[23bb005673] Bijlage 7 behorende bij 23bb005665 over 21.0231201-DPIA Algoritme heronderzoeken-V 1.4 (gelakt)

Stap 26

Toetsen scoringslijst op onder- of oververtegenwoordiging (discriminatie toetsing)

Doel

De groep met de hoogste score op onrechtmatigheid toetsen op discriminatie en vooringenomenheid.

Omschrijving

Scoringslijst = lijst met alle actieve werkzoekenden en een risico inschatting. Het is niet wenselijk meer of juist minder mensen met bepaalde bijzondere karakteristieken te selecteren dan we zouden mogen verwachten in deze groep. Deze toets is een extra check om te bepalen of het model zonder gebruik te maken van discriminerende variabelen tot een vooringenomen resultaat komt. De toetsing is tweeledig; de data scientist zal voornamelijk een cijfermatige toetsing uitvoeren en de product owner zal samen met de Adviseur Handhaving de toetsing uitvoeren o.b.v. de variabelen. Deze toetsing is ook om na te gaan of er toch sprake is van gebruik van proxy variabele, ondanks dat deze bij de selectie van data zijn uitgesloten. Als de product owner de over- en/of ondervertegenwoordiging nog niet acceptabel vindt dan wordt het algoritme of data aangepast, of wordt een nieuw algoritme ontwikkeld. Gehanteerde norm is dat er op de discriminatoire normen van de rechten van de mens geen verschil zit tussen de aard

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

25 van 59

Artikel 5.2 lid 1 Woo

van de selectie door het algoritme en de gehele uitkeringspopulatie. Voorbeeld: als de uitkeringpopulatie voor 40% uit vrouwen bestaat, dan moet het algoritme 40% vrouwen als uitkomst hebben. De Data scientist levert de informatie en analyse m.b.t over- en/of ondervertegenwoordiging aan de product owner. De product owner beoordeelt dit en neemt al dan niet in samenspraak met de proceseigenaar een besluit. Noot: als dit proces voor het eerst wordt uitgevoerd, zal pas duidelijk worden hoe dit proces concreet uitgevoerd moet worden.

Het is een voorspellend algoritme (machine learning) en geen voorschrijvend algoritme. Het uiteindelijke heronderzoek wordt door een mens uitgevoerd en er zijn waarborgen in het primaire proces aanwezig voor het nemen van een zorgvuldig besluit. 2. Ten aanzien van persoonsgegevens die gebruikt worden om vooraf het algoritme te toetsen op mogelijke discriminatie op nationaliteit: De wettelijke grondslag voor het gebruik van gegevens over nationaliteit als controlemiddel bij het algoritme moet worden gezocht in artikel 53a, van de Participatiewet waarin de algemene bevoegdheid voor het college voor het verrichten van (her)onderzoeken naar de rechtmatigheid van verleende bijstandsuitkeringen is geregeld. Op 18 juni 2021 heeft Juridische Diensten een positief advies gegeven over het gebruik van de BRP-data voor de uitvoering van het correlatieonderzoek. In de bijlage is het advies van Juridische Diensten toegevoegd. Zie verder de onderbouwing hierboven onder punt 1. Na een second-opinion adviesaanvraag over de wettelijke grondslag van onderhavige verwerking bij Juridische Diensten is de wettelijke grondslag bevestigd Zie bijlage advies juridische diensten Wat

De volgende risico’s blijven aanwezig ook ingeval alle processtappen conform het proces ‘Ontwikke-

zijn

len algoritme voor heronderzoeken’ zijn uitgevoerd.

de risico’s

Risico’s voor betrokkene

die

1. Discriminatie van een werkzoekende

over-

2. Financieel verlies werkzoekende (terugwerkende kracht + toekomstige uitkeringen)

blij-

3. Reputatieschade werkzoekende

ven? Risico’s voor organisatie 1.Onrechtmatige verwerking als ondanks de getroffen waarborgen het risico-inschattingsmodel onbewust discriminerend werkt, waardoor bepaalde groepen/ werkzoekenden sneller uitgenodigd worden voor een heronderzoek dan andere. 2. Reputatieschade, verlies van vertrouwen, sancties toezichthouders, klachten en gerechtelijke procedures, financiële schade.

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

26 van 59

Hoe

Hoog.

groot is de impact voor de betrokkene ? Hoe

Laag, want diverse waarborgen zijn aanwezig om discriminatie, bias te voorkomen (zie procesbe-

groot

schrijving). Als blijkt dat er desondanks discriminerende werking zou kunnen zijn, dan worden de (in-

is de

directe) discriminatoire variabele verwijderd. Mocht het model dan niet meer bruikbaar zijn, dan wordt

kans

ermee gestopt.

dat het risico zich voordoet voor de betrokkene ? Aan-

1. Voer de IAMA op het nieuwe algoritmemodel z.s.m. uit en de daarin voorgesteld processtappen

vul-

(en documenteer).

lende

2. Zorg dat het proces ‘Ontwikkelen algoritme voor heronderzoeken’ aansluit met nieuwe ontwikkelin-

maat

gen rondom AI-wetgeving, zoals de AI-verordening.

rege-

3 a. Voer alle processtappen conform het proces ‘Ontwikkelen algoritme voor heronderzoeken’ uit

len ri-

(en documenteer).

sico’s

3 b. Controleer periodiek of alle processtappen conform het proces ‘Ontwikkelen algoritme voor her-

be-

onderzoeken’ zijn gevolgd.

trok-

4. Laat het risico-inschattingsmodel toetsen door een onafhankelijk algoritme toetsingscomité.

kene

5 Doe een juridische toets op de definitieve bronlijst.

Artikel 5.2 lid 1 Woo

? Norm 2

Indien de verwerking is gebaseerd op toestemming, dient aan de eisen in de AVG te zijn voldaan.

Hoe wordt voldaan

De verwerking is niet gebaseerd op toestemming.

aan de norm?

De verwerking is gebaseerd op een taak van algemeen belang, omdat de Participatiewet wordt uitgevoerd.

Wat zijn de risico’s die

Niet van toepassing

overblijven?

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

27 van 59

Hoe groot is de im-

Niet van toepassing

pact voor de betrokkene? Hoe groot is de kans

Niet van toepassing

dat het risico zich voordoet? Aanvullende maatre-

Niet van toepassing

gelen? Norm 3

Indien de verwerking plaats vindt op basis van toestemming heeft de betrokkene het recht om toestemming te allen tijde in te trekken.

Hoe wordt voldaan

Zie norm 2.

aan de norm? Wat zijn de risico’s

Niet van toepassing

die overblijven? Hoe groot is de im-

Niet van toepassing

pact voor de betrokkene? Hoe groot is de kans

Niet van toepassing

dat het risico zich voordoet? Aanvullende maatre-

Niet van toepassing

gelen? Norm 4

Het verwerken van bijzondere persoonsgegevens is alleen toegestaan, indien wordt voldaan aan een van de 10 uitzonderingen onder de AVG.

Hoe wordt voldaan

1. Uit de DPIA en het ingewonnen juridisch advies blijkt dat er bijzondere persoons-

aan de norm?

gegevens verwerkt gaan worden om achteraf het algoritme te valideren op mogelijke discriminatie op de norm nationaliteit en mogelijk andere discriminatiegronden. In de DPIA is aangegeven dat het gebruik van de data afkomstig uit de BRP enkel wordt gebruikt voor de uitvoering van de interne validatie betreffende een mogelijke correlatie met nationaliteit. Met als doel om mogelijke discriminatie van het algoritme objectief en zoveel als mogelijk uit te sluiten. De BRP-data worden op geen enkele wijze meegenomen in het model van algoritme. Juridisch advies luidt: “De wettelijke grondslag voor het gebruik van gegevens over nationaliteit als controlemiddel bij het algoritme moet worden gezocht in artikel 53a, van de Participatiewet waarin de algemene bevoegdheid voor het college voor het verrichten van (her)onderzoeken naar de rechtmatigheid van verleende bijstandsuitkeringen is geregeld.” Uitgaande van het juridisch advies kan gesteld worden dat een wettelijke grondslag aanwezig is. De wettelijke grondslag is artikel 9, lid 2, sub a AVG juncto artikel 53a PW. De verwerking is noodzakelijk in het kader van de uitvoering van regels op het

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

28 van 59

gebied van arbeids- en socialezekerheidsrecht (in casu artikel 53a PW). 2. Gesteld wordt dat ook bijzondere persoonsgegevens uit de bronsystemen Socrates en RMW/Raak als historische data gebruikt gaan worden voor het ontwikkelen van het algoritme heronderzoeken. Voor nu is nog onbekend om welke bijzondere persoonsgegevens het gaat. Zodra deze bekend zijn en de noodzakelijkheid ervan onderbouwd is, kan zeer waarschijnlijk dezelfde uitzonderingsgrond als hierboven onder punt 1 worden gehanteerd. In de DPIA is aangegeven dat het ontwikkelde algoritme in de praktijk toegepast wordt als het objectief is aangetoond dat het geen discriminerende werking heeft.

