[23bb005673] Bijlage 7 behorende bij 23bb005665 over 21.0231201-DPIA Algoritme heronderzoeken-V 1.4 (gelakt)

Data Protection Impact Assessment (DPIA) Rapportage Ontwikkeling algoritme heronderzoeken (Pilotfase)

Van

Datum 16 januari 2023

Inhoudsopgave

1

Inleiding

4

1.1

Versiebeheer

4

2

Noodzaak van de PIA

65

3

Omschrijving van de verwerking

3.1

Doel

86

3.2

Relatie met register

117

3.3

Omschrijving van de verwerking

117

3.4

Uitgesloten van de scope

1913

3.5

Betrokken partijen

2013

3.6

Beschrijving van de persoonsgegevens die worden verwerkt

2013

4

Risico analyse privacy

2116

4.1

Rechtsgrond van de verwerking (artikel 6)

2116

4.2

Doelbinding (artikel 5)

3019

4.3

Juist, actueel en volledig

3120

4.4

Dataminimalisatie

3220

4.5

Bewaartermijn

3622

4.6

Verwijdering

3722

4.7

Locatie

3722

4.8

Anonimiseren en/of pseudonimiseren

3823

4.9

Informatieplicht

3923

4.10

Rechten van betrokkenen

4024

4.11

Training en instructie van medewerkers

4226

5

Risico Analyse beveiligingsmaatregelen

4427

5.1

Fysieke beveiliging

5.2

Logische toegangsbeveiliging

Fout! Bladwijzer niet gedefinieerd.28

5.3

Logging

Fout! Bladwijzer niet gedefinieerd.30

5.4

Beheer

Fout! Bladwijzer niet gedefinieerd.32

5.5

Incident management

Fout! Bladwijzer niet gedefinieerd.33

5.6

Continuïteit

Fout! Bladwijzer niet gedefinieerd.36

5.7

Verwerker

Fout! Bladwijzer niet gedefinieerd.37

6

Overige risico’s

PIA Rapportage v 1.4

4427

5138

Datum

Pagina

16 januari 2023

2 van 59

7

Overzicht maatregelen op basis van de risico’s

5239

8

Planning maatregelen

5640

9

Akkoord

5741

10

Bijlage - Bronnen

5942

A.1. Geïnterviewden

5942

A.2. Documentatie

5942

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

3 van 59

1

Inleiding De Gemeente Rotterdam is volgens de Algemene Verordening Gegevensbescherming (AVG) 1 verplicht een Data Protection Impact Assessment (DPIA) uit te voeren voor verwerkingen die waarschijnlijk een verhoogd risico opleveren voor de betrokkenen van wie de persoonsgegevens worden verwerkt. Het doel van de DPIA is het verkrijgen van inzicht in risico’s van de verwerking en in de maatregelen die genomen zijn of nog genomen zouden kunnen worden om deze risico’s weg te nemen of te verminderen. Een DPIA moet ten minste aan de volgende vereisten te voldoen 2: 1. Beschrijving te geven van de beoogde verwerking en de doeleinden daarvan; 2. Beoordeling van de rechtmatigheid van de beoogde verwerking: beoordeling van de rechtsgrond, noodzaak en evenredigheid van de verwerking in relatie tot het beoogde doel; 3. Beschrijving en beoordeling van de risico’s voor betrokkenen; 4. Beschrijving en beoordeling van de maatregelen om de risico’s voor betrokkenen tegen te gaan of te beperken. De proceseigenaar is verantwoordelijk voor het proces en is dit ook voor de initiatie en realisatie van de DPIA. De PO (Privacy Officer) en de DISO (Decentrale Information Security Officer) beoordelen de DPIA en voorzien hem van advies. De DPIA wordt daarna voor voorgelegd aan de Functionaris Gegevensbescherming (FG) van de gemeente Rotterdam. Het proces van de PIA is te vinden op RIO.

Indien de maatregelen niet of onvoldoende zorgen voor een inperking van de risico’s voor betrokkene moet hierover voor aanvang van de verwerking overleg plaats te vinden met de Autoriteit Persoonsgegevens (AP). Dit wordt ‘voorafgaande raadpleging’ genoemd. De betreffende afdeling/ proceseigenaar die dit verzoek doet, stemt dit eerst af met de Privacy Officer van het cluster en de FG.

1.1

Versiebeheer Versie

Datum

0.1 –

01-03-2022

0.4

– 12-082022

0.5

24-08-2022

1

Artikel 35 lid 1 AVG

2

Artikel 35 lid 7 AVG

PIA Rapportage v 1.4

Door

Aanpassing

Opmerking

Inhoudelijk en tekstueel

Adviezen

Inhoudelijk en tekstueel

Adviezen

advies

Datum

Pagina

16 januari 2023

4 van 59

Versie

Aanpassing

Opmerking

0.6

Datum 05-09-2022

Door

Inhoudelijk en tekstueel

Adviezen

0.8

17-10-2022

Algoritme Expert

0.9

18-10-2022

Inhoudelijk en tekstueel

1.1

24 -10 -

Inhoudelijk en tekstueel

2022 1.2

27-10-2022

Inhoudelijk en tekstueel, hoofdstuk 6

Advisering

en 7 1.2

01-11-2022

Inhoudelijk

Advisering

Inhoudelijk en tekstueel

Adviezen FG

, adviseur Functionaris Gegevensbescherming, 1.3

2-12-2022

en PO 1.4

12-01-2023

PIA Rapportage v 1.4

Inhoudelijk en tekstueel

Adviezen

Datum

Pagina

16 januari 2023

5 van 59

2

Noodzaak van de DPIA De AVG bepaalt sinds 25 mei 2018 dat voor reeds bestaande verwerkingen met een waarschijnlijk hoog privacy risico, er elke 3 jaar opnieuw een DPIA moet worden uitgevoerd of eerder bij een inhoudelijke wijziging. Bij nieuwe verwerkingen moet de DPIA uitgevoerd zijn, voordat de verwerking start. Om de rechtmatigheid van verstrekte uitkeringen te onderzoeken, maakt het cluster W&I onder meer gebruik van heronderzoeken. Jaarlijks wordt het aantal te verrichten heronderzoeken met de gemeenteraad afgestemd. Het heronderzoek heeft naast de controle op rechtmatigheid als doel dat samen met de uitkeringsgerechtigde wordt gekeken naar diens situatie. Daarbij wordt ook onderzocht of behoefte bestaat aan ondersteuning op bepaalde leefgebieden. De uitkeringsgerechtigden die voor een heronderzoek worden uitgenodigd, worden op verschillende wijze geselecteerd. Een van die methoden is selectie op basis van het risico-inschattingsmodel. In dit risicomodel wordt onder andere een algoritme ontwikkeld en toegepast. Het proces om van het vastgestelde aantal heronderzoeken uit het collegeakkoord te komen tot een lijst met actieve werkzoekenden met een risico inschatting op onrechtmatigheid, noemen we het hoofdproces “Toepassen algoritme voor heronderzoeken”. Dit hoofdproces bevat twee fasen. I.

Pilotfase: Ontwikkelen van het algoritme voor heronderzoeken In deze fase wordt het algoritme getraind en getest op historische data, om zo te komen tot een algoritme dat voldoende in staat is om de kans op (on)rechtmatigheid te voorspellen. In deze fase wordt een normenkader normenkader ontwikkeld. Op basis waarvan door de wethouder en proceseigenaar een weloverwegen besluit kan worden genomen om het algoritme wel of niet te gaan gebruiken.

II.

