DPIA Ingebruikname iRC applicatie

DPIA Ingebruikname iRC applicatie voor gericht internetonderzoek bij toezicht in de gemeente Nissewaard

Wijzigingshistorie Versie 0.1 0.2 0.3 0.4 0.5 0.6 0.7 0.8 0.9 1.0

Datum 23-12-2020 06-01-2021 10-02-2021 09-03-2021 11-03-2021 29-03-2021 06-04-2021 29-04-2021 30-06-2021 18-08-2021

1.1 1.11

20-10-2021 24-11-2021

Auteur Frank Conjaerts Frank Conjaerts Klaasjan Schroten Klaasjan Schroten Klaasjan Schroten Klaasjan Schroten Klaasjan Schroten Klaasjan Schroten Klaasjan Schroten Klaasjan Schroten, Jan Anton Buis Jan Anton Buis Jan Anton Buis

Wijziging/ Actie Opzet Commentaar verwerkt Herziene versie o.b.v. procesbeschrijving en demo iRC applicatie Uitwerking risico’s, knelpunten i.v.m. 10/2020 Opmerkingen JAB, uitwerking bruto risico’s Opmerkingen JAB, uitwerking rest risico’s Opmerkingen JAB, uitwerking scope Onderscheid gebruik/inzet iRC applicatie Aanpassingen n.a.v. feedback Afronding H9 Conclusie en aanbevelingen en managementsamenvatting Opmerkingen FG verwerkt Laatste correcties i.s.m. FG; FG adviezen toegevoegd in de tekst

Inhoudsopgave Inhoudsopgave .................................................................................................................................................... 2 1.

Begrippenlijst ............................................................................................................................................... 3

2.

Managementsamenvatting ......................................................................................................................... 5

3.

Inleiding ....................................................................................................................................................... 6

4.

Functionele scope........................................................................................................................................ 9

5.

Systematische procesbeschrijving ............................................................................................................. 14

6.

Noodzaak en evenredigheid ...................................................................................................................... 16

7.

Risicoanalyse ............................................................................................................................................. 21

8.

Conclusie en aanbevelingen ...................................................................................................................... 31

9.

Ontvangen FG-adviezen en de verwerking ervan ..................................................................................... 35

Bijlage I: iRC applicatie functionaliteit geïllustreerd met schermafbeeldingen ................................................. 37

2

1. Begrippenlijst Betrokkene: Een geïdentificeerde of identificeerbare natuurlijke persoon over wie persoonsgegevens worden verwerkt. Ook bedrijven zonder rechtspersoonlijkheid kunnen, afhankelijk van de structuur, als ‘betrokkene’ worden aangemerkt, zoals een ZZP’er of aan een maatschap waarbij de maten natuurlijke personen zijn (en niet bv’s). Bijzondere persoonsgegevens: Persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond direct of indirect zijn af te leiden, genetische gegevens, gezondheidsgegevens of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid. Bruto risico: De risico’s die een verwerking met zich kan meebrengen voor de rechten en vrijheden van natuurlijke personen, als er geen passende technische en organisatorische maatregelen zouden zijn getroffen om te waarborgen dat de verwerking wordt uitgevoerd in overeenstemming met de AVG. Discriminatie: Het maken van onterecht onderscheid op basis van persoonlijke kenmerken of op welke andere grond dan ook. Formele bronnen: Interne of externe bronnen met een expliciete wettelijke basis voor gebruik bij handhavingsonderzoek, zoals SUWI-net, het Inlichtingenbureau, BRP maar ook het KVK, Kadaster, wooncorporaties en energiebedrijven1.

Functionaris voor Gegevensbescherming (FG): Een door een organisatie aangestelde toezichthouder privacy. Diens positie, kwalificaties en taken zijn bij wet geregeld. De belangrijkste taken zijn: 1. Toezien op naleving van de privacywetgeving en intern privacybeleid; 2. Informeren en adviseren van directie en medewerkers over naleving van privacywetgeving; 3. Onderhouden van de contacten met de Autoriteit Persoonsgegevens. Gevoelige persoonsgegevens: Gegevens die naar hun aard gevoelig zijn en daarom extra bescherming behoeven. Voorbeelden zijn o.a. inloggegevens, financiële gegevens, gegevens waarmee identiteitsfraude gepleegd kan worden of gegevens die onder een wettelijke geheimhoudingsplicht vallen. Handhaving: Elke (re)actie die erop gericht is de naleving van het bij of krachtens wet- en regelgeving geldende recht te bevorderen en te bewerkstelligen, zo nodig door het opleggen van sancties2. De VNG maakt onderscheid tussen toezicht (handhaving i.h.k.v. het bestuursrecht) en opsporing (handhaving i.h.k.v. het strafrecht). In deze DPIA wordt met de term handhaving alleen toezicht bedoeld, tenzij expliciet aangegeven. Handhavingsonderzoek: Onderzoek i.h.k.v. de naleving van wet- en regelgeving. In deze DPIA wordt daarbij in principe alleen gekeken naar het sociale domein.

Heimelijk onderzoek: (Grootschalige) verwerkingen van persoonsgegevens en-of stelselmatige monitoring waarbij informatie wordt verzameld door middel van onderzoek zonder de betrokkene daarvan vooraf op de hoogte te stellen (bijvoorbeeld: heimelijk onderzoek door particuliere recherchebureaus, onderzoek in het kader van fraudebestrijding en onderzoek op internet in het kader van bijvoorbeeld online handhaving van auteursrechten)3. Internetonderzoek: Het zoeken van informatie over personen via het publiekelijk toegankelijke net om bewijs te verzamelen teneinde misbruik en oneigenlijk gebruik van sociale voorzieningen aan het licht te brengen4. Breder geformuleerd: misbruik of oneigenlijk gebruik van overheidsmiddelen.

1

In het Protocol internetonderzoek door gemeenten, RCF kenniscentrum handhaving november 2014 wordt de term wettelijke bronnen gebruikt. 2 Zie Handhaving door en voor gemeenten, p.11 3 Staatscourant, nr. 64418 4 Zie Protocol internetonderzoek door gemeenten, RCF kenniscentrum handhaving november 2014

3

Netto risico: Het resterende risico voor de rechten en vrijheden van natuurlijke personen, nadat passende technische en organisatorische maatregelen zijn genomen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met de AVG wordt uitgevoerd. Open bron: Rechtstreeks toegankelijke openbare bron, die niet is afgeschermd. Persoonsgegeven: Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Indirecte identificatie valt hier ook onder; niet alleen een naam is herleiden naar een persoon. De vorm van de informatie maakt ook niet uit; schriftelijke informatie of een foto-, film- of geluidsopname. Voorbeelden van persoonsgegevens: NAWTE, rekeningnummer, identificatienummer, locatiegegevens of elementen die kenmerkend zijn voor de lichamelijke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van een persoon. Stelselmatig monitoren: Verwerking van persoonsgegevens als structureel onderdeel van een procedure of van het beleid van de organisatie, moet worden beschouwd als een systematische of stelselmatige verwerking. Gegevensverwerkingen die ad hoc of incidenteel plaatsvinden, worden niet beschouwd als systematische of stelselmatige verwerkingen5.

Stelselmatigheid: Er is sprake van stelselmatigheid bij de uitoefening van een bevoegdheid als daarbij op voorhand redelijkerwijs voorzienbaar een min of meer volledig beeld van bepaalde aspecten van iemands privéleven kan ontstaan6. Er is sprake van ingrijpende stelselmatigheid wanneer op voorhand redelijkerwijs voorzienbaar een ingrijpend beeld van iemands privéleven kan ontstaan, d.w.z. een min of meer volledig beeld ontstaat van een wezenlijk deel van iemands privéleven, dan wel van een aanzienlijk deel van iemands privéleven7. Dit begrip is geïntroduceerd als algemeen normeringscriterium bij strafrechtelijk onderzoek in een digitale omgeving om onderscheid te maken tussen geringe, meer dan geringe en zeer ingrijpende inbreuken op de privacy8. Verwerker: Een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt Verwerking: Alle denkbare handelingen die een organisatie kan uitvoeren met persoonsgegevens; verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, doorzenden, verspreiden, beschikbaar stellen, samenbrengen, met elkaar in verband brengen, afschermen, uitwissen en vernietigen van gegevens.