Wat zijn de risico’s die

1. Geen

overblijven?

2. Verlies controle over eigen gegevens bij onrechtmatige verwerkingen: het ontwikkelde algoritme wordt in de praktijk toegepast als het objectief is aangetoond dat het geen discriminerende werking heeft. Daarom is het uitgangspunt dat vanuit het perspectief van betrokkene het opgeleverde algoritme geen risico’s voor wat betreft vooringenomenheid zal hebben.

Hoe groot is de im-

2. Hoog

pact voor de betrokkene? Hoe groot is de kans

2. Laag

dat het risico zich voordoet? Aanvullende maatre-

1. Onderbouw waarom en welke bijzondere persoonsgegevens noodzakelijk zijn

gelen?

voor het bereiken van het doel en verwerk geen bijzondere persoonsgegevens in het algoritme als deze niet noodzakelijk zijn voor het bereiken van het doel. 2. Voer de processtappen in de Procesbeschrijving ‘Ontwikkelen algoritme voor heronderzoeken’ en de processtappen conform de ‘IAMA’ uit (en documenteer) om continu risico’s te mitigeren.

Norm 5 Hoe wordt voldaan aan de norm?

Het BSN mag alleen worden verwerkt als dit expliciet is toegestaan in de wet op het BSN of in een andere wet De gebruikte gegevens komen via een voorportaal uit de bronsystemen RMW/Raak en Socrates. In Socrates en RMW/Raak wordt informatie over uitkeringsgerechtigden met behulp van het BSN vastgelegd. De persoonsgegevens uit deze bronsystemen worden bij de start van de levering door een geautoriseerde en gemandateerde medewerker in het voorportaal gepseudonimiseerd. Het voorportaal houdt geen data vast en heeft alleen als doel om bron van DAP’R af te schermen (dataminimalisatie) en privacygevoelige data te versleutelen. Vanuit het voorportaal wordt het concern Datawarehouse gevoed en via Azure Datalake aangeleverd bij het team Advanced Analytics van de afdeling OBI. Pseudonimiseren houdt in dat in plaats van alle BSN’s een nieuw nummer zichtbaar wordt. Op geen enkele manier is uit dit nieuwe nummer het oude BSN te herleiden (zonder oorspronkelijke sleutel). Dit nieuwe nummer gebruiken twee collega’s van

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

29 van 59

het team Advanced Analytics op een wijze, zodat uitsluitend zij weten welke informatie bij welk nummer (persoon) hoort zonder dat zij weten wie deze persoon daadwerkelijk is. Nadat de vanuit de systemen Socrates en RMW/Raak beschikbaar is gesteld en in de Azure omgeving is verwerkt, is een model vastgesteld waarmee de uitkeringspopulatie gescoord is. Hierbij wordt de oorspronkelijke sleutel gebruikt om de resultaten terug te zetten naar BSN’s. Hiermee kan cluster W&I aan de slag met het daadwerkelijk uitnodigen van uitkeringsgerechtigden voor een heronderzoek. Wat zijn de risico’s die

Geen

overblijven? Hoe groot is de im-

Niet van toepassing

pact voor de betrokkene? Hoe groot is de kans

Niet van toepassing

dat het risico zich voordoet? Aanvullende maatre-

Niet van toepassing

gelen? 3.7

Doelbinding (artikel 5) Voor achtergrondinformatie zie ook: https://autoriteitpersoonsgegevens.nl/nl/over-privacy/persoonsgegevens/verstrekken-van-persoonsgegevens Norm 6

Indien de gegevens uit bestaande bronnen komen (een andere applicatie) of binnen een ander proces zijn verzameld, dient het doel van deze verwerking verenigbaar te zijn met het oorspronkelijke doel.

Hoe wordt voldaan

Er is sprake van doelbinding.

aan de norm? Er worden in het algoritme uitsluitend gegevens gebruikt die in de administratie zijn vastgelegd in het kader van de uitvoering van de Participatiewet. En in het bijzonder ten behoeve van het uitvoeren van heronderzoeken conform art.53a PW). Het algoritme ondersteunt het proces van het uitvoeren van heronderzoeken, omdat er scores op onrechtmatigheid uitrollen, waarna de organisatie een selectie maakt van werkzoekenden met hoge scores om vervolgens uit te nodigen voor een heronderzoek van de uitkeringsrechtmatigheid. Ten aanzien van de persoonsgegevens die gebruikt worden om vooraf het algoritme te toetsen op mogelijke discriminatie op de norm nationaliteit, is het gebruik van BRP-data een vereiste. Het doel van dit correlatieonderzoek is verenigbaar met het oorspronkelijke doel: het uitvoeren van de Participatiewet. De rechtmatigheid van de verwerking van persoonsgegevens uit de BRP is bij norm 1 verantwoord. Wat zijn de risico’s die

Geen

overblijven?

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

30 van 59

Hoe groot is de im-

Niet van toepassing

pact voor de betrokkene? Hoe groot is de kans

Niet van toepassing

dat het risico zich voordoet? Aanvullende maatre-

Niet van toepassing

gelen? Norm 7

Gegevens die in deze verwerking worden verwerkt, mogen alleen in andere verwerkingen worden gebruikt (gedeeld worden voor andere activiteiten) als het doel van die verdere verwerking (die andere activiteit) verenigbaar is met het doel van deze verwerking.

Hoe wordt voldaan

Niet van toepassing.

aan de norm?

Er is geen sprake van een verdere verwerking.

Wat zijn de risico’s die

Niet van toepassing

overblijven? Hoe groot is de im-

Niet van toepassing

pact voor de betrokkene? Hoe groot is de kans

Niet van toepassing

dat het risico zich voordoet? Aanvullende maatre-

Niet van toepassing

gelen?

3.8

Juist, actueel en volledig Voor achtergrondinformatie zie: https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32016R0679&from=EN Art. 5, sub 1d Norm 8

Persoonsgegevens zijn juist, actueel en volledig.

Hoe wordt voldaan

Er wordt gebruik gemaakt van de laatst beschikbare data uit de bronsystemen

aan de norm?

RMW/Raak en Socrates. In de uitvoeringsprocessen binnen Werk & Inkomen is de kwaliteit van de persoonsgegevens gewaarborgd door interne controles door kwaliteitsmedewerker (4-ogen principe). En in de werkprocessen en -instructies zijn het doorvoeren van mutaties door daartoe bevoegde medewerkers (zoals Administratief Ondersteuners en Inkomensconsulenten) belegd. Ook vinden er kwaliteitscontroles plaats op reguliere processen. Zie verder onder norm 1 hoe data verder voorbereidt wordt ten behoeve van het risico-inschattingsmodel. Bij de ontwikkeling van het model wordt uitgegaan van artikel 10 van de WAI (Wet op de Artificiële Intelligentie -concept-). In het ontwerp is gekozen voor ontwikkeling van het model op basis van historische random samples van heronderzoeken. Er is gekozen voor de ontwikkeling van een

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

31 van 59

glass box model vanwege uitlegbaarheid en transparantie. De data worden gecontroleerd op geschiktheid, volledigheid en representativiteit d.m.v. diverse controles (bijvoorbeeld op aantallen en voorkomen van combinaties van variabelen). De data worden geprepareerd en opgeschoond, waarbij variabelen vanuit diverse tabellen (afkomstig uit Socrates en RMW) worden omgezet tot een trainingsdataset met features. Mogelijke vertekeningen (bias) worden geanalyseerd d.m.v. correlatiechecks met bijzondere persoonsgegevens, zoals bedoeld in artikel 9, lid 1, van Verordening (EU) 2016/679, artikel 10 van Richtlijn (EU) 2016/680 en artikel 10, lid 1, van Verordening (EU) 2018/1725. De uitkomsten van de correlatiechecks en de keuze van variabelen worden besproken tijdens diverse werksessies en voorgelegd aan de opdrachtgever. Wat zijn de risico’s die

Bias (onwenselijke systematische afwijkingen van de uitkomsten van het algoritme

overblijven?

voor de gehele groep of juist voor specifieke personen of deelgroepen)

Hoe groot is de im-

Hoog

pact voor de betrokkene? Hoe groot is de kans

Laag (gezien de aangegeven maatregelen)

dat het risico zich voordoet? Aanvullende maatre-

Voer periodiek controles uit (tijdens ontwerp en uitvoering) om de juiste werking van

gelen?

het algoritme te garanderen.