Gebruiksfase: Het feitelijk in gebruik nemen van het algoritme heronderzoeken In deze fase wordt het algoritme toegepast op de data van actuele uitkeringsgerechtigden, om zo te bepalen bij welke uitkeringsgerechtigden er (volgens het algoritme) sprake is van een verhoogde kans op onrechtmatigheid en die daarom voor een heronderzoek zouden moeten worden uitgenodigd

Een DPIA is noodzakelijk, omdat het proces/ verwerking ‘Ontwikkeling algoritme heronderzoeken’ waarschijnlijk een hoog risico meebrengt voor betrokkenen. Voor zowel de pilotfase (I) als de gebruiksfase (II) wordt separaat een DPIA opgeleverd. Deze DPIA betreft de pilotfase. Een DPIA voor de gebruiksfase wordt na afsluiting van de ontwikkelfase en voorafgaande aan de feitelijke ingebruikname van het algoritme opgeleverd. In hoofdstuk 3 is de scope van deze DPIA nader uitgewerkt. De verwerking staat op de lijst van de Autoriteit Persoonsgegevens (AP) over DPIA-plichtige verwerkingen. ☐ Heimelijk onderzoek ☐ Zwarte lijsten ☒ Fraudebestrijding ☐ Creditscores ☒ Financiële situatie ☐ Genetische persoonsgegevens ☐ Gezondheidsgegevens ☐ Samenwerkingsverbanden

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

6 van 59

Artikel 5.2 lid 1 Woo

☐ Cameratoezicht ☐ Flexibel cameratoezicht ☐ Controle werknemers ☐ Locatiegegevens ☐ Communicatiegegevens ☐ Internet of things ☒ Profilering (Het algoritme is een risicoclassificatiemodel. Het gebruik van het risico-classificatiemodel is een vorm van profileren, omdat deze verwerking mogelijk voldoet aan alle drie de voorwaarden genoemd in artikel 4, aanhef en onder 4, van de AVG) ☐ Observatie en beïnvloeding van gedrag ☐ Grootschalige verwerkingen en/of stelselmatige monitoring van biometrische gegevens met als doel een natuurlijk persoon te identificeren

Daarnaast voldoet de verwerking aan twee of meer criteria van de European Data Protection Board (EDPB). ☒ Beoordelen van mensen op basis van persoonskenmerken ☐ Geautomatiseerde beslissingen ☐ Stelselmatige en grootschalige monitoring ☒ Gevoelige gegevens ☒ Grootschalige gegevensverwerkingen ☒ Gekoppelde databases ☒ Gegevens over kwetsbare personen (o.a. verplichting tot het aanleveren van inkomensgegevens, werkzoekenden) ☒ Gebruik van nieuwe technologieën

Daarnaast is middels een Algorithm Risk Assessment (ARA) vastgesteld dat het te ontwikkelen algoritme een hoog risicovol model betreft. De werking ervan is moeilijk volledig én beknopt uit te leggen aan de gemiddelde Rotterdammer. Daarbij is er een risico dat de algoritmetoepassing uitmondt in een onrechtvaardige handeling van burgers. Het derde aandachtspunt in de ARA is niet aanwezig. Er is bij de uitvoering van heronderzoeken (ongeacht of die op basis van output van het model worden uitgevoerd) altijd sprake van een menselijke handeling; de uitkomst van het algoritme heeft geen automatische rechtsgevolgen voor de burger. Aangezien uit de ARA is gebleken dat het om een hoog risicomodel gaat, is volgens de concernbrede Governance betreffende Algoritmen 3 IAMA (Impact Assessment Mensenrechten en Algortimes) workshops gehouden op de oude versie van het algoritme. De definitieve IAMA-rapportage is nog in wording. Zowel in de ARA als in de IAMA is aandacht besteed aan de doelstellingen achter de ontwikkeling van het algoritme. Een IAMA op het algoritme moet nog uitgevoerd worden. Zie hierover meer in paragraaf 3.

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

7 van 59

3

Doel Het doel van dit hoofdstuk is om lezers van deze rapportage welke geen voorkennis hebben van het proces te laten begrijpen wat er exact met de persoonsgegevens gebeurt.

3.1

Doel verwerking Cluster Werk & Inkomen (W&I) van de gemeente Rotterdam voert jaarlijks, op verzoek van de gemeenteraad een vastgesteld aantal heronderzoeken uit. Deze onderzoeken hebben tot hoofddoel om de rechtmatigheid van de verstrekte uitkering op grond van de Participatiewet (PW) te kunnen beoordelen. Het heronderzoek is ook het moment om in contact te blijven met de burger en door te praten over diens situatie. Mocht in de gesprekken in het kader van een heronderzoek naar voren komen dat behoefte is aan aanvullende dienstverlening, dan kan hier aandacht aan worden besteed, bijvoorbeeld in de vorm van een doorverwijzing naar een andere instantie of onderdeel van de gemeente. Juridische grondslag Gemeenten zijn de uitvoerders van de Participatiewet. Voor een eerlijke en op solidariteit gebaseerde uitvoering van de Participatiewet is het voor gemeenten van belang om onrechtmatig gebruik van bijstandsuitkeringen op te sporen. Een ten onrechte uitgekeerde uitkering kan worden teruggevorderd en eventueel kan een boete worden opgelegd. Het tijdig signaleren van onjuistheden in de uitkering, is daarom ook in het belang van de burger die een uitkering ontvangt. Op basis van artikel 53a Participatiewet is het aan gemeenten om te bepalen hoe het onderzoek naar de rechtmatige verstrekking wordt verricht en welke gegevens en bewijsstukken daarbij moeten worden verstrekt.

De Centrale Raad van Beroep heeft in een aantal uitspraken overwogen dat met de uitvoering van de bijstandswetgeving aanzienlijke publieke middelen gemoeid zijn. Controle en handhaving zijn nodig, aldus de raad, voor een juiste besteding van die middelen, het voorkomen van misbruik en het in stand houden van het maatschappelijk draagvlak. Om redenen van efficiëntie en kostenbeheersing mogen gemeenten gerichte vormen van onderzoek daarom beperken tot bepaalde groepen uitkeringsgerechtigden bij wie een grotere kans bestaat dat de controle bijdraagt aan de juiste uitvoering van de bijstandswetgeving. Daarbij mogen zij onder voorwaarden ook risicoprofielen opstellen en data koppelen. De uitkomst daarvan mag echter niet discriminerend zijn. De grondslag hiervan is te vinden in art. 53a lid 1 en 6 PW. De grenzen aan het opstellen en hanteren van risico-profielen volgen met name uit jurisprudentie. In “Gelijk recht doen Deelrapport domein Sociale zekerheid (statengeneraal.nl)” is hier aandacht aan besteed. Mr. Drs. Marije Otte heeft in “Rechtmatigheidsonderzoek op basis van risicoprofielen” hier een uitwerking aan gegeven (http://szwweb.adlibhosting.com/Details/..%5CPDF%5C200086901.pdf) Met name gelet op art. 53a lid 1 en 6 PW, heeft de gemeente de bevoegdheid tot het doen van onderzoek naar de rechtmatigheid van de op grond van de Participatiewet verstrekte uitkering.

Het verwerken van persoonsgegevens met dat doel heeft als wettelijke grondslag artikel 6, lid 1, sub e AVG en luidt:

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

8 van 59

Artikel 5.2 lid 1 Woo

‘de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen’. Risico-inschattingsmodel Gezien het aantal van rond 33.000 uitkeringsgerechtigden is het praktisch niet mogelijk om de gehele doelgroep met enige regelmaat over de rechtmatigheid van de uitkering op het stadshuis te spreken. Een selectie uit deze doelgroep is daarom noodzakelijk. Momenteel worden de uitkeringsgerechtigden via een a-selecte steekproef geselecteerd voor een uitnodiging voor een heronderzoek. Een methodiek die in voorgaande jaren is ingezet en nu opnieuw in ontwikkeling is, is selectie op basis van het risico-inschattingsmodel. Het risico-inschattingsmodel werkt met een algoritme, dat uitkeringsgerechtigden op basis van een zogenaamd risico-inschattingsgetal inschat. Door resultaten van rechtmatigheidsonderzoeken uit het verleden te analyseren, schat het algoritme de kans op rechtmatige of onrechtmatig verstrekking van bijstand in voor de huidige uitkeringsgerechtigden. Bij de ont-

wikkeling van het nieuwe algoritme dat naar verwachting in 2023 wordt ingezet, wordt alleen nog gebruik gemaakt van de resultaten van eerdere rechtmatigheidsonderzoeken bij burgers die a-select zijn uitgenodigd. Dit voorkomt doorwerking van eventuele bias in eerder gehanteerde onderzoeksmethoden in het nieuwe algoritme. Het risico-inschattingsmodel helpt bij het aanbrengen van focus voor selectie voor heronderzoeken. Het risico-inschattingsmodel selecteert de uitkeringsgerechtigden waarbij het risico op onrechtmatigheid het grootste is. Het gaat hierbij om een kansbepaling. Het risico-inschattingsmodel was in eerdere jaren met een bepaalde mate van nauwkeurigheid in staat om te voorspellen bij welke uitkeringsgerechtigden een kans op onrechtmatigheid aanwezig was. In die zin is gebleken dat het algoritme ons helpt om kostbare tijd effectiever in te zetten en daarmee ook tijdig problemen bij een aantal werkzoekenden te voorkomen. Een heronderzoek is voor de burger vrij impactvol, het risico-inschattingsmodel draagt er ook aan bij dat vooral mensen aan een heronderzoek worden onderworpen als er een goede aanleiding voor is. De output van het algoritme wordt alleen gebruikt om te bepalen aan welke uitkeringsgerechtigden het algoritme het hoogste risico-inschattingsgetal verbindt (en waarbij volgens het algoritme dus kans op onrechtmatigheid het hoogst is).

