21. RIB 2021-029 Pilot bodycams voor boa's

RAADSINFORMATIEBRIEF – Nr. 2021-029 Aan de leden van de gemeenteraad

Datum 30 maart 2021 Zaaknummer Z/21/380727/ADV/21/1013240 Onderwerp Pilot bodycams voor boa’s Portefeuillehouder L. van Riswijk Contactpersoon E-mail Telefoon

Lesly Brons L.Brons@zevenaar.nl 0316-595 334

Geachte leden van de gemeenteraad,

Inleiding De buitengewoon opsporingsambtenaren werkzaam bij de gemeente Zevenaar worden in hun werk geconfronteerd met agressie en geweld. Om de veiligheid van de boa’s te vergroten heeft het college van burgemeester en wethouders besloten de boa’s uit te rusten met bodycams: kleine camera’s die op het uniform worden gedragen. Kernboodschap Middels een pilot van zes maanden onderzoekt de gemeente Zevenaar of de bodycams daadwerkelijk de veiligheid van de boa’s vergroot. Context ☐ Actueel maatschappelijk onderwerp/probleem ☐ Coalitieafspraak ☐ Motie/amendement/toezegging  Anders, namelijk : informatie vanuit het college inzake pilot Inhoudelijke boodschap De argumenten voor de pilot zijn in dit geval: 1. De bodycams hebben een de-escalerend effect op agressief en gewelddadig gedrag. 2. De beelden kunnen achteraf door de politie worden gebruikt voor de opsporing van verdachte(n) van geweld of agressie jegens de boa’s. 3. De boa’s kunnen beelden gebruiken voor zelfevaluatie.

De pilot heeft weinig tot geen risico’s doordat een zorgvuldige procedure heeft plaatsgevonden. Ook zorgen de volgende stappen/opgestelde stukken voor een minimalisatie van risico’s: - Goedkeuring van onze ondernemingsraad; - Een werkinstructie voor de boa’s. Dit is een heel kort en praktisch document voor de boa’s met daarin de interne werkafspraken over het gebruik van de bodycams en over de toegang tot de opnames; - Een protocol bodycamopnames voor de betrokkenen. In dit protocol staat wie er voor welke doelen met de bodycamopnames mag werken; - Een Data Protection Impact Assessment (DPIA) waarin de privacy risico’s voor burgers en boa’s staan, inclusief beschermingsmaatregelen. Onze Functionaris gegevensbescherming heeft positief geadviseerd over de DPIA; - Er vinden evaluaties plaats gedurende de pilot. Tijdens en na de pilot worden gesprekken gevoerd met de boa’s over het gebruik van de bodycam. Op basis van deze gesprekken wordt een notitie opgesteld met de resultaten van de pilot. Deze notitie is een belangrijke informatiebron bij het bepalen of na de pilot zal worden gekozen voor permanente inzet van de bodycams of niet. - De documenten zijn juridisch gecheckt door een extern juridisch adviesbureau; - De boa’s hebben een training gevolgd bestaande uit een theorie- en praktijkgedeelte. De training is gegeven door een externe gerenommeerde trainer.

Communicatie en vervolgproces De bodycams worden openlijk en dus niet heimelijk ingezet. De bodycams zijn altijd goed zichtbaar en er wordt in principe een waarschuwing gegeven als een opname start. Verder is met onze afdeling communicatie een strategie ingezet om via de sociale kanalen en op onze website de pilot aan te kondigen en daarover informatie te verschaffen. Bovendien is er een vraag- en antwoordpagina ingericht op onze website. Middels de pilot wordt onderzocht in hoeverre de bodycams in de gemeente Zevenaar de veiligheid van de boa’s vergroten. Aan het eind van de pilot wordt beoordeeld wat het vervolg zal worden. - De pilot kan geen effect hebben. Dan zal aan het eind van de pilot besloten worden dat er geen gevolg aan de pilot wordt gegeven. - De pilot kan effect hebben. Dan weegt het college de voor- en nadelen af en oordeelt of de bodycams al dan niet structureel ingevoerd worden.

Met vriendelijke groet, burgemeester en wethouders van Zevenaar,

Danielle Jansen secretaris

zaaknummer Z/19/343544

Lucien van Riswijk burgemeester

pagina 2 van 3

Bijlagen Aan deze brief zijn de volgende bijlagen toegevoegd: Volgorde 1. 2. 3.

Documentnummer INT/21/1007915 INT/21/1007914 INT/21/1007913

zaaknummer Z/19/343544

Naam Werkinstructie gebruik bodycam door boa’s Zevenaar Protocol Bodycam-opnames Zevenaar DPIA Bodycams Zevenaar

pagina 3 van 3

Werkinstructie gebruik bodycam door boa’s gemeente Zevenaar Laatst gewijzigd op: 10 maart 2021 Per 1 april 2021 start er een pilot ‘gebruik bodycams door boa’s’ voor 6 maanden. Deze werkinstructie kan tussentijds of na de pilot desgewenst aangepast worden. Bij ingebruikneming van de bodycam worden de volgende regels gehanteerd: Uitgifte bodycam ➢ Alle boa’s krijgen, aan het begin van de pilot, een bodycam toegewezen. Het personeelnummer van de boa wordt gekoppeld aan zijn/haar bodycam en de bodycam wordt fysiek gelabeld. ➢ Bij aanvang van de dienst haalt de boa de bodycam uit het docking station en zet de boa de bodycam aan via de aan-/en uitknop. ➢ De boa controleert of de batterij is opgeladen en of de bodycam functioneert. ➢ Een defect of andere bijzonderheden worden direct aan het afdelingshoofd gemeld. Inzet van de bodycam ➢ De boa bevestigt de bodycam duidelijk zichtbaar op de borst. ➢ Zodra de boa zich onveilig voelt schuift hij/zij de alarmknop naar beneden. De alarmknop kan ook voorafgaand aan een situatie gebruikt worden, als er bijvoorbeeld eerder een incident met de persoon in kwestie heeft plaatsgevonden. ➢ Aan het activeren van de alarmknop gaat zo mogelijk een waarschuwing vooraf. ➢ De boa waarschuwt collega’s zoveel mogelijk als hij/zij opnamen maakt of heeft gemaakt waarbij collega’s herkenbaar in beeld komen.

➢ Nadat de dreigende situatie voorbij is wordt de alarmknop gedeactiveerd. ➢ Als er opnames gemaakt zijn geeft de boa dit door aan de beheerders (Lesly Brons ((eerste aanspreekpunt)) of Marleen Steintjes). ➢ Bij ontdekking van verlies, diefstal of beschadiging van de bodycam dient dit direct te worden gemeld conform de instructie verlies en diefstel van de gemeente Zevenaar. Inname en bewaarplaats bodycam ➢ De bodycam wordt na de dienst in het docking station geplaatst. ➢ De inname wordt automatisch gelogd in het bodycamsysteem. ➢ De opnames worden automatisch naar de opslag geüpload en van de bodycam verwijderd. ➢ De accu van de bodycam wordt automatisch opgeladen. ➢ Opnames worden 28 dagen bewaard en daarna automatisch gewist. Toegang tot opnames ➢ De opnames kunnen voor beperkte doeleinden worden ingezien/gebruikt (zie protocol Bodycamopnames Zevenaar en het DPIA). ➢ Er zijn twee beheerders aangewezen die de beelden mogen inzien. ➢ De beheerders mogen alleen de beelden inzien om de redenen die staan vermeld in het protocol Bodycamopnames Zevenaar en het DPIA. ➢ De boa’s mogen hun eigen beelden inzien, na een verzoek tot evaluatie van eigen handelen. De beelden worden altijd met twee personen bekeken (vier ogen principe). Staan er andere boa’s op beeld, dan is er eerst toestemming van hen nodig. ➢ De boa kan niet zelfstandig bodycam-opnamen verwijderen.

Protocol Bodycamopnames Laatst aangepast: 10 maart 2021 1.

Inleiding Handhavers van Team Handhaving van de gemeente Zevenaar gebruiken bodycams voor het vergroten van hun veiligheid tijdens het werk. Dit protocol beschrijft de afspraken omtrent het beheer van de bodycamopnames.

