De Autoriteit Persoonsgegevens (AP) controleert vanaf 1 juli 2026 of gemeenten de inzet van scanauto’s hebben opgenomen in hun algoritmeregister. Uit een recente thematische studie van de AP bleek namelijk dat tot dan toe minder dan de helft van de onderzochte gemeenten dat had gedaan.

Gemeenten gebruiken scanauto’s steeds vaker voor parkeerhandhaving. Daarbij gebruiken zij algoritmes en verwerken zij persoonsgegevens. Het is belangrijk dat mensen dat weten: welke algoritmes gebruikt de overheid en waarvoor?

Een volledig algoritmeregister draagt bij aan die transparantie. Daarnaast helpt het gemeenten zicht te houden op de werking, toepassing en impact van de algoritmes die zij gebruiken.

Meer dan alleen kentekens scannen

Scanauto’s combineren scantechnologie, algoritmes en soms AI-toepassingen in één proces. Dat blijkt uit de studie. Tegelijkertijd richten gemeenten dat proces allemaal nét even anders in. Dat gebeurt al in het inkoopproces bij de aanbesteding en systeemkeuze, maar ook bij de evaluatie en beheersing van risico’s.

Daardoor vraagt verantwoord gebruik van scanauto’s om meer dan alleen aandacht voor de techniek. Voor functionarissen gegevensbescherming (FG’s) ligt daar een belangrijke taak. 

De AP ziet 3 belangrijke aandachtspunten:

1. Neem scanauto’s op in het algoritmeregister

Minder dan de helft van de onderzochte gemeenten heeft de inzet van scanauto’s geregistreerd in het algoritmeregister. Terwijl gemeenten transparant moeten zijn over de algoritmes die zij gebruiken.

Zo kunnen burgers begrijpen hoe besluiten tot stand komen. Bovendien helpt een volledig register gemeenten om zicht te houden op de werking, toepassing en impact van de algoritmes die ze inzetten. De AP controleert vanaf 1 juli 2026 of gemeenten dit op orde hebben.

2. Een eigen DPIA is onmisbaar

Opvallend genoeg konden niet alle onderzochte gemeenten een DPIA overleggen. Sommige gemeenten verwezen naar een DPIA van hun parkeerdienstverlener. Dat is onvoldoende.

De gemeente blijft verwerkingsverantwoordelijke en moet dus zelf de privacyrisico’s beoordelen en vastleggen. Daarbij gaat het niet alleen om de kans op een datalek. Ook spelen vragen als:

• Welke persoonsgegevens verwerkt de gemeente?
• Hoe groot is de schaal van de verwerking?
• Welke risico’s brengt die schaal met zich mee?
• Hoe informeert de gemeente de inwoners over het gebruik van de scanauto?

FG’s hebben hierbij een belangrijke controlerende rol. Zij kunnen beoordelen of de DPIA volledig is en of de gemeente de risico’s voldoende heeft afgewogen.

3. Voorkom doelverschuiving

Een gemeente kan een scanauto inzetten voor parkeercontrole. Diezelfde technologie kan later ook worden gebruikt voor het signaleren van afval dat naast containers is geplaatst of defecte straatverlichting.

Voor elk nieuw doel moet de gemeente echter opnieuw beoordelen of de verwerking rechtmatig is en welke waarborgen nodig zijn. Nieuwe toepassingen brengen namelijk ook nieuwe privacyrisico’s met zich mee.

FG’s kunnen gemeenten helpen om deze afweging tijdig te maken en kritisch te toetsen of nieuwe toepassingen binnen de privacyregels passen.

Kritische blik van FG’s nodig

De inzet van scanauto’s laat zien dat verantwoord gebruik van technologie niet alleen een technische opgave is. 

Deze versturen we 3-4x per jaar.