DPIA Ingebruikname iRC applicatie

49

Zie artikel 5 lid 1 e en f, AVG. Zie artikel 5 lid 2, AVG. 51 Dit zijn de beginselen van doelbinding respectievelijk minimale gegevensverwerking; artikel 5 lid 1 b en c AVG. 52 De mate van beperken van de rechten van de betrokkene speelt daarbij ook een belangrijke rol, zie daarvoor de volgende paragraaf. 53 Zie “protocol internetonderzoek door gemeenten”, p.8 54 Zie artikel 12, AVG. Op de website van de gemeente Nissewaard staan alle actuele privacyverklaringen. 50

18

alleen in worden gegaan op de artikelen die niet specifiek in het document worden beschreven en relevant zijn voor deze DPIA55. 6.4.1. Artikel 13/14 Te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld/niet bij de betrokkene zijn verkregen In deze artikelen wordt bepaald op welke informatie de betrokkene minimaal recht heeft bij verwerking van diens persoonsgegevens. In beide artikelen betreft het informatie over de verwerkingsverantwoordelijke, de verwerkingsdoeleinden en rechtsgrond, de categorieën persoonsgegevens, en aan wie persoonsgegevens beschikbaar worden gemaakt56. Daarnaast dient, indien mogelijk, de opslagtermijn aangegeven te worden en moet de betrokkene gewezen worden op diens rechten57. Wanneer persoonsgegevens niet bij de betrokkene verkregen zijn, zoals bij gebruik van de iRC applicatie, moet de betrokkene in principe binnen een termijn van maximaal 1 maand na het verkrijgen van de persoonsgegevens, geïnformeerd worden. In de context van heimelijk onderzoek wordt hier het recht van de betrokkene beperkt, door de betrokkene pas na het afronden van het onderzoek op de hoogte te stellen van het verwerken van persoonsgegevens. Meer hierover in de volgende sub paragraaf. Ook gelden er meer uitzonderingen op de informatieplicht van de verwerkingsverantwoordelijke.

In artikel 13 geldt alleen als uitzondering “[…] wanneer en voor zover de betrokkene reeds over de informatie beschikt.”58 In artikel 14 zijn er ook andere uitzonderingen, waaronder het geval wanneer de informatieplicht “[…] de verwezenlijking van de doeleinden van die verwerking onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen”59. Ook geldt een uitzondering op de informatieplicht wanneer het verkrijgen of verstrekken van de gegevens expliciet in de wet is vastgelegd, zoals het opvragen van salarisgegevens door de belastingdienst voor de jaarlijkse vaststelling van de inkomstenbelasting60. 6.4.2. Artikel 23 Beperkingen Artikel 23 lid 1 AVG beschrijft in welke gevallen en onder welke voorwaarden de rechten van de betrokkene en de plichten van de verwerkingsverantwoordelijke, zoals het (tijdelijk) opschorten van de informatieplicht m.b.t. het verwerken van persoonsgegevens, beperkt kunnen worden. Hierbij gelden voorwaarden: Dat de beperking de “ wezenlijke inhoud” van de grondrechten en fundamentele vrijheden niet aantast en “in een democratische samenleving een noodzakelijke en evenredige maatregel is […]”61. Belangrijk is dat de wettelijke maatregelen de rechten niet volledig of onherroepelijk beperken en dat de verwerkingsverantwoordelijke ten alle tijde gehouden is aan de verantwoordingsplicht62.

De wettelijke maatregelen dienen, waar relevant, specifieke bepalingen te bevatten over de doeleinden, categorieën persoonsgegevens, toepassingsgebied van de beperking(en) en de verwerkingsverantwoordelijke. Daarnaast dienen er bepalingen te zijn over de risico’s voor de rechten en vrijheden van de betrokkenen, waarborgen tegen misbruik, onrechtmatige toegang en doorgifte, opslagperiodes en

55

Artikel 22, AVG beschrijft het recht niet onderworpen te worden aan een uitsluitend op geautomatiseerde verwerking, bijvoorbeeld profilering. Aangezien profilering niet mogelijk is met de iRC applicatie, zal hier verder niet specifiek op in worden gegaan. 56 Zie artikel 13 lid 1 en 14 lid 1 AVG; deze DPIA gaat ervan uit dat via de iRC applicatie verzamelde gegevens alleen worden gebruikt binnen het gestelde onderzoekskader. 57 Zie artikel 13 lid 2 en 14 lid 2 AVG; er gelden specifieke regels voor het verder verwerken van persoonsgegevens door de overheid, zoals het verenigbaar zijn van verdere verwerking met de geheimhoudingsplicht, zie overweging 50, AVG. 58 Zie artikel 13 lid 4 AVG; In Richtsnoeren inzake transparantie (wp260) wordt geadviseerd deze uitzondering “op beperkende wijze” uit te leggen. 59 Zie artikel 14, lid 5b AVG 60 Zie artikel 14, lid 5c AVG 61 Zie artikel 23, lid 1, AVG. De AVG kijkt hier expliciet naar het EVRM, zie § 4.2 62 Zie Guidelines 10/2020 on restrictions under Article 23 GDPR, EDPB p. 4-5

19

overige waarborgen. Ook heeft de betrokkene het recht op de hoogte te worden gesteld van de beperking, tenzij dit afbreuk kan doen aan het doel van de beperking63. Een van de concrete gevallen waarin de rechten van de betrokkene kunnen worden beperkt, is in de uitoefening van openbaar gezag (bijv. toezicht) bij een belangrijk economisch of financieel belang van een lidstaat, bijvoorbeeld sociale zekerheid64. Hierbij moeten de beperkingen wel een noodzakelijkheid en proportionaliteit test doorstaan. Het uitvoeren van heimelijk internet-onderzoek kan niet zonder het tijdelijk opschorten van de informatieplicht aan betrokkene. Het opheffen van deze beperkingen moet dus gebeuren door de betrokkene achteraf te informeren om betrokkene alsnog en in staat te stellen diens rechten uit te oefenen, zoals het recht op inzage, rectificatie etc. Dit zijn afwegingen waar in het eerdergenoemde protocol veel aandacht aan besteed is; betrokkene wordt bijvoorbeeld altijd achteraf geïnformeerd over het feit dat onderzoek heeft plaatsgevonden en over het resultaat van het onderzoek. Mits gebaseerd is op de juiste rechtsgronden, kunnen persoonsgegevens met de iRC applicatie worden verwerkt zonder daar de betrokkene(n) vooraf over te informeren. Hierbij blijft de verantwoordingsplicht in stand.

Eventuele beperkingen zoals bedoeld in artikel 23, de afwegingen voor het instellen van beperkingen in bepaalde gevallen en de verantwoordelijken voor die afwegingen dienen meegenomen te worden in de toetsing van de noodzakelijkheid, proportionaliteit en subsidiariteit65. Algemene informatie over de inzet van de iRC applicatie bij vermoeden van fraude, kan worden bekend gemaakt d.m.v. een privacyverklaring. Ook is het een verwerking die in het verwerkingsregister moet worden opgenomen.66. Bijzondere persoonsgegevens, strafrechtelijke gegevens en BSN Binnen de verschillende werkvelden is er vaak sprake van het verwerken van bijzondere/gevoelige persoonsgegevens. Zo is beperkte inzage toegestaan bij het beoordelen van een aanvraag i.h.k.v. de WMO of Jeugdwet en bevat de BRP-gegevens van burgers, inclusief het BSN. De iRC applicatie is niet primair ingericht voor verwerking van bijzondere of gevoelige persoonsgegevens. Er wel voorzienbaar dat resultaten van zoekactiviteiten bijzondere/gevoelige persoonsgegevens kunnen bevatten, zoals foto’s of informatie m.b.t. gezondheid of financiën. Bij het verwerken van foto’s is er niet automatisch sprake van het verwerken van bijzondere persoonsgegevens67. Wanneer bijzondere persoonsgegevens worden aangetroffen tijdens het onderzoek mogen deze slechts worden vastgelegd in de onderzoeksresultaten/het dossier.

Ook moet hiervoor naast de grondslag, een uitzondering conform artikel 9 AVG kunnen worden aangegeven. Het is bijvoorbeeld denkbaar dat het verwerken van de specifieke bijzondere persoonsgegevens expliciet in de wet beschreven staat68. Verstrekking van persoonsgegevens aan derde partijen Dit valt buiten de scope van deze DPIA. Doorgifte persoonsgegevens aan derde landen Dit valt buiten de scope van deze DPIA.

