Wijzigingswet Tijdelijke Tolheffing. Privacy Impact Assessment

2 Colofon Bestuurskern Dir. Wegen en Verkeersveiligheid Den Haag PIA opgesteld aan de hand van “Wijzigingswet Wet Tijdelijke Tolheffing Blankenburgverbinding en ViA15 in verband met de nadere uitwerking van de EETS-implementatiewet” en het Voorlopig Ontwerp TTH v 1.2 14-07-2021 Versie: Opdrachtgever: Auteur: Kenmerk CM: 1, definitief Programmadirectie vrachtwagenheffing en tijdelijke tolheffing KASEA 1 , Senior Manager Cyber en Data Privacy Reviewers: Privacy Coördinator en adviseur Beleidsdirecties en Stafdiensten IenW, senior beleidsmedewerker Directie Bestuur en Bereikbaarheid, afdeling ABJZ, senior beleidsmedewerker Programmadirectie Vrachtwagenheffing en Tijdelijke Tolheffing, beleidsmedewerker Programmadirectie Vrachtwagenheffing en Tijdelijke Tolheffing Approver: Functionaris Gegevensbescherming (FG) IENW/BSK-2021/204158 1 “Uitsluitend voor gebruik in de communicatie tussen enerzijds het ministerie van I&W en anderzijds het consortium van KPMG, Stibbe, Eubelius en Arup maken wij gebruik van de afkorting “KASEA”.

Dit doet er niet aan af dat het ministerie ter zake van het project “Ondersteunen van Project Tijdelijke Tolheffing BBV en ViA15 in de Overbruggingsfase” uitsluitend een overeenkomst heeft met Antea en dat KPMG, Stibbe, Eubelius en Arup onderaannemers zijn van Antea. Gebruik van de afkorting impliceert op geen manier dat genoemde partijen een samenwerkingsverband, joint venture of vennootschap in het leven hebben geroepen en ter zake van partijen is geen hoofdelijkheid”. 3 Inhoud 1. Inleiding – 4 1.1 Introductie 1.2 Leeswijzer en opbouw 1.3 Begrippen en afkortingen 2. Beschrijving kenmerken gegevensverwerking – 5 2.1 Voorstel in hoofdlijnen 2.2 Gegevensverwerkingen en processen 2.3 Gegevensverzamelingen en persoonsgegevens 2.4 Verwerkingen en verwerkingsdoeleinden 2.5 Betrokken partijen 2.6 Belangen bij de gegevensverwerkingen 2.7 Verwerkingslocaties 2.8 Technieken en methoden van de gegevensverwerkingen 2.9 Juridisch en beleidsmatig kader 2.10 Bewaartermijnen 3.

Beoordeling rechtmatigheid gegevensverwerking – 26 3.1 Rechtsgrond 3.2 Bijzondere Persoonsgegevens 3.3 Doelbinding 3.4 Noodzakelijkheid en Evenredigheid 3.5 Recht van betrokkenen 4. Beschrijving en beoordeling risico’s voor de betrokkenen – 30 5. Beschrijving voorgenomen maatregelen – 33 Bijlage A – Begrippen en afkortingen - 36 4 1. Inleiding 1 .1 Introductie Om de bereikbaarheid van de regio’s rondom Rotterdam en Arnhem-Nijmegen te verbeteren worden de Blankenburgverbinding (BBV) en ViA15 gerealiseerd. Deze te realiseren trajecten zullen deels bekostigd worden door tijdelijke tolheffing. Om deze tijdelijke tolheffing juridisch mogelijk te maken, is in 2015 de Wet tijdelijke tolheffing Blankenburgverbinding en ViA15 (Wet TTH) bekendgemaakt in het Staatsblad. Op 15 maart 2016 is de wet in werking getreden. Naar aanleiding van de implementatie van de Europese EETS-richtlijn (EU 2019/520) wordt de Wet TTH gewijzigd.

Naast het toevoegen van wijzigingen inzake de EETS-richtlijn, wordt de wet tevens op andere onderdelen aangescherpt, waaronder nadere uitwerking inzake de verwerking van persoonsgegevens. Een dergelijke tolheffing brengt met zich mee dat er nieuwe gegevensverwerkingen ontstaan waarbij persoonsgegevens zullen worden verwerkt van burgers. De grondslag voor deze gegevensverwerking zal worden verankerd in de gewijzigde Wet TTH. Naast de juridische verankering van deze gegevensverwerking, is er ook een nieuw technisch ontwerp opgesteld om praktische invulling te gaan geven aan de tolheffing (Voorlopig Ontwerp Tijdelijke Tolheffing 1.2). Om de impact van deze wetswijziging en de technische implementatie van de tolheffing te kunnen analyseren is deze Privacy Impact Assessment opgesteld. Deze PIA zal kijken naar zowel de impact op de persoonlijke levenssfeer van individuele burgers van de juridische implicaties van de Wijzigingswet, alsmede de praktische invulling daarvan, zoals beschreven in het Voorlopig (technisch) Ontwerp. 1.2 Methode en leeswijzer De PIA is als volgt opgebouwd: - In hoofdstuk 2 zal het voorstel inzake TTH in detail worden toegelicht (het Voorlopig Ontwerp in hoofdlijnen en de Wijzigingswet).

Daarin zal een uitgebreide procesomschrijving volgen, inclusief een toelichten op de betrokken rollen en partijen bij dit initiatief. Vervolgens zullen de individuele gegevensverwerkingen en gegevensverzamelingen in detail worden toegelicht om zo de data-flows volgbaar te kunnen maken. - In hoofdstuk 3 zal de rechtmatigheid van de gegevensverwerking worden behandeld conform het Model Gegevensbeschermingeffectenbeoordeling Rijksdienst. - In hoofdstuk 4 worden vervolgens de geïdentificeerde risico’s uiteengezet. - In hoofdstuk 5 sluit de PIA af met voorgestelde maatregelen om de geïdentificeerde risico’s mee te mitigeren. 1.3 Afkortingen en begrippenlijst Zie bijlage A Voor een lijst van begrippen en afkortingen. 5 2. Beschrijving kenmerken gegevensverwerkingen Het doel van dit hoofdstuk is om de lezer inzicht te geven in de werking van het stelsel van tijdelijke tolheffing en de gegevensverwerkingen die daarbij komen kijken.

Het is de bedoeling dat dit stuk zelfstandig leesbaar is. Er is daarom gekozen om specifieke onderdelen integraal over te nemen van het Voorlopig Ontwerp (v. 1.2) De PIA zal duidelijk aangeven welke onderdelen dit betreft. 2.1 Voorstel Het voorstel in hoofdlijnen Het Voorlopig Ontwerp beschrijft op beknopte wijze hoe het proces van tijdelijke tolheffing er praktisch uit gaat zien: Op grond van de Wet TTH is Onze Minister tolheffer voor de BBV en ViA15. De heffing is van toepassing op alle Motorijtuigen, voor zover zulke Motorrijtuigen niet zijn vrijgesteld of ontheven op grond van artikel 6 Wet TTH. De hoogte van het Tarief voor het passeren van de BBV en ViA15 kan worden gedifferentieerd naar de toegestane maximum massa van het Motorrijtuig, zijn euro-emissieklasse en de wijze waarop de betaling van het Toltarief plaatsvindt. Bij aanvang van het systeem is vooralsnog enkel een differentiatie op basis van gewicht voorzien.

