Stad Antwerpen zette stemopnamen van bewoners onversleuteld op Google-cloud

De stad Antwerpen heeft stemopnamen van bewoners onversleuteld op een cloud van Google gezet, zo zegt de Geschillenkamer van de Gegevensbeschermingsautoriteit. De GBA heeft de stad berispt, omdat de stad met een experiment de AVG overtrad op diverse manieren.

De stad moet de geluidsopnamen direct vernietigen, zo zegt de Geschillenkamer. De stad had dertig microfoons geplaatst om geluidsoverlast op te nemen. Vervolgens deed software een stemanalyse op geluidsfragmenten van tien seconden per stuk die 's avonds en 's nachts te hard klonken, om zo mensen te kunnen aanmoedigen om stiller te doen.

Die proef overtrad op diverse manieren de AVG. Ten eerste was het opnemen van stemmen in geluidsbestanden het ongemerkt opslaan van biometrische gegevens. Daarnaast was het opnemen van de inhoud van gesprekken ook tegen de AVG. Ook het opslaan van die gegevens op de servers van Google, een Amerikaans bedrijf, zonder beschermende maatregelen was ontoelaatbaar. Er volgt geen boete voor de overtreding, alleen het gebod om de opnamen te vernietigen.

Reacties (37)

[NicoHF]

Zoveel overtredingen en dan niet eens een boete???

Waarom volgt er geen boete, dat had een mooie aanvulling op het artikel geweest.

"Bij het opleggen van de sanctie, hield de Geschillenkamer rekening met het feit dat het om een in de tijd beperkt innovatieproject ging dat bedoeld was om een erkend probleem (geluidsoverlast) op te lossen, en dat de stad had meegewerkt aan het onderzoek."

[Reactie gewijzigd door NicoHF op 19 februari 2025 18:57]

[Yestix]

Waarschijnlijk omdat in België geen administratieve geldboeten in het kader van AVG opgelegd kunnen worden aan "de overheid en hun aangestelden of gemachtigden, tenzij het gaat om een publiekrechtelijke rechtspersoon die goederen of diensten aanbiedt op een markt."

[Coolstart]

Klopt helemaal. Dit is vastgelegd in artikel 221, §2 van de Belgische Gegevensbeschermingswet van 30 juli 2018, die de AVG aanvult en implementeert in België.

Dat artikel is in het leven geroepen om publieke gelden van de belastingbetaler te beschermen. Uiteindelijk vloeien de gelden ook terug bij de zelfde overheid.

Veel landen volgen deze logica. Het is onderwerp van discussie omdat men zo geen AVG handhaving kan doen en geen blijvende gedragsverandering kan afdwingen. Ook al komt het geld weer bij de overheid, een lokale afdeling kan wel plots te maken krijgen met een budgettekort dat men in de toekomst wil vermijden.

[jongetje]

Precies je laatste zin is waar het om zou moeten gaan.

[sebastienbo]

Het blijft wel een gat maken in het systeem, ze hadden op zijn minst ook een verplichte gdpr opleiding moeten geven aan al het personeel, en verzekeren dat dit elk jaar opnieuw afgetoetst word met een online cursus en mini quiz.

Ik wil niet dat ambtenaren keer op keer diezelfde fouten blijven maken en onze data keer op keer op internet te laten belanden.

[Reactie gewijzigd door sebastienbo op 20 februari 2025 09:07]

[RobIII]

om zo mensen te kunnen nudgen om stiller te doen

Ik wou vragen wat er met "nudgen" bedoeld werd, maar het bronartikel maakt 't niet veel duidelijker:

Deze stemafdrukken werden gebruikt om een AI-model te trainen teneinde verschillende soorten geluiden te classificeren en een "nudging"-opstelling (aanmoediging om het nachtlawaai te stoppen) te activeren.

Ja, ik weet wat een 'nudge' is (een 'duwtje' of 'por' in de 'juiste' richting in dit geval) en, ja, ik weet wikipedia te vinden, maar wat is die 'nudge' hier dan (geweest)? De wijkagent die even komt langslopen? Of een boete op je mat (bij wijze van)? Weghalen van bankjes op 'overlastplekken'?

[Reactie gewijzigd door RobIII op 19 februari 2025 19:09]

[Glodenox]

Er stond een mobiel scherm in de buurt waar de tekst "aub stil" op verscheen wanneer er te veel lawaai was.

