vrijdag 20 maart 2020

Het verkennend onderzoek van de Autoriteit Persoonsgegevens (AP) naar de ontwikkeling van Smart Cities heeft een volgende fase bereikt: een tweede groep gemeenten is gevraagd om informatie aan te leveren over Smart-City-projecten. Het onderzoek startte in het najaar van 2019 en ziet toe op de manier waarop gemeenten in de ontwikkelingsfase van Smart Cities omgaan met de privacy van bewoners en bezoekers.

De AP vraagt de gemeenten onder meer om de DPIA’s van deze Smart City-projecten over te dragen. In een later stadium doet de AP op basis van de aangeleverde informatie verdiepend onderzoek op specifieke thema’s of specifieke voorbeelden. Naar verwachting rondt de AP in de zomer van 2020 het onderzoek af.

DPIA

Bij de ontwikkeling van Smart City-toepassingen speelt het Privacy by Design-principe een belangrijke rol. Kort gezegd betekent dat dat vanaf het begin rekening wordt gehouden met privacy. Er kunnen hierbij hoge privacyrisico’s optreden die gemeenten beheersbaar moeten maken vóór de start van de verwerking van persoonsgegevens. Dit kan inzichtelijk worden gemaakt met een ‘Data Protection Impact Assessment’ (DPIA). In de DPIA’s die door de AP worden opgevraagd wordt gekeken naar de kwaliteit van de daarin gemaakte afwegingen door de gemeente. Worden de risico’s van burgers bijvoorbeeld op een juiste manier meegenomen door de gemeente?

Als uit de DPIA blijkt dat een gemeente geen passende maatregelen kan treffen om privacyrisico’s af te dekken en er hoge restrisico’s blijven bestaan, moet zij de verwerking in een voorafgaande raadpleging aan de AP voorleggen. Uit een voorafgaande raadpleging kan volgen dat de AP de gemeente adviseert om bepaalde mitigerende maatregelen te nemen of om af te zien van de verwerking. De verwerking mag niet starten voordat de AP deze beoordeling heeft afgerond. De AP benadrukt deze verplichtingen bij Smart City-toepassingen.

Privacy centraal

Aleid Wolfsen, voorzitter van de AP: 'Het is een groot goed om je in het openbaar vrij te kunnen bewegen en je onbespied te wanen. Het digitaal volgen van mensen op (semi-) openbare plekken is een inbreuk op de privacy die slechts bij uitzondering is toegestaan. Het moet steeds zijn gebaseerd op wetgeving die voldoende duidelijk en nauwkeurig is en waarvan de toepassing steeds voldoende voorspelbaar is. De AP juicht innovatief gebruik van data voor meerwaarde in de openbare ruimte toe, mits de privacy van burgers voldoende is gewaarborgd. De Smart City-toepassingen moeten namelijk voldoen aan de eisen van de AVG. Het waarborgen van privacy in de ontwikkeling van Smart City-toepassingen zorgt voor duurzame oplossingen met maatschappelijke meerwaarde die binnen de grenzen van de privacywet vallen.'

Het gebruik van data in de openbare ruimte raakt nagenoeg iedereen. Als bijvoorbeeld sprake is van een datalek gaat het om potentieel veel persoonsgegevens van veel burgers. Dit maakt een zorgvuldige afweging over het verzamelen en gebruiken van persoonsgegevens van groot belang. Des te meer als sensoren worden ingezet op plaatsen waar mensen samenkomen met bijvoorbeeld een bepaalde levensovertuiging, ziektebeeld of politieke voorkeur en deze sensoren de personen blijven volgen.

Verplicht

De AP buigt zich als privacytoezichthouder niet alleen over specifieke zaken, maar ook over thema’s of branches, zoals Smart City-toepassingen bij gemeenten. De AP kan in een verkennend onderzoek (‘speldenprikacties’) naar dit thema beoordelen of gemeenten de AVG normen naleven. De AP kan op allerlei wijzen informatie opvragen bij gemeenten, zoals per e-mail, telefonisch of een gesprek in persoon. Een onderzoek van de AP kan zien op handhaving, maar kan ook worden gestart als de AP aanbevelingen over een thema wilt verstrekken als voorlichting.

Het is verplicht om mee te werken aan een verkennend onderzoek van de AP. Wanneer de AP niet de gevraagde informatie heeft ontvangen, kan zij opdragen de verzochte informatie alsnog te leveren door een last onder dwangsom op te leggen. Voor het overtreden van de verplichting tot medewerking met de toezichthoudende autoriteit is de AP bevoegd om een boete op te leggen. Bij de uitoefening van haar onderzoeksbevoegdheden is de AP wel gebonden aan bepaalde eisen. Zo moet een informatieverzoek proportioneel zijn: er mag niet om meer persoonsgegevens worden gevraagd dan noodzakelijk voor het doel van het onderzoek.

Smart Cities

Smart Cities zijn stedelijke gebieden die met technologie oplossingen vinden voor bijvoorbeeld mobiliteit, energie, veiligheid of huisvesting. Gemeenten zoeken in toenemende mate naar datagedreven oplossingen. Zij verzamelen data of combineren data op nieuwe manieren en daarbij gaat het vaak om verwerkingen van persoonsgegevens. Gemeenten laten zich ondersteunen door technologieën zoals machine learning. Zij willen onder meer:

  • bewoners bewegen tot betere keuzes,
  • de openbare ruimte optimaliseren en
  • de openbare ruimte inrichten volgens inzichten uit de verzamelde data.

Meer informatie