Indien de betaling niet tijdig plaatsvindt ontvangt de Kentekenhouder een Betaalherinnering van de Dienst Herinnering, die vervolgens de heffing int en afdraagt aan de Tolheffer. De tijdige en volledige betaling wordt getoetst door de Tolheffer, die een Bestuurlijke Boete oplegt aan de Kentekenhouder indien hier niet aan wordt voldaan. Tot slot draagt de Tolheffer de ontvangen het tolgelden af aan het Ministerie van Infrastructuur en Waterstaat ten goede aan het Mobiliteitsfonds. 2.2 Gegevensverwerkingen (en processen) Binnen het TTH-systeem worden verschillende processen en taken uitgevoerd door de Tolheffer en de Dienstaanbieders. In onderstaande paragraaf worden de voorlopige verdeling van taken gepresenteerd. Gegevensverwerkingen in detail: Het Voorlopig Ontwerp schetst in onderstaande paragrafen hoofdtaken en hoofdprocessen die binnen het stelsel van TTH plaatsvinden. In deze paragraaf worden per rol in het stelsel uitgelegd welke (verwerkings-) processen daaronder vallen en welke gegevens (in hoofdlijnen) daarbinnen worden verwerkt. 6 Tolheffer: De Tolheffer geeft invulling aan de volgende primaire taken: A. Publiekscommunicatie – Voorlichting & Informatiepunt B. Contract Management – Dienstaanbieders C. Registratie – Voertuig & Boordapparatuur D. Heffing – Ontvangst & Administratie E. Betaalherinnering & Inning - Heffing F. Toezicht & Controle – Weggebruiker G. Incidenteel Gebruik & Inning - Heffing H. Toezicht & Controle – Weggebruiker I. Handhaving – Weggebruiker De Tolheffer geeft invulling aan de volgende secundaire taken: K. Beleid Toldomein L. Sturing & Bedrijfsvoering Tolheffer A – Publiekscommunicatie – Voorlichting & Informatiepunt: TTH zal in de fase tot en met livegang onder de aandacht van Betalingsplichtigen worden gebracht via diverse kanalen.

Bij geconstateerde onregelmatigheden worden maatregelen genomen, bijvoorbeeld door toepassen van een malus conform de gebiedsverklaring. C. Registratie – Voertuig & Boordapparatuur Wanneer het Motorrijtuig de BBV of ViA15 passeert, wordt het Motorrijtuig gedetecteerd door de Wegkantapparatuur en wordt een statisch beeld van de kentekenplaat vastgelegd door de ANPR-camera's. Daarnaast worden met behulp van ANPR-technologie de voertuigkenmerken vastgelegd om de klasse van het Motorrijtuig te kunnen bepalen. De gedetailleerde kentekenplaatbeelden worden verwerkt via OCR-techniek ( Optical Character Recognition ) die het kenteken van het Motorrijtuig van de beelden leest. Dit proces wordt vaak ANPR genoemd. Deze gegevens worden – samen met gegevens over de locatie en het passage tijdstip – gecombineerd tot VPM. De VPM’s en de beelden worden ook opgeslagen in het systeem langs de weg tot de wettelijke bewaartermijn is verstreken (volgens de wijzigingswet is dat uiterlijk drie maanden na betaling van de tol met een geldende dienstverleningsovereenkomst; of – wanneer er geen sprake is van een geldende dienstverleningsovereenkomst uiterlijk zeven dagen na betaling van de tol; totdat de aanmaning is betaald; dat een onherroepelijke Bestuurlijke Boete is betaald; of gedurende de termijn dat een Bestuurlijke Boete kan worden opgelegd).

Deze uitwisseling vindt plaats volgens de ISO 15509:2014 standaard die het o.a. mogelijk maakt om Dienstaanbieder, Kentekennummer en voertuigklasse over te dragen aan de Wegkantapparatuur ter verificatie. Ook ontvangt de Boordapparatuur bevestiging via de Wegkantapparatuur of het Motorrijtuig op een Klantenlijst van een Dienstaanbieder staat. Deze bevestiging is niet essentieel voor de werking van het TTH-systeem, maar moet beschouwd worden als een service aan de Betalingsplichtigen, waarmee wordt bevestigd of ze wel/niet op een Klantenlijst van een Dienstaanbieder staan. De Wegkantapparatuur ontvangt de benodigde gegevens van de Tolheffer via de ROB. De bovenbeschreven opgeslagen VPM’s in de Wegkantapparatuur en ROB worden verwijderd voor de bewaartermijn verstrijkt. 8 D. Heffing – Ontvangst & Administratie Van de BBV en ViA15 maken vier typen weggebruikers gebruik: 1. Betalende Betalingsplichtigen die geen gebruik wensen te maken van een account bij een Dienstaanbieder.

Wanneer het betaalherinneringsbestand goed is ontvangen bevestigt de Dienst Herinnering dit aan de Tolheffer met een ontvangstbevestiging. Deze informatie over Betaalherinneringen wordt opgeslagen in de Master Case File van de Tolheffer. Per Niet Betalende Betalingsplichtige wordt een case file bijgehouden, waarin eventueel ook informatie over een mogelijke Bestuurlijke Boete wordt opgeslagen. Case files worden geactualiseerd door de Tolheffer op basis van te ontvangen informatie van de Dienst Herinnering, het Publiek Inning & Incasso Bureau en de Inspectie. Zodra een Betaalherinnering of opgelegde onherroepelijke Bestuurlijke Boete is betaald wordt de in de case file opgeslagen persoonlijke data verwijderd. Indien de Betaalherinnering is gegenereerd en verstuurd door de Dienst Herinnering is de Betalingsplichtige verplicht om het in de Betaalherinnering vermelde bedrag (inclusief het oorspronkelijke Tarief plus administratiekosten) aan de Dienst Herinnering te betalen.

Indien de Kentekenhouder en de juiste adresgegevens niet achterhaald kunnen worden door de Tolheffer, wordt onder de taak handhaving (I) beoordeeld of het kentekennummer op de TTH-signaleringslijst dient te worden geplaatst. Dit betreft een lijst met Motorrijtuigen waarvan staande houding gewenst is 3 . H – Toezicht & Controle – Weggebruiker (Vaststellen Beboetbaar Feit) De Tolheffer is ook verantwoordelijk voor het controleren en beoordelen van afwijkingen en het vaststellen van een beboetbaar feit. Dat doet de Tolheffer op basis van een bestand van de Dienst Herinnering waarin per zaak wordt bevestigd of wel/niet de volledige betaling is ontvangen voor elke Betaalherinnering binnen de vereiste termijn. De Tolheffer registreert vervolgens de betreffende transactie als zijnde betaald of legt een boete op wanneer de betaling niet volledig is ontvangen binnen de betaaltermijn. I – Handhaving – Weggebruiker Wanneer de juiste tol niet tijdig is betaald door de Betalingsplichtige na afloop van de betaaltermijn van de Betaalherinnering, dan kan de Tolheffer een Bestuurlijke Boete opleggen.

