Advies ICT recht DPIA ondermijning gemeente Leeuwarden 02062022 (002).pdf

ICTRecht Noord-Nederland B.V. Leonard Springerlaan 35 9727 KB Groningen

2 juni 2022

Advies DPIA ‘Ondermijning’ gemeente Leeuwarden

TELEFOON 050 209 3499 E-MAIL info@ictrecht.nl INTERNET ictrecht.nl

KVK 68038712 BTW NL857275835B01 IBAN NL81 RABO 0316 8380 39

LOCATIES NEDERLAND

Amsterdam Groningen BELGIË

Brussel

Organisatie: Contactpersoon: Opgesteld door: Contactgegevens:

Gemeente Leeuwarden Michel Boot Iris de Groot en Sanne Haumersen Juridisch adviseurs ICTRecht Noord Nederland B.V. i.degroot@ictrecht.nl en s.haumersen@ictrecht.nl

Pagina 1 van 8

Geachte heer Boot, Beste Michel, Bijgaand treft u ons advies ten aanzien van de door de gemeente Leeuwarden uitgevoerde data protection impact assessment (‘DPIA’) ‘Ondermijning’ met bijbehorend addendum aan. In dit advies kunt u onze beoordeling van het gebruik van de applicatie Meld een Vermoeden (‘MEV app’) lezen. Kort samengevat komt het erop neer dat het gebruik van de MEV app overwegend in overeenstemming is met de geldende privacy wet- en regelgeving, waarbij we voornamelijk hebben gekeken naar regels uit de Algemene verordening gegevensbescherming (‘AVG’). Waar er nog stappen gezet dienen te worden, hebben we aangegeven wat de gemeente Leeuwarden kan doen om ervoor te zorgen dat de MEV app volledig compliant is aan de geldende wet- en regelgeving. Met vriendelijke groet, ICTRecht Noord-Nederland B.V. Iris de Groot Juridisch adviseur en directeur

Sanne Haumersen Juridisch adviseur

Pagina 2 van 8

Inhoudsopgave 1.

Antwoord in het kort: de compliancy van de MEV app

4

2.

Onderscheid MEV app en het melden via de e-mail of telefoon

4

3.

Resultaten uit de DPIA: aandachtspunten voor de MEV app

5

3.1.

Concretiseren van de wettelijke grondslag

Fout! Bladwijzer niet gedefinieerd.

3.2.

Inhoud van het signaal

5

3.3.

Dubbele check door de privacy officer

6

3.4.

Opstellen van het plan van aanpak

6

3.5.

Awareness gemeenteambtenaren met ‘ondermijnende criminaliteit’

7

3.6.

Bewaartermijnen

7

3.7.

Beveiligingsregels

7

Pagina 3 van 8

heeft verwijderd: 5

1. Antwoord in het kort: de compliancy van de MEV app De MEV app van de gemeente Leeuwarden maakt het mogelijk om naast de reguliere wijze (telefonisch of via de e-mail) via een mobiele app een vermoeden van ondermijnende criminaliteit (‘een signaal’) te melden. Op deze nieuwe functionaliteit is in 2019 een DPIA uitgevoerd. De resultaten uit de DPIA en ons onderzoek naar de werking van de MEV app, leiden tot ons advies dat de MEV app overwegend voldoet aan de eisen van de privacywetgeving. We adviseren de gemeente Leeuwarden om nog naar een aantal punten te kijken: • • •

Zorg ervoor dat bij het open veld om het signaal te beschrijven, de waarschuwing wordt gegeven om geen persoonsgegevens van de betrokkene op te nemen. We adviseren om in het proces de stap toe te voegen dat het raadplegen van (gemeentelijke) bronnen wordt gecontroleerd en wordt goedgekeurd door de privacy officer. We adviseren om het beveiligingsbeleid van de gemeente Leeuwarden te controleren op de meest voorkomende onderdelen, zoals een datalekkenprotocol, richtlijnen voor het verwerkingsregister, het gebruik van back-ups, waarborgen voor de juistheid van de gegevens en de wijze waarop de gemeente Leeuwarden voldoet aan de informatieplicht.