63

Zie artikel 23, lid , AVG. Zie artikel 23 lid e AVG: “andere belangrijke doelstellingen van algemeen belang van de Unie of van een lidstaat, met name een belangrijk economisch of financieel belang van de Unie of van een lidstaat, met inbegrip van monetaire, budgettaire en fiscale aangelegenheden, volksgezondheid en sociale zekerheid” 65 Zie bijvoorbeeld Privacy in het sociaal domein, p. 46 66 Zie Guidelines 10/2020 on restrictions under Article 23 GDPR, EDPB p. 14 ; het vastleggen wanneer op welke wijze beperkingen worden toegepast, zou aan het verwerkingsregister toegevoegd kunnen worden. 67 Zie Overweging 51, AVG 68 Zie artikel 9 AVG. Zo is het verwerken van persoonsgegevens van minderjarigen inherent aan de jeugdwet, wordt bijv. het BSN gebruikt i.h.k.v. de jeugdwet en BRP, geeft de WMO 2015 bevoegdheid medische gegevens te verwerken. Bij onderzoek naar woonsituatie, nevenactiviteiten etc. i.h.k.v. de Participatiewet is het verwerken van bijzondere persoonsgegevens zoals seksuele gerichtheid, etnische afkomst etc. ook moeilijk uit te sluiten. 64

20

7. Risicoanalyse Aanpak risicoanalyse en -classificatie De aanpak in deze DPIA gaat uit van een bruto/rest risicoanalyse, waarbij zowel naar risico’s voor de betrokkene als de verwerkingsverantwoordelijke wordt gekeken. Overweging 75 van de AVG dient als basis bij het bepalen welke risico’s bekeken moeten worden. Eerst wordt de iRC applicatie beoordeeld op deze risico’s, zonder enige rekening te houden met bestaande of voorgenomen technische of organisatorische maatregelen van de leverancier of van de kant van de gemeente Nissewaard. Hierdoor wordt een volledig beeld verkregen van de kwetsbaarheid voor “ongeoorloofde of onrechtmatige verwerking en […] onopzettelijk verlies, vernietiging of beschadiging “69. Vervolgens worden de risico’s opnieuw bekeken, rekening houdend met de bestaande dan wel voorgenomen maatregelen, om te beoordelen of ze voldoende afgedekt zijn. Hierbij moet worden gedacht aan zowel preventieve maatregelen, maatregelen voor het beperken van de gevolgen van het daadwerkelijk optreden van een risico (repressief), als maatregelen voor herstel na het optreden van een risico (correctief). Tenslotte zullen, daar waar nodig, de juiste aanbevelingen worden aangereikt, waarmee het betreffende risico tot het gewenste lage niveau kan worden teruggebracht.

Hoog

A3

B3

C3

Middel

A2

B2

C2

Aanvaardbaar

Risico organisatie

De gekozen aanpak benadrukt de twee verschillende dimensies, de betrokkene en de organisatie, bij het beoordelen op de risico’s. Daarbij wordt er niet een belangenafweging gemaakt, maar is het de bedoeling dat de eventuele restrisico’s voor beide partijen aanvaardbaar zijn. Om dit inzichtelijk te maken, wordt hiervoor de “schaal van erg” toegepast (zie figuur 2).

A1

B1

C1

Aanvaardbaar

Middel

Hoog

Risico betrokkene

FIGUUR 2: SCHAAL VAN ERG Elk risicoprofiel is een afweging tussen de kans dat de risico zich voordoet en de mate van impact wanneer dat gebeurt. Een risico, waarvan de impact voor een of beide partijen zeer groot is, kan nog steeds aanvaardbaar zijn, mits de kans tot een verwaarloosbaar niveau beperkt blijft. Andersom geldt dat, bij een grote kans op voordoen, een bepaald risico alleen aanvaardbaar is, wanneer de impact minimaal is. Bruto risico’s Het doel van een bruto risicoprofiel van de iRC applicatie, de fictieve situatie waarin alle technische of organisatorische maatregelen worden weggedacht, is een goed beeld te krijgen van de kwetsbaarheid die het introduceert. Zonder technische of organisatorische maatregelen betekent: Geen beperkingen op de inzet van de iRC applicatie, noch beperkingen op de beschikking over de (bijzondere/gevoelige) 69

Artikel 5 lid 1 sub f, AVG; dit citaat geeft kernachtig weer welke aspecten van belang zijn bij het bepalen van het bruto risicoprofiel. Hier hoort het voldoen aan de verantwoordelijkheidsplicht, artikel 5 lid 2, vanzelfsprekend ook bij.

21

persoonsgegevens die eruit voortvloeien. Dit zou o.a. inhouden, potentieel onbeperkt en onbevoegd toegang tot (bijzondere/gevoelige) persoonsgegevens van iedereen, niet alleen burgers van de gemeente Nissewaard. Persoonsgegevens zouden onbeperkt bewaard kunnen worden in een onveilige/onbetrouwbare omgeving, zonder de vertrouwelijkheid te kunnen garanderen. Ook zou onzorgvuldigheid in het verwerken van de gegevens, mogelijk tot een andere uitkomst kunnen leiden. Er zouden gegevens kunnen ontbreken, en er zou een cascade-achtig effect kunnen ontstaan door het wel of niet delen van (onbetrouwbare) gegevens met andere partijen. In deze context, waar technische of organisatorische maatregelen ontbreken, is de rechtmatigheid van de inzet van de iRC applicatie moeilijk aantoonbaar. Er is geen basis waarop de verantwoordingsplicht m.b.t. het gebruik van de iRC applicatie gefundeerd kan worden, zoals richtlijnen, een dossier, een toewijzing aan een toezichthouder of het gebruik van een (automatisch gegenereerd) overzicht van activiteiten. Hoewel een dergelijk uitgangspunt misschien excessief overkomt, is de kracht van deze benadering dat alle bestaande of voorgenomen maatregelen, hoe voor de hand liggend ook, in de analyse worden meegenomen. 7.2.1.

Discriminatie Er wordt in de AVG geen definitie van discriminatie gegeven, maar de VNG omschrijft het als “[…]er onterecht verschil wordt gemaakt tussen mensen op basis van kenmerken die in een bepaalde situatie niet van belang zijn” 70. Dit onterecht verschil maken gebeurt het meest onbewust, als in “unconscious bias”, hoewel er soms ook willens en wetens wordt gediscrimineerd, zoals blijkt uit jurisprudentie waarbij de seksuele gerichtheid van de betrokkene als drukmiddel is gebruikt71. Essentieel voor deze analyse is dat het risico op dergelijk gedrag niet geïntroduceerd wordt door de iRC applicatie. Maar hoewel de iRC applicatie niet is gericht op het verwerken van bijzondere persoonsgegevens, is er gerede kans dat er bijzondere persoonsgegevens, gegevens over gezondheid, seksuele gerichtheid, of gegevens waaruit ras of etnische afkomst blijkt, mee gevonden kunnen worden. Er geldt bij de inzet van de iRC applicatie een risico op (onbewuste) beïnvloeding o.b.v. vooroordelen. Dit risico is niet inherent aan de iRC applicatie, maar vergt maatregelen vanuit het werkproces waarin het wordt gebruikt. Vanuit het perspectief van de gemeente Nissewaard is het onbevooroordeeld handelen, zeker in de context van het sociaal domein, van groot belang.