4.4 Dataminimalisatie Voor achtergrondinformatie zie: https://www.privacy-regulation.eu/nl/5.htm Norm 9

Er worden niet meer persoonsgegevens gebruikt dan noodzakelijk voor het bereiken van het doel van Tabel met opmaak de verwerking. Van elk persoonsgegeven is vastgesteld dat het noodzakelijk is.

Hoe

Persoonsgegevens die niet strikt noodzakelijk zijn om het doel te bereiken, mogen niet gebruikt worden. Voor nu

wordt

is nog onbekend om welke exacte persoonsgegevens het gaat en waarom. Deze zijn nog ‘in onderzoek’. In het

vol-

proces ‘Ontwikkelen algoritme voor heronderzoeken’ zijn de processtappen voor het selecteren van persoons-

daan

gegeven beschreven onder stap 8, 9, 10, 13, 14 en 15:

aan de norm?

Stap 8

Onderzoeken benodigde gegevens voor algoritme

Doel

Inventariseren welke gegevens gebruikt mogen worden voor dit specifieke algoritme.

Omschrijving

De product owner is verantwoordelijk voor het onderzoeken welke gegevens gebruikt gaan worden voor het ontwikkelen van het algoritme. De product owner bepaalt met o.a. de adviseur handhaving welke gegevens van Socrates en/of Raak gebruikt moeten/ mogen worden bij het ontwikkelen van het algoritme. Deze gegevens moeten ethisch en privacy verantwoord zijn.

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

32 van 59

De product owner kan op basis van de DWH-tabellen van Socrates, nagaan welke gegevens (kolommen) nodig zijn voor het algoritme, en welke vanwege ethische en/of privacy bezwaren niet meegenomen kunnen worden. Op verzoek van de product owner kan de data scientist gevraagd worden hierover advies te geven. De data scientist kan bijvoorbeeld adviseren welke gegevens er zijn. Het is de uitvoering (product owner en proceseigenaar) die bepalen welke gegevens zij willen gebruiken voor het ontwikkelen van het algoritme.

Stap 9

Opstellen voorstel benodigde gegevens

Doel

Motiveren welke gegevens nodig zijn voor het algoritme

Omschrij-

Nadat bepaald is welke gegevens nodig zijn voor het algoritme, moet een voorstel opgesteld worden voor de proceseigenaar en andere belangrijke stakeholders, met een motivatie van de keuze van bepaald gegevens.

ving Stap 10

Management en bestuurlijke goedkeuring gegevens voor het algoritme

Doel

Goedkeuring data die benodigd zijn voor het ontwikkelen van algoritme voor heronderzoeken

Omschrij-

De product owner stelt een voorstel op m.b.t. de benodigde data voor het ontwikkelen van het algoritme. De data scientist levert input hiervoor aan de product owner. Het voorstel wordt ter goedkeuring voorgelegd aan de proceseigenaar, directeur Inkomen en wethouder.

ving Stap 13

Onderzoeken verbanden tussen variabelen en bijzondere persoonsgegevens

Doel

Zorgen voor een ethisch verantwoorde dataset

Omschrij-

Het doel is om variabelen die een sterk verband hebben met variabelen die wijzen op vooringenomenheid, niet mee te nemen in het algoritme. Om deze reden nemen we bijzondere persoonsgegevens niet op. In deze stap wordt voorkomen dat zgn proxy variabelen worden meegenomen in het ontwikkelen van het algoritme.

ving

Na deze stap is duidelijk welke data gebruikt gaat worden om het algoritme te ontwikkelen. Stap 14

Opstellen voorstel trainingsdata voor proceseigenaar

Doel

Het motiveren van de keuze voor de benodigde dataset voor het ontwikkelen van het algoritme.

Omschrij-

Na het onderzoek op het ethisch toepassen van de data voor het algoritme, moeten de resultaten en conclusies gemotiveerd worden. De motivatie wordt samen met het advies ter goedkeuring voorgelegd aan de proceseigenaar.

ving

Zonder formele goedkeuring van de dataset wordt niet gestart met het ontwikkelen van het algoritme. De onderbouwing voor de trainingsdata en advies wordt vastgelegd in een notitie voorstel en voorgelegd ter goedkeuring aan de proceseigenaar. In het voorstel moet ook gemotiveerd worden waarom bepaalde (relevante/nuttige) variabelen en kenmerken NIET worden meegenomen om het algoritme te ontwikkelen. Stap 15

Goedkeuren voorstel trainingsdata

Doel

Het beschikken over de goedkeuring van de proceseigenaar om de voorgestelde dataset te gebruiken voor het ontwikkelen van het algoritme.

Omschrij-

De proceseigenaar neemt op basis van het voorstel m.b.t. de gewenste dataset voor het ontwikkelen van het algoritme, een besluit.

ving

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

33 van 59

Artikel 5.2 lid 1 Woo

De data scientist, Adviseur HH en product owner hebben vanwege hun kennis een belangrijke adviserende rol richting de proceseigenaar, zodat deze de impact en consequenties van het besluit goed kan doorgronden.

Wat

Risico’s zijn altijd aanwezig bij ontwikkeling van een algoritme. Door de te treffen processtappen zoals hierbo-

zijn

ven weergegeven worden risico’s gemitigeerd.

de ri-

Het blijft wel van belang dat alle processtappen gevolgd (en gedocumenteerd) worden. Onder processtappen

sico’s

wordt ook de processtappen in de IAMA bedoeld.

die overblijven? Hoe

Hoog

groot is de impact voor de betrokkene? Hoe

Midden

groot is de kans dat het risico zich voordoet? Aan-

Voer de processtappen in de Procesbeschrijving ‘Ontwikkelen algoritme voor heronderzoeken’ en de proces-

vul-

stappen conform de ‘IAMA’ uit (en documenteer) om continu risico’s te identificeren en te kunnen mitigeren.

lende maatregelen?

Norm 10

Het gebruik van bijzondere persoonsgegevens en/of gebruik van gevoelige gegevens dient zo veel mogelijk vermeden te worden.

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

34 van 59

Hoe wordt voldaan

De brondata uit Socrates en RMW/Raak wordt gebruikt. Beide systemen worden ge-

aan de norm?

bruikt voor het onder andere vaststellen van het recht op een uitkering en voor de uitbetaling daarvan. De bijzondere persoonsgegevens die uit deze systemen wordt opgehaald, worden gebruikt voor het correlatieonderzoek. Op deze manier wordt geborgd dat er in het daadwerkelijke model geen discriminatoire variabelen zitten. In het uiteindelijke model dat gebruikt wordt zullen geen bijzondere persoonsgegevens worden gebruikt. Nationaliteit is niet opgenomen in het gebruikte model. Daarnaast is in juni 2021 een aantal variabelen aangemerkt die mogelijk indirect verband houden met nationaliteit (oftewel proxy-variabelen). Deze worden niet meer gebruikt bij de ontwikkeling van het model voor 2022. Het onderzoek naar de vraag of er nog variabelen worden gebruikt die sterke correlatie vertonen met bijzondere persoonsgegevens (en dus kunnen worden aangemerkt als proxy-variabelen) is als stap 17 opgenomen in het ‘proces Ontwikkelen algoritme voor heronderzoeken’. Zie tekst onder norm 4.

Wat zijn de risico’s die

Zie tekst onder norm 4.

overblijven? Hoe groot is de im-

Zie tekst onder norm 4.

pact voor de betrokkene? Hoe groot is de kans

Zie tekst onder norm 4.

dat het risico zich voordoet? Aanvullende maatre-

Zie tekst onder norm 4.

gelen? Norm 11

Vrije tekstvelden in applicaties dienen te worden vermeden.

Hoe wordt voldaan

Ingevoerde teksten in vrije tekstvelden in met name RMW/Raak, betreffen veelal

aan de norm?

een subjectieve omschrijving van persoonskenmerken van uitkeringsgerechtigden. Aangezien hier sprake kan zijn van een bepaalde mate van vooringenomenheid heeft de directeur Inkomen (proceseigenaar) besloten om alle variabelen/features met vrije invoer tekstvelden uit de verdere ontwikkeling van het algoritme te houden.

