Bijlage 2 - DPIA Bodycam RU.Handhaving

Bodycams voor de boa’s Data Protection Impact Assessment (DPIA)

Gemeente Eindhoven Sector Ruimtelijke Uitvoering, Afdeling Handhaving

Colofon Uitgave Gemeente Eindhoven DPIA team Afdelingshoofd RU.Handhaving: proceseigenaar Teamleider RU.Handhaving Jurist RU.Handhaving Privacy Officer AVG/WPG jurist BOA, Informatiespecialist Medewerker informatiebeveiliging Adviseur informatievoorziening sector I&B Datum 20 december 2022 Naam verwerking RU_Toezicht houden en handhaven in de stad_Bodycam

Dit DPIA rapport is gebaseerd op het oorspronkelijke DPIA rapport voor de bodycam pilot (versie 6 van 18 mei 2021) en aangevuld met gegevens uit de evaluatie van de pilot zoals beschreven in het evaluatieverslag van 11 maart 2022.

3

Inhoudsopgave Colofon .......................................................................................................................................... 2 Inhoudsopgave .............................................................................................................................. 3 1.

Aanleiding ............................................................................................................................... 4

2.

Juridisch kader en rechtmatigheid ........................................................................................... 5

3.

2.1

Doel van de verwerking ................................................................................................... 5

2.2

Toetsing doel van de verwerking in de praktijk (pilot) ....................................................... 7

2.3

Grondslag voor de verwerving en verwerking................................................................... 8

2.4

Noodzakelijkheid .............................................................................................................. 9

2.5

Proportionaliteit ................................................................................................................ 9

2.6

Subsidiariteit .................................................................................................................. 11

2.7

Afweging belangen ........................................................................................................ 11

Beschrijving van de verwerking ............................................................................................. 13 3.1

Procesbeschrijving ......................................................................................................... 13

3.2

Ervaringen uit de pilot .................................................................................................... 14

3.3

Categorieën van persoonsgegevens en soorten verwerking .......................................... 15

3.4

Betrokken partijen .......................................................................................................... 16

4.

Risico’s ................................................................................................................................. 18

5.

Maatregelen .......................................................................................................................... 20

6.

5.1

Technische maatregelen ................................................................................................ 20

5.2

Organisatorische maatregelen ....................................................................................... 21

5.3

Planning uitvoering maatregelen .................................................................................... 24

5.4

Restrisico’s .................................................................................................................... 25

5.5

Format gemeente Eindhoven ......................................................................................... 26

Verklaring.............................................................................................................................. 26

Bijlage .......................................................................................................................................... 26

4

1.

Aanleiding Bodycams om boa’s veiliger te laten werken De buitengewoon opsporingsambtenaren (hierna te noemen: boa’s) van de gemeente Eindhoven krijgen tijdens hun werk regelmatig te maken met verbaal geweld, intimidatie en zelfs fysiek geweld. Vanuit de rol als werkgever heeft het college van burgemeester en wethouders een verantwoordelijkheid om de veiligheid en veiligheidsbeleving van medewerkers te bevorderen. Het college vanburgemeester en wethouders denkt op basis van evaluaties bij de politie en in andere gemeenten dat de bodycam een waardevolle toevoeging aan de uitrusting zal zijn. Vanaf medio 2021 tot begin 2022 heeft RU.Handhaving een bodycam pilot uitgevoerd die heeft geleid tot een evaluatieverslag op 11 maart 2022. Begin 2023 zal er een raadsvoorstel ingediend worden voor definitieve invoering van de bodycam als reguliere uitrusting voor de boa’s die werkzaam zijn bij sector Ruimtelijke Uitvoering, afdeling Handhaving. Besluitvorming over pilot bodycams Het college heeft in het Raadsvoorstel Pilot bodycam (inboeknummer 20bst01616; 17 november 2020) voorgesteld een pilot van 1 jaar te houden waarin de uitrusting van de boa met een bodycam wordt uitgebreid. In de gemeenteraad is hierover gesproken op 19 januari en 25 januari 2021.

Op 22 januari 2021 heeft Wethouder Joost de Jong in het document Nadere toelichting bij raadsvoorstel (inboeknummer 21bst00117; 22 januari 2021) nadere informatie verstrekt naar aanleiding van vragen uit de raad. In de gemeenteraadsvergadering van 26 januari 2021 heeft een meerderheid vóór het raadsvoorstel voor de pilot met bodycams gestemd. Daarbij is een amendement aangenomen waarin is vastgelegd dat het college na afloop van de pilot de evaluatie aan de raad voorlegt waarna de raad beslist of, en zo ja onder welke voorwaarden, de bodycam een onderdeel wordt van de reguliere uitrusting van de boa’s in Eindhoven. Deze besluitvorming over de bodycam als reguliere uitrusting van de boa’s is, na evaluatie van de pilot, voorbereid middels een concept raadsvoorstel van 9 november 2022. Het inboeknummer en de behandeldatum van een definitief raadsvoorstel is bij het opstellen van dit DPIA rapport nog niet bekend. Data Protection Impact Assessment Deze DPIA is uitgevoerd met als startpunt de tekst van de eerdere DPIA die in 2021 opgesteld is voor de bodycam pilot. In deze eerdere DPIA zijn de adviezen van de FG uit 2021 (v.w.b. de pilot) verwerkt. De tekst van de DPIA is aangevuld en aangepast op basis van de pilot evaluatie die heeft plaatsgevonden (verslag 11 maart 2022). Daarnaast is aanscherping van maatregelen aangebracht op basis van de review van onze privacy jurist.

De bodycam maakt opnames van personen en daarom valt de verwerking onder het regime van de Algemene Verordening Gegevensbescherming (AVG). De verwerking wordt gekwalificeerd als een verwerking met een hoog privacyrisico voor de betrokkenen van wie de persoonsgegevens worden verwerkt. Daarom wordt eerst een Data Protection Impact Assessment (DPIA) opgesteld. Het doel hiervan is de verwerking te beschrijven, de privacyrisico’s voor de betrokkenen in beeld te brengen en beschermingsmaatregelen te treffen.

5 Het DPIA-team bestaat uit medewerkers uit alle betrokken disciplines: proceseigenaar, teamleider, informatiebeveiliger, juridisch medewerker, BOA, adviseur informatievoorziening sector I&B en Privacy Officer. Het team heeft voor de start van de DPIA de NOREA-vragenlijst ingevuld. Daaruit kwamen enkele privacyrisico’s naar voren die naar bureau Functionaris Gegevensbescherming zijn gestuurd. De Functionaris Gegevensbescherming (FG) gaf een Startadvies DPIA bodycam sector RU (februari 2021). Dat startadvies bevatte concrete aandachtspunten die allemaal in deze DPIA zijn verwerkt.De DPIA wordt na afronding voor advies voorgelegd aan de FG. Dit advies wordt uitgewerkt in een plan van aanpak (zie paragraaf 5.3). De DPIA wordt vervolgens voortdurend beheerd en bijgewerkt indien nodig: de technologie kan immers veranderen, de werkafspraken kunnen veranderen en ook de juridische en maatschappelijke context is dynamisch. Dat kan nieuwe privacyrisico’s opleveren of juist oude privacyrisico’s wegnemen. De proceseigenaar zorgt er in goed overleg met de Privacy Officer voor dat deze DPIA wordt aangepast als dergelijke wijzigingen zich voordoen. Mocht na de pilot worden besloten de bodycams permanent in te voeren, dan krijgt de DPIA opdat moment in elk geval een update. Vervolgens zorgt de proceseigenaar dat deDPIA minimaal om de drie jaar wordt bijgewerkt.

Evaluatie van de Pilot Op 11 maart 2022 is het evaluatieverslag van de bodycam pilot verschenen. Het eindoordeel in dit evaluatieverslag is als volgt: “Alles overziend is het eindoordeel over de bodycams zeer positief. Bodycams leveren waardevol bewijsmateriaal op, de voordelen zijn volgens bijna alle boa’s groter dan de nadelen en daarom moeten de bodycams volgens bijna alle respondenten worden uitgerold.”

2.

Juridisch kader en rechtmatigheid Bij het gebruik van een bodycam worden tot personen herleidbare gegevens verwerkt: persoonsgegevens. Dit is een inbreuk op het recht van privacy van betrokkenen en dat is alleen onder voorwaarden toegestaan. In deze paragraaf wordt de rechtmatigheid van de verwerking aangetoond door in te gaan op doel, grondslag, noodzakelijkheid, proportionaliteit en subsidiariteit. Uitgangspunten gemeente Eindhoven De volgende uitgangspunten zijn van belang voor de toepassing van de bodycams door de gemeente Eindhoven: • • •

er worden zo min mogelijk opnames gemaakt; als er een opname is gemaakt, wordt deze zo kort mogelijk bewaard; een opname kan uitsluitend door een zeer klein aantal geautoriseerde functionarissen en uitsluitend voor de vooraf gekozen doelen worden gebruikt; • de opnames worden zeer goed beveiligd; • er worden technische en organisatorische maatregelen getroffen om de privacy van betrokkenen maximaal te beschermen; • naleving van de gemaakte afspraken wordt afgedwongen door middel van een systeem van periodieke interne controles door de teamleider van handhaving. Deze uitgangspunten worden in deze DPIA allemaal in meer detail uitgewerkt.

2.1

Doel van de verwerking In het Raadsvoorstel Pilot bodycam staat de volgende doelstelling voor de

6 bodycams: “De bodycams worden in het kader van goed werkgeverschap ingezet ter vergroting van de veiligheid van de boa.” In het document Nadere toelichting bij raadsvoorstel staat het volgende over de doelen: “De doelstelling is dat de boa veilig kan werken, dus met name als het gevoel van veiligheid significant verbetert zal de pilot succesvol zijn.” “De doelstelling is geformuleerd vanuit het belang van de boa dat deze veilig zijn of haar werk kan doen, echter daarnaast blijkt dat beeldmateriaal van een bodycam kan bijdragen aan bewijslast bij aangiftes tegen de boa’s en bij aangiftes door boa’s zelf.” “Slechts op last van het Openbaar Ministerie (als er sprake is van aangifte) kunnen de beelden opgevraagd en ontsleuteld worden. … De beelden kunnen worden gebruikt in het kader van een strafrechtelijk onderzoek. Dus bijvoorbeeld niet voor het behandelen van klachten waar geen aangifte aan ten grondslag ligt.” Samengevat is het doel van de bodycam dus het vergroten van de veiligheid van de boa. Dat doel valt vervolgens uiteen in deze drie subdoelen: • • •

Veilig werken Verbeteren gevoel van veiligheid Beeldmateriaal als bewijslast bij aangifte tegen/door boa

Het ideale scenario is dat het dankzij de zichtbaar gedragen bodycam en de mondelinge waarschuwing niet nodig is opnames te maken. Als er dan toch een opname moet worden gemaakt, gelden daar strenge beveiligingsmaatregelen voor met een korte bewaartermijn en een beperkte toegang tot de opname. Deze en meer beschermingsmaatregelen worden in deze DPIA uitgewerkt. Intermezzo: Zijn de doelen meetbaar? De FG stelde in het startadvies de vraag in hoeverre de beoogde doelen objectief meetbaar zijn. De pilot wordt geëvalueerd volgens een onderzoeksmethodiek die de afgelopen jaren in andere gemeenten tot ontwikkeling is gekomen. De informatie die nodig is voor de beoordeling van de effecten en het meten vanhet doelbereik wordt verzameld met behulp van kwantitatieve en kwalitatieve onderzoeksmethoden in verschillende informatiebronnen: •

Enquête onder boa’s Er werden twee keer online enquêtes ingevuld door de boa’s. De 0-meting is gehouden in maart 2021. Dezelfde vragenlijst – uitgebreid met een aantal extra vragen over de daadwerkelijke ervaringen in de pilot – werd gebruikt in de 1-meting na ongeveer een jaar. Dit is gebeurd in februari 2022. In de enquête worden vragen gesteld over het gevoel van veiligheid en incidenten die boa’s hebben meegemaakt. Tevens worden de gebruikerservaringen met de bodycam geïnventariseerd en wordt het draagvlak voor de bodycams onder de boa’s gepeild. Door de twee metingen wordt het verschil tussen “voor” en “na” de bodycam duidelijk.

•

Gesprekken met boa’s In aanvulling op de kwantitatieve enquêtes werden ook verdiepende kwalitatieve gesprekken gevoerd met boa’s. Doel hiervan is om ervaringen,

7 opvattingen en ideeën boven tafel te krijgen die in een enquête verborgen blijven:de “verhalen achter de cijfers”. •

Interne registraties gemeente Alle interne meldingen en registraties van geweld tegen boa’s worden geanalyseerd.

•

Logboeken bodycamsoftware Het video management systeem van de bodycams registreert elke handeling met de bodycams in logfiles: opnames maken, bekijken, verstrekken, bewerken of verwijderen. De logfiles worden in het evaluatierapport besproken.

Geen van de onderzoeksmethoden afzonderlijk is genoeg om de onderzoeksvragen te beantwoorden. Maar door de combinatie van informatiebronnen en onderzoeksmethoden is het mogelijk op een wetenschappelijk verantwoorde wijze te bepalen in welke mate de doelen zijn bereikt.

2.2

Toetsing doel van de verwerking in de praktijk (pilot) Meten van doelen in de pilot In de bodycam pilot van RU.Handhaving is twee maal de vraag gesteld aan de boa’s of hun veiligheidsgevoel de afgelopen twaalf maanden is verbeterd, verslechterd of gelijk gebleven. Deze vraag werd gesteld door middel van enquêtes in maart 2021 (voor de pilot, respons van 42 boa’s) en februari 2022 (6 maanden na invoering van de pilot, respons van 44 boa’s). De enquêtes gaven de volgende resultaten. Uitslagen enquêtes veiligheidgevoel boa’s (bron: evaluatieverslag bodycam pilot, Sander Flight, 11 maart 2022):

Uitslagen enquêtes veiligheidgevoel boa’s (bron: evaluatieverslag bodycam pilot, Sander Flight, 11 maart 2022):

Uit deze meting blijkt dat het gebruik van bodycams het veiligheidsgevoel van de boa’s aanzienlijk verbetert. Dit geldt ook voor de boa’s die geen bodycam dragen en die samen met een bodycam dragende collega aan het surveilleren waren. Daarnaast kon uit deze enquêtes niet worden aangetoond dat het dragen van bodycams op zich, effect heeft op het aantal situaties van agressie en geweld tegen boa’s. Die bleven namelijk gelijk. Het evaluatieverslag van 11 maart 2022 plaatst hierbij de volgende kanttekening: “Er was het afgelopen jaar sprake van een uitzonderlijke situatie vanwege de coronamaatregelen. Handhavers kregen er tijdens de proef allerlei taken bij en de spanningen op straat zijn volgens velen flink toegenomen. Het is niet bekend

8 wat er zou zijn gebeurd als er geen bodycams waren geweest, want er is geen onderzoek gedaan onder een referentiegroep.”

Conclusie uit de pilot Uit de pilot moet gezien het vorenstaande de conclusie worden getrokken dat significant bijdraagt aan het doel van de verwerking beschreven in paragraaf 2.1, namelijk: “De bodycams worden in het kader van goed werkgeverschap ingezet ter vergroting van de veiligheid van de boa.” Hierbij is ook Nadere toelichting bij raadsvoorstel over de doelen van belang: “De doelstelling is dat de boa veilig kan werken, dus met name als het gevoel van veiligheid significant verbetert zal de pilot succesvol zijn.”

2.3

Grondslag voor de verwerving en verwerking Verwerving van de persoonsgegevens De gemeente Eindhoven reikt de bodycams uit aan de boa’s op grond van haar wettelijke plicht een goed werkgever te zijn en een veilige werkplek te bieden. In art. 611 van het Burgerlijk Wetboek Boek 7 staat: “De werkgever en de werknemer zijn verplicht zich als een goed werkgever en een goed werknemer te gedragen.” Een vergelijkbare verplichting volgt uit artikel 3, lid 1 Arbowet: “De werkgever zorgt voor de veiligheid en de gezondheid van de werknemers inzake alle met de arbeid verbonden aspecten en voert daartoe een beleid dat is gericht op zo goed mogelijke arbeidsomstandigheden.” De bodycams worden ingezet vanuit deze privaatrechtelijke verplichtingen die de gemeente heeft als werkgever van de boa’s. De bodycams worden dus niet ingezet vanuit de overheidstaak van de gemeente. Verwerking van de persoonsgegevens De grondslag voor de verwerking van de persoonsgegevens is artikel 6, lid 1, onder f, AVG: de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke. De belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, wegen minder zwaar dan het belang van de gemeente bij het bieden van een veilige werkplek voor de boa’s.

De keuze voor de grondslag ‘gerechtvaardigd belang’ betekent dat de bodycams alleen mogen worden ingezet met als doel: vergroten van de veiligheid van de boa’s. De inzet van de bodycams voor andere doelen valt buiten de gemaakte afspraken en is dus niet toegestaan. De keuze voor de grondslag ‘gerechtvaardigd belang’ vergt voortdurende waakzaamheid. Daarom zijn in deze DPIA beschermingsmaatregelen opgenomen diedaar specifiek voor zorgen. Als een boa een bodycam draagt en besluit een opname te gaan maken moet de privacy van de betrokken personen worden afgewogen tegen het gerechtvaardigde belang van de boa bij zijn of haar eigen veiligheid. Die afweging wordt in deze DPIA eerst op algemeen niveau gemaakt door in te gaan op de noodzakelijkheid, proportionaliteit en subsidiariteit. Ten tweede moeten ook de afzonderlijke boa’s zich bewust zijn van deze afweging en in staat zijn achteraf een onderbouwing te geven van de keuze een opname te maken. Daar wordt in de training en begeleiding van de boa’s dan ook aandacht aan besteed, zoals blijkt uit de beschermingsmaatregelen in deze DPIA. Niet voor opsporingstaken De bodycam wordt ingeschakeld om de veiligheid van de BOA te bevorderen. Gebruik van de bodycam voor opsporingstaken tijdens het surveilleren is

9 expliciet uitgesloten. Later, als de politie opgeslagen bodycam beelden opvraagt kan blijken dat de beelden voor opsporing worden gebruikt door de politie. De politie vraagt de beelden dan op na een vordering op basis van het Wetboek van Strafvordering. Of dit gebeurt is niet van te voren te bepalen en de boa of zijn werkgever zal nooit zelf de beelden gebruiken voor opsporingstaken. Gebruik van bodycam beelden voor opsporingstaken komt dus niet voor binnen de scope van deze verwerking.

2.4

Noodzakelijkheid Bodycams zijn een inbreuk op een grondrecht: het recht op bescherming van de persoonlijke levenssfeer. Zo’n inbreuk is alleen gerechtvaardigd als deze (onder meer) noodzakelijk is, dus proportioneel en subsidiair. In deze paragraaf wordt beschreven hoe groot het probleem van geweld tegen boa’s is en waarom het inzetten van bodycams daarmee in verhouding staat (proportionaliteit). Ook is uitgezocht of er andere, lichtere, middelen zijn waarmee dezelfde effecten kunnen worden bereikt (subsidiariteit). Hieronder blijkt dat dit niet het geval is. Omvang van het probleem In maart 2021 is een online enquête ingevuld door tweeënveertig boa’s uit Eindhoven. Uit deze 0-meting blijkt dat in de voorafgaande twaalf maanden veel agressie engeweld tegen de boa’s is gepleegd. Uit de verdiepende gesprekken met boa’s is naar voren gekomen dat dit gepaard gaat met een sterk gevoel van onveiligheid tijdens hun werk. Bijna alle respondenten hadden te maken met lastig gedrag (82%), iets minder dan de helft maakte een serieuze bedreiging mee (45%) en bijna een derde werd slachtoffer van lichamelijke agressie (30%). Het ging in veel gevallen om meerdere incidenten per persoon. Geweld tegen werknemers met een publieke taak is onacceptabel. Het leidt tot leed en schade voor de boa’s zelf (materieel, maar ook immaterieel).

Daar komt bij dat geweld tegen boa’s en de daarmee komende onveiligheid (inclusief het gevoel van onveiligheid), een groot probleem is als het wordt bezien vanuit de rol van de gemeente Eindhoven als werkgever: de gemeente is verplicht een veilige werkplek te bieden. Geweld is maatschappelijk gezien onacceptabel: het is een aantasting van een fundamenteel uitgangspunt in de Nederlandse rechtsstaat dat overheidsdienaren gezaghebbend moeten kunnen werken en met respect moeten worden behandeld. Kortom: agressie en geweld tegen boa’s is in Eindhoven een omvangrijk en ernstig probleem dat een stevige aanpak rechtvaardigt. De gemeente Eindhoven vindt het om meerdere redenen noodzakelijk dit probleem aan te pakken met behulp van alle maatregelen en instrumenten die haar ter beschikking staan. De bodycam is een relatief ingrijpend, maar tegelijkertijd veelbelovend instrument – ook gezien de resultaten van de pilot – om het probleem mee te verkleinen.

2.5

Proportionaliteit De inbreuk die de bodycams opleveren op de privacy van betrokkenen moet proportioneel zijn in verhouding tot het probleem dat ermee wordt bestreden. In simpele bewoordingen: het is niet toegestaan met een kanon op een mug te schieten. Hierboven is aangetoond dat geweld tegen boa’s in Eindhoven een omvangrijk en ernstig probleem is. Hieronder gaat het over de proportionaliteit en wordt beschreven welk effect wordt verwacht van de bodycams en hoe de inbreuk op de privacy zo beperkt mogelijk wordt gehouden. De bodycam heeft in andere organisaties (politie, gemeenten, OV-bedrijven) tot significante afnames van agressie en geweld geleid. Bij de politie bleek dat de bodycams leidde tot een halvering van het aantal agressieve en gewelddadige incidenten (zie www.bodycamonderzoek.nl). Ook in verschillende Nederlandse gemeenten zijn dankzij de bodycams aantoonbaar positieve effecten bereikt,

10 onder andere in Rotterdam, Amsterdam, Breda, Zaanstad, Smallingerland, Haarlemmermeer, Apeldoorn, Haarlem, Zandvoort en Utrecht. Uit de enquêtes (maart 2021, februari 2022) in het kader van de bodycam pilot van gemeente Eindhoven kan niet worden geconcludeerd dat het dragen van bodycams door boa’s effect heeft op het aantal situaties van agressie en geweld tegen boa’s. Zie de kanttekening hierbij in paragraaf 2.2 in verband met de coronaperiode. Wel geven de boa’s aan dat hun gevoel van onveiligheid tijdens het werk significant is verminderd. Het beeld uit al deze evaluaties is dat bodycams een de-escalerend effect hebben op agressie en geweld door burgers: minder bedreigingen, minder verbale agressie en minder fysiek geweld. Handhavers voelen zich ook veiliger door de bodycam en ze merken op dat hun eigen optreden ook professioneler wordt. Over de waarde van opnames als bewijsmateriaal is minder informatie beschikbaar om dat dit meestal buiten het zicht van de gemeente blijft, maar er is anekdotisch bewijs dat rechters opnames waardevol vinden. Desgevraagd geeft een ruime meerderheid van de handhavers (> 90%) aan dat ze willen dat de bodycams worden toegevoegd aan de standaarduitrusting. De effecten van bodycams zijn niet overal even groot.

Ook zijn er voorbeelden uit het buitenland die laten zien dat bodycams ook ongewenste effecten kunnen hebben en juist tot meer agressie kunnen leiden. Welk effect bodycams hebben hangt van een aantal lokale factoren af. Een voorbeeld is de context: in een woonwijk werken bodycams anders dan in een uitgaansgebied of in het OV. Het effect van bodycams hangt ook af van de wijze waarop de boa’s de bodycam inzetten: dat kunnen ze op een de-escalerende wijze doen, maar ook op een escalerende wijze. Ook hangt veel af van de technische en organisatorische keuzes die elke organisatie maakt, bijvoorbeeld over de toegang tot de opnames. Het is, kortom, zeer aannemelijk dat bodycams een positief effect zullen hebben, maar er is geen garantie op succes op lange termijn. Veel hangt af van de lokale omstandigheden en van de manier waarop de bodycam lokaal is ingebed, georganiseerd en getraind. Daarom heeft de gemeente Eindhoven het effect van gebruik van de bodycam proefondervindelijk vastgesteld in een pilot van een jaar met als inzet om de veiligheid van boa’s in Eindhoven te vergroten. Uit deze pilot is inderdaad gebleken dat het veiligheidsgevoel van de boa’s significant wordt vergroot door gebruik van de bodycam.

Proportionaliteit “aan de achterkant” van de bodycam De inbreuk van de bodycam op de privacy is proportioneel als deze inbreuk in verhouding staat tot de ernst van het probleem. Dat betekent dat er sprake moet zijn van een serieus probleem. Dat is hierboven aangetoond. Maar de proportionaliteit kan ook worden vergroot “aan de achterkant”. De inbreuk op de privacy wordt immers ook kleiner door maximaal in te zetten op preventie en deescalatie door de corrigerende werking van de bodycam. Het ideale scenario is dat er dankzij de loutere zichtbaarheid van de bodycam en de mondelinge waarschuwing geen opname nodig is. En als er toch een opname moet worden gemaakt, gelden voor die opname strenge beveiligingsmaatregelen. De opname wordt opeen veilige wijze bewaard, gedurende een relatief korte bewaartermijn en de toegang tot de opname is beperkt tot een zeer klein aantal geautoriseerde functionarissen. Dit wordt hieronder in de paragraaf over beschermingsmaatregelen verder uitgewerkt. Voor de proportionaliteit waar het hier om gaat is het van belang te constateren dat de inbreuk op de privacy van betrokkenen zoveel mogelijk wordt beperkt “aan de voorkant” (door zo min mogelijk te filmen) en ook “aan de achterkant”

11 (door de toegang tot de opnames zo beperkt mogelijk te maken). Dit maakt de bodycams ook proportioneel.

2.6

Subsidiariteit Bodycams zijn een relatief zwaar instrument. Inzet is alleen toegestaan als er geen lichtere instrumenten zijn die hetzelfde resultaat opleveren. Dergelijke lichtere instrumenten die hetzelfde opleveren zijn er niet. De afgelopen jaren heeft de veiligheid van de boa’s de voortdurende aandacht van de werkgever gekregen. Boa’s krijgen alleen taken die ze veilig kunnen uitvoeren. Boa’s worden bijvoorbeeld niet ingezet voor handhaving van de openbare orde. Daarnaast worden erafspraken gemaakt om bij dreigende situaties samen op te trekken met de politie. Ook wordt bij werving en selectie van boa’s geselecteerd op communicatieve vaardigheden. In de opleiding leren boa’s de-escalerend optreden. Verder volgen alle boa’s jaarlijks de permanente heren bijscholing. Een van de lesblokken is gericht op gesprekken benaderingstechnieken. Ook wordt getraind in klantgerichte communicatie, trainingen omgaan met agressie en trainingen omgaan met jeugd. Daarnaast wordt zoveel mogelijk samengewerkt met de politie in Eindhoven: taakverdeling, procedures en informatie worden gedeeld. Voorts zijn er goede communicatiemiddelen en communicatieprotocollen: portofoons en handhelds. De veiligheid is ook vergroot door steekwerende handschoenen en steekwerende vesten.

Tot slot is er een heldere handhavingsstrategie met bijbehorende werkinstructies om te zorgen voor professionele en veilige werkomstandigheden voor de boa’s. Desondanks wordt er geweld gepleegd tegen de boa’s. De uitrusting en training van de boa’s bevatten onvoldoende middelen om in te zetten in escalerende situaties. Daarom wordt nu gekozen voor de bodycam: een relatief zwaar middel in vergelijking met de genoemde lichtere instrumenten, maar de ernst van de problemen rechtvaardigt dit. De andere middelen werken vooral beschermend of achteraf als zich een incident aan het ontwikkelen is. De bedoeling is dat de bodycam ook echt preventief zal gaan werken: dus al voordat een incident zich kan ontwikkelen. De 0-meting onder de boa’s laat zien dat de boa’s zelf ook vinden dat het tijd is om de bodycam in te voeren. Een ruime meerderheid van zo’n 95% van de ondervraagde boa’s vindt de voordelen van de bodycams groter dan de nadelen. De boa’s zien de bodycam als een essentieel instrument om goed onderbouwd aangifte te kunnen doen van tegen hen gepleegd geweld. De andere instrumenten bieden die mogelijkheid niet. Ook het reguliere cameratoezicht van de gemeente is niet in staat dit te doen. De gemeentelijke camera’s – en trouwens ook andere bewakingscamera’s – nemen alleen beelden op en geen geluid.

Datbetekent dat de beelden onbruikbaar zijn als bewijs in het geval van een belediging of bedreiging. Dit zijn nu juist de incidenten waar boa’s het meeste slachtoffer van worden, zoals blijkt uit de 0meting. Wellicht ten overvloede wordt hier nogmaals benadrukt dat het belangrijkste doel van de bodycam de-escalatie is: als het goed werkt, hoeft er nooit een opname te worden gemaakt. Maar als de-escalatie niet werkt, dan moeten de opnames kunnen worden gebruikt als bewijsmateriaal bij een aangifte. Daarom isde bodycam een essentiële toevoeging aan andere, lichtere en bestaande instrumenten.

2.7

Afweging belangen De verwerkingsverantwoordelijke weegt de belangen van de boa’s af tegen die van de betrokkenen wiens privacy wordt geschonden. Daarbij wordt enerzijds gekeken naar de ernst van de problemen en wordt anderzijds terdege rekening gehouden met de gevolgen voor de betrokkenen. De plicht om als werkgever een veilige werkplek voor de boa’s te bieden, weegt zwaar. In dit specifieke

12 geval en voor dit specifieke doel weegt die plicht als werkgever zwaarder. De bodycam is volgens de gemeente Eindhoven noodzakelijk, proportioneel en subsidiair. Deze conclusie is gebaseerd op de zeer beperkte inzet van bodycams diehier wordt voorgesteld. Er wordt maximaal gestreefd naar preventie van agressie, waardoor het in het ideale geval niet eens nodig is opnames te maken. En als er wel een opname wordt gemaakt, wordt die zeer goed beveiligd en uitsluitend gebruikt voor het goed onderbouwen van aangiftes van geweld tegen de boa’s. In de rest van dit document wordt uitgewerkt hoe ervoor zal worden gezorgd dat de privacy van betrokkenen maximaal wordt beschermd en de gekozen uitgangspunten centraal blijven staan. Eerst wordt het proces beschreven van de verwerking van persoonsgegevens. Daarna worden de privacyrisico’s van debodycams expliciet uitgeschreven, inclusief de beschermingsmaatregelen die worden getroffen om de risico’s te mitigeren.

13

3.

Beschrijving van de verwerking

3.1

Procesbeschrijving Globaal bestaat het proces van de bodycams uit drie stappen: opnames maken, opnames gebruiken en opnames verwijderen. Die stappen worden hieronder eerst schematisch weergegeven en daarna nader uitgewerkt, inclusief een beschrijving van de wijze waarop persoonsgegevens worden verwerkt.1

1:Opnames maken Stap in het proces Bodycam dragen: De boa die een bodycam gaat dragen, identificeert zich middels de personeelsbadge en krijgt een bodycam toegewezen door het systeem. De bodycam wordt duidelijk zichtbaar op het uniform gedragen en staat stand-by tijdens de dienst. Er wordt continu gefilmd en alle opnames worden 30 seconden gebufferd. Dat wil zeggen dat alle opnames daarna automatisch worden gewist, tenzij de opnameknop wordtingedrukt (zie volgende stap). Opname maken: Als een situatie naar inschatting van de boa escaleert of dreigt te escaleren, kondigt de boa aan dat er een opname zal worden gemaakt. Als dit niet leidt tot een veilige situatie, wordt de opnameknop ingedrukt. Als het (dreigende) incident naar inschatting van de boa voorbij is, stopt de boa de opname. Uploaden opnames: Na de dienst plaatst de boa de bodycam in het docking station. Eventuele opnames worden opgeslagen en de batterij van de bodycam wordt weer opgeladen.

Verwerking persoonsgegevens De opnames worden tijdelijk opgeslagen op het met encryptie beveiligde interne geheugen van de bodycam. Als de opnameknop niet wordt ingedrukt, worden de opnames onherroepelijk verwijderd na 30 seconden.

De bodycam legt beeld en geluid vast op hetmet encryptie beveiligde interne geheugen van de bodycam. Ook de gebufferde seconden worden vastgelegd zodat de aanleiding van het incident en het mondeling aankondigen van de opname ook wordt vastgelegd.

Eventuele opnames worden van het interne geheugen van de bodycam afgehaald en viahet docking station overgezet naar de beveiligde opslag op een lokale computer zonder connectie met internet. De toegang tot deze opnames is beperkt tot een zeer klein aantal functionarissen: i) de kwaliteitsmedewerker en zijn of haar vervanger, ii) de technisch beheerder en iii) de teamleider handhaving. Elke opname krijgt metadata mee: datum, tijden personeelsnummer van de boa.

1 Opnames kunnen worden gevorderd door politie, een officier van justitie of de rechter-commissaris.

14

2: Opnames gebruiken Stap in het proces Aangifte bij de politie: Als een boa aangifte wil doen bij de politie van belediging, bedreiging of mishandeling, kan de bodycamopname vrijwillig en ongevraagd aan de politieworden verstrekt.

Vordering door politie: Opnames kunnen worden gevorderd door een politieambtenaar, een officier van justitie of een rechtercommissaris conform art. 126nd(a) Wetboekvan Strafvordering.

Verwerking persoonsgegevens De boa die aangifte wil doen verzoekt de kwaliteitsmedewerker de betreffende opnameop een met encryptie beveiligde gegevensdrager te kopiëren en aan de politie te leveren. De kopie van de opname gaat op dat moment over van het regime van de AVG naar dat van de Wet politiegegevens (Wpg). De politie is verwerkingsverantwoordelijke voor de kopie en verwerkt deze conform de Wpg. Het origineel blijft bij de gemeente en wordt beheerd conform de AVG. Op het moment dat een vordering binnenkomt bij de afdeling handhaving, doorzoekt de kwaliteitsmedewerker de opnames en levert een kopie op een met encryptie beveiligde gegevensdrager aan de functionaris diede opname vorderde. De kopie van de opname gaat op dat moment over van het regime van de AVG naar dat van de Wet politiegegevens (Wpg). De politie is verwerkingsverantwoordelijke voor de kopie en verwerkt deze conform de Wpg. Het origineel blijft bij de gemeente en wordt beheerd conform de AVG. De grondslag voor verstrekking aan de politie is art. 6.1c AVG ‘wettelijke plicht’.

3: Opnames verwijderen en logging Stap in het proces Opnames verwijderen: Alle opnames wordenna de bewaartermijn van 28 dagen automatisch vernietigd. Deze bewaartermijn geldt ook voor de andere gemeentelijke camerabeelden. Indien nodig kan de bewaartermijn van een specifieke opname worden verlengd.Dit gebeurt bij een opname die (vermoedelijk) nodig is voor een van de vooraf gekozen doelen.

Logging: Elke handeling met elke opname (uploaden, bekijken, verstrekken, verwijderen) wordt automatisch gelogd. Deze loggingis niet te manipuleren.

3.2

Verwerking persoonsgegevens Als binnen de standaard bewaartermijn blijktdat een opname (vermoedelijk) nodig zal zijnvoor een van de vooraf gekozen doelen, zorgt de kwaliteitsmedewerker ervoor dat dieopname wordt gemarkeerd om automatischeverwijdering te voorkomen. Na afhandeling van het incident – meestal na het verstrijken van de bezwaar– of beroepstermijn of als er een definitieve uitspraak is gedaan – wordt de opname verwijderd. De kwaliteitsmedewerker controleert maandelijks of elke langerbewaarde opname nog nodig is. Als dit niet het geval is, wordt deze handmatig verwijderd. De software voor het evidence management houdt automatisch een audit trail bij van elke opname en alle handelingen met die opname. De logfile bevat geen persoonsgegevens en wordt ook bewaard na het verwijderen van de opname zelf. Als er twijfel is of een opname onrechtmatig is bekeken, bewerkt, verstrekt of verwijderd controleert de kwaliteitsmedewerker de audit trail van die opname. Tevens voert de kwaliteitsmedewerker elk kwartaal een steekproefsgewijze controle uit – zie de beschermingsmaatregelen verderop in dit verslag.

Ervaringen uit de pilot Het gebruik van de bodycams is tijdens de pilot conform de procesbeschrijving van de vorige paragraaf geweest. Ten aanzien van het gebruiken van opnames zijn de volgende ervaringen uit de pilot gekomen. Het betreft hier, naast gedragingen van burgers die een (mogelijk) om strafrechtelijke afdoening vragen, ook nadrukkelijk om veiligheid van de boa’s waardoor deze ervaringen relevant zijn voor het doel van de verwerking. De overige tekst uit deze paragraaf komt uit het evaluatieverslag bodycam pilot, Sander Flight, 11 maart 2022. Tussen 3 augustus 2021 en 14 december 2021 zijn 91 opnames gemaakt en is in negen gevallen beeldmateriaal veilig gesteld voor (mogelijk) gebruik door de

15 de politie. Drie van deze opnames zijn aan de politie verstrekt na een vordering op basis van het Wetboek van Strafvordering. Dat is in de proefperiode dus gemiddeld eens per twee maanden gebeurd. Het ging om deze incidenten: •

Mishandeling handhaver Een persoon lag te slapen in een portiek en de bewoners maakten daar een melding van bij de politie die de handhavers informeerde. Een handhaver ging er naartoe om de persoon aan te spreken en weg te sturen. De slaper werd daarop zeer agressief: hij begon te schelden, spuugde naar de handhaver en gooide twee keer een baksteen. De handhaver wist de stenen te ontwijken en werd dus gelukkig niet geraakt. De persoon vluchtte weg en de handhaver zette de achtervolging in. De politie werd ook ingeschakeld, maar de persoon ging er vandoor. Het was bij de handhaver niet bekend wie de persoon was. De handhaver deed aangifte bij de politie en de bodycambeelden werden door de politie gebruikt voor opsporing. De politie kon de identiteit van de verdachte achterhalen en heeft de hele zaak geregistreerd. De persoon is nog altijd voortvluchtig, maar als het nog een keer gebeurt weet iedereen die toegang heeft tot het politiesysteem wat er is gebeurd en dat er aangifte is gedaan tegen deze persoon. Volgens de handhaver waren de beeldkwaliteit en geluidskwaliteit heel goed.