2.

Doel gebruik bodycams De bodycams worden ingezet voor de veiligheid van de handhavers.1 Dit betekent dat de bodycams niet structureel voor andere doeleinden ingezet mogen worden.

3.

De geautoriseerde gebruiker Voor team handhaving van de gemeente Zevenaar, worden de bodycamopnames beheerd door Lesly brons (Juridisch adviseur VTH). In diens afwezigheid wordt het beheer overgenomen door Marleen Steinjtes (Juridisch adviseur handhaving). De beheerder is verantwoordelijk voor discretie omtrent de bodycambeelden en mag de beelden enkel raadplegen of delen voor de vooraf afgesproken doelen.

4.

Autorisaties backoffice Slechts de beheerder, het afdelingshoofd en de boa’s hebben toegang tot de backoffice. De beheerder en het afdelingshoofd hebben de meest ruime autorisaties. De beheerder staat los van de boa’s en het afdelingshoofd. De boa’s hebben autorisatie voor noodzakelijke handelingen, want de boa’s zullen weinig in de backoffice zijn.

5.

Opnames labelen ▪

▪

▪

De opnames kunnen alleen opgevraagd en gebruikt worden voor twee primaire doelen en twee wettelijke plichten: Primaire doelen o Aangifte: een handhaver is slachtoffer van agressie of geweld en wil de opnames aan de politie geven bij een aangifte; o Evaluatie: een handhaver heeft een verzoek ingediend om de opnames te gebruiken voor evaluatie. Wettelijke plichten: o Vordering: het bevoegd gezag (bijvoorbeeld politie of justitie) vordert de bodycamopnames; o Inzage: een betrokkene heeft een verzoek tot inzage gedaan; Wanneer duidelijk is dat een opname voor een van de voorgaande doelen nodig is, wordt een label met het doel aan de opname toegekend door het afdelingshoofd; Aan de opname wordt ook een omschrijving van de situatie toegevoegd.

1 De juridische grondslag inclusief de belangenafweging en de noodzakelijkheid zijn beschreven in de DPIA

6.

Gebruik bodycamopnames De opnames van de bodycams mogen voor twee primaire doelen worden gebruikt: aangifte doen bij de politie na agressie tegen een handhaver of voor zelfevaluatie door de betrokken handhaver na een incident. Daarnaast kunnen opnames worden verstrekt aan bevoegd gezag na een vordering of aan een burger na een inzageverzoek. Ander gebruik van de bodycams is niet toegestaan. De bodycamopnames worden uitdrukkelijk niet gebruikt voor het controleren van prestaties, gedrag of aanwezigheid van medewerkers. Doel

Werkwijze

Aangifte bij de politie Handhaver die slachtoffer is van agressie of geweld doet aangifte bij politie en verstrekt bodycamopname.

De beheerder doorzoekt de opnames en levert de relevante opname aan de politie.

Zelfevaluatie na incident Evaluatie van het optreden van een handhaver na een incident.

Na ontvangst van een verzoek tot evaluatie van eigen handelen door een handhavers, doorzoekt de beheerder de opnames en levert de opname aan de desbetreffende handhaver. De handhaver bekijkt de opname. Dat doet de handhaver samen met zijn afdelingshoofd in een afgesloten ruimte.

Vordering Vordering door de politie, de officier van justitie of de rechter-commissaris op basis van art. 126nd(a) Wetboek van Strafvordering.

De beheerder controleert de vordering, doorzoekt de opnames en levert de relevante opname aan het bevoegd gezag.

Inzageverzoek Inzageverzoek door een betrokkene die met een bodycam is gefilmd.

Inzageverzoeken voor persoonsgegevens worden afgehandeld volgens het generieke proces van de gemeente Zevenaar. De beheerder controleert of er inderdaad een opname is gemaakt en stelt vast of de betrokkene inderdaad in beeld is. Als inzage wordt gegeven; worden andere betrokkenen onherkenbaar gemaakt (video en audio). Of de betrokkene een kopie krijgt wordt afgestemd met de privacyofficer. Mocht het gaan om een opname die aan de politie is verstrekt, dan is de Wpg van toepassing en is de politie de verwerkingsverantwoordelijke. In dat geval moet de betrokkene die zijn of haar

persoonsgegevens wil inzien een inzageverzoek bij de politie indienen Het is bijzonder veel en technisch werk om een video te anonimiseren. Daarom wordt in eerste instantie een screenshot verstrekt met een schriftelijke toelichting van wat er verder te zien is op de opname.

7.

Wijze van overdracht opnames Middels een externe gegevensdrager. De beheerder kan op beveiligde wijze de opnames vanaf de stand-alone laptop op de externe gegevensdrager plaatsen en op die manier overdragen.

8.

Verwijdering opnames & bewaartermijn ▪ ▪

9.

Alle opnames waar niets mee aan de hand is en die geen label hebben gekregen, worden na 28 dagen automatisch gewist. Als aan een opname een label is toegekend wordt de betreffende opname bewaard totdat het incident is afgehandeld. De opname wordt daarna handmatig verwijderd door een geautoriseerde gebruiker Is het incident binnen 28 dagen afgehandeld, dan wordt ingesteld dat de opnames automatisch 28 dagen na het incident verwijderd worden.

Audit trail De software houdt automatisch een zogenaamde audit trail bij voor elke opname. Dat betekent dat elke handeling met een opname (uploaden, bekijken, verstrekken, verwijderen) automatisch wordt gelogd. De audittrail wordt bewaard ook na de bewaartermijn van de opname. Als er twijfel is of een opname onrechtmatig is bekeken, bewerkt, verstrekt of verwijderd controleert het afdelingshoofd de audittrail van die opname.

10.

Afspraken in de DPIA De juridisch adviseur VTH, of in zijn afwezigheid de juridisch adviseur handhaving, heeft een aantal controlerende taken. Deze afspraken zijn opgenomen in de DPIA, welke als bijlage is toegevoegd.

11.

Andere relevante documenten ▪ Werkinstructie bodycams met praktische ‘spelregels’ voor de handhavers DPIA bodycams

Bodycams voor handhavers gemeente Zevenaar Data Protection Impact Assessment

Versie: 1.0 Datum: 10 maart 2021 Door: Lesly Brons

Inhoud 1.

Inleiding ........................................................................................................................................ 8 1.1. 1.2. 1.3. 1.4. 1.5.

2.

Beschrijving van de gegevensverwerking .................................................................................. 10 2.1. 2.2.

3.

WELK DOEL DIENT DE VERWERKING? ............................................................................................... 14 GRONDSLAG EN LEGITIEME REDENEN .............................................................................................. 14 NOODZAKELIJKHEID ...................................................................................................................... 15 EINDAFWEGING ............................................................................................................................ 17

Risicobeoordeling ....................................................................................................................... 19 4.1. 4.2.

5.

DEELPROCES 1: OPNAMES MAKEN.................................................................................................. 10 DEELPROCES 2: OPNAMES GEBRUIKEN EN VERWIJDEREN .................................................................. 11

Noodzaak en evenredigheid ....................................................................................................... 14 3.1. 3.2. 3.3. 3.4.

4.

DPIA ............................................................................................................................................. 8 VERWERKINGSVERANTWOORDELIJKHEID ........................................................................................... 8 OVERIGE DOCUMENTEN................................................................................................................... 8 TOTSTANDKOMING ......................................................................................................................... 9 LEESWIJZER.................................................................................................................................... 9

METHODIEK ................................................................................................................................. 19 BRUTO RISICO’S VAN DE VERWERKING ............................................................................................. 20

Beschermingsmaatregelen......................................................................................................... 23 5.1. 5.2.

TECHNISCHE MAATREGELEN........................................................................................................... 23 ORGANISATORISCHE MAATREGELEN ............................................................................................... 24

6.

Eindoordeel over restrisico ......................................................................................................... 26

7.

Advies Functionaris Gegevensbescherming............................................................................... 27

2 DPIA bodycams voor handhavers Zevenaar

Versies Versie 0.1 1.0

Datum 1-02-2021 10-03-2021

Bijzonderheden Format, opzet en inhoud Eindversie

Auteur Lesly Brons Lesly Brons

Wijzigingen t.o.v. vorige versie Aanvullingen/opmerkingen betrokkenen verwerkt. Advies FG verwerkt. Wat er nog gaat gebeuren: Stukken worden in bestuurlijke route gebracht.