Omdat zelfs de perceptie van bevooroordeeldheid72 impact kan hebben op het vertrouwen van de burger, is hier ook voor de gemeente Nissewaard sprake van een verhoogd risico. Het bruto risiconiveau komt hiermee op C2. 7.2.2. Identiteitsdiefstal of -fraude Ook hier geldt dat het voor risico op identiteitsdiefstal of -fraude niet op zichzelf wordt geïntroduceerd door de inzet en gebruik van de iRC applicatie. De iRC applicatie biedt immers toegang tot dezelfde gegevens als een normale browser73. Eerdere stappen in het werkproces bieden wel toegang tot gegevens die voor identiteitsdiefstal of -fraude interessant zouden kunnen zijn. In het bruto risicoprofiel, waarbij de identiteit van de gebruiker niet gegarandeerd is, werkt het gebruik van de iRC risico-verhogend. Zou de opzet bestaan om misbruik te maken van persoonsgegevens, dan wordt dat makkelijker gemaakt door het niet-traceerbaar kunnen navigeren en de toegang tot het dark web74. Hoewel het niet waarschijnlijk is dat de iRC applicatie in wordt gezet voor identiteitsdiefstal of -fraude, is de impact groot. Niet alleen voor het slachtoffer, maar zeker ook voor de gemeente Nissewaard is deze moeilijk te achterhalen route voor het mogelijk lekken van gegevens zorgelijk. Een bruto risicoprofiel komt hiermee op maximaal B2, waarmee het als kwetsbaarheid niet over het hoofd moet worden gezien. 70

Handreiking antidiscriminatiebeleid voor gemeenten Zie ECLI:NL:CRVB:2019:1426 72 Zie bijvoorbeeld dit artikel op Groot Nissewaard.nl 73 Voor toegang tot het dark web moet, zoals gezegd, wel een Tor-browser geïnstalleerd. 74 Ook aan de kennis over wie toegang heeft tot de iRC applicatie, is dus een bepaald risico verbonden. 71

22

7.2.3. Financiële verliezen Met de iRC applicatie kunnen feiten of verbanden worden blootgelegd, die anders soms moeilijk te bewijzen zijn, bijvoorbeeld via formele bronnen, of veel ingrijpendere werkwijzen vergen, bijvoorbeeld bezoek aan huis of op de werkplek75. Bij zorgvuldig gebruik van de iRC applicatie kan er fraude worden aangetoond, misbruik van publieke gelden, die anders misschien ongemoeid zou zijn gelaten. Aan de andere kant kan onzorgvuldig gebruik van de iRC applicatie, d.w.z. onjuiste/onvolledige weergave van de feiten, leiden tot een onterechte financiële impact voor de betrokkene. Er zijn in de praktijk ook voorbeelden te vinden, waarbij resultaten uit internetonderzoek niet of onvoldoende zijn onderbouwd. met informatie uit andere bronnen76. Gezien de vaak precaire financiële situatie waarin de betrokkene zich bevindt, heeft een dergelijke situatie een cascade-achtig effect waardoor de fout achteraf niet eenvoudig te herstellen is 77. Voor het risico op financiële verliezen bij de gemeente, is het uitgangspunt dat zonder de juiste inzet van de iRC applicatie voor het onderbouwen van onderzoeksresultaten via andere (formele) bronnen, er fraude ongedetecteerd blijft. Een kosten/baten prognose voor de inzet van de iRC applicatie bij de gemeente Nissewaard valt buiten de scope van deze DPIA, maar ook voor de gemeente lijkt de impact potentieel significant.

Zelfs als er wordt uitgegaan van een geringe kans op financiële verliezen voor de gemeente bij (onzorgvuldig) gebruik van de iRC applicatie is het bruto risicoprofiel C2. 7.2.4. Reputatieschade Reputatieschade voor de betrokkene lijkt, zeker in de context van deze DPIA met heimelijk onderzoek als uitgangspunt, moeilijker eenduidig vast te stellen dan financiële verliezen. In het laatste geval is er per definitie sprake van een onrechtmatige overheidsdaad, maar de vraag is of dat in het kader van de AVG ook geldt voor reputatieschade. Waar ligt de grens voor het deelgenoot maken van andere partijen/personen aan een lopend onderzoek, ook al wordt er uiteindelijk iets gevonden? Zo zijn er twee Nationale ombudsman rapporten met reputatieschade als aandachtspunt, waar er verschillende conclusies worden getrokken over wat behoorlijk is bij een handhavingsonderzoek78. Bij een bruto risicoprofiel moet rekening worden gehouden met het zodanig lekken van zoekinformatie uit de iRC applicatie, dat het reputatieschade tot gevolg zou hebben. Daar hoort ook bij dat zeer zorgvuldig moet worden omgegaan met alleen al het feit dat überhaupt iRC-onderzoek is uitgevoerd; alleen al het bekend worden bij anderen dan betrokkene zelf dat onderzoek (al dan niet met de iRC-applicatie) is uitgevoerd, kan leiden tot reputatieschade voor betrokkene.

Hierbij weegt de geheimhoudingsplicht van de betreffende ambtenaar zwaar mee, inclusief het risico dat dit naar de persoon terug te herleiden is. De informatie uit de iRC applicatie kan immers ook op een andere manier gevonden worden. Wat betreft de betrokkene is het risico gelegen in de mate van betrokkenheid van een of meerdere partijen, ‘derden’, in een handhavingsonderzoek of bij de gevolgen ervan. Dat risico wordt niet door de iRC applicatie zelf geïntroduceerd, maar het gebruik van de applicatie kan het wel versterken door bijvoorbeeld onzorgvuldig gebruik. Dezelfde onzorgvuldigheid bij gebruik van de iRC applicatie die het risico op financiële verliezen verhoogt, kan door het onnodig betrekken van andere partijen, bijv. (buurt)interviews, voor de betrokkene zwaarwegende gevolgen hebben. Voor de reputatie van de gemeente Nissewaard zelf, is hier het bruto risicoprofiel in essentie het doembeeld dat men zou willen voorkomen: een gemeente die onbeperkt (en ongemerkt) burgers bespiedt. Hier is de iRC applicatie de belangrijke factor, echter de noodzakelijke maatregelen liggen merendeels buiten de iRC applicatie zelf. Het bruto risicoprofiel komt daarmee op B3.

75

Los van de vraag of deze werkwijzen een grotere inbreuk op de privacy vormen, vergen deze werkwijzen veel inzet, training en ervaring i.h.k.v. bijvoorbeeld zorgvuldigheid. 76 Zie hiervoor bijvoorbeeld ECLI:NL:CRVB:2020:3366 en ECLI:NL:CRVB:2020:2954 77 De toeslagenaffaire is hier een goed voorbeeld van. 78 Nationale ombudsman rapport Een stap te ver en 2017/026

23

7.2.5. Verlies van vertrouwelijkheid van door het beroepsgeheim beschermde persoonsgegevens Hier kan voor de duidelijkheid onderscheid gemaakt worden tussen geheimhouding van hulpverleners, (bedrijfs)artsen etc. en de geheimhouding van ambtenaren. Het beroepsgeheim van de eerste groep, waaronder bijzondere persoonsgegevens zoals gegevens over gezondheid vallen, is uiterst belangrijk voor de (kwetsbare) burgers. Het beschadigen van hun vertrouwen zou een potentieel grote impact kunnen hebben. Er wordt hier ook toezicht op gehouden, en kunnen bij gebruik van de iRC applicatie bij dergelijk onderzoek (bijzondere) gegevens direct of indirect aan het licht komen. Wanneer deze gegevens relevant zijn in de context van een breder fraudeonderzoek, zou mogelijk een beroep gedaan kunnen worden op een uitzondering op het verbod van het verwerken van bijzondere persoonsgegevens, namelijk vanwege het feit dat deze “kennelijk door de betrokkene openbaar zijn gemaakt”79. Bij het vaststellen van het bruto risicoprofiel is het hierbij zorgvuldige afwegen van belangen nog steeds van belang. De geheimhoudingsplicht voor ambtenaren geldt m.b.t. gegevens die tijdens werkzaamheden gevonden worden, maar daarnaast is er wel wettelijk verplicht om een misdrijf te melden.

Ook hier geldt voor het bruto risicoprofiel het uitgangspunt het ontbreken van de zorgvuldigheid in het afwegen van belangen of het ervoor zorgen dat (bijzondere) persoonsgegevens alleen toegankelijk zijn voor bevoegden en alleen in die mate die nodig is voor het uitvoeren van de betreffende taak80. Waar de impact voor de betrokkene duidelijk groot is bij dit risico, zal de kans van optreden in hoge mate verschillen tussen de werkprocessen. Bij de gemeente is de kans dat er een afweging moet worden gemaakt tussen het behoud van vertrouwelijkheid of het (verder) verwerken van gegevens groot. Wanneer de vertrouwelijkheid van een werkproces niet goed is geborgd, is dat ook voor de gemeente op z’n minst zorgelijk. Hiermee komt het bruto risicoprofiel uit op C2. 7.2.6. Ongeoorloofde ongedaanmaking van pseudonimisering Er is bij gebruik van de iRC applicatie geen sprake van pseudonimisering, alleen van encryptie (zoals de verbindingen en de opgeslagen gegevens bij gebruik van de OSINT-applicatie). 7.2.7. Enig ander aanzienlijk economisch of maatschappelijk nadeel Een inbreuk op de persoonlijke levenssfeer door een controlerende overheid wordt vaak als stressvol ervaren.