Verwerkingsverantwoordelijke: Een natuurlijke persoon of rechtspersoon, een dienst of een ander orgaan die, alleen of samen met anderen, doel van en middelen voor de verwerking van persoonsgegevens bepaalt.

5

Zie onderwerp Data Protection Impact Assessment (DPIA), website AP Zie Commissie modernisering opsporingsonderzoek in het digitale tijdperk, Regulering van opsporingsbevoegdheden in een digitale omgeving, s.l. 2018, p. 38 7 Zie Commissie modernisering opsporingsonderzoek in het digitale tijdperk, Regulering van opsporingsbevoegdheden in een digitale omgeving, s.l. 2018, p. 39 8 Zie Commissie modernisering opsporingsonderzoek in het digitale tijdperk, Regulering van opsporingsbevoegdheden in een digitale omgeving, s.l. 2018, p. 36 6

4

2. Managementsamenvatting Deze DPIA richt zich op het voorgenomen gebruik van de iRC applicatie voor gericht internetonderzoek in de context van toezicht binnen de gemeente Nissewaard. Met het gebruik van de iRC applicatie kunnen feiten of verbanden worden blootgelegd, die anders, bijvoorbeeld via formele bronnen, of via ingrijpendere werkwijzen zoals bezoek aan huis of werkplek, moeilijk te bewijzen zijn. Omdat de iRC applicatie ingezet wordt bij heimelijk onderzoek is een DPIA noodzakelijk, voor het in gebruik kunnen nemen ervan. Het (tijdelijk) beperken van rechten, zoals het niet vooraf informeren van een betrokkene over een verwerking, kan nodig zijn bij het dienen van een belangrijk economisch of financieel publiek belang. Hierbij worden wel extra voorwaarden gesteld, met name dat de beperkende maatregel past binnen een democratie en de wezenlijke inhoud van de grondrechten en fundamentele vrijheden, zoals bijv. vastgelegd in de AVG, respecteert. Van essentieel belang hierbij is de verantwoordingsplicht, het (achteraf) aan kunnen tonen dat elke verwerking van persoonsgegevens conform de AVG is gebeurd. Ook moet het juridische kader waarbinnen persoonsgegevens verwerkt worden aan eisen voldoen, waaronder het bieden van adequate bescherming tegen misbruik en willekeur, om inbreuk op de privacy te legitimeren.

Belangrijk is, dat betrokkenen vooraf worden geïnformeerd over mogelijke inzet van internetonderzoek, om daarmee vooraf al duidelijk te maken dat dit middel kan worden ingezet. De kwaliteitseisen die door de AVG aan de inzet van de iRC applicatie worden gesteld, maken het gebruik ervan niet onmogelijk, maar dienen een constructief kader waarin de iRC applicatie transparant, betrouwbaar, geloofwaardig en behoorlijk kan worden ingezet. De iRC applicatie geeft op zichzelf al de nodige handvatten om het conform de AVG te gebruiken. Er is aandacht besteed aan de technische maatregelen voor de integriteit en betrouwbaarheid bij het verwerken van persoonsgegevens. Opgeslagen (persoons)gegevens worden dagelijks verwijderd of versleuteld opgeslagen gedurende de ingestelde bewaartermijn. Door het loggen van metadata biedt de iRC applicatie ook een goede infrastructuur voor een sluitende, transparante, verslaglegging ter ondersteuning van de verantwoordingsplicht. Informatie voor de betrokkenen kan het beste worden gegeven met 2 privacyverklaringen: een privacyverklaring van de afdeling waar de IRC-applicatie wordt ingezet en een specifieke privacyverklaring voor de applicatie zelf. De conclusie van de DPIA is daarmee dat de iRC applicatie, mede door de technische maatregelen, geen onaanvaardbaar hoog risico oplevert.

De afdelingen, die de iRC applicatie in hun werkproces willen inzetten, dienen vooraf wel aan te kunnen tonen dat de nodige maatregelen als waarborg tegen misbruik en willekeur zijn ingevoerd. Deze DPIA beperkt zich tot onderzoek naar de risico’s van de iRC applicatie zelf. Er wordt hierbij niet gekeken naar een concreet werkproces van een afdeling: er wordt op een abstracter niveau gekeken naar de inzet de iRC applicatie in een proces van toezicht. Er worden wel concrete aanbevelingen gedaan die de afdelingen op kunnen pakken voor het in gebruik nemen van de iRC applicatie. Voor het werkgebied Participatiewet heeft het RCF protocol9 een aantal jaren als voorbeeld gediend hoe bepaalde waarborgen in het proces in te bedden. Hoewel dit protocol inmiddels is vervangen door een nieuwe handreiking10, komen veel van de aanbevelingen uit deze DPIA ermee overeen: een vastomlijnd onderzoeksdoel als basis voor de inzet van de iRC applicatie, beleid en bewustwording (training) aangaande de toepassing van de AVG beginselen in het werkproces waaronder de informatieplicht voorafgaande aan het onderzoek en achteraf, sluitende verslaglegging waaronder het opnemen van logbestanden uit de iRC applicatie in het dossier, functioneel beheer van de iRC applicatie gecentraliseerd waaronder controle op de uitvoering van beleid/protocollen en autorisatie.

Als laatste dient de gemeente een verwerkersovereenkomst op te stellen en te beheren, die de verwerkingen van alle deelnemende afdelingen omvat. Hiervoor dienen de desbetreffende afdelingen de juiste input te leveren en het verwerkingsregister bij te werken.

9

Protocol internetonderzoek door gemeenten, november 2014 Handreiking internetonderzoek Participatiewet, augustus 2021

10

5

3. Inleiding Aanleiding en doel van de verwerking De gemeente Nissewaard is van plan de iRC applicatie van Digitale Opsporing te gaan gebruiken voor gericht internetonderzoek11 als instrument bij toezicht. De keuze voor een applicatie voor internetonderzoek in dit kader ligt voor de hand, gezien het steeds intensiever gebruik van sociale media in Nederland12. Uit jurisprudentie blijkt dat internetonderzoek frequent wordt toegepast ter ondersteuning van regulier fraudeonderzoek13, of bij fraude/misbruik o.b.v. (illegale) online activiteiten14. Daarnaast krijgen gemeenten steeds meer en complexere taken toebedeeld, waardoor er behoefte is aan een professionelere en kosteneffectieve uitvoering15. De iRC applicatie faciliteert een professionelere aanpak van internetonderzoek, die een bredere inzet mogelijk maakt. Deze applicatie voor internetonderzoek faciliteert het gerichter, veiliger, en daarmee effectiever en krachtiger onderzoek onder waarborging van de rechten van de personen naar wie onderzoek wordt gedaan. Zo is internetonderzoek via de iRC applicatie anoniem, door het gebruik van een niet-traceerbaar IP-adres (uitdrukkelijk GEEN nep-accounts!), zijn de verbindingen versleuteld en kan een hoog beveiligingsniveau, zoals bijv. 2-factor authenticatie, worden ingesteld.

Ten slotte biedt de iRC applicatie een voor internetonderzoek veilige infrastructuur, die naar eigen zeggen, de AVG volledig ondersteunt16. Ook brengt de iRC applicatie veel krachtige zoekfuncties samen in een efficiënte gebruikersomgeving. Zo kan er met de iRC applicatie niet alleen een momentopname gemaakt worden van wat er nu op het internet te vinden is. Het is met de iRC applicatie ook makkelijk om bijv. te zoeken in de geschiedenis van een website en dus een momentopname uit het verleden terug te halen. Ook kan er, desgewenst, betaalde zoekfuncties of een module voor het zoeken op het dark web worden toegevoegd. Handhaving is, volgens de juridische handleiding van de VNG, niet alleen maar gericht op de ‘harde’ kant, de sancties, om naleving van wet- en regelgeving te bewerkstelligen. In ruimere zin is handhaving, volgens de VNG, een van de middelen van het integrale beveiligingsbeleid van de gemeente en omvat het o.a. de interne organisatie binnen de gemeente en de samenwerking met handhavingspartners. Handhaving heeft ook betrekking op het creëren van randvoorwaarden, zoals duidelijke informatievoorziening en het onderhouden van contact met de burger.

