De Commissie Persoonsgegevens Amsterdam: adviesmodel voor complexe gegevensverwerkingen door overheden?

Deling en verwerking van (persoons)gegevens binnen en tussen overheidsorganisaties is al jaren een juridisch weerbarstig dossier. Vaak werkt de AVG als een ‘hitteschild’ dat overheden ervan weerhoudt (persoons)gegevens te delen.

Interbestuurlijke Datastrategie, ‘Centrale Commissie Gegevensgebruik’ 20 november 2024, realisatieibds.nl/wiki/view/bb6e32da-760a-4684-a4e3-afb8f65f11b2/centrale-commissie-gegevensgebruik-ccg; P. van den Brand & H. Hupkens, ‘Centrale Commissie Gegevensgebruik van start gegaan’, IBestuur 29 november 2024, ibestuur.nl/artikel/centrale-commissie-gegevensgebruik-van-start-gegaan/. Zie ook Staat van de Uitvoering, Standen van de Uitvoering over gegevensuitwisseling (1 november 2023), staatvandeuitvoering.nl/nieuwsbericht/standen-van-de-uitvoering-over-gegevensuitwisseling/.

De Functionaris gegevensbescherming helpt, maar kijkt vooral door de AVG-bril naar problemen met gegevensverwerking en -deling.

Intussen experimenteren diverse gemeenten met AI

Advies Amsterdamse visie op AI, november 2024, amsterdam.nl/bestuur-organisatie/organisatie/overige/adviesraden/commissie-persoonsgegevens-amsterdam/adviezen-cpa-2024/advies-amsterdamse-visie-ai-november/.

en met GenAI-toepassingen.

Bijvoorbeeld de Gemeente Groningen, zie P. Van den Brand, Gemeenten worstelen met ethische risico’s AI – deel 1 en deel 2, gemeente.nu (respectievelijk 7 oktober (deel 1) en 9 oktober 2024 (deel 2)).

De complexe vragen en problemen die dergelijke voortschrijdende technologische toepassingen (denk ook aan profilering of geautomatiseerde besluitvorming) met zich kunnen meebrengen, hebben de behoefte aan het type advisering veranderd: bij de inzet van digitale technologieën waarmee (persoons)gegevens worden verwerkt is bredere advisering vereist omdat naast juridische ook technische en ethische dilemma’s kunnen spelen. Daarbij past een meer interdisciplinaire, vakoverstijgende advisering.

De AVG maakt deel uit van zo’n advisering, maar biedt geen volledig beoordelingskader. Zeker in de context van de publieke sector is ook expertise vereist op het gebied van bestuursrecht, data-ethiek en techniek. Pogingen die in één persoon te vinden, is zoeken naar een schaap met meer dan 5 poten. Precies daar zit de toegevoegde waarde van interdisciplinaire adviescommissies: zij kunnen middels integrale advisering over verschillende expertises heen, nadenken over de vormgeving en implementatie van nieuwe technologieën door overheidsinstanties en daarover voor specifieke gevallen passende adviezen aanreiken.

Niet alleen bij gemeenten, maar ook op rijksniveau spelen problemen rondom gegevensdeling en -verwerking. Het Netwerk Publieke Dienstverleners riep de politiek op om met wetgeving tot oplossingen te komen voor complexe gevallen van deling en verwerking van (persoons)gegevens.

Staat van de Uitvoering, Standen van de Uitvoering over gegevensuitwisseling (1 november 2023), staatvandeuitvoering.nl/nieuwsbericht/standen-van-de-uitvoering-over-gegevensuitwisseling/.

Het Ministerie van BZK richtte hiertoe in 2024 onder meer de Centrale Commissie Gegevensgebruik (CCG) op. Doel van deze commissie is om met ‘gezag […] oplossingsrichtingen aan te reiken en knelpunten politiek te agenderen, vooral bij complexe gevallen waar meerdere organisaties bij betrokken zijn en aanpassing van wet- en regelgeving nodig is.’

Van den Brand en Hupkens 2024.

De Commissie Persoonsgegevens Amsterdam (CPA) hanteert deze aanpak al sinds 2021.

Commissie Persoonsgegevens Amsterdam, amsterdam.nl/bestuur-organisatie/organisatie/overige/adviesraden/commissie-persoonsgegevens-amsterdam/. Er zijn meer commissies tot ontwikkeling gekomen; dit redactioneel commentaar benadrukt dat voor een breder beeld ook moet worden gekeken naar andere commissies met verglijkbare rollen en verantwoordelijkheden. Zie voor een overzicht van adviezen van 2020 – 2024 en het meest recente jaarverslag 2023 van de CPA amsterdam.nl/bestuur-organisatie/organisatie/overige/adviesraden/commissie-persoonsgegevens-amsterdam/.