3 DPIA bodycams voor handhavers Zevenaar

Afkortingen AP AVG CISO DPIA EDPB EVRM FG GEB OvJ OM SV Wjsg WOR Wpg

Autoriteit Persoonsgegevens Algemene Verordening Gegevensbescherming Chief Information Security Officer Data Protection Impact Assessment European Data Protection Board Europees Verdrag voor de rechten van de mens en fundamentele vrijheden Functionaris voor de Gegevensbescherming Gegevensbeschermingseffectbeoordeling Officier van Justitie Openbaar Ministerie Wetboek van Strafvordering Wet justitiële en strafvorderlijke gegevens Wet op de ondernemingsraden Wet politiegegevens

4 DPIA bodycams voor handhavers Zevenaar

Definities "Betrokkene" ''Persoonsgegevens'' “Verwerker” "Verwerkingsverantwoordelijke"

de natuurlijke persoon wiens persoonsgegevens worden verwerkt; alle informatie over een direct of indirect geïdentificeerde of identificeerbare natuurlijke persoon; de (rechts)persoon die persoonsgegevens verwerkt in opdracht van de verwerkingsverantwoordelijke; de (rechts)persoon die het doel van en de middelen voor de verwerking van persoonsgegeven vaststelt.

5 DPIA bodycams voor handhavers Zevenaar

Verzendlijst Naam Lesly Brons Ronald Vollenberg Rob Gerritsen Thijs Barten Marleen Steintjes

Functie Projectleider en beheerder CISO/FG Afdelingshoofd vergunningen, toezicht en handhaving Adviseur openbare orde en veiligheid Juridisch adviseur handhaving

6 DPIA bodycams voor handhavers Zevenaar

Advies en Goedkeuring Advies Functionaris voor de Gegevensbescherming Naam Functie Datum advies Ronald Vollenberg Functionaris Gegevensbescherming & 19-02-2021 Chief Information Security Officer.

Goedkeuring Proceseigenaar Naam Functie Rob Gerritsen Afdelingshoofd VTH

Datum goedkeuring 10-03-2021

7 DPIA bodycams voor handhavers Zevenaar

1. Inleiding Boa’s worden in groeiende mate geconfronteerd met agressie. De gemeente Zevenaar wil een goed werkgever zijn en de boa’s veiligheid bieden tijdens hun werk. Daarom wordt op 1 april 2021 gestart met een een pilot bodycams om te zien of deze kleine, draagbare camera’s de veiligheid van boa’s kunnen vergroten. Opnames van bodycams leveren een inperking op van de privacy van de personen die in beeld komen: de burger en de omstanders, maar ook de boa zelf. Daarom is de Algemene Verordening Gegevensbescherming (AVG) van toepassing op de inzet van bodycams en die stelt een Data Protection Impact Assessment (DPIA) verplicht voor dit soort verwerkingen. In deze DPIA worden de privacyrisico’s geïnventariseerd en worden beschermingsmaatregelen getroffen om die risico’s weg te nemen of te verkleinen.

1.1. DPIA In de AVG is een DPIA verplicht gesteld voor verwerkingen van Persoonsgegevens die mogelijk een hoog risico voor de rechten en vrijheden van personen opleveren.1 Een voorbeeld in de AVG van zo’n verwerking met een hoog risico is cameratoezicht waarbij op grote schaal en systematisch mensen kunnen worden gevolgd in publiek toegankelijk gebied.2 Later zijn er in aanvullende richtlijnen van de Autoriteit Persoonsgegevens andere verwerkingen aan toegevoegd, waaronder “grootschalig en/of stelselmatig gebruik van flexibel cameratoezicht (camera’s op kleding of helm van brandweer- of ambulancepersoneel, dashcams gebruikt door hulpdiensten)”.3 Voor bodycams is een DPIA dus verplicht.

1.2. Verwerkingsverantwoordelijkheid Het college van burgemeester en wethouders van de gemeente Zevenaar is de verwerkingsverantwoordelijke in de zin van de AVG. Het college stelt het doel (meer veiligheid voor de boa’s) en de middelen (bodycams) van de verwerking vast namens de (rechts)persoon gemeente Zevenaar.

1.3. Overige documenten Naast deze DPIA zijn nog meer relevante documenten opgesteld: • Informatievoorziening aan bewoners • Protocol bodycamopnames • Werkinstructie bodycams 1

Artikel 35 lid 1 AVG.

2 Artikel 35 lid 3(c) AVG. 3 Besluit inzake lijst van verwerkingen van persoonsgegevens waarvoor een gegevensbeschermingseffectbeoordeling (DPIA) ver-

plicht is, Staatscourant nr. 64418, 27 november 2019.

8 DPIA bodycams voor handhavers Zevenaar

1.4. Totstandkoming Deze DPIA is opgesteld in overleg met de Functionaris voor de Gegevensbescherming en de projectleider van het project bodycams. De privacyrisico’s zijn geïnventariseerd en vervolgens zijn beschermingsmaatregelen gekozen. De processen zijn afgestemd met de beheerders van de bodycamopnames. De conceptversie is voorgelegd aan de FG voor advies en dat advies is integraal opgenomen in deze DPIA. Als zich nieuwe risico’s blijken voor te doen, worden nieuwe beschermingsmaatregelen toegevoegd en wordt de DPIA aangepast.

1.5. Leeswijzer Deze DPIA heeft de volgende opbouw4: • Beschrijving gegevensverwerking • Noodzaak en evenredigheid • Risicobeoordeling • Beschermingsmaatregelen • Eindoordeel over restrisico • Advies FG

4 De opbouw is beschreven in S. Katus (2020), Hoe ben je FG? De FG-functie uitgelegd voor de praktijk. Wolters/Kluwer: Deventer.

9 DPIA bodycams voor handhavers Zevenaar

2. Beschrijving van de gegevensverwerking In dit hoofdstuk wordt het proces van handhaving door een boa met bodycam en de onderliggende gegevensverwerking op een overzichtelijke manier in kaart gebracht. Het gaat om de hoofdlijnen en een systematische beschrijving van het geheel, waardoor de informatieketen helder in beeld komt.

2.1. Deelproces 1: Opnames maken Voordat het proces begint Het belangrijkste doel van de bodycam is het voorkomen van agressie en geweld tegen boa’s door een preventief effect. Dat betekent dat in verreweg de meeste diensten geen opnames zullen worden gemaakt met de bodycam. In die gevallen worden er dus ook geen persoonsgegevens verwerkt. Alleen als een incident escaleert of dreigt te escaleren kan de boa een opname maken. Voor die gevallen worden de gegevensverwerkingen in dit hoofdstuk beschreven. Stap in het proces Stand-by In principe draagt elke boa standaard een bodycam. De bodycam wordt duidelijk zichtbaar op het uniform gedragen en staat continu op stand-by. De beelden worden dan continu opgenomen en na 60 seconden automatisch weer gewist. Dit heet ‘bufferen’ of ‘pre-recording’.

Verwerking persoonsgegevens Opname wordt tijdelijk opgeslagen en daarna automatisch gewist. Er worden dus wel persoonsgegevens verwerkt, maar die worden na enkele seconden alweer verwijderd en zijn daarna niet meer beschikbaar.

Opname maken Als een situatie dreigt te escaleren en de dra- De opname wordt beveiligd opgeslagen op ger van de bodycam zich onveilig voelt of het interne geheugen van de bodycam. verwacht dat een burger agressief zal worden, kan de drager aankondigen dat hij of zij een opname gaat maken. Als dit niet zorgt voor een veilige situatie, wordt de opnameknop daadwerkelijk ingedrukt. De gebufferde seconden worden dan vastgelegd, zodat de aanleiding van het incident er ook op staat. Als de dreigende situatie voorbij is, zet de handhaver de bodycam uit.