Hiervoor beoordeelt de Tolheffer of de Betalingsplichtige een gegronde reden heeft om de tol niet te betalen. De Tolheffer besluit op basis van deze beoordeling om het dossier te sluiten of om het Publiek Inning & Incasso Bureau te vragen om de Bestuurlijke Boete te versturen en te innen namens de Tolheffer. In dit boeteproces wordt gebruik gemaakt van de standaard berichtuitwisseling met het Publiek Inning & Incasso Bureau. De opdracht van de Tolheffer bevat alle gegevens uit de VPM en Betaalherinnering die nodig zijn voor het genereren van de beschikking. De Bestuurlijke Boete wordt verzonden naar de Kentekenhouder. Als de betaling binnen de vereiste termijn wordt ontvangen, meldt het Publiek Inning & Incasso Bureau dit aan de Tolheffer en registreert de Tolheffer de boete en de oorspronkelijke tol als betaald. Het Publiek Inning & Incasso Bureau maakt het ontvangen bedrag over aan de Tolheffer.

Indien de betaling van de Bestuurlijke Boete niet binnen de vereiste termijn wordt ontvangen, wordt een Aanmaning verstuurd met een verhoging van 50% van het oorspronkelijk opgelegde bedrag. Een Aanmaning bevat een verwijzing naar de gegevens bij de Tolheffer die de Bestuurlijke Boete ondersteunen. Als de betaling van deze Aanmaning niet binnen de vereiste termijn wordt ontvangen, wordt een tweede Aanmaning gestuurd. Wanneer de betaling van deze tweede Aanmaning niet binnen de vereiste termijn wordt ontvangen, wordt, onder voorbehoud en na een verdere beoordeling van de invorderbaarheid van de Bestuurlijke Boete, een bestand samengesteld met een verslag van de oorspronkelijke tol, de Betaalherinneringen, de Bestuurlijke Boete en de Aanmaningen. Indien dit bestand als potentieel invorderbaar wordt beoordeeld, wordt het aan de deurwaarder verstrekt om een dwangbevel ten uitvoer te leggen. Indien dit bestand niet als potentieel invorderbaar wordt beoordeeld, wordt de Tolheffer verzocht om de TTH- signaleringslijst te actualiseren. 3 Een dergelijke lijst dient niet te worden gekwalificeerd als een zgn. vergunningsplichtige zwarte lijst, aangezien het heffing van tol en het eventueel opleggen van een boete een bestuursrechtelijke aangelegenheid is.

Daarmee bevat de lijst geen strafrechtelijke gegevens of een door de rechter opgelegd verbod. 12 Wanneer betaling van de Aanmaning tijdig wordt ontvangen, wordt de Tolheffer op de hoogte gebracht en worden de bedragen toegevoegd aan het Mobiliteitsfonds zoals bedoeld in artikel 11, eerste lid, Wet TTH. Het is aan de Tolheffer om Bestuurlijke Boetes te registreren in de eerder beschreven Master Case File, waarin de gegevens van Niet Betalende Betalingsplichtigen die een Betaalherinnering hebben ontvangen en eventueel een boete opgelegd hebben gekregen zijn vastgelegd, inclusief informatie over het verloop van het inningsproces. Innen Boete (Fysiek) Naast het administratieve handhavingsproces is er ook het fysieke handhavingsproces, dat wordt ingevuld door het staandehouden van Motorrijtuigen op basis van de TTH-signaleringslijst. Dit proces wordt gestart, wanneer blijkt dat administratieve boete-inning niet mogelijk is of wanneer het Publiek Inning & Incassobureau aan de Tolheffer meldt dat de Bestuurlijke Boete en Aanmaningen niet zijn betaald.

Inspecteurs op de weg van de Inspectie 4 houden een Betalingsplichtige staande op basis van de TTH-signaleringslijst. De inspecteurs innen de boete ter plaatse of leggen een voorlopige maatregel op. De Tolheffer wordt hierover geïnformeerd. Tot slot worden de geïnde tolgelden door de Inspectie afgedragen aan de Tolheffer. Afhandelen bezwaar en beroep De Betalingsplichtige kan bezwaar maken tegen de Bestuurlijke Boete. De Betalingsplichtige moet daartoe een bezwaarschrift indienen bij de Tolheffer. De Tolheffer zal in het kader van de beoordeling in bezwaar een volledige heroverweging verrichten van het besluit waarbij de Bestuurlijke Boete is opgelegd. De "klok" wordt stilgezet met betrekking tot verdere maatregelen, terwijl het de beoordeling in bezwaar wordt verricht. Het aanwenden van rechtsmiddelen tegen de Bestuurlijke Boete heeft in die zin schorsende werking, dat artikel 12, derde lid, Wet THH bepaalt dat betaling van de Bestuurlijke Boete eerst dient te geschieden twee weken nadat het besluit tot oplegging van de Bestuurlijke Boete onherroepelijk is geworden.

Als het bezwaar gegrond wordt verklaard, wordt de Bestuurlijke Boete herroepen en betaalt het Publiek Inning & Incasso Bureau eventueel ontvangen geld terug. Wanneer het bezwaar ongegrond wordt verklaard dan wordt in de beslissing op bezwaar vermeld dat de Kentekenhouder binnen een termijn van zes weken beroep in kan stellen bij de bestuursrechter. Wordt geen beroep ingesteld binnen de gestelde termijn, dan is de Bestuurlijke Boete onherroepelijk en wordt de inning voortgezet. Wordt binnen de gestelde termijn beroep ingesteld bij de bestuursrechter, dan is de Bestuurlijke Boete niet onherroepelijk en hoeft die, conform artikel 12, derde lid, Wet THH nog niet te worden betaald. Als de rechter in de uitspraak het beroep gegrond verklaart dan wordt de Bestuurlijke Boete in de regel herroepen en betaalt het Publiek Inning & Incasso Bureau eventueel ontvangen geld terug. In het geval dat het beroep ongegrond wordt verklaard kan de Kentekenhouder binnen een termijn van zes weken hoger beroep instellen bij de Afdeling bestuursrechtspraak 4 Dit betreft de personen die zijn aangewezen bij besluit van Onze Minister als bedoeld in artikel 15, eerste lid, Wet TTH. 13 van de Raad van State.

Wordt geen hoger beroep ingesteld binnen de gestelde termijn, dan is de Bestuurlijke Boete onherroepelijk en wordt de inning voortgezet. Wordt binnen de gestelde termijn hoger beroep ingesteld bij de Raad van State, dan is de Bestuurlijke Boete niet onherroepelijk en hoeft die, conform artikel 12, derde lid, Wet THH nog niet te worden betaald. Als de uitspraak van de Afdeling bestuursrechtspraak van de Raad van State de uitspraak van de rechtbank niet bekrachtigt, wordt de Bestuurlijke Boete in de regel herroepen en betaalt het Publiek Inning & Incasso Bureau eventueel ontvangen geld terug. In het geval dat de uitspraak van de rechtbank wordt bekrachtigd dan is de Bestuurlijke Boete onherroepelijk en wordt de inning hervat. Er moet communicatie zijn tussen de verschillende organisaties – Tolheffer, Dienst Herinnering en het Publiek Inning & Incasso Bureau – zodat de status van een bezwaar en/of (hoger) beroep bekend en kan worden gecommuniceerd aan de Betalingsplichtige in het geval dat de Betalingsplichtige contact opneemt met een van deze organisaties.