Zonder maatregelen om hier zorgvuldig mee om te gaan, kunnen betrokkenen hier ernstige gevolgen van ondervinden die weer een terugslag, in de vorm van negatieve publiciteit, op de verwerkingsverantwoordelijke kan hebben. Een voorbeeld dat ook de krant heeft gehaald betreft langdurige en frequente heimelijk waarnemingen81. De betrokkene was zich hiervan bewust en heeft achteraf hier nog lange tijd last van ondervonden82. Bij huis- of werkplekbezoek, interviews of bij vormen van heimelijk waarnemen, zoals observatie, is er een (grote) kans dat de betrokkene bewust wordt van het handhavingsonderzoek. Die kans is er bij het gebruik van de iRC applicatie niet. Zeker bij het vaststellen van het bruto risicoprofiel, waarbij er geen rekening wordt gehouden met de informatieplicht. De betrokkene zou daardoor, na een onderzoek, alleen op de hoogte worden gebracht wanneer daartoe aanleiding is. Maar het is juist mede de verplichting de betrokkene te informeren over heimelijk onderzoek wanneer dat ongemerkt en zonder gevolgen gebeurt, waarom

79

Artikel 9 lid 2 e, AVG Een recent voorbeeld is de commotie rond het beschikbaar zijn van persoonsgegevens bij de GGD. 81 Zie als voorbeeld de casus ECLI:NL:CRVB:2017:2807. Volgens deze uitspraak is het bewijs door stelselmatige observaties op een wijze verkregen “die zozeer indruist tegen wat van een behoorlijk handelende overheid mag worden verwacht dat gebruik hiervan door appellant ontoelaatbaar moet worden geacht”. 82 , In een artikel van de Volkskrant wordt de persoon in kwestie omschreven als getraumatiseerd. 80

24

maatregelen m.b.t. proportionaliteit, subsidiariteit en de verantwoordingsplicht zo belangrijk zijn83. Op dit punt komen we in de volgende paragraaf uitgebreider terug. Bij het vaststellen van het bruto risicoprofiel voor dit en vergelijkbare risico’s, is het van belang te realiseren dat er een bandbreedte is waarbinnen deze risico’s beheersbaar zijn. De grens van het betamelijke en de drempel van schroom zijn niet ingebouwd in de iRC applicatie, maar moeten door elk werkproces afzonderlijk worden ingesteld. Bij dit specifieke risico is de kans op het voorkomen ervan lastig te kwantificeren, maar het bruto risicoprofiel komt op minimaal B2. 7.2.8. Wanneer de betrokkenen hun rechten en vrijheden niet kunnen uitoefenen of worden verhinderd controle over hun persoonsgegevens uit te oefenen Bij het vaststellen van het bruto risicoprofiel voor dit risico is het uitgangspunt dat er geen afweging bestaat om de noodzakelijkheid en proportionaliteit van de beperkingen, zoals bedoelt in artikel 23 AVG, te beoordelen. Dit is op zichzelf onrechtmatig84. Daarnaast tast het een aantal fundamentele beginselen van de AVG aan, zoals de verantwoordingsplicht en het ontnemen van de regie van de betrokkene op zijn/haar eigen persoonsgegevens.

Zonder regie op de verwerking van persoonsgegevens door de betrokkene zelf, is het aan de gemeente om te laten zien dat het de genoemde risico’s onder controle heeft. Dat bevoegdheden behoorlijk worden gebruikt, dat nadelige gevolgen niet onevenredig zijn in verhouding tot de beoogde doelen, dat bij het verwerken van persoonsgegevens de afweging “in relatie tot de functie ervan in de samenleving” is vastgelegd. Voor de gemeente is de impact van dit risico ook groot. Het is in het belang van handhaving rechtmatig en transparant te werken, wat alleen kan wanneer beperkingen noodzakelijk en evenredig zijn. De betrouwbaarheid, geloofwaardigheid en het voorkómen van willekeur en misbruik zijn juist gebaat met de regie van de betrokkene op zijn/haar eigen persoonsgegevens. Door het gebrek aan grip op eigen digitale sporen die op het internet achterblijven, is er ook weinig regie van de betrokkene mogelijk op gegevensverwerking bij internetonderzoek. Ten opzichte van alternatieve vormen van onderzoek lijkt het gebruik van de iRC applicatie daarmee een grotere impact te hebben m.b.t. dit risico. Formele bronnen hebben doorgaans een duidelijk omschreven rechtsgrond en een beperkte set aan te raadplegen gegevens. Observatie is, zoals eerder aangegeven, een ingrijpender vorm van onderzoek, maar is beperkt in het hier en nu.

Ook (buurt)interviews zijn in andere opzichten ingrijpender, maar in principe ook meer afgebakend. Het risicoprofiel komt hiermee uit op C3. 7.2.9. Wanneer persoonsgegevens worden verwerkt waaruit ras of etnische afkomst, politieke opvattingen, religie of levensbeschouwelijke overtuigingen, of vakbondslidmaatschap blijkt, en bij de verwerking van genetische gegevens of gegevens over gezondheid of seksueel gedrag of strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen Het verwerken van bijzondere persoonsgegevens mag alleen als een uitzondering van toepassing is, krachtens artikel 9 lid 2 AVG. In een bruto risicoprofiel, het onbeperkt verwerken van dergelijke gegevens, is de impact dan ook zeer hoog. Ondanks dat de iRC applicatie is niet ingericht voor het zoeken naar bijzondere persoonsgegevens, is er een gerede kans op het vinden van bijzondere persoonsgegevens. Buiten verwerking in de lijn van het al besproken risico op discriminatie, zijn er 2 opties m.b.t. informatie die via de iRC applicatie wordt gevonden: De bijzondere persoonsgegevens zitten besloten in beeldmateriaal, maar worden niet intentioneel als bijzondere gegevens verwerkt 85. De tweede optie, bijzondere persoonsgegevens worden wel intentioneel als bijzondere gegevens verwerkt, is het meest relevantie scenario voor dit specifieke risicoprofiel.

83

Zie het Protocol internetonderzoek door gemeenten, p.11 over de noodzaak de betrokkene ook bij het niet constateren van fraude achteraf te informeren. 84 Zie guideline 38, Guidelines 10/2020 on restrictions under Article 23 GDPR, EDPB 85 Hoewel bijv. bij foto’s die bepaalde bijzondere persoonsgegevens bevatten, is er alleen sprake van het verwerken van bijzondere persoonsgegevens, als het proces er daadwerkelijk op gericht is.

25

Er is een uitzondering op het verbod op het verwerken van bijzondere persoonsgegevens, namelijk bij het uitoefenen van specifieke verplichtingen of rechten op het gebied van o.a. socialezekerheidsrecht of socialebeschermingsrecht86. Bij gebruik van de iRC applicatie is het de vraag of een beroep op deze uitzondering zonder meer gecombineerd moet worden met het beperken van de rechten van de betrokkene. Het wegdenken van de (extra) waarborgen die deze combinatie nodig heeft, leidt bij het bruto risicoprofiel tot een substantieel risico voor de betrokkene. Ook de gemeente loopt een hoger risico op ondeugdelijk onderzoek, met alle gevolgen van dien. Het bruto risicoprofiel komt hiermee op C2. 7.2.10. Wanneer persoonlijke aspecten worden geëvalueerd, om met name beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren of interesses, betrouwbaarheid of gedrag, locatie of verplaatsingen te analyseren of te voorspellen, teneinde persoonlijke profielen op te stellen of te gebruiken De iRC applicatie is niet geschikt voor het opstellen van persoonlijke profielen. 7.2.11. Wanneer persoonsgegevens van kwetsbare natuurlijke personen, met name van kinderen, worden verwerkt; of wanneer de verwerking een grote hoeveelheid persoonsgegevens betreft en gevolgen heeft voor een groot aantal betrokkenen.

