoerd. Dat is ten eerste het geval bij smart city-toepassingen die in een pilotvorm worden gestart en getest voordat deze breder worden uitgerold. Ook in de pilotfase worden soms al persoonsgegevens verwerkt. De AP benadrukt dat ook verwerkingen van persoonsgegevens in een pilot of proef dienen te voldoen aan de regels van de AVG, waaronder de DPIA-plicht. Hierin dient het doel van de proef te worden beschreven, de grondslag met daarbij de mogelijke uitkomsten en bijbehorende risico’s. Een gemeente die aangeeft “[te] onderzoeken of dat de openbare orde taak ex artikel 151c Gemeentewet ook bruikbaar is als grondslag” bij de inzet van (mobiele) camera’s als pilot voldoet dus niet aan deze eisen. Daarnaast moet duidelijk worden gemaakt wanneer een proef is geslaagd en wat er gebeurt, bijvoorbeeld met de data, als de proef niet voldoet aan de gestelde eisen en verwachtingen. Ook dient vastgelegd te worden hoe om te gaan met eventuele (niet-)voorziene risico’s. Door dit vooraf vast te leggen wordt een helder kader geboden waarbinnen een proef plaatsvindt. Het evalueren van (proef)projecten is tevens van groot belang om doelbinding van (vervolg)projecten te kunnen waarborgen.

14

Aanbeveling: Smart city-toepassingen die zich in de pilotfase bevinden moeten ook voldoen aan de eisen van de AVG indien daarbij persoonsgegevens worden verwerkt.7 Ga daarom ook bij pilot- en proefprojecten na in hoeverre deze projecten AVG-compliant zijn en voer zo nodig een DPIA uit. Ten tweede geven sommige gemeenten aan dat in het kader van bepaalde smart city-toepassingen wordt gewerkt met anonieme gegevens, terwijl de omschrijving van de toepassing soms anders suggereert. Zo geeft een gemeente aan dat via een bepaalde app locatiegegevens van gebruikers worden verwerkt voor een stoplichtsysteem, maar dat “deze niet te herleiden [zijn] naar een persoon of een specifieke smartphone” en “alle verzamelde data anoniem [is]”. Gegevens kunnen pas worden beschouwd als anoniem als voor welke partij dan ook, met inzet van (voor het doel) redelijke middelen, het onwaarschijnlijk is hieruit personen te identificeren.8 Met name bij locatiegegevens is dat bijna ondoenlijk.9 Ook de juiste toepassing van technologie is noodzakelijk om anonimiteit te waarborgen.10 Aanbeveling: Wees kritisch bij het beoordelen van de anonimiteit van de gegevens die worden verwerkt; gegevens kunnen pas worden beschouwd als anoniem als voor welke partij dan ook, met inzet van (voor het doel) redelijke middelen, het onwaarschijnlijk is hieruit personen te identificeren.

Een derde aandachtspunt signaleert de AP in het kader van samenwerkingsverbanden. Smart citytoepassing worden bij samenwerkingsverbanden vaak voor meerdere, uiteenlopende doelen ingezet en vallen onder meerdere wettelijke kaders doordat de gegevens met verschillende partijen binnen en buiten de gemeente worden gedeeld. Te denken valt aan een samenwerking met de politie en private partijen zoals woningcorporaties. Voor de uitwisseling van de gegevens is het noodzakelijk dat van tevoren voldoende duidelijk is of deze uitwisseling rechtmatig is en onder welke voorwaarden partijen de gegevens mogen verwerken en deze vast te leggen.11 Denk bijvoorbeeld aan het vaststellen welke partij welke gegevens mag verwerken op basis van bepaalde grondslagen, voor welk doel en hoe lang deze gegevens mogen worden bewaard. Te vaak lijkt het nog te gebeuren dat gemeenten en andere aangesloten partijen dit soort vraagstukken willen ‘verkennen’ tijdens een pilot. Bij een aantal gemeenten waar in samenwerkingsverbanden wordt gewerkt is de DPIA niet altijd aanwezig of afgerond bij de start van de verwerking. Daarnaast blijkt uit enkele DPIA’s dat er onduidelijkheden bestaan over de verantwoordelijkheden van de verschillende partijen die betrokken zijn bij de smart city-toepassing en dat een DPIA (daardoor) ontbreekt.

