Digital Decade Gemeenten

De Algemene Verordening Gegevensbescherming (AVG) oftewel General Data Protection Regulation (GDPR) genoemd is sinds 25 mei 2018 van kracht. Deze wet legt verplichtingen op voor de verwerking van persoonsgegevens.

De belangrijkste verplichtingen op een rij:

• Privacy beleid: een gedocumenteerd en geïmplementeerd beleid waarin de totale verzameling, verwerking en bescherming van persoonsgegevens is opgenomen. Er dient ook een privacy verklaring, toegespitst op de burger, beschikbaar gesteld te worden op de website om volledig te voldoen aan de informatieplicht.
• Register van verwerkingsactiviteiten: organisaties zijn verplicht een register bij te houden van alle gegevensverwerkingsactiviteiten die plaatsvinden binnen hun organisatie.
• Gegevensbeschermingseffectbeoordeling (oftewel een Data Protection Impact Assessment, DPIA): er zal een DPIA moeten worden uitgevoerd voor een gegevensverwerking die een hoog risico voor de rechten en vrijheden van individuen met zich meebrengt. Met een DPIA wordt het risico beoordeeld en gemitigeerd.
• Data minimalisatie: gemeenten dienen er zorg voor te dragen dat uitsluitend persoonsgegevens worden verzameld die strikt noodzakelijk zijn voor het beoogde doel.
• Rechten van betrokkenen: gemeenten dienen de rechten van betrokkenen te allen tijde te respecteren en tijdig uitvoering te geven aan verzoeken van de betrokkenen. Deze rechten spitsen zich onder andere toe op het recht op toegang tot persoonsgegevens, het recht op rectificatie en het recht op verwijdering.
• Datalekken: indien er (vermoedelijk) sprake is van een inbreuk op persoonsgegevens, dan is de organisatie verplicht om deze incidenten te registreren, te onderzoeken en afhankelijk van de ernst te melden bij de toezichthoudende autoriteit en in sommige situaties ook te melden bij de betrokkenen.
• Functionaris voor gegevensbescherming (FG): iedere gemeente in Nederland is verplicht een functionaris voor gegevensbescherming aan te stellen die op onafhankelijke wijze in staat wordt gesteld om intern toezicht te houden op de naleving van de AVG.
• Verwerkersovereenkomsten: indien een gemeente een samenwerking aangaat met een externe partij die namens hen persoonsgegevens verwerkt dan is een contract vereist, oftewel een verwerkersovereenkomst, om te voldoen aan de AVG.
• Privacy by design en by default: bij het ontwerpen van nieuwe processen, systemen en diensten is het van belang dat gemeenten privacyoverwegingen inbouwen (Privacy by design) en standaard instellingen hanteren die de hoogste bescherming van persoonlijke gegevens bieden (Privacy by default).
• Intern toezicht en naleving: om te voldoen aan de AVG is het van belang dat er intern toezicht wordt gehouden op de naleving van deze wetgeving, dit kan door het uitvoeren van privacy audits. Hiernaast dienen medewerkers getraind te zijn in gegevensbescherming.

De ePrivacy Verordening staat op het punt een cruciale rol te spelen in het beschermen van de privacy van burgers en het reguleren van elektronische communicatie binnen gemeenten en andere organisaties. Deze nieuwe verordening is de opvolger van de huidige ePrivacy richtlijn en een aanvulling op de Algemene Verordening Gegevensbescherming (AVG).

De verordening richt zich op het reguleren van onder andere cookies, vertrouwelijkheid van elektronische communicatie, spam en marketing communicatie.

De ePrivacy Verordening zal hoogstwaarschijnlijk in de loop van het jaar 2024 van kracht worden. Momenteel is deze nog in ontwikkeling.

De verplichtingen op een rij (dit kan inhoudelijk nog gewijzigd worden):

• Toestemming voor cookies: websites dienen toestemming te ontvangen van gebruikers voordat zij niet-essentiële cookies plaatsen of toegang krijgen tot informatie die al is opgeslagen op de apparaten van gebruikers. Een cookiemuur (cookiewall) waarin geen vrije keuze gemaakt kan worden door de betrokkene, is niet toegestaan. De cookiebanner, waarin toestemming wordt gevraagd, zijn aan voorwaarden verbonden zoals het opsplitsen van functionele cookies en andere cookies zoals marketing en analytische.
• Vertrouwelijkheid van elektronische communicatie: elektronische communicatie, zoals e-mail en chatberichten, moet vertrouwelijk blijven en mag niet onrechtmatig worden onderschept of afgeluisterd.
• Spam bescherming: ongevraagde commerciële communicatie (spam) zal worden voorkomen door opgestelde anti-spamregels, dit helpt de mailboxen van zowel gemeenteambtenaren als burgers vrij te houden van ongewenste berichten.
• Recht op privacy van telecommunicatie: informatie uit elektronische communicatie zoals e-mail berichten, WhatsApp berichten, video calls, sms berichten, bezochte websites en locatiegegevens mag alleen gebruikt worden voor een noodzakelijk doel. Anders dient er toestemming te zijn van de betrokkene om de privacy te beschermen.
• Toestemming voor direct marketing: het is van belang dat gemeenten voorafgaand aan het gebruik van elektronische communicatie voor direct marketing doeleinden toestemming hiervoor hebben ontvangen van de betrokkene.
• Datalekken: wanneer er sprake is van een inbreuk op persoonsgegevens (een datalek) met mogelijke gevolgen voor de betrokkene, dan is het noodzakelijk dat dit incident wordt geregistreerd en gemeld bij de Autoriteit Persoonsgegevens (AP) en in sommige gevallen ook wordt gemeld aan de betrokkenen.
• Geheimhoudingsplicht voor communicatieproviders: telecommunicatieproviders zijn verplicht om de vertrouwelijkheid van de communicatie te waarborgen en mogen de informatie via de communicatie kanalen niet onrechtmatig verwerken.
• Bescherming van locatiegegevens: het verzamelen en verwerken van locatiegegevens van gebruikers mag niet zomaar en vereist doorgaans de toestemming van de betrokkene.
• Opt-in voor telemarketing: betrokkenen dienen zich actief aan te melden voor telemarketing gesprekken en moet de mogelijkheid worden geboden om zich af te melden.
• Beveiligingsmaatregelen: om de beveiliging van elektronische communicatiesystemen te kunnen waarborgen, is het van belang dat telecommunicatieproviders passende technische en organisatorische maatregelen nemen.