Vervolgens worden de uitkeringsgerechtigden met het hoogste risicogetal voor een heronderzoek uitgenodigd. Het algoritme is alleen bepalend voor de vraag wie voor een heronderzoek zou moeten worden uitgenodigd. Het algoritme neemt niet zelfstandig/ geautomatiseerd besluiten over het recht op of de hoogte van de uitkering. Het inhoudelijke onderzoek naar de rechtmatige verstrekking van bijstand wordt altijd door een medewerker verricht. Daarnaast wordt het onderzoek voor alle geselecteerde uitkeringsgerechtigden op gelijke wijze uitgevoerd, ongeacht of de uitkeringsgerechtigde voor een heronderzoek is uitgenodigd op basis van uitkomsten van het algoritme of een andere selectiemethode, zoals een aselecte steekproef. De ambtenaar die het heronderzoek uitvoert heeft geen wetenschap van hoe de wijze waarop de uitkeringsgerechtigde is geselecteerd voor een heronderzoek. De doelstellingen van het algoritme zijn (samengevat):

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

9 van 59

• • • • •

Efficiënte inzet van middelen Effectieve inzet van capaciteit Waarborging rechtmatigheid Beperking van het aantal uitkeringsgerechtigden dat rechtmatig een uitkering ontvangt en wordt geconfronteerd met relatief zware onderzoeken. Draagvlak socialezekerheidsstelsel overeind houden: zorgen dat mensen de juiste uitkering krijgen, waar ze ook recht op hebben. En dat mensen die er geen recht op hebben, het niet krijgen.

Ontwikkeling algoritme 2023 Sinds 2018 wordt er gebruik gemaakt van een risico-inschattingsmodel. Sindsdien zijn meerdere versies van het model gebruikt. De laatste versie van het risico-inschattingsmodel is ontwikkeld in 2020 en de onderzoeken op basis van de output van dit model zijn in de loop van 2021 afgerond. Voor het uiteindelijke algoritme wordt steeds die techniek geselecteerd die de meest betrouwbare voorspelling van de kans op (on)rechtmatigheid oplevert. Er is dus telkens sprake van een volledig nieuw model, waarbij de onderliggende (modelleer)techniek telkens kan verschillen. Daarbij zal de in gebruik name van elk niet ontwikkeld model gepaard gaan met een privacy toetsing van de gebruikte data in het model. Het algoritme wordt ontwikkeld door gespecialiseerde data-scientists van afdeling Onderzoek en Business Intelligence, Cluster BCO van de gemeente Rotterdam (OBI). Om door te gaan met het risico-inschattingsmodel, wordt nu een nieuw algoritme ontwikkeld en getraind voor gebruik in 2023. Voorgeschiedenis: periode tot heden Begin 2021 is meer aandacht gekomen voor de ethische aspecten van het werken met een algoritme. In februari 2021 publiceerde Concern Auditing van de gemeente Rotterdam op verzoek van de directeur Uitvoering van W&I het ‘Advies Analytics Uitkeringsonrechtmatigheid’.

In april 2021 volgde het rapport ‘Gekleurde technologie’ van de Rekenkamer Rotterdam. Beide rapporten geven aan dat de transparantie rondom (de totstandkoming van) het algoritme moet worden vergroot en duidelijk inzichtelijk moet worden gemaakt hoe eventuele vooringenomenheid (bias) in het model wordt voorkomen. Weliswaar trekt het algoritme geen conclusies over de rechtmatige of onrechtmatige verstrekking van bijstand, maar wanneer er gebruik wordt gemaakt van variabelen en features die kunnen leiden tot bias, kan wel degelijk sprake zijn van ongelijke behandeling van uitkeringsgerechtigden. Bepaalde uitkeringsgerechtigden hebben immers een grotere kans om voor een heronderzoek te worden uitgenodigd. Met name de Rekenkamer Rotterdam heeft aandacht gevraagd voor het bestaan van zogenaamde ‘proxy-variabelen’ (variabelen die indirect discriminatoir kunnen werken) in het model. Eind 2021 is in opdracht van de gemeenteraad gestart met voorbereiden van een nieuw risico-inschattingsmodel, waarvan het de bedoeling is dat het in 2023 in gebruik kan worden genomen. Cruciale doelstellingen bij de ontwikkeling van het risico-inschattingsmodel zijn: 1. Een transparante ontwikkeling van het algoritme, waarbij potentiële vooringenomenheden - en daarmee het risico van discriminatie - worden voorkomen.

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

10 van 59

Artikel 5.2 lid 1 Woo

2.

3.

Ontwikkeling van een uitlegbaar risico-inschattingsmodel, onder meer door het gebruik van glass box technieken. Hiermee kan ook op het niveau van een individuele burger beter worden uitgelegd hoe diens score (het risico-inschattingsgetal) tot stand is gekomen. Transparant communiceren over doel en werking van het algoritme (onder meer door opname in het algoritmeregister) en het gebruik ervan.

Bij de ontwikkeling van het algoritme wordt, naast ethische normen vanuit de IAMA-assessment en Privacy wet- en regelgeving, gebruik gemaakt van de door de Europese Commissie in april 2019 gepubliceerde ‘ETHICS GUIDELINES FOR TRUSTWORTHY AI’ (de) Ethische Richtsnoeren voor Betrouwbare Algoritmen: https://www.aepd.es/sites/default/files/2019-12/ai-ethics-guidelines.pdf. Het algoritme wordt getraind op basis van resultaten van eerder uitgevoerde rechtmatigheidsonderzoeken die middels de a-selecte methode zijn geselecteerd 3. 3.2

Relatie met register, Informatiebeheerplan en applicaties Het algoritme wordt ingezet voor het proces “Uitvoeren heronderzoeken”, nummer P1389 in het informatiebeheerplan en nummer W1060 in het Register van verwerkingen. Het algoritme zelf en alle documentatie betreffende de ontwikkeling van het algoritme betreft het proces “data science projecten”, nummer P3693 in het informatiebeheerplan en BCO021 in het Register van verwerkingen. Het algoritme wordt op een projectmatige wijze en onder verantwoordelijkheid van portefeullie Inkomen van het cluster Werk en Inkomen ontwikkeld. De projectdocumentatie betreft het proces “uitvoeren opgave”, nummer P1459 van het Informatiebeheerplan. Het systeem DIVA wordt gebruikt om de betreffende projectdocumentatie te archiveren. Het algoritme wordt ontwikkeld op het Azure DAP’R platform. Het Datalake en concern Datawarehouse is voor toepassing van de Baseline Informatiebeveiliging Overheid geclassificeerd als BBN2+. Het algoritme maakt gebruik van de data uit de systemen Socrates en RMW/Raak. Zie verder paragraaf 3.3.

3.3

Omschrijving van de verwerking Zoals beschreven in paragraaf 3.1, wordt met behulp van het model de kans op onrechtmatigheid voorspeld. Dat gebeurt op basis van statistische analyses van historische data, die zijn vastgelegd in het kader van de uitvoering van de Participatiewet. Het algoritme maakt gebruik van historische data betreffende de afgeronde heronderzoeken die de afgelopen 5 jaar zijn uitgevoerd. Hiervoor wordt de peildatum gebruikt van 5 jaar voor de peildatum van de ingebruikname van het algoritme die middels de a-selecte methode zijn geselecteerd. Deze gegevens worden vastgelegd in de bronsystemen: Socrates en RMW/Raak. Socrates is de uitkeringsadministratie, waarin rechtmatigheid van uitkering wordt vastgesteld. RMW/Raak is het systeem waarin de gegevens over de re-integratie van de uitkeringsgerechtigde (doelmatigheid) worden vastgelegd.

3

Zie voetnoot 3.