De AP benadrukt dat het zaak is om voorafgaand aan de gegevensverwerking bij een smart city-toepassing de verantwoordelijkheden helder te beleggen en te documenteren zodat de gegevensuitwisseling ‘by design’ rekening houdt met de bescherming van persoonsgegevens. Partijen moeten immers weten wie waarvoor verantwoordelijk is en burgers moeten weten bij wie zij hun rechten kunnen uitoefenen; transparantie geven aan burgers over de verwerking en de betrokken partijen is daarom essentieel.12

7 Zie ook: https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/algemene-informatie-avg/verantwoordingsplicht#is-de-avg-van-

toepassing-bij-pilots-testen-en-proefprojecten-8161. 8 Rondom anonimisering bestaan veel misverstanden. In een korte factsheet van toezichthouders worden veelvoorkomende misverstanden genoemd en nader uitgelegd: https://edps.europa.eu/system/files/2021-04/21-04-27_aepdedps_anonymisation_en_5.pdf. 9 Zie ook: https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/anonimiteit_en_geaggregeerde_telecomdata.pdf 10 Zie ook: https://autoriteitpersoonsgegevens.nl/nl/nieuws/techblogpost-praktische-problemen-bij-het-afknippen-van-hashes 11 Zie ook het onderdeel ‘samenwerkingsverbanden’ in dit rapport. 12 De Europese gegevensbeschermingsautoriteiten hebben (vernieuwde) richtlijnen ("Guidelines 07/2020 on the concepts of controller and processor in the GDPR”) in consultatie gebracht over de begrippen verwerkingsverantwoordelijke en verwerker. Deze kunnen helpen om de rolverdeling in kaart te brengen in samenwerkingsverbanden.

15

Aanbeveling: Stel bij samenwerkingsverbanden voorafgaand aan de start van de verwerking vast wie waarvoor verwerkingsverantwoordelijk dan wel verwerker is. Wees daarover ook transparant naar burgers. 4.3.2

Kwaliteit DPIA’s De DPIA’s die de AP wel heeft ontvangen bleken tussen, maar soms ook binnen gemeenten van wisselende opzet en kwaliteit. Het verschil in kwaliteit blijkt bijvoorbeeld in het ontbreken van een heldere analyse in een aantal DPIA’s over welke gevolgen de verwerking heeft op de rechten en vrijheden van betrokkenen en de waarborgen die (per risico) worden getroffen om de risico’s zoveel mogelijk te beperken. Ook werd niet in alle gevallen een duidelijke beschrijving gegeven van de verwerkingen van persoonsgegevens bij een smart city-toepassing, maar werd enkel verwezen naar de werking van een smart city-toepassing. De Europese privacytoezichthouders hebben criteria vastgesteld die gemeenten kunnen gebruiken om te beoordelen of een DPIA volledig genoeg is om aan de AVG te voldoen.13 Over het algemeen leken de oudere DPIA’s van mindere kwaliteit dan de meer recentere. Dit kan allereerst mogelijk worden verklaard doordat in de AVG duidelijkere eisen zijn vastgelegd over de inhoud van de DPIA. Daarnaast speelt mogelijk ook het groeiende niveau van ‘privacyvolwassenheid’ van gemeenten een belangrijke rol in de kwaliteit van de opgestelde DPIA’s. Een volwassen organisatie waarbinnen privacy van burgers een bekend en verankerd begrip is dat op een serieuze wijze wordt meegenomen in het ontwikkelproces draagt in hoge mate bij aan de kwaliteit van een DPIA en de toepassing.

Zie ook hoofdstuk 8 van dit rapport voor meer informatie over de privacyorganisatie in de gemeente.