De Cyber Security Act heeft als doel om cyberbeveiliging in Europa te versterken en de digitale weerbaarheid te verbeteren. Hierdoor draagt het bij aan de bescherming van digitale systemen en persoonsgegevens op alle bestuursniveaus, inclusief de gemeentelijke overheden. Deze wet, oftewel de Cyberbeveiligingsverordening, is sinds 2019 van kracht en in april 2022 heeft de Europese upgrade plaatsgevonden.

Gemeenten zullen mogelijk hun beleid en aanbieders inzake cyberbeveiliging moeten herzien en upgraden om aan de nieuwe vereisten te voldoen om zo de digitale infrastructuur van hun gemeente te beschermen tegen cyberdreigingen.

De belangrijkste verplichtingen op een rij:

• Meldingsplicht: de autoriteiten verplichten gemeenten om ernstige cybersecurity incidenten te melden zodat zij dit op hun beurt kunnen delen met het Europees Agentschap voor netwerk- en informatiebeveiliging (ENISA). Dit zal bijdragen aan de identificatie en aanpak van grootschalige cyberdreigingen.
• Risicobeoordeling: het regelmatig uitvoeren van risicobeoordelingen is een vereiste om kwetsbaarheden in digitale systemen te identificeren en passende maatregelen te treffen om deze risico’s te verminderen.
• Bescherming van kritieke diensten: gemeentelijke digitale diensten die als kritiek worden beschouwd vereisen dat er specifieke beveiligingsmaatregelen worden geïmplementeerd. Daarnaast hebben zij een meldingsplicht voor incidenten waarbij er sprake is van impact op de beschikbaarheid en integriteit van deze diensten.
• Certificering van beveiligingsmaatregelen: om aan te tonen dat de digitale diensten voldoen aan bepaalde beveiligingsnormen kunnen gemeenten de diensten laten certificeren.
• Beveiligingsmaatregelen: de wet vereist specifieke technische en organisatorische beveiligingsmaatregelen, zoals het gebruik van firewalls, antivirussoftware, toegangscontrolemechanismen en versleuteling.
• Samenwerking en informatie-uitwisseling: het wordt aangeraden om samen te werken met andere overheden, instanties of organisaties om informatie over cyberdreigingen en -incidenten te delen, zodat er gezamenlijk actie kan worden ondernomen op beveiligingsuitdagingen.
• Continuïteitsplanning: het ontwikkelen van plannen voor bedrijfscontinuïteit en incidentrespons is een vereiste, zodat de gemeentelijke dienstverlening kan worden voortgezet in geval van een cyberaanval en niet geheel stil komt te liggen.
• Gegevensbescherming: het is van belang dat de bescherming van persoonsgegevens wordt gewaarborgd in overeenstemming met de relevante privacywetten zoals de Algemene Verordening Gegevensbescherming (AVG).
• Training en bewustwording: het is vereist om medewerkers op te leiden en daarbij bewustwording te creëren over cybersecurity en procedures voor incidentrespons.
• Gegevensretentie en archivering: het is van belang om een beleid te implementeren voor gegevensretentie en -archivering voor onderzoek en analyse over beveiligingsincidenten.

Deze richtlijn heeft als doel de beveiliging van netwerk- en informatiesystemen binnen de EU-lidstaten te verbeteren en gaat over kritieke infrastructuursectoren en digitale dienstaanbieders. De vele datalekken en hacks laten zien dat de cyberdreiging flink is verhoogd waardoor de NIS-richtlijn opnieuw is bekeken en een upgrade heeft gekregen. NIS Directive 2 geeft maatregelen om een hoog niveau van cyberbeveiliging te waarborgen. De deadline om aan de verplichtingen te voldoen is 17 oktober 2024.

De belangrijkste verplichtingen  op een rij:

• Bestuurlijke verantwoordelijkheid: het bestuur van een organisatie dient cyberbeveiligingstrainingen te volgen en intern streng toezicht te houden.
• Beveiligingsmaatregelen: gemeenten zullen strengere beveiligingsmaatregelen moeten implementeren voor hun netwerk- en informatiesystemen. Ook zullen zij passende risicobeoordelingen en beveiligingsplannen opstellen.
• Minimale beveiligingseisen: gemeenten dienen minimaal te voldoen aan de basis beveiligingseisen zoals het beheer van risico’s van derden.
• Security certificering: gemeenten dienen aan te tonen dat zij voldoen aan de minimale (cyber)beveiligingseisen aan de hand van een (cyber)beveiligingscertificaat.
• Meldplicht voor beveiligingsincidenten: ernstige beveiligingsincidenten dienen binnen 24 uur gemeld te worden aan de nationale autoriteiten waardoor een betere coördinatie en respons op cyberincidenten mogelijk wordt.
• Security team: een Computer Security Incident Response Team (CSIRT) dient opgezet te worden zodat dit team hulp kan verlenen bij een dreiging of incident in het netwerk- en/of informatiesysteem.
• Samenwerking en informatie-uitwisseling: een samenwerking en informatie-uitwisseling tussen publiek en private zal ervoor moeten zorgen dat gemeenten meer betrokken kunnen worden bij bredere samenwerkingsinspanningen.
• Toezicht en handhaving: om ervoor te zorgen dat gemeenten voldoen aan de beveiligingsvereisten zullen zij worden onderworpen aan toezicht en handhaving. Zo zullen er security audits worden uitgevoerd, welke kunnen leiden tot boetes wanneer blijkt dat zij niet of onvoldoende voldoen aan de wet-en regelgeving.
• Boetes: organisaties die de regels niet naleven lopen het risico op het krijgen van een boete van minimaal 10 miljoen euro of 2% van de totale wereldwijde omzet.
• Ethische hackers: ethische hackers krijgen de gelegenheid om kwetsbaarheden in de netwerk- en informatiesystemen te vinden met het doel om deze kwetsbaarheden op te lossen.

De Cyber Resilience Act is een cruciale wetgeving die specifiek gericht is om kosten van het afhandelen van cyberincidenten en reputatieschade te verlagen. Cyberdreigingen blijven stijgen en cybercriminelen worden steeds sluwer. Het doel van deze wet is om een “appropriate level of cybersecurity based on the risks” te hebben wat ook aansluit bij de AVG.

De CRA verplicht dat fabrikanten van producten met digitale elementen ‘security by design’ dienen te hanteren. Dit betekent dat de beveiliging van de digitale producten op orde moet zijn, er een samenhangend cyberbeveiligingskader is en dat er transparante beveiligingskenmerken zijn zodat bedrijven en burgers een veilig digitaal product kunnen gebruiken.

De verwachting is dat deze wet begin 2024 van kracht wordt en dat iedereen zich hier medio 2025 aan moet houden. De belangrijkste verplichtingen voor gemeenten op een rij:

• Risicoanalyse: risicoanalyses dienen met regelmaat uitgevoerd te worden om de kwetsbaarheden en bedreigingen voor de gemeentelijke systemen te identificeren.
• Beleid en procedures: gemeenten dienen duidelijke beleidslijnen en procedures te ontwikkelen voor de bescherming van persoonsgegevens en systemen tegen cyberaanvallen inclusief handhaving.
• Cyberbeveiligingstraining: het is van belang dat medewerkers worden getraind over de basisprincipes van cyberbeveiliging, zodat zij ook bewust zijn wat het allemaal betekent.
• Netwerkbeveiliging: het is vereist om een firewall en intrusion detection systeem te hebben om ongeautoriseerde toegang te voorkomen.
• Gegevensversleuteling: gevoelige gegevens zullen moeten worden versleuteld om te voorkomen dat ze worden gestolen of worden gelekt.
• Incident responsplan: het opstellen van een gedetailleerd incident responsplan is een vereiste om snel te reageren op mogelijke cyberaanvallen.
• Patchbeheer: om bekende kwetsbaarheden te dichten is het van belang dat software en systemen tijdig worden bijgewerkt en updates worden uitgevoerd, dit om privacy risico’s zoals datalekken te beperken.
• Toegangscontrole: het beheer van toegangsrechten is cruciaal om ervoor te zorgen dat alleen geautoriseerd personeel toegang heeft tot bepaalde systemen en gegevens.
• Back-up en herstel: er dienen regelmatig back-ups van gegevens gemaakt te worden en de herstelprocedures dienen regelmatig getest te worden.
• Samenwerking en informatie-uitwisseling: het wordt aangeraden dat gemeenten samenwerken met andere overheidsinstanties en organisaties om informatie en best practices over cyberbeveiliging te delen. Ook is het raadzaam om samen te werken met experts in cyberbeveiliging om de organisatie te beschermen tegen cyberdreigingen.

De Single Digital Gateway heeft als doel het creëren van één enkel digitaal portaal waar burgers en bedrijven toegang kunnen krijgen tot informatie en diensten van overheidsinstanties in de hele Europese Unie. Het is in oktober 2018 aangenomen en vanaf eind 2023 van kracht.

Voor gemeenten betekent dit dat ze de mogelijkheid hebben om informatie en diensten efficiënter en gebruiksvriendelijker aan te bieden aan hun inwoners en lokale organisaties. Hierdoor wordt bureaucratie verminderd met als gevolg een betere dienstverlening. Deze digitale transformatie is nodig zodat diensten bij gemeenten strakker digitaal worden ingericht en/of worden geoptimaliseerd.

De belangrijkste verplichtingen op een rij:

• Informatieverplichting: het geven van accurate en actuele informatie over rechten, plichten en procedures die van belang zijn voor burgers en organisaties is een vereiste voor overheidsinstanties.
• Toegang tot online formulieren: burgers en organisaties zullen de mogelijkheid hebben om digitale formulieren in te kunnen vullen en te kunnen indienen voor administratieve procedures, vergunningen, aanvragen etc.
• Eenvoudige toegang tot regelgeving: alle relevante nationale en Europese wet- en regelgeving dient eenvoudig toegankelijk te zijn voor alle burgers en organisaties.
• Contactmogelijkheden: overheidsinstanties dienen duidelijke contactgegevens en communicatiemogelijkheden aan te bieden wanneer burgers of organisaties vragen hebben.
• Online dienstverlening: diensten die het aanvragen van documenten, vergunningen of certificaten mogelijk maken, zullen online beschikbaar worden gesteld.
• Informatie over deadlines en kosten: burgers en organisaties zullen worden geïnformeerd over de geschatte kosten, verwerkingstijden en deadlines voor verschillende procedures.
• Beschikbaarheid in meerdere talen: informatie en diensten zullen in meerdere officiële Europese talen worden aangeboden om de toegankelijkheid te vergroten.
• Informatie over klachtenprocedures: er zal informatie worden gedeeld over hoe burgers en organisaties klachten kunnen indienen in het geval van een probleem of ontevredenheid.
• Elektronische identificatie en authenticatie: de elektronische identificatie en authenticatie die nodig is voor online transacties en dienstverlening wordt mogelijk gemaakt.
• Koppeling met andere overheidsinstanties: het faciliteren van gegevensuitwisseling met verschillende overheidsinstanties om de coördinatie en efficiëntie te verbeteren.