Wat zijn de risico’s die

Het gebruik van (resterende) variabelen die bestaan uit vrij invulbare velden, vergro-

overblijven?

ten de kans op subjectiviteit en mogelijke bias. Zie verder norm 1.

Hoe groot is de im-

Hoog

pact voor de betrok-

Het uiteindelijke heronderzoek wordt door een mens uitgevoerd. Dit geldt tevens

kene?

voor het nemen van een zorgvuldig besluit betreffende het uitgevoerde heronderzoek. Wel kan een burger bij bias in het algoritme de kans lopen om eerder/ vaker te worden uitgenodigd voor een heronderzoek op basis van subjectieve oordelen.

Hoe groot is de kans

Midden

dat het risico zich

In de procesbeschrijving ‘Ontwikkelen algoritme voor heronderzoeken’ zijn expliciet

voordoet?

stappen opgenomen waarin kritisch wordt gekeken naar de gebruikte variabelen. Er

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

35 van 59

zijn waarborgen ingebouwd om vooringenomenheid binnen het algoritme te voorkomen. Er is sprake van een voorspellend algoritme en geen voorschrijvend algoritme. Het uiteindelijke onderzoek wordt door een mens uitgevoerd en er zijn voldoende waarborgen in het primaire proces aanwezig voor het nemen van een zorgvuldig besluit. Aanvullende maatre-

1. Onderzoek periodiek (tijdens ontwerp en uitvoering) het risico-inschattingsmodel

gelen?

en de toepassing daarvan op discriminatie en bias, zodat deze binnen de grenzen van het discriminatieverbod blijven en voorkom daarmee dat onwenselijke systematische afwijkingen voor specifieke werkzoekenden of groepen ontstaan. 2. Onderzoek, onderbouw en leg vast (periodiek) de noodzakelijkheid van de persoonsgegevens (historische data) die als input dienen voor het risico-inschattingsmodel. 3. Laat een onafhankelijk algoritme toetsingscomité het risico-inschattingsmodel te toetsen.

4.5 Bewaartermijn Norm 12

Persoonsgegevens worden niet langer worden bewaard dan noodzakelijk voor het doel van de verwerking en niet langer dan wettelijk is voorgeschreven.

Hoe wordt voldaan aan

Het algoritme, alle documentatie en persoonsgegevens betreffende de ontwikke-

de norm?

ling van het algoritme betreft het proces “data science projecten”, nummer P3693 in het informatiebeheerplan. De bewaartermijn is in principe “10 jaar na bestaansrecht van het procesobject”. Vrij vertaald 10 jaar na de oplevering van het algoritme. Voor het betreffende proces geldt een formele doorlopende machtiging van vernietiging (d.d. 8-6-2021). Aangezien het een algoritme is met een ingrijpend maatschappelijk effect, is op advies van Records Management een permanente een permanente bewaartermijn op grond van categorie 2.1.2. uit de gemeentelijke selectielijst vastgesteld. De documentatie en data betreffende het algoritme wordt conform de kaders van Informatiebeheer gearchiveerd in het systeem DIVA. Na het verstrijken van de bewaartermijn moet de documentatie en data daadwerkelijk vernietigd te worden of in betreffende dit algoritme overgedragen worden aan het Stadsarchief voor permanente archivering. Binnen afdeling Informatiebeheer en OBI van BCO is aandacht voor het op lange termijn uitvoering geven hieraan. In dit kader wordt dit jaar i.s.m. privacy, security en informatiebeheer (SPIDER) gestart met een uitgebreide analyse op alle datasets. Dit geldt dus niet alleen voor deze dataset. Mochten er bevindingen naar boven komen die niet compliant zijn, dan zal dit worden rechtgezet. Tevens lopen er acties t.b.v. continu monitoring hierop (meta datamanagement).

Wat zijn de risico’s die

Geen of niet tijdige vernietiging met als gevolg dat de data in handen komt van on-

overblijven?

bevoegden.

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

36 van 59

Artikel 5.2 lid 1 Woo

Hoe groot is de impact

Laag

voor de betrokkene? Hoe groot is de kans

Laag

dat het risico zich voordoet? Aanvullende maatrege-

Controleer of daadwerkelijk na afloop van de bewaartermijn de betreffende data is

len?

vernietigd.

4.6 Verwijdering Norm 13

Indien persoonsgegevens niet langer nodig zijn moeten deze, zowel fysiek als digitaal, worden verwijderd. De persoonsgegevens moeten op een dusdanige manier verwijderd dat de gegevens niet meer te benaderen en/of te gebruiken zijn

Hoe wordt voldaan aan

Voor het betreffende proces geldt een permanente bewaartermijn. Zie orm 12).

de norm?

Dit betekent dat de persoonsgegevens volgens de concern brede kaders en procedures van Informatiebeheer voor permanente archivering worden overgedragen aan het Stadsarchief.

Wat zijn de risico’s die

Geen overdracht aan het Stadsarchief voor permante archivering met als gevolg

overblijven?

dat de data in handen komt van onbevoegden.

Hoe groot is de impact

Laag

voor de betrokkene? Hoe groot is de kans

Laag

dat het risico zich voordoet? Aanvullende maatrege-

Controleer of daadwerkelijk voor permanente archivering is overgedragen aan het

len?

Stadsarchief .

4.7 Locatie Norm 14

Verwerking van persoonsgegevens buiten de EU is alleen toegestaan, indien het derde land over een passend beschermingsniveau beschikt

Hoe wordt voldaan aan

Niet van toepassing.

de norm?

Er vindt geen gegevensuitwisseling plaats buiten de EU. De gegevens die worden gebruikt zijn beschikbaar gesteld uit de systemen BRP, RMW/Raak en Socrates. De gegevens worden slechts binnen de EU gebruikt. Dit geldt tevens voor de DAP’R omgeving, waarvan de Datawarehouse en Azure onderdeel van uitmaken. De omgeving voldoet aan de Baseline Informatiebeveiliging Overheid (BIO) – eisen.

Wat zijn de risico’s die

Niet van toepassing

overblijven? Hoe groot is de impact

Niet van toepassing

voor de betrokkene?

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

37 van 59

Hoe groot is de kans

Niet van toepassing

dat het risico zich voordoet? Aanvullende maatrege-

Niet van toepassing

len?

4.8 Anonimiseren en/of pseudonimiseren Norm 15

De mogelijkheid van anonimiseren of pseudonimiseren worden optimaal benut.

Hoe wordt voldaan aan

Voordat de persoonsgegevens uit Socrates, RMW/Raak in het Concern Dataware-

de norm?

house worden geladen, worden de privacygevoelige gegevens gepseudonimiseerd. Zie tevens uiteenzetting van norm 5. Omdat geboortemaand en buurt van belang zijn voor het algoritme, wordt bij het doorladen van Concern Datawarehouse naar Azure Datalake dataminimalisatie toegepast op de persoonsgegevens geboortedag en postcode. Bij de geboortedatum wordt de geboortedag verwijderd. Bij de postcodegegevens wordt de letteraanduiding verwijderd. De BRP-data voor het vaststellen van een mogelijke correlatie met afkomst/ras worden direct na de afronding van de correlatiecheck vernietigd conform de kaders van de Archiefwet en het concern informatiebeheerbeleid. De BRP-data belanden niet in de (trainings)data voor het algoritme. De BRP-data worden enkel gepseudonimiseerd vrijgegeven aan de data scientists van team Advanced Analytics van OBI die bij de ontwikkeling van het algoritme betrokken zijn. Deze data scientists zijn in vaste dienst bij de gemeente Rotterdam. De BRP -data worden tweemaal aan de data scientists ter beschikking gesteld en door hen gebruikt, te weten: 1.

Voor het uitvoeren van het correlatieonderzoek; en

2.

Vervolgens nogmaals voor een controletest.

