De smart city is een brede term. Van de sensor in de vuilcontainer tot crowd-control via beveiligingscamera’s; technologie biedt gemeenten tegenwoordig veel mogelijkheden om de openbare ruimte optimaal te benutten. Bij veel van dit soort ‘smart city’ oplossingen worden persoonsgegevens verwerkt en is er dus een effect op de privacy van de 'gebruiker'. In de praktijk blijkt dat gemeenten niet altijd over de benodigde kennis en kunde beschikken om nieuwe technologieën op een juiste manier en privacy-vriendelijk in te zetten. Een recent voorbeeld is de gemeente Enschede. Deze gemeente werd in april van dit jaar door de Autoriteit Persoonsgegevens (AP) beboet vanwege een verkeerd gebruik van wifitracking.
Om gemeenten te ondersteunen, heeft de AP deze zomer aanbevelingen gepubliceerd voor smart city-toepassingen. In dit artikel gaan wij in op de belangrijkste aanbevelingen.
De AP ziet het bij veel gemeenten al mis gaan bij het bepalen van de wettelijke grondslag. Bijvoorbeeld bij het gebruik van persoonsgegevens in de openbare ruimte. Gemeenten gebruiken vaak de grondslag “vervulling van een taak van algemeen belang of uitoefening openbaar gezag” (art. 6 lid 1 sub e AVG). In veel gevallen is de wettelijke taak die een gemeente heeft, niet voldoende specifiek om op basis daarvan persoonsgegevens te gebruiken. De algemene wettelijke taak ‘beheer van de openbare ruimte’ geeft een gemeente geen carte blanche om een uitgebreide set aan persoonsgegevens te verwerken.
Gemeenten zullen altijd moeten meewegen welke verwerking van persoonsgegevens burgers kunnen verwachten (voorzienbaarheid) en of dit ook daadwerkelijk noodzakelijke gegevens zijn. Daarnaast wordt van gemeenten verwacht meer transparant te zijn in de ontwikkeling en toepassing van smart city oplossingen. Concreet betekent dit dat gemeenten inwoners beter over de verwerking moeten informeren.
Een tweede probleem dat de AP constateert is het ‘hergebruik’ van persoonsgegevens voor nieuwe of andere doeleinden. Voorbeeld: Camera’s die gebruikt worden voor handhavingsdoeleinden worden ook gebruikt voor druktemetingen. Er is dan sprake van ‘voortgezette verwerking’.
Op basis van privacy-wetgeving is voortgezette verwerking onder voorwaarden toegestaan. De ‘nieuwe’ verwerking moet dan passen binnen het oorspronkelijke doel waarvoor de persoonsgegevens in eerste instantie worden verwerkt. Gemeenten moeten een nieuwe verwerking van al aanwezige persoonsgegevens daarom altijd toetsen. De AP geeft aan dat ook hier de ‘voorzienbaarheid’ een rol speelt. In hoeverre kunnen burgers bijvoorbeeld verwachten dat hun persoonsgegevens voor het nieuwe doel verwerkt worden?
Ook de (niet-)uitvoering van Data Protection Impact Assessments (DPIA’s) zijn voor gemeenten een punt van aandacht. Door gemeenten wordt een DPIA veelal nog als een ‘papieren tijger’ gezien. Indien goed ingezet, kan een DPIA juist bijdragen aan snel en efficiënt inzicht krijgen in (i) wat de concrete verwerking precies inhoudt, (ii) de belangen die afgewogen moeten worden en (iii) de risico’s. Daarnaast is het van belang om een DPIA periodiek te herzien als de verwerking of de technologie bij een verwerking verandert.
Een ander belangrijk punt dat in het rapport van de AP wordt beschreven, is het tijdstip waarop een DPIA wordt uitgevoerd. Vaak wordt gestart met een pilot. Vervolgens wordt bekeken wat eventuele privacy-risico’s zijn. Dit is een onjuiste volgorde, tenzij in de pilotfase enkel met fictieve gegevens gewerkt wordt.
Gemeenten zijn vaak actief in samenwerkingsverbanden. Denk bijvoorbeeld aan samenwerkingen met jeugdzorgorganisaties, woningcorporaties of politie. De partijen die samenwerken, vallen vaak onder verschillende wettelijke kaders op basis waarvan zij verschillende soorten persoonsgegevens mogen verwerken.
Deze verzamelde persoonsgegevens kunnen organisaties echter niet zomaar uitwisselen, maar dit gebeurt in sommige gevallen wel. Het ontbreekt vaak aan kennis of uitwisseling van gegevens rechtmatig is en welke partijen verwerker/verantwoordelijke zijn. In dit soort projecten is het van belang dat vooraf voor alle partijen duidelijk is welke persoonsgegevens wel en niet gedeeld mogen worden. Dit kan ook verschillen per partij in het samenwerkingsverband.
In de AVG zijn veel bepalingen opgenomen die als doel hebben om de transparantie te verhogen. Dit geldt ook voor persoonsgegevens die in de openbare ruimte verwerkt worden. Gemeenten zullen echter niet altijd de verwerkingsverantwoordelijke partij zijn voor deze gegevens (denk bijvoorbeeld aan camerabewaking op een bedrijventerrein, dat een gedeelte van de openbare weg filmt). Voor inwoners is de gemeente wel het logische eerste aanspreekpunt. De AP merkt daarover op dat gemeenten op dit moment niet goed in kaart hebben waar persoonsgegevens in de openbare ruimte door private partijen wordt verwerkt.
Sensorregister
Een initiatief dat door een aantal gemeentes wordt ingezet zijn zogenaamde ‘sensorregisters’. Dit zijn openbare registers die inwoners kunnen raadplegen om te kijken wat voor sensoren en toepassingen (zoals camera’s) in de openbare ruimte aanwezig zijn. Het gaat dan om sensoren van zowel private als publieke partijen. Het register wordt bijgehouden door de gemeente. Door het bijhouden van zo’n register is het voor inwoners helder op welke plekken persoonsgegevens verwerkt worden. Verschillende gemeenten onderzoeken de mogelijkheid om een sensorregister wettelijk vast te leggen. In het onderzoek van de AP is te lezen dat bijvoorbeeld de gemeente Amsterdam het voornemen heeft om een meldingsplicht voor sensoren in te voeren in de apv en de gemeente Utrecht heeft een meldplicht om camera’s in de openbare ruimte aan te melden. De landelijke politie biedt ook (op vrijwillige basis) een landelijk cameraregister aan.
De hierboven aangehaalde aandachtspunten komen in het kort neer op twee onderwerpen:
In een samenleving die steeds verder digitaliseert, zijn dit kernvragen waar gemeenten mee aan de slag moeten blijven. Een (zeer terechte) laatste aanbeveling van de AP die hierbij aansluit, is dat inwoners meer betrokken moeten worden bij besluitvorming over smart city toepassingen. Uiteindelijk moet de smart city niet alleen voor de gemeente werken, maar óók voor de inwoner.
Wilt u weten waar uw organisatie staat en of uw huidige privacybeleid (nog) op alle punten voldoet, neem dan contact met ons op voor advies.