De European Data Spaces als speerpunt van de Europese data strategie die in 2020 is voorgesteld met als uitvoering meerdere wetten zoals de Data Governance Act, Data Act en Open Data Directive.

De open data spaces biedt gemeenten de wettelijke ruimte om gegevens te delen, te innoveren en de kwaliteit van hun dienstverlening te verbeteren en te moderniseren. Het is van essentieel belang dat gemeenten zorgvuldig overwegen hoe ze hieraan deel willen nemen en welke gegevens zij op vrijwillige basis delen, en niet te vergeten de bijkomende privacy- en beveiligingsaspecten.

De belangrijkste verplichtingen op een rij:

• Gegevensuitwisseling: het kan gemeenten helpen bij het delen van relevante gegevens met andere overheidsinstanties, het bedrijfsleven en onderzoeksinstanties. De verbeterde gegevensuitwisseling draagt bij aan een gedegen besluitvorming en beleidsontwikkeling.
• Interoperabiliteit: een belangrijk aspect van de European Data Spaces is het bevorderen van interoperabiliteit, wat betekent dat gegevens gemakkelijk kunnen worden gedeeld tussen verschillende systemen en organisaties. Gemeenten kunnen profiteren van gestandaardiseerde gegevensformats en protocollen, waardoor ze gegevens effectiever kunnen delen en gebruiken.
• Data-eigenaarschap en verantwoordelijkheid: er zullen duidelijke regels en verantwoordelijkheden moeten worden vastgesteld met betrekking tot het eigendom en gegevensbeheer.
• Toestemming: betrokkenen moeten controle hebben over hun eigen gegevens en dienen expliciet toestemming te geven voor het delen en gebruiken hiervan binnen de Data Spaces.
• Innovatie: via de European Data Spaces is er toegang tot een breder scala aan gegevensbronnen die innovatie stimuleren. Gemeenten kunnen deze gegevens gebruiken voor nieuwe diensten, toepassingen en oplossingen die de kwaliteit van leven in hun gemeenschap verbeteren.
• Efficiëntere openbare diensten: door gegevensuitwisseling en deze te gebruiken kunnen gemeenten de efficiëntie van openbare diensten verbeteren. Dit kan leiden tot kostenbesparingen, betere planning en een verhoogde tevredenheid van inwoners.
• Europese samenwerking: gemeenten kunnen via de European Data Spaces deel uitmaken van bredere Europese samenwerkingsinitiatieven. Hierdoor kunnen gemeenten elkaar helpen via best practices en het uitwisselen van ervaringen met andere steden en regio’s, en daarnaast deelnemen aan Europese projecten.
• Gegevensbescherming: gemeenten zullen zorgvuldig na moeten denken over gegevensbeheer en beveiliging bij deelname aan European Data Spaces. Het waarborgen van de privacy en beveiliging van gegevens is essentieel, aangezien persoonsgegevens worden gedeeld en toegankelijk zijn voor verschillende partijen. Hier dienen gemeenten extra zorgvuldig mee om te gaan.
• Privacy bescherming: er dienen mechanismen te zijn ingericht om de privacy van betrokkenen te beschermen, inclusief naleving van de relevante gegevensbeschermingswetgeving zoals de AVG.
• Inclusiviteit: door deze European Data Spaces worden verschillende organisaties en gemeenten erbij betrokken. Discrimineren op basis van bijvoorbeeld grootte van de organisatie of technische capaciteiten is niet toegestaan.

De Open Data Directive is bedoeld om af te dwingen dat overheidsinstanties bepaalde gegevens zoals gegevens over milieu, vervoer en overheidsdiensten die worden verzameld en beheerd, openbaar beschikbaar stellen en hergebruiken. Dit met het doel om de digitale transformatie te stimuleren. De toegang tot overheidsinformatie wordt hierdoor verbeterd en daardoor kan de data worden hergebruikt voor innovatie, economische groei en maatschappelijke doelen.

Deze richtlijn is in het begin van 2019 vastgesteld en in het jaar 2021 in werking getreden. Ons land loopt hierop wel achter en heeft deze richtlijn nog niet omgezet in nationale wetgeving. Hierdoor zal Nederland verantwoording afleggen aan het Hof van Justitie.

