In het najaar van 2019 startte de Autoriteit Persoonsgegevens (AP) een onderzoek in naar smart cities. Nu er steeds meer slimme toepassingen binnen een stad geïmplementeerd worden, zo redeneerde de instantie, is het immers wel van belang dat er gekeken wordt naar de verwerking van persoonsgegevens. Oftewel de Smart City privacy. In de openbare ruimte kan er met sensoren en andere technologie veel bijgehouden worden – waarbij inmenging met persoonlijke privacy soms onvermijdelijk lijkt.
Alhoewel het onderzoek nog niet afgerond is en het definitieve rapport na de zomer verwacht wordt, zijn er onlangs al wel wat eerste bevindingen gepubliceerd. Deze focussen op de huidige aanpak van omgaan met persoonsgegevens, oftewel de DPIA’s (Data Protection Impact Assessments, oftewel inschattingen van de impact op iemands privacy). Hieruit kwam een onverwachte nevenbevinding naar voren: dat er nog maar weinig slimme toepassingen toegepast worden binnen kleinere gemeentes.
‘Wat opvalt is dat er een groot verschil is tussen grote en kleinere gemeenten: grote gemeenten zijn duidelijk al een stap verder met smart city-toepassingen en hebben vaak specifiek beleid of kaders opgesteld over waar deze toepassingen aan moeten voldoen. Kleinere gemeenten lijken nog maar weinig ‘slimme’ toepassingen in te zetten,’’ aldus Anna Maj Drenth, hoofdonderzoeker bij de AP.
De reden dat de Autoriteit Persoonsgegevens zo druk doende is met het ‘reguleren’ van slimme steden ligt voor de hand. Zeker in deze onzekere tijden van Corona lijkt het soms iets té makkelijk om over te gaan op geautomatiseerde, intelligente oplossingen om de stad in kaart te brengen en te houden. Hierbij worden continu (persoons)gegevens verzameld en geanalyseerd, iets waar tijdig bij stilgestaan moet worden als dit nog ingedamd moet worden.
De gevolgen zullen behoorlijk zijn als we het ons maar ‘laten overkomen’. Drenth zegt hierover: ‘‘Je verwacht een zekere mate van anonimiteit als je op straat loopt, maar in werkelijkheid hangen er steeds meer camera’s en sensoren van gemeenten en bedrijven die je registreren of volgen, soms zonder dat je het meteen door hebt.”
Om dit proces maar integer te houden, dienen de risico’s hiervoor al bij het ontwikkelen van een smart city toepassing erkend en geanalyseerd te worden. “Bij hoge restrisico’s mag de gemeente niet starten met de gegevensverwerking totdat de AP hierover een advies heeft gegeven,” vertelt een inspecteur van de AP. Dit proces is precies wat ook de nu zo befaamde Corona-tracking app ophield: men wilde niet dat de bewegingen van individuen zomaar in kaart gebracht konden worden. Privacy bleek in dit geval nog steeds voor veiligheid te gaan.
Terug naar de slimme steden. De AP raadt iedere gemeente die van plan is een slimme toepassing te implementeren aan om in ieder geval de volgende tips in acht te nemen:
- Let op de kwaliteit van de DPIA, oftewel de inschatting van de impact op privacy. Om de kwaliteit hier zo hoog mogelijk van te maken, dient altijd duidelijk te zijn welke gegevens verwerkt worden, met bijvoorbeeld sensoren en camera’s.
- Houd de DPIA actueel. Niets zo veranderlijk als de mens, met name als het gaat om het gebruik van technologie. Houd dus regelmatig een vinger aan de pols om erachter te komen of de verwerkingen van de verzamelde data niet veranderd zijn.
- Bij een plan waarvoor het advies van de AP nodig is, dient altijd minstens 14 weken doorlooptijd aangehouden te worden. Dit is een behoorlijk lange tijd, dus vooruit plannen is bij smart city implementaties een must.
- Betrek burgers bij de implementatie en ontwikkeling van smart city toepassingen; vraag al vooraf om hun input en houd hen ook gedurende het proces regelmatig op de hoogte.
- Maak verantwoordelijkheden inzichtelijk. Smart city toepassingen worden vaak niet alleen vanuit de gemeente ontwikkeld; vaker zijn hier andere partijen bij betrokken. Bij zo’n samenwerkingsverband moet vooraf altijd duidelijk zijn wie nu waarvoor verantwoordelijk is. Wie meldt eventuele datalekken? En wie handelt verzoeken van burgers af?
Een smart city is meer dan sensoren alleen, kopt een paragraaf in het tussenrapport. Waar veel mensen nog enkel denken aan de technologie, zoals de slimme camera’s, parkeersensoren en sensoren om drukte en luchtkwaliteit te meten, is dit niet alles wat een slimme stad te bieden heeft.
Zo wordt er in een ware smart city ook veel gebruik gemaakt van digitale platformen waarmee burgers betrokken worden in alles wat er gaande is. Soms is dit puur informerend, al kan het ook een activerende werking hebben – denk hierbij aan digitale referenda, verkiezingen, of andere vormen waarbij burgerlijke inspraak gewenst is.
Juist bij deze digitale platformen worden er soms nog wel eens wat shortcuts genomen om tot de beste oplossing te komen – of de beste oplossing vanuit het technologische perspectief, in ieder geval. De rechten van de gebruiker – en de bescherming van diens privacy – willen er nog wel eens bij inschieten. Dit is exact waar de AP op gericht is, wat extra duidelijk wordt vanuit dit rapport. Het gevaar van digitale platformen wordt nog eens benadrukt, naast de stichtelijke boodschap: “Juist overheidsinstanties dienen de rechten en vrijheden van burgers hoog in het vaandel te hebben staan.”
Mooier kan ik het zelf niet zeggen. In deze tijden waar er al veel debat gaande is over privacy vs. veiligheid – in dit geval COVID-19 – is het geruststellend te weten dat er in alle huidige en toekomstige initiatieven binnen steden een waakhond is die meekijkt over de smart city privacy. De afweging die volgt is immers te belangrijk om te negeren.