Het beschikbaar stellen en het gebruik van de BRP-data worden verantwoord in een DPIA en maakt onderdeel uit van een ethische toetsing (IAMA). De definitieve DPIA wordt aan het einde van het ontwikkeltraject en voorafgaande van de ingebruikname van het algoritme afgerond. Indien nodig wordt een afzonderlijke gebruikersovereenkomst gesloten tussen de data-eigenaar binnen cluster Dienstverlening en de gebruiker Advanced Analytics van cluster BCO. Mochten er aanvullende beheermaatregelen nodig zijn, dan worden deze in samenspraak met betrokkenen uit de clusters DV en W&I en BCO (OBI) genomen. De adviezen van de Privacy Offices W&I en DV worden hierin meegenomen. PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

38 van 59

Mochten ondanks de ingebouwde waarborgen risico’s zijn betreffende het gebruik van de BRP-data, dan wordt direct geëscaleerd naar opdrachtgever (directeur uitvoering W&I), de data-eigenaar (DV) en teammanager team Advanced Analytics (BCO). Zo nodig wordt het correlatieonderzoek direct stopgezet. Wat zijn de risico’s die

Niet van toepassing

overblijven? Hoe groot is de impact

Niet van toepassing

voor de betrokkene? Hoe groot is de kans

Niet van toepassing

dat het risico zich voordoet? Aanvullende maatrege-

Niet van toepassing

len? 4.9 Informatieplicht Norm 16

Betrokkenen dienen op het moment dat gegevens verzameld worden volledig te worden geïnformeerd over de verwerking van die gegevens.

Hoe wordt voldaan aan

Bij het indienen van een aanvraag voor een uitkering op basis van de Participatie-

de norm?

wet wordt betrokkene erop gewezen dat zijn gegevens worden verzameld voor de uitvoering van de Participatiewet. Er is een privacyverklaring aanwezig op rotterdam.nl: Uw gegevens bij Werk en inkomen | Rotterdam.nl. Hierin staat uitgelegd welke gegevens de gemeente verwerkt bij een uitkering, waarom de gemeente die gegevens nodig heeft en met welke instanties de gegevens eventueel gedeeld worden. Controleren en vaststellen van het recht op uitkering wordt benoemd. Ook wordt uitgelegd welke bronnen worden geraadpleegd en hoe de betrokkene zijn/haar rechten kan uitoefenen. Het selecteren op basis van een risico-inschattingsmodel wordt hier niet genoemd. De communicatie over dat uitkeringsgerechtigden mogelijk voor een heronderzoek worden uitgenodigd op basis van de uitkomsten van het algoritme, verloopt via het algoritmeregister op de website van de gemeente Rotterdam: Algoritmeregister | Rotterdam.nl Onderhavige verwerking wordt opgenomen in het register van verwerkingen. Een extract daarvan wordt gepubliceerd op rotterdam.nl. Daarnaast wordt een samenvatting van onderhavige DPIA gepubliceerd op rotterdam.nl: Verwerkingsregister gemeente Rotterdam | Rotterdam.nl

Wat zijn de risico’s die

Betrokkenen worden niet, te laat of onvolledig geïnformeerd over de verwerking

overblijven?

van gegevens.

Hoe groot is de impact

Laag

voor de betrokkene?

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

39 van 59

Hoe groot is de kans

Laag

dat het risico zich voordoet? Aanvullende maatrege-

1. Informeer de door het risico-inschattingsmodel geselecteerde werkzoekende.

len?

2. Vul de huidige privacyverklaring aan met info over het risico-inschattingsmodel. 3. Zorg dat - vooruitlopend op de Europese Verordening AI/ WET OP DE ARTIFICIËLE INTELLIGENTIE - voldaan wordt aan artikel 13.

Norm 17

Indien de gegevens in de verwerking via een externe derde worden verkregen worden de betrokkenen uiterlijk een maand na het verkrijgen van de informatie op de hoogte gesteld. Indien niet voldaan wordt aan een van de uitzonderingen. De informatie die de betrokkene ontvangt voldoet aan Art. 14 van de AVG.

Hoe wordt voldaan aan

Niet van toepassing. De gegevens in de verwerking worden niet via een externe

de norm?

derde verkregen.

Wat zijn de risico’s die

Niet van toepassing

overblijven? Hoe groot is de impact

Niet van toepassing

voor de betrokkene? Hoe groot is de kans

Niet van toepassing

dat het risico zich voordoet? Aanvullende maatrege-

Niet van toepassing

len?

4.10 Rechten van betrokkenen Norm 18

Indien een betrokkene een inzageverzoek doet, kan eenvoudig worden aangegeven welke gegevens van betrokkene worden verwerkt.

Hoe wordt voldaan aan

Betrokkenen kunnen hun AVG-rechten, via een vastgesteld concern brede proce-

de norm?

dure, bij de gemeente uitoefenen. Dit verloopt via het concern proces https://www.rotterdam.nl/loket/aanvraag-avg/ Het is mogelijk om inzage te geven in de gegevens die verwerkt worden door een extract van het register van verwerkingen te raadplegen/ overleggen. Daarnaast kunnen bestanden door daarvoor geautoriseerde en gemandateerde medewerkers worden doorgezocht op pseudo-ID en vervolgens kan inzage worden gegeven in: -

De vraag of de burger is uitgenodigd voor een heronderzoek op basis van de uitkomsten van het algoritme of op basis van een andere selectiemethode;

-

PIA Rapportage v 1.4

Hoe hoog het risico-inschattingsgetal voor de individuele burger is.

Datum

Pagina

16 januari 2023

40 van 59

-

De in het model gebruikte variabelen en features met bijbehorende relatieve belangrijkheid.

Wat zijn de risico’s die

Geen

overblijven? Hoe groot is de impact

Niet van toepassing

voor de betrokkene? Hoe groot is de kans

Niet van toepassing

dat het risico zich voordoet? Aanvullende maatrege-

Niet van toepassing

len?

Norm 19

Geautomatiseerde besluitvorming, zonder menselijke controle is niet toegestaan indien dit wordt toegepast om het gedrag, de aanwezigheid of de prestaties van mensen, persoonlijke voorkeuren, interesses, locatie etc in kaart te brengen en/of te beoordelen en/of te voorspellen.

Hoe wordt voldaan aan

Er vindt geen geautomatiseerde besluitvorming plaats.

de norm?

De risicoscores zijn een handvat om te bepalen wie voor een heronderzoek wordt uitgenodigd. Het onderzoek vindt plaats door een mens en de wijze waarop het onderzoek plaatsvindt is onafhankelijk van de wijze waarop de burger voor een heronderzoek is geselecteerd. Het besluit over de rechtmatigheid van de verstrekte bijstand en eventuele aanpassingen in de hoogte van de uitkering wordt altijd door een medewerker voorbereid of genomen. Er is wel sprake van ‘profilering’. Het gebruik van het risico-inschattingsmodel is een vorm van profileren, omdat deze verwerking voldoet aan alle drie de voorwaarden genoemd in artikel 4, aanhef en onder 4, van de AVG. Ten eerste is sprake van een geautomatiseerde vorm van verwerking. Het risico-inschattingsmodel is namelijk een algoritme dat de kans op rechtmatige of onrechtmatig verstrekking van bijstand inschat voor de huidige uitkeringsgerechtigden. Ten tweede heeft de verwerking betrekking op persoonsgegevens. De in het model gebruikte indicatoren zijn persoonsgegevens uit de uitkeringssystemen Socrates en RMW/RAAK. De informatie die gebruikt wordt voor de indicatoren in het risico-inschattingsmodel zijn persoonsgegevens als bedoeld in artikel 4, aanhef en onder 1, van de AVG. Ten derde heeft de verwerking met het risico-inschattingsmodel ten doel om individuele kenmerken te evalueren en categoriseren.

Aan de hand van persoonlijke aspecten van de uitkeringsgerechtigde wordt geëvalueerd en op basis daarvan ingeschat hoe groot het risico is dat de uitkeringsgerechtigde een (on)rechtmatige bijstandsuitkering geniet en wordt een (uitnodiging voor) een heronderzoek daarop afgestemd. Het algoritme is alleen bepalend voor de vraag wie voor een heronderzoek zou moeten worden uitgenodigd. Het algoritme neemt zelfstandig geen geautomatiseerde besluiten.

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

41 van 59

Wat zijn de risico’s die

Geen

overblijven? Hoe groot is de impact

Niet van toepassing.

voor de betrokkene? Hoe groot is de kans

Niet van toepassing

dat het risico zich voordoet? Aanvullende maatrege-

Niet van toepassing

len? Norm 20

Indien een betrokkene hier een verzoek toe doet, kunnen gegevens eenvoudig worden verwijderd (mits er geen bewaarplicht geldt).

Hoe wordt voldaan aan

Dit verloopt via het concern proces https://www.rotterdam.nl/loket/aanvraag-avg/

de norm?

De bestanden kunnen handmatig worden doorgezocht op pseudo-ID en op verzoek en indien wettelijk toegestaan worden verwijderd.