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

11 van 59

Het algoritme wordt ontwikkeld op de omgeving Datalake (Azure) DAP’R. DAP’R (Data & Analyse Platform Rotterdam) is de centrale faciliteit voor datagedreven werken en bestaat uit de onderdelen: concern Datawarehouse, Datalake (Azure), Front-end tooling (Cognos, Power BI, SAS Viya) en Advanced analytics m.b.v. Azure Databricks. Er vindt gegevenstransport plaats van de bronsystemen Socrates en RMW/Raak naar DAP’R, specifiek eerst naar concern Datawarehouse en daarna naar Datalake (Azure). In de toekomst (2023) is er een direct gegevenstransport vanuit de bronsystemen Socrates en RMW/RAAK naar Datalake-Azure.

Data & Analyse Platform Rotterdam

Procesbeschrijving “Ontwikkelen algoritme voor heronderzoeken” Voor de ontwikkeling van het algoritme wordt als leidraad de procesbeschrijving “Ontwikkelen algoritme voor heronderzoeken” gevolgd. Deze procesbeschrijving is door directeur Inkomen vastgesteld (d.d. 25.02.2022). In de bijlage is deze procesbeschrijving toegevoegd. De data-scientists ontwikkelen in nauwe samenwerking met het projectteam het algoritme voor heronderzoeken. Het proces ‘Ontwikkelen algoritme voor heronderzoeken’ bestaat uit 2 subfases. In subfase 1 worden de zaken uitgevoerd die randvoorwaardelijk zijn voor het ontwikkelen van een algoritme. In de 2e subfase wordt het algoritme daadwerkelijk getraind c.q. ontwikkeld. Subfase 1 start met een formele opdracht van de opdrachtgever (Directeur uitvoering, Cluster W&I) aan Cluster OBI om een algoritme te ontwikkelen voor heronderzoeken en hiervoor data-scientists beschikbaar te stellen. Subfase 1 eindigt als de ethische en juridische toetsen en andere voorbereidingen, zoals de benodigde dataset zijn afgerond en zijn goedgekeurd door de proceseigenaar.

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

12 van 59

Proces Ontwikkelen algoritme voor heronderzoeken

Startdatum wordt bepaald door gewenste einddatum minus minimaal 6 mnd

Deelproces 1: Vaststellen aantal HO en aanpak

2 Formele opdracht van WI om algoritme te ontwikkelen voor heronderzoeken

2 Uitvoeren algoritme risicobeoordeling (ARA)

4 Uitvoeren DPIA / AIA voor algoritme en bijz. pers. gegevens

1 Opstarten project

5 Beoordelen effectiviteit en inventariseren verbeteringen

6 Uitvoeren DPIA voor Azure (eenmalig)

7 Maken dataconnectie Azure en DWH (eenmalig)

8 Onderzoeken benodigde gegevens voor algoritme

3 Uitvoeren DEDA en IAMA

9 Opstellen voorstel benodigde gegevens

Minimaal 2 maanden

10 Management en bestuurlijke goedkeuring gegevens voor het algoritme

11 Goedkeuren dataconnectie

randvoorwaardelijk 12 Maken dataconnectie met veilige omgeving (SQL develop er of Az ure)

13 Onderzoeken verbanden tussen variabelen en bijz. pers. Gegev.

14 Opstellen voorstel trainingsdata voor proceseigenaar 15 Goedkeuren voorstel trainingsdata

AIA = Algoritme impactbeoordeling ARA = Algoritme risicobeoordeling IAMA = Impact Assessment Mensenrechten en Algoritmes DEDA = De Ethische Data Assistent DPIA = data protection impact assessment

PIA Rapportage v 1.4

16 Informeren bestuurlijke verantwoordelijke over trainingsdata

17 Opstellen communicatie voor wz, en andere doelgroepen

Tussentijdsresultaat: Ethische en juridische toetsingen en andere voorbereidingen afgerond en akkoord bevonden

Datum

Pagina

16 januari 2023

13 van 59

Subfase 2 start als de randvoorwaardelijke zaken in subfase 1 zijn afgerond en goedgekeurd. Subfase 2 start met het inlezen van de dataset die is goedgekeurd door de proceseigenaar en eindigt met de validatie van het algoritme (stap 23) en het delen van de resultaten met het projectteam (stap 24). Hierna wordt de pilotfase afgerond en wordt er een keuze gemaakt over het al dan niet inzetten van het algoritme. Het feitelijk inzetten van het algoritme door deze toe te passen op actuele uitkeringsgerechtigden (stap 25 en verder) valt onder het DPIA voor de gebruiksfase.

Tussentijdsresultaat: Ethische en juridische toetsingen en andere voorbereidingen afgerond en akkoord bevonden 20 Inlezen goedgekeurde dataset

21 Transformeren data in juiste analyse format

22 Trainen algoritme

23 Valideren algoritme

Wijzigingen of nieuwe inzichten

24 Delen van tussentijdse trainingsresultaten met projectteam

25 Scoren werkzoekenden onder- en/of over vertegenwoordiging niet acceptabel

26 Toetsen scoringslijst op onder- of oververtegenwoordiging 27 Opstellen notitie over algoritme, uitlegbaarheid en individuele uitlegbaarheid 28 Goedkeuren notitie algoritme en uitlegbaarheid 29 Aanleveren lijst met risico scores aan DWH

Afkortingen van rollen en functies PL = Projectleider C&O PO = Product owner DS = Data Scientist Bel. Adv. = Beleidsadviseur W&I Inkomen Comm. Adv. = Communicatie adviseur Adv. HH = Adviseur Handhaving IA = Informatie Analist DWH = Analist datawarehouse Dir. Inkomen = Directeur Inkomen PL Azure project = Projectleider Azure project PE = proceseigenaar

PIA Rapportage v 1.4

30 WZ voorzien van een BSN nummer

34 Lijst met werkzoekenden incl. BSN en risico scores

Deelproces 3: Selecteren werkzoekenden voor HO W&I Beheer

Datum

Pagina

16 januari 2023

14 van 59

Vanuit het perspectief van de verwerking van persoonsgegevens zijn de volgende activiteiten in subfase 1 van het proces relevant. Stap 7 Maken dataconnectie Azure en concern Data Warehouse Het algoritme wordt ontwikkeld op het Azure DAP’R platform. Deze stap betreft het aanleggen van de infrastructuur met een werkende dataconnectie sussen het concern Data Warehouse en Azure. Deze infrastructuur is de basis waarop het algoritme wordt ontwikkeld. Omdat de dataset versleutelde BSN’s bevat, wordt de dataset afgezonderd opgeslagen met een eigen autorisatie voor toegang tot gebruik. Stap 12 Maken dataconnectie veilig omgeving (Azure) Op de in stap 7 aangelegde infrastructuur met een werkende, beveiligde dataconnectie tussen concern Datawarehouse en Azure, wordt vervolgens van deze infrastructuur gebruik gemaakt. Op dagelijkse basis wordt de actuele data uit Socrates en RMW/Raak ingelezen ten behoeve van de ontwikkeling van het algoritme. Het verschil tussen stap 7 en stap 12 van subfase 1 in de procesbeschrijving is: - Stap 7, een eenmalige dataconnectie ten behoeve van het aanleggen van de benodigde infrastructuur. - Stap 12, het dagelijks inlezen van de actueel data ten behoeve van de inzet van het algoritme.

Stap 8 Onderzoeken benodigde gegevens voor algoritme Het algoritme maakt gebruik van historische data betreffende de afgeronde heronderzoeken die de afgelopen 5 jaar zijn uitgevoerd. Hiervoor wordt de peildatum gebruikt van 5 jaar voor de peildatum van de ingebruikname van het algoritme die middels de a-selecte methode zijn geselecteerd. Zoals eerder uiteen is gezet4, worden voor het te ontwikkelen algoritme alleen de data uit heronderzoeken gebruikt waarbij sprake was van a-select uitgenodigde uitkeringsgerechtigden. Door het algoritme te baseren op de resultaten van eerdere a-select uitgevoerde heronderzoeken, heeft het algoritme per definitie een hogere effectiviteit dan de a-selecte methode. Effectiviteit: Tijdens de pilotfase kan alleen iets worden geroepen over de te verwachten effectiviteit van het getrainde algoritme. Hiertoe wordt het algoritme getest op een afgescheiden deel van de historische data (de ‘testdata’). Op deze wijze kan worden getoetst in welke mate het algoritme correct gevallen weet aan te wijzen waarin er feitelijk sprake is geweest van onrechtmatigheid. Hierbij wordt o.a. gekeken naar hitrate en accuracy. Hoe groot de effectiviteit van het algoritme daadwerkelijk is, is pas na te meten na afronding van heronderzoeken op basis van het algoritme.