2. Onderscheid MEV app en het melden via de e-mail of telefoon Behalve het melden via de MEV app, is het ook mogelijk om via de e-mail of via de telefoon een melding te doen van een vermoeden van ondermijnende criminaliteit. Bij het signaal dat via de telefoon of de e-mail wordt gemeld, worden de volgende gegevens gevraagd: - De gegevens van de betrokken natuurlijke persoon (over wie de melding wordt gemaakt), namelijk de naam, voornaam, geboortedatum, geboorteplaats, BSN en adres. Dezelfde gegevens moeten voor de betrokken rechtspersoon en eventueel de locaties worden doorgegeven (indien mogelijk). - Daarnaast moet een omschrijving van het signaal worden opgenomen, de aanleiding van het signaal, welke acties al zijn ondernomen door de inbrengende melder en wat dat opgeleverd heeft, welke relevante informatie verder beschikbaar is, wanneer de indiener tevreden is, waarom het signaal integraal opgepakt moet worden en eventueel overige opmerkingen. Bij het signaal dat via de MEV app wordt gemeld, worden de volgende gegevens gevraagd: - Het signaaltype (waarbij maximaal 1 signaaltype aangegeven kan worden), zoals bijvoorbeeld drugshandel, hennepteelt & drugslaboratoria, witwassen/vreemd vermogen, illegale prostitutie en mensenhandel. Het is ook mogelijk om voor signaaltype ‘overige signalen’ te kiezen.

Daarnaast moet de melder aangeven hoe zeker hij is over de melding, het adres van constatering, het tijdstip van constatering en een omschrijving van de melding. Dit is een open veld, waarbij wordt aangegeven dat een omschrijving zo concreet en gedetailleerd mogelijk moet zijn. Er wordt wel Pagina 4 van 8

-

gewaarschuwd dat namen, contactgegevens en andere persoonsgegevens privacygevoelig zijn en dat de melder daar dus zorgvuldig mee moet omgaan. Het is hierbij relevant om op te merken dat in het privacy protocol gesproken wordt over de mogelijkheid dat burgers ook een signaal kunnen melden. Wij adviseren om dit te verwijderen uit de tekst, omdat alleen gemeenteambtenaren een melding kunnen maken.

Het belangrijkste verschil tussen het melden via de MEV app en de telefoon is dat bij de MEV app niet wordt gevraagd naar de persoonsgegevens van de betrokkene maar alleen een open veld wordt geboden om de melding te omschrijven, waarbij juist gewaarschuwd wordt voor het zorgvuldig omgaan met persoonsgegevens. Deze applicatie wordt geleverd door ICT-leverancier Anti Fraud Company. Deze ICTleverancier is daarom verwerker voor de gemeente Leeuwarden. Met Anti Fraud Company is een verwerkersovereenkomst gesloten naar het VNG-model voor gemeenten. De verwerkersovereenkomst voldoet naar onze mening daarom aan de eisen die AVG stelt.

3. Resultaten uit de DPIA: aandachtspunten voor de MEV app Uit de DPIA en het addendum dat geschreven is voor het gebruik van de applicatie zijn er nog een aantal punten die de risico voor de gegevensverwerking verhogen. We adviseren om een aantal actiepunten te ondernemen om deze (privacy)risico’s te mitigeren, zodat het gebruik van de MEV app volledig in overeenstemming met de geldende privacywetgeving is. In dit hoofdstuk bespreken we de geconstateerde risico’s. De risico’s die we hebben gesignaleerd zien op de inhoud van het signaal, dus de wijze waarop de melding kan worden gedaan, de beleidsregels op basis waarvan naar aanleiding van het signaal een plan van aanpak wordt opgesteld, het ontbreken van de check door de privacy officer op het raadplegen van (gemeentelijke) bronnen naar aanleiding van het signaal, de awareness van de gemeenteambtenaren die werken met de signalen, de bewaartermijn die worden gehanteerd bij het verzamelen van de signalen en de bijbehorende gegevens en tenslotte de inhoud van het (algemene) beveiligingsbeleid van de gemeente Leeuwarden.