10 DPIA bodycams voor handhavers Zevenaar

Uploaden opnames Na de dienst wordt de opname van de body- Opname wordt verwijderd van de bodycam cam naar de opslag verplaatst. en gaat via het dockingstation naar de beveiligde laptop/desktop computer. Opname krijgt metadata mee: datum, tijd, naam en personeelsnummer handhaver. Borging juiste bodycam bij boa is aanwezig door koppeling personeelsnummer aan bodycam en fysieke naamtag zichtbaar op bodycam te plaatsen.

2.2. Deelproces 2: Opnames gebruiken en verwijderen De opnames kunnen worden gebruikt voor twee primaire doelen: aangifte doen bij de politie na agressie tegen een handhaver en zelfevaluatie door de betrokken handhaver na een incident. Daarnaast kunnen opnames worden verstrekt aan de politie na een vordering of aan een burger na een inzageverzoek. Ander gebruik van de bodycams is niet toegestaan. Stap in het proces Primair doel 1: Aangifte bij de politie Handhaver die slachtoffer is van agressie of geweld doet aangifte bij politie en verstrekt bodycamopname.

Verwerking persoonsgegevens De beheerder doorzoekt de opnames, levert de relevante opname aan de politie. De persoonsgegevens gaan over van de AVG naar de Wet politiegegevens (Wpg). De politie verwerkt de opname vervolgens conform de Wpg.

Primair doel 2: Zelfevaluatie na incident Evaluatie van het optreden van een handha- Na ontvangst van een verzoek tot evaluatie ver na een incident. van eigen handelen door een handhaver, doorzoekt de beheerder de opnames en levert de opname aan de desbetreffende handhaver. De handhaver bekijkt de opname. Dat doet de handhaver samen met zijn afdelingshoofd in een afgesloten ruimte. Wettelijke plicht 1: Vordering Vordering door de politie, de officier van jus- De beheerder controleert de vordering, titie of de rechter-commissaris op basis van doorzoekt de opnames en levert de relevante art. 126nd(a) Wetboek van Strafvordering.

11 DPIA bodycams voor handhavers Zevenaar

opname op een beveiligde wijze aan het bevoegd gezag. De persoonsgegevens gaan over van de AVG naar de Wpg. De politie verwerkt de opname conform de Wet politiegegevens. Wettelijke plicht 2: Inzageverzoek door betrokkene Inzageverzoeken voor persoonsgegevens Inzageverzoek door een betrokkene die met worden afgehandeld volgens het generieke een bodycam is gefilmd. proces van de gemeente Zevenaar. De beheerder controleert of er inderdaad een opname is gemaakt en stelt vast of de betrokkene in beeld is. Als inzage wordt gegeven; worden andere betrokkenen onherkenbaar gemaakt (video en audio). Of de betrokkene een kopie krijgt wordt afgestemd met de privacy officer. Mocht het gaan om een opname die aan de politie is verstrekt, dan is de Wpg van toepassing en is de politie de verwerkingsverantwoordelijke. In dat geval moet de betrokkene die zijn of haar persoonsgegevens wil inzien een inzageverzoek bij de politie indienen Het is bijzonder veel en technisch werk om een video te anonimiseren. Daarom wordt in eerste instantie een screenshot verstrekt met een schriftelijke toelichting van wat er verder te zien is op de opname. Verwijdering Alle opnames worden na 28 dagen automatisch vernietigd. Opnames die nog nodig zijn voor de afhandeling van het incident worden verwijderd op het moment dat ze niet meer nodig zijn.

Alle opnames worden door het systeem automatisch vernietigd na de standaard bewaartermijn van 28 dagen. Als een opname langer nodig is voor een aangifte, zelfevaluatie, vordering of inzageverzoek, wordt de bewaartermijn verlengd tot na afhandeling van dat incident – meestal na het verstrijken van de bezwaar- of beroepstermijn of als er een definitieve uitspraak is gedaan. Die beelden moeten op dat moment handmatig worden

12 DPIA bodycams voor handhavers Zevenaar

vernietigd. De beheerder controleert maandelijks of alle bewaarde opnames nog nodig zijn en rechtmatig worden bewaard. Daarnaast maakt de beheerder hier een overzicht van met akkoord van de verwerkingsverantwoordelijke. Logging Elke handeling met een opname (uploaden, Software houdt automatisch een audit trail bekijken, verstrekken, verwijderen) wordt bij voor elke opname; deze wordt bewaard automatisch gelogd. ook na de bewaartermijn van de opname. Als er twijfel is of een opname onrechtmatig is bekeken, bewerkt, verstrekt of verwijderd, controleert het afdelingshoofd de audittrail van die opname. Tevens voert de beheerder elk kwartaal een steekproefsgewijze controle uit - zie de beschermingsmaatregelen -.

13 DPIA bodycams voor handhavers Zevenaar

3. Noodzaak en evenredigheid Op welk moment moet welke informatie beschikbaar zijn in het proces om te zorgen dat het tot een goede uitkomst leidt? Functionarissen moeten niet te veel, maar ook niet te weinig informatie hebben om het proces vlekkeloos te laten verlopen. De noodzaak is gelegen in de vraag waarom je bepaalde gegevens nodig hebt: welk doel dienen ze? En spoort dat doel met de legitieme redenen volgens artikel 6 AVG? Daarna volgt de evenredigheidsvraag in de vorm van een functionele informatiebehoefte per medewerker die betrokken is. Niet elke medewerker heeft dezelfde informatie nodig: er zijn verschillende taken en verantwoordelijkheden en de informatie die beschikbaar is moet precies passend zijn. Alle informatiebehoeften bij elkaar bepalen hoeveel informatie er moet worden verwerkt: dat is de ‘minimale gegevensverwerking’ uit artikel 5.1c AVG.

3.1. Welk doel dient de verwerking? Het primaire doel van de bodycam is het vergroten van de feitelijke veiligheid van de boa’s. Het idee is dat agressieve of gewelddadige burgers zich twee keer zullen bedenken als ze weten dat alles wat ze doen wordt opgenomen en tegen ze kan worden gebruikt. Hierdoor zullen incidenten worden voorkomen. Mocht de bodycam dit preventieve effect niet hebben, dan kunnen de opnames van het incident aan de politie worden verstrekt voor opsporingsonderzoek. Dat kan leiden tot een veroordeling en ook dat heeft een generaal preventief effect. Een nevendoel van de bodycam is het vergroten van het veiligheidsgevoel van boa’s.

3.2. Grondslag en legitieme redenen De grondslag voor de verwerking van persoonsgegevens is artikel 6, lid 1, f, AVG ‘gerechtvaardigd belang’. Deze grondslag geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken. Maar in dit geval is die uitzondering niet van toepassing. De bodycams worden namelijk niet ingezet door de gemeente voor de uitoefening van haar publiekrechtelijke taken, maar door de gemeente in haar privaatrechtelijke rol als werkgever. Het gerechtvaardigde belang ligt in het zorgdragen voor een veilige werkplek door de werkgever. Er zijn twee wetten die de gemeente verplichten een veilige werkplek te bieden aan de werknemers: het Burgerlijk Wetboek en de Arbowet. In art. 611 van het Burgerlijk Wetboek Boek 7 staat: “De werkgever en de werknemer zijn verplicht zich als een goed werkgever en een goed werknemer te gedragen.” Een vergelijkbare verplichting volgt uit artikel 3, lid 1 Arbowet: “De werkgever zorgt voor de veiligheid en de gezondheid van de werknemers inzake alle met de arbeid verbonden aspecten en voert daartoe een beleid dat is gericht op zo goed mogelijke arbeidsomstandigheden.”

14 DPIA bodycams voor handhavers Zevenaar

De bodycams worden dus ingezet door de gemeente in haar privaatrechtelijke rol als werkgever van de boa’s die een zo veilig mogelijke werkplek moet bieden. Alle verwerkingen van de opnames moeten in lijn liggen met die doelstelling: veiligheid van de boa’s. Gebruik van de opnames voor andere doelen valt buiten deze grondslag en dus buiten het gerechtvaardigde belang waar de inzet op is gebaseerd.