Dan kunnen we de resultaten van de selectiemethoden a-select, thema-onderzoek en algoritme met elkaar vergelijken. In de jaarrapportage Handhaving 2023 vindt deze effectiviteitsmeting plaats. Wat we vanuit voorgaande jaren over de effectiviteit van het algoritme weten is dat dit algoritme per definitie effectiever is dan de a-selecte methode. Het algoritme wordt namelijk getraind met de data uit de a-selecte onderzoeken die in de afgelopen 5 jaar zijn uitgevoerd.

4

Zie voetnoot 3.

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

15 van 59

Uit de onderzoeksresultaten over de jaren 2018 tot en met 2021 blijkt dat het verrichten van heronderzoek op basis van het risico-inschattingsmodel, effectiever is dan het verrichten van heronderzoeken bij a-select gekozen uitkeringsgerechtigden of op basis van een vooraf bepaald thema. Dit uit zich in een hoger percentage beëindigde uitkeringen en terugvorderingen bij onderzoeken die in deze jaren zijn uitgevoerd op basis van het risico-inschattingsmodel. Dit betekent dat het model een goede voorspellende waarde heeft. Bij de uitkeringsgerechtigden die we voor een rechtmatigheidsonderzoek uitnodigen op basis van dit model, hebben we dus een grotere kans om onrechtmatigheden op te sporen en tijdig te verhelpen. Voor de cijfers van 2021 wordt verwezen naar de in bijlage 7 toegevoegde ‘rapportage Handhaving cluster Werk en inkomen 2021’. Voor de cijfers van de jaren 2018 t/m 2020 wordt verwezen vraag 4 in de bijlage 6 toegevoegde ‘Beantwoording van de schriftelijke vragen van het raadslid A.J. van Zevenbergen (SP) over ‘Gemeentelijke algoritmes onder de loep' d.d. 14-12-2 2021. Gebruikte data en voorkomen van vooringenomenheden: Niet alle gegevens uit de gebruikte administraties in de systemen Socrates en RMW/Raak worden gebruikt. Incompleetheid, identieke invulling of samenhang tussen variabelen kan leiden tot het buiten beschouwing laten van bepaalde variabelen.

Dit is het resultaat van de datapreparatie die door het team Advanced Analytics wordt uitgevoerd. Mogelijke direct of indirect (proxy) discriminatoire variabelen worden niet opgenomen in het algoritme. Hierbij wordt uitgegaan van de gronden op basis waarvan volgens het College van de Rechten van de Mens niet gediscrimineerd mag worden. Deze gronden zijn: godsdienst, levensovertuiging, politieke gezindheid, ras, geslacht, nationaliteit, seksuele gerichtheid, burgerlijke staat, handicap of chronische ziekte en leeftijd. Om vast te stellen of er een verband bestaat tussen de variabelen uit de systemen Socrates en RMW/Raak en discriminatoire variabelen, wordt door het team Advanced Analytics correlatieonderzoeken uitgevoerd (zie stap 13). De uitkomsten van de correlatieonderzoeken leiden tot een voorstel om bepaalde variabelen uit de systemen Socrates en RMW/Raak in het algoritme worden meegenomen of juist bewust uit te sluiten. Het gaat dan om variabelen die (in)direct correleren met discriminatoire gronden en om deze reden niet in het algoritme worden opgenomen. Uiteindelijk besluit de gemeenteraad over dit voorstel. Dit is stap 20 in subfase 1 van het ontwikkelproces.

Stap 13 Onderzoeken verbanden tussen variabelen en bijzondere persoonsgegevens Om inzicht te krijgen in mogelijke (in)direct discriminerende werking van variabelen die potentieel in het algoritme worden meegenomen worden correlatieonderzoeken uitgevoerd. De vraag daarbij is steeds of er een verband zit tussen: • de variabelen uit de systemen Socrates en RMW/Raak en • de hierboven genoemde gronden op basis waarvan niet gediscrimineerd mag worden. Met uitzondering van ras/afkomst, worden deze correlatieonderzoeken uitgevoerd met gebruikmaking van de data uit RMW/Raak en Socrates. Aangezien gegevens over ras/afkomst niet direct of indirect wordt geregistreerd in deze systemen, is het gebruik van de data uit het systeem BRP (Basis Registratie Persoonsgegevens) voor een correlatieonderzoek betreffende ras/afkomst een vereiste. Dit is de enige wijze waarop op objectieve wijze een eventuele correlatie met ras/afkomst kan worden aangetoond.

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

16 van 59

De data uit de BRP worden enkel gebruikt voor de uitvoering van het correlatie-onderzoek (validatie) met betrekking tot ras/afkomst. Met als doel om mogelijke (indirecte) discriminatie van het algoritme uit te sluiten. De BRP-data worden dus niet gebruikt in het model of om nieuwe modellen op te trainen. In samenspraak met data experts van cluster Dienstverlening wordt nog nader bepaald welke exacte extractiekolommen vanuit de BRP voor dit doel beschikbaar zouden moeten worden gesteld. Het team Advance Analytics heeft aangegeven voor deze correlatie-check behoefte te hebben aan de volgende extractiekolommen vanuit de BRP: herkomstland, geboorteland ouders en historische nationaliteit. Op 18 juni 2021 heeft Juridische Diensten een positief advies gegeven over het gebruik van de BRPdata voor de uitvoering van het correlatieonderzoek.

Citaat advies Juridische Diensten: “De wettelijke grondslag voor het gebruik van gegevens over nationaliteit als controlemiddel bij het algoritme moet worden gezocht in artikel 53a, van de Participatiewet waarin de algemene bevoegdheid voor het college voor het verrichten van (her)onderzoeken naar de rechtmatigheid van verleende bijstandsuitkeringen is geregeld.” “Het gebruik van gegevens over nationaliteit en afkomst als controlemiddel bij dit algoritme lijkt vooralsnog geen juridische onvolkomenheden op te leveren, mits volstrekt inzichtelijk wordt gemaakt dat deze gegevens niet worden gebruikt om het algoritme te ‘voeden’.” In de bijlage is het advies van Juridische Diensten toegevoegd. Vooraf, gedurende en na afronding van het correlatieonderzoek op ras/afkomst zijn duidelijke beheermaatregelen getroffen om deze gegevens te beschermen (zie uitwerking bij norm 15): • De BRP-data worden ter beschikking gesteld en op twee duidelijk vooraf aangegeven momenten gebruikt puur ter validatie, dus niet om te verwerken in een model • De BRP-data worden enkel vrijgegeven aan en gebruikt door één data-scientist van afdeling OBI. Deze data-scientist is in loondienst van de gemeente Rotterdam. • De BRP-data worden na gebruik volgens de kaders en richtlijnen van de AVG en Archiefwet vernietigd.

• De beschikbaarstelling van de BRP-data wordt indien nodig in een afzonderlijke gebruikersovereenkomst vastgelegd. Gedurende de correalatieonderzoeken wordt per variabele/feature in Socrates en RMW/Raak door de leden van de projectgroep: 1. Bekeken of er een statistische correlatie is tussen de variabele/feature en een correlatievariabele. Hierbij wordt de regel gehanteerd dat alle variabelen/features met een gemiddelde of hoge correlatie niet in het algoritme worden meegenomen. De R-waarde van 0,3 en hoger is de grens die hierbij wordt gehanteerd. 2. Een nadere statistische analyse uitgevoerd per variabele/feature met een R-waarde tussen 0,25 en 0,3. Met als doel om variabelen/features in het grensgebied diepgaander te analyseren op eventuele discriminerende werking. 3. Op basis van de naamgeving en onderliggende beschrijving van een variabele/feature bekeken of er een verband met een correlatievariabele lijkt te bestaan. Nadat de correlatieonderzoeken zijn afgerond, wordt de lijst met variabelen/features die in het algoritme worden meegenomen voor besluitvorming aan de wethouder voorgelegd.

