Beantwoording_mondelinge vragen Mangal WGS en bewaartertmijnen.pdf

Raadsinformatiebrief

Aan: Datum Portefeuille(s) Portefeuillehouder(s): Behandeld door Onderwerp

De leden van de gemeenteraad van Amsterdam 11 oktober 2022 ICT en Digitale Stad Shula Rijxman Digitale Strategie en Informatie (bestuurszaken.dii@amsterdam.nl) Beantwoording mondelinge vragen van het lid Mangal d.d. 8 december 2021 inzake gegevensverwerking

Geachte leden van de gemeenteraad, Op 8 december 2021 heeft het lid Mangal (DENK) in de vergadering van de raadscommissie KDD mondelinge vragen gesteld over de Wet gegevensverwerking door samenwerkingsverbanden (WGS) en de bewaartermijnen bij de gemeente bij het agendapunt van de Voortgangsbrief Rekeningcommissie. Het college biedt haar excuus aan voor de vertraagde beantwoording. Het college kan de gestelde vragen als volgt beantwoorden: 1. Hoe is de houding van het college ten aanzien van de Wet gegevensverwerking door samenwerkingsverbanden (WGS)? De parlementaire behandeling van het Wetsvoorstel gegevensverwerking door samenwerkingsverbanden (WGS) loopt nog. De Tweede Kamer heeft het voorstel aangenomen op 17 december 2020 en het ligt nu ter besluitvorming voor bij de Eerste Kamer. Bij de beantwoording van de mondelinge vragen baseert het college zich op het wetsvoorstel zoals dat nu voorligt. Het wetsvoorstel beoogt om vier bestaande samenwerkingsverbanden te voorzien van een juridische grondslag om gegevens te delen: het Financieel Expertisecentrum (FEC), de Infobox Crimineel en Onverklaarbaar Vermogen (iCOV), de Regionale Informatie- en Expertisecentra (RIEC’s) en de Zorg- en Veiligheidshuizen (ZVH’s). Nu moet de noodzaak en grondslag voor verstrekking vaak per deelnemer worden vastgesteld.

Het wetsvoorstel beoogt de huidige praktijk van de vier bestaande samenwerkingsverbanden grotendeels te codificeren. De gemeente Amsterdam neemt deel aan de RIEC’s en de ZVH’s. Het college is zich ervan bewust dat zowel de Afdeling Advisering van de Raad van State, het College voor de Rechten van de Mens als de Autoriteit Persoonsgegevens (zeer) kritische kanttekeningen hebben geplaatst bij het wetsvoorstel. Ten aanzien van de uitvoering van de voorgestelde wet onderschrijft het college de uitspraak van de Afdeling Advisering van de Raad van State: “De Afdeling realiseert zich dat het wetsvoorstel potentieel vérgaande vormen van gegevensverwerking mogelijk maakt. Niet alle risico’s die daarmee gepaard gaan kunnen door de wet worden uitgesloten. Cruciaal is daarom dat de wetgever moet kunnen vertrouwen op een kwalitatief goede uitvoeringspraktijk. Dat vereist niet of niet primair nadere regels of protocollen, maar

Gemeente Amsterdam, raadsinformatiebrief

Datum 11 oktober 2022 Pagina 2 van 3

professionaliteit en (ook juridische) deskundigheid op de werkvloer. De mate waarin dat wordt gerealiseerd zal bepalend zijn voor het vertrouwen in een overheid die rechtmatig én effectief persoonsgegevens verwerkt”. Het college zet via bestaande instrumenten in op risicobeheersing. Deze zijn volgens het college toereikend. Bijvoorbeeld via de maatregelen in het programma Versterken Operationeel Risico Management, waarin in op directieniveau in kaart wordt gebracht wat de mate van voldoen aan de AVG is. Daarnaast worden Data Protection Impact Assessments (DPIA’s) uitgevoerd om privacy risico’s van een gegevensverwerking in kaart te brengen en vervolgens beheersmaatregelen op te stellen die de risico’s kunnen wegnemen of verkleinen. Ook worden Data Transfer Impact Assessments uitgevoerd voor beoordeling van risico’s van doorgifte van persoonsgegevens naar landen buiten de Europese Economische Ruimte (EER), waarvoor geen adequaatheidsbesluit van de Europese Commissie geldt. Intern wordt de professionaliteit van alle collega’s versterkt via de bewustwordingscampagne “weet wat je deelt”. 2. Is het mogelijk om niet deel te nemen aan de uitwisseling van gegevens onder deze wet? Artikel 1.5 van het wetsvoorstel kent een verplichting tot verstrekking van de door de wetgever vastgestelde categorieën van gegevens aan het samenwerkingsverband, maar deze verplichting is niet absoluut.

De gegevens worden verstrekt, “tenzij naar het oordeel van de deelnemer zwaarwegende redenen zich daartegen verzetten”. Deze tenzij-clausule maakt het ook mogelijk om de gegevens aan sommige deelnemers niet te verstrekken. Deze mogelijkheid kan het college in het uiterste geval toepassen. 3. Welke informatiesystemen zijn niet op orde inzake bewaartermijnen? Met “op orde” bedoel ik dat de gegevens vernietigd worden na de bewaartermijn. Zie bijvoorbeeld eerder de politie en later ook de AIVD die bewaartermijnen overschreden. Hoe daar toezicht op wordt gehouden en of die toezicht adequaat is en correctief ingrijpt als dