Agendapunt 23. DPIA Camerabeelden gemeenteraad Goes - versie 25-4-2023

DPIA CAMERABEELDEN GEMEENTERAAD IN HET STADSKANTOOR GOES DPIA Camerabeelden met geluid van openbare raadsvergaderingen in de raadzaal van het Stadskantoor van de gemeente Goes.

Datum 25 april 2023

Organisatie Gemeente Goes

Verwerkingsverantwoordelijke Gemeenteraad

Privacy Officer [Naam PO]

Functionaris Gegevensbescherming (FG) [Naam FG]

Conclusie FG De gemeenteraad is op grond van de Gemeentewet en de Archiefwet gehouden om de beeldinformatie van de openbare raadsvergaderingen te archiveren. De beeldinformatie bevat ook persoonsgegevens als bedoeld in de Algemene Verordening Gegevensbescherming. De verwerking van deze persoonsgegevens is proportioneel voor genoemde verwerkingsdoeleinden. De privacy risico’s zijn beperkt en voldoende in kaart gebracht. De conclusie is dat dit op deze manier is toegestaan. Wel is er een aantal aanbevelingen.

Aanbevelingen FG • • • •

Zorg voor een duidelijk werkproces ten aanzien van de archivering van beeldinformatie. Zorg dat de cameraopnames van de gemeenteraad op termijn worden gearchiveerd in een e-depot. Wacht hiermee niet tot dit wettelijk verplicht is (1 januari 2028). Laat een reglement voor de cameraopnames vaststellen door de gemeenteraad. Bespreek het reglement vooraf met de OR en het Management Overleg vanwege de aanwezigheid en actieve deelname van medewerkers in de beeldvormende en oordeelsvormende gemeenteraadsvergaderingen.

Context Overzicht Welke gegevensverwerking vindt plaats? De uitzending en de opslag van camerabeelden met geluid van de openbare raadsvergaderingen van de gemeente Goes. Dit uitsluitend in de raadzaal op de 1e verdieping van het Stadskantoor van de gemeente Goes, M.A. de Ruijterlaan 2 in Goes.

Wat zijn de doeleinden van de gegevensverwerkingen? 1. 2. 3. 4.

Het op afstand live mee kunnen kijken van openbare raadsvergaderingen. Het on demand terug kunnen kijken van openbare raadsvergaderingen. Verslaglegging van wat besproken is tijdens openbare raadsvergaderingen Bijdrage leveren aan een toegankelijke, laagdrempelige en transparante politiek.

Hoe vindt de gegevensverwerking plaats? Er zijn vier camera’s in de raadzaal opgehangen op een vaste plaats. Er wordt gebruik gemaakt van een cameravolgsysteem. Ambtsdragers en de griffier hebben een eigen pasje en steken deze in de microfoon. Insprekers en medewerkers krijgen een anoniem pasje. De camera volgt de actieve microfoon en brengt de spreker(s) in beeld. Als er geen actieve sprekers zijn kan een overzicht van de raadzaal worden getoond. Er wordt niet ingezoomd. De beelden met geluid worden uitgezonden en kunnen on demand worden teruggekeken en geluisterd via de website van de gemeenteraad. Dit via het softwaresysteem van Notubiz. De apparatuur en de verbinding met Notubiz worden ’s middags getest door de afdeling Facilitaire Zaken. De bediening van de uitzending ligt in handen van de raadsgriffier, dit door middel van een bedieningspaneel op de tafel bij haar plaats naast de voorzitter van de gemeenteraad. Een paar minuten voordat de vergadering begint, wordt de opname gestart. Vanaf het bedieningspaneel kan de raadsgriffier de uitzending pauzeren (voor een schorsing of een besloten vergadering). Bij een besloten vergadering worden geen opnames gemaakt. Scherm delen tijdens een uitzending, bijvoorbeeld als iemand een presentatie geeft, kan ook. Dan hoor je de betreffende spreker, maar je ziet wat er op het scherm staat.

Welke verantwoordelijkheden zijn verbonden aan de gegevensverwerking? De politiek verantwoordelijke voor deze gegevensverwerking is de gemeenteraad van de gemeente Goes. De ambtelijke verantwoordelijke van de gegevensverwerking is de raadsgriffier van de gemeente Goes. Deze moet zorgdragen voor de naleving van de AVG, de UAVG en het “Reglement camerabeelden gemeenteraad Goes”.

Welke wet- en regelgevingen hebben betrekking op de gegevensverwerkingen? De Gemeentewet, de Archiefwet, de Algemene Verordening Gegevensbescherming en de Uitvoeringswet AVG.

Zijn er normen van toepassing op de gegevensverwerking? Nee. Het advies is wel om voor dit gebruik een reglement camerabeelden door de gemeenteraad te laten vaststellen.

Gegevens, processen en de levenscyclus ondersteunende systemen Welke persoonsgegevens worden verwerkt? Camerabeelden van individuele personen, namelijk alle raadsleden, steunfractieleden, wethouders, medewerkers, insprekers en bezoekers die in de raadzaal aanwezig zijn en binnen het camerabereik vallen.

Welke bijzondere persoonsgegevens worden verwerkt? Op grond van de camerabeelden met geluid kunnen individuele personen herkend worden, evenals hun politieke voorkeur, etnische afkomst of eventuele medische gesteldheid. Dit zijn bijzondere persoonsgegevens.

Hoe werkt de levenscyclus van persoonsgegevens en processen? Camera's leggen tijdens de raadsvergadering continu beelden vast met geluid, welke live kunnen worden bekeken. Deze kunnen ook on demand teruggekeken worden via de webpagina van de gemeenteraad van Goes. Audiovisuele verslagen van raadsvergaderingen – ook wel audio- of videotulen genoemd – moeten worden bewaard. In de selectielijst archiefbescheiden gemeenten en intergemeentelijke organen 2020, welke momenteel van kracht is, zijn onder categorie 19.1.6 agenda, verslag, opnames en besluitenlijst van bestuurlijke besluitvorming aangemerkt als te bewaren informatie. Het toepassen van deze lijst is verplicht. Deze formele archivering vindt vanaf 1 januari 2023 plaats via een archiveringsmodule van Notubiz.

Systemen, technieken en methoden voor gegevensverwerking Wat zijn de persoonsgegevens ondersteunende systemen? 1. 2. 3. 4. 5.

Vier camera's in de raadzaal Speakersysteem voor geluid Een cameravolgsysteem Een bedieningspaneel Het softwareprogramma van Notubiz

Fundamentele principes Evenredigheid en noodzaak Zijn de verwerkingsdoeleinden gespecificeerd, expliciet en legitiem? Alleen openbare raadsvergaderingen worden live uitzonden en opgenomen. Het is algemeen bekend dat raadsvergaderingen openbaar zijn. Dat er beelden worden uitzonden en teruggekeken kunnen worden, is duidelijk aangegeven naast de ingang van de raadzaal. Het is legitiem omdat artikel 23 van de Gemeentewet bepaalt dat raadsvergaderingen openbaar zijn.

Wat is de wettelijke basis om de gegevensverwerking rechtmatig te maken? De AVG-grondslag uit artikel 6 onder c. De verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting.

Zijn de persoonsgegevens adequaat, relevant en beperkt tot wat nodig is voor de doeleinden waarvoor ze worden verwerkt (gegevensminimalisatie)? Ja.

Zijn de persoonsgegevens juist en worden ze up-to-date gehouden? Ja.

Wat is de bewaartermijn van de persoonsgegevens? Zie opmerkingen hiervoor over de levenscyclus van persoonsgegevens- en processen.

Hoe kunnen betrokkenen hun persoonlijke rechten uitoefenen? Hoe worden de betrokkenen geïnformeerd over de gegevensverwerking? Alle bezoekers/medewerkers van het Stadskantoor worden voor het betreden van de raadzaal expliciet gewaarschuwd voor de camera opnames door een duidelijk zichtbaar plakkaat naast de ingang van de raadzaal.

Hoe wordt de toestemming van betrokkenen verkregen? Niet van toepassing. De verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag.

Kunnen betrokkenen hun recht op toegang en overdraagbaarheid van persoonsgegevens uitoefenen? Niet van toepassing.

Hoe kunnen betrokkenen hun recht op rectificatie/verwijdering uitoefenen? Niet van toepassing.

Kunnen betrokkenen hun recht op beperking uitoefenen en bezwaar maken? Voor politici en medewerkers met een openbare functie behoort optreden in de openbaarheid bij de uitoefening van hun functie. Medewerkers die geen openbare functie hebben, en hiervoor gegronde redenen hebben, moeten dit vooraf kenbaar kunnen maken aan hun leidinggevende.

Zijn de verplichtingen van de verwerkers duidelijk geïdentificeerd en geregeld in een (verwerkers)overeenkomst? Niet van toepassing.

Zijn de persoonsgegevens in het geval van gegevensoverdracht buiten de Europese Unie voldoende beschermd? Niet van toepassing. Persoonsgegevens blijven in Nederland.

Risico's Geplande of bestaande maatregelen Beveiligde toegang Niet van toepassing. De beelden zijn openbaar.

Opslag beelden De beelden worden door middel van een archiveringmodule van Notubiz gearchiveerd.

Bescherming media bij fysiek overdragen Niet van toepassing. De beelden zijn openbaar.

Procedures voor verwijderen van media Niet van toepassing. De beelden zijn openbaar.

Screening personeel Niet van toepassing. De beelden zijn openbaar.

Onrechtmatige toegang tot persoonsgegevens Wat kunnen de belangrijkste gevolgen voor de betrokkenen zijn als het risico zou optreden? Niet van toepassing. De beelden zijn openbaar.

Wat zijn de belangrijkste dreigingen die tot het risico kunnen leiden? Niet van toepassing. De beelden zijn openbaar.

Wat zijn de risicobronnen? Niet van toepassing. De beelden zijn openbaar.

Welke van de geïdentificeerde maatregelen dragen bij aan het mitigeren van het risico? Niet van toepassing. De beelden zijn openbaar.

Hoe schat u de ernst van het risico in? Niet van toepassing. De beelden zijn openbaar.

Hoe schat u de waarschijnlijkheid van het risico in? Niet van toepassing. De beelden zijn openbaar.

Ongewenste wijziging van persoonsgegevens Wat kunnen gevolgen voor betrokkenen zijn als het risico zou optreden? Dit is slechts theoretisch mogelijk door het hacken van de bestanden.

Wat zijn de belangrijkste dreigingen die tot het risico kunnen leiden? • •

Hack Systeemfout

Wat zijn de risicobronnen? • •

Hacker Systeem

Welke van de geïdentificeerde maatregelen dragen bij aan het mitigeren van het risico? •

Beveiligde opslag beelden

Hoe schat u de ernst van het risico, met name op basis van de potentiële effecten en geplande maatregelen? Zeer gering.

Hoe schat u de waarschijnlijkheid van het risico, vooral met betrekking tot dreigingen, risicobronnen en geplande maatregelen? Zeer gering.

Verdwijnen van persoonsgegevens Wat kunnen de belangrijkste gevolgen voor de betrokkenen zijn als het risico zou optreden? Niet voor betrokkene zozeer, maar wel vanuit rechtstatelijk en geschiedkundig oogpunt.

Wat zijn de belangrijkste dreigingen die tot het risico kunnen leiden? • • •

Hack Systeemfout Menselijke fout bij opslag

Wat zijn de risicobronnen? • • •

Hacker Medewerker met toegang Systeem

Welke van de geïdentificeerde maatregelen dragen bij aan het mitigeren van het risico? •

Zie aanbevelingen

Hoe schat u de ernst van het risico, met name op basis van de potentiële effecten en geplande maatregelen? Gering.

Hoe schat u de waarschijnlijkheid van het risico, vooral met betrekking tot dreigingen, risicobronnen en geplande maatregelen? Gering.