Presentatie Technische sessie raad 11 februari 2021 totaal - v11-2

Technische sessie Raad

Versie 1.0 | 11 februari 2021.

Privacy, Algoritmes/Ethiek en Informatiebeveiliging.

Privacy/AVG. Algemeen beeld AVG en impact aan de hand van de kaders

Technische sessie Privacy, Algoritmes/Ethiek en Informatiebeveiliging | 11 februari 2021 Rotterdam

3

Algemene Verordening Gegevensbescherming: geschiedenis.

2016 2001

1995 1989

1981 1953 1948 1880 Ontwikkeling van het fotorolletje

Universele Verklaring van de Rechten van de Mens van de Verenigde Naties (VN)

Europese Conventie over Mensenrechten

Verdrag tot bescherming van personen met betrekking tot de geautomatiseer de verwerking van persoons gegevens

Wet persoons registraties (WPR) Nederlandse wet

Technische sessie Privacy, Algoritmes/Ethiek en Informatiebeveiliging | 11 februari 2021 Rotterdam

Europees Parlement en de Raad ondertekenen de richtlijn 95/46/EG (data beschermings richtlijn)

Wet bescherming persoons gegevens (Wbg) treedt in Nederland in werking

Europees Parlement en de Raad nemen de verordening (EU)2016/679 aan ook wel bekend als de Algemene Verordening Gegevens bescherming (AVG)

25 mei 2018 Algemene Verordening Gegevens bescherming (AVG) van toepassing in de EER (Europees Economische Ruimte)

4

AVG in 8 thema’s. AVG de basis 1.

Bewustwording

2.

Rechten van betrokkenen

3.

Overzicht van verwerkingen (verwerkingsregister)

4.

Data Protection Impact Assessment (DPIA)

5.

Privacy by Design & privacy by Default

6.

Functionaris gegevensbescherming

7.

Meldplicht datalekken

8.

Verwerkersovereenkomsten

Technische sessie Privacy, Algoritmes/Ethiek en Informatiebeveiliging | 11 februari 2021 Rotterdam

5

Privacy Kaders •

Het concernbeleid op gebied van privacy

•

Beleidskader Cameratoezicht

•

Gemeentelijke verordening

Technische sessie Privacy, Algoritmes/Ethiek en Informatiebeveiliging | 11 februari 2021 Rotterdam

6

Privacy/AVG. Organisatie inrichting en waarborgen naar de burger

Technische sessie Privacy, Algoritmes/Ethiek en Informatiebeveiliging | 11 februari 2021 Rotterdam

7

Governance.

College/GS

FG Functionaris Gegevensbescherming is een verplichte functie. Deze houdt binnen de organisatie toezicht op de toepassing en naleving van de AVG en is contactpersoon voor de AP

Concerndirectie

CPO Concern Privacy Officer geeft het privacybeleid en de aanpak vorm en geeft functioneel leiding aan de Privacy Officers in de clusters. CISO Concern Information Security Officer is verantwoordelijk voor het opstellen, adviseren en naleven van het informatiebeveiligingsbeleid en geeft functioneel leiding aan de Decentrale Information Security Officer (DISO).

CISO

DISO cluster

Technische sessie Privacy, Algoritmes/Ethiek en Informatiebeveiliging | 11 februari 2021 Rotterdam.

DISO cluster

DISO cluster

PO cluster

CPO

FG

PO cluster

PO cluster

8

Waarborgen naar de burger. Verantwoording en Transparantie • Privacy statement • Rechten van betrokkenen • Het verwerkingsregister • Data Protection Impact Analyse (DPIA)

Technische sessie Privacy, Algoritmes/Ethiek en Informatiebeveiliging | 11 februari 2021 Rotterdam.

9

Privacy/AVG. •

Datalekken

•

DPIA

Technische sessie Privacy, Algoritmes/Ethiek en Informatiebeveiliging | 11 februari 2021 Rotterdam

10

Datalekken. • • • • • • •

Melden aan de Autoriteit Persoonsgegevens Tenzij,…. Melden aan betrokkenen Protocol datalekken Evaluatie datalekken Rotterdam, ongeveer 200 datalekken Landelijk 26.000 (2019)

Technische sessie Privacy, Algoritmes/Ethiek en Informatiebeveiliging | 11 februari 2021 Rotterdam

11

Data Protection Impact Analyse (DPIA). • Gegevensbeschermingseffectbeoordeling, PIA, DPIA • Voor risicovolle verwerkingen • Voorafgaand aan nieuwe verwerkingen