3.3. Noodzakelijkheid Het recht op bescherming van de persoonlijke levenssfeer is onderdeel van de Grondwet en het Europees Verdrag voor de Rechten van de Mens en de fundamentele vrijheden (EVRM). Dit recht is echter niet absoluut. Voor elke uitzondering moet er een wettelijke basis in het nationale recht zijn: dat was het onderwerp van de vorige paragraaf. Daarnaast is een eis dat de inmenging in de persoonlijke levenssfeer noodzakelijk is in het belang van – in dit geval – de veiligheid van de boa. Een inmenging is noodzakelijk als sprake is van een dringende maatschappelijke behoefte daartoe. Door de bodycams wordt de veiligheid van de boa’s vergroot. Bodycams bieden de mogelijkheid goed onderbouwd aangifte te doen na een bedreiging of mishandeling op een wijze die niet mogelijk is zonder bodycam. Daarom is de bodycam noodzakelijk. Het noodzakelijkheidscriterium wordt mede ingevuld aan de hand van de beginselen van proportionaliteit en subsidiariteit. Daarnaast moet een derde principe van zorgvuldigheid worden nageleefd: beperking van de gegevensverwerking tot wat noodzakelijk is voor het doel (‘dataminimalisatie’). Dat aspect van de verwerking is al beschreven in de paragraaf ‘Welk doel dient de verwerking’: opnames mogen alleen worden gemaakt en gebruikt voor het vergroten van de veiligheid van de boa’s en niet voor andere doelen.

In de rest van deze DPIA worden, bijvoorbeeld bij de beschermingsmaatregelen, ook waarborgen beschreven die voor dataminimalisatie zorgen. Daarom gaan we hieronder alleen nog in op de proportionaliteit en subsidiariteit van de bodycam. Proportionaliteit De inbreuk die de bodycams opleveren op de privacy van betrokkenen moet proportioneel zijn in verhouding tot het probleem dat ermee wordt bestreden. Dat komt er dus op neer dat je niet met een kanon op een mug mag schieten. Daarom bekijken we hier hoe groot het probleem eigenlijk is, wat je mag verwachten van de bodycams en hoe de inbreuk op de privacy zo beperkt mogelijk moet worden gehouden. In de gemeente Zevenaar zijn er geen agressie incidenten geregistreerd. Wel is sprake van verbale agressie. Waar de gemeente Zevenaar op in zet is het veiligheidsgevoel bij de boa’s, omdat die verantwoordelijk van de werkgever de grondslag is van de pilot. Het veiligheidsgevoel is gemiddeld. De uitkomsten worden aan het eind van de pilot afgewogen. De interne registraties zijn echter nooit volledig, omdat niet elk incident wordt geregistreerd.

15 DPIA bodycams voor handhavers Zevenaar

Dat is bijna overal het geval. Uit het onderzoek naar bodycams bij de politie in de Eenheid Amsterdam5 bleek bijvoorbeeld dat het aantal incidenten volgens de enquêtes tien keer zo groot was als het aantal intern geregistreerde incidenten. Voor dit verschil zijn allerlei redenen, maar het voert voor deze DPIA te ver om daar uitgebreid op in te gaan. Waar het om gaat is dat het aantal interne registraties geen compleet beeld oplevert van de werkelijke omvang van het probleem. Daarom is het belangrijk rekening te houden met de mogelijkheid dat er veel meer incidenten gebeuren dan een gemeente zich realiseert. Welk effect verwachten we van de bodycams? Uit de evaluatie in de Eenheid Amsterdam van de politie bleek dat het aantal incidenten halveerde onder de groep agenten die met bodycams werkten: lastig gedrag nam af met 49%, serieuze bedreigingen met 56% en lichamelijk geweld met 47%. Als een evenredig effect in de gemeente Zevenaar zichtbaar wordt, dan zou dat een goede uitkomst van de pilot zijn. Een dergelijke daling is volgens de gemeenten voldoende rechtvaardiging voor de inperking van de privacy van betrokkenen. Een vergelijking met de gemeente Amsterdam gaat in dit geval niet geheel op. Daarom richt de gemeente Zevenaar zich op een verwachte toename van het veiligheidsgevoel.

Hetgeen wordt gemonitord door een nul-meting vooraf, structurele evaluaties gedurende het proces en een eindmeting aan het eind. Uit het bovenstaande blijkt in elk geval al wel dat agressie tegen boa’s een reëel bestaand, niet speculatief, probleem is. De bodycams leveren een inbreuk op de privacy van betrokkenen op, maar dat nadeel weegt volgens de gemeente minder zwaar dan het te verwachten positieve effect op de veiligheid van de boa’s. Inbreuk zo beperkt mogelijk Alles wordt in het werk gesteld om de inbreuk op de privacy zo klein mogelijk te maken. De handhavers maken alleen een opname met de bodycam als iemand agressief tegen ze is, of als iemand al meerdere malen agressief tegen ze is geweest. Of als een situatie dreigt te escaleren en de drager van de bodycam zich onveilig voelt. Het aantal opnames is dus zeer beperkt. En áls er dan toch een opname is gemaakt, wordt vervolgens alles in het werk gesteld om de inbreuk op de privacy van de betrokkenen zo beperkt mogelijk te houden. Opnames mogen alleen door een klein aantal geautoriseerde gebruikers voor een klein aantal vooraf afgesproken doelen worden gebruikt/bekeken. Ook worden de opnames na de standaard bewaartermijn automatisch verwijderd, zoals in het hoofdstuk met de beschermingsmaatregelen is beschreven.

Op deze manier wordt de inbreuk op de privacy van burgers dus ook beperkt en dat maakt de bodycams ook ‘aan de achterkant’ proportioneel. Subsidiariteit De gemeente Zevenaar heeft als werkgever al diverse andere mogelijkheden ingezet om de veiligheid van hun boa’s te vergroten en agressie en geweld in te perken. De boa’s werken veelal

5 S. Flight (2019). Focus: Evaluatie pilot bodycams Politie Eenheid Amsterdam 2017-2018, Politie & Wetenschap.

16 DPIA bodycams voor handhavers Zevenaar

in koppels, gebruiken een portofoon, hebben afspraken met de politie en hebben trainingen gevolgd hoe om te gaan met agressie. De bodycam is een noodzakelijke toevoeging aan het instrumentarium omdat er geen ander, lichter, middel is waarmee hetzelfde de-escalerende effect kan worden bereikt. Er is, kortom, aandacht voor de veiligheid van de boa’s. Uit bovenstaande blijkt dat agressie wel aan de orde is, ondanks de inzet van de andere, lichtere, maatregelen. Daarom wordt nu gekozen voor de bodycam: een ‘zwaar’ middel in vergelijking met andere instrumenten, maar de ernst van de problemen rechtvaardigt de inzet. Overigens is het – nogmaals – de bedoeling de bodycam vooral preventief in te zetten en dus zo min mogelijk opnames te maken. De andere middelen werken vooral beschermend of achteraf, maar de bodycam wordt ook echt preventief ingezet. Ook de mening van de boa’s zelf speelt een rol. Het draagvlak onder de boa’s is er en ook dat onderbouwt de verwachting dat dit middel agressie beter zal kunnen voorkomen dan andere instrumenten: de bodycam is in die zin dus ook subsidiair. Andere middelen met een kleinere impact op de privacy van betrokkenen zijn uitgeprobeerd, maar bleken onvoldoende effect te hebben. De bodycams kunnen leiden tot meer veiligheid voor de boa’s op een manier die andere instrumenten niet kunnen bewerkstellingen.