Het belang van handhaving is, naast naleving, het bevorderen van normconform gedrag en het tegengaan van normvervaging, ook om de “rechtszekerheid en gelijke behandeling van burgers te waarborgen” en om geloofwaardigheid, betrouwbaarheid en integriteit van bestuurders te bevorderen”17. Gezien de veelzijdigheid van de iRC applicatie, zullen de gebruiksaspecten ervan uitsluitend bekeken worden in de context van toezicht waarvoor de gemeente Nissewaard het wil inzetten. Voor de overzichtelijkheid, richt deze DPIA zich dus op de applicatie zelf, zonder in detail op de verschillende werkprocessen in te gaan. Bij deze analyse wordt ervan uitgegaan dat de gemeente Nissewaard de iRC applicatie alleen wil inzetten voor het verwerken van persoonsgegevens bij gericht en veilig internetonderzoek bij handhaving i.h.k.v. de Participatiewet, WMO, en jeugdwet. Noodzaak tot uitvoering van deze DPIA Voor de AP is er aanleiding om een DPIA verplicht te stellen voor heimelijk onderzoek, d.w.z. het verwerken van persoonsgegevens bijv. voor fraudebestrijding zonder daarvan vooraf de betrokkene op de hoogte te stellen18. Zij baseert zich hierbij op de criteria uit de publicatie ‘Richtsnoeren voor 11

De iRC applicatie is ingericht op rechercheren, o.b.v. openbronnenonderzoek op het internet, ook wel bekend als OSINT (Open Source Intelligence). 12 Nationale Social Media Onderzoek 2021, newcom.nl 13 Zie bijv. ECLI:NL:CRVB:2019:3371 14 Zie bijv. ECLI:NL:CRVB:2020:2474 15 Zie o.a. Handhaving door en voor gemeenten, p.11 16 Zie de Brochure iRC (internet Rechercheren in de Cloud) 17 Handhaving door en voor gemeenten, p.11-13 18 Fraudeonderzoek en internetonderzoek worden beiden expliciet als voorbeeld van heimelijk onderzoek genoemd, zie Staatscourant, nr. 64418

6

gegevensbeschermingseffect-beoordelingen’19, waarbij met name de stelselmatige monitoring en het verwerken van persoonsgegevens van kwetsbare personen van toepassing zijn. Volgens de AP is er sprake van stelselmatige verwerking als de verwerking van persoonsgegevens “is opgenomen in de systemen of in het beleid van de organisatie”20. Op basis van de “onevenwichtigheid in de relatie tussen de positie van de betrokkene en de verwerkings-verantwoordelijke”, worden cliënten met name in het sociaal domein standaard aangemerkt als een kwetsbare groep21. Het uitsluitend verbinden van de noodzaak van deze DPIA aan de verplichting van de AP, zou te kort doen aan wat de AVG beoogt: de bescherming van natuurlijke personen bij de verwerking van hun persoonsgegevens én het waarborgen van het vrije verkeer van persoonsgegevens22. Het gebruik van iRC-applicatie kan beperkt zijn tot het raadplegen van KVK-gegevens, maar de iRC-applicatie is ook te gebruiken als een “superzoekmachine” die met een paar muisklikken heel veel digitale informatie over een persoon naar boven haalt/kan halen, en dat bovendien heimelijk doet, zonder dat daar sporen van worden achtergelaten. De nieuwe handreiking Internetonderzoek Participatiewet erkent het verschil in impact tussen fysieke observatie en onderzoek in een digitale context en verwijst hierbij naar het rapport van de commissie Koops23.

Tekenend voor dit verschil, volgens de commissie Koops, is de toenemende bandbreedte van de mogelijke ernst van privacy-inbreuken in de digitale context: zo kan “; het overnemen van informatie uit publiek toegankelijke bronnen kan zich beperken tot een lichte privacy-inbreuk, maar ook dusdanige vormen aannemen dat iemands halve privéleven naar voren kan komen.”24 Of het gebruik van de iRC applicatie een geringe, een meer dan geringe of een zeer ingrijpende inbreuk op de privacy maakt, zal dan ook veelal van de context afhangen25. Het is daarom de plicht van de verwerkingsverantwoordelijke, zich te houden aan de beginselen voor de gegevensverwerking en om de rechten van betrokkenen te respecteren. Inbreuk maken op dit grondrecht, bijvoorbeeld door rechten te beperken, kan alleen als dit de wezenlijke inhoud van die rechten eerbiedigt en noodzakelijk is voor erkende doelstellingen van algemeen belang26. In overweging 73 wordt gesteld dat beperkingen van het recht op gegevensbescherming in overeenstemming moeten zijn met het Europees Verdrag van de Rechten van de Mens (EVRM)27. Uitgangspunt van deze DPIA is dat het verwerken van persoonsgegevens in de iRC applicatie in principe gebeurt in de context van heimelijk onderzoek, waarmee de rechten en vrijheden van de betrokkene op zijn minst gedeeltelijk en/of tijdelijk zijn ingeperkt.

Gezien het risico op misbruik van bevoegdheden in een dergelijke situatie, zijn “adequate en effectieve waarborgen ter bescherming tegen willekeurige inmenging in het privéleven” bij de inzet van de iRC applicatie noodzakelijk28. Het is in deze context waar deze DPIA moet worden geplaatst. 19

‘Richtsnoeren voor gegevensbeschermingseffectbeoordelingen en bepaling of een verwerking "waarschijnlijk een hoog risico inhoudt" in de zin van Verordening 2016/679, april 2017 (WP248 rev01) 20 Zie website AP, Data protection impact assessment (DPIA) 21 Zie bijv. Beleidsnotitie gegevensbescherming van de gemeente Leeuwarden 22 Zie overweging 2 en 3 AVG. 23 Zie Handreiking internetonderzoek Participatiewet, p.10. Als beperking van het overnemen van persoonsgegevens uit publiek toegankelijke bronnen geeft de handreiking aan dat het geen stelselmatig karakter mag hebben. De factoren die, zoals geformuleerd door commissie Koops, invloed hebben op de stelselmatigheid, staan in de bijlage van de handreiking. De iRC applicatie wordt, door de brede zoekfunctionaliteit die het biedt, hier beschouwd als een geavanceerder technisch hulpmiddel dan handmatig zoeken via een klassieke zoekmachine. Als factor van stelselmatigheid is dit daarom een aandachtspunt. 24 Zie Commissie modernisering opsporingsonderzoek in het digitale tijdperk, Regulering van opsporingsbevoegdheden in een digitale omgeving, s.l. 2018, p.

36 25 Zie idem, pagina 135-136 26 Zie artikel 52 lid 1, Handvest van de grondrechten van de Europese Unie 27 In artikel 8 lid 2 wordt gesteld dat “geen inmenging [op het recht op respect voor iemands privéleven] van enig openbaar gezag is toegestaan in de uitoefening van dit recht, dan voor zover bij wet is voorzien en in een democratische samenleving noodzakelijk is in het belang van de nationale veiligheid, de openbare veiligheid of het economisch welzijn van het land […]”. 28 Zie ECLI:NL:CRVB:2016:3479, punt 4.7. Hier wordt gerefereerd aan de standaard uitleg van het Europese Hof voor de Rechten van de Mens (EHRM) over wat er bedoeld wordt in artikel 8 lid 2, EVRM. Zie verder hoofdstuk 7 van deze DPIA.