Technische sessie Privacy, Algoritmes/Ethiek en Informatiebeveiliging | 11 februari 2021 Rotterdam

12

Data Protection Impact Analyse (DPIA). • • • • • • •

Wat gaan we doen? Waarom gaan we dat doen? Welk probleem lossen we op? Het doel kan niet met minder gegevens worden bereikt (proportioneel) Het doel kan niet op een minder inbreuk makende wijze worden bereikt (subsidiariteit) Wat zijn de risico’s Wat zijn de maatregelen Restrisico’s en voorafgaande raadpleging

Technische sessie Privacy, Algoritmes/Ethiek en Informatiebeveiliging | 11 februari 2021 Rotterdam

13

Vragen?

Technische sessie over Algoritmes.

Yugesh Raghoenath

Inhoud. Algoritmes. Verantwoord ontwikkelen. Vragen.

Technische sessie over Algoritmes | Yugesh Raghoenath | 02-11-2021 Rotterdam.

1 2 3

16

Algoritme

Een algoritme is:

Een algoritme doet:

Een algoritme is gebaseerd op:

De toepassingen van algoritmes kunnen gebruik maken van data over:

Geautomatiseerde software

Voorspellingen

Data analyse

Burgers

Neemt besluiten Geeft adviezen

Statistiek Zelflerende logica

Bedrijven De fysieke stad En meer

Technische sessie over Algoritmes | Yugesh Raghoenath | 02-11-2021 Rotterdam.

17

Waarom gebruiken we algoritmes? De Gemeente Rotterdam zet algoritmes in om: • • •

Preventief in te spelen op de behoefte van Rotterdam Proactief in te spelen op maatschappelijke uitdagingen Betere en slimmere diensten te leveren

Technische sessie over Algoritmes | Yugesh Raghoenath | 02-11-2021 Rotterdam.

18

Technische sessie over Algoritmes | Yugesh Raghoenath | 02-11-2021 Rotterdam.

Een veld in ontwikkeling Veel proefondervindelijke experimenten Weinig algoritmes succesol in gebruik

Richtlijnen voor het toepassen van algoritmes door overheden •

Ministerie van Justitie en Veiligheid

White Paper on Artificial Intelligence – a European approach to excellence and trust •

High-Level Expert Group on Artificial Intelligence (Europese Commissie)

Onderzoek Rotterdamse Rekenkamer •

In uitvoering

Rapport: Aandacht voor algoritmes •

Algemene Rekenkamer

Technische sessie over Algoritmes | Yugesh Raghoenath | 02-11-2021 Rotterdam.

20

Aandachtspunten Algemene Rekenkamer – Aandacht voor Algoritmes: • • • •

Uitlegbaarheid aan burgers Algoritmes kunnen tot discriminatie leiden De gewenste en ongewenste geleerde patronen zijn op voorhand niet te bepalen Afhankelijkheid van externe leveranciers is ongewenst met het oog op risicoanalyses, risicobeheersing en toetsbaarheid

Technische sessie over Algoritmes | Yugesh Raghoenath | 02-11-2021 Rotterdam.

21

Kader in ontwikkeling Er is een algoritmekader in ontwikkeling waarin wij de volgende punten adresseren: • • •

Onze richtinggevende waarden De borging van die waarden bij toepassingen Controleerbaarheid middels transparantie en uitlegbaarheid

Dit kader ontwikkelen wij met: • • • • • • •

Den Haag Utrecht Amsterdam Limburg Rijkswaterstaat Politie Kadaster

Technische sessie over Algoritmes | Yugesh Raghoenath | 02-11-2021 Rotterdam.

22

Ethische waarden In de visie van de Europese Commissie en in vrijwel alle strategische nota’s over Artificial Intelligence, algortimes en data van de Europese lidstaten zijn de volgende acht waarden terug te vinden: • • • •

• • • •

Rechtvaardigheid Veiligheid Transparantie Non discriminatie Privacy Diversiteit Betrouwbaarheid Menselijke controle en toezicht

Overeenkomstig met de waarden in het rapport van de Algemene Rekenkamer. Technische sessie over Algoritmes | Yugesh Raghoenath | 02-11-2021 Rotterdam.