De belangrijkste verplichtingen op een rij:

• Principe van hergebruik: overheidsinstanties dienen ervoor te zorgen dat de overheidsinformatie beschikbaar is voor hergebruik. Het omvat informatie in digitale vorm en informatie die eventueel digitaal beschikbaar gesteld kan worden.
• Geen exclusieve rechten: exclusieve rechten, zoals auteursrechten, kunnen het hergebruik van overheidsinformatie belemmeren, dus zorg ervoor dat er geen exclusieve rechten zijn.
• Toepassing van standaarden: overheidsinformatie dient zoveel mogelijk te worden gepubliceerd in machinaal leesbare formaten en onder open standaarden.
• Communicatie binnen systemen: streef bij het delen van informatie naar interoperabiliteit van overheidsinformatie waarbij systemen laagdrempelig data met elkaar kunnen uitwisselen, zodat deze gemakkelijk kan worden gecombineerd en hergebruikt.
• Geen beperkingen: leg geen beperkingen op aan hergebruik van overheidsinformatie op basis van nationaliteit of vestigingsplaats.
• Transparante en redelijke kosten: kosten die in rekening worden gebracht voor het hergebruik van overheidsinformatie moeten transparant zijn, redelijk en gebaseerd zijn op kostenoriëntatie.
• Gemeenschappelijke toegangsrechten: gemeenschappelijke toegangsrechten tot overheidsinformatie inclusief de voorwaarden voor hergebruik moeten worden vastgesteld.
• Uitsluitingen en beperkingen: in sommige gevallen, bij specifieke belangen zoals bij privacy en veiligheid, is het noodzakelijk om uitsluitingen en beperkingen vast te stellen voor het hergebruik van overheidsinformatie.
• Toezicht en rapportage: lidstaten dienen toezicht te houden of de wet wordt nageleefd en zullen regelmatig rapporteren aan de Europese Commissie over de voortgang.
• Promotie en bewustwording: lidstaten moeten maatregelen nemen om het bewustzijn over de beschikbaarheid van overheidsinformatie voor hergebruik te vergroten en het gebruik ervan te bevorderen.

De Data Governance Act richt zich op de processen en structuren van data. De wet heeft als doel het stimuleren van gegevensverdeling, het bevorderen van concurrentievermogen en innovatie én het waarborgen van een veilige en verantwoorde omgang met gegevens.

De DGA is op 23 juni 2022 in werking getreden, echter pas van toepassing per september 2023. De DGA is van belang voor gemeenten om te helpen bij het verbeteren van hun omgang met gegevens wat leidt tot betere dienstverlening en innovatie.

De belangrijkste verplichtingen op een rij:

• Toegang tot publieke gegevens: er dienen voorwaarden gesteld te worden voor toegang tot publieke gegevens, met name gegevens die worden beheerd door overheidsinstanties zoals gemeenten. Installeer mechanismen om toegang tot gegevens te reguleren.
• Rechten van gegevensproducenten: de rechten van gegevensproducenten dienen beschermd te worden, waaronder eigendomsrechten en het recht op gegevensportabiliteit (het overdragen van gegevens).
• Toegankelijkheid gegevens: de Data Governance Act beoogt de toegang tot gegevens te vergemakkelijken voor innovatie, met inbegrip van de toegang tot bedrijfsgegevens voor hergebruik.
• Gegevensintermediairs: de oprichting en werking van gegevensintermediairs, die dienen als tussenpersonen voor gegevensdiensten, dienen te worden vastgelegd.
• Gegevensbeschikbaarheid en vertrouwelijkheid: er dienen maatregelen genomen te worden om de beschikbaarheid en vertrouwelijkheid van gegevens te kunnen waarborgen.
• Gegevensportabiliteit: de wet streeft naar het vergemakkelijken van gegevensportabiliteit, waardoor het gemakkelijker wordt voor organisaties en individuen om gegevens van de ene dienst naar de andere over te dragen.
• Bevordering van databeheerdiensten: er wordt een kader vastgesteld om de ontwikkeling en bevordering van databeheerdiensten te ondersteunen.
• Onafhankelijke controleorganen: om toezicht te houden op de naleving van de regels en voorschriften uit de DGA kunnen er onafhankelijke controleorganen worden opgericht.
• Certificeringen: om organisaties te helpen voldoen aan de vereisten vanuit de DGA worden er certificeringen opgesteld.
• Toegang en hergebruik van gegevens: de wetgeving bevat bepalingen voor de toegang en het hergebruik van gegevens voor het algemeen belang, zoals voor onderzoek, milieu en het verbeteren van de levering van overheidsdiensten.

De Data Act is een veelbesproken en impactvolle wet, deze wet zal op 12 september 2025 van kracht worden. Deze wet is bedoeld om regels te hebben voor toegang tot en het gebruik van gegevens die door slimme apparaten worden uitgewisseld. Deze slimme apparaten zoals slimme meters, een smart TV, medische apparatuur, deurbellen en connected cars verzamelen veel unieke informatie die vooral bij de fabrikanten in beheer blijft. Via de Data Act zullen betrokkenen makkelijker toegang hebben en inzicht krijgen tot de informatie.

De belangrijkste verplichtingen op een rij:

