Staatssecretaris Van Huffelen (Koninkrijksrelaties en Digitalisering) stuurt de Tweede Kamer een Data Protection Impact Assessment (DPIA) op het gebruik van Facebookpagina’s door de overheid, alsmede een Human Rights Impact Assessment (HRIA), gebaseerd op de Impact Assessment voor Mensenrechten bij de inzet van Algoritmen.
In de brief van 26 april jl. (Kamerstukken II 2021/22 32 761, nr. 221) is in reactie op het NRC-artikel ‘Duitse privacy-waakhond: regering moet Facebookpagina’s sluiten’ aan uw Kamer toegezegd om een onafhankelijk partij een DPIA te laten uitvoeren op het gebruik van Facebookpagina’s door de overheid. Ook is daarbij toegezegd uw Kamer over de verdere voortgang in de loop van dit jaar te informeren. In de debatten ‘bescherming persoonsgegevens en digitale grondrechten’ van 2 november jl. en ‘begrotingsonderdelen van BiZa, EZK en J&V die zien op digitalisering’ van 14 november jl. bent u geïnformeerd over de termijnen van hoor-en wederhoor en over de voortgang.
In de “Richtlijnen voor privacyproof en effectief campagne voeren” (1) uit 2018 is de richtlijn opgenomen dat “Campagnes van de Rijksoverheid adverteren (…) alleen op basis van context, onderwerp en niet-persoonsgegevens”. Deze richtlijnen vormen de basis voor adviezen over de inzet van Facebook bij campagnes en voor webpagina’s. De Duitse regering en andere overheidsinstellingen zijn dit jaar opnieuw door de Federale commissaris voor Gegevensbescherming en Vrijheid van informatie (BfDI) aangeschreven (2) om hun Facebookpagina’s te sluiten vanwege de hoge risico’s voor gegevensbescherming. Een overheidsinstelling kan volgens de Duitse toezichthouder als beheerder van een Facebookpagina in sommige gevallen worden aangemerkt als gezamenlijk verwerkingsverantwoordelijke, in dit geval samen met Facebook, in de zin van artikel 26 van de AVG. Als gezamenlijk verwerkingsverantwoordelijken moeten Facebook en de overheid beide voldoen aan de regels van de AVG en dit ook kunnen aantonen.
Ook ik heb, mede naar aanleiding van vragen van uw Kamer, een Data Protection Impact Assessment (DPIA) laten uitvoeren op het gebruik van Facebookpagina’s door de overheid, en toegezegd deze aan uw Kamer toe te sturen. In augustus 2022 is het beschrijvende deel A afgerond en in oktober 2022 is het evaluerende deel afgerond. In het kader van het actief openbaar maken van de DPIA is aan Meta zowel ten aanzien van onderdeel A als B de gelegenheid geboden om zienswijze in te dienen. Hiervan heeft Meta gebruik gemaakt. Deze zienswijzen zijn meegewogen bij de beslissing om de DPIA openbaar te maken. Ook de inhoudelijke reflecties van Meta op de DPIA zijn meegenomen in de DPIA. De DPIA is als bijlage bij deze brief gevoegd. De DPIA is in het Engels opgesteld, zodat ik deze direct met mijn Europese collega’s kan delen. Een Nederlandse vertaling zal ik uw Kamer binnenkort doen toekomen. In de DPIA is beoordeeld of er privacyrisico’s zijn voor burgers bij de gegevensverwerking op overheidspagina’s op Facebook. Bijvoorbeeld gaat het om risico’s bij het gebruik van cookies en het vragen van toestemming.