4.4

Voorafgaande raadpleging De AP heeft via verschillende kanalen kennisgenomen van een aantal smart city-toepassingen die zich in opstartende- of pilotfase bevinden en waar mogelijk hoge (rest)risico’s aan zijn verbonden. De AP wijst erop dat een DPIA voorafgaand aan de verwerking van persoonsgegevens moet worden uitgevoerd. Indien de gemeente naar aanleiding van de DPIA bepaalt dat er sprake is van hoge risico’s die niet kunnen worden beperkt tot een acceptabel niveau (‘hoge restrisico’s’), dient er een voorafgaande raadpleging bij de AP in de zin van de AVG te worden ingediend.14 Tot die tijd kan de verwerking van persoonsgegevens (en daarmee de smart city-toepassing) niet starten. De AP heeft maximaal 8 weken de tijd om een voorafgaande raadpleging te beoordelen en eventueel te voorzien van een advies.15 Voor complexe verwerkingen is een verlenging van de termijn met 6 weken mogelijk. Als partijen gebonden zijn aan deadlines, bijvoorbeeld omdat de smart city-toepassing wordt ingezet bij geplande evenementen, dan is het van belang dat partijen tijdig de risico’s in kaart brengen door middel van een DPIA. De FG kan adviseren of een voorafgaande raadpleging moet worden ingediend bij de AP. Aanbeveling: Stel het uitvoeren van een DPIA niet uit, maar doe dit zo vroeg mogelijk bij de ontwikkeling van smart city-toepassingen.

Zeker bij geplande evenementen of andere toepassingen met deadlines is dat van groot belang. Zo kan tijdig worden bepaald of een verwerking eventueel voor voorafgaande

13 Richtsnoeren voor gegevensbeschermingseffectbeoordelingen en bepaling of een verwerking "waarschijnlijk een hoog risico

inhoudt" in de zin van Verordening 2016/679 14 Bij de verwerking van politiegegevens geldt een lagere drempel om een voorafgaande raadpleging in te dienen. Een voorafgaande raadpleging is in dat geval ook verplicht als de aard van de verwerking, in het bijzonder met gebruikmaking van nieuwe technologieën, mechanismen of procedures, een hoog risico voor de rechten en vrijheden van de betrokkene met zich meebrengt (art. 33b, eerste lid, onder a Wet politiegegevens). Dit kan van belang zijn in samenwerkingsverbanden waarbij politiegegevens worden verwerkt. 15 Zie voor meer informatie: https://autoriteitpersoonsgegevens.nl/nl/zelf-doen/data-protection-impact-assessment-dpia#hoebeoordeel-ik-of-er-een-restrisico-is-6808

16

raadpleging moet worden ingediend bij de AP. Betrek de FG zo vroeg mogelijk, zodat deze tijdig kan voorzien van advies. Wanneer is sprake van een hoog restrisico? Regelmatig krijgt de AP de vraag wanneer sprake is van een hoog restrisico. Hier is geen eenduidig antwoord op te geven; de risico’s zullen per verwerking in kaart moeten worden gebracht. Het is aan de verwerkingsverantwoordelijke om, met de kennis van de omstandigheden van het geval, de risico’s te classificeren. Die risico’s dienen te worden gemitigeerd door de verwerking zodanig in te richten dat de risico’s zo minimaal mogelijk zijn met redelijke middelen en er maatregelen zijn getroffen om de zowel de kans op, als het effect van, een inbreuk op het recht op bescherming van persoonsgegevens te verkleinen. Procedures hoe te handelen indien een risico zich in de praktijk toch voordoet (en bijvoorbeeld resulteert in een datalek) vallen hier ook onder. Met behulp van een aantal richtlijnen kan worden beoordeeld of de risico’s na de maatregelen nog classificeren als ‘hoog’. De verwerkingsverantwoordelijke beoordeelt of er sprake is van hoge restrisico’s. In de praktijk gaat het bij verwerkingen met een hoog restrisico om (grootschalige) verwerkingen waarvoor reeds een DPIA-verplichting geldt omdat de risico’s in zijn algemeenheid als hoog worden ingeschat en die inherent aan de verwerking zijn.

Denk aan het geval dat de gebruikte data of techniek dusdanig grote inherente risico’s kent dat de kansen of effecten groot of niet te voorzien zijn. Zeker bij verwerkingen van de overheid, die betrekking hebben op een grote groep mensen, zijn de effecten al snel hoog. Een restrisico is ook aanwezig indien de kansen of effecten te voorzien zijn, maar er onvoldoende maatregelen voorhanden zijn om deze te adresseren. Een mogelijk restrisico is bijvoorbeeld de kans op vals positieven bij de inzet van algoritmische systemen en de stigmatiserende gevolgen die dat kan hebben bij inzet van een bepaalde technologie.