•

Vechtpartij Er waren vier mensen aan het vechten en het was onduidelijk wat er aan de hand was. Toen een boa met bodycam ter plaatse kwam, bleek al snel dat het drie tegen één was. De boa was als eerste aanwezig en wilde ingrijpen. Voor zijn veiligheid zette hij de bodycam aan, riep de assistentie van de politie in en probeerde zo goed mogelijk te de-escaleren. De politie heeft drie mensen aangehouden en gefouilleerd: er werden een mes en een wapenstok gevonden. De politie heeft de beelden gevorderd; de uitkomst van de zaak is niet bekend bij handhaving.

•

Mogelijk wapenbezit De derde opname is gevorderd door de politie in verband met mogelijk wapenbezit van een persoon. Hierover zijn verder geen details bekend.

Naleving afspraken in de pilot De opnames zijn volgens afspraak uitsluitend bekeken, gedownload en verwijderd door geautoriseerde functionarissen. Ook zijn de beelden alleen gebruikt voor het vooraf afgesproken doel: aangifte bij de politie of vordering door de politie. Er was wel behoefte bij handhavers om de bodycams ook voor andere doelen te gebruiken. Zo is meerdere keren gevraagd of een opname mocht worden gebruikt voor evaluatie van een incident of voor opleiding. Die verzoeken zijn niet gehonoreerd, omdat de bodycams daar niet voor mochten worden gebruikt. Na een tijdje werden die vragen niet meer gesteld toen iedereen wist hoe het werkte.

3.3

Categorieën van persoonsgegevens en soorten verwerking Geen bijzondere persoonsgegevens Bijzondere persoonsgegevens zijn gegevens over ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen en dergelijke. Uit camerabeelden zijn dergelijke gegevens af te leiden (huidskleur, kleding, sieraden, hoofddoek, bril, rolstoel). Maar de Autoriteit

16 Persoonsgegevens heeft besloten camerabeelden niet als bijzondere persoonsgegevens te classificeren als: •

•

• •

het doeleinde van de verwerking niet gericht is op het verwerken van bijzondere persoonsgegevens, dan wel op het onderscheid maken op grond van een bijzonder persoonsgegeven; het voor de verantwoordelijke redelijkerwijs niet voorzienbaar is dat de verwerking zal leiden tot het maken van onderscheid op grond van een bijzonder persoonsgegeven; de verwerking van bijzondere persoonsgegevens onvermijdelijk is bij de verwerking, en de verwerking geen identificatie tot doel heeft.

Dit betekent dat met de bodycams van de gemeente Eindhoven geen bijzondere persoonsgegevens worden verwerkt. Het is onvermijdelijk om ook bijzondere persoonsgegevens te verwerken als iemand wordt gefilmd met een bodycam en identificatie is niet het doel van de verwerking. Dus verwerken de bodycams geen bijzondere persoonsgegevens. Geen koppeling, geen automatische verwerking Er wordt geen koppeling gemaakt tussen opnames van bodycams en andere gegevensbestanden. Er vindt geen automatische besluitvorming plaats. Wel is het mogelijk dat persoonsgegevens van bepaalde betrokkenen worden gekoppeld aan een specifieke opname, bijvoorbeeld de naam van een verdachte aan een opname die in het kader van een aangifte aan de politie is verstrekt. Deze koppeling wordt uitsluitend gelegd door de politie en betreft een kopie van de oorspronkelijke opname, die onder de Wet politiegegevens valt. Het is de Nationale Politie die verwerkingsverantwoordelijke is voor die verdere verwerking vanspecifieke opnames en persoonsgegevens (feitelijk dus politiegegevens).

Geen heimelijke inzet Voor de volledigheid wordt hier vastgelegd dat de bodycams nooit heimelijk zullen worden ingezet: de bodycam zelf wordt goed zichtbaar gedragen en de boageeft het altijd mondeling duidelijk te kennen aan betrokkenen voordat de bodycam wordt ingeschakeld, behalve als dit onmogelijk is – bijvoorbeeld in geval van acuut geweld. Ook in dat laatste geval is de bodycam overigens zichtbaar en is de inzet dus niet heimelijk. Geen gegevens over strafrechtelijke veroordelingen of strafbare feiten Er worden geen persoonsgegevens over strafrechtelijke veroordelingen of strafbare feiten verwerkt door de gemeente Eindhoven. De gemeente zet de bodycams immers in als werkgever en verwerkt de opnames als persoonsgegevens en niet als politiegegevens. De politie kan uiteraard wel opsporingsonderzoek doen met een specifieke opname als deze wordt overgedragen aan de politie bijeen aangifte. De politie is vanaf dat moment de verwerkingsverantwoordelijke voor de kopie van de opname. Geen identificatienummers De bodycams hebben niet als doel het verwerken van identificatienummers zoals een Burger Service Nummer, een kenteken of een ander identificerend nummer. Het kan soms gebeuren dat een dergelijk gegeven in de opnames is verwerkt, maar alleen als dat onvermijdelijk is.

De opnames kunnen achteraf niet worden doorzocht op dergelijke nummers omdat ze niet worden “gelezen” door de bodycams.

3.4

Betrokken partijen

17 De gemeente Eindhoven is de verwerkingsverantwoordelijke en de enige verwerker. De opnames van de bodycams worden niet door externe verwerkers ofdoor andere externe partijen verwerkt. Een politiefunctionaris, een officier van justitie of een rechter-commissaris kan na vordering of in het kader van een aangifte door een boa een kopie krijgen van een bepaalde opname. Voor die kopie geldt de Wet politiegegevens en de korpschef van de politie is daar de verwerkersverantwoordelijke voor.

18

4.

Risico’s De verwerkingsverantwoordelijke is zich er terdege van bewust dat het gebruik van een bodycam de privacy van de betrokkene kan schenden. Daarom wordt een goede afweging gemaakt tussen het doel van de bodycam en het privacybelang van de betrokkenen. Als de bodycam zonder beperking zou worden ingezet, levert dat privacyrisico’s op die niet acceptabel zijn. Daarom worden beschermingsmaatregelen getroffen: technisch en organisatorisch. In deze DPIA worden vijf risico’s besproken en gemitigeerd. Deze risico’s zijn gesignaleerd in ofwel de NOREA, ofwel in het startadvies van de FG ofwel in de discussie in de gemeenteraad. 1. Heimelijk filmen 2. Onbevoegde gebruikers 3. Doelverschuiving 4. Chilling effect 5. Opslag data buiten EER 1. Heimelijk filmen Het is verboden heimelijk filmopnames te maken volgens het Wetboek van Strafrecht (art. 441b en 139f). In de AVG staat daarnaast dat transparantie over de verwerking door actief informeren van betrokkenen over de gegevensverwerking belangrijk is. De persoonlijke schade kan ernstig zijn als mensen niet wetendat ze worden gefilmd of als ze niet weten wat het doel van de bodycam is, wat er met de opnames mag worden gedaan en wie toegang heeft.

Ze kunnen zijn gefilmd op een plek of in een situatie waar ze liever niet gezien willen worden enkunnen zich grote zorgen maken dat de opnames terechtkomen bij mensen die misbruik van die informatie gaan maken. Het zou zelfs kunnen leiden tot agressie tegen de handhavers als mensen niet weten dat er zorgvuldig met de opnames wordt omgegaan voor een beperkt aantal doelen en alleen door geautoriseerde personen. 2. Onbevoegde gebruikers Er is een kans dat onbevoegde medewerkers de opnames zien, bewerken, verstrekken, kopiëren, langer bewaren dan afgesproken of vernietigen. Het is bijvoorbeeld mogelijk dat iemand ‘over de schouder’ meekijkt of een eigen filmpje opneemt met een smartphone of andere camera als de opname door een geautoriseerde gebruiker wordt bekeken op een beeldscherm tijdens het voorbereiden van een aangifte. Ook kan een bodycam worden gestolen of kwijtraken. Er is ook een kans dat hackers zich toegang verschaffen tot de opnames. Het kan voor de betrokken personen die in beeld zijn ernstige schade opleveren als een opname terechtkomt bij een onbevoegde gebruiker of een hacker, bijvoorbeeld als de opname gepubliceerd wordt op social media. De opname kan zijn gemaakt op een plek of in een situatie waarin mensen liever niet gezien willen worden door anderen.