21 Onze Minister Tolheffer Onze Minister is verwerkingsverant- woordelijke inzake de gegevensverwerking ten behoeve van tijdelijke tolheffing RDW Gemandateerd tolheffer, ontheffing verlener, handhaver. Tevens beheerder kentekenregister en nationaal contact punt Verwerkingsverantwoordelijke (gemandateerd onder de Minister) voor de taken tolheffer, verlenen ontheffingen en handhaving. Verwerkingsverantwoordelijke voor beheer kentekenregister en voor nationaal contactpunt CJIB Publiek inning & incasso bureau Verwerkt ten behoeve van onze Minister de gegevens in geval van het incasseren van betalingen en boete gelden. Inspectie Leefomgeving en Transport (ILT) Toezichthouder Verwerkingsverantwoordelijke Dienstaanbieders Dienstaanbieder Is verwerkingsverantwoordelijke voor de diensten die worden uitgevoerd onder de dienst- verleningsovereenkomst. Leverancier(s) wegkantapparatuur Verwerker van persoonsgegevens ten behoeve van onze Minister Rijkswaterstaat Wegbeheerder Verwerkt geen persoonsgegevens. 2.6 Belangen bij de gegevensverwerking Voor de maatschappij, weggebruikers, organisaties en overheden zijn er een aantal belangen (lees: de waarde of de voordelen) die beoogd zijn met de Wetswijziging en invoering tijdelijke tolheffing.

Overheden, Maatschappij en organisaties Het kabinet acht de realisatie van de BBV en ViA15 van groot economisch belang. Beide projecten lossen belangrijke knelpunten in het hoofdwegennet op, wat de doorstroming van het verkeer, de betrouwbaarheid van het netwerk en de bereikbaarheid van de regio’s Rotterdam en Arnhem-Nijmegen ten goede komt. Ook wordt bijgedragen aan de groei van belangrijke economische centra, waaronder de Rotterdamse haven. Daarom wil het kabinet deze projecten graag snel realiseren. Het zijn echter dure projecten met geheel nieuwe tracés en kostbare kunstwerken, die op korte termijn niet op reguliere wijze bekostigd kunnen worden. Om de bereikbaarheid in de betreffende regio’s voortvarend te kunnen verbeteren, is besloten om de projecten deels te bekostigen met tolheffing. Met TTH wil het kabinet hier invulling aan geven. De volgende doelstelling dient te worden behaald: het tijdelijk mogelijk maken van tolheffing op de BBV en de ViA15, zodat de twee projecten bekostigd en gerealiseerd kunnen worden.

De BBV is de verbinding tussen de A15 bij Rozenburg en de A20 tussen Maassluis en Vlaardingen. De ViA15 is de verbinding van de A15 tussen knooppunt Valburg en de A12 bij Zevenaar. De gegevensverwerking zelf vindt plaats binnen de EER, maar voornamelijk in Nederland. Het kan echter zijn dat dienstaanbieders uit andere EU landen zorgdragen voor de afdracht van tolgelden. Een eis is dat de servers (en daarmee de data) ten alle tijden binnen de EER staan. 2.8 Technieken en methoden van de gegevensverwerkingen Gebruikmaking van bepaalde technieken en methoden van gegevensverwerking kunnen aanvullende privacyrisico’s met zich brengen en daarom onderworpen zijn aan strengere regels en aanvullende maatregelen vereisen. Dit is onder meer het geval bij (semi-)geautomatiseerde besluitvorming, profilering en big data- verwerkingen. Nieuwe technologieën Grote verschuivingen in de werkwijze, de manier waarop persoonsgegevens worden verwerkt en de technologie die daarbij gebruikt wordt, kunnen gevolgen hebben voor betrokkenen.

Volgsystemen op basis van GPS zijn hier een voorbeeld van. 6 Art. 3 Implementatiewet EETS-richtlijn jo. art. 3 EETS-Richtlijn scheppen de kaders voor de technologische vereisten van tolheffingssystemen ten behoeve van de interoperabiliteit, te weten: satellietplaatsbepaling; mobiele communicatie; en 5,8 GHz microgolftechnologie. Geautomatiseerde besluitvorming Door middel van geautomatiseerde processen rondom het matchen van voertuig passage meldingen met diverse lijsten van incidentele betalingen, geldige klantenlijsten, geldige ontheffingen en betalingsherinneringen worden er geautomatiseerde beslissingen gemaakt rondom i) het betalen van tolgelden en de hoeveelheid daarvan, ii) of er betalingsherinneringen of boetes moeten worden verstuurd/ opgelegd aan de kentekenhouder of weggebruiker. 6 Model gegevensbeschermingseffectbeoordeling rijksdienst (PIA), blz. 27. 23 Artikel 22 van de AVG bepaalt dat er in beginsel een verbod berust op geautomatiseerde besluitvorming.

Art. 40 van de UAVG bepaalt echter weer dat er een uitzondering op dit verbod bestaat indien de geautomatiseerde besluitvorming noodzakelijk is voor de vervulling van een taak van algemeen belang. Hetzelfde geldt voor art. 22 AVG lid 2 onder b: wanneer geautomatiseerde besluitvorming is toegestaan bij een Unierechtelijk of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is. Daarbij wordt wel als voorwaarde gesteld dat er passende maatregelen zijn ter bescherming van de rechten en vrijheden van de betrokkene zelf. De memorie van toelichting van de UAVG zegt hier het volgende over: (…) Er kan ook sprake zijn van geautomatiseerde individuele besluitvorming op basis van strikt individuele kenmerken , bijvoorbeeld bij gebonden besluitvorming in het kader van het toekennen van bepaalde toeslagen. Er is geen reden om bij dergelijke besluitvorming menselijke tussenkomst te vergen, omdat dit geen toegevoegde waarde heeft .

Daarenboven geldt voor alle overheidsbesluiten, ook voor overheidsbesluiten op basis van geautomatiseerde besluitvorming, dat de gebruikelijke bestuursrechtelijke rechtsbescherming openstaat. Gelet hierop is ook verruiming van de mogelijkheden voor afwijking wenselijk. Voor de uitvoering van de publieke taak, en voor het vervullen van wettelijke verplichtingen is het niet wenselijk om geautomatiseerde besluitvorming geheel te verbinden aan een specifieke wettelijke grondslag. Dit zou een vergaande verstarring van de ontwikkelingen in de uitvoering van de publieke taak betekenen. Wanneer er sprake is van uitoefening van gebonden bevoegdheden, waarbij er daarenboven zeer geringe beoordelingsruimte is, heeft menselijke tussenkomst bij besluitvorming in beginsel geen meerwaarde . Men denke hierbij bijvoorbeeld aan het toekennen van kinderbijslag, het opleggen van een boete in het kader van de Wet administratiefrechtelijke handhaving verkeersvoorschriften (Wahv), het bijstellen van de hoogte van het recht op studiefinanciering op basis van veranderingen in het inkomen van een van de ouders of het zonder menselijke tussenkomst vaststellen van een overtreding van de maximumsnelheid .

Dit zijn allemaal besluiten die genomen worden zonder menselijke tussenkomst. Er is geen reden vanuit het belang van bescherming van persoonsgegevens om geautomatiseerde besluitvorming in dit kader onmogelijk te maken. De risico's die de verordening, blijkens de overweging 71, beoogt in te dammen met dit artikel, doen zich hier feitelijk niet voor. Dit is de reden dat in artikel 40 van onderhavige Uitvoeringswet een uitzondering wordt voorgesteld. Als er sprake is van geautomatiseerde individuele besluitvorming, anders dan op basis van profilering, en deze noodzakelijk is om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust of ter uitvoering van een taak van algemeen belang, dan is het verbod van artikel 22, eerste lid, van de verordening niet van toepassing. Een verwerkingsverantwoordelijke kan alleen een beroep doen op deze uitzondering als het een verwerking betreft die gebaseerd is op de onderdelen c en e, van het eerste lid van artikel 6 van de verordening.

