Gemeentelijke grip op private sensorgegevens: Onderzoek voor de gemeente Amsterdam

Het Amsterdamse college van burgemeester en wethouders heeft daarom in zijn stedelijke beleidskader aangegeven vast te willen houden aan het uitgangspunt dat iedereen in Amsterdam het recht heeft op respect voor zijn of haar privéleven en dat iedereen zich onbespied in de openbare ruimte moet kunnen bewegen. Private sensorgegevens kunnen tegelijkertijd echter ook informatief zijn voor de gemeente en dienstbaar bij de uitvoering van publieke taken, zoals bij de bevordering van de bereikbaarheid, fysieke veiligheid en leefbaarheid in de stad.

De gemeente vroeg de Universiteit van Amsterdam om een inventariserend advies over hoe zij bestaande juridische instrumenten zou kunnen inzetten om de fundamentele rechten van burgers in de openbare ruimte beter te kunnen beschermen. Daarnaast verzocht de gemeente de Universiteit van Amsterdam om een inventariserend advies over de vraag of en hoe de gemeente de eerdergenoemde juridische instrumenten kan inzetten om, indien en voor zover dat nodig is, business-to-government gegevensdeling (B2G) te kunnen laten plaatsvinden ten behoeve van een betere vervulling van de gemeentelijke publieke taak en voor verdere deling ten behoeve van innovatiedoeleinden van andere professionele partijen die actief zijn binnen de gemeente.

In dit onderzoeksrapport analyseren we het toepasselijke juridisch kader bij verwerkingen van sensorgegevens door private partijen over het gedrag van mensen in de openbare ruimte en adviseren we de gemeente over de wijze waarop zij de gemeentelijke juridische instrumenten zou kunnen inzetten om de naleving van de fundamentele rechten te verbeteren. Daarnaast analyseren we het juridisch kader rondom B2G en adviseren we hoe de gemeente de eerdergenoemde juridische instrumenten zou kunnen toepassen om, waar dat nodig is, vaker B2G te kunnen laten plaatsvinden ten behoeve van een betere vervulling van de gemeentelijke publieke taak en ten behoeve van innovatiedoeleinden van andere professionele partijen die actief zijn binnen de gemeente.

---

---

Interview met Heleen Janssen en Louise Verboeket

Waarvoor heeft de gemeente de data van bedrijven nodig?
‘Bedrijven hebben, net als de gemeente, ook ogen en oren in de gemeentelijke openbare ruimte. Met hun sensoren halen bedrijven informatie op over wat er in die ruimte gebeurt om bijvoorbeeld meer specifieke advertenties te kunnen sturen. Sommige bedrijven bezitten veel gegevens. Met dergelijke gegevens kan de gemeente nuttige dingen doen. Denk bijvoorbeeld aan het verbeteren van de mobiliteit: hoe reguleer je de drukte tijdens Koningsdag? Als de gemeente real-time informatie van bedrijven over mobiliteit in beeld krijgt, kan zij ook snel inschatten hoeveel en waar crowd managers nodig zijn om stromen bezoekers op te vangen. Op dit moment kan de gemeente niet altijd bij de meest accurate informatie. De gemeente vroeg of wij het huidige wettelijk kader rondom zogenoemde business-to-government-gegevensdeling (B2G) konden uitzoeken, en of B2G in de toekomst makkelijker zou kunnen worden.’

Wat kan de gemeente nu al doen om sensorgegevens van bedrijven te verkrijgen?
‘De gemeente heeft allerlei instrumenten tot haar beschikking. Zo zou de gemeente B2G als voorwaarde kunnen opnemen om een vergunning, subsidie of opdracht te kunnen krijgen. Zo’n voorwaarde moet dan wel proportioneel zijn en verband houden met het achterliggende doel van de vergunning, subsidie of opdracht. Ook zou de gemeente een overeenkomst of een intentieverklaring kunnen sluiten met een bedrijf dat sensorgegevens verzamelt. De gemeente is daarbij wel afhankelijk van de medewerking van bedrijven. Het is onder het huidige wettelijk kader lastig voor de gemeente om B2G eenzijdig af te dwingen. Het wettelijk kader is bovendien niet coherent: soms is gemeentelijke toegang tot bedrijfsgegevens wettelijk geregeld, maar vaak is dat niet zo. Dat creëert veel onzekerheid en weinig slagkracht voor de gemeente.’

Waarom zijn bedrijven terughoudend met het delen van hun sensorgegevens met de gemeente?
‘Het punt is dat de gemeente gefundeerd beleid wil maken op basis van onder meer informatie die bedrijven hebben, maar dat bedrijven die informatie vaak niet willen delen. Ze vrezen bijvoorbeeld dat ze met het delen van data een inbreuk maken op de bescherming van persoonsgegevens of dat hun bedrijfsgeheimen openbaar worden. Daarnaast spelen economische redenen een rol, want gegevensbestanden kunnen erg kostbaar zijn. Bovendien zijn bedrijven in principe niet verplicht om hun gegevens met de gemeente te delen.’