7

Aanpak DPIA Aanleiding voor deze DPIA is de voorgenomen ingebruikname van de iRC applicatie door de gemeente Nissewaard. Hiervoor is het van belang inzicht te krijgen in de gebruiksaspecten van de iRC applicatie en verwachte verwerking van persoonsgegevens. In hoofdstuk 5 Functionele scope wordt hiervoor niet alleen naar de zoekfuncties gekeken, maar ook naar de beveiligings- en beheeraspecten. Toch kan er pas degelijk getoetst worden als er ook wordt gekeken naar de context waarin de iRC applicatie wordt ingezet. In hoofdstuk 6. Generieke systematische procesbeschrijving wordt deze context, de inzet van de iRC applicatie bij toezicht, gegeneraliseerd naar de essentiële aspecten, zonder alle werkprocessen afzonderlijk en in detail uit te werken. Het gaat hierbij om een overzicht te krijgen van die aspecten, die de toetsing van de voorgenomen verwerkingen in de iRC applicatie aan de AVG mogelijk maken, zie hiervoor hoofdstuk 7. Toetsing van de voorgenomen verwerkingen aan de AVG. Door de voorgenomen inzet van de iRC applicatie verandert het risicoprofiel van de betreffende werkprocessen. Er worden nieuwe risico’s geïntroduceerd, bijv. door het gebruik van een externe infrastructuur bij het verwerken van persoonsgegevens, maar bestaande risico’s worden gemitigeerd, bijv. door het anoniem kunnen browsen. In hoofdstuk 8.

Risicoanalyse wordt dit risicoprofiel bij ingebruikname van de iRC applicatie geanalyseerd, o.b.v. de lijst van geïdentificeerde risico’s uit overweging 75 AVG29. Hierbij wordt gebruik gemaakt van een bruto/netto risicoanalyse. Bij de bruto risicoanalyse wordt naar het risicoprofiel gekeken, waarbij maatregelen in eerste instantie worden “weggedacht” en waardoor risico’s zich in volle omvang zouden kunnen voordoen. Bij de netto risicoanalyse wordt gekeken of deze voorgenomen maatregelen voldoende zijn om de geïdentificeerde risico’s tot een aanvaardbaar of verwaarloosbaar niveau terug te brengen. Als laatste worden in hoofdstuk 9. Aanbevelingen en conclusie, aanbevelingen gedaan over de benodigde technische of organisatorische maatregelen om verwerkingen in de iRC applicatie conform de AVG te laten geschieden. Hierop volgt de conclusie of er, na het invoeren van de aanbevelingen, nog sprake is van zodanig risico bij de ingebruikname van de iRC applicatie, dat er afstemming met de AP nodig is.

29

Zie overweging 75, AVG en hoofdstuk 8

8

4. Functionele scope De scope van deze DPIA richt zich uitsluitend op de functionaliteitsaspecten van de iRC applicatie. De applicatie brengt algemeen toegankelijke, eventueel betaalde, zoekfuncties samen, die voor openbronnenonderzoek relevant zijn. De iRC applicatie combineert dit met eveneens relevante veiligheids- en beheeraspecten. Het betreft dus geen zoekfunctionaliteit zoals het continue monitoren van sociale media op trefwoorden. De iRC applicatie is ingericht om ‘case-based’ te werken via persoons- of bedrijfskaarten en biedt slechts beperkt de mogelijkheid om met meerdere kaarten tegelijk te onderzoeken. Zoekfuncties iRC applicatie 4.1.1. Basisfunctionaliteit Het inloggen op de iRC applicatie geeft de gebruiker toegang tot de basisfunctionaliteit, waarbij er op dezelfde manier gezocht kan worden als bij een normale internetbrowser, maar dan op basis van een niettraceerbaar IP-adres (anti-tracking). De iRC applicatie biedt een menu met koppelingen naar verschillende algemeen toegankelijke zoekfuncties30 en daarnaast de mogelijkheid om makkelijk metadata (zoals URL, datum/tijd) aan zoekresultaten toe te voegen. Gevonden zoekresultaten worden elke nacht verwijderd. Zoekactiviteit binnen de basisfunctionaliteit wordt alleen gelogd wanneer ook toegang tot de OSINT Tool Kit is toegekend.

De basisfunctionaliteit op zichzelf voegt, naast de mogelijkheid anoniem en daarmee veiliger te zoeken met (bekende) zoekmachines, dus geen specifieke functionaliteit toe. 4.1.2. OSINT Tool Kit (OTK) QuickScan/ snel zoeken, geavanceerd zoeken bijv. websitegeschiedenis De OSINT Tool Kit biedt, naast de veiligheidsaspecten van de basisfunctionaliteit, veel extra functionaliteiten. Allereerst is het loggen van de zoekactiviteiten mogelijk met de OTK-module. Met de OTK worden gegevens versleuteld opgeslagen. Door het gebruik van kaarten maakt de OTK-casemanagement, het opslaan van gegevens over personen of bedrijven, mogelijk. Via de QuickScan functie kan geautomatiseerd gezocht worden o.b.v. deze kaarten en een compleet zoekrapport gedownload worden. De Osynq module maakt het daarnaast mogelijk via deze kaarten makkelijk zoekgegevens over te nemen en in te vullen buiten de iRC applicatie. Het maakt het ook makkelijk om historische versies van websites op te zoeken en biedt geavanceerde zoekmogelijkheden o.b.v. foto’s of afbeeldingen (exif data en reverse image search). Als laatste kunnen ook (betaalde) zoekfuncties, zoals bijv. Pipl, toe worden gevoegd. 4.1.3. Dark web module Deze optionele module maakt het mogelijk om via een Nederlandse startpagina veilig te zoeken in delen van het internet die niet met standaard browsers bereikbaar zijn31.

Omdat dit deel van het internet zich onttrekt aan normale toegang, is het een populair platform voor criminele of subversieve activiteiten. Aandachtspunten AVG m.b.t. veiligheid Er is in de AVG veel aandacht voor gegevensbescherming, waarbij er in detail in wordt gegaan op de technische en organisatorische maatregelen die daarvoor nodig zijn. In deze paragraaf wordt m.b.t. de veiligheidsaspecten van de iRC applicatie vooral ingegaan op de technische maatregelen. 4.2.1. Integriteit en vertrouwelijkheidsbeginsel (artikel 5 lid 1f, artikel 24, AVG) De AVG stelt een ‘passende’ beveiliging als een van de voorwaarden voor het verwerken van persoonsgegevens. Gegevens moeten beschermd worden tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging. Het is daarbij aan de verwerkingsverantwoordelijke om te beoordelen wat passende maatregelen zijn om aan te kunnen tonen dat de verwerking in overeenstemming met de AVG is, gegeven de context van verwerking en de risico’s die de betrokkene daarbij loopt. Deze maatregelen worden periodiek geëvalueerd en zo nodig geactualiseerd. 30 31

Zie bijlage I voor een screenshot van de basisfunctionaliteit inclusief menu. Voor toegang tot het dark web moet een Tor-browser worden geïnstalleerd.

9

4.2.2. Opslagbeperking (artikel 5 lid 1e, artikel 24, AVG) Een veiligheidsaspect dat afzonderlijk wordt vermeld, is dat gegevens niet langer bewaard mogen worden dan voor het doel van de verwerking noodzakelijk is. Hier wordt met name gekeken naar de technische aspecten van dit beginsel, d.w.z. in hoeverre er geautomatiseerde oplossingen geboden worden. 4.2.3. Privacy by design, privacy by default (artikel 25, AVG) De AVG voegt het privacy by Design, Privacy by Default beginsel als uitgangspunt toe, waarbij de verwerkingsverantwoordelijke ervoor zorgdraagt dat de gegevensbescherming al in het ontwerp van nieuwe systemen en processen is opgenomen, zoals pseudonimisering en/of versleuteling van persoonsgegevens. Ook dienen systemen en processen zo zijn ingericht of ingesteld dat de inbreuk op de persoonlijke levenssfeer zo klein mogelijk is. 4.2.4. Waarborgen van een beveiligingsniveau dat op het risico van de verwerking is afgestemd (overweging 83, artikel 32) De verwerkingsverantwoordelijke en verwerker dienen met passende technische en organisatorische maatregelen een op het risico afgestemd beveiligingsniveau te waarborgen, daarbij “rekening houdend met de stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van personen”32.