Misbruik van die informatie kan ook (im)materiële nadelen opleveren, door afpersing of aantasting van de goede naam. Ook het vernietigen van opnames door onbevoegden kan schade opleveren. Een opname kan dan bijvoorbeeld niet meer worden gebruikt voor aangifte van geweld tegen een handhaver. Dat kan schade opleveren voor de burger die in beeld was, maar ook voor de handhavers. De opname kan het sluitende bewijs leveren dat er welof juist geen sprake was van bedreiging of mishandeling. Zonder de opname kan een onjuiste beslissing worden genomen. Voor het geval dat hackers zich toegang verschaffen tot de opnames is de schade die kan worden veroorzaakt in het algemeen wellicht niet heel groot. Maar de opnames kunnen in bepaalde gevallen worden gebruikt om mensen af te persen of hun goede naam te bezoedelen. In dat geval kan de schade voor betrokken burgers of handhavers ook bij hackers aanzienlijk zijn.

19

3. Doelverschuiving Er is een risico dat de bodycams worden gebruikt voor andere doelen dan het vergroten van de veiligheid van de handhavers. Dat verschijnsel van doelverschuiving wordt ook wel aangeduid met de term function creep of mission creep:het fenomeen dat beschikbare technologie in de loop der tijd ook wordt toegepast voor andere doelen dan oorspronkelijk het idee was. Dat zou bijvoorbeeld het geval zijn als handhavers in Eindhoven overtredingen van de APV gaan filmen met de bodycam omdat ze de opnames als bewijsmateriaal willen gebruiken. 4. Chilling effect De handhavers in Eindhoven zijn er niet alleen maar voor toezicht en handhaving: ze vervullen ook een rol als ‘het gezicht van de gemeente op straat’ of als gastheer en gastvrouw. De bodycam kan de benaderbaarheid van de handhavers aantasten: een zogenaamd chilling effect. Het is de bedoeling dat elke burger zich vrij voelt om een gesprek aan te knopen met een handhaver. Ook heeftiedereen in beginsel het recht om ongefilmd over straat te gaan. De bodycam kan ervoor zorgen dat (bepaalde groepen) burgers de handhavers niet meer aanspreken en dat is onwenselijk. 5. Opslag data buiten EER Het Europese Hof van Justitie heeft geoordeeld dat het niveau van beveiliging van persoonsgegevens dat in de Europese Economische Ruimte (ER) moet ‘meereizen’ met de data waar die ook naartoe gaat.

Opslag van persoonsgegevens in landen buiten de EER mag niet leiden tot een lager niveau van bescherming.2 Toegang door andere overheden kan aanzienlijke schade opleveren voor het imago van de gemeente als verwerkingsverantwoordelijke. Voor de handhavers en burgers die in de opnames te zien zijn is de schade in theorie aanzienlijk als de opnames worden misbruikt door een vreemde mogendheid. De waarschijnlijkheid van dit scenario is echter klein: het is vergezocht dat een vreemde mogendheid opnames van bodycams zou willen gebruiken om een handhaver of burger in Nederland schade te berokkenen.

2

Dit is in juli 2020 gebleken uit het arrest in de zaak C-311/18 van de Ierse Data Protection

Commissioner / Maximillian Schrems en Facebook Ireland.

20

5.

Maatregelen

5.1

Technische maatregelen Beveiliging bodycam De T2+ bodycams van Zepcam slaan de bodycamopnames versleuteld op conform de geavanceerde standaard AES-256 bit CBC. Bij verlies of diefstal van de bodycam kunnen de opnames dus niet door onbevoegden worden bekeken, dankzij deze encryptie. De opslag van de bodycam vindt plaats op een niet verwijderbare hardwarecomponent. Ongeautoriseerde toegang via USB is ook onmogelijk: elk apparaat is vergrendeld met een unieke PINcode op basis van een hashwaarde van het serienummer en mac-adres. Toegang tot de opnames is uitsluitend mogelijk als de bodycam in het dockingstation wordt geplaatst,zodat de opname geupload wordt naar de opslag (zie hieronder). Beveiliging dockingstation Het doel van het dockingstation is het opladen van de batterij van de bodycam en het veilig overbrengen van opnames naar de opslag. Bij elke installatie versleutelt het dockingstation zijn ingebouwde SSDopslag met behulp van een AES-CBC 256 bit met een unieke identificatie van 2048 bytes. De authenticatie is gebaseerd op netwerkprotocol 802.1x. Een SHA256-checksum wordt berekend over elk bestand dat van de bodycam naar de opslag van het dockingstation wordt overgebracht en naar de laptop wordt overgebracht. De interface van het dockingstation is beveiligd met eenwachtwoord. Beveiliging opslag De opnames worden goed beveiligd opgeslagen op een laptop.

Toegang tot die laptop is uitsluitend mogelijk voor de kleine groep geautoriseerde gebruikers. De laptop staat in een beperkt toegankelijke ruimte waar alleen geautoriseerde personen met een toegangspas toegang hebben: gebruik van die toegangspas wordt gelogd. Het zelf (door RU.Handhaving) opslaan van de gegevens betekent dat er geen verwerkers zijn behalve de gemeente Eindhoven zelf. Ook betekent het dat er geen risico is op opslag van de persoonsgegevens buiten de EER. Autorisaties en toegang tot en verstrekking van opnames Toegang tot de software waarmee de bodycam opnames worden beheerd – Zepcam manager – is beperkt tot geautoriseerde gebruikers. Autorisaties worden verleend en beheerd door de beheerder van de applicatie op basis van Microsoft Identity Manager. Dat betekent dat van personen die door Personeel & Organisatie uit dienst worden gemeld direct de autorisatie wordt geblokkeerd. De beheerder en de gebruikers loggen in met 2-factor authenticatie. De inlogprocedure voldoet aan de eisen die door de gemeente aan vergelijkbare systemen worden gesteld. Verstrekking van opnames aan de politie vindt uitsluitend plaats op een wijze

21 die voldoet aan de beveiliginseisen die binnen de gemeente gelden voor vergelijkbare verstrekkingen. De opnames wordt versleuteld op een beveiligde USB-stick geplaatst en fysiek door een medewerker van afdeling Handhaving naar het politiebureau gebracht waar de beelden met behulp van een PIN-code worden gekopieerd naar een systeem van de politie. Voor het verwerken van de opnames is uitsluitend de software van Zepcammanager nodig en geen andere software. Logbestanden Alle handelingen met opnames worden automatisch gelogd door het systeem dat de opnames beheert: door welke persoon en op welke datumen tijd is een opname bekeken, bewerkt, verstrekt of verwijderd? De logging met deze handelingen worden bewaard op het laptop waarop ook de beelden worden opgeslagen. Deze logging wordt niet verwijderd. Het feit dat alle handelingen met de opnames op deze manier wordt gelogd zal ook duidelijk gecommuniceerd worden richting handhavers en burgers. Tevens komt er een mechanisme van controles, toezicht en audits om te zorgen dat gemaakte afspraken worden nagekomen. Dit mechanisme van controles, toezicht en audits is op het moment van schrijven van dit DPIA rapport nog niet operationeel en zal worden meegenomen in de lijst van uit te voeren acties.