De CPA en het gemeentebestuur van Amsterdam ervaren een meerwaarde met het werken vanuit context-specifieke oplossingen die binnen de CPA in multidisciplinair verband worden ontwikkeld. Adviescommissies zoals de CPA zijn, met andere woorden, een geschikt vehikel om de broodnodige samenwerking tussen mensen uit verschillende vakgebieden te realiseren. De CPA is een externe, onafhankelijke adviescommissie die het Amsterdamse gemeentebestuur en het ambtelijk apparaat gevraagd en ongevraagd adviseert over complexe en/of gevoelige persoonsgegevensverwerkingen. Zij betrekt de AVG in haar advisering, maar kijkt daarnaast uitdrukkelijk naar de bredere juridische, technische en ethische gevolgen van bestuurlijke gegevensverwerking.

In de praktijk adviseert de CPA over beleid dat raakt aan de bescherming van persoonsgegevens, maar ook over mogelijke inbreuken op grondrechten (het discriminatieverbod, mogelijke chilling effects op bijvoorbeeld de uitingsvrijheid of verplaatsing in de openbare ruimte), beleid waarin algoritmen (profilering, AI, GenAI) worden gebruikt, of over data governance-vraagstukken, alsook data-ethische vraagstukken, of openbaarmaking van persoonsgegevens. Zie bijvoorbeeld Advies aan Directie Werk, participatie en inkomen om aanvragen voor levensonderhoud te beoordelen, mei 2023, amsterdam.nl/bestuur-organisatie/organisatie/overige/adviesraden/commissie-persoonsgegevens-amsterdam/adviezen-cpa-2023/advies-wpi-risicomodel-mei-2023/#hc2a6e01e-f73f-4457-ab73-9e39c76132f5, of Advies Vervanging Socrates – Armoedeframework Amsterdam dat tot doel had ‘het creëren van een voor de afdeling Armoedebestrijding integraal klantbeeld van alle Amsterdamse minima’, november 2023, amsterdam.nl/bestuur-organisatie/organisatie/overige/adviesraden/commissie-persoonsgegevens-amsterdam/adviezen-cpa-2023/advies-vervanging-socrates/.

Gelet op haar ambitie hoogwaardige en praktisch bruikbare advisering te bieden is de CPA samengesteld uit leden met interdisciplinaire kennisachtergronden (recht, ethiek en techniek) en ervaringen (onder meer rijksoverheid, gezondheidszorg, toezichthouders, bedrijven, wetenschap en (eigen) adviespraktijken).

Een permanente adviescommissie zoals de CPA – deze bestaat al 44 jaar – die ontwikkelingen continue en actief volgt, heeft via een ‘eigen’ secretaris in dienst bij de gemeente toegang tot wat binnen de organisatie speelt. Het permanente karakter is nog urgenter geworden vanwege het hoge aantal wisselingen in het gemeentelijke ambtenarenbestand. De CPA als vast ankerpunt voor advisering over complexe (persoons)gegevensverwerkingen biedt een belangrijk institutioneel geheugen van de gemeente en de (lokale) samenleving. Adviezen en de notulen van de overleggen zijn openbaar, hetgeen verantwoording over gemeentelijke beleidskeuzes helpt te verstevigen. Hierdoor wordt de CPA als serieuze gesprekspartner gezien.

Een permanente commissie is om meer redenen te verkiezen boven advisering op ad hoc-basis waarbij tijdelijk personen met kennis worden ingevlogen die na het geven van een advies weer vertrekken. Zulke complexe kennis lijkt nauwelijks te beklijven binnen organisaties, terwijl elke context weer vraagt om een eigenstandige beoordeling. Daarvoor ontbreekt veelal de vereiste interne expertise. Met een permanente commissie op niet te grote afstand, wordt kennis binnen de organisatie zelf opgebouwd.

Een adviesproces speelt zich idealiter dicht op de uitvoeringspraktijk af, of dit nu de gemeente betreft of het Rijk (of een andere overheid). Tussen de beleidspraktijken van gemeenten en het Rijk bestaan verschillen, maar de urgentie om deling en verwerking van (persoons)gegevens niet alleen te beoordelen op AVG-naleving, maar op bredere juridische, technologische en ethische houdbaarheid is vrijwel hetzelfde. Te bezien valt of de CCG komt met de gesuggereerde wettelijke oplossingen voor beleidspraktijken. Overheden zijn vanwege de interdisciplinariteit en contextspecificiteit van voorkomende problemen vaak minder geholpen met monodisciplinaire adviezen, of met adviezen op afstand van de praktijk. Zij zijn eerder gebaat bij adviezen die helpen algemene uitgangspunten te vertalen naar de specifieke praktijk. In dit tijdsgewricht met snel convergerende technologische toepassingen zou voor passende advisering gekeken kunnen worden naar commissies die al stappen hebben gezet naar een discipline-overstijgende adviespraktijk. De CCG en ook andere overheden kunnen zich laten inspireren door adviescommissies (zoals de CPA) die interdisciplinaire advisering al in praktijk brengen.