• Transparantie: gemeenten dienen transparant te zijn over het verzamelen en beheren van data. Burgers moeten duidelijkheid krijgen over welke data er van hen wordt verzameld en zullen toegang krijgen tot hun data op verzoek zonder bijkomende kosten.
• Clouddiensten: gemeenten maken gebruik van clouddiensten. Het overstappen is vereenvoudigt. Voor de eerste 3 jaar nadat de Data Act actief is mogen de cloud-aanbieders een vergoeding vragen aan gebruikers, hierna is de cloud overstap gratis.
• Overheid en data: overheidsinstanties hebben toegang tot data wanneer zij voldoen aan de voorwaarden, namelijk; bij een noodsituatie, bij het voorkomen van een noodsituatie en wanneer zij een noodzakelijk belang hebben bij het uitvoeren van hun taken in het algemeen belang oftewel op basis van één van de zes AVG-grondslagen, namelijk het algemeen belang.
• Contracten: er zijn verschillende bepalingen in contracten die worden verplicht of juist worden verboden. Zo wordt de mogelijkheid tot cloud overstap verplicht. Contracten die tegen goede trouw en eerlijke handel zijn (zoals het sluiten van een paragraaf over grove nalatigheid en aansprakelijkheid) worden verboden.
• Gegevensuitwisseling: deze Act bevat regels en voorwaarden bij de gegevensuitwisseling tussen organisaties onderling en dat het onder een eerlijke, redelijke, transparante en niet-discriminerende manier wordt uitgewisseld.
• Gegevenswaarborging: er dient te worden gewaarborgd dat er geen onrechtmatige gegevens worden overgedragen zonder een mededeling vooraf, bijvoorbeeld aan derde landen die toegang willen tot bepaalde data.
• Gegevensbescherming: de fabrikanten dienen passende technische en organisatorische maatregelen te nemen om de gegevens adequaat te beschermen. Voor gemeenten een aspect om rekening mee te houden.
• Bijzonderheid: de European Data Protection Supervisor heeft aangegeven dat de Data Act geen afbreuk mag doen aan de bescherming van persoonsgegevens en dus de AVG een hogere prioriteit heeft.
• Internationale doorgifte: de AVG biedt al verplichtingen over internationale doorgifte van persoonsgegevens en de Data Act heeft strikte regels voor de doorgifte van niet-persoonsgebonden gegevens aan landen buiten de EU, in het bijzonder bij informatieverzoeken van buitenlandse autoriteiten.
• Toezicht en handhaving: de Data Act bepaalt dat elk land zijn eigen toezichthouder krijgt en daarnaast een sanctiebeleid opstelt. Hierbij dient rekening te worden gehouden met verschillende factoren zoals de ernst van de inbreuk en de jaaromzet van de overtreder.

De AI Act heeft als doel om een balans te hebben voor de bevordering van innovatie door het gebruik van AI, algoritmes en machine learning en aan de andere kant de bescherming van de rechten, de veiligheid en het welzijn van Europese burgers en de maatschappij.

De verordening volgt een risico gebaseerde benadering en stelt verplichtingen voor aanbieders en gebruikers. Dit afhankelijk van het risiconiveau dat een AI-systeem met zich meebrengt.

De AI Act is op 9 december 2023 aangenomen en definitief, en zal per maart 2024 van kracht zijn.

De belangrijkste verplichtingen op een rij:

• Verboden AI-praktijken: de AI Act verbiedt een aantal praktijken zoals emotieherkenning op de werkvloer of het categoriseren van mensen op basis van biometrische kenmerken (ras, seksuele geaardheid of religie). Dit is omdat deze een te groot risico vormen voor de fundamentele rechten van personen.
• Duidelijkheid: het moet duidelijk zijn voor gebruikers dat zij met een AI-robot communiceren.
• AI-systemen met hoog risico: voor vijf categorieën zoals overheidsinstanties geldt dat zij verplicht een Fundamental Rights Impact Assessment (FRIA) uit dienen te voeren bij hoog risico AI-systemen. Dit om risico’s in kaart te brengen voor de zes onderwerpen namelijk; procesbeschrijving, periode en frequentie, categorieën betrokkenen, specifieke risico’s, implementatie maatregelen en beheersmaatregelen.
• Transparantie en aansprakelijkheid: de AI Act bevat regels voor transparantie en aansprakelijkheid voor AI-systemen, algoritmes en machine learning, zodat gebruikers inzicht hebben in de logs (die 6 maanden worden bewaard) en hoe beslissingen zijn gemaakt. Daarbij wie er verantwoordelijk is voor eventuele schade.
• Gegevensgebruik en privacy: de act kijkt ook naar het gegevensgebruik in verband met AI en benadrukt het belang van privacy en beveiliging.
• Conformiteitsbeoordeling: ook introduceert het een systeem voor conformiteitsbeoordeling met een CE-logo die organisaties krijgen toegewezen wanneer zij compliant zijn volgens de AI Act.
• Systeem inregelen: organisaties dienen een systeem in te richten om in de praktijk zorg te dragen voor data kwaliteit en een systeem in te regelen voor risico beheersing.
• Menselijk toezicht: hiermee wordt bedoeld dat er een adequaat getraind persoon vanuit de organisatie is, die onderdeel is van de besluitvorming (in-the-loop) of minstens nauw toezicht (in-command) houdt, bij AI-praktijken.
• Toezicht en handhaving: de AI Act bepaalt dat elk land zijn eigen toezichthouder krijgt die er zorg voor draagt dat de AI Act wordt gevolgd en toegang heeft tot de documentatie, bindende aanwijzingen kan geven, bevelen om AI te stoppen bij risico’s en boetes kan opleggen.
• Boetes: mochten organisaties zich onvoldoende houden aan de AI Act dan kunnen zij een boete verwachten van 7,5 miljoen, 15 miljoen of 35 miljoen euro afhankelijk van de zwaarte van de overtreding. In percentages is dit 1,5%, 3% en 7% van de wereldwijde omzet. Voor mkb en startups zullen de boetes lager uitvallen.

De Europese Unie wil met de eIDAS 2.0 een Europees kader voor digitale identiteit creëren, zodat het makkelijker wordt om binnen Europa zaken online te regelen en dat burgers veilig kunnen inloggen. Vooral organisaties die DigiD en eHerkenning leveren komen in aanraking met de eIDAS 2.0 verordening. De overheid geeft aan dat deze elektronische vertrouwensdiensten diensten zijn die het vertrouwen in online transacties bij bedrijven en consumenten vergroten.