In het bepalen van het bruto risicoprofiel is hier weer sprake van een grote waarschijnlijkheid op voordoen. Veel betrokkenen binnen het sociaal domein zijn aan te merken als kwetsbare natuurlijke personen, bijv. door de afhankelijke relatie die deze burgers hebben met de gemeente. Bij het gebruik van de iRC applicatie kunnen ook persoonsgegevens van kinderen onderdeel van onderzoek zijn. De vraag is welke impact het gebruik van de iRC applicatie op dit risico heeft, of de afhankelijkheidsrelatie van een burger of het internetgedrag van een kind hij of zij kwetsbaarder maakt. In vergelijking met andere risico’s is die impact hier niet evident. De combinatie van de afhankelijkheidsrelatie van een burger of het begrip van een kind met het beperken van de rechten van de betrokkene, die met het gebruik van de iRC applicatie gepaard gaat, kan meer impact hebben. Hier zou rekening mee gehouden moeten worden bij het bepalen van de noodzaak en proportionaliteit van beperkingen en bij het informeren van de betrokkene. Het bruto risicoprofiel komt hiermee op C2. Inventarisatie bekende maatregelen en aanbevelingen In dit laatste deel van de risicoanalyse wordt gekeken naar de effectiviteit van de bekende maatregelen in het terugbrengen van de aangegeven risico’s tot een aanvaardbaar niveau. Hierbij is gekozen voor een overzicht in tabelvorm.

Het risico, het profiel en de relevante maatregelen zijn hierdoor in een oogopslag te zien.

86

Zie artikel 9 lid 2b AVG

26

#

Risico Discriminatie

Bruto Belangrijkste risicoprofiel aandachtspunten C2

1

2

Identiteitsdiefstal of fraude

B2

Financiële verliezen

3

C2

Risico-specifieke technische maatregelen

Risico-specifieke organisatorische maatregelen

 Discriminatie o.b.v. bewust misbruik of “unconscious bias”  Transparantie: traceerbaarheid  Transparantie: objectiviteit  Identiteit gebruiker

T1.1. Twee-factor-authenticatie T1.2. Toegangsrechten gebruikersaccount per module T4.1. Automatische vastlegging zoekactiviteiten (OSINT Tool Kit)

B1.2. Instellen wachtwoord complexiteit/periodiciteit B4.1. Instellen, monitoren en onderhouden van het vastleggen/verplaatsen/verwijderen van metadata m.b.t. zoekactiviteiten binnen de iRC applicatie (Bijv. toevoegen logbestanden bij elk dossier, en periodiek inzien ervan) B5.1. Beheer gebruiksrechten iRC applicatie B6.3 Aansluiten bij goedgekeurde gedragscodes/ protocollen/ certificeringsmechanismen

 iRC applicatiegebruiker als potentiele doelgroep voor criminelen  Transparantie: traceerbaarheid  Controle op zoekactiviteiten

T1.1. Twee-factor-authenticatie T1.2. Toegangsrechten gebruikersaccount per module T4.1. Automatische vastlegging zoekactiviteiten (OSINT Tool Kit)

 Onjuiste/onvolledige weergave van de feiten  Niet of onvoldoende onderbouwing met informatie uit andere bronnen  Ongedetecteerde fraude

T1.1. Twee-factor-authenticatie T1.2. Toegangsrechten gebruikersaccount per module T4.1. Automatische vastlegging zoekactiviteiten (OSINT Tool Kit)

Commentaar

Bewust misbruik: Bekende maatregelen bewust inzetten op volledig transparant gebruik van de iRC applicatie (traceerbaarheid / objectiviteit) bijv. o.b.v. een goedgekeurd protocol “Unconscious bias”: Bij nieuw /verandering werkproces bewust het antidiscriminatiebeleid verankeren. Bij gebruik van de iRC applicatie zou (steekproefsgewijs / risk-based) een 4-ogen beleid kunnen worden toegepast B1.2. Instellen wachtwoord complexiteit/periodiciteit Bewust misbruik: Bekende B4.1. Instellen, monitoren en onderhouden van het maatregelen bewust inzetten op vastleggen/verplaatsen/verwijderen van metadata m.b.t. volledig transparant gebruik van de zoekactiviteiten binnen de iRC applicatie (Bijv. toevoegen iRC applicatie (traceerbaarheid / van logbestanden bij elk dossier, en periodiek inzien objectiviteit) bijv. o.b.v. een ervan) goedgekeurd protocol B5.1. Beheer gebruiksrechten iRC applicatie Regelmatig herhalen van de B6.1 Evalueren, actualiseren en verankeren veiligheids- en veiligheidsrisicoanalyse om de gegevensbeschermingsbeleid risico’s aanvaardbaar te houden en B6.3 Aansluiten bij goedgekeurde gedragscodes/ alert te zijn op nieuwe risico’s protocollen/ certificeringsmechanismen B3.1.

Instellen, monitoren en onderhouden van het Bekende maatregelen inzetten vastleggen/verplaatsen/verwijderen van binnen een kwaliteitsbeleidskader, persoonsgegevens waaraan het gebruik/inzet van de B4.1. Instellen, monitoren en onderhouden van het iRC applicatie getoetst kan worden vastleggen/verplaatsen/verwijderen van metadata m.b.t. zoekactiviteiten binnen de iRC applicatie (Bijv. toevoegen van logbestanden bij elk dossier, en periodiek inzien ervan) B5.3.Beheer fileservers/case management applicaties B6.1 Evalueren, actualiseren en verankeren veiligheids- en gegevensbeschermingsbeleid B6.3 Aansluiten bij goedgekeurde gedragscodes/ protocollen/ certificeringsmechanismen

27

#

Risico

Bruto Belangrijkste risicoprofiel aandachtspunten

Reputatieschade

4

Risico-specifieke organisatorische maatregelen

Commentaar

 Onjuiste/onvolledige weergave van de feiten  Onzorgvuldig gebruik van de iRC applicatie  Negatieve beeldvorming inzet iRC applicatie

T1.1. Twee-factor-authenticatie T1.2. Toegangsrechten gebruikersaccount per module T4.1. Automatische vastlegging zoekactiviteiten (OSINT Tool Kit)

Bekende maatregelen inzetten binnen een veiligheidsbeleids-kader, waaraan het gebruik/inzet van de iRC applicatie getoetst kan worden. De bewustwording van veiligheidsen gegevensbeschermingsbeleid blijvend bevorderen, met name ook in relatie tot gegevensdeling met externe partijen

 Beschadigen vertrouwen in gemeentelijke hulpverlening  Beschadigen betrouwbaarheidsimago gemeente Nissewaard

T1.2. Toegangsrechten gebruikersaccount per module T3.2. Encryptie opgeslagen gegevens o.b.v. eigen sleutel gebruiker

B3.1. Instellen, monitoren en onderhouden van het vastleggen/verplaatsen/verwijderen van persoonsgegevens B4.1. Instellen, monitoren en onderhouden van het vastleggen/verplaatsen/verwijderen van metadata m.b.t. zoekactiviteiten binnen de iRC applicatie B6.1 Evalueren, actualiseren en verankeren veiligheids- en gegevensbeschermingsbeleid B6.2. Informatiebeleid en communicatie B6.3 Aansluiten bij goedgekeurde gedragscodes/ protocollen/ certificeringsmechanismen B6.4 Het bevorderen van bewustwording m.b.t. veiligheids- en gegevensbeschermingsbeleid (training) B3.1. Instellen, monitoren en onderhouden van het vastleggen/verplaatsen/verwijderen van persoonsgegevens B5.1. Beheer gebruiksrechten iRC applicatie B5.2. Instellen, monitoren en onderhouden veiligheid omgevingscomponenten intern B6.1 Evalueren, actualiseren en verankeren veiligheids- en gegevensbeschermingsbeleid B6.2. Informatiebeleid en communicatie B6.3 Aansluiten bij goedgekeurde gedragscodes/ protocollen/ certificeringsmechanismen B6.4 Het bevorderen van bewustwording m.b.t. veiligheids- en gegevensbeschermingsbeleid (training) NVT

NVT

B3.1. Instellen, monitoren en onderhouden van het vastleggen/verplaatsen/verwijderen van persoonsgegevens B6.1 Evalueren, actualiseren en verankeren veiligheids- en gegevensbeschermingsbeleid B6.2. Informatiebeleid en communicatie B6.3 Aansluiten bij goedgekeurde gedragscodes/ protocollen/ certificeringsmechanismen B6.4 Het bevorderen van bewustwording m.b.t. veiligheids- en gegevensbeschermingsbeleid (training)

Bekende maatregelen bewust inzetten op volledig transparant gebruik van de iRC applicatie (traceerbaarheid / objectiviteit) bijv. o.b.v. een goedgekeurd protocol. Hierbij is goede communicatie en training ook van belang.