Het waarborgen komt kort gezegd neer op het op permanente basis garanderen van de beschikbaarheid, veerkracht, integriteit, en vertrouwelijkheid van systemen en diensten, het tijdig kunnen herstellen van de beschikbaarheid van persoonsgegevens na een incident en het geregeld testen, beoordelen dan wel evalueren van de doeltreffendheid van de beveiliging van verwerking. Het aansluiten bij een gedragscode of certificeringsmechanisme kan helpen bij het aantonen dat aan al deze vereisten wordt voldaan. Naast deze meer technische focus op beveiliging van verwerking, zijn er (organisatorische) maatregelen te treffen die ervoor zorgen dat iedereen, medewerkers van zowel de verwerkingsverantwoordelijke als de verwerker, die toegang heeft tot persoonsgegevens, deze alleen verwerkt in opdracht van de verwerkingsverantwoordelijke, tenzij anders verplicht door het Europese of Nederlandse recht. 4.2.5. Eisen aan de verantwoordelijke en verwerker (artikel 24 en 28, AVG) Veel van de eisen die in artikel 24, respectievelijke artikel 28 worden gesteld, zijn al genoemd. Specifiek voor de verwerkingsverantwoordelijke is het, indien passend, opstellen van een gegevensbeschermingsbeleid.

Voor de verwerking door een verwerker dient een Verwerkersovereenkomst te worden opgesteld, waar alle (ondersteunende) plichten van de verwerker worden vastgelegd, inclusief het register van de relevante verwerkingen.

32

Zie artikel 32, lid 1, AVG

10

Veiligheidsaspecten iRC applicatie De veiligheidsaspecten zijn voor de traceerbaarheid genummerd. Algemeen beheer van veiligheidsaspecten hebben een prefix B, specifieke technische maatregelen hebben een T. Relevante aspecten van intern beheer hebben een apart volgnummer gekregen.

Volgnummer Component

Omschrijving

AVG verwijzing

B1.1

Toegang verlenen o.b.v. gebruikersaccount Instellen wachtwoord complexiteit/periodiciteit Instellen, monitoren en onderhouden veiligheid omgevingscomponenten iRC applicatie, inclusief VPN Instellen, monitoren en onderhouden van het vastleggen/verplaatsen/verwijderen van persoonsgegevens Instellen, monitoren en onderhouden van het vastleggen/verplaatsen/verwijderen van metadata m.b.t. zoekactiviteiten binnen de iRC applicatie Beheer gebruiksrechten iRC applicatie

Artikel 5 lid1f, artikel 25 lid2, artikel 32 Artikel 5 lid1f, artikel 25 lid2, artikel 32 Overweging 83, artikel 32

B1.2 B2.1

Functioneel beheer iRC applicatie Functioneel beheer iRC applicatie Beheer infrastructuur iRC applicatie

B3.1

Opslagbeheer iRC applicatie iRC applicatie

B4.1

Logbestandenbeheer iRC applicatie

B5.1

Accountbeheer (intern)

B5.2

Beheer infrastructuur (intern) Opslagbeheer (intern)

B5.3 B6.1

B6.2

B6.3

T1.1 T1.2 T2.1

Beheer veiligheids- en gegevensbeschermingsbeleid (intern) Beheer veiligheids- en gegevensbeschermingsbeleid (intern) Beheer veiligheids- en gegevensbeschermingsbeleid (intern) Toegangsbeheer iRC applicatie Toegangsbeheer iRC applicatie

Instellen, monitoren en onderhouden veiligheid omgevingscomponenten intern Beheer fileservers/casemanagementapplicaties Evalueren, actualiseren en verankeren veiligheids- en gegevensbeschermingsbeleid Informatiebeleid en communicatie

Aansluiten bij goedgekeurde gedragscodes/ protocollen/ certificeringsmechanismen Twee-factor-authenticatie Toegangsrechten gebruikersaccount per module

Artikel 5 lid 1e

Artikel 5 lid 2

Artikel 5 lid1f, artikel 25 lid2, artikel 32 Overweging 83, artikel 32 Artikel 5 lid 1e, Artikel 5 lid 1f Artikel 12, lid 1 en lid 2

Artikel 12, lid 1 en lid 2

Artikel 24, artikel 40 en/of artikel 42 Artikel 5 lid1f, artikel 25 lid2, artikel 32 Artikel 5 lid1f, artikel 25 lid2, artikel 32 Overweging 83, artikel 32

Infrastructuur iRC applicatie

Encryptie verbinding (VPN)

T2.2

Infrastructuur iRC applicatie

Niet-traceerbaar IP-adres (anti-tracking)

T2.3

Infrastructuur iRC applicatie

Whitelisting

T3.1

Automatische opschoonactie elke nacht

T3.2

Opslag iRC applicatie (basisfunctie) Opslag iRC applicatie (OTK)

Artikel 5 lid1f, artikel 25 lid2, artikel 32 Artikel 5 lid 1e

T4.1

Logbestanden iRC applicatie

Encryptie opgeslagen gegevens o.b.v. eigen sleutel gebruiker Automatische vastlegging zoekactiviteiten

Overweging 83, artikel 5 lid1e, artikel 32 Artikel 32 lid 4

4.3.1. Toegang Veiligheidsaspecten i.h.k.v. toegang tot de iRC applicatie zijn gericht op het voorkomen van toegang door onbevoegden. Voor toegang is een iRC gebruikersaccount (B1.1) nodig, waarbij wachtwoord-instellingen (complexiteit en periodiciteit) via functioneel beheer (B1.2) kunnen worden bepaald. Specifieke technische

11

maatregelen hierbij zijn de twee-factor-authenticatie (T1.1) en het kunnen toewijzen van specifieke functionaliteit aan een gebruikersaccount (T1.2). Veiligheidsaspecten i.h.k.v. toegang tot de iRC applicatie steunen voor een belangrijk deel ook op interne veiligheidsaspecten, zoals het interne accountbeheer (B5.1), en het beheer van de interne infrastructuur (B5.2). Hierbij spelen ook organisatorische maatregelen een rol, zoals bijvoorbeeld afmelden van gebruikers wanneer hun toegang tot de iRC applicatie dient te worden gestopt. 4.3.2. Infrastructurele veiligheidsaspecten (bijv. versleuteling VPN-verbinding) Een cruciaal deel van de veiligheidsaspecten ligt op het niveau van de infrastructuur, zoals firewalls en andere netwerkcomponenten. Onder het beheer van de infrastructuur (B2.1) vallen ook andere aspecten als het up-to-date houden van alle componenten en Operating Systems en bijvoorbeeld Service Continuity Management, inclusief Disaster Recovery Management, waaraan wordt gerefereerd in artikel 32. Specifieke technische maatregelen zijn de versleutelde VPN-verbindingen waarmee contact wordt gemaakt met de iRC omgeving (T2.1) en het toekennen van een niet-traceerbaar IP-adres (T2.2). Dit laatste is niet echt een veiligheidsaspect zoals wordt aangegeven in de AVG, maar verhoogt het veiligheidsniveau van internetonderzoek voor de gemeente Nissewaard.

Als laatste kan “whitelisting” worden toegepast, waarbij alleen met bekende apparaten toegang tot de iRC applicatie kan worden verkregen (T2.3). 4.3.3. Opslag Een apart aandachtsgebied i.h.k.v. gegevensverwerking is het opslaan van persoonsgegevens. Hier valt uiteraard de opslag van zoekresultaten onder, maar ook de opslag van logbestanden (zie volgende paragraaf) waarin zich ook persoonsgegevens bevinden. De opslagperiode van zoekgegevens in de iRC omgeving is bij de basisfunctionaliteit bewust beperkt door een nachtelijke opschoonactie (T3.1). Bij de OTK dient de opslagperiode vastgesteld te worden door de gemeente Nissewaard. De gemeente kan dit vervolgens zelf inrichten of de leverancier daartoe opdracht geven (B3.1). Ook met de OTK is de versleutelde opslag van gegevens in de iRC omgeving (T3.2) niet onbeperkt, waardoor in veel gevallen de wettelijke bewaartermijn van gegevens een zaak is van het intern opslagbeheer (B5.3). Hieronder vallen alle technische en organisatorische maatregelen die het opslagbeperkingsbeginsel moeten borgen, bijvoorbeeld het managen van archiveringssystemen of het opstellen van instructies voor het signaleren van het aflopen van bewaartermijnen. 4.3.4. Het loggen van (zoek)activiteiten Als laatste veiligheidsaspect wordt gekeken naar het automatisch vastleggen van (zoek)activiteiten in de iRC omgeving (T4.1).