Ook is bekeken hoe de aanbevelingen van Facebook aan burgers door een algoritme worden gedaan en of burgers goed kunnen begrijpen hoe hun gegevens worden verwerkt. In de DPIA worden 7 hoge risico’s en 1 laag risico gevonden voor de gegevensverwerking. Volgens het onderzoek informeert Facebook niet duidelijk wat ze met de gegevens van burgers op overheidspagina’s doet, en hoe ze bepaalt welke berichten bezoekers in hun nieuwsoverzicht zien. Het onderzoek concludeert ook dat Facebook volgcookies op een misleidende (“Facebook makes deceptive use of tracking cookies”) manier gebruikt. Gegevens over het gedrag van de paginabezoekers worden verzameld, zonder dat voldoende inzage wordt gegeven in de logica van het gebruik van die gegevens om gepersonaliseerde berichten, aanbevolen andere content en advertenties te tonen. Ook zijn er zorgen over de doorgifte van persoonsgegevens aan derde landen en derde partijen. In aanvulling op de DPIA heb ik uw Kamer ook toegezegd om te kijken naar de ethische aspecten van het gebruik van Facebookpagina’s door de rijksoverheid. Digitalisering moet immers waardengedreven zijn. Daarom is ook een Human Rights Impact Assesment (HRIA) uitgevoerd, gebaseerd op de Impact Assesment voor Mensenrechten bij de inzet van Algoritmen (IAMA) (3).
Ook deze treft u als bijlage aan. Hierin wordt gekeken naar de impact van het Facebookalgoritme op de mensenrechten. Vanwege het gebrek aan inzicht in de algoritmes en de data die daarbij wordt gebruikt was het bij veel mensenrechten onmogelijk om een harde uitspraak doen over de impact. De onderzoekers konden wel aantonen dat er mogelijk een impact is en beschrijven manieren om die impact in samenwerking met Facebook te meten. Ik ga in gesprek met Facebook om dit mogelijk te maken.
Ik vind het belangrijk dat de Nederlandse overheid op rechtmatige en zorgvuldige wijze omgaat met de bescherming van persoonsgegevens en rechten van burgers. De DPIA beschrijft maatregelen die kunnen worden getroffen door Facebook of door de Rijksoverheid om de aangetroffen risico’s te mitigeren. We zijn met Meta in gesprek over het nemen van maatregelen naar aanleiding van de DPIA. In dat gesprek benadrukken we het belang van het zo spoedig mogelijk wegnemen van alle gesignaleerde risico’s uit de DPIA voor het gebruik van Facebookpagina's door de Nederlandse overheid. Indien de risico’s onvoldoende worden weggenomen, is er geen andere mogelijkheid dan te stoppen met het gebruik van Facebookpagina’s door de overheid.
De gevolgen van het stoppen met Facebook Pages worden op dit moment beoordeeld in een inventarisatie van de communicatie via Facebook Pages door de Rijksoverheid, die in het voorjaar van 2023 gereed zal zijn. Daarbij zal ook worden gekeken naar alternatieven om een inclusief bereik van communicatie, één van de uitgangspunten van overheidscommunicatie, te borgen (4). Het belang van de Nederlandse burger en het borgen van de rechten bij gegevensverwerking staan voor mij voorop. Zodra er in het voorjaar van 2023 duidelijkheid is over het wel of niet het wegnemen van de beschreven risico’s door Facebook en over de mogelijke alternatieven voor overheidscommunicatie zal ik uw Kamer weer informeren.
https://www.communicatierijk.nl/documenten/rapporten/2018/05/25/richtlijnen-voorprivacyproof-en-effectief-campagne-voeren
https://www.bfdi.bund.de/DE/Fachthemen/Inhalte/Telemedien/FacebookFanpages.html , https://www.datenschutzkonferenz-online.de/media/weitere_dokumente/Kurzgutachten_FacebookFanpages_V1_1_clean.pdf
https://www.rijksoverheid.nl/documenten/rapporten/2021/02/25/impactassessment-mensenrechten-en-algoritmes
https://www.rijksoverheid.nl/documenten/richtlijnen/2010/12/09/uitgangspunte n-overheidscommunicatie
Beslisnota bij Kamerbrief over onafhankelijk onderzoek naar Facebookpagina's overheid