B3

Verlies van vertrouwelijkheid […] beroepsgeheim beschermde persoonsgegevens 5

Ongeoorloofde 6 ongedaanmaking van pseudonimisering Enig ander aanzienlijk economisch of maatschappelijk nadeel 7

Risico-specifieke technische maatregelen

C2

NVT

B2

NVT  Proportionaliteit/subsidiariteit internetonderzoek  Mate van beperkingen rechten, met name informatieplicht bij geen/onvoldoende frauderesultaat

NVT

28

Bekende maatregelen inzetten binnen een veiligheidsbeleids-kader, waaraan het gebruik/inzet van de iRC applicatie getoetst kan worden. De bewustwording van veiligheidsen gegevensbeschermingsbeleid blijvend bevorderen, met name ook in relatie tot gegevensdeling met externe partijen

#

Risico

Wanneer de betrokkenen hun rechten en vrijheden niet kunnen uitoefenen of worden verhinderd controle over hun 8 persoonsgegevens uit te oefenen

Wanneer persoonsgegevens worden verwerkt waaruit ras of etnische afkomst, politieke opvattingen, religie of levensbeschouwelijke 9 overtuigingen, of vakbondslidmaatschap blijkt […]

Wanneer persoonlijke 10 aspecten worden geëvalueerd […]

Bruto Belangrijkste risicoprofiel aandachtspunten

Risico-specifieke technische maatregelen

Risico-specifieke organisatorische maatregelen

Commentaar

 Onrechtmatigheid verwerking bij volledige beperking  Proportionaliteit/subsidiariteit beperkingen  Transparantie werkwijze

B3.1. Instellen, monitoren en onderhouden van het vastleggen/verplaatsen/verwijderen van persoonsgegevens B4.1. Instellen, monitoren en onderhouden van het vastleggen/verplaatsen/verwijderen van metadata B6.1 Evalueren, actualiseren en verankeren veiligheids- en gegevensbeschermingsbeleid B6.2 Informatiebeleid en communicatie B6.3 Aansluiten bij goedgekeurde gedragscodes/ protocollen/ certificeringsmechanismen B6.4 Het bevorderen van bewustwording m.b.t. veiligheids- en gegevensbeschermingsbeleid (training)

C2

 Deels overlap met risico 1: Discriminatie  Veel verwerkingen o.b.v. beeldmateriaal buiten het verbod  Extra risico door beperking van de rechten van de betrokkene  Extra waarborgen: transparantie (traceerbaarheid/ objectiviteit), noodzakelijkheid en proportionaliteit (dataminimalisatie/beperkinge n)

B3.1. Instellen, monitoren en onderhouden van het vastleggen/verplaatsen/verwijderen van persoonsgegevens B4.1. Instellen, monitoren en onderhouden van het vastleggen/verplaatsen/verwijderen van metadata B6.1 Evalueren, actualiseren en verankeren veiligheids- en gegevensbeschermingsbeleid B6.2 Informatiebeleid en communicatie B6.3 Aansluiten bij goedgekeurde gedragscodes/ protocollen/ certificeringsmechanismen B6.4 Het bevorderen van bewustwording m.b.t. veiligheids- en gegevensbeschermingsbeleid (training)

Bekende maatregelen bewust inzetten op volledig transparant gebruik van de iRC applicatie (traceerbaarheid / objectiviteit) bijv. o.b.v. een goedgekeurd protocol. Bekende maatregelen inzetten binnen een kwaliteitssbeleids-kader, waaraan het gebruik/inzet van de iRC applicatie getoetst kan worden. Bewustwording gericht op een constructieve werkwijze bij gebruik van de iRC applicatie voor het waarborgen van de rechtmatigheid Bekende maatregelen bewust inzetten op volledig transparant gebruik van de iRC applicatie (traceerbaarheid / objectiviteit) bijv. o.b.v. een goedgekeurd protocol. Bekende maatregelen inzetten binnen een kwaliteitssbeleids-kader, waaraan het gebruik/inzet van de iRC applicatie getoetst kan worden.

NVT

NVT

C3

NVT

NVT

29

NVT

#

11

Risico Wanneer persoonsgegevens van kwetsbare natuurlijke personen, met name van kinderen, worden verwerkt […]

Bruto Belangrijkste risicoprofiel aandachtspunten

C2

 Veel betrokkenen aangemerkt als kwetsbaar  Extra risico door beperking van de rechten van betrokkene, bewuste afweging gebruik iRC applicatie  Extra aandacht in de communicatie voor de kwetsbaarheid en het begrip van betrokkenen, met name kinderen

Risico-specifieke technische maatregelen

Risico-specifieke organisatorische maatregelen

Commentaar

B3.1. Instellen, monitoren en onderhouden van het vastleggen/verplaatsen/verwijderen van persoonsgegevens B4.1. Instellen, monitoren en onderhouden van het vastleggen/verplaatsen/verwijderen van metadata B6.1 Evalueren, actualiseren en verankeren veiligheids- en gegevensbeschermingsbeleid B6.2 Informatiebeleid en communicatie B6.3 Aansluiten bij goedgekeurde gedragscodes/ protocollen/ certificeringsmechanismen B6.4 Het bevorderen van bewustwording m.b.t. veiligheids- en gegevensbeschermingsbeleid (training)

Bekende maatregelen bewust inzetten op volledig transparant gebruik van de iRC applicatie (traceerbaarheid / objectiviteit) bijv. o.b.v. een goedgekeurd protocol. Communicatie afstemmen op de specifieke doelgroep

30

8. Conclusie en aanbevelingen De AVG is opgesteld, in tegenstelling tot wat vaak wordt verondersteld, om vrij verkeer van persoonsgegevens mogelijk te maken terwijl natuurlijke personen worden beschermd in verband met de verwerking van persoonsgegevens. De AVG geeft betrokkenen regie en grip op de verwerking van hun persoonsgegevens en beschermt hen tegen bijvoorbeeld “willekeur” bij gebruik door overheden. De AVG biedt een kader voor het transparant, betrouwbaar, geloofwaardig en behoorlijk inzetten van de iRC applicatie. Heel belangrijk is de rol van de verantwoordingplicht om inzicht te geven in het gebruik van de iRC applicatie i.h.k.v. handhaving. Volgens de VNG dient het handhavingsbeleid “zich niet alleen binnen de muren van het gemeentehuis af te spelen. Het is een open en transparant proces, waarbij afstemming op de in de maatschappij aanwezige gedachten belangrijk is.”87 Het gebruik van de iRC applicatie is niet bedoeld “om burgers anoniem te bespieden”, maar juist gericht op het waarborgen van een algemeen belang. Wanneer de afwegingen daarbij aantoonbaar open en eerlijk zijn, de rechtsgrond, noodzakelijkheid en proportionaliteit van de verwerkingen zorgvuldig beoordeeld zijn en sprake is van een vastomlijnd onderzoeksdoel, kan het gebruik van de iRC applicatie worden verantwoord.

Conclusie In deze DPIA is duidelijk geworden dat de applicatie een geavanceerd hulpmiddel is, dat een waarschijnlijk hoog risico voor de rechten van betrokkenen kan opleveren als deze niet wordt omgeven door een passend stelsel van technische en organisatorische maatregelen. Weliswaar is het zo dat in deze applicatie bij elkaar wordt gebracht wat ook op een andere manier mogelijk is; juist dat het laagdrempelig en handzaam toegankelijk wordt gemaakt is het centrale element. In de applicatie zelf zijn maatregelen getroffen om de verwerking van persoonsgegevens AVG-conform uit te voeren, die moeten worden gecombineerd met organisatorische maatregelen in de processen waarin de applicatie wordt ingezet. Aanbevelingen De rode draad in dit hoofdstuk is, dat de benoemde zaken geregeld moeten zijn voorafgaand aan de ingebruikname van de applicatie. Daarmee worden de risico’s voor betrokkenen tot een aanvaardbaar of verwaarloosbaar niveau teruggebracht. Het is dus zaak hier in ieder afzonderlijk implementatieproces per afdeling aandacht aan te geven. Dat is nooit een “kopieer-plak” aangelegenheid, maar uit andere processen kan wel degelijk goede inspiratie worden verkregen. Beginselen voor de verwerking van persoonsgegevens Zoals aangegeven is de AVG bedoeld om de verwerking en het delen van persoonsgegevens mogelijk te maken.