Hoe zit het eigenlijk met de privacy van de gemiddelde winkelende persoon? Komt die niet in het gedrang met al die sensoren, en mag de gemeente die data zomaar gebruiken?
‘Als de gemeente persoonsgegevens (dit zijn tot personen herleidbare gegevens) of andere gevoelige gegevens van bedrijven wil hebben, moet zij verantwoorden waarom ze die informatie nodig heeft. De Algemene verordening gegevensbescherming (AVG) legt voor zowel bedrijven als voor gemeenten vast hoe zij met persoonsgegevens om moeten gaan. Wanneer informatie tot personen herleidbaar is, moeten bedrijven de betrokken personen om toestemming vragen, of kunnen aan hen kunnen uitleggen waarom de bedrijfsbelangen zwaarder wegen dan de grondrechten en de vrijheden van degene wiens persoonsgegevens worden verwerkt. Of bedrijven die met sensoren persoonsgegevens in de openbare ruimte verzamelen zich allemaal aan de AVG houden, hebben we niet onderzocht.’

‘Wanneer gemeenten persoonsgegevens van een bedrijf willen ontvangen, moet hiervoor een wettelijke basis bestaan. In de praktijk blijkt dat het delen van persoonsgegevens voor B2G lang niet altijd nodig is. In zulke gevallen komt het er bijvoorbeeld op neer dat de gemeente informatie ontvangt over hoeveel mensen er op een bepaalde plek zijn, maar dat niet duidelijk mag worden wíe dat zijn, want dan is de AVG van toepassing.’

Hoe kan de gemeente er dan zeker van zijn dat bedrijfsgegevens rechtmatig verkregen zijn?
‘De gemeente wil meer grip krijgen op private sensoren in de openbare ruimte, want het is niet altijd duidelijk of bedrijven die rechtmatig inzetten. Om in beeld te brengen welke sensorgegevens bedrijven verzamelen, heeft de gemeente een openbaar sensorenregister ingesteld. Dit register verplicht bedrijven hun sensoren te registreren die gegevens verzamelen in de openbare ruimte. De gemeente wil die aanmeldplicht op enig moment gaan handhaven. Wij vinden dat een positieve ontwikkeling, omdat het sensorenregister voor de gemeente een belangrijk instrument kan zijn om te controleren of die sensorgegevens op een juridisch correcte manier worden verzameld en gebruikt. Als je niet weet wie waar welke sensorgegevens verzamelt, dan kun je er ook niet goed op toezien dat dat rechtmatig gebeurt. Daarnaast kunnen burgers in het openbare register nagaan welke sensoren aanwezig zijn en op basis van hun betrokkenenrechten bij bedrijven navragen welke persoonsgegevens over hen worden verwerkt. Indien nodig kunnen zij over die verzameling een klacht indienen bij de AP.’

‘Recent onderzoek toont aan dat een collectieve uitoefening van dit soort betrokkenenverzoeken doorgaans effectiever is. Zo kan bijvoorbeeld een gespecialiseerde NGO de antwoorden van een bedrijf dat sensorgegevens verzamelt analyseren en de omgang van het bedrijf met persoonsgegevens blootleggen. De gemeente zou organisaties die zich hiervoor inzetten kunnen subsidiëren. De effectiviteit van het sensorenregister hangt daarnaast af van de naleving en handhaving ervan. Mogelijk zet nationale regulering van de handhaving van gemeentelijke sensorenregisters meer zoden aan de dijk. De gemeente kan – eventueel samen met gelijkgestemde gemeenten en belangenorganisaties – de regering en haar adviesorganen ertoe oproepen onderzoek te doen naar de mogelijkheid van landelijke maatregelen over de verzameling van sensorgegevens.’

Met welk advies laten jullie de gemeente achter na het onderzoek?
‘De sleutel voor een breder, coherent wettelijk kader voor de bescherming van privacy en voor B2G ligt niet bij de gemeenteraad in Amsterdam, maar eerder bij de wetgevers in Den Haag en Brussel. Ons advies is: breng je wensen bij het betreffende ministerie en de wetgevers onder de aandacht. Het is waarschijnlijk niet nodig om een nieuw instrument te bedenken. We kunnen de bestaande rechtsregels bij elkaar leggen en waar nodig aanpassen om een wettelijk kader te creëren dat B2G mogelijk maakt. De AVG is er al en we weten dat de gemeente democratisch, in overeenstemming met de Grondwet en transparant moet handelen. Dat zijn goede stokken achter de deur.

Sluit het onderzoek aan bij het Sectorplan Rechtsgeleerdheid?
Het Sectorplan van de Faculteit der Rechtsgeleerdheid focust op twee inhoudelijke thema’s, waaronder het inrichten van een Digital Legal Lab dat interuniversitaire samenwerking op het snijvlak van recht, technologie en samenleving wil verkennen en versterken. Een verkennende, bredere onderzoeksvraag die in deze samenwerking centraal staat is of en hoe het recht in staat is om digitalisering te faciliteren op een zodanige wijze dat de publieke en private belangen in de samenleving gewaarborgd blijven. De onderzoeksvragen die we in dit onderzoeksrapport hebben opgepakt – welke juridische mogelijkheden heeft de gemeente om de grondrechten in de openbare ruimte beter te borgen, en om middels B2G toegang te krijgen tot sensorgegevens van private partijen ten behoeve van de gemeentelijke publieke taken – sluiten direct aan bij deze onderzoeksvraag in het Sectorplan.