4.5

Openbaarheid DPIA Verantwoording dient niet alleen naar de AP, maar vooral naar burgers te worden afgelegd van wie de persoonsgegevens worden verzameld (transparantie) en naar andere geïnteresseerde partijen. De AP juicht het openbaar maken van (delen van) de DPIA over smart city-toepassingen daarom toe, juist omdat smart city-toepassingen worden ingezet in de openbare ruimte. Door als gemeente meer inzicht te geven over de verwerkte persoonsgegevens, de technologie die gebruikt zal worden, mogelijke risico’s van de verwerking en de daarvoor genomen maatregelen kan dit bijdragen aan meer vertrouwen in de ingezette toepassingen. Indien gewenst kan bij het openbaar maken van de DPIA mogelijke gevoelige informatie die afbreuk kan doen aan bijvoorbeeld de beveiliging van de verwerking worden weggelaten. In de praktijk zien we dat DPIA’s nog niet vaak openbaar worden gemaakt. Het is raadzaam om niet alleen op ad hocbasis na te denken over de publicatie van DPIA’s, maar daarover beleid of afwegingskaders te ontwikkelen. Dit geldt ook voor DPIA’s die geen betrekking hebben op smart city-toepassingen. Aanbeveling: Publiceer zoveel mogelijk de DPIA’s van smart city-toepassingen en ontwikkel beleid over de publicatie van DPIA’s.

17

4.6

Betrokkenheid burgers De AVG bepaalt dat bij de uitvoering van een DPIA “in voorkomend geval de betrokkenen of hun vertegenwoordigers naar hun mening [wordt gevraagd] over de voorgenomen verwerking”.16 In het onderzoek heeft de AP de onderzochte gemeenten daarom opgevraagd of, en zo ja op welke wijze zij burgers betrekken bij de ontwikkeling van smart city-toepassingen. Uit het onderzoek is naar voren gekomen dat gemeenten burgers vaker niet dan wel betrekken bij de ontwikkeling van smart citytoepassingen. De AP is van mening dat het betrekken van de burger meer voor de hand ligt daar waar de wetgeving een minder duidelijk kader biedt over de inbreuk op de rechten en vrijheden van betrokkenen, bijvoorbeeld omdat de wet niet specifiek bepaalt welke gegevens mogen worden verwerkt en welke waarborgen er moeten worden getroffen. Daar waar de gegevensverwerking van een smart city-toepassing op basis van wet- en regelgeving minder voorzienbaar is, terwijl de mate van inbreuk door de burger wel als hoog kan worden ervaren of hoge risico’s voor de rechten en vrijheden van burgers met zich meebrengt/kan brengen, ligt het meer voor de hand burgers te betrekken. Zeker bij smart city-toepassingen ligt het daarom voor de hand om de burger te betrekken.

De (gemeentelijke) wet- en regelgeving geeft vrij brede taken voor gemeenten, waardoor niet elke inzet van smart city-toepassing op voorhand te verwachten is.17 Bovendien kan bijvoorbeeld het volgen van menselijk gedrag met de inzet van smart city-toepassingen als indringend worden beschouwd en mogelijk zelfs tot een chilling effect leiden, waarbij mensen zich anders gaan gedragen of de openbare ruimte niet meer willen of durven te gebruiken. Bij complexe, innovatieve smart city-toepassingen lijkt het welhaast onmogelijk om inzicht te krijgen op de mogelijke inbreuken op de rechten en vrijheden van alle diverse individuen wiens persoonsgegevens verwerkt worden. Om die risico’s in kaart te brengen in het kader van de verplichte DPIA is de mening van betrokken burgers van grote waarde. De AVG biedt een zeer geschikt startpunt voor gemeenten om burgers onderdeel te maken van de slimme stad waarin ze leven. Gelet op het feit dat artikel 35 lid 9 AVG betrekking heeft op de DPIA, is het aan te bevelen om in de DPIA op te nemen of, en zo ja op welke wijze de gemeente de betrokkene vraagt naar hun mening. Op deze manier kan bewustwording worden gecreëerd bij de uitvoering en verantwoording worden afgelegd over de vraag in hoeverre de burger (en andere betrokkenen) is gevraagd naar hun mening.