3.4. Eindafweging De gemeente Zevenaar vindt het recht op bescherming van de persoonlijke levenssfeer van burgers zeer belangrijk: het is een grondrecht. Maar de plicht om als werkgever een veilige werkplek voor de boa’s te bieden, weegt ook zeer zwaar. In dit specifieke geval en voor dit specifieke doel weegt die plicht zwaarder. De bodycam is noodzakelijk, proportioneel en subsidiair. De afweging is gebaseerd op de beperkte inzet van bodycams die hier wordt voorgesteld: er wordt maximaal ingezet op preventie van agressie, waardoor het in het ideale geval niet eens nodig is een opname te maken. En als er wel een opname wordt gemaakt, worden de opnames heel goed beveiligd en niet voor andere doelen gebruikt dan het veiliger maken van het werk van de boa’s. In de rest van dit document wordt uitgewerkt hoe de gemeente ervoor gaat zorgen dat aan de voorwaarden wordt voldaan en dat de gekozen uitgangspunten centraal blijven staan. Eerst beschrijven we de mogelijke privacyrisico’s van de bodycams en daarna volgt een hoofdstuk met beschermingsmaatregelen die de geïnventariseerde risico’s wegnemen of zo klein mogelijk maken. Evaluatie De pilot zal na zes maanden geëvalueerd worden. Daaruit zal blijken of de verwachting dat de bodycam tot een afname van agressie en geweld en verbetering van het veiligheidsgevoel leidt

17 DPIA bodycams voor handhavers Zevenaar

is uitgekomen. Na de pilot worden er gesprekken gevoerd met de handhavers over veiligheidsgevoel, slachtofferschap en opinies over de bodycam. Daarnaast wordt informatie verzameld uit interne registraties en logboeken van de bodycams. In de evaluatie gaat het dus niet alleen maar over cijfers: ook praktijkverhalen en -ervaringen worden meegenomen. Er wordt een notitie geschreven en daarin worden conclusies opgenomen over de ervaringen met de bodycams. Met de resultaten uit de evaluatie bepaalt de gemeente of de bodycams permanent worden ingevoerd of niet.

18 DPIA bodycams voor handhavers Zevenaar

4. Risicobeoordeling In dit hoofdstuk worden de privacyrisico’s beschreven die zich kunnen voordoen bij inzet van bodycams door boa’s. Het gaat hier om een combinatie van de waarschijnlijkheid dat een scenario zich voor zal doen en de schade voor de betrokkene die daaruit kan voortvloeien. In dit hoofdstuk staan de ‘bruto’ risico’s, dus nog zonder beschermingsmaatregelen.

4.1. Methodiek Het risico hangt af van de schade die een betrokkene ondervindt: dat is ieder lichamelijk, materieel of immaterieel nadeel dat iemand persoonlijk kan ondervinden. Die schade kan variëren van een ongemakkelijk gevoel en irritaties (nauwelijks schade) tot aanzienlijke of ernstige schade. Daarnaast hangt het risico af van de waarschijnlijkheid op die schade: is er een gerede kans dat de schade zich voordoet of is het onwaarschijnlijk (gezocht)? Samen leidt dat tot deze risicomatrix: Schade Waarschijnlijkheid

Geen

Nauwelijks

Aanzienlijk

Ernstig

Zeker of waarschijnlijk

Geen risico

Laag risico

Gemiddeld risico

Hoog risico

Onwaarschijnlijk

Geen risico

Geen risico

Laag risico

Laag risico

Van brutorisico naar nettorisico Hoe groter het risico, hoe robuuster de beschermingsmaatregelen moeten zijn om problemen te voorkomen en te kunnen spreken van passende maatregelen in de zin van de AVG. Welke praktijksituaties zijn redelijkerwijs voorzienbaar waarin schade kan ontstaan? En welke organisatorische en technische maatregelen moet de organisatie hier tegenoverstellen om die problemen te voorkomen? Bij AVG-risicodenken gaat het steeds om realistische praktijkscenario’s en werkelijke oplossingsgerichtheid: echte oplossingen voor echte problemen. Om de risico’s goed te kunnen inschatten, is het belangrijk om eerst goed zicht te krijgen op het ‘blote risico’ (brutorisico): welke schade is voorzienbaar wanneer de organisatie niet beschikt over passende maatregelen? Het brutorisico van boa’s met bodycams doet zich voor als er geen maatregelen worden getroffen om de risico’s te verkleinen. Na het treffen van maatregelen blijft het nettorisico over – ook wel het restrisico genoemd.

19 DPIA bodycams voor handhavers Zevenaar

4.2. Bruto risico’s van de verwerking Er zijn door verschillende stakeholders diverse brutorisico’s geïnventariseerd. Die worden hieronder beschreven: ze zijn samengevat in de tabel voor snel overzicht. Schade WaarschijnlijkGeen heid

Nauwelijks

Aanzienlijk

Ernstig

Zeker of Geen risico waarschijnlijk -

Laag risico -

Gemiddeld risico 3. Hackers 4. Function creep 5. Chilling effect

Hoog risico 1. Heimelijk filmen 2. Onbevoegde gebruikers

Onwaarschijnlijk

Geen risico -

Geen risico -

Laag risico Laag risico 7. Opslag data 6. Gezichtsherkenbuiten EER ning

1. Heimelijk filmen Het is verboden heimelijk filmopnames te maken – dat staat in het Wetboek van Strafrecht (art. 441b en 139f). In de AVG staat daarnaast dat transparantie over de verwerking door actief informeren van betrokkenen over de gegevensverwerking belangrijk is. De persoonlijke schade kan ernstig zijn als mensen niet weten dat ze worden gefilmd of als ze niet weten wat het doel van de bodycam is, wat er met de opnames mag worden gedaan en wie toegang heeft. Ze kunnen zijn gefilmd op een plek of in een situatie waar ze liever niet gezien willen worden en zich grote zorgen maken dat de opnames terechtkomen bij mensen die misbruik van die informatie gaan maken. Het zou zelfs kunnen leiden tot agressie tegen de boa’s als mensen niet weten dat er zorgvuldig met de opnames wordt omgegaan voor een beperkt aantal doelen en alleen door geautoriseerde personen. De schade kan ernstig zijn en de kans dat dit scenario zich voordoet is niet te verwaarlozen: dus is het risico ‘hoog’. 2. Onbevoegde gebruikers verwerken opnames Er is een kans dat onbevoegde medewerkers de opnames zien, bewerken, verstrekken, kopieren, langer bewaren dan afgesproken of vernietigen. Zonder beschermingsmaatregelen is het ook niet denkbeeldig dat dit een keer zal gebeuren.

Het is bijvoorbeeld waarschijnlijk dat er anderen ‘over de schouder’ meekijken of zelfs een filmpje maken met hun smartphone, als een boa een opname terug mag kijken in het kader van zelfevaluatie na een incident. Het is ook voorstelbaar dat de betreffende boa zelf een kopie van het videofragment op een gegevensdrager opslaat of een filmpje maakt met bijvoorbeeld een smartphone. Ook bij overdracht van opnames aan de politie bestaat het risico dat een onbevoegde toegang krijgt tot de beelden. Tevens kan een bodycam worden gestolen of kwijtraken. Het kan voor de betrokken personen die in beeld zijn ernstige schade opleveren als (een kopie van) een opname terechtkomt bij onbevoegde gebruikers en mogelijk gepubliceerd wordt op 20 DPIA bodycams voor handhavers Zevenaar

social media. De opname kan zijn gemaakt op een plek of in een situatie waarin mensen liever niet gezien willen worden door anderen. Misbruik van die informatie kan (im)materiële nadelen opleveren, door afpersing of aantasting van de goede naam. Ook het vernietigen van opnames door onbevoegden kan schade opleveren. Een opname kan dan bijvoorbeeld niet meer worden gebruikt voor aangifte van geweld tegen een boa. Dat kan schade opleveren voor de burger die in beeld was, maar ook voor de boa’s. De opname kan het sluitende bewijs leveren dat er wel of geen sprake was van bedreiging of mishandeling. Zonder de opname kan een onjuiste beslissing worden genomen. De schade voor de betrokkenen is in deze scenario’s ernstig en – zonder maatregelen – is het waarschijnlijk dat dit scenario zich zal voordoen: dit levert dus een risico in de categorie ‘hoog’ op. 3. Hackers Er is een kans dat hackers toegang krijgen tot de opnames. Op zich levert het ‘inbreken’ in de database nauwelijks schade op voor de betrokkenen. Maar de opnames kunnen in bepaalde gevallen worden gebruikt om mensen af te persen of hun goede naam te bezoedelen. In dat geval kan de schade voor betrokken burgers of boa’s ernstig zijn. De kans dat dit zich voordoet is dus klein, maar niet denkbeeldig. Het risico valt daarmee in de categorie ‘gemiddeld’. 4.