De verwachting is dat het voor gemeenten verplicht wordt om zich vanaf het jaar 2025 aan de eIDAS 2.0 verordening te houden.

De belangrijkste verplichtingen op een rij:

• Erkenning van eID-middelen: gemeenten dienen eID-middelen (elektronische identificatie en authenticatie middelen) uit andere EU-lidstaten te erkennen en te accepteren, zodat EU-burgers met hun digitale identiteit toegang krijgen tot andere lokale overheidsdiensten.
• Implementatie van eIDAS-conforme eID-oplossingen: om deel te kunnen nemen aan het eIDAS-netwerk is het van belang dat gemeenten eID-oplossingen implementeren die voldoen aan de technische en juridische vereisten van de eIDAS.
• Veilige digitale handtekeningen: het is een vereiste dat gemeenten de mogelijkheid bieden om digitale handtekeningen te gebruiken bij digitale transacties. eIDAS definieert drie niveaus in digitale handtekeningen, zoals een ingescande handgeschreven handtekening of een handtekening met een code die extra beveiligd is.
• Juridische elektronische handtekeningen: de elektronische handtekeningen dienen juridisch gelijkwaardig te zijn aan handgeschreven handtekeningen voor relevante transacties.
• Gegevensbescherming: het waarborgen van de privacy en gegevensbescherming van burgers zal voor gemeenten voorop moeten staan bij het gebruik van eID-middelen en andere diensten.
• Veilige toegang tot e-diensten: het is van belang dat gemeenten ervoor zorgen dat burgers veilig toegang krijgen tot elektronische diensten door gebruik te maken van eIDAS-conforme identificatiemiddelen.
• Tijdstempels: gemeenten zullen tijdstempels ondersteunen om de integriteit en authenticiteit van elektronische documenten te waarborgen.
• Beveiligde elektronische bezorging: het is een vereiste dat gemeenten elektronische bezorgingsdiensten aanbieden die bewijs leveren van de verzending en ontvangst van documenten.
• Informatievoorziening: burgers dienen geïnformeerd te worden over het gebruik van eIDAS-conforme vertrouwensdiensten en de rechten en verplichtingen die hiermee samenhangen.
• Samenwerking met andere overheidsinstanties: de samenwerking met andere overheidsinstanties, zowel nationaal als internationaal, is vereist om de uitwisseling van eID-gegevens en vertrouwensdiensten te vergemakkelijken en te coördineren.

U-Space staat voor “Unmanned Aircraft Systems (UAS)” en de regulations zijn een reeks voorschriften en regels die gaan over het beheer van het luchtruim voor onbemande vliegtuigen – zoals drones – in stedelijke en dichtbevolkte gebieden. In Nederland is deze regeling per 26 januari 2023 van kracht.

Het helpt gemeenten bij het reguleren van drone-activiteiten binnen hun jurisdicties, het handhaven van de veiligheid, het waarborgen van de privacy van hun inwoners én natuurlijk het bijhorende beleid en procedures.

De belangrijkste verplichtingen op een rij:

• Registratieplicht: drone operators dienen verplicht hun drone te registreren bij de gemeente en moeten hierbij relevante informatie verstrekken, zoals de gebruiker en het serienummer van de drone.
• Toestemming voor vluchten: drone operators zullen toestemming moeten vragen bij de gemeentelijke autoriteiten voor het uitvoeren van dronevluchten binnen de stadsgrenzen.
• No-fly zones: bepaalde gebieden kunnen door gemeenten worden aangeduid als ‘no-fly zones’, hier zijn dronevluchten dus verboden. Denk bijvoorbeeld aan gebieden rondom luchthavens, openbare evenementen of op locaties met een gevoelige infrastructuur.
• Veiligheidsafstanden: gemeenten kunnen eisen stellen aan de minimale afstanden die drones moeten bewaren ten opzichte van personen, gebouwen en voertuigen om de veiligheid te waarborgen.
• Vlieghoogte eisen: maximale vlieghoogtes kunnen door gemeenten worden vastgesteld om conflicten met bemande luchtvaartuigen en privacy kwesties te voorkomen.
• Privacybescherming: om de privacy van inwoners te beschermen kunnen gemeenten speciale regels opleggen, bijvoorbeeld het beperken van het gebruik van camera’s of gegevensverzameling.
• Geluidsnormen: gemeenten hebben ook de optie om regels op te leggen voor het geluidsniveau dat drones mogen maken om overlast voor omwonenden te beperken.
• Verzekeringseisen: drone operators worden verplicht voor het hebben van een aansprakelijkheidsverzekering om eventuele schade te dekken in geval van ongevallen.
• Veiligheidstraining: gemeenten hebben de mogelijkheid tot het vorderen van training en certificering voor drone operators om ervoor te zorgen dat ze de nodige kennis en vaardigheden hebben om veilig te opereren.
• Handhaving en boetes: handhavingsmechanismes en boetes dienen door de gemeenten te worden vastgesteld voor overtredingen van de regelgeving om ervoor te zorgen dat de voorschriften worden nageleefd.

Deze wet zal de huidige e-commerce wet uit 2000 gaan vervangen. De DSA gaat over transparantie in het digitaal adverteren, zodat tussenhandelsdiensten, search engines en grote online platforms verantwoordelijk digitaal adverteren. De Deense Christel Schaldemose die verantwoordelijk is voor het wetsontwerp heeft met deze wet de intentie om alles wat offline verboden is, ook online te verbieden.

Het gaat dus over modernisatie van digitale dienstverleners en de rechten en veiligheid van gebruikers in de digitale wereld. Gemeenten maken gebruik van deze digitale platforms waardoor deze wet ook voor hen relevant is.