[RobIII]

Heb je een linkje?
Edit: Ah, nevermind

[Reactie gewijzigd door RobIII op 19 februari 2025 19:16]

[Glodenox]

Het artikel van VRT heeft er een foto van: https://www.vrt.be/vrtnws...studentenbuurt-wissen-om/

[arnoldus1955]

"De Stad Antwerpen heeft 15 geluidsmeters geïnstalleerd in de studentenbuurt. Dat schrijft Gazet van Antwerpen en het nieuws is ons bevestigd. Als de microfoons te veel lawaai registreren, verschijnt er een boodschap op een mobiel scherm die studenten aanmaant stiller te zijn. "

https://www.vrt.be/vrtnws...en-stil-houden-te-veel-l/

[thebillkidy]

Weten we hier of het over de stad zelf ging of een toeleverancier?

[Horla]

Ik veronderstel dat het wel Digipolis zal zijn. Dat noemen ze hun IT-partner maar werken exclusief voor de stad. Ze hebben precies nog altijd niet veel security awareness ook al zijn ze eind 2022 gehacked geweest en heeft het hun miljoenen gekost (en niemand heeft verantwoordelijkheid moeten nemen ).

[SPee]

Met de opmerking van @Yestix hierboven lijkt het me wel te gaan om de stad.
Een "commerciële IT-partner" had dan wel een boete gekregen. In dit kader zouden ze dan waarschijnlijk alleen de uitvoerder zijn geweest.

[Horla]

Technisch gezien is het een AGB (autonoom gemeentebedrijf). Dus hangt volledig af van de gemeente.

[moggeneeve]

Hebben ze hier wel over nagedacht van te voren?

Vanaf 2022 30 microfoons plaatsen die al om 19:00 beginnen met opnemen en daar willen ze ook nog een AI model mee trainen met audio-bestanden die naar Amerika gestuurd worden... Klinkt meer als privacyschending dan innovatie.

[Accretion]

Technisch gezien is data op Google Drive toch ook 'versleuteld'?

Ook het opslaan van die gegevens op de servers van Google, een Amerikaans bedrijf, zonder beschermende maatregelen was ontoelaatbaar.

Ah, ditzelfde opslaan bij een Europese cloud provider mag dus wel?

Natuurlijk los van de talloze andere overtredingen in hetzelfde project.

De verantwoordelijke managers en uitvoerders mogen wat mij betreft gewoon per direct ontslagen worden.

Behoorlijk weinig inzicht in privacy en dataveiligheid, terwijl dat juist voor overheidsinstanties zo'n belangrijk item is.

[Krahk]

Op Google Drive kan de eigenaar alles inzien, plus alle gebruikers en systemen die toegang hebben gekregen. Ook kunnen drives gesynced worden met PCs, wat al helemaal lastig maakt om de inzage te reguleren en te controleren. Ik weet niet of Drive inzichtelijk maakt wie wanneer welke gegevens daadwerkelijk inziet, wat een belangrijke veiligheidsmaatregel is die je als (NL) overheid moet nemen. Daar naast moet je policies in plek hebben om data te verwijderen binnen bepaalde termijnen. Zo zijn er nog vele punten die je als overheid in acht moet nemen. Alleen versleuteld is dus bij lange na niet voldoende beveiliging.

Als je gegevens in de VS stalt geldt er andere wetgeving rondom die data. De overheid in de VS kan die veel makkelijk inzien dan in de EU bijvoorbeeld. Vandaar dat dit een punt is.

[MHV642]

Maar waarom moet dat (weeral) opgeslagen worden ?
De bedoeling was om een waarschuwing te geven als er te veel lawaai is, dat is dus een momentopname

[familyman]

Ik snap ook niet waarom stemanalyse nodig is, het gaat toch om geluidsniveau? Eventueel snap ik het meten van frequenties nog, omdat niet elk geluid even irritant is.

Maar dan kom ik niet op geluidsopnames bewaren uit, in mijn hoofd

[computerjunky]

Wat moeten we hier erger vinden? Dat men opgenomen wordt of dat het online gezet is?

edit: typo

[Reactie gewijzigd door computerjunky op 19 februari 2025 20:23]

[matthigast]

Dat er geen boete is.

[The Zep Man]

Een boete? Vestzak, broekzak met geld van een ander zonder dat beslissende en uitvoerende partijen dit voelen?

Dat er niemand vervolgd wordt voor nalatigheid is erger. Zijn in België ambtenaren net zo beschermd als in Nederland?

[Reactie gewijzigd door The Zep Man op 19 februari 2025 20:12]

[Vicje]

Vestzak, broekzak wordt vaker geroepen in dit soort situaties. Maar men vergeet dat de overheidsinstantie wel degelijk “last heeft” van een boete, omdat het budget nu eenmaal eerder is vastgesteld, dus een boete zou een gat in de begroting betekenen en ja. dat is zeker merkbaar.