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

17 van 59

Vanuit het perspectief van de verwerking van persoonsgegevens zijn de volgende activiteiten in fase 2 van het proces relevant. Stap 22 . Trainen algoritme Het algoritme wordt ontwikkeld op het Azure DAP’R platform. Het algoritme maakt gebruik van de data uit de systemen Socrates en RMW/Raak. Door twee data-scientists van afdeling OBI van de gemeente Rotterdam wordt het algoritme getraind. Met een iteratief proces van algoritme training wordt de kans op rechtmatige of onrechtmatige verstrekking van bijstand voorspeld. Tijdens een groot deel van het proces zijn de gegevens van uitkeringsgerechtigden gepseudonimiseerd. Stap 23. Valideren algoritme Valideren van het algoritme houdt in dat er op meerdere vooraf bepaalde meetwaarden getoetst wordt hoe bruikbaar het algoritme is. Meetwaarden zijn bijvoorbeeld: • Technische meetwaarden • Uitlegbaarheid: Is het algoritme uitlegbaar? Overige meetwaarde om het algoritme te valideren worden in het ontwikkelproject in gezamenlijkheid bepaald. Dat betekent in samenspraak met de data-analist, beleidsadviseur, proceseigenaar en Privacy Officer van cluster Werk & Inkomen en de data-scientists van team Advanced Analytics. Het algoritme zal meerdere validatieslagen doorlopen, voordat het ‘goed’ genoeg is om uiteindelijk voor te leggen aan proceseigenaar ter goedkeuring. Stap 24.

Delen van tussentijdse trainingsresultaten met projectteam Met de projectgroep wordt gedurende het trainingstraject, meerdere keren overlegd of de ontwikkeling van het algoritme op een juist spoor is of dat er nog zaken moeten veranderen. Deze informatie wordt dan weer meegenomen om het algoritme te verbeteren. Onderwerpen die besproken worden in dit overleg zijn: • Prestaties modellen; • Uitlegbaarheid algoritme globaal; • Uitlegbaarheid algoritme op het niveau van de individu (waarom deze score per individu). Stap 25. Scoren werkzoekenden Het vastgestelde algoritme wordt gebruikt om de risico onrechtmatigheid te beoordelen op de huidige groep werkzoekenden. Het scoren betekent dat alle werkzoekenden een inschatting krijgen van het nieuwe model. Het scoren op de totale groep werkzoekenden geeft een beeld hoe de verdeling van de scores is over de populatie. Maar ook geeft dit een beeld welke groep werkzoekenden mogelijk uitgenodigd worden voor een heronderzoek. Het resultaat van deze stap is een lijst met geanonimiseerde werkzoekenden met een risicoscore op onrechtmatigheid. Stap 26. Toetsen scoringslijst op onder- of oververtegenwoordiging (discriminatie toetsing) De groep die in aanmerking komt voor heronderzoek wordt hier getoetst aan de hand van bijzondere persoonsgegevens op over- of ondervertegenwoordiging.

Het is niet wenselijk meer of juist minder mensen met bepaalde bijzondere karakteristieken te selecteren dan we zouden mogen verwachten in deze groep. Deze toets is een extra toets om te bepalen of het model zonder gebruik te maken van discriminerende variabelen tot een vooringenomen resultaat komt. Als de proceseigenaar de

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

18 van 59

Artikel 5.2 lid 1 Woo

over- en/of ondervertegenwoordiging nog niet acceptabel vindt dan wordt het algoritme of data aangepast. De Data-scientist levert de informatie en analyse met betrekking tot over- en/of ondervertegenwoordiging aan de projectgroep. Na beoordeling in de projectgroep, neemt de proceseigenaar een besluit. Gehanteeerd normenkader: Bij de afweging of het algoritme wel of niet in gebruik kan worden genomen, wordt in de pilotfase een normenkader ontwikkeld. Dit normenkader bestaat uit de volgende onderdelen: 1. Geen onder- of oververtegenwoordiging Gehanteerde norm is dat er op de discriminatoire normen van de rechten van de mens geen verschil zit tussen de aard van de selectie door het algoritme en de gehele uitkeringspopulatie. Voorbeeld: als de uitkeringpopulatie voor 40% uit vrouwen bestaat, dan moet het algoritme 40% vrouwen als uitkomst hebben. 2. Effectiviteit De effectiviteit van het algoritme is hoger dan tenminste 1% beter dan de a-selecte methode, omdat het algoritme getraind wordt op basis van de uitkomsten van historische a-selecte heronderzoeken. Een kwantitatieve onderbouwing van de effectiviteit volgt aan het einde van de pilotfase, als het algoritme ontwikkeld is. Hierover is in paragraaf 3.3. (onderdeel stap 8) nader aandacht besteed. 3. Ethisch normenkader Het algoritme voldoet aan het gestelde normenkader van de ethische IAMA-toets.

Zie hierover meer in hoofdstuk 2. Stap 27. Opstellen notitie over algoritme, uitlegbaarheid en individuele uitlegbaarheid De werking van het algoritme en de uitlegbaar beschrijven ten behoeve van besluitvorming door proceseigenaar en wethouder. Als er na de toetsing op over- en ondervertegenwoordiging geen bijzondere afwijkingen geconstateerd zijn en/ of de onder- of oververtegenwoordiging is acceptabel bevonden door de product owner, dan is het algoritme compleet. Het algoritme moet goedgekeurd worden door de proceseigenaar en de wethouder voordat scoringslijst in gebruik wordt genomen. De product owner stelt een notitie op met een uitleg over de werking en uitlegbaarheid van het algoritme en legt deze ter accordering voor aan de proceseigenaar. Stap 30. Werkzoekende voorzien van een BSN Elke werkzoekende wordt weer voorzien van een BSN. Alleen bij het Datawarehouse kunnen bevoegde medewerkers de pseudonimisering weer terugdraaien, zodat duidelijk wordt welke risicoscore bij welk individu hoort. Zo kan worden geïdentificeerd welke personen moeten worden uitgenodigd voor heronderzoek. Het resultaat van deze stap is een lijst met uitkeringsgerechtigden, inclusief BSN’s en risico-scores.

3.4

Uitgesloten van de scope Zoals eerder aangegeven betreft deze DPIA-stap 1 t/m 24 van het deelproces II ‘De ontwikkeling van het algoritme voor de uitvoering van heronderzoeken uitkeringen’ binnen cluster Werk & Inkomen. In

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

19 van 59

Artikel 5.2 lid 1 Woo

de bijlage 2 ‘De ontwikkeling van het algoritme voor de uitvoering van heronderzoeken uitkeringen’ is de betreffende procesbeschrijving opgenomen. De DPIA voor de gebruiksfase (fase II) wordt opgeleverd na de ontwikkeling van het algoritme en voorafgaande aan de ingebruikname van het algoritme. De DPIA voor de gebruiksfase betreft stap 25 t/m 30 van het deelproces 2 ‘De ontwikkeling van het algoritme voor de uitvoering van heronderzoeken uitkeringen’; En deelproces 3 ‘Selecteren werkzoekenden voor heronderzoek’. In de bijlage 3 ‘Selecteren werkzoekenden voor heronderzoek’ is de betreffende procesbeschrijving opgenomen. Het primaire W&I proces ‘Uitvoeren heronderzoeken’ valt buiten de scope van beide DPIA’s. Daarmee maakt deelproces 1 ‘Vaststellen aantal heronderzoeken en aanpak’ geen onderdeel uit van deze DPIA. Voor het inzicht in het brede kader waarin het algoritme past is het deelproces 1 ‘Vaststellen aantal heronderzoeken en aanpak’ als bijlage toegevoegd. Het algoritme wordt ontwikkeld op het Azure DAP’R platform. Hierop is in 2021 en in mei 2022 een DPIA (‘Consolideren en bewaren van gegevens in het Datalake’) uitgevoerd. Ook op concern Datawarehouse is in 18 juni 2021 een DPIA (‘Centrale datawarehouse’) uitgevoerd.