5.2

Organisatorische maatregelen Informatievoorziening richting burgers De bodycams worden te allen tijde zichtbaar gedragen door de boa’s. De boa geeft vooraf aan betrokkenen aan dat de bodycam als deze wordt ingeschakeld. Op de website van de gemeente staat ook informatie over de bodycams en er wordt via persberichten aandacht aan gegeven. De communicatie over de bodycams vergroot het preventieve effect, maar een minstens zo belangrijke reden om actief over de bodycams te communiceren richting bewoners en bezoekers is dat iedereen het recht heeft te weten welke spelregels er gelden voor de bodycams. Geen personeelsvolgsysteem Om te borgen dat de boa de bodycam zo optimaal mogelijk in kan zetten, mogen de beelden dan ook nooit door de gemeente worden gebruikt voor functioneringsgesprekken van de boa. De beelden mogen ook niet op een andere wijze door de gemeente tegen de boa zelf worden gebruikt. Om de privacy van de boa’s te waarborgen is er een werkinstructie met uitleesprotocol opgesteld en in werking. Rechten van betrokkenen De AVG regelt de rechten die mensen hebben om controle te houden over hun persoonsgegevens. Uitgebreide informatie hier over kunnen betrokkenen vinden op de gemeentelijke website. Betrokkenen kunnen een email naar privacy@eindhoven.nl sturen en hierbij vermelden van welk privacyrecht zij gebruik willen maken.

Van daaruit vindt centrale coördinatie door de Centrale Privacy Officer plaats om uitvoering te geven aan de procedure voor rechten van betrokken. Betrokkene moet voor het gebruik maken van een privacyrecht kunnen aantonen dat de gegevens daadwerkelijk van betrokkene zijn. Het is niet toegestaan om gegevens van andere personen in te zien.

22

•

Recht op inzage: Met dit recht kan betrokkene de persoonsgegevens die de gemeente van betrokkene verwerkt inzien. Als het inzageverzoek wordt ingediend binnen de bewaartermijn van de bodycamopnames en inzage wordt gegeven, worden alle andere personen die eventueel in beeld zijn onherkenbaar gemaakt: op het beeld, maar ook de audio. Dit geldt dus ook voor de boa’s die eventueel in de opname te zien of te horen zijn. Om de privacy van anderen maximaal te beschermen en het recht op inzage toch verlenen wordt in principe een screenshot van de opname verstrekt met een schriftelijke beschrijving van wat er verder te zien is op de opname. Mocht er intussen een kopie van de betreffende opname aan de politie zijn verstrekt, dan is daarop de Wet politiegegevens van toepassing met een eigen procedure voor inzageverzoeken. De politie is de verwerkingsverantwoordelijke en de politie is dus de instantie die een eventueel inzageverzoek moet behandelen voor zover het opnames betreft die aan de politie zijn verstrekt.

•

Recht op vergetelheid: Betrokkene kan vragen om persoonsgegevens te laten verwijderen. De gemeente verwijdert gegevens wanneer betrokkene terecht aan geeft dat de gegevens niet kloppen, niet volledig zijn, niet (meer) nodig zijn of in strijd met de wet worden gebruikt. Het recht op vergetelheid geldt niet als het gaat om gegevens in de verplichte registers (zoals basisregistratie personen). Ook worden gegevens niet verwijderd als de wet zegt dat we deze moeten bewaren.

•

Kennisgevingsplicht inzake rectificatie, wissing of verwerkingsbeperking: De gemeente stelt iedere ontvanger aan wie persoonsgegevens

doorgegeven zijn op de hoogte van rectificatie, wissing of verwerkingsbeperking van persoonsgegevens, tenzij dit (wettelijk) onmogelijk blijkt of te veel inspanning vraagt. Daarnaast is de gemeente verplicht een lijst van de betreffende ontvangers te verstrekken als de betrokkene daarom vraagt. •

Het recht op beperking van de verwerking: Betrokkene kan vragen om het gebruik van persoonsgegevens te beperken. Dit betekent dat we de gegevens wel bewaren, maar dat we ze niet verder gebruiken voor een specifiek doel. Dit kan alleen wanneer betrokkene vindt dat wij gegevens niet gebruiken zoals het in de wet staat, maar betrokkene niet wil dat de gegevens verwijderd worden. De persoonsgegevens blijven dan opgeslagen en voor betrokkene bereikbaar. Of wanneer de gemeente de gegevens niet meer nodig heeft, maar betrokkene wel voor een juridische procedure of eis.

•

Het recht om bezwaar te maken tegen de gegevensverwerking: De bodycams worden ingezet op grond van het gerechtvaardigd belang van de gemeente Eindhoven. Betrokkenen hebben het recht daar bezwaar tegen te maken. Als een betrokkene bezwaar maakt tegen het gebruik van de gegevens, dan maakt de gemeente een afweging tussen de belangen van de gemeente en de rechten en/of belangen van de betrokkene.

•

Het recht op duidelijke informatie wat de gemeente met de persoonsgegevens van betrokkene doet: personen wiens gegevens worden verwerkt, dienen voorafgaand aan de verwerking daarover

23 duidelijk geïnformeerd te worden. Bij de bodycams wordt daar op de volgende manieren voor gezorgd: • De bodycam wordt duidelijk zichtbaar gedragen; • De boa geeft een mondelinge waarschuwing voordat een opname wordt gemaakt; • Op de website van de gemeente staat algemene informatie over persoonsgegevens (https://www.eindhoven.nl/bestuur-enbeleid/privacy)met specifieke informatie over bodycams; • De gemeente publiceert een persbericht bij aanvang van de pilot.

De volgende rechten van betrokkenen zijn niet van toepassing op bodycamopnames: •

•

•

Recht op rectificatie en aanvulling: het recht om persoonsgegevens te rectificeren is niet van toepassing omdat bodycamopnames door de aard van de gegevensverwerking altijd ‘correct’ zijn en niet kunnen worden aangevuld met ontbrekende informatie. Recht op dataportabiliteit: het recht om persoonsgegevens over te dragen naar een andere organisatie geldt alleen voor gegevens waarvoor betrokkene toestemming heeft gegeven of omdat de gemeente een contract met betrokkene heeft afgesloten. Dat is niet van toepassing op de bodycams. Het recht met betrekking tot geautomatiseerde besluitvorming en profilering: Een geautomatiseerde beslissing is een beslissing die niet door een mens is gedaan. Oftewel: het recht op een menselijke blik bij besluiten. Er is geen sprake van geautomatiseerde besluitvorming of profilering bij de bodycams.

Voor vragen over de verwerking kunnen betrokkenen terecht bij de Privacy Officer van het ruimtelijk domein van de gemeente Eindhoven (privacy.rd@eindhoven.nl). Voor klachten over de wijze waarop de gemeente Eindhoven met persoonsgegevens om gaat kunnen betrokkenen terecht bij de functionaris gegevensbescherming via fg@eindhoven.nl. Training handhavers Elke handhaver die met een bodycam werkt, krijgt training en begeleiding om de bodycam op de juiste manier in te zetten. Deze training zal worden herhaald (en bijgesteld) als uit de controles, het toezicht en/of de audits blijkt dat dit nodig is. Die training gaat verder dan een ‘knoppencursus’: het bevat ook een uitleg van de werkafspraken, de juridische regels, de bewaartermijnen en de privacyrisico’s van de bodycams. De handhaver leert dat alleen een opname mag worden gemaakt als een burger agressief wordt en dat het de bedoeling is die opname te beperken tot de agressieve burger. Het is niet wenselijk en vaak ook niet nodig omstanders of voorbijgangers te filmen. Ook wordt uitgelegd dat de bodycam er niet toe moet leiden dat bepaalde (groepen) burgers geen contact meer willen hebben met de handhavers. De opname wordt qua lengte ook beperkt tot het incident zelf: de bodycam blijft niet langer dan noodzakelijk opnemen. Dat beperkt de inbreuk op de privacy van betrokkenen.