23

Uitlijningsmodel: Hoe gaan wij met waarden om? Waarden uitlijnen, geen afvinklijstjes Waarden zijn contextafhankelijk niet generiek Afwegingen en keuzes in de context voldoen aan de volgende vereisten: • • • •

De uitlijning en de keuzes worden geëxpliciteerd en gedocumenteerd Documentatie maakt onderdeel uit van het verantwoordingsdossier Documentatie is navolgbaar door derden, zoals bijvoorbeeld: auditoren, controllers, rekenkamer, burgers of bedrijven. Documentatie is opvraagbaar door ieder die de consequenties ondervindt

Technische sessie over Algoritmes | Yugesh Raghoenath | 02-11-2021 Rotterdam.

24

Algoritmeregister Handvat in de vastlegging van informatie aangaande algoritmes. Dit biedt mogelijkheden om transparantie in te richten ten behoeve van: • • • •

Interne controle Controle van burgers en bedrijven Controle van journalisten Controle van de politiek

Toevoeging op het dataverwerkingsregister: • •

Nauwe samenwerking met privacy. Het werkveld privacy is volwassener en kunnen we van leren.

Stand van zaken: • • •

Eerste versie interne register is technisch gereed. Organisatorische implementatie worden afspraken over gemaakt. Landelijke samenwerking voor ontwikkeling standaard: ook voor extern register.

Technische sessie over Algoritmes | Yugesh Raghoenath | 02-11-2021 Rotterdam.

25

Inkoopvoorwaarden Er zijn Inkoopvoorwaarden geïmplementeerd. Met deze voorwaarden borgen wij dat onze waarden ook stand houden wanneer wij werk uitbesteden. Enkele aandachtspunten zijn: • • • •

Transparantie Uitlegbaarheid Toetsbaarheid Eigenaarschap data en algoritme

Technische sessie over Algoritmes | Yugesh Raghoenath | 02-11-2021 Rotterdam.

26

Vragen?

Informatieveiligheid

Continu werken aan de veiligheid van informatie

Rotterdam blijft waakzaam

Bron: RTL nieuws en 010 Dagblad

29

Wat is informatieveiligheid? Informatieveiligheid is het geheel van preventieve, detectieve, repressieve en correctieve maatregelen alsmede procedures en processen die de beschikbaarheid, exclusiviteit en integriteit van alle vormen van informatie binnen de Gemeente Rotterdam garanderen.

Met als doel het waarborgen van de betrouwbaarheid van de informatie en de informatievoorziening.

30

Informatieveiligheid is een continu proces Identificeer: Innovaties

Cyber weerbaarheid

Basis op orde houden

Organisatie en bewustwording

Assets, risico’s, dreigingen, kwetsbaarheden, kaders, maatregelen

Bescherm: Mens centraal, fysiek & digitaal, informatie, data en gegevens

Detecteer: Security Operations Center, technische scans, interne en externe onderzoeken en audits

Respons: Incident management, crisis- en continuïteitsplannen

Herstel: Doorvoeren verbeteringen, aangepaste werkwijzen

31

Informatieveiligheid draagt bij aan Weerbaarheid Organisatie

Integrale security organisatie

Bewustwording

Blijf Alert! en crisis-oefeningen

Normen en kaders

Baseline Informatiebeveiliging Overheid (BIO), Dreigingsbeeld Informatiebeveiliging, Technische en organisatorische maatregelen

Uitvoeren beveiliging

Meerjarenplan, advies, maatregelen uitgevoerd door 1ste lijn

Verantwoording

IT General Control (ITGC), ENSIA (DigiD e.a.)

Technische beveiliging

Ethical hackers, Security Operations Center (SOC), pentesten en vulnerability scans

32

Integrale security organisatie door intensieve samenwerking

Intern • •

• • • • •

Directie Veiligheid Beveiligingsambtenaar (BVA) Concern Privacy Officer (CPO) Functionaris Gegevensbescherming (FG) Financial Audit en Concern Auditing Stadsontwikkeling / Stadsbeheer Diverse beheer disciplines

Extern • • • • • •

G4-gemeenten e.a. Informatiebeveiligingsdienst (IBD) National Cyber Security Centrum (NCSC) Vereniging Nederlandse Gemeenten (VNG) Externe Auditor (PwC) Diverse externe partners

33

Informatieveiligheid speerpunten Doorontwikkelingen: -

Actualiseren dreigingsbeeld en risico’s en maatregelen

-

Continueren informatieveiligheid-bewustwording ambtenaren

-

Verder implementeren Baseline Informatiebeveiliging Overheid (BIO) maatregelen

-

Houden van crisis-oefeningen

34

Vragen?

Bedankt voor uw aandacht.