Doelverschuiving ‘hellend vlak’ Er is een risico dat de bodycams worden gebruikt voor andere doelen dan het vergroten van de veiligheid van de boa’s. Dat verschijnsel wordt ook wel aangeduid met de term function creep: in de loop der tijd wordt beschikbare technologie verbreed naar andere terreinen. Dat zou bijvoorbeeld het geval zijn als boa’s overtredingen van de APV gaan filmen met de bodycam omdat ze de opnames als bewijsmateriaal willen gebruiken. Het risico valt in de categorie ‘gemiddeld’, want de schade voor betrokkenen kan aanzienlijk zijn als dit gebeurt en het is niet denkbeeldig dat dit zich zal voordoen. 5. Chilling effect Handhavers hebben verschillende rollen: ze moeten soms corrigerend of handhavend optreden, maar ze zijn ook het visitekaartje van de gemeentelijke organisatie. Ze zijn dus ook een soort gastheer of gastvrouw op straat. Dat vereist dat de handhavers benaderbaar zijn voor iedereen die ze op straat tegenkomen. Als de bodycam ervoor zou zorgen dat mensen de handhaver niet meer willen of durven te benaderen, is dat zeer onwenselijk. De bodycam levert dan een zogenaamd chilling effect op: mensen passen hun gedrag aan in reactie op surveillance. Het risico hierop is ‘gemiddeld’ omdat de schade aanzienlijk kan zijn en het waarschijnlijk is dat dit fenomeen zich zal voordoen als er geen beschermingsmaatregelen worden getroffen. 6.

Gezichtsherkenning De bodycams verwerken geen bijzondere persoonsgegevens: dat is de afspraak. Maar de technologie om gezichten automatisch te kunnen herkennen in video is sterk in ontwikkeling. Leveranciers van bodycams zullen dergelijke software ongetwijfeld ook beschikbaar gaan stellen aan hun klanten, waaronder de gemeenten die bodycams gebruiken. De AVG stelt strikte eisen aan de verwerking van biometrische gegevens: dat zijn bijvoorbeeld vingerafdrukken en iris-

21 DPIA bodycams voor handhavers Zevenaar

scans, maar ook gezichtsherkenning. Biometrische gegevens zijn bijzondere persoonsgegevens als ze worden gebruikt om iemand te identificeren. Het is in beginsel verboden om bijzondere persoonsgegevens te verwerken. De Autoriteit Persoonsgegevens heeft in oktober 2020 aandacht besteed aan automatische gezichtsherkenning en heeft herhaald dat de toepassing van dat soort technologie in beginsel verboden is. Omdat deze gegevens uniek zijn, leveren ze een extra hoog privacyrisico op. Het is niet mogelijk je gezicht of vingerafdruk te veranderen als deze is ontvreemd, zoals dat wel makkelijk kan met een pincode of een wachtwoord. Als biometrische gegevens in verkeerde handen terechtkomen, door diefstal of door een fout bij de verwerking, kunnen betrokkenen daar ernstige schade van ondervinden. De kans dat dit gebeurt is onwaarschijnlijk, maar de mogelijke schade is ernstig. Daarom levert dit een ‘laag’ risico op. 7. Opslag data buiten EER Als de data worden opgeslagen op servers buiten de Europese Economische Ruimte kunnen andere overheden toegang krijgen tot de opnames. In die andere landen kan de bescherming van grondrechten op een lager niveau zijn dan in de Europese Economische Ruimte. Dat kan aanzienlijke schade opleveren voor het imago van de gemeenten als verwerkingsverantwoordelijke.

Voor de boa’s en burgers die in de opnames te zien zijn is de schade in theorie aanzienlijk als de opnames worden misbruikt door een vreemde mogendheid. Maar de waarschijnlijkheid van dit scenario is klein: het is vergezocht dat een vreemde mogendheid opnames van bodycams zou willen gebruiken om een boa of burger in Nederland schade te berokkenen. De mogelijke schade is dus aanzienlijk, maar de kans dat die schade zich voordoet is klein. Daarom levert dit dus een ‘laag’ risico op.

22 DPIA bodycams voor handhavers Zevenaar

5. Beschermingsmaatregelen In dit hoofdstuk worden de beschermingsmaatregelen besproken om de risico’s uit het vorige hoofdstuk te verkleinen tot acceptabele restrisico’s. Deze laatste stap in de DPIA laat zien dat er goed over oplossingen is nagedacht en welke oplossingen concreet zijn gekozen. Het betreft technische en organisatorische maatregelen die samen een optimale mix vormen.

5.1. Technische maatregelen Beveiliging bodycam Toegang tot de opnames is uitsluitend mogelijk door in te loggen met een account met de juiste autorisaties. Door de bodycam in het dockingstation te plaatsen, worden de opnames geüpload naar het systeem. Bij verlies of diefstal van de bodycam kunnen de opnames niet door onbevoegden worden bekeken, dankzij de encryptie van de opnames. De opslag van de D3 Bodycam van Reveal vindt plaats op een niet verwijderbare hardwarecomponent. Ongeautoriseerde toegang via USB is niet mogelijk, elk apparaat is vergrendeld met een unieke encryption key. Opnamen die zijn opgeslagen op de D3 bodycam kunnen niet worden afgespeeld met reguliere software aangezien de opnamen AES 256 bit versleuteld zijn. Hiermee verkleinen we risico 2 (onbevoegde gebruikers) en risico 3 (hackers). Beveiliging opslag De opnames worden goed beveiligd opgeslagen op een standalone computer zonder internetverbinding in een veilig afgesloten ruimte. De opnames kunnen worden bekeken in een veilig afgesloten kamer. De ramen zijn beplakt met folie om ongewenst meekijken en/of heimelijk filmen te voorkomen. De toegang tot de kamer is beperkt tot een kleine groep medewerkers: alleen getrainde medewerkers met opsporingsbevoegdheid (boa's) en het afdelingshoofd. Hiermee verkleinen we risico 2 (onbevoegde gebruikers) en risico 3 (hackers).

Autorisaties en toegang tot opnames Toegang tot de applicatie waarmee de bodycamopnames worden beheerd wordt beperkt tot geautoriseerde gebruikers. Autorisaties worden verleend en beheerd door de beheerder van de applicatie. De beheerder en de gebruikers loggen in met 2-factor authenticatie. De inlogprocedure voldoet aan dezelfde eisen die door de gemeente aan vergelijkbare systemen worden gesteld conform de inlogprocedure. Hiermee verkleinen we risico 2 (onbevoegde gebruikers), risico 3 (hackers) en risico 4 (hellend vlak). Logbestanden Alle handelingen met opnames worden automatisch gelogd door het systeem dat de opnames beheert: door welke persoon (inlogaccount) en op welk moment is een opname bekeken, bewerkt, verstrekt of verwijderd? Het feit dat alle handelingen met de opnames op deze manier wordt gelogd zal ook duidelijk gecommuniceerd worden richting boa’s en burgers. Gekoppeld aan deze technische maatregelen komt er een mechanisme van controles, toezicht en audits. 23 DPIA bodycams voor handhavers Zevenaar

Dat geeft alle betrokkenen het vertrouwen dat de vooraf gemaakte afspraken zullen worden nagekomen. Door hier actief over te communiceren zorgen we er tegelijkertijd voor dat mensen zich realiseren dat ze opnames niet zomaar even kunnen bekijken: ze zullen altijd moeten kunnen onderbouwen voor welk doel (binnen de vooraf vastgestelde doelen) ze de opname hebben bekeken. Hiermee verkleinen we risico 2 (onbevoegde gebruikers), risico 3 (hackers) en risico 5 (chilling effect).