Artikel 5.2 lid 1 Woo

Voor de analyse van de risico’s en maatregelen op het gebied van informatiebeveiliging wordt verwezen naar de DPIA van Datalake en concern Data Warehouse. De vastgestelde beheersmaatregelen worden vanuit het project SPIDER (Cluster BCO) geïmplementeerd. De bronapplicaties Socrates en RMW/ RAAK vallen buiten de scope van onderhavige DPIA. Betrokken partijen • In dit proces is het college van Burgermeesters en Wethouders van de gemeente Rotterdam de verwerkingsverantwoordelijke. • Directeur uitvoering (portefeuille Inkomen) van cluster W&I is op clusterniveau proceseigenaar van het proces ‘Ontwikkelen algoritme heronderzoeken’. • Afdelingshoofd Beheer Inkomen van cluster W&I is op afdelingsniveau proceseigenaar van het proces heronderzoeken en gebruiker van het algoritme. • Teamleider Data Science van afdeling OBI, cluster BCO is verantwoordelijk voor de ontwikkeling en training van het model. • Teamleider Data Warehouse van afdeling OBI, cluster BCO is verantwoordelijk voor de verkrijging, opslag en bewerking van data binnen Concern Data Warehouse en Azure Datalake. • Directeur uitvoering (portefeuille Inkomen) van cluster W&I is verantwoordelijk voor de inhoudelijke keuzes die in het ontwikkelproces worden gemaakt. 3.5

Beschrijving van de persoonsgegevens die worden verwerkt In de nog uit te werken documenten worden de persoonsgegevens weergegeven. Deze documenten worden aan het einde van de ontwikkelfase van het algoritme opgeleverd. Het betreft: • De bronlijst van variabelen uit Socrates en RMW/Raak. • De uitkomsten van de uitgevoerde correlatieonderzoeken. • Het voorstel en besluit welke variabelen wel en welke niet in het algoritme worden meegenomen met onderbouwing

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

20 van 59

Artikel 5.2 lid 1 Woo

In het algoritme worden alle discriminatoire- en proxyvariabelen gehaald, waardoor de kans op vooringenomenheid/ bias in het algoritme wordt voorkomen. Het betreft variabelen met betrekking tot de gronden waarop volgens het College van de rechten van de mens niet gediscrimineerd mag worden. Deze gronden zijn: godsdienst, levensovertuiging, politieke gezindheid, ras, geslacht, nationaliteit, seksuele gerichtheid, burgerlijke staat, handicap of chronische ziekte en leeftijd. In de bijlage 5 ‘Correlatie corvar en features’ (d.d. 12-12 is toegevoegd waarmee inzicht wordt verschaft in de bronlijst van variabelen uit Socrates en RMW/Raak en de uitkomsten van de correlatiecheck op de gronden: leeftijd, geslacht, burgerlijke staat, en handicap of chronische ziekte. Dit kan gezien worden als een tussenstand. Indien de BRP-data die we nodig hebben voor het onderzoeken van correlatie met ras/afkomst (zie stap 13) beschikbaar worden gesteld, dan wordt de uitkomsten van deze correlatiecheck verwerkt. Dat zal leiden tot een definitief voorstel en bestuurlijk besluit welke variabelen wel en welke niet in het algoritme worden meegenomen. Risicoanalyse privacy In dit hoofdstuk wordt per onderwerp een aantal vragen gesteld op basis van de norm die door de AVG is bepaald.

Per onderwerp worden op basis van de norm risico’s bepaald, welke maatregelen genomen zijn/ worden en wat de restrisico’s zijn na het nemen van de maatregelen.

3.6

Rechtsgrond van de verwerking (artikel 6) Onderstaande normen hebben betrekking op de rechtmatigheid van de verwerking van de persoonsgegevens. Norm 1

Persoonsgegevens mogen alleen rechtmatig worden verwerkt. Dit betekent dat de verwerking plaats dient te vinden op grond van een van de grondslagen genoemd in de AVG. Voor onderhavige verwerking is artikel 6, eerste lid AVG relevant. Op grond van artikel 6, eerste lid, van de AVG is de verwerking van persoonsgegevens alleen rechtmatig indien en voor zover aan ten minste een van de in die bepaling vermelde voorwaarden is voldaan. De in die bepaling, onder e, vermelde voorwaarde is dat de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen. Het in artikel 6, eerste lid, aanhef en onder e, van de AVG neergelegde noodzakelijkheidsvereiste houdt in dat moet worden voldaan aan de beginselen van proportionaliteit en subsidiariteit. Het proportion aliteitsbeginsel houdt in dat de inbreuk op de belangen van de bij de verwerking van de persoonsgegevens betrokken personen niet onevenredig mag zijn in verhouding tot het met de verwerking te dienen doel. Op grond van het subsidiariteitsbeginsel mag het doel waarvoor de persoonsgegevens worden verwerkt in redelijkheid niet op een andere, voor de bij de verwerking van persoonsgegevens betrokken persoon, minder nadelige wijze kunnen worden verwezenlijkt.

De concrete toets is of minder inbreuk makende middelen beschikbaar zijn voor het bereiken van hetzelfde doel.

Hoe

1. Ten aanzien van persoonsgegevens die uit de bronsystemen Socrates en RMW/Raak als trai-

wordt

ningsdata gebruikt worden voor het ontwikkelen van het algoritme heronderzoeken zodat uitkerings-

vol-

gerechtigden met een hoge score op onrechtmatigheid door de mens geselecteerd worden voor een

daan

heronderzoek:

aan de

Cluster Werk & Inkomen van de gemeente Rotterdam heeft de wettelijke taak om de Participatiewet (PW) uit te voeren en moet daarom persoonsgegevens verwerken. Werkzoekenden zijn verplicht om

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

21 van 59

Artikel 5.2 lid 1 Woo

norm

alle inlichtingen te verschaffen die van invloed kunnen zijn op de uitkering (art. 17 PW). Met name

?

gelet op art. 53a PW, heeft de gemeente de bevoegdheid tot het doen van onderzoek naar de rechtmatigheid van de op grond van de Participatiewet verstrekte uitkering. Ter bestrijding van onjuist gebruik van sociale voorzieningen is in jurisprudentie erkend dat inzet van risicoprofielen met oog op effectiviteit, efficiëntie en kostenbesparing is toegestaan. Wel moet duidelijk zijn op basis van welke criteria mensen geselecteerd worden en waarom juist deze criteria zijn gekozen, zodat beoordeeld kan worden of een risicoprofiel binnen de grenzen van het discriminatieverbod blijft. Deze activiteiten vallen onder het uitvoeren van een taak van algemeen belang conform artikel 6, lid 1, sub e AVG (juncto art. 53a PW). Het risico-inschattingsmodel is een vorm van ‘risicoprofiel’. Het risico-inschattingsmodel wordt vanuit oog op effectiviteit, efficiëntie en kostenbesparing ingezet en om te voorkomen dat uitkeringsgerechtigden onnodig worden belast met een heronderzoek. Het risico-inschattingsmodel kan in beginsel als ‘noodzakelijk’ worden gezien. Proportionaliteit inzet algoritme Uit de onderzoeksresultaten over de jaren 2018 tot en met 2020 blijkt dat het verrichten van heronderzoek op basis van het risico-inschattingsmodel, effectiever is dan het verrichten van heronderzoeken bij a-select gekozen uitkeringsgerechtigden of op basis van een vooraf bepaald thema.

Dit uit zich in een hoger percentage beëindigde uitkeringen en terugvorderingen bij onderzoeken die in deze jaren zijn uitgevoerd op basis van het risico-inschattingsmodel. Zie hiervoor tevens de ‘beantwoording van de schriftelijke vragen van het raadslid A.J. van Zevenbergen (SP) over Gemeentelijke algoritmes onder de loep, d.d. 14.12.2022’. Door het algoritme te baseren op resultaten van eerder uitgevoerde heronderzoeken bij uitkeringsgerechtigden die a-select (op basis van registratiegegevens uit de systemen Socrates en RMW/Raak) zijn uitgenodigd heeft het algoritme per definitie een hogere effectiviteit dan de a-selecte methode. Hoe groot daadwerkelijk de effectiviteit van het algoritme is, is pas na ingebruikname van het algoritme te meten. Dan kunnen we de selectiemethoden a-select, thema-onderzoek en algoritme met elkaar vergelijken. In de jaarrapportage Handhaving 2023 vindt deze effectiviteitsmeting plaats. In de huidige procesbeschrijving ‘Ontwikkelen algoritme voor heronderzoeken’ bij ‘stap 5’ is aangegeven dat de effectiviteit van het model onderzocht zal worden: Stap 5

Beoordelen effectiviteit en inventariseren verbeteringen

Doel

Beoordelen effectiviteit algoritme en identificeren verbeteringen o.b.v. geleerde ervaringen

Omschrijving

In de evaluatie worden de resultaten van heronderzoeken van voorgaande jaren verzameld en geëvalueerd. Het is belangrijk om te onderzoeken voordat je begint met het project of het inderdaad waardevol is gezien voorgaande jaren en of er wellicht zaken zijn die we kunnen leren en mee kunnen nemen in het ontwikkelen van een nieuw algoritme (n.b. het algoritme van 2020 wordt niet hergebruikt/doorontwikkeld). De evaluatie omvat o.a. de volgende elementen: • •

