22-428-B - Handreiking Autoriteit Persoonsgegevens - Inzet van technologie

Gemeenten en privacy: wat kunt u als raadslid doen bij de inzet van technologie? Deze uitgave van de Autoriteit Persoonsgegevens (AP) is een aanvulling op het basisdocument ‘Gemeenten en privacy: wat kunt u als raadslid doen?’. Deze aanvulling gaat over de inzet van technologie binnen gemeenten. De vragen uit het basisdocument blijven daarbij relevant en we raden u aan die ook te (her)lezen. Het doel van deze aanvulling is niet om volledig te zijn, maar om een gesprek te starten over de privacyaspecten van de inzet van technologie. versie 1, oktober 2022

Achtergrond: inzet van technologie bij de gemeente We leven in een sterk gedigitaliseerde samenleving en technologie voorziet ons van ongekende mogelijkheden. Ook gemeenten krijgen steeds vaker toegang tot innovatieve technologie en willen deze inzetten ter ondersteuning van hun taken. De belofte van technologie is dat gemeenten hun taken sneller of beter kunnen uitvoeren en daarmee de burger beter van dienst kunnen zijn. Bij het ontwerp en gebruik van technologie worden vaak persoonsgegevens verwerkt. De privacyrisico’s die daarbij ontstaan, kunnen groot zijn. En worden nog onvoldoende onderkend.

Uw rol als raadslid: wat kunt u doen? Als raadslid controleert u het college van burgemeester en wethouders (B en W). Heeft u aanleiding om vragen te stellen over de inzet van nieuwe of bestaande technologie binnen uw gemeente? De AP heeft drie vragen opgesteld om u te helpen. U stelt uw vragen in de regel aan de verantwoordelijke wethouder binnen het college van B en W. Als u geen of een onduidelijk antwoord krijgt, vraag dan door. Het vaststellen van feiten is namelijk essentieel om er (mede) voor te zorgen dat persoonsgegevens in uw gemeente rechtmatig worden verwerkt. De AP heeft de vragen voorzien van een korte toelichting, het uitgangspunt dat moet gelden bij de beantwoording van de vragen en enkele observaties van de AP.

Vraag 1: Wat betekent de inzet van technologie voor de verantwoordelijkheid van gemeenten? Toelichting: De inzet van technologie door gemeenten leidt doorgaans tot het gebruik van persoonsgegevens, waarvoor de gemeenten de verwerkingsverantwoordelijke zijn. Dit betekent dat gemeenten ervoor moeten zorgen dat de gebruikte technologie voldoet aan de privacywetgeving en dat hiermee al bij het ontwerp van de technologie rekening wordt gehouden (‘privacy by design’). Uitgangspunt: Uw gemeente kan door de inzet van technologie persoonsgegevens verwerken. Uw gemeente moet vooraf stilstaan bij de verantwoordelijkheden en bij de vraag of de technologie juist is ontworpen en voldoet aan de eisen die daarvoor gelden. Ook als de gemeente gebruikmaakt van een leverancier. Uw gemeente moet kunnen aantonen – ook aan u als raadslid – vooraf te hebben vastgesteld of de gemeente aan de privacywetgeving heeft voldaan, zal voldoen en hierop periodiek zal toezien. Observatie AP: Gemeenten zetten nog te vaak en te snel technologie in die niet conform de privacywetgeving is ontworpen en daar dus ook in de praktijk niet aan voldoet. Gemeenten nemen uitspraken en beloften van leveranciers over het voldoen aan privacywetgeving te gemakkelijk voor waar aan, zonder deze te verifiëren.

Vraag 2: Waarom is de inzet van deze technologie noodzakelijk? Toelichting: Voorafgaand aan de inzet van technologie moet zijn vastgesteld dat hiervoor een noodzaak bestaat. Ook bij een proefproject of pilot. Uitgangspunt: Bestaat er een (technische) oplossing waardoor de gemeente geen of minder persoonsgegevens verwerkt? Dan moet uw gemeente daarvoor kiezen. Uw gemeente moet kunnen aantonen welke alternatieven van tevoren zijn onderzocht. Een gestructureerde manier om inzicht te krijgen in de privacyrisico’s van een voorgenomen gegevensverwerking is een ‘data protection impact assesment’ (DPIA). Bij innovatieve toepassingen is een DPIA meestal verplicht. Uw gemeente moet vooraf beoordelen of een DPIA verplicht is en zo ja, deze (laten) uitvoeren. De gemeente moet daarbij de functionaris gegevensbescherming (FG) om advies vragen. Observatie AP: Gemeenten zetten te snel technologie in, zonder vooraf stil te staan bij de vraag of die technologie echt noodzakelijk is om het doel te bereiken. En of er geen alternatieven mogelijk zijn, die minder ingrijpend zijn voor de privacy. Het komt nog te vaak voor dat gemeenten een verplichte DPIA niet of te laat uitvoeren. Dit gebeurt ook bij proefprojecten en pilots. Ook is vaak niet duidelijk of gemeenten bij de uitvoering van de DPIA (tijdig) een FG hebben betrokken.

Vraag 3: Hoe zijn burgers geïnformeerd over de inzet van technologie? Toelichting: Burgers hebben recht op begrijpelijke informatie over wat de gemeente met hun gegevens doet en waarom. Zo houden zij zicht op hun persoonsgegevens bij nieuwe verwerkingen door technologie. Uitgangspunt: Uw gemeente moet burgers uit eigen beweging informeren over de inzet van technologie en de manier waarop de gemeente vervolgens hun persoonsgegevens verwerkt. Ook als deze verwerking in de openbare ruimte plaatsvindt. Uw gemeente moet kunnen uitleggen hoe burgers zijn geïnformeerd over de inzet van technologie. Soms is het ook nodig dat de gemeente burgers vooraf om hun mening vraagt over de voorgenomen inzet van technologie. Dat vergt specifieke aandacht, bijvoorbeeld als het om kinderen gaat. Naast deze informatieplicht uit de AVG bestaan er andere instrumenten die bijdragen aan meer transparantie, zoals: De Agenda Digitale Grondrechten en Ethiek 2022-2026 van de VNG. Gemeenten hebben daarin gezamenlijk als ambitie vastgesteld dat grondrechten in de informatiesamenleving moeten worden beschermd. Onder meer transparantie en burgerparticipatie staan daarin centraal. De Code voor Kinderrechten. Die bevat beginselen en praktische voorbeelden waarmee ontwerpers en ontwikkelaars van digitale diensten de fundamentele rechten van kinderen kunnen waarborgen.

De impact assessment voor mensenrechten bij de inzet van algoritmen (IAMA). Het is essentieel dat gemeenten inventariseren welke toetsen relevant of verplicht zijn en dat zij verduidelijken of zij dergelijke toetsen hebben uitgevoerd. Observatie AP: Gemeenten leggen nog te vaak niet helder (genoeg) uit welke persoonsgegevens van burgers zij gebruiken door de inzet van technologie, zowel in de openbare ruimte als binnen het gemeentehuis. Ook betrekken gemeenten burgers nog onvoldoende bij de besluitvorming daarover.

Meer informatie Basisdocument: Gemeenten en privacy: wat kunt u als raadslid doen?

2/2