Bijlage 1 bij nadere toelichting - Onderzoeksrapport Smart Cities

De FG ziet toe op de naleving hiervan en brengt advies uit over de risico’s van bestaande verwerkingen en nieuwe producten en diensten. De FG ziet er

37

tevens op toe dat de rechten van betrokkenen effectief kunnen worden uitgeoefend. De FG kan advies verstrekken op de DPIA en treedt op als contactpersoon voor de toezichthoudende autoriteit. De gemeente moet de FG middelen en toegang tot alle informatie en bestuurders verschaffen. De FG mag geen instructies ontvangen of gestraft of ontslagen worden voor de uitoefening van diens taken. DPIA Onder de Algemene verordening gegevensbescherming (AVG) kunnen organisaties verplicht zijn een data protection impact assessment (DPIA) uit te voeren. Dat is een instrument om vooraf de privacyrisico’s van een gegevensverwerking in kaart te brengen. En om daarna maatregelen te kunnen nemen om de risico’s te verkleinen. Voorafgaande raadpleging Indien uit een DPIA naar voren komt dat een beoogde verwerking een hoog risico oplevert en er onvoldoende maatregelen getroffen kunnen worden om het risico te beperken, moet met de Autoriteit Persoonsgegevens (AP) overlegd worden voordat met de verwerking wordt gestart. Dit wordt een voorafgaande raadpleging genoemd. Bij een voorafgaande raadpleging geeft de AP advies hoe de risico's van uw voorgenomen verwerking kunnen worden beperkt. Als deze maatregelen worden uitgevoerd, mag met de verwerking worden begonnen. Het kan ook dat de AP adviseert om helemaal van de verwerking af te zien.

MaaS Mobility as a Service (MaaS) zijn mobiliteitsservices die middels een (digitaal) platform worden aangeboden. Denk aan deelvoertuigen die via een smartphoneapp kunnen worden gereserveerd, maar ook digitale platformen waarop meerdere soorten vervoer als één pakket worden aangeboden vallen onder MaaS. Accountability Onder de AVG moet een gemeente verantwoording kunnen afleggen voor de verwerkingen van persoonsgegevens. Hiervoor dient de gemeente een reeks verplichtingen na te komen om dit mogelijk te maken, de accountabilityverplichtingen. Voorbeelden hiervan zijn het register van verwerkingen, de DPIA en het transparant zijn over verwerkingen van persoonsgegevens. EDPB De AP is lid van de European Data Protection Board (EDPB). Dit is een onafhankelijk orgaan waarin alle nationale privacytoezichthouders uit de EU samenwerken. De EDPB zorgt ervoor dat de privacywetgeving consequent wordt toegepast in de EU. Bijvoorbeeld door adviezen, besluiten en guidelines met uitleg over de AVG te publiceren.

38

12. Bijlage: vragenlijst gemeenten 1. Overzicht smart city-toepassingen Ten eerste verzoeken wij u een overzicht te geven van alle smart city-toepassingen van na 1 januari 2015, met in het bijzonder de smart city-toepassingen waarbij uw gemeente persoonsgegevens verwerkt en optreedt als verwerkingsverantwoordelijke. Wij willen u vragen om in uw overzicht in ieder geval de volgende gegevens aan te leveren ten aanzien van de smart city-toepassingen: - Naam van de toepassing; - Startdatum; - Einddatum (indien van toepassing); - Onderwerp (b.v. mobiliteit, veiligheid, etc.); - Omschrijving van de toepassing, met daarin in ieder geval op hoofdlijnen een omschrijving van: o Het doel van de toepassing; o De verwerkte (persoons)gegevens; o (Technische) informatie over de ingezette middelen voor verkrijging en verwerking van de gegevens. - DPIA uitgevoerd ja/nee (indien ja: graag meesturen). 2. Vragenlijst Daarnaast verzoeken wij u de volgende vragen te beantwoorden: 1. Op welk moment betrekt u uw functionaris voor gegevensbescherming (FG) bij de ontwikkeling en inzet van smart city-toepassingen? 2. In hoeverre betrekt u ethische vragen en dilemma’s bij uw smart city-toepassingen? 3. Heeft uw gemeente specifiek beleid op smart city-toepassingen? (Indien ja: graag meesturen) 4. Zijn er andere partijen zoals kenniscentra, bewonersgroeperingen, expertgroepen, etc.