Hierbij worden geen zoekresultaten opgeslagen, alleen de metadata van de zoekactiviteit zoals het gebruikersaccount, de URL en tijd/datum. Door actief beheer van deze logbestanden (B4.1) kan de iRC applicatie ondersteuning bieden aan het bij heimelijk onderzoek zo belangrijke transparantiebeginsel33. Echter voor een volledige transparantie kan de verslaglegging door de gebruiker zelf, van de gemaakte keuzes in het gebruik van de iRC applicatie en de rechtmatigheid hiervan, niet ontbreken. Zie hiervoor hoofdstuk 5. Betrokken partijen Verwerkingsverantwoordelijke Het college van Burgemeester en Wethouders van de gemeente Nissewaard is degene die het doel en de middelen van een verwerking van de persoonsgegevens voor gebruik van de iRC applicatie bepaalt, en is daarmee de verwerkingsverantwoordelijke.

33

Zo zijn logbestanden niet inzichtelijk zonder toestemming van de iRC applicatie gebruiker. Vrijgave van logbestanden moet dus in ieder geval standaard onderdeel zijn van werkinstructies voor het gebruik van de iRC applicatie. Daarnaast moeten er duidelijke afspraken zijn over periodieke controle van logbestanden, zonder dat er sprake is van een specifieke aanleiding, zoals een klacht of WOB verzoek.

12

Betrokkene De betrokkene is een levend natuurlijk persoon, van wie de persoonsgegevens wordt verwerkt bij het bevestigen/onderbouwen dan wel ontkrachten van een vastomlijnd onderzoeksdoel i.h.k.v. handhaving bij de gemeente Nissewaard, conform de scope van deze DPIA. Verwerker De leverancier van de iRC applicatie heeft de rol als verwerker, waaronder het tijdelijk opslaan van (versleutelde) persoonsgegevens, gebruikersgegevens, logbestanden… Verwerkingen persoonsgegevens Type persoonsgegevens Naam Adres Postcode Woonplaats E-mailadres Telefoonnummer Geboortedatum Geslacht Opleiding Burgerlijke staat Financiële gegevens Kentekengegevens Door de overheid uitgegeven identificatienummers, bijv. BSN Kopieën van identiteitsbewijzen, zoals rijbewijs of paspoort

Strafrechtelijke gegevens Medische gegevens (gezondheid) Overige

Opmerkingen

Het verwerken van bijv. het BSN kan in alle werkprocessen voorkomen, maar is via de iRC applicatie, met alleen openbare bronnen beschikbaar, zeer onwaarschijnlijk Dit kan alleen, als betrokkene zelf een kopie/foto van deze documenten in openbare bronnen heeft openbaar gemaakt. Heir wordt nooit actief op gezocht maar zal altijd sprake zijn van een “toevalstreffer”. Bijv. verwijzingen naar strafbare feiten Bijv. informatie die relevant is voor zorgdossiers BZ: mogelijk informatie m.b.t. tot huur/verhuur eigendom woonruimte Inkomen

13

5. Systematische procesbeschrijving Er is voor deze DPIA de keuze gemaakt om niet op afdelingsniveau de werkprocessen te beschrijven, waar de gemeente Nissewaard van plan is de iRC applicatie in te gaan zetten. Een belangrijke reden hiervoor is dat bij elke wijziging in de werkprocessen, deze DPIA ook zou moeten worden aangepast. Aangezien dit document door meerdere teams als referentie zal worden gebruikt, is dat onwenselijk. Om inzicht te krijgen in de context waarin de iRC applicatie ingezet moet gaan worden, zal er naar processtappen worden gekeken, die generiek zijn voor alle betreffende werkprocessen van de afdelingen (zie onderstaand figuur). Deze procesbeschrijving beperkt zich dus tot uitsluitend de werking van de iRC applicatie, maar bestrijkt daarmee alle mogelijke werkprocessen van afdelingen waarin de applicatie mogelijk op een later moment wordt ingezet, met inbegrip van de beheer- en kwaliteitsaspecten ervan. Hoewel de details waarop deze processtappen zijn ingericht per team verschillen, geven ze een kader waarin de aspecten, die voor de AVG essentieel zijn, overzichtelijk kunnen worden gemaakt.

Figuur 1: Generieke procesbeschrijving

Processtap 1. Noodzaak iRC applicatie binnen het onderzoek aantonen Een gemeenschappelijk aspect van alle werkprocessen is dat er aan de start van het onderzoek voorbereiding voorafgaat. Signalen zijn verzameld en in sommige gevallen geverifieerd bijv. met een vooronderzoek. Deze processtap moet borgen dat de basis waarop een onderzoek geïnitieerd wordt duidelijk en rechtmatig is: dat garandeert dat er een grondslag is en verwerkingsdoelen gespecificeerd zijn. Dat creëert voor later in het proces een duidelijke afbakening welke gegevens wel en absoluut niet moeten worden meegenomen in de onderzoeksresultaten. Doorslaggevend voor de inzet van de iRC applicatie is een gedegen onderbouwing van het nut en de noodzaak ervan. Rekening houdend met artikel 32 AVG, is het belangrijk goed te kunnen beargumenteren dat het onderzoek zonder iRC applicatie niet de verwachte of gewenste onderzoeksresultaten gaat opleveren, met een kwaliteitsniveau en tegen een tijds-, inspannings- en kostenniveau dat wel mogelijk gemaakt kan worden met inzet van de iRC applicatie. Deze afweging moet altijd onderdeel zijn van de onderzoeksverslaglegging. Spontaan of ongelimiteerd gebruik van de iRC applicatie kan zodoende nooit het gevolg zijn van een rechtmatig gestart onderzoek. Processtap 2.

Afbakening gebruik iRC applicatie aangeven Voortbordurend op de resultaten van stap 1 worden in deze processtap de begrenzingen geformuleerd voor de functionaliteiten van de iRC applicatie die ingezet gaan worden bij het onderzoek. De iRC applicatie omvat een aantal platforms en applicaties. Er is niet altijd zonder meer sprake van een noodzaak om op alle platforms en applicaties te gaan zoeken. Daarom is het noodzakelijk ook een goede afweging te maken voor de keuze van (het aantal) gebruikte platforms/applicaties. Deze aanpak borgt een proportioneel gebruik van de iRC applicatie. Hierbij is de toenemende “zwaarte” van de ingezette zoekfunctionaliteit van belang. Als 14

bijvoorbeeld na het zoeken in een eerste functionaliteit blijkt dat de zoekresultaten geen verder vervolg van het onderzoek legitimeren, dient het onderzoek dus worden afgesloten. Als de zoekresultaten er wel op duiden dat verder onderzoek noodzakelijk is, dient de inzet van een volgende zoekfunctionaliteit onderbouwd te worden. Processtap 3. Zoekopdracht iRC applicatie formuleren Bij het gebruik van de platforms en applicatie is het ook noodzakelijk de zoekopdrachten te begrenzen tot de aanleiding van het onderzoek. Het is ongewenst zoekopdrachten te gebruiken die resultaten op (kunnen) leveren die niet gerelateerd zijn aan de onderzoekaanleiding. Bij het formuleren van de zoekopdracht, dient rekening gehouden te worden met twee factoren. Ten eerste het aantal aspecten dat in het onderzoek wordt betrokken: bijvoorbeeld werk-gerelateerd, hobby-gerelateerd, en/of gerelateerd aan de thuissituatie. De tweede factor is de diepgang van het onderzoek voor deze aspecten: hoeveel informatie dient er verzameld worden en hoe specifiek dient deze informatie te zijn. Voor andere afwegingen in het formuleren van de zoekopdracht kan gekeken worden naar de factoren bij stelselmatigheid, opgesteld door de commissie Koops34.