Een goed voorbeeld is een gemeente die als standaardvraag in de DPIA heeft opgenomen of de betrokkenen (of hun vertegenwoordigers) gevraagd is om hun visie te geven over de verwerkingsactiviteiten (inclusief motivering van de keuze) en op welke manier opvolging is gegeven aan de visie (en een motivering indien dit niet is gebeurd). Aanbeveling: Besteed in de DPIA aandacht aan de vraag of betrokkenen naar hun mening is gevraagd en op welke manier er opvolging is gegeven aan deze meningen. Hoe hoger de mogelijke risico’s, hoe onduidelijker de wettelijke grondslag of hoe hoger de mate van ervaren inbreuk, hoe meer het voor de hand ligt burgers te betrekken.

16 Artikel 35, negende lid AVG. 17 Het zou zelfs tot de conclusie kunnen leiden dat een verwerking niet voldoet aan de rechtmatigheidscriteria (zie het hoofdstuk

‘Rechtmatigheid’).

18

5. Reflectie: Participatory DPIAs and administrative law mechanisms in Smart Cities Auteurs: Athena Christofi†, Jonas Breuer*, Olia Kanevskaia†, Ellen Wauters† Organisatie: † imec-CiTiP, KU Leuven; * imec-SMIT, Vrije Universiteit Brussel Functies: Onderzoekers, samenwerking in het kader van Smart-city Privacy: Enhancing Collaborative Transparency in the Regulatory Ecosystem (SPECTRE) Project18 We warmly welcome this report and the opportunity it provides to understand smart city practices in the Netherlands and reflect on the future. The challenges cities face in becoming smart are similar throughout Europe and the attention and recommendations of the DPA can facilitate learning beyond the Netherlands. In the following paragraphs we reflect on two issues emerging from the report that we find particularly worthwhile for smart cities and data protection in the EU. Participatory DPIAs We welcome the emphasis on the role of citizens in the development of smart-city applications. Citizen participation has a fruitful tradition in other domains and shows promising potential for assessing impacts of data processing in public space. We hope that this emphasis brings together relevant authorities, cities and umbrella associations to collaboratively develop best practices tailored for DPIA methodologies. Guidance is much needed.

Considering the richness of fundamental rights in the European legal tradition, assessing risks of a processing operation to individuals’ rights through DPIAs could be a powerful legal tool to enable what is often described as ethical smart-city development. To account for the plurality and complexity of rights at stake, DPIAs should include multi-perspective risk exploration, and become participatory: Article 35(9) GDPR enables -if not requires- this. Participation in DPIAs is important because rights are not static their meaning and reasons justifying their limitations are evolving with socio-technological change. Citizens may also perceive risks to their rights differently: in a smart city, one might fear being observed or nudged in public space. Couldn’t this amount to a curtailment of privacy, or freedoms of expression and association? Citizens’ perceptions are vital to enable municipalities to anticipate and address risks. Citizens involvement can also provide further democratic legitimation for decisions of city officials and councils: such legitimation is particularly important when legal bases and processing purposes are unclear. Still, municipalities often do not - or are not able to - directly involve citizens in complex discussions about technologies, risks and rights despite the potential of Article 35(9). They face important challenges.

How to operationalise diverse input of those affected by smart-city applications? How to assess concrete risks of an application before its implementation or development? Participation may take additional time and money, and may disturb development processes and the goal to provide innovative solutions. Also, representativeness is as crucial as it is challenging. How to sample a 18 Project gefinancierd door Research Foundation - Vlaanderen (FWO S006318N). Deze reflectie geeft de visie van de auteurs weer en

niet het standpunt van de onderzoekscentra/universiteiten of de financierende organisatie.

19

group that mirrors the heterogeneity of affected individuals/groups? How to discuss complex topics with groups that have no prior knowledge (or language skills)? And, if participation cannot be representative, is it even useful? We are convinced it is, and note that Article 35(9) also enables the involvement of ‘representatives’ of data subjects. Civil society groups, public bodies and entities with mandates to represent certain groups do exist in cities and may represent citizens who may have no interest in being involved. Methods and tools to facilitate public participation are abundant but remain separated from DPIAs due to, e.g., abstract legal provisions, vague guidelines, compliance-oriented controllers, the complexity of technologies. We hope that the DPA’s attention in this report will launch efforts to answer the many open questions, as a lot more is still needed to realise participatory DPIAs in (smart) cities: clear guidelines, support and incentives for different actors involved. Leveraging administrative law Supporting data protection with administrative law measures could also enhance the protection of citizens’ rights. The initiative to register sensors in public spaces is a positive step in this direction. The report rightly notes that it can improve transparency over data processing in the city.