Op basis van deze onderbouwing zou het verbod op geautomatiseerde besluitvorming niet gelden voor geautomatiseerd berekenen van tolgelden en het aanmanings- en boete-proces indien van toepassing. Big data Big data staat voor het verschijnsel dat grote hoeveelheden gestructureerde en ongestructureerde data uit verschillende bronnen worden geanalyseerd waarbij geautomatiseerd naar correlaties wordt gezocht die kennis kunnen opleveren om te kunnen toepassen voor beslissingen op groeps- of individueel niveau. De Wet TTH en 24 bijbehorende Wijzigingswet bieden geen ruimte voor Big-data gerelateerde toepassingen. 2.9 Juridisch en beleidsmatig kader De van toepassing zijnde wet- en regelgeving en het beleid met mogelijke gevolgen voor de gegevensverwerkingen zijn voor de Wijzigingswet: • Algemene wet inzake rijksbelastingen • Wet algemene bepalingen burgerservicenummer • Wegenverkeerswet 1994 en aanverwante regelgeving • Wet Tijdelijke Tolheffing Blankenburgverbinding en ViA15 • EU 2019/520 (EETS-richtlijn) • Uitvoeringsverordening (EU) 2020/204 • Implementatiewet EETS-richtlijn 2.10 Bewaartermijnen Bij conceptregelgeving moet worden bepaald en gemotiveerd of het al dan niet wenselijk is om een specifieke minimale of maximale bewaartermijn voor te schrijven.

In de Wijzigingswet wordt specifiek aandacht besteed aan het nader specificeren van bewaartermijnen. De volgende termijnen worden daarin voorgeschreven voor de Minister: - Indien er sprake blijkt te zijn van een geldige dienstverleningsovereenkomst, bewaart de minister de gegevens inzake de passage van het voertuig niet langer dan 3 maanden Dit betreft de volgende gegevensverwerkingen uit paragraaf 2.2: RSE (allemaal), ROB1, ROB2, DH2, DH3, TC2 Wanneer er geen sprake is van een geldige dienstverleningsovereenkomst (de incidentele betalingen), worden de gegevens binnen zeven werkdagen na betaling van het toltarief verwijderd of totdat de aanmaning is betaald. Dit betreft de volgende gegevensverwerkingen uit paragraaf 2.2: RSE ( allemaal ), ROB1, ROB2, DH2, DH3, TC2, TC6, DIG1, DIG2 - Of wanneer er niet tijdig wordt betaald en er een boete-proces moet worden doorlopen, worden de gegevens bewaarde gedurende een termijn als bedoeld in 5:45 Awb (de termijn waarin een boete kan worden opgelegd) Dit betreft de volgende gegevensverwerkingen uit paragraaf 2.2: DH2, DH3, TC2, TC6, TC7, TC8, TC9 - In geval een onherroepelijke boete is betaald, worden de gegevens onmiddellijk verwijderd - Als laatst wordt genoemd dat indien de termijn uit art. 4:104 Awb is verstreken de gegevens ook worden verwijderd.

De dienstaanbieder mag de gegevens die worden verwerkt in het kader van de uitvoering van de dienstverleningsovereenkomst niet langer bewaren dan noodzakelijk is voor het uitvoeren van de dienstverleningsovereenkomst. Dit betreft de volgende gegevensverwerkingen uit paragraaf 2.2: 25 SPB1 t/m SPB4 De toezichthouder mag de gegevens die worden verwerkt voor het toezicht op de naleving bewaren totdat een onherroepelijke bestuurlijke boete is betaald. Dit betreft de volgende gegevensverwerking uit paragraaf 2.2: TC2, TC7, TC9 Voor de volgende verwerkingen zijn geen concrete bewaartermijnen vastgelegd in de Wijzigingswet: — ROB3, TC1 - overkoepelende klantenlijst – dit is een lijst die continue aan verandering onderhevig is. Klanten die het contract met de dienstaanbieder beëindigen, zullen van de lijst verwijderd worden, nieuwe klanten worden aan de lijst toegevoegd. — DH1 - Klantdossier dienst herinnering – het klantdossier wordt bijgehouden in een nog te implementeren CRM systeem.

De eisen rondom data retentie zijn daarin nog niet uitgewerkt. De wetgever geeft hier ook geen duidelijkheid over. — TC3 - Verzoeken tot vrijstelling, en ontheffingen – De wetgever is niet duidelijk hoe lang dergelijke verzoeken (na goedkeuring of afwijzing) worden bewaard. — TC4 - Lijst van vrijstellingen en ontheffingen - dit is een lijst die continue aan verandering onderhevig is. — TC5 - Lijst van transacties waarop ontheffing of vrijstelling geldt – De persoonsgegevens worden meteen verwijderd. Het niet volledig definiëren van de bewaartermijnen resulteert in risico’s ten aanzien van de rechten en vrijheden van betrokkenen. Deze worden uitgewerkt in hoofdstuk 4. 26 3. Beoordeling rechtmatigheid gegevensverwerking 3. 1 Rechtsgrond De verwerkingsverantwoordelijken kunnen de hierboven gegevensverwerkingen baseren op de rechtsgrond genoemd onder art. 6 lid 1 sub c en e AVG (wettelijke verplichting en wettelijke taak), voor zover de gegevensverwerking noodzakelijk is ter uitvoering van die wettelijke verplichting en de verwerkingsverantwoordelijke belast is met de uitvoering van de wettelijke plicht.

In het geval van de Wet TTH is deze wet juist gecreëerd om een juridische grondslag te creëren om deze gegevens te kunnen verwerken. Deze grondslag wordt nader vastgelegd in art. 4a, 10, 10a en 10b van de Wet en de Wijzigingswet. Daarmee kunnen de gegevens worden verwerkt op grond van art. 6 lid 1 sub c en e. Verder is het noemenswaardig dat de Wijzigingswet TTH onder andere als doel heeft beoogd om de relevante bepalingen inzake Richtlijn 2019/520 7 te implementeren en daarmee waaronder artikel 27 rondom gegevensbescherming. De gecreëerde wettelijke grondslag in de Wijzigingswet zijn geformuleerd in lijn met de verplichte gegevenselementen zoals geformuleerd in bijlage 1 van de Richtlijn. Voor een nadere uitwerking van de rechtsgronden en de koppeling naar de verwerkingsdoelen, zie paragraaf 2.4. 3. 2 Bijzondere persoonsgegevens Er worden geen bijzondere persoonsgegevens verwerkt. Men zou kunnen beargumenteren dat de foto (waar mogelijk de bestuurder (deels) op wordt vastgelegd) een bijzonder persoonsgegeven kan zijn (bijv. identificatie van etniciteit).