Daarin spelen de beginselen een belangrijke rol, waarbij het voor de afdelingen die gebruik maken van de applicatie zaak is om de werkprocessen zo in te regelen dat aan de beginselen wordt voldaan. Daarbij mag in het bijzonder worden gedacht aan:  Dat alleen die gegevens worden verzameld die passen binnen het onderzoeksdoel dat ten grondslag ligt aan de inzet van de applicatie; doelbinding  Dat niet meer gegevens worden verzameld dan noodzakelijk is; minimale gegevensverwerking  Dat voortdurend wordt gemonitord of de verzamelde gegevens wel correct en actueel zijn en uitsluitend de betrokkenen betreffen die in het onderzoeksdoel zijn aangegeven; juistheid  Dat de inzet van de applicatie past binnen het onderzoek dat wordt uitgevoerd, en er geen andere minder inbreuk makende instrumenten (meer) zijn om het (onderzoeks)doel te bereiken.

87

Zie VNG, Handhaving door en voor gemeenten, p.59

31

In hoofdstuk 5 is een beschrijving gegeven van een proces dat uiteindelijk bereikt dat in ieder geval de inzet en het gebruik van de applicatie AVG-conform kan worden uitgevoerd. Het advies voor de afdelingen waar de iRC-applicatie wordt ingezet is, deze maatregelen in de respectievelijke eigen werkprocessen te verweven. Rechten en plichten AVG De DPIA beschrijft de iRC applicatie als instrument binnen het bestaande kader van handhaving; hoe en waarvoor de iRC applicatie gebruikt wordt staat altijd in een context. Met de applicatie worden door de onderzoeker anoniem persoonsgegevens verwerkt die niet direct van de betrokkenen worden verkregen. De onderzoeker heeft daarbij toegang tot veel digitale informatie en sporen. De betrokkene heeft daar weinig tot geen regie en grip over. Dergelijk heimelijk onderzoek vergt dus zorgvuldige voorbereiding door de onderzoeker. Als betrokkenen (tijdelijk) worden beperkt in diens rechten, moet de gemeente de “wezenlijke inhoud van de beginselen en rechten” respecteren en de verwerking conform de AVG inrichten. Voortkomend uit art.14 AVG moet in de informatieverstrekking vooraf de mogelijkheid van dit onderzoek al worden genoemd. Betrokkenen moeten ook altijd achteraf worden geïnformeerd over het onderzoek, ongeacht de uitslag. Dat gebeurt met een privacyverklaring en het moet worden verankerd in werkprocessen.

Deze moeten dus voorafgaand aan de ingebruikname van de applicatie worden geregeld. De gemeente beschikt reeds over een uitgewerkt geheel aan processen voor de afhandeling van rechten van betrokkenen in de artikelen 15 t/m 22 en een proces voor de signalering en afhandeling van datalekken. Op dat punt zijn de risico’s voor betrokkenen dus al op een aanvaardbaar niveau gebracht en voldoet de gemeente aan de AVG. Technische en organisatorische maatregelen De inzet van de applicatie moet kunnen worden verantwoord. Daarvoor zijn maatstaven nodig, zodat o.a.:  de keuze voor de inzet altijd eenduidig gebeurt  de inzet en het daadwerkelijke gebruik achteraf toetsbaar zijn. Protocol, procedures en werkinstructies Aan de inzet van de iRC-applicatie moet altijd een vastomlijnd onderzoeksdoel en een afbakening van het gebruik ten grondslag liggen. Zonder duidelijke afbakening is op voorhand redelijkerwijs voorzienbaar dat bij het gebruik van de iRC applicatie een min of meer volledig beeld van bepaalde aspecten van het privéleven van de betrokkene(n) kan ontstaan, en daarmee stelselmatig is. Bij het gebruik van de iRC applicatie moeten alleen de noodzakelijke gegevens worden verwerkt, niet alleen de hoeveelheid over de betrokkene zelf maar ook wat betreft de (persoons)gegevens over mensen in de sociale kringen om betrokkene heen.

Voor de inzet van de iRC applicatie in het onderzoek vanwege toezicht op de uitvoering en naleving van de Participatiewet is het RCF-protocol vervangen door de handreiking internetonderzoek participatiewet. Ook deze handreiking geeft een duidelijke beperking aan in het overnemen van persoonsgegevens uit publiek toegankelijke bronnen, en adviseert zorgvuldigheid en de nodige terughoudendheid88. Het biedt niet meer een basis protocol dat deze zorgvuldigheid en terughoudendheid bij het gebruik van de iRC applicatie borgt in veiligheids- en kwaliteitsbeleid. Ook voor de overige werkgebieden is een protocol onmisbaar. Het is dus erg belangrijk helder te krijgen of er voor het beoogde werkveld een degelijk protocol bestaat en dat naar de werkprocessen te vertalen. Als er geen protocol is, kan het RCF-protocol nog steeds als inspiratie dienen voor een eigen versie. Verslaglegging Door een onderzoeksverslag een vast onderdeel te maken van het werkproces van de onderzoeker, wordt aan de vorige alinea uitvoering gegeven. In dat onderzoeksverslag moet tenminste worden vastgelegd: 1. Is het onderzoek rechtmatig? Is er een wettelijke grondslag voor het onderzoek 88

Zie Handreiking internetonderzoek Participatiewet, p. 11

32

2. Is de keuze voor inzet van de applicatie gerechtvaardigd? Is er echt geen ander (minder inbreukmakend) instrument (meer) beschikbaar? 3. Is de werkwijze correct? Wordt niet meteen de hele applicatie ingezet, maar wordt in een model van opklimmende zwaarte onderzocht? Wordt goed uitgelegd of tijdig wordt gestopt met onderzoeken, of dat toetsbaar verder wordt gezocht en is de keuze van functionaliteit voor dat vervolg terecht en passend bij de vraagstelling? 4. Zijn niet te veel gegevens verzameld? Over de juiste persoon? bij een zoekopdracht is een kans dat meer informatie beschikbaar komt en over meer betrokkenen dan nodig gezien het doel. Het is dan dus belangrijk dat de niet-noodzakelijke informatie op controleerbare wijze wordt uitgefilterd en alleen de wel noodzakelijke informatie in het onderzoeksdossier terecht komt. Het is niet de bedoeling dat de iRC applicatie wordt gebruikt om “te grasduinen”; dat zou duiden op “willekeur”. Deze set organisatorische maatregelen faciliteert dat de iRC applicatie een geschikt middel wordt om gericht informatie te zoeken ter ondersteuning van een concreet onderzoeksdoel. Een dergelijk onderzoeksverslag moet altijd onderdeel van elk dossier zijn, dus het is ook belangrijk in te regelen dat hierop actief wordt toegezien met bijvoorbeeld interne audits.

Autorisatie Passende autorisatie en logging stelt zeker dat altijd duidelijk is wie de iRC applicatie gebruikt en hoe. Het beheer van de logische toegangsbeveiliging en van het gebruik, toegang tot en rechten in de applicatie en het vastleggen van (persoons)gegevens en metadata (logbestanden) van gebruikers, moet centraal worden belegd en niet op de afdeling zelf. Dat borgt de objectiviteit van de daadwerkelijke toewijzing van de rechten. De gebruiker moet zelf actief toestemming geven voor het delen van logbestanden. De iRC applicatie biedt hiervoor voldoende ondersteuning. Het monitoren van deze autorisatie en van het daadwerkelijke gebruik moet in de werkprocessen worden verankerd. Daarvoor zou aansluiting kunnen worden gezocht bij bijvoorbeeld een afdeling kwaliteitsbewaking of interne audit. Bewustwording Met deze applicatie is in een paar klikken veel informatie over iemand te verzamelen, in bronnen waarvan velen niet eens het bestaan weten. Het is belangrijk dat de gebruikers zich daarom bewust zijn van de risico’s bij elke stap in het proces, van opslagtermijnen tot communicatie, en gericht zijn op het signaleren van verbeteringen. Beide aspecten moeten dus onderdeel zijn van training en evaluatie, evenals de bewustwording van de medewerkers ten aanzien van de rechten van betrokkenen en datalekken en de processen die daarvoor worden gehanteerd.

Overige AVG-elementen Naast de hiervoor aangehaalde elementen, zijn ook nog van belang:  het verwerkingenregister  de relatie met de leverancier van de applicatie  eventueel delen van de verzamelde persoonsgegevens met derden, al dan niet in de EU  de bewaartermijn van de (persoons)gegevens Verwerkingenregister (art. 30 AVG) Hierboven is al geschetst dat deze applicatie een instrument is voor het verzamelen van (persoons-) gegevens die in basis ook zonder deze applicatie kunnen worden verzameld. Het gebruik van deze applicatie in zichzelf is dus in beginsel niet zozeer iets dat in het verwerkingenregister dient te worden vermeld. Wel moet, per afdeling waar onderzoek wordt verricht waarin deze applicatie kan worden ingezet, dat onderzoek worden vermeld in het verwerkingenregister. Per vermelding kan dan worden aangegeven dat deze applicatie kan worden ingezet. Zo is de vermelding in verhouding tot de inzet.