5.2. Organisatorische maatregelen Informatievoorziening richting burgers Burgers zijn niet rechtstreeks bevraagd over de invoering van de bodycam. Wel kunnen burgers de bodycam altijd duidelijk zien omdat deze zichtbaar wordt gedragen. Handhavers geven een mondelinge waarschuwing als een opname wordt gestart. Verder worden burgers actief geïnformeerd over de bodycams op een pagina met veelgestelde vragen via de website van de gemeenten Zevenaar en door een persbericht. Hiermee verkleinen we risico 1 (heimelijk filmen) en risico 5 op (chilling effect). Rechten uitoefenen door betrokkenen Op de website van de gemeente staat hoe betrokkenen hun rechten kunnen uitoefenen, zoals het recht op inzage. Hiermee verkleinen we risico 1 (heimelijk filmen, niet transparant) en risico 5 (chilling effect). Training boa’s Elke boa die met een bodycam gaat werken, krijgt eerst een training: een ‘knoppencursus’ plus een uitleg van de werkafspraken en de juridische regels. Tijdens de training wordt uitgelegd wat de doelstelling van de bodycams is. Dit zorgt ervoor dat de oorspronkelijke doelstellingen bekend zijn bij alle gebruikers. Dit verkleint het risico op oneigenlijk gebruik, dat wil zeggen dat de inzet van de bodycams wordt verbreed naar andere toepassingen en andere doelen dan de veiligheid van de boa’s.

Ook worden de rechten van betrokkenen besproken, de bewaartermijn en de interne spelregels over de toegankelijkheid van de opnames. In de training wordt ook benadrukt dat het niet is toegestaan zelf, bijvoorbeeld met een smartphone, een opname te maken van het beeldscherm waarop een opname wordt getoond. Hiermee verkleinen we risico 1 (heimelijk filmen), risico 2 (onbevoegde gebruikers) en risico 4 (hellend vlak) en risico 5 (chilling effect). Vier ogen principe Het terugkijken van de opgenomen beelden in lijn met de doelen daarvan, gebeurt altijd door minimaal 2 bevoegde personen. Hiermee verkleinen we risico 2 (onbevoegde gebruikers). Veilige verstrekking opnames aan de politie Handhaving verstrekt alleen goed beveiligde bodycamopnames, dus met wachtwoord beveiligd, aan de politie. Daarnaast wordt ook altijd een schriftelijke verklaring aan de politie meegegeven waarin onder andere staat dat zij nu de dataverantwoordelijkheid overnemen en dat dus niet de AVG, maar de Wpg van toepassing is. Hiermee verkleinen we risico 2 24 DPIA bodycams voor handhavers Zevenaar

(onbevoegde gebruikers). Technisch beheer De beheerder van de software en hardware krijgt een aantal taken. De autorisatiematrix met gebruikers moet up-to-date worden gehouden om te voorkomen dat onbevoegde gebruikers toegang kunnen krijgen tot de opnames. Ook moet de technisch beheerder ervoor zorgen dat bij updates van de software geen algoritmes worden toegevoegd die automatische gezichtsherkenning mogelijk maken. Daarmee verkleinen we risico 2 (onbevoegde gebruikers) en risico 6 (gezichtsherkenning). Controles Het teamhoofd krijgt een aantal controlerende taken. Ten eerste maakt hij/zij per kwartaal een overzicht van het gebruik van de bodycams en het aantal gemaakte, bekeken, verstrekte en vernietigde opnames. Dat rapport wordt besproken met de privacy officer. Ten tweede is het teamhoofd ervoor verantwoordelijk dat elke boa die met een bodycam de straat op gaat de training heeft gevolgd. Ten derde vernietigt de beheerder elk kwartaal alle opnames die niet meer nodig zijn voor afhandeling van incidenten. Hiermee verkleinen we risico 2 (onbevoegde gebruikers) en risico 4 (hellend vlak). Toezicht en audits De CISO en de FG hebben het recht toezicht te houden en audits uit te voeren. Zij doen dit op het moment dat ze het zelf nodig vinden. Het verslag van de audit wordt in elk geval gedeeld met het verantwoordelijke teamhoofd.

Een korte versie wordt gedeeld met de boa’s zelf. Daarnaast gaat het verslag naar de functionarissen waar alle privacy-audits mee worden gedeeld. Hiermee verkleinen we alle gesignaleerde risico’s.

25 DPIA bodycams voor handhavers Zevenaar

6. Eindoordeel over restrisico Het bruto risico van bodycams is hoog, maar door de voorgestelde beschermingsmaatregelen is het nettorisico dat overblijft – het restrisico – laag. De waarschijnlijkheid dat de beschreven scenario’s zich voor zullen doen is door de maatregelen aanzienlijk verminderd en er worden beschermingsmaatregelen getroffen die de mogelijke schade voor betrokkenen wegnemen, danwel flink beperken. De verwerkingsverantwoordelijke hecht er waarde aan hier nogmaals te wijzen op de belangrijkste en meest effectieve beschermingsmaatregelen: i) het minimaliseren van het aantal opnames en ii) het goed beveiligen van de toegang tot de opnames door technische en organisatorische maatregelen. Het primaire doel van de bodycams is een preventief effect: in dat geval hoeven er überhaupt geen opnames te worden gemaakt en zijn er dus ook geen privacyrisico’s qua gegevensverwerking. Het secundaire doel is het gebruiken van opnames. Ook in die fase worden de risico’s zo klein mogelijk gemaakt, bijvoorbeeld door alle opnames goed beveiligd op te slaan en automatisch te verwijderen als de bewaartermijn is verstreken. De opnames worden alleen geraadpleegd en bewaard als dat noodzakelijk is voor afhandeling van een incident.

De toegang tot die opnames is beperkt tot een klein aantal geautoriseerde gebruikers voor een klein aantal vooraf geformuleerde doelen – uitsluitend in lijn met het doel vergroten van de veiligheid van de boa’s. Tevens worden technische en organisatorische maatregelen getroffen om de opnames zo goed mogelijk te beveiligen. Door deze maatregelen te treffen nemen de bruto risico’s af tot lage restrisico’s. Dit restrisico is afgewogen tegenover de verwachte baten van de bodycams: meer veiligheid voor de boa’s. Het college van burgemeester en wethouders komt als verwerkingsverantwoordelijke tot de conclusie dat het restrisico acceptabel is gezien de verwachte verbetering van de veiligheid van de boa’s dankzij de bodycams.

26 DPIA bodycams voor handhavers Zevenaar

7. Advies Functionaris Gegevensbescherming Ik heb na een inleidend gesprek met Lesley Brons kennis genomen van de opgestelde DPIA, het protocol en de werkinstructie. Het primaire doel van deze pilot is om te bepalen of de veiligheid van de BOA substantieel is toegenomen door de inzet van Bodycams. De uitkomsten van deze pilot zal moeten bijdragen aan het besluit of dit middel permanente inzet kan worden binnen de gemeente Zevenaar. Het Secundair doel is dat Boa’s Opgenomen situaties kunnen beoordelen en gebruiken als trainingsdoeleinden en als eventueel bewijslast bij aangifte. Ook dit moet uiteindelijk bijdragen aan het verhogen van de veiligheid van de BOA’s. Bij de beoordeling van de DPIA is gekeken naar onderbouwing op de volgende onderdelen: • wat is het doel van de verwerking en op basis van welke wettelijke grondslag gaat de verwerking van persoonsgegevens plaatsvinden; • welke partijen zijn betrokken bij de verwerking • wat is het belang van de verwerking; • welke gegevens worden er verwerkt; • wat is de bewaartermijn; • wat zijn de risico’s voor betrokkene en organisatie t.a.v.

de verwerking; • welke rechten hebben de betrokkenen (burgers); • welke maatregelen zijn er genomen om de impact van de verwerking te verkleinen Bij mijn advies en oordeel is gebruik gemaakt van: • Ervaringen en adviezen andere gemeenten • Informatiesessie Cameratoezicht van de IBD/VNG • Beleidsregels rond Cameratoezicht van de Autoriteit Persoonsgegevens ( AP ) oa: o Ook filmen zonder opnemen is een verwerking volgens de AP o Opnemen in deze casus naar oordeel van de AP niet hoeft te worden beschouwd als bijzonder persoonsgegeven en daarmee er kan worden voldaan aan 1 wettelijke grondslag gelet op het feit dat” ▪ Het doeleinde van de verwerking niet primair gericht is op het verwerken, dan wel onderscheid maken op grond van een bijzonder persoonsgegeven ▪ Het redelijkerwijs niet voorzien is dat het verwerken zal leiden tot het maken van onderscheid op grond van bijzonder persoonsgegevens ▪ De verwerking van die (mogelijke) bijzondere persoonsgegevens onvermijdelijk is bij de verwerking