Echter dient daarin terughoudend te worden geredeneerd: — Indien het doeleinde van de verwerking niet gericht is op het verwerken van bijzondere persoonsgegevens dan wel het onderscheid maken op grond van een bijzonder persoonsgegeven; — Het voor de verwerkingsverantwoordelijke redelijkerwijs niet voorzienbaar is dat de verwerking zal leiden tot het maken van onderscheid op grond van een bijzonder persoonsgegeven, en — De verwerking van die bijzondere persoonsgegevens onvermijdelijk is bij die verwerking Indien de verwerking van camerabeelden echter identificatie tot doel heeft, worden deze beelden wel als gegevens rondom etniciteit aangemerkt. Daarmee is aannemelijk te maken dat in deze context de foto van de bestuurder niet is aan te merken als een bijzonder persoonsgegeven. Vergelijk hiervoor ook de publicatie van de Autoriteit Persoonsgegevens: “Cameratoezicht – beleidsregels voor de toepassing van bepalingen uit de Wet Bescherming Persoonsgegevens en de Wet Politiegegevens” (2016). 8 De foto wordt overigens direct onherstelbaar onherkenbaar gemaakt door de aanwezige software.

Daarmee worden deze gegevens niet verder in de keten verwerkt. 7 Richtlijn (EU) 2019/520 betreffende de interoperabiliteit van elektronische tolheffingssystemen voor het wegverkeer en ter facilitering van de grensoverschrijdende uitwisseling van informatie over niet-betaling van wegentol in de Unie. 8 Rapport (autoriteitpersoonsgegevens.nl) 27 Daarnaast is het goed om te vermelden dat de gegevens op de signaleringslijst (lijst van kentekens waarvoor een staandehouding uit staat) en de door de dienstaanbieder opgestelde klantenlijst waarvoor de dienstaanbieder geen betalingsverantwoordelijk- heid meer neemt geen strafrechtelijke gegevens of andere bijzondere persoonsgegevens bevat. De klantenlijst waarvoor de dienstaanbieder geen betalingsverantwoordelijkheid meer neemt, bevat geen reden of context over waarom een dergelijk kenteken op deze lijst is geplaatst. De signaleringslijst bevat geen strafrechtelijke gegevens, omdat het niet tijdig betalen van tolheffing een bestuurlijke boete kan opleveren.

Daarmee blijft de reden van staandehouding in het bestuursrecht en niet in het strafrecht. 3 .3 Doelbinding De privacyregelgeving geeft als beginsel dat persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden moeten worden verzameld en vervolgens niet verder mogen worden verwerkt op een met die doeleinden onverenigbare wijze. De verwerkingsdoelen worden nadrukkelijk omschreven in art. 10 en 10a van de Wijzigingswet, namelijk: — heffing en invordering van het toltarief en het opleggen en invorderen van een bestuurlijke boete; — ten behoeve van het toezicht op de naleving in het geval van een staandehouding; — Daarnaast is de Minister bevoegd om de gegevens in art 32 lid 1 onder a en artikel 33 tweede lid van de Wet implementatie EETS-richtlijn verder te verwerken ten behoeve van het op automatische wijze vaststellen van overtredingen en het opleggen van een boete.

Zie ook paragraaf 2.4 voor een toelichting op de verwerkingsdoeleinden. 3. 4 Noodzaak en evenredigheid Een privacyprincipe is dat de voorgenomen gegevensverwerkingen noodzakelijk zijn voor het verwezenlijken van de verwerkingsdoeleinden. Daarbij gelden de beginselen van proportionaliteit en subsidiariteit. Proportionaliteit betekent dat moet worden beoordeeld of de indringendheid van de voorgenomen gegevensverwerking in een redelijke verhouding staat tot het doel. Voor de subsidiariteit beoordelen we of de verwerkingsdoeleinden in redelijkheid niet op een andere, voor de betrokkene minder nadelige wijze, kunnen worden verwezenlijkt. Proportionaliteit Het overkoepelende verwerkingsdoel is het innen van tolgelden ten behoeve van het gebruik van de te realiseren verbindingen. Er is gekozen om de tolheffing op basis van een free flow-techniek te realiseren, om de doorstroming voor de weggebruikers en het gemak voor hen zo groot mogelijk te laten zijn.

Om dit te kunnen realiseren dienen er (via technische hulpmiddelen) diverse persoonsgegeven te worden verwerkt. Om de inbreuk zo minimaal mogelijk te houden zijn er diverse maatregelen genomen: — De bewaartermijnen zijn relatief kort (3 maanden als we kijken naar het reguliere proces voor betaling via een dienstaanbieder). Deze termijnen zijn 28 noodzakelijk om bijvoorbeeld aan de klachten- en beroepsprocedures te kunnen voldoen. — De gebruiksmogelijkheid inzake incidenteel gebruik biedt de betrokkene de mogelijkheid om met alleen de minimaal noodzakelijke gegevens gebruik te maken van de toldienst. — Daarnaast wordt de mogelijke ‘bijvangst’ aan persoonsgegevens meteen onherstelbaar onherkenbaar gemaakt (indien er bijv. personen te herkennen zijn op de ANPR-foto’s). Daarmee zijn de gegevens die worden verwerkt noodzakelijk om op effectieve en efficiënte wijze de desbetreffende tolgelden te innen en de betaling daarvan te handhaven.

De vraag of de indringendheid van de voorgenomen gegevensverwerking in een redelijke verhouding staat tot het doel is daarmee nog niet gegeven. Uit de gegevensverwerking is immers af te leiden wanneer een betrokkene zich mogelijk heeft bevonden op een bepaalde locatie in een bepaald punt in de tijd. Dit is een vorm van volgen van een individu, welke in geval van een dienstverlenings- overeenkomst minimaal twee maanden in een systeem wordt bewaard. De mate van indringendheid kan daarmee (afhankelijke van de context) hoog zijn. In het geval dat de gegevens uitsluitend voor het verwerkingsdoel worden gebruikt, zal de indringendheid echter relatief laag zijn. Het bewaken van dit beginsel met passende technische en organisatorische maatregelen is daarmee van essentieel belang en randvoorwaardelijk. Artikel 27 van de Richtlijn (2019/520) bevestigd tevens deze randoorwaardelijkheid en past op basis van lid 2 sub a in combinatie met bijlage 1 het beginsel van minimale gegevensverwerking toe, naast de gestelde technische en organisatorische maatregelen.

Subsidiariteit Het subsidiariteitsbeginsel richt zich op de vraag of er minder ingrijpende middelen beschikbaar zijn om het verwerkingsdoel te realiseren. Los van de keuzemogelijkheden die de weggebruiker heeft in het huidige voorstel, is er weldegelijk een alternatief scenario denkbaar die minder ingrijpend is ten opzichte van de inbreuk op de persoonlijke levenssfeer van de betrokkene. Het voor de hand liggende alternatieve scenario zou het gebruiken van tolpoortjes (met slagboom) zijn om zodoende het gebruik van technische middelen voor gegevensverwerkingen overbodig te maken. Deze optie houdt in dat er tolpoortjes aan het begin- en eind van de tolroute geïnstalleerd moeten worden en het verkeer daar direct gaat afrekenen voor de tolpassage. Deze manier is qua inbreuk op de persoonlijke levenssfeer minder ingrijpend, nu er minder tot geen (bij het contant afrekenen) persoonsgegevens worden verwerkt.