Wat zijn de risico’s die

Niet van toepassing

overblijven? Hoe groot is de impact

Niet van toepassing

voor de betrokkene? Hoe groot is de kans

Niet van toepassing

dat het risico zich voordoet? Aanvullende maatrege-

Niet van toepassing

len? Norm 21

Indien een betrokkene hier een verzoek toe doet, kunnen gegevens eenvoudig worden aangepast (mits er geen juridische bezwaren zijn).

Hoe wordt voldaan aan

Dit verloopt via het concern proces https://www.rotterdam.nl/loket/aanvraag-avg/

de norm?

De bestanden kunnen handmatig worden doorgezocht op pseudo-ID en op verzoek kunnen gegevens worden aangepast mits er geen juridische bezwaren zijn.

Wat zijn de risico’s die

Niet van toepassing

overblijven? Hoe groot is de impact

Niet van toepassing

voor de betrokkene? Hoe groot is de kans

Niet van toepassing

dat het risico zich voordoet? Aanvullende maatrege-

Niet van toepassing

len?

4.11 Training en instructie van medewerkers

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

42 van 59

Norm 22

Medewerkers zijn op de hoogte hoe om te gaan met persoonsgegevens binnen de verwerking.

Hoe wordt voldaan aan

Medewerkers zijn zich bewust van het feit dat ze zorgvuldig om moeten gaan met

de norm?

persoonsgegevens. Er is periodiek aandacht voor privacy en beveiliging binnen de organisatie. Vertrouwelijkheid van gegevens is een onderdeel van de ambtseed. Medewerkers van de gemeente volgen een verplichte e-learning over privacy, informatiebeveiliging, informatiebeheer en integriteit. N.a.v. datalekken worden evaluatiegesprekken gevoerd in werkoverleggen. De verplichte e-learning is door ongeveer 77% van de medewerkers daadwerkelijk gevolgd. Er is blijvende aandacht voor periodieke trainingen en bewustwording van medewerkers met betrekking tot privacy-, informatiebeveiliging, informatiebeheer en integriteit. Specifiek voor de afdeling OBI geldt dat medewerkers worden geïnformeerd en getraind over de wijze hoe zij om moeten gaan met persoonsgegevens tijdens uitvoerring van hun werkzaamheden. Dit omvat ook de werkinstructies. Verzoeken vanuit clusters aan de afdeling OBI, worden na akkoord van de cluster business consultant, voor raadpleging voorgelegd aan de Privacy-Officer van het betreffende cluster.

Wat zijn de risico’s die

Geen

overblijven? Hoe groot is de impact

Niet van toepassing

voor de betrokkene? Hoe groot is de kans

Niet van toepassing

dat het risico zich voordoet? Aanvullende maatrege-

Niet van toepassing

len?

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

43 van 59

4

Risico Analyse beveiligingsmaatregelen

Controleer voor deze paragraaf bij de DISO of er een Risico Impact Assessment (RIA) is uitgevoerd op processen waaraan de verwerking is gerelateerd of applicaties die bij de verwerking worden gebruikt. Onderstaande vragen kunnen aan de hand van de uitgevoerde RIA worden beantwoord. Is er geen RIA uitgevoerd, betrek dan de DISO bij de beantwoording van deze vragen. Het algoritme wordt ontwikkeld op het Azure DAP’R platform. Hierop is in 2021 en in mei 2022 een DPIA (‘Consolideren en bewaren van gegevens in het Datalake’) uitgevoerd. Ook op concern Datawarehouse is in 18 juni 2021 een DPIA (‘Centrale datawarehouse’) uitgevoerd. Voor de analyse op hoofdlijnen van de risico’s en maatregelen op het gebied van informatiebeveiliging wordt verwezen naar de DPIA van Datalake en Concern Data Warehouse. De vastgestelde beheersmaatregelen worden vanuit het project SPIDER (Cluster BCO) geïmplementeerd. Voor details over Datalake wordt verwezen naar de BIO-self assessment die in het kader van de migratie van het Datalake naar Microsoft Azure (eind 2021) is uitgevoerd. Zie voor de resultaten en voor de status van de implementatie van maatregelen https://wiki.rotterdam.nl/display/DAPR/BIO+uitwerking+DAP%27R+op+Azure. De bronapplicaties Socrates en RMW/ RAAK vallen buiten de scope van onderhavige DPIA.

4.1

Fysieke beveiliging Norm 23

Persoonsgegevens moeten adequaat worden beschermd. Dit geldt zowel voor de elektronische beveiliging (logische toegangsbeveiliging, encryptie) als fysieke beveiliging (diefstal informatie, niet afgesloten dossierkasten). IT-voorzieningen en apparatuur zijn fysiek beschermd tegen toegang door onbevoegden en tegen schade en storingen. De geboden bescherming is in overeenstemming met de vastgestelde risico’s.

Hoe wordt voldaan

Aan de hand van policies, in dit kader technische regels, wordt er afgedwongen dat

aan de norm?

er alleen Azure resources gebruikt mogen worden die staan in datacenters in WestEuropa. De Azure DAP’R omgeving is ingericht zonder public endpoints. Er is ook een directe koppeling met het Rotterdamse netwerk gelegd, waardoor de omgeving volledig is afgeschermd van het publieke internet. Toegang tot DAP’R is alleen mogelijk indien de medewerker voorkomt in de Active Directory van Rotterdam en waarbij beheer expliciet autorisatie heeft toegekend. Zie norm 24. Microsoft heeft ook geen toegang tot onze data. Zie https://docs.microsoft.com/enus/azure/security/fundamentals/protection-customer-data.

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

44 van 59

Fysieke beveiligingszone Voor elke locatie van de gemeente wordt een risicoanalyse en beveiligingsplan gemaakt, het zogeheten pandprofiel. Een pandprofiel kan ook voor een groep locaties worden gemaakt, bijv. als ze dicht bij elkaar staan of op dezelfde manier worden gebruikt. In het pandprofiel wordt de locatie verdeeld in één of meerdere zones. Het is niet noodzakelijk dat een locatie altijd alle zones heeft. Kantoren, ruimten en faciliteiten beveiligen Maatregelen voor beveiliging van ruimtes zijn genomen naar aanleiding van de zonering zoals die in het pandprofiel is vastgelegd. Daaronder valt ook het omgaan met informatie op papier en met waardevolle goederen. In het fysieke beveiligingsbeleid is aangegeven hoe wordt omgegaan met ontvangst van bezoekers. Iedere medewerker heeft een toegangspas, die nodig is om toegang te krijgen tot de gebouwen/ lokalen van de gemeente. Laptops en computers zijn beveiligd met keylocker en inloggen, en zijn op afstand te wissen bij verlies of diefstal. De Citrix-omgeving heeft 2FA. Iedere te ontsluiten bron heeft een eigen voorportaal, met eigen inlog. De databases zijn gefragmenteerd, dus toegang tot een database geeft niet automatisch toegang tot andere databases. Wat zijn de risico’s die

Door de genomen maatregelen is de kans op de genoemde risico’s geminimali-

overblijven?

seerd.

Hoe groot is de im-

N.v.t

pact voor de betrokkene? Hoe groot is de kans

N.v.t.

dat het risico zich voordoet? Aanvullende maatre-

N.v.t.

gelen?

4.2

Logische toegangsbeveiliging Norm 24

Alleen bevoegde gebruikers mogen toegang hebben tot de informatiesystemen en -diensten die ze voor de uitvoering van hun taken nodig hebben en om onbevoegde toegang tot informatiesystemen te voorkomen.

Hoe wordt voldaan

Beveiligingsmaatregelen Authenticatie

aan de norm?

Voor de toegangscontrole tot de Rotterdamse werkplek en thuiswerkvoorziening wordt vertrouwd op de standaardbeveiliging die de gemeente aanbiedt. Op dit moment wordt veel thuisgewerkt, via de reguliere Rotterdamse manier van thuiswerken. Beide betreffen generieke voorzieningen en zijn daarmee geen onderdeel van deze DPIA.

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

45 van 59

Toegang tot DAP’R is alleen mogelijk vanaf een werkstation dat deel uitmaakt van het Rotterdamse kantoornetwerk, of via de Citrixomgeving. Om daadwerkelijke toegang te krijgen tot de data vindt een tweede authenticatie plaats. Beveiligingsmaatregelen Autorisatie Toegang tot DAP’R Azure is ten eerste alleen mogelijk als de account bekend is in de Rotterdamse Active Directory. Er wordt dan ook niet gewerkt met groepsaccounts. De basis van autorisatie op Azure wordt gevormd door beveiligingsgroepen en aangelopen vanuit twee richtingen: •

Enerzijds vindt er autorisatie plaatst op het gebied van toegang tot Azure applicaties (tools) en workspaces (onderdelen) en

•

Anderzijds autorisatie voor toegang tot het datalake (data).