[The Zep Man]

dat is zeker merkbaar.

Merkbaar door wie?

[Coolstart]

De verantwoordelijken. Als uw project resulteert in een forse boete en dat project dubbel zo duur uitkomt dan geraamd ga je het mogen uitleggen. En de oppositie gaat er dan ook maatregelen vragen.

De volgende keer dat persoonsgegevens illegaal verwerkt worden zullen ze 2 maal nadenken of ze geen AVG wet overtreden. Dat is het nut van een boete.

Nu er geen boete is maar een tik ops de vingers dan is de noodzaak om het in de toekomst te vermijden minder urgent = geen gedragsverandering.

[The Zep Man]

De verantwoordelijken. Als uw project resulteert in een forse boete en dat project dubbel zo duur uitkomt dan geraamd ga je het mogen uitleggen. En de oppositie gaat er dan ook maatregelen vragen.

Dat uitleggen is onderdeel van het werk van die ambtenaren. Werk doen is geen straf.

De volgende keer dat persoonsgegevens illegaal verwerkt worden zullen ze 2 maal nadenken of ze geen AVG wet overtreden. Dat is het nut van een boete.

Totdat de volgende "ze" aan de beurt is.

Nu er geen boete is maar een tik ops de vingers dan is de noodzaak om het in de toekomst te vermijden minder urgent = geen gedragsverandering.

Andersom. Men let niet op. De pakkans is laag en men komt weg met een tik op de vingers. Over de linie heen dus een laag risico.

[Reactie gewijzigd door The Zep Man op 19 februari 2025 21:38]

[Rhinosaur]

In Rotterdam zijn ambtenaren geschort die ongeoorloofd door persoonsgegevens gingen rondneuzen.

Probleem hier is waarschijnlijk dat binnen de kaders van een proef dit vaker gebeurt (m.a.w. projectleiders nemen gewoon een ingecalculeerd risico en zien wel of iemand bezwaar maakt) en dat niet aan één specifiek persoon te toewijzen, zoals in het Rotterdamse geval.

[The Zep Man]

In Rotterdam zijn ambtenaren geschort die ongeoorloofd door persoonsgegevens gingen rondneuzen.

Het enige dat ik daar lees is dat ze geschorst waren voor het onderzoek, wat waarschijnlijk betaald verlof betrof. Verder is het onduidelijk wat er daarna gebeurd is.

[Horla]

Het is niet omdat het in de cloud staat, dat het online gezet is en voor iedereen toegankelijk is hé. Ik ben vrij zeker dat dit op de zakelijke tak van de Google cloud draaide.

[thePiett]

Nudgen?

[Quintiemero]

Kleine nuance:
@arnoudwokke De stemanalyse maakt het biometrisch! Het opnemen van stemmen en plaatsen in geluidsbestand maakt het nog niet biometrisch.

Edit: dat zou elk opname voor trainingsdoeleinden onmogelijk maken

[Reactie gewijzigd door Quintiemero op 19 februari 2025 21:56]

[William_H]

Waarom moesten er stemmen opgenomen worden en geanalyseerd worden? Wat ongelooflijk ingewikkeld gemaakt. Dit had ook gewoon met een decibelmeter gekund gekoppeld aan een timer die bij herhaling van overschrijding binnen een bepaald tijdvak een waarschuwing op een bord zou kunnen zetten. Klaar, simpel zat. En nog zonder internetverbinding ook, en waarschijnlijk veel goedkoper.
In dit geval had het ze een AVG klacht gescheeld.
https://nl.m.wikipedia.org/wiki/KISS-principeKISS

[teaser]

Het had zelfs nog simpeler gekund: enkel met een timer. Laat gewoon die waarschuwing altijd zien op dat bord op momenten dat overlast verwacht wordt. Dat is niet bepaald moeilijk te voorspellen in een studentenbuurt. Bovendien vermijd je zo dat je het omgekeerde bereikt omdat dergelijke technologische oplossingen sommige mensen aanzetten om die 'uit te proberen'. Maw bewust hard gaan roepen om het waarschuwingsbord aan te doen springen.

[William_H]

Haha, ja daar moest ik ook nog aan denken. Kan mij heel goed voorstellen dat er mensen zijn die dat zouden doen.

[fastedje]

Wat nog beter werkt is om een hard geluid te localiseren en dan met LRAD (gericht ultrasoon geluid) een irritant geluid te produceren waardoor mensen of stoppen of ergens anders naartoe gaan. Omwonenden horen dit niet en er hoeft niets opgenomen te worden.