Met deze optie worden meer gegevens verwerkt, maar hoeft de burger slechts eenmalig de registratie bij de Dienstaanbieder te regelen en hoeft men verder geen aparte handelingen meer te verrichten voor iedere tolpassage. Nu het invoeren van fysieke tolportalen met slagbomen een dermate hoge impact heeft of de efficiency van de tolheffing en daarmee flow van het verkeer en er tevens diverse alternatieve opties worden aangeboden voor de burger, is het redelijkerwijs te onderbouwen dat aan dit beginsel is voldaan. 3. 5 Rechten van de betrokkenen Een betrokkene dient bij de verwerkingsverantwoordelijke een beroep te kunnen doen op zijn door de AVG toegekende rechten, zoals transparantie, informatie, correctie, vergetelheid, wissing, inzage, en dataportabiliteit. De betrokken partijen die zijn aangemerkt als verwerkingsverantwoordelijke moeten er zorg voor dragen dat zij binnen de gestelde termijnen voldoen aan de rechten van betrokkenen.

Het is echter wel van belang dat voor hen duidelijk is welke organisatie welke hoedanigheid heeft. Dit zal duidelijk moeten worden gecommuniceerd bij de invoering van de tolheffing via bijvoorbeeld een privacyverklaring. In hoofdstuk 2.3 onder A wordt uiteengezet hoe invulling wordt gegeven aan het transparantiebeginsel. Door de tolheffer wordt een website ingericht met de nodige informatie over TTH, inclusief een uitgebreide privacyverklaring waarin op duidelijke en begrijpelijke wijze wort uitgelegd welke gegevens worden verwerkt in de keten van TTH en alle vereisten uit art. 13-14 AVG worden vervuld. Daarnaast zal de website beschikken over contactgegevens waar mensen terecht kunnen indien zij vragen hebben over TTH. Er is verder nog geen nadere invulling gegeven hoe de burger op effectieve en laagdrempelige wijze gebruik kan maken van zijn of haar rechten. De website in het beheer van de tolheffer zou daar een passend middel voor kunnen zijn.

Van belang is dat de burger bij één centraal punt alle rechten kan uitoefenen, zonder apart bij iedere ketenverantwoordelijke aan te hoeven kloppen. 30 4 . Beschrijving en beoordeling risico’s voor de betrokkenen Risico’s Een privacyrisico is een kans op het optreden van een negatief gevolg voor de rechten en vrijheden van de betrokkenen als gevolg van de verwerking van persoonsgegevens in de vorm van lichamelijke, materiële of immateriële schade voor de betrokkene. De geïdentificeerde risico’s worden hieronder uiteengezet. In hoofdstuk 5 zullen per risico mitigerende maatregelen worden voorgesteld. Risico 1: Gegevens worden ondanks de gestelde bewaartermijnen langer door onze Minister (of door één van de gemandateerde organisaties) bewaard dan noodzakelijk is. Het risico kan zich voordoen dat door bijvoorbeeld gebrekkig systeemontwerp, of nalaten van functionarissen, gegevens langer blijven bewaard dan de wettelijk gestelde termijnen.

Het risico voor burgers is dat potentieel gevoelige informatie over locaties en passages onevenredig lang op systemen blijft opgeslagen en zij dus over een langere periode ‘volgbaar’ zijn. Dit is een inbreuk op de persoonlijke levenssfeer. Daarnaast zijn niet voor alle gegevensverwerkingen specifieke bewaartermijnen vastgesteld in de Wijzigingswet. Zie laatste paragraaf onder 2.10. Het niet definiëren van een wettelijke bewaartermijn brengt met zich mee dat de uitvoeringsorganisaties zelf moeten interpreteren wanneer de gegevens niet meer noodzakelijk zijn om te bewaren ten behoeve van het verwerkingsdoel. Risico 2: Burgers komen ten onrechte terecht op signaleringslijsten of lijsten van opgeschorte dienstverleningsovereenkomsten. Door systeemfouten of menselijke fouten komen kentekens ten onrechte op signaleringslijsten terecht of worden kentekens ten onrechte op de lijst van ongeldig verklaarde OBE’s of opgeschorte dienstverleningsovereenkomsten geplaatst.

Op het moment van schrijven van de PIA is er echter nog geen uitsluitsel over het wel of niet gebruiken van OBE’s voor Tijdelijke Tolheffing. 31 Voor het faciliteren van betalingen ten behoeve van TTH zijn slechts een kleine subset van attributen nodig die worden verzameld door de OBE. Bepaalde typen OBE kunnen echter veel meer gegevens verzamelen en doorsturen naar de dienstaanbieder, waaronder real-time locatie- en verplaatsingsgegevens (GPS-data). Dit zijn gevoelige persoonsgegevens en dienen extra zorgvuldig behandeld te worden. De Wijzigingswet TTH kent geen wettelijke grondslag voor de verwerking van deze gegevens. Het verwerken van deze gegevens hebben dus een eigen rechtmatige grondslag nodig. Bij het ontbreken daarvan is de gegevensverwerking onrechtmatig. Indien er uitsluitsel is over het wel of niet gebruiken van OBE’s, dient dit risico nader te worden uitgewerkt. Het type OBE en welke gegevensverwerkingen daarbij mogelijk zijn, zijn daarbij bepalend voor het risico.

Risico 4: Locatiegegevens worden langer bewaard dan noodzakelijk door de dienstaanbieder. De dienstaanbieder heeft geen grondslag om verplaatsingsgegevens te verwerken, maar wel van locatiegegevens (de passage waar het voertuig op een gegeven moment in de tijd is gesignaleerd door wegkantapparatuur). Het gegeven waar een individu op een specifiek moment in de tijd is geweest kan in een bepaalde context een gevoelig persoonsgegeven opleveren. Het langer bewaren dan deze gegevens door bijvoorbeeld een gebrekkig systeem ontwerp of door menselijke fouten vormt daarmee een inbreuk op de persoonlijke levenssfeer van het individu. Risico 5: Dienstaanbieders hebben geen passende technische en organisatorische maatregelen ingeregeld om effectief de gegevens van de burger te kunnen beschermen Het systeem van tijdelijke tolheffing steunt voor een deel op de informatievoorziening van meerdere dienstaanbieders.

Dienstaanbieders zijn commerciële organisaties die zelfstandig verantwoordelijk zijn voor het implementeren van passende technische en organisatorische maatregelen omtrent de informatiehuishouding. Uit het verleden is gebleken dat data inzake kentekens, voertuiggegevens in combinatie met persoonsgegevens een interessante bron voor kwaadwilligen is. 9 Het is daarmee niet ondenkbaar dat dienstaanbieders het slachtoffer kunnen worden van cyberaanvallen of intern kwaadwillig personeel. Het niet implementeren van passende technische en organisatorische maatregelen vergroot een dergelijk risico en daarmee een inbreuk op de persoonlijke levenssfeer van het individu. Risico 6: De gegevens die worden verwerkt door Onze Minister worden op onvoldoende wijze beschermd tegen datalekken en ongeautoriseerde toegang. Ook datalekken vanuit de publieke sector zijn in het verleden meermaals voorgekomen. Dit door bijvoorbeeld gebrekkige technische en organisatorische maatregelen of interne kwaadwillige medewerkers.