PIA Rapportage v 1.4

Evaluatie op de statistiek, voorspelbaarheid en afwijkende bevindingen. Hoe verhoudt het rendement van algoritme zich tot andere selectiemethoden (zoals A-select en woonprofielen) die we gebruiken, m.a.w. wat is de toe-

Datum

Pagina

16 januari 2023

22 van 59

Artikel 5.2 lid 1 Woo

•

• •

gevoegde waarde van algoritme? Hiervoor stelt de adviseur HH een rapportage op waarin de effectiviteit van algoritme wordt vergeleken met andere selectiemethoden. Wat zijn handhavingsresultaten versus risico inschatting; Kun je op basis van de feedback van heronderzoeken, het voorspelvermogen van het algoritme vergroten/ beter inschatten welke variabelen je moet gebruiken. Welke variabelen zullen bijdragen aan een betere voorspelling Reflectie op ontwikkelproces van afgelopen jaar

Naast het toepassen van een algoritme risico-inschattingsmodel moet de input aan persoonsgegevens ook noodzakelijk zijn om het doel te bereiken. Met andere woorden: persoonsgegevens die niet strikt noodzakelijk zijn voor het beoogde doel, mogen niet gebruikt worden. Voor nu is nog onbekend om welke exacte persoonsgegevens het gaat. Deze zijn nog ‘in onderzoek’ en staan beschreven in de procesbeschrijving onder stap 8, 9, 10, 13, 14 en 15: Stap 8

Onderzoeken benodigde gegevens voor algoritme

Doel

Inventariseren welke gegevens gebruikt mogen worden voor dit specifieke algoritme.

Omschrijving

De product owner is verantwoordelijk voor het onderzoeken welke gegevens gebruikt gaan worden voor het ontwikkelen van het algoritme. De product owner bepaalt met o.a. de adviseur handhaving welke gegevens van Socrates en/of Raak gebruikt moeten/ mogen worden bij het ontwikkelen van het algoritme. Deze gegevens moeten ethisch en privacy verantwoord zijn. DIt betreft in beginsel alle data uit de systemen RMW/Raak en Socrates, met uitzondering van de potentieel discriminatoire variabelen / proxy’s (op basis van eerdere besluitname, dan wel de correlatiechecks). Na de uitvoering van de correalatiechecks zullen indirect discriminerende variabelen uit het model worden gehaald. Vervolgens kunnen in de fase van training meerdere variabelen afvallen als deze geen effect hebben op de performance van het algoritme. Door in beginsel zoveel mogelijk variabelen uit de systemene RMW/Raak en Socrates in de ontwikkeling van het algoritme mee te nemen, wordt het komt dit het voorspellende karakter van het algoritme vergrooten daarmee de performance van het algortime ten goede.

Artikel 5.2 lid 1 Woo

De product owner kan op basis van de DWH-tabellen van Socrates, nagaan welke gegevens (kolommen) nodig zijn voor het algoritme, en welke vanwege ethische en privacy bezwaren niet meegenomen kunnen worden. Op verzoek van de product owner kan de data scientist gevraagd worden hierover advies te geven. De data scientist kan bijvoorbeeld adviseren welke gegevens er zijn. Het is de uitvoering (product owner en proceseigenaar) die bepalen welke gegevens zij willen gebruiken voor het ontwikkelen van het algoritme.

Stap 9

Opstellen voorstel benodigde gegevens

Doel

Motiveren welke gegevens nodig zijn voor het algoritme

Omschrijving

Nadat bepaald is welke gegevens nodig zijn voor het algoritme, moet een voorstel opgesteld worden voor de proceseigenaar en andere belangrijke stakeholders, met een motivatie van de keuze van bepaald gegevens.

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

23 van 59

Artikel 5.2 lid 1 Woo

Stap 10

Management en bestuurlijke goedkeuring gegevens voor het algoritme

Doel

Goedkeuring data die benodigd zijn voor het ontwikkelen van algoritme voor heronderzoeken

Omschrijving

De product owner stelt een voorstel op m.b.t. de benodigde data voor het ontwikkelen van het algoritme. De data scientist levert input hiervoor aan de product owner. Het voorstel wordt ter goedkeuring voorgelegd aan de proceseigenaar, directeur Inkomen en wethouder.

Stap 13

Onderzoeken verbanden tussen variabelen en bijzondere persoonsgegevens

Doel

Zorgen voor een ethisch verantwoorde dataset

Omschrijving

Het doel is om variabelen die een sterk verband hebben met variabelen die wijzen op vooringenomenheid, niet mee te nemen in het algoritme. Om deze reden nemen we bijzondere persoonsgegevens niet op. In deze stap wordt voorkomen dat zgn proxy variabelen worden meegenomen in het ontwikkelen van het algoritme. Hierbij wordt

Artikel 5.2 lid 1 Woo

uitgegaan van de discriminatoire normen van de rechten van de mens. Na deze stap is duidelijk welke data gebruikt gaat worden om het algoritme te ontwikkelen. Stap 14

Opstellen voorstel trainingsdata voor proceseigenaar

Doel

Het motiveren van de keuze voor de benodigde dataset voor het ontwikkelen van het algoritme.

Omschrijving

Na het onderzoek op het ethisch toepassen van de data voor het algoritme, moeten de resultaten en conclusies gemotiveerd worden. De motivatie wordt samen met het advies ter goedkeuring voorgelegd aan de proceseigenaar. Hierbij wordt uitgegaan van de gronden op basis waarvan volgens het College van de Rechten van de Mens niet gediscrimineerd mag worden. Zonder formele goedkeuring van de dataset wordt niet gestart met het ontwikkelen van het algoritme. De onderbouwing voor de trainingsdata en advies wordt vastgelegd in een notitie voorstel en voorgelegd ter goedkeuring aan de proceseigenaar. In het voorstel moet ook gemotiveerd worden waarom bepaalde (relevante/nuttige) variabelen en kenmerken NIET worden meegenomen om het algoritme te ontwikkelen.

Stap 15

Goedkeuren voorstel trainingsdata

Doel

Het beschikken over de goedkeuring van de proceseigenaar om de voorgestelde dataset te gebruiken voor het ontwikkelen van het algoritme.

Omschrijving

De proceseigenaar neemt op basis van het voorstel m.b.t. de gewenste dataset voor het ontwikkelen van het algoritme, een besluit. De data scientist, Adviseur HH en product owner hebben vanwege hun kennis een belangrijke adviserende rol richting de proceseigenaar, zodat deze de impact en consequenties van het besluit goed kan doorgronden.

Wel staat vast dat de input voor de ontwikkeling van het algoritme gepseudonimiseerde persoonsgegevens zijn die oorspronkelijk verzameld zijn voor de uitvoering van de PW (afkomstig uit de bronsystemen Socrates en RMW/RAAK). In het algoritme worden alle (proxy)variabelen weggehaald, waardoor die een discriminerende werking zouden kunnen hebben. Het betreft variabelen met betrekking tot de gronden waarvan volgens

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

24 van 59

het College van de rechten van de mens gediscrimineerd zou kunnen worden. Deze gronden zijn: godsdienst, levensovertuiging, politieke gezindheid, ras, geslacht, nationaliteit, seksuele gerichtheid, burgerlijke staat, handicap of chronische ziekte en leeftijd. In de procesbeschrijving ‘Ontwikkelen algoritme voor heronderzoeken’ zijn expliciet stappen opgenomen waarin kritisch wordt gekeken naar de gebruikte variabelen. Er zijn waarborgen ingebouwd om vooringenomenheid binnen het algoritme te voorkomen. Zie procesbeschrijving bij de stappen ‘3, 4, 8, 13, 14, 15, 24 en 26’:

Stap 13

Onderzoeken verbanden tussen variabelen en bijzondere persoonsgegevens

Doel

Zorgen voor een ethisch verantwoorde dataset

Omschrijving

Het doel is om variabelen die een sterk verband hebben met variabelen die wijzen op vooringenomenheid, niet mee te nemen in het algoritme. Om deze reden nemen we bijzondere persoonsgegevens niet op. In deze stap wordt voorkomen dat zgn proxy variabelen worden meegenomen in het ontwikkelen van het algoritme. Na deze stap is duidelijk welke data gebruikt gaat worden om het algoritme te ontwikkelen.