De iRC applicatie maakt het deels mogelijk de genomen keuzes en de gegevens die daarbij zijn verzameld vast te leggen door alle zoekopdrachten geautomatiseerd in een logbestand op te slaan35. Welke afwegingen aan die keuzes voorafgingen en of het de juiste keuzes zijn, is echter niet met de iRC applicatie vast te stellen. Voor afwegingen, die belangrijk zijn voor de AVG, geldt dan ook dat zij geborgd moeten worden in het werkproces waarbinnen de iRC applicatie ingezet gaat worden. Dat betreft dan dus het vastleggen van de onderzoeksstrategie, d.w.z. de argumentatie waarop de onderzoeksactiviteiten gebaseerd zijn. Processtap 4. Relevante zoekresultaten vastleggen en irrelevante zoekresultaten wegfilteren De iRC applicatie biedt verschillende zoekinstrumenten, die in veel gevallen meer informatie opleveren dan bruikbaar is voor de zoekopdracht. Zo levert een zoekopdracht in een zoekmachine zoals Google veel irrelevante resultaten. Een KVK-zoekopdracht zal daarentegen wel alleen relevante resultaten opleveren. Het is daarom aan de gebruiker om op basis van de onderzoek aanleiding en binnen de kaders, gesteld door de wet- en regelgeving, alleen de relevante en noodzakelijke informatie vast te leggen en de overige resultaten weg te filteren. Vanuit de verantwoordingsplicht dient ook hierbij de onderbouwing van deze keuzes meegenomen te worden in de verslaglegging. Processtap 5.

Onderzoek afsluiten Wanneer het onderzoek in de iRC applicatie volledig is en de relevante en noodzakelijke informatie is vastgelegd, dient deze informatie, inclusief de verslaglegging van de keuzes en afwegingen, overgeheveld te worden naar het onderzoekrapport. Door de iRC gebruiker zelf, of door vrijgave van de logbestanden aan een ander. Wat ook met deze laatste processtap wordt geborgd, is het correct archiveren van de onderzoeksgegevens en het verwijderen uit de iRC applicatie van dossiergegevens, zodra het werkproces dat toelaat of vereist. Gearchiveerde gegevens moeten verwijderd worden wanneer de, door de materiele weten regelgeving en/of de archiefwet gedefinieerde bewaartermijn is verstreken. Processtap 6. Proces(kwaliteit) beheren en sturen Deze processtap is om de veiligheids- en kwaliteitsaspecten bij elk team te borgen. Zo speelt elk team een rol om te zorgen dat alleen de juiste gebruikers toegang hebben tot de iRC applicatie, dat teamleden zich bewust zijn van veiligheidsrisico’s en bijv. op de hoogte zijn van het juiste procedure in geval van een datalek. Daarnaast speelt elk team een rol in eventuele (interne) audits en moet duidelijk zijn, specifiek voor de iRC applicatie, wie welke rol speelt bijv. in het controleren van logbestanden.

34

Commissie modernisering opsporingsonderzoek in het digitale tijdperk, Regulering van opsporingsbevoegdheden in een digitale omgeving, s.l. 2018; zie ook: Handreiking internetonderzoek Participatiewet, bijlage I 35 Hiervoor is wel de OSINT Tool Kit nodig, zie §5.1

15

6. Noodzaak en evenredigheid De AVG is mede opgesteld vanuit het belang het vrije verkeer van persoonsgegevens in de Unie te waarborgen, voor “de goede werking van de interne markt”36. Dit vrije verkeer van persoonsgegevens moet wel in overeenstemming zijn met de grondrechten en fundamentele vrijheden van betreffende natuurlijke personen. De AVG is dus bedoeld om als krachtig coherent kader voor gegevensbescherming, mensen de regie te geven over hun eigen persoonsgegevens en, gesteund door strenge handhaving, voldoende vertrouwen te geven in die vrije gegevensstroom. Maar ook de rechten en vrijheden binnen dit kader moeten ingeperkt kunnen worden, echter altijd in afweging met andere grondrechten 37. Grond hiervoor zijn bepalingen o.a. voor het waarborgen van de nationale veiligheid, landsverdediging, de openbare veiligheid etc.38. Maar hierbij geldt wel o.a. de voorwaarde dat de bepaling “in een democratische samenleving een noodzakelijke en evenredige maatregel is […]”39. De beoordeling van de noodzaak en evenredigheid van het voorgenomen gebruik van de iRC applicatie gaat niet alleen om de grondslag in de wet en de waarde van de inzet voor het beoogde doel. Het gaat erom aan te kunnen tonen dat aan de inzet van de iRC applicatie een open en eerlijke afweging voorafgaat, waarbij er naar de juiste balans tussen openbaar belang en individueel grondrecht wordt gestreefd40.

Verwerkingsdoeleinden Handhaving, met inbegrip van heimelijk onderzoek, is essentieel voor de veiligheid en financiën van de gemeente Nissewaard, en daarmee voor het in de gemeente gestelde vertrouwen van de burgers. Internetonderzoek is in deze tijd, zoals al aangegeven in de inleiding, daarbij onmisbaar. Met internetonderzoek kunnen feiten of verbanden worden blootgelegd, die anders, bijvoorbeeld via formele bronnen, of via ingrijpendere werkwijzen zoals bezoek aan huis of werkplek, moeilijk te bewijzen zijn 41. Uitgangspunt is dat het voorgenomen internetonderzoek ondersteunend moet zijn aan het onderzoeksdoel. Het gebruik van de iRC applicatie is vervolgens toegespitst op het vinden van informatie ter bevestiging of ontkrachting van dat onderzoeksdoel. De iRC applicatie is specifiek ontwikkeld voor dergelijk internetonderzoek, doelgericht zoeken naar informatie uit open bronnen o.b.v. een casus met een afgebakende scope. Het is uitdrukkelijk niet geschikt noch bedoeld voor het (preventief) continue verzamelen van grote hoeveelheden data, om daar vervolgens een onderzoeksdoel uit te genereren. Het verwerkingsdoel kan daarmee als volgt worden omschreven: Het veilig, betrouwbaar en tijdgebonden verzamelen van informatie, o.b.v. openbare-bronnenonderzoek op het internet, teneinde een indicatie van fraude of ander onrechtmatig handelen d.w.z.

te bevestigen/onderbouwen dan wel te ontkrachten42.

36

Zie overweging 3 t/m 7, AVG Zie overweging 4, AVG: “Het recht op bescherming van persoonsgegevens heeft geen absolute gelding, maar moet worden beschouwd in relatie tot de functie ervan in de samenleving […]” 38 Zie artikel 23 lid1, AVG 39 Zie artikel 23, lid 1, AVG. 40 Zie ECLI:NL:RBDHA:2020:865 punt 6.7 41 Werkwijzen als huisbezoek of observatie vergen, t.o.v. internetonderzoek, veel inzet, training en ervaring i.h.k.v. bijvoorbeeld zorgvuldigheid. Deze werkwijzen kunnen daarom als ingrijpender worden aangemerkt, los van de vraag of ze een grotere inbreuk op de privacy vormen. 42 De iRC applicatie is niet noodzakelijk voor het doen van internetonderzoek. Nadruk bij de toepassing van de iRC applicatie ligt op de veiligheidsaspecten, effectiviteit en de ondersteuning in de traceerbaarheid van het onderzoek: Welke informatie op welke wijze en welk moment is verkregen. 37

16

Rechtsgrond Handhavingsonderzoek is een breed juridisch kader, waar bevoegdheden in de specifieke wettelijke bepalingen verschillend worden gedefinieerd. Waar in sommige gevallen bevoegdheden voor handhavingsonderzoek beperkt of onduidelijk zijn, is de bevoegdheid onderzoek te doen naar bijv. de juistheid en volledigheid van informatie i.h.k.v. de informatieplicht in de praktijk verreikend gebleken43. In het navigeren van dit complexe juridische kader en veranderende beleidsprioriteiten is er ook sprake van een beperking van de discretionaire vrijheid bij handhaving: Tegen het overtreden van de regels moeten, o.b.v. de beginselplicht tot handhaving, in de regel opgetreden worden44. Niet handhaven kan tot een perceptie van ongelijke behandeling, van willekeur, leiden. De AVG voorziet ook in het verwerken van persoonsgegevens “noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen”45. In veel gevallen is er een noodzaak voor het verwerken van gegevens als logisch gevolg van een wettelijke taak, zoals adresonderzoek bij toezicht BRP. Zie hiervoor §7.3.