Iemand kan bijv. toegang hebben tot een Azure applicatie, maar zonder expliciet toegang tot het Datalake kan er geen data worden ingezien. Het uitgangspunt met betrekking tot autorisaties op het Datalake is dat niemand automatisch toegang heeft tot data. Toegangsverlening tot data is altijd een bewuste handeling van Functioneel Beheer. Er wordt binnen DAP’R Azure onderscheid gemaakt tussen “Standard” en “Elevated” rechten, waarbij bij “Elevated” er sprake is van autorisatie tot privacy en vertrouwelijke data. Er is een speciale procedure voor het toekennen van “Elevated” rechten, aangezien beperkte medewerkers met expliciete reden hier toegang toe mogen hebben. De verleende toegang, welke wordt vastgelegd in de autorisatiematrix, wordt elk kwartaal geëvalueerd. Het plan is om 2023 te gaan werken met een soort vergunningsmechanisme. Je krijgt een vergunning voor toegang tot data n.a.v. een gesteld doel (GLO/DUB-advies). Nadat de vergunning is afgelopen, worden de rechten automatisch ingetrokken. Wat zijn de risico’s die

Onrechtmatige autorisatie: er is een handmatige procedure die gevolgd wordt bij

overblijven?

functiewijziging of uitdiensttreding. Het bijhouden van autorisaties vereist daarom alertheid van de functioneel beheerders van het Datalake.

Hoe groot is de im-

Hoog

pact voor de betrokkene?

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

46 van 59

Hoe groot is de kans

Middel

dat het risico zich voordoet?

4.3

Aanvullende maatre-

Toets periodiek de toegang tot applicatie (users én de aan hen toegekende toe-

gelen?

gangsrechten).

Logging Norm 25

Activiteiten die gebruikers en beheerders uitvoeren met persoonsgegevens worden vastgelegd in logbestanden 5. Hetzelfde geldt voor andere relevante gebeurtenissen, zoals pogingen om ongeautoriseerd toegang te krijgen tot persoonsgegevens en verstoringen die kunnen leiden tot verminking of verlies van persoonsgegevens. De logbestanden worden periodiek gecontroleerd op indicaties van onrechtmatige toegang of onrechtmatig gebruik van de persoonsgegevens en waar nodig wordt actie ondernomen.

Hoe wordt voldaan

Er vindt bewaking plaats op ongeautoriseerde toegang.

aan de norm?

Op informatiebeveiligingsincidenten wordt gereageerd conform protocol ‘meldplicht datalekken’ (zie ook norm 27). Indien het om een echt noodgeval gaat, een grote actieve aanval, dan wordt er direct geschakeld met de SOC-afdeling. Er vindt gebruikerslogging plaats op alle relevante acties op data in Azure. Omdat ook uitgevoerde query’s worden gelogd, is naderhand te reconstrueren wie wanneer toegang heeft gehad tot welke gegevens. De logging is gekoppeld aan persoonsgegevens (naam medewerker). Bewaartermijnen op logbestanden is daarom hier ook van toepassing.

Wat zijn de risico’s die

Geen

overblijven? Hoe groot is de im-

Niet van toepassing

pact voor de betrokkene? Hoe groot is de kans

Niet van toepassing

Artikel 5.2 lid 1 Woo

dat het risico zich voordoet? Aanvullende maatre-

Niet van toepassing

gelen?

4.4

Beheer

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

47 van 59

Norm 26

Software, zoals browsers, virusscanners en operating systems, wordt up-to-date gehouden. Ook installeert de verantwoordelijke tijdig oplossingen die de leverancier uitbrengt voor beveiligingslekken in deze software. Meer in het algemeen verkrijgt de verantwoordelijke tijdig informatie over technische kwetsbaarheden van de gebruikte informatiesystemen. De mate waarin de organisatie blootstaat aan dergelijke kwetsbaarheden wordt geëvalueerd en de verantwoordelijke treft geschikte maatregelen voor de behandeling van de risico’s die daarmee samenhangen.

Hoe wordt voldaan

In het geval van Azure DAP’R signaleert KPN Inspark, cloud partner van de ge-

aan de norm?

meente Rotterdam, of er updates van het platform beschikbaar dan wel nodig zijn. Functioneel Beheer geeft vervolgens de opdracht om de betreffende update(s) te installeren op de DAP’R omgeving. In de techniek zijn vele maatregelen getroffen om uitbuiting van kwetsbaarheden te voorkomen, o.a. is er een SOC. Beheer is een regulier proces. De mate waarin de organisatie en DAP’R blootstaat aan kwetsbaarheden wordt conform beleid getoetst door het uitvoeren van een pen test. De eerste pen test voor Azure staat voor dit jaar gepland. De bevindingen hiervan worden geëvalueerd en verantwoordelijke treft geschikte maatregelen om risico’s te reduceren of weg te nemen.

Wat zijn de risico’s die

Verlies van data

overblijven? Hoe groot is de im-

Hoog: ingeval de sleutel gesloten wordt en de gepseudonimiseerde gegevens daar-

pact voor de betrok-

mee ontsleuteld kunnen worden.

kene? Hoe groot is de kans

Laag

dat het risico zich voordoet? Aanvullende maatre-

1. Periodiek pen testen overwegen en uitvoeren.

gelen?

2. RIA uitvoeren op Azure DAP’R en overige betrokken ict-systemen die ingezet worden voor het ontwikkelen van het algoritme.

4.5

Incident management Norm 27

Er zijn procedures voor het tijdig en doeltreffend behandelen van informatiebeveiligingsincidenten en zwakke plekken in de beveiliging, zodra ze zijn gerapporteerd. Het beoordelen van de risico’s voor de betrokkenen en het effectief informeren van de betrokkenen en, waar van toepassing, de toezichthouder is in deze procedures opgenomen. De lessen getrokken uit de afgehandelde incidenten worden gebruikt om de beveiliging waar mogelijk structureel te verbeteren. Als een vervolgprocedure na een informatiebeveiligingsincident juridische maatregelen omvat (civiel- of strafrechtelijk), wordt het bewijsmateriaal verzameld, bewaard en gepresenteerd overeenkomstig de voorschriften voor bewijs die voor het relevante rechtsgebied zijn vastgelegd.

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

48 van 59

Hoe wordt voldaan

Meerdere partijen spelen hierbij een rol. Functioneel Beheer DAP’R vervult de cen-

aan de norm?

trale rol en draagt zorg voor het effectief informeren van betrokkenen en het opvolgen van processen. Er bestaat binnen de gemeente een standaardproces voor de melding en opvolging van incidenten en beveiligingslekken. (Protocol melding en afhandeling datalekken 23 mei 2018.pdf) Er vindt gebruikerslogging plaats op alle relevante activiteiten op Azure. Het is daarmee te achterhalen wie wat heeft bevraagd t.b.v. bewijsvoering. (Zie norm 25)

Wat zijn de risico’s die

•

Het niet herkennen van een (mogelijk) datalek;

overblijven?

•

het niet (correct) volgen van de procedures door medewerkers.

Hoe groot is de im-

Hoog

pact voor de betrokkene? Hoe groot is de kans

Laag

dat het risico zich voordoet?

4.6

Aanvullende maatre-

Doorlopend aandacht schenken aan kennis onder medewerkers ten behoeve van

gelen?

het herkennen van datalakken en het in voorkomende gevallen adequaat handelen.

Continuïteit Norm 28

Door natuurrampen, ongevallen, uitval van apparatuur of opzettelijk handelen kunnen persoonsgegevens verloren gaan. Door in de organisatie continuïteitsbeheer in te richten worden de gevolgen tot een aanvaardbaar niveau beperkt, waarbij gebruik wordt gemaakt van een combinatie van preventieve maatregelen en herstelmaatregelen.

Hoe wordt voldaan

Azure heeft een compleet overzicht beschikbaar met SLA's per resource uitgeschre-

aan de norm?

ven: https://azure.microsoft.com/nl-nl/support/legal/sla/summary/ . Het datalake voldoet aan LRS (Lokaal Redundant Opslag) voor de development en test omgeving. Dit houdt in dat we 3 kopieën hebben die bij upload/verwijdering/wijziging synchroon worden doorgevoerd. Dit gebeurt op 1 fysieke locatie. Voor acceptatie en productie, wordt er gebruik gemaakt van ZRS (Zone Redundant Opslag); opslag op meerdere fysieke locaties. Er wordt voldaan aan de eisen: maximaal toegestane dataverlies van 28 uur en maximale hersteltijd na een incident van 16 werkuren.