De zeer grote online platforms en search engines oftewel de tech reuzen zijn ook aangewezen door de Europese Commissie op 25 april 2023. Voor de tech reuzen is de wet per 25 augustus 2023 van kracht, voor de tussenhandelsdiensten per 17 februari 2024.

De belangrijkste verplichtingen op een rij:

• Transparantievereisten: online platforms moeten transparante informatie verstrekken over hun algoritmen, de manier waarop ze inhoud aanbevelen en hun advertentiepraktijken. Dit zodat de gebruiker weet waarom juist deze advertentie wordt getoond en de gebruiker via een opt-out de mogelijkheid heeft om de online profilering te stoppen.
• Bescherming van consumentenrechten: gebruikers krijgen meer grip, naast bovengenoemde opt-out kunnen zij gemakkelijk illegale content rapporteren. Advertenties mogen niet op basis van bijzondere persoonsgegevens zoals achtergrond, politieke voorkeur of seksuele geaardheid getoond worden. Daarbij komt dat de voorwaarden van de platforms in begrijpelijke taal worden aangeboden.
• Mogelijkheid om in beroep te gaan: platforms moeten mechanismen bieden waarmee gebruikers en bedrijven beslissingen over inhoudsverwijdering kunnen aanvechten.
• Verwijdering van illegale inhoud: online platforms moeten zelf inspanningen leveren om illegale inhoud te verwijderen en de verspreiding ervan te voorkomen, inclusief haatdragende taal, terroristische propaganda en kindermisbruik materiaal.
• Sterke bescherming voor minderjarigen: platforms dienen een hoog niveau van privacy, informatiebeveiliging en veiligheid voor minderjarigen te hebben. Specifieke reclames richting minderjarigen is dus ook niet meer toegestaan.
• Rapportage en samenwerking: platforms moeten rapporteren over hun advertenties en transparante rapporten beschikbaar stellen over risicobeheersing. Hiernaast moeten ze samenwerken met rechtshandhavingsinstanties.
• Niet-discriminatie en eerlijke behandeling: platforms moeten alle bedrijven op hun platforms op een niet-discriminerende manier behandelen, inclusief kleinere concurrenten.
• Onafhankelijke audit en naleving: grote platforms moeten regelmatig onafhankelijke audits laten uitvoeren door de Commissie om hun naleving van de DSA te controleren.
• Naleving van advertentieregels: advertenties moeten voldoen aan specifieke regels en platforms moeten transparantie bieden over de herkomst van advertenties.
• Coördinatie tussen lidstaten: de DSA streeft naar betere coördinatie tussen EU-lidstaten bij het handhaven van de regels en het aanpakken van grensoverschrijdende uitdagingen. Per EU-lidstaat zal een digitale coördinator worden aangewezen.

De Digital Market Act streeft naar een betere bescherming van consumentenbelangen. Gemeenten zijn betrokken bij consumentenzaken en kunnen profiteren van sterkere consumentenbescherming op digitale platforms. De Digital Market Act zoomt in op een aantal van de grootste digitale spelers in de markt, zoals grote online platforms en gatekeepers. Dit om eerlijke concurrentie te bevorderen, innovatie te stimuleren en de belangen van consumenten en zakelijke gebruikers te beschermen.

De gemeenten maken gebruik van digitale platforms en diensten waardoor de DMA ook impact voor hen heeft. Deze wet zorgt ervoor om eerlijke en transparante transacties via deze digitale platforms te waarborgen waardoor de digitale innovatie bij gemeenten zal gaan groeien. Deze wet is van kracht sinds 2023 en dus goed om onderstaande verplichtingen mee te nemen.

De belangrijkste verplichtingen op een rij:

• Definitie van digitale poortwachters: de DMA definieert digitale poortwachters als grote platforms met een aanzienlijke impact op de interne markt. Deze platforms hebben specifieke verplichtingen.
• Niet-discriminatie en eerlijke behandeling: digitale poortwachters moeten alle zakelijke gebruikers op hun platform op een niet-discriminerende en eerlijke manier behandelen. Ze mogen hun eigen diensten niet bevoordelen ten opzichte van concurrerende diensten.
• Interoperabiliteit: digitale poortwachters kunnen worden verplicht om de interoperabiliteit van hun diensten mogelijk te maken, zodat gebruikers gegevens en informatie gemakkelijk kunnen delen tussen verschillende platforms.
• Toegang tot gegevens: digitale poortwachters moeten mogelijk toegang verschaffen tot bepaalde gegevens aan concurrerende diensten, mits aan bepaalde voorwaarden wordt voldaan.
• Verbod op zelfpreferentie: digitale poortwachters mogen hun eigen diensten niet voortdurend bevoordelen in de zoekresultaten, rangschikkingen of aanbevelingen.
• Transparantievereisten: digitale poortwachters moeten transparantie bieden over hun rangschikkingscriteria en de manier waarop ze gegevens van gebruikers gebruiken.
• Verbod op bepaalde praktijken: de DMA verbiedt bepaalde oneerlijke praktijken, zoals het weigeren van toegang tot gegevens, het belemmeren van de overdraagbaarheid van gegevens en het ongerechtvaardigd blokkeren of verwijderen van content.
• Onafhankelijke controle en handhaving: de DMA voorziet in onafhankelijke autoriteiten die verantwoordelijk zijn voor de handhaving van de regels en de beoordeling van nalevingsmaatregelen.
• Sancties: mochten er digitale poortwachters zijn die deze regels overtreden dan zijn er reusachtige boetes.
• Rapportageverplichtingen: de DMA verplicht digitale poortwachters om regelmatig te rapporteren over hun naleving van de DMA.