betrokken bij de ontwikkeling van smart city-toepassingen? Zo ja, welke zijn dat, en welke rol hebben deze partijen gespeeld? 5. Bent u bekend met andere smart city-toepassingen in uw gemeente waarvoor u niet de (enige) verwerkingsverantwoordelijke bent? Kunt u hier voorbeelden van geven en aangeven wie (nog meer) verwerkingsverantwoordelijke is bij deze toepassingen? 6. Zijn er smart city-toepassingen waarbij u samenwerkt met andere gemeenten? Zo ja, om welke vorm van samenwerking gaat het? 7. Heeft uw gemeente in de rol van wetgever de inzet van sensoren, camera’s of andere technologische dataverzamelmethoden in de openbare ruimte gereguleerd of heeft u plannen daarvoor? 3. DPIA’s Ten slotte verzoeken wij u om ten aanzien van de smart city-toepassingen van na 1 januari 2015 waarbij uw gemeente optreedt als verwerkingsverantwoordelijke en waarvoor een DPIA verplicht is, de DPIA(’s) toe te sturen. Eventuele persoonsgegevens in de DPIA(’s) kunt u verwijderen.

39

13. Slotwoord Technologie raakt vervlochten in onze steden, en daarmee in onze levens. De AP hoopt met dit rapport een holistische benadering van de Nederlandse smart city met aandacht voor de AVG te stimuleren. Dit rapport kan niet alle vragen beantwoorden, dat is de taak van de verwerkingsverantwoordelijke, maar geeft wel houvast in de zoektocht naar verantwoorde innovatie in de openbare ruimte. Waar er veel zorgen zijn over het kennisniveau en de aandacht voor gegevensbescherming, zijn er ook lichtpuntjes waar het wel de goede kant op gaat. Hier wordt gegevensbescherming vaak ook als uitdaging gezien door ontwikkelaars, wat past in onze Nederlandse kenniseconomie. We roepen gemeenten daarom op verantwoording te nemen en binnen de kaders toepassingen te ontwikkelen. Daarbij moet ook ruimte zijn om na te denken over de wenselijkheid en betekenis van smart city-toepassingen in de maatschappij. En de durf om soms iets niet te doen. Dit is een ingewikkelde opgave, maar resulteert uiteindelijk in duurzame innovatie die de openbare ruimte voor alle burgers verbetert zonder dat burgers daarvoor grondrechten hoeven in te leveren. Hierbij is het van belang om burgers te betrekken bij de ontwikkeling, deze beschikken over onmisbare kennis over hun leefomgeving die bij kan dragen aan duurzame ontwikkeling van de openbare ruimte.

We hopen dat dit rapport leidt tot een constructieve dialoog over de toepassing van technologie en data in onze openbare ruimte. De reflecties in dit rapport zijn een eerste aanzet daartoe. Wij bedanken de schrijvers voor hun onafhankelijke reflectie en bijdrage aan het gesprek over duurzame ontwikkeling van de Nederlandse smart city. Namens de onderzoekers: - Anna Maj Drenth - Gerald Hopster - Arjan Kapteijn - Celina Romijn - Maxine Moleman - Krijn Wijnands

40

Vragen over de Algemene verordening gegevensbescherming Op onze website autoriteitpersoonsgegevens.nl vindt u informatie en antwoorden op vragen over de Algemene verordening gegevensbescherming (AVG). Heeft u op deze website geen antwoord op uw vraag gevonden? Dan kunt u contact opnemen met het Informatie- en Meldpunt Privacy van de Autoriteit Persoonsgegevens op 088-1805 250.

41