3.1. Inhoud van het signaal

Uit de door de Functionaris Gegevensbescherming van de gemeente Leeuwarden (‘FG’) aangeleverde documentatie blijkt hoe de melding via de MEV app er uit ziet. Eén van de mogelijkheden is om ‘overige signalen’ aan te klikken. Wij adviseren om deze optie te vervangen indien bij hier een open veld ingevuld moet worden om het type signaal te beschrijven. Op dit moment wordt al een omvangrijk aantal signaaltypen beschreven waar de melder uit kan kiezen. Indien de melder niet het gewenste signaaltype kan vinden, kan hij altijd een ander type kiezen dat erop lijkt en in de omschrijving zijn melding uitleggen. Dit voorkomt dat te veel bijzondere en/of strafrechtelijke gegevens worden genoemd in het signaaltype. Daarnaast wordt in de melding via de MEV app de mogelijkheid geboden om in een open veld de melding te omschrijven. Hierbij wordt wel opgemerkt dat de melders voorzichtig moeten zijn met het noemen van persoonsgegevens. Wij adviseren bij dit onderdeel echter om in dit open veld juist de waarschuwing op te nemen dat er

Pagina 5 van 8

door de melder geen persoonsgegevens van de betrokkene worden genoemd. Op deze wijze blijft het signaal beperkt en bevat het geen grote inbreuk op de persoonlijke levenssfeer van degene over wie een melding wordt gemaakt. Enkel het melden van de locatie van constatering is voldoende voor de gemeenteambtenaren en/of de politie om langs te gaan bij de locatie van constatering. Het is daarbij niet nodig om de persoonsgegevens van een betrokkene op te nemen, aangezien dit een grote impact kan hebben op de betrokkene, terwijl nog niet eens zeker is dat sprake is van ondermijnende criminaliteit.

3.1. Opstellen van het plan van aanpak

Aan de hand van het binnengekomen signaal wordt een plan van aanpak vastgesteld waarin wordt bepaald hoe het vermoeden van ondermijnende criminaliteit wordt aangepakt. De gemeente Leeuwarden maakt een plan van aanpak met een kleine groep gemeenteambtenaren. De gemeente heeft de richtlijn om zo min mogelijk mensen aanwezig te laten zijn bij het opstellen van het plan van aanpak. Door te beperken wie inzicht heeft in het signaal en de bijbehorende gegevens, wordt bijgedragen aan het beveiligen van de persoonsgegevens. Dit zorgt ervoor dat de kans op datalekken zo klein mogelijk blijft, aangezien de gegevens niet op allerlei plekken terechtkomen. We willen hierbij wel adviseren om beleidsregels op te stellen waarin wordt bepaald op welk moment iemand met een bepaalde functie dient deel te nemen aan het opstellen van het plan van aanpak. Zo blijft inzage in het signaal en eventueel de daarin genoemde persoonsgegevens aantoonbaar beperkt tot een kleine groep mensen. Het vaststellen van dergelijke beleidsregels kan aan de hand van een autorisatiematrix.

3.2. Dubbele check door de privacy officer De gemeente Leeuwarden heeft haar proces gebaseerd op het Rijksmodel voor het melden van ondermijnende criminaliteit. In dit model wordt voorgeschreven dat een privacy officer een check moet doen zodat kan worden beoordeeld welke (gemeentelijke) bronnen geraadpleegd mogen worden en welke persoonsgegevens van betrokkenen mogen worden verwerkt alvorens over te gaan tot het aanpakken van het vermoeden van ondermijning. Op dit moment ontbreekt deze check in het proces van de gemeente. We adviseren om deze check nog wel toe te voegen aan het proces. Door middel van de check door de privacy officer kan de gemeente Leeuwarden aantonen dat het zorgvuldige keuzes maakt op het gebied van privacy in het aanpakken van ondermijnende criminaliteit. Door de (schriftelijke) checks van de privacy officer kan de gemeente immers aantonen dat ze voldoen aan het beginsel van noodzakelijkheid, aangezien deze checks ertoe leiden dat niet onnodig veel (gemeentelijke) bronnen worden geraadpleegd. Bij voorkeur vindt deze check plaats op basis van (controleerbare) werkinstructies, waarin staat in welke gevallen de gemeenteambtenaren bepaalde bronnen mogen raadplegen. De privacy officer kan dan controleren of de gemeenteambtenaren zich aan deze werkinstructies houden.