Hier geldt hetzelfde risico zoals omschreven bij risico 5. 9 Zie bijvoorbeeld het datalek bij de RDW inzake kentekengegevens in 2019 en het datalek bij het RDC in 2020. 32 Risico 7: De geautomatiseerde kentekenherkenning herkent het verkeerde kenteken waardoor een burger onterecht een betalingsherinnering of boete krijgt opgelegd. Het kan voorkomen dat de ANPR-technologie op basis van vervuilde kentekenplaten of een vervuilde lens een verkeerd kentekennummer herkend in de afbeeldingen van de kentekenplaat van het voertuig. Het gevolg is dat kentekenhouders c.q. burgers ten onrechte een betalingsherinnering krijgen toegestuurd. Tevens kan het een complexe hoeveelheid aan administratieve handelingen met zich mee brengen om aan te kunnen tonen dat de plaatsing op een dergelijke lijst onterecht is geweest (omgekeerde bewijslast). Risico 8: Door het samenspel tussen de diverse rollen en organisaties in de algehele keten van TTH kan de uitoefening van de rechten van betrokkenen onnodig complex maken.

In de gehele keten van TTH worden gegevens op verschillende plaatsen bij verschillende organisaties verwerkt en opgeslagen. Indien er geen gecentraliseerde processen worden ingericht om te kunnen voldoen aan de rechten van betrokkenen, zal de betrokkene bij diverse loketten moeten aankloppen om volledige uitoefening van rechten te kunnen effectueren. Dit is een onnodige drempel voor betrokkenen om hun rechten te kunnen uitoefenen. Risico Matrix In onderstaande risicomatrix worden de vastgestelde risico’s geplot op basis van kans maal impact om zodoende de hoogte van het risico meetbaar te maken. Op basis van de voorgestelde mitigerende maatregelen (hoofdstuk 5), zullen de restrisico’s worden geplot op basis van hetzelfde principe. 33 5 . Beschrijving voorgenomen maatregelen Maatregelen 1. Ontwerp de te implementeren informatiesystemen ‘privacy-by-design’ en voer geautomatiseerde technieken om verouderde data te laten verwijderen.

Om adequaat invulling te geven aan het privacy by design principe, zou het systeemontwerp voor de opslag van gegevens rondom de TTH zo ontworpen moeten zijn dat de kans dat gegevens onterecht langer worden bewaard dan de wettelijke termijnen toelaten zo minimaal mogelijk is. Om dit te bewerkstelligen is het implementeren van mechanismen die data automatisch anonimiseert of verwijderd uit de systemen een gewenste uitkomst. Men kan hier concreet invulling aan geven door vaste ‘triggers’ in de systemen te ontwerpen waarop de bewaartermijnen gaan lopen (bijvoorbeeld de betaling van een openstaande tolpassage), om vervolgens de wettelijke termijnen te koppelen aan de trigger en bijbehorende data (bijvoorbeeld twee of drie maanden, afhankelijk van de wijze waarop de betalingsplichtige deelneemt aan het stelsel). Na afloop van de termijn dient het systeem een procedure aan te roepen die de direct verwijderd of verplaatst naar een geïsoleerde omgeving, waarna de data handmatig wordt verwijderd of geanonimiseerd.

Mitigeert (deels) de volgende risico’s: #1, #4 2. Er dienen specifieke eisen worden gesteld aan dienstaanbieders met betrekking tot informatiebeveiliging en persoonsgegevensbescherming. Dienstaanbieders zullen veel (persoons-)gegevens tot hun beschikking krijgen om uitvoering te geven aan de toldiensten die zij aan zullen gaan bieden ten behoeve van elektronische tolheffing. Deze persoonsgegevens dienen op een adequate manier beschermd te worden door passende technische- en organisatorische maatregelen te treffen die gezien de aard van de gegevens proportioneel is aan de gestelde beveiligingsrisico’s. Er zullen specifieke normen en eisen moeten worden gesteld die meetbaar en controleerbaar zijn. De tolgebiedsverklaring kan een geschikt instrument zijn om dergelijke technische en organisatorische normen op te leggen aan dienstaanbieders en specificeren waar zij minimaal aan moeten voldoen.

Op deze manier wordt er centraal invulling gegeven aan het niveau van de technische en organisatorische maatregelen en maak je deze ook toetsbaar. Naast het stellen van normen en eisen rondom informatiebeveiliging en gegevensverwerking is het tevens aan te raden om mechanismen in te bouwen om de aantoonbaarheid van de nakoming van deze normen en eisen vorm te geven. Dit kan in de vorm van periodieke audits- of controles zijn of bepaalde certificering rondom informatiebeveiliging (bijv. ISO 27001 of een Assurancerapport van een accountantskantoor). Mitigeert (deels) de volgende risico’s: #5, #3 3. Implementeer duidelijke processen, kwaliteitsnormeringen en controls rondom het identificeren van kentekens en de plaatsing op signaleringslijsten. Het verkeerd identificeren van een kenteken of het onterecht iemand plaatsen op een signaleringslijst kan (verstrekkende) gevolgen hebben voor iemand persoonlijke 34 levenssfeer.

Het valt daarmee niet uit te sluiten dat er nog altijd een kenteken verkeerd herkend kan worden, maar het risico wordt tot een acceptabele marge teruggebracht. Mitigeert (deels) de volgende risico’s: #2, #7 4. Voer periodieke reviews uit binnen relevante overheidsorganisaties met betrekking tot de volwassenheid van informatiebeveiliging- en privacy Om de bescherming van persoonsgegevens adequaat te kunnen bewaken dient er periodiek inzicht te zijn inzake de mate van volwassenheid op het gebied van informatiebeveiliging en privacy van de desbetreffende overheidsorganisaties die persoonsgegevens gaan verwerken ten behoeve van TTH. Belangrijke onderwerpen die daar minimaal in naar voren moeten kijken zijn (onder meer): - Autorisatiemanagement- en beheer (need to know basis) - Identitymanagement - Logging van inzage en logging van mutaties - Beveiliging van de applicatie en infrastructuur van externe dreigingen - Encryptie van de gegevens waar noodzakelijk - Naleving data retentietermijnen (zie ook maatregel 1) - Toepassing van dataminimalisatie Indien daarin tekortkomingen worden geconstateerd dien er een remediatieplan te komen om deze te kunnen mitigeren.

Mitigeert (deels) de volgende risico’s: #6 5. Ontwerp en implementeer een centraal loket in waar betrokkenen terecht kunnen voor de uitoeffening van hun rechten op basis van art. 15-22 AVG. Om te voorkomen dat betrokkenen bij meerdere loketten moeten aankloppen om hun rechten uit te kunnen oefenen over de gehele (overheids-)keten van TTH, is het aan te bevelen om een centraal loket in te richten. Het centrale loket coördineert bij de onderliggende deelnemende organisaties het ophalen van de informatie om aan de verzoeken te kunnen voldoen. Het is tevens aan te bevelen om het proces rondom de rechten van betrokkenen periodiek te evalueren om zodoende inzichtelijk te krijgen hoeveel aanvragen er jaarlijks binnen komen, hoeveel tijd en moeite het kost om aan verzoeken te voldoen 35 en of daarmee de capaciteit om de verzoeken op te volgen in balans staan met het aantal (te verwachten) verzoeken van betrokkenen. Mitigeert (deels) de volgende risico’s: #8 Risico Matrix (restrisico’s) In onderstaand overzicht zijn de ingeschatte restrisico’s geplot die overblijven na het implementeren van de aanbevolen mitigerende maatregelen.