33

AVG-rollen De (persoons)gegevens die worden verzameld worden opgeslagen op de servers van de leverancier; de iRCapplicatie is een SaaS-applicatie. Dat betekent dat een verwerkersovereenkomst moet worden afgesloten, waarvoor de gemeente gebruik maakt van het standaard-sjabloon van de VNG. De gemeente dient een verwerkersovereenkomst in te regelen, die alle mogelijke afdelingen/toepassingen binnen de gemeente omvat. Het is niet nodig om voor elk toepassingsgebied binnen de gemeente een aparte verwerkersovereenkomst te regelen. Het is aan de afdeling die de applicatie in gebruik wil nemen, om hier op passende wijze aandacht aan te geven. Daarbij kan het PIT ondersteuning bieden. Delen van persoonsgegevens met derden De applicatie is in eerste instantie bedoeld als instrument in eigen onderzoek door de gemeente. Onderzoeksresultaten kunnen echter wel met derden worden gedeeld. Per afdeling moet daarom goed worden beoordeeld of hiervan sprake kan zijn en onder welke voorwaarden dat is toegestaan. Daarvoor moet de respectievelijke van toepassing zijnde wetgeving worden geraadpleegd. Het is noodzakelijk hierover duidelijkheid te hebben en deze richtlijnen vastgelegd te hebben in afdelingsbeleid, voordat de applicatie in gebruik wordt genomen. Daarin speelt ook mee of de persoonsgegevens binnen of naar buiten de EU worden doorgegeven.

In de inregeling hiervan kan het PIT ondersteuning bieden. Bewaartermijnen Binnen de basisfunctionaliteit van applicatie worden automatisch om middernacht alle vastgelegde operationele onderzoeksgegevens verwijderd. In de OSINT-toolkit functionaliteit kan een bewaartermijn worden ingesteld voor de “kaarten” die door de onderzoeker kunnen worden samengesteld. Het is dus noodzakelijk een bewaartermijn in te regelen, die vervolgens door de functioneel beheerder wordt beheerd dan wel uitgevoerd. De persoonsgegevens die uit de applicatie worden overgezet naar de onderzoeksdossiers vallen rechtstreeks onder de bewaartermijnen zoals die in de AVG worden bedoeld. De informatie die via internetonderzoek is verkregen en waar fraude en misbruik uit blijkt, wordt drie jaar nadat het onderzoek is afgerond vernietigd. Alleen een aantekening van het resultaat, dat fraude is gepleegd, wordt 20 jaar bewaard. Daarnaast moet per afdeling worden nagegaan wat er verder in de van toepassingen zijnde weten regelgeving wordt voorgeschreven. Het is noodzakelijk de vastlegging van de dossiers in de netwerkmappen en in de document-managementapplicatie zo vorm te geven en in te regelen, dat zo effectief en efficiënt mogelijk uitvoering kan worden gegeven aan dit aspect.

Evaluatie en monitoring De inzet van de iRC-applicatie wordt omgeven door een stelsel van technische en organisatorische maatregelen om de verwerking van persoonsgegevens AVG-conform te doen plaatsvinden. De wereld is echter continue in ontwikkeling; processen veranderen, wetgeving wordt aangepast, de applicatie ondergaat updates, de algemene opvattingen over toezicht of internetonderzoek veranderen etcetera. Het is daarom van groot belang om de inzet en het gebruik van de iRC-applicatie regelmatig te evalueren en om met een vaste structuur te monitoren of de applicatie wordt ingezet zoals dat is bedoeld en of de inzet van de applicatie daadwerkelijk oplevert wat daarmee wordt beoogd. Daarvoor kunnen de logbestanden worden geanalyseerd en ook kunnen de onderzoeklogs van gebruikers worden besproken. Die monitoring zou ook moeten omvatten, dat alle betrokkenen die onderworpen zijn geweest aan een onderzoek waarbij de iRC-applicatie is ingezet achteraf zijn geïnformeerd inclusief de resultaten die dat heeft opgeleverd.

34

9. Ontvangen FG-adviezen en de verwerking ervan Onderstaand worden de FG-adviezen weergegeven, waarbij ook de reactie van de DPIA-werkgroep is vermeld. FG-adviezen 27 augustus 2021 1. De iRC-applicatie is een zeer krachtig instrument dat niet moet worden onderschat. Elke hint naar een andere zienswijze hierop moet resoluut de prullenbak in. De DPIA is dan ook meer dan terecht uitgevoerd! 2. Ik adviseer om de scope van de DPIA/inzet van de iRC-applicatie strikter af te bakenen van de diverse werkprocessen waarvoor deze kan worden ingezet. Dit leidt onnodig af van waar het om gaat en verhoogt de leesbaarheid van de DPIA. 3. In de titel van de DPIA worden ook BRP en Ondermijning genoemd die ik niet terugvindt in de DPIA zelf. Graag meer toelichting op de inzet van de applicatie voor deze doelen. 4. Ik ben niet overtuigd van de controle op het juiste gebruik van de iRC-applicatie. Het gaat dan om loggen van toegang/wie zoekt precies wat voor welk doel? 5. Hoe wordt voorkomen dat er toegang wordt geboden tot teveel/niet relevante informatie? 6. In de tekst van de DPIA heb ik nog diverse opmerkingen geplaatst. Zie bijlage Verwerking in document: 1. Zie 8.1 eerste zin 2. Zie aanhef hoofdstuk 4 3. Zie titel zoals die nu is: DPIA Ingebruikname iRC applicatie voor gericht internetonderzoek bij toezicht in de gemeente Nissewaard 4. Controle van het gebruik kan met 2 instrumenten: a.

De logging in de applicatie zelf b. De verslaglegging door de gebruiker en de vastgelegde onderzoeksresultaten. De onderzoeksresultaten kunnen worden vastgelegd in een kaart in de iRC-applicatie maar ook door resultaten over te nemen naar een onderzoeksdossier. 5. Dat wordt ook als uitdaging aangegeven in de paragraaf 5.4, waarbij wordt gemeld dat de gebruiker goed moet afmeten aan de onderzoeksaanleiding en de vigerende wet- en regelgeving welke zoekresultaten relevant zijn en de niet-relevante resultaten moet negeren of verwijderen. Je bent aan ’t zoeken “ op google”; dan kan je niet voorkomen dat je ook heel veel onnodige informatie in beeld hebt. Je moet dan dus schiften in wat je gaat vastleggen vanwege je onderzoek. Een technische maatregel is hier onmogelijk en daarom wordt hier een organisatorische maatregel getroffen, waarop ook door de leidinggevende van de gebruiker wordt toegezien omdat die moet monitoren hoe de gebruiker diens werk doet. Dat kan de leidinggevende doen door de logbestanden te (laten) controleren en door in de onderzoeksverslagen te kijken. 6. Deze zijn allemaal langsgelopen en verwerkt. FG-adviezen op 20 oktober 2021 1.

Belangrijkst is de ethische vraag: is de omvang van de zorgfraude dusdanig dat dit de inzet van deze vorm van onderzoek rechtvaardigt waarbij mensen die zorg/ondersteuning ontvangen volledig kunnen worden doorgelicht? Moeten we dit wel willen? Dit lijkt mij bij uitstek een vraagstuk voor de gemeenteraad. Het oordeel van de gemeenteraad zal bijdragen aan de legitimering van de inzet. Het handhavingsbeleid wordt toch ook door gemeenteraad vastgesteld? De AWB geeft bevoegdheden voor toezichthouders tot het doen van onderzoek, maar begrensd “voor zover dat nodig is voor het onderzoek”. Dit betreft altijd onderzoek in openbare bronnen: iedereen kan bij de gegevens die de iRC-applicatie hier handzaam toegankelijk bij elkaar brengt. Het “volledig doorlichten” ligt dus best wat genuanceerder. Het doen van onderzoek is een taak van de toezichthouders; daarvoor moet aansluiting worden gezocht bij de toepasselijke wet- en regelgeving. De vraag hier is, of internetonderzoek in openbare bronnen nodig is in dat onderzoek. Het advies dat dan ook wordt gegeven in paragraaf 5.1 en dat terugkomt in hoofdstuk 8 35