Pagina 6 van 8

3.3. Awareness gemeenteambtenaren met ‘ondermijnende criminaliteit’

Gemeenteambtenaren die betrokken zijn bij de aanpak van ondermijnende criminaliteit, werken vaak met strafrechtelijke en/of bijzondere persoonsgegevens. Dit betekent dat zij goed geïnstrueerd moeten worden hoe ze dienen om te gaan met deze gevoelige persoonsgegevens. Bij de implementatie van de MEV app is door de gemeente Leeuwarden een awareness-sessie gehouden over het gebruik van de MEV app, maar daarnaast worden ook algemene bewustwordingssessies gehouden over ondermijning. De gemeente heeft de resultaten uit deze sessies samengevat in een factsheet, waaruit blijkt dat ruim 90% van de ondervraagden weet wat ondermijning is. Van de ondervraagden is bovendien een zeer groot gedeelte enthousiast over de MEV app, waarbij extra bijzonder is dat 88% van de ondervraagden vindt dat de privacy in de MEV app goed gewaarborgd is. Uit deze resultaten blijkt dus dat de awareness-sessies hebben bijgedragen aan het bewustzijn van de gemeentemedewerkers ten aanzien van het begrip van ondermijning en het belang van privacy bij het melden van signalen. Dit draagt bij aan de conclusie dat het gebruik van de MEV app overwegend in overeenstemming is met de privacywetgeving. De gemeenteambtenaren kennen immers de risico’s van de verwerking van persoonsgegevens van betrokkenen en zijn getraind om hier zorgvuldig mee om te gaan.

We willen daarom benadrukken dat de gemeente Leeuwarden dergelijke awareness sessies moet blijven organiseren.

3.4. Bewaartermijnen Gemeenteambtenaren die de applicatie gebruiken, zien de gegevens die in de applicatie staan genoteerd. Deze gegevens worden door de applicatie zelf vernietigd, aangezien de gegevens op de server worden geplaatst en dan volgens de Archiefwet worden bewaard of verwijderd. Wat er bij de gemeente Leeuwarden echter nog ontbreekt, is dat er niemand is aangewezen die verantwoordelijk is voor het handhaven van de afgesproken bewaartermijnen. Daarom dient er nog iemand aangewezen te worden die de handhaving van de bewaartermijnen op zich neemt.

3.5. Beveiligingsregels De gemeente Leeuwarden heeft een beveiligingsbeleid waarin staat op welke wijze zij ervoor zorgen dat de persoonsgegevens die tijdens het proces van het gebruik van de MEV app worden gebruikt, veilig zijn. Het is niet mogelijk om de inhoud van dit beleid te toetsen, maar er dient onder meer het volgende in te worden opgenomen: - Een datalekkenprotocol: hoe gaat de gemeente Leeuwarden om met het ontdekken, registreren en melden van datalekken en beveiligingsincidenten? - Het verwerkingsregister: is het voor de gemeente Leeuwarden inzichtelijk hoe de verwerking van (in het bijzonder) het melden van een signaal in het kader van de aanpak van ondermijning eruitziet? Alle gegevens en informatie die relevant zijn voor deze verwerking dienen te worden opgenomen in het verwerkingsregister. - Back-ups: hoe zorgt de gemeente Leeuwarden ervoor dat persoonsgegevens die in de MEV app worden ingevoerd, niet verloren gaan voordat de gemeente hier een plan van aanpak op heeft kunnen maken? En hoe zorgt de gemeente ervoor dat ook de persoonsgegevens uit de backups verwijderd worden, zodra de bewaartermijn bereikt is?

Pagina 7 van 8

-

Juistheid: op welke wijze controleert de gemeente Leeuwarden of de gegevens die in de MEV app worden opgenomen, juist zijn? Informatieplicht: wordt de betrokkene op een juiste manier geïnformeerd over het feit dat er gegevens van hem worden verwerkt? Dit kan bijvoorbeeld in de privacyverklaring.

Pagina 8 van 8