GBA beveelt Antwerpen om audiobestanden in het kader van zijn project "lawaai in de studentenbuurt" te verwijderen

---

Innovatieproject: geluidsopname in de Antwerpse studentenbuurt

In 2022 installeerde de Stad Antwerpen 30 geluidssensoren in een bepaalde zone van de stad. Het doel van dit innovatieproject was om de geluidsoverlast in de studentenbuurt in kaart te brengen en te verhelpen met behulp van technologie.

De sensoren namen permanent (24/7) de omgevingsgeluiden op, die werden bewaard als "ruwe audiobestanden" van 10 seconden. Wanneer de opgenomen geluiden tussen 19.00 en 7.00 uur een bepaald geluidsniveau overschreden, maakten de sensoren een stemafdruk ("MEL-spectrogram"), dat wil zeggen een (beeld)weergave van een specifiek stemgeluid. Deze stemafdrukken werden gebruikt om een AI-model te trainen teneinde verschillende soorten geluiden te classificeren en een "nudging"-opstelling (aanmoediging om het nachtlawaai te stoppen) te activeren.

Eind 2022 beval de Inspectiedienst van de GBA de Stad Antwerpen het project tijdelijk op te schorten. Volgens de wet kan de Inspectiedienst namelijk voorlopige maatregelen bevelen om te vermijden dat een situatie onstaat die ernstige, onmiddellijke en moeilijk te herstellen schade veroorzaakt.

Ontbreken van een geldige rechtsgrond en passende waarborgen

Na onderzoek door de Inspectiedienst werd het dossier vervolgens geanalyseerd door de Geschillenkamer van de GBA, die onder andere vaststelde dat het project geen geldige rechtsgrond had. De sensoren verzamelden gevoelige gegevens (stemafdrukken zijn biometrische gegevens) of gegevens die onvermijdelijk gevoelige gegevens bevatten (opgenomen gesprekken kunnen informatie bevatten over bijvoorbeeld gezondheid of politieke meningen). De AVG verbiedt echter de verwerking van gevoelige gegevens, behalve in een beperkt aantal gevallen (opgesomd in artikel 9.2 van de AVG). In dit geval kon de Stad Antwerpen geen van deze uitzonderingen geldig inroepen.

De Geschillenkamer stelt ook tekortkomingen vast op het vlak van transparantie. Zij wijst er onder meer op dat de stad had meegedeeld dat gesprekken niet zouden worden opgenomen, terwijl uit de analyse van het dossier blijkt dat dit wel degelijk het geval was.

Tot slot merkt zij op dat de stemafdrukken onversleuteld werden verwerkt in de Google Cloud, waarvan het moederbedrijf buiten de Europese Economische Ruimte (in de VS) is gevestigd, en dat dit gebeurde met kennis van zaken maar zonder de passende risicobeperkende maatregelen.

De Geschillenkamer en de Inspectiedienst wijzen erop dat er onvoldoende rekening was gehouden met het advies van de functionaris voor gegevensbescherming (DPO) van de stad, die op mogelijk problematische elementen had gewezen, en dat de analyse van de risico's van het project voor de rechten en vrijheden van personen (ook bekend als "de GEB") ontoereikend was. Als met deze opmerkingen rekening was gehouden, op basis van een passende risicoanalyse, hadden er maatregelen kunnen worden getroffen om de door de GBA vastgestelde risico's te beperken, en had mogelijk kunnen worden voorkomen dat er inbreuken op de AVG werden gepleegd.

Sanctie

Om de vastgestelde schendingen te sanctioneren op het gebied van onder andere de rechtmatigheid van de verwerking, de transparantie, de GEB en de doorgifte van gegevens aan derde landen, heeft de Geschillenkamer:

• een berisping geformuleerd ten aanzien van de Stad Antwerpen; en
• de Stad Antwerpen bevolen om alle stemafdrukken en alle ruwe audiobestanden waarin stemgeluid voorkomt, te verwijderen.

Bij het opleggen van de sanctie, hield de Geschillenkamer rekening met het feit dat het om een in de tijd beperkt innovatieproject ging dat bedoeld was om een erkend probleem (geluidsoverlast) op te lossen, en dat de stad had meegewerkt aan het onderzoek.

Hielke Hijmans, voorzitter van de Geschillenkamer, concludeert: "Gegevensbescherming en innovatie sluiten elkaar niet uit. Dergelijke technologische projecten moeten echter goed worden geregeld, door rekening te houden met de potentiële risico's voor individuen en door maatregelen te treffen om deze risico's te beperken. Daarom benadrukken we dat het belangrijk is om een grondige effectbeoordeling uit te voeren en de functionaris voor gegevensbescherming hierbij te betrekken."

De GBA wijst er ook op dat zij verwerkingsverantwoordelijken middelen ter beschikking stelt om hen te begeleiden bij het gebruik van nieuwe technologieën, zoals haar informatiebrochure over AI-systemen of haar verslag over de studiedag "Smart Cities".