Wat zijn de risico’s die

Geen

overblijven?

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

49 van 59

Hoe groot is de im-

Niet van toepassing

pact voor de betrokkene? Hoe groot is de kans

Niet van toepassing

dat het risico zich voordoet? Aanvullende maatre-

Niet van toepassing

gelen?

4.7

Verwerker Meer informatie over verwerkers vind je op: https://rio.rotterdam.nl/umbraco/organisatie/privacy/ Norm 29

Indien (een deel van) de verwerking bij een andere partij plaatsvindt dient er een verwerkersovereenkomst te worden afgesloten en dient er toezicht te zijn op de verwerking van gegevens.

Hoe wordt voldaan

1. Inspark Managed Oxygen is verwerker. Een verwerkersovereenkomt is aanwezig.

aan de norm?

2. Microsoft Azure: er is geen ‘aparte’ verwerkersovereenkomst afgesloten met Microsoft voor Azure. Onduidelijk is of de afspraken Microsoft gecheckt en afdoende zijn.

Wat zijn de risico’s die

Verlies van data en verlies van PKI-sleutels

overblijven? Hoe groot is de im-

Midden

pact voor de betrokkene? Hoe groot is de kans

Midden

dat het risico zich voordoet? Aanvullende maatre-

Zoek uit of de afspraken met Microsoft i.v.m. Azure voor het ontwikkelen van het al-

gelen?

goritme passend zijn.

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

50 van 59

5

Overige risico’s

Norm. 30

Risico op onzorgvuldige/ onbehoorlijke/ onrechtmatige/ onverantwoorde ver-

Zijn er andere hoge ri-

werking:

sico’s met betrekking

In deze tijd (toeslagenaffaire, Syri en institutionele racisme in zijn algemeenheid)

tot de verwerking van

ligt het gebruik van profielen in combinatie met algoritmes zeer gevoelig en is men

persoonsgegevens die

zich meer bewust dan voorheen van de aanwezigheid van ‘risico op onzorgvul-

nog niet genoemd zijn?

dige/ onbehoorlijke/ onrechtmatige/ onverantwoorde verwerking’ ondanks de getroffen en de te treffen maatregelen. Er zijn onzekerheden aanwezig, zoals het ontbreken van specifieke AI-wetgeving, het ontbreken van een Rotterdams algoritmebeleid/ proces en de implementatie van de algoritme governance is nog gaande.

Hoe groot is de impact

Hoog

voor de betrokkene? Hoe groot is de kans

Midden

dat het risico zich voordoet? Aanvullende maatrege-

1. Ga na of het ontwikkelen van het nieuwe model nu wel het juiste moment is.

len?

2. Laat het risico-inschattingsmodel toetsen door een onafhankelijk algoritme toetsingscomité. 3. Laat de PO en FG gezamenlijk beoordelen of onderhavige verwerking voorgelegd moet worden aan de Autoriteit Persoonsgegevens voor een ‘voorafgaande raadpleging’. Zo ja, start het aanvraagproces.

Norm. 31

Betrokkenen: mogelijk draagvlak ontbreekt

Zijn er andere hoge ri-

Betrokkenen zijn niet direct betrokken bij de ontwikkeling van het algoritme, wel

sico’s met betrekking

indirect via de Cliëntenraad en gemeenteraad. Beide gremia worden proactief be-

tot de verwerking van

trokken bij de ontwikkeling van het algoritme. Overige externe stakeholders wor-

persoonsgegevens die

den geconsulteerd.

nog niet genoemd zijn? Hoe groot is de impact

Laag

voor de betrokkene? Hoe groot is de kans

Midden

dat het risico zich voordoet? Aanvullende maatrege-

Blijf betrokkenen bij de realisatie de ontwikkeling van het algoritme-inschattings-

len?

model betrekken bi externe consultatiestrategie en het proactief informeren van de cliëntenraad.

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

51 van 59

6

Overzicht maatregelen op basis van de risico’s Hieronder worden de beoogde maatregelen, om de restrisico’s te mitigeren, geschetst. Deze zijn in volgorde van de besproken beginselen en niet op volgorde van zwaarte.

Nr.

Risico omschrijving

Kans

Impact

Risico

Risico

=K x I

ac-

Maatregel(en)

cepteren 1.

Discriminatie van een

1

3

3

Nee

werkzoekende. (norm 1)

1. Voer de IAMA op het nieuwe algoritmemodel z.s.m. uit en de daarin voorgesteld processtappen (en documenteer). 2. Zorg dat het proces ‘Ontwikkelen algoritme voor heronderzoeken’ aansluit met nieuwe ontwikke-lingen rondom AI-wetgeving, zoals de AI-verordening. 3 a. Voer alle processtappen conform het proces ‘Ontwikkelen algoritme voor heronderzoeken’ uit (en documenteer). 3 b. Controleer periodiek of alle processtappen conform het proces ‘Ontwikkelen algoritme voor heronderzoeken’ zijn gevolgd. 4. Laat het risico-inschattingsmodel toetsen door een onafhankelijk algoritme toetsingscomité.

2.

Financieel verlies werk-

1

3

3

Nee

Zie maatregelen bij nummer 1.

1

3

3

Nee

Zie maatregelen bij nummer 1.

1

3

3

Nee

Zie maatregelen bij nummer 1.

zoekende (terugwerkende kracht + toekomstige uitkeringen) (norm 1) 3.

Reputatieschade werkzoekende. (norm 1)

4.

Onrechtmatige verwerking als ondanks de getroffen waarborgen het risico-inschattingsmodel onbewust discriminerend werkt, waardoor bepaalde groepen/ werkzoekenden sneller uitgenodigd worden voor een heronderzoek dan andere. (norm 1)

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

52 van 59

5.

Reputatieschade, verlies

1

3

3

Nee

Zie maatregelen bij nummer 1.

1

3

3

Nee

1. Onderbouw waarom en welke bijzondere per-

van vertrouwen, sancties toezichthouders, klachten en gerechtelijke procedures, financiele schade. (norm 1) 6.

Verlies controle over eigen gegevens bij on-

soonsgegevens noodzakelijk zijn voor het bereiken

rechtmatige verwerkingen

van het doel en verwerk geen bijzondere persoons-

(normen 4, 9 en 10)

gegevens in het algoritme als deze niet noodzakelijk zijn voor het bereiken van het doel. 2. Voer de processtappen in de Procesbeschrijving ‘Ontwikkelen algoritme voor heronderzoeken’ en de processtappen conform de ‘IAMA’ uit (en documenteer) om continu risico’s te mitigeren.

7.

Bias (onwenselijke sys-

1

3

3

Nee

Voer periodiek controles uit (tijdens ontwerp en uit-

tematische afwijkingen

voering) om de juiste werking van het algoritme te

van de uitkomsten van

garanderen.

het algoritme voor de gehele groep of juist voor specifieke personen of deelgroepen) (norm 8) 8.

Het gebruik van (reste-

1

2

2

Nee

1. Onderzoek periodiek (tijdens ontwerp en uitvoe-

rende) variabelen die

ring) het risico-inschattingsmodel en de toepassing

bestaan uit vrij invulbare

daarvan op discriminatie en bias, zodat deze binnen

velden, vergroten de

de grenzen van het discriminatieverbod blijven en

kans op subjectiviteit en

voorkom daarmee dat onwenselijke systematische

mogelijke bias. Zie ver-

afwijkingen voor specifieke werkzoekenden of groe-

der norm 1. (norm 11)

pen ontstaan. 2. Onderzoek, onderbouw en leg vast (periodiek) de noodzakelijkheid van de persoonsgegevens (historische data) die als input dienen voor het risico-inschattingsmodel. 3. Laat een onafhankelijk algoritme toetsingscomité het risico-inschattingsmodel toetsen.

9.

Geen of niet tijdige vernietiging met als gevolg

1

1

1

Nee

Controleer of daadwerkelijk na afloop van de bewaartermijn de betreffende data is vernietigd.

dat de data in handen komt van onbevoegden. (normen 12 en 13)

PIA Rapportage v 1.4

Datum

Pagina

16 januari 2023

53 van 59

10.

Betrokkenen worden

1

1

1

Nee

1. Informeer de op basis van het risico-inschattings-