Bij heimelijk onderzoek, waarbij de iRC applicatie kan worden ingezet, is er echter sprake van inbreuk op een fundamenteel grondrecht, omdat de rechten van de betrokkene achteraf wordt geïnformeerd; het recht in artikel 12 houdt in dat iemand eigenlijk vooraf of tijdens de start van de verwerking moet worden geïnformeerd. In de inleiding is al aangegeven dat een dergelijke inbreuk noodzakelijk moet zijn voor een erkende doelstelling van algemeen belang, zie hiervoor §7.4. De argumenten voor de beperkingen moet duidelijk en nauwkeurig zijn, zodat de toepassing ervan voorspelbaar is voor de betrokkenen.46. Van belang hierbij is, dat de rechtsgrond of wetgevingsmaatregel voldoet aan de rechtspraak van het EHRM47. Een juridisch kader voor heimelijk onderzoek moet dus aan bepaalde voorwaarden voldoen, waaronder waarborgen tegen willekeur, om bijv. inbreuk op het recht van respect op privacy te legitimeren48. Bij het bepalen van de juiste rechtsgrond is het dus voor elk team van belang niet alleen naar een brede juridisch kader te kijken zoals het algemene belang of openbare orde, maar ook rekening te houden met de specifieke bevoegdheden van de toezichthouders te kijken die in de materiële wetgeving zijn opgenomen, zoals de WMO of Jeugdwet.

Een van de aanbevelingen van deze DPIA is het werkproces hierbij ook aan te laten sluiten op een protocol zoals het “Protocol internetonderzoek door gemeenten”. Noodzakelijkheid, proportionaliteit en subsidiariteit In de vorige paragraaf is de noodzaak van gegevensverwerking in het brede juridische kader van handhaving al even ter sprake gekomen. Bij het doen van handhavingsonderzoek, als taak van algemeen belang, is het onvermijdelijk dat er gegevens verwerkt worden. De specifieke bevoegdheden voor het toezicht worden gegeven door de van toepassing zijnde materiële wetgeving, zoals bijvoorbeeld de Participatiewet of de WMO. De inzet van de iRC applicatie maakt het mogelijk internetonderzoek veiliger, efficiënter en beter toetsbaar te doen dan met een gewone browser en “handwerk”. De iRC applicatie sluit in dat opzicht dus 43

Zie artikel 53a, lid 6 Participatiewet en § 4.2 voor een eerder genoemd voorbeeld. Zie Handhaving door en voor gemeenten, p.12 45 Zie artikel 6 lid 1 sub e AVG 46 Zie overweging 41; 47 Zie overweging 41; deze vereisten zijn bijvoorbeeld te vinden in ECLI:CE:ECHR:2010:0914JUD003822403: “[ ] the expressions ‘prescribed by law’ and ‘in accordance with the law’ in Articles 8 to 11 of the Convention not only require that the impugned measure should have some basis in domestic law, but also refer to the quality of the law in question. The law should be both adequately accessible and foreseeable, that is, formulated with sufficient precision to enable the individual — if need be with appropriate advice — to regulate his conduct […] For domestic law to meet these requirements it must afford a measure of legal protection against arbitrary interferences by public authorities with the rights safeguarded by the Convention. In matters affecting fundamental rights it would be contrary to the rule of law, one of the basic principles of a democratic society enshrined in the Convention, for a legal discretion granted to the executive to be expressed in terms of an unfettered power.

Consequently, the law must indicate with sufficient clarity the scope of any such discretion conferred on the competent authorities and the manner of its exercise..” 48 Zie bijvoorbeeld ECLI:NL:CRVB:2016:3479, punt 4.7 en 4.8 44

17

veel beter aan op het ‘integriteit en vertrouwelijkheid’ beginsel en het beginsel van opslagbeperking49 dan handmatig onderzoek. Van belang is dat de iRC applicatie de gemeente daarbij ondersteunt in het nakomen van de verantwoordingsplicht, de transparantie van het werkproces50, op voorwaarde dat dus goed in de werkprocessen is verankerd van de afdelingen waar de iRC-applicatie wordt ingezet. Andere beginselen, zie ook §6.2, zijn niet in de iRC applicatie zelf te borgen. Deze kunnen alleen worden geborgd in het werkproces waarbinnen de iRC applicatie wordt ingezet. Voor gebruik van de iRC applicatie is vastgesteld voor welke specifieke en (rechtmatige) onderzoeksvragen de iRC applicatie wordt ingezet. Daaruit volgt dan, welke persoonsgegevens daarbij adequaat en relevant zijn en hoe de verwerking ervan beperkt kan worden gehouden “tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt”51. De kwaliteit van de informatie die de iRC applicatie oplevert, de juistheid, moet door het werkproces worden geborgd. Bij het gericht zoeken naar feiten en verbanden, moet zorgvuldig omgegaan worden met het bepalen van de relevantie, de ‘versheid’ en de werkelijke waarde van de informatie, steeds weer terug gerelateerd aan de onderzoeksvraag.

Omdat er in principe altijd sprake is van heimelijk onderzoek, vergen de proportionaliteit en subsidiariteit van het gebruik van de iRC applicatie extra aandacht en zorgvuldigheid. Is de inbreuk op de privacy door het gebruik van de iRC applicatie te verantwoorden o.b.v. de doelstellingen van algemeen belang en de beschikbaarheid van alternatieve zoekinstrumenten? Volgens het protocol internetonderzoek door gemeenten is er sprake van proportioneel gebruik van internetonderzoek als uit wettelijke bronnen een “indicatie van fraude” naar voren komt. Zonder een concrete indicatie van een (ongewenste) situatie zou het gebruik van de iRC applicatie voor gericht internetonderzoek disproportioneel zijn. Dat zou dan namelijk een willekeurige inmenging in het privéleven van de betrokkene betekenen. Dit misbruik van bevoegdheden bij het gebruik van de iRC applicatie moet door technische en organisatorische maatregelen worden voorkomen. Proportioneel gebruik betekent dat bij gebruik van de iRC applicatie, ook bij heimelijk onderzoek, moet het belang van de regie op de verwerking van eigen persoonsgegevens van de betrokkene respecteren52. De iRC applicatie is een zeer krachtig middel waarmee in korte tijd en ongemerkt de volledige (publiek) toegankelijk digitale levensloop van iemand kan worden doorzocht. Internetonderzoek dat niet gebaseerd is op een vastomlijnd onderzoeksdoel i.h.k.v.

handhaving, bijv. gebruik van “valse” accounts met de intentie om daarmee relaties aan te gaan op sociale media, is disproportioneel en dus niet toegestaan. Voorafgaand aan en tijdens het gebruik van de iRC applicatie moet afgewogen worden of het gestelde doel niet op een andere, voor de betrokkene minder ingrijpende wijze, kan worden bereikt53. Wat maakt de iRC applicatie in het voorliggende onderzoek onmisbaar? Welke informatie verwachten we door het onderzoek met de iRC applicatie wel te vinden, die we anders niet verwachten te vinden? Dergelijke vragen zijn zeer relevant en moeten dus ook in de Rechten van betrokkenen De gemeente Nissewaard besteedt, conform de informatieplicht die de AVG aan de verwerkingsverantwoordelijke stelt, veel aandacht aan het duidelijk en begrijpelijk beschrijven welke gegevens worden verwerkt, welke rechten burgers hebben m.b.t. het verwerken van deze gegevens en hoe zij die kunnen uitoefenen54. Voor de beschrijving van de rechten zoals vastgelegd in artikel 15 t/m 21, wordt verwezen naar het document AVG-Rechten-van-de-burger dat ook op de website van de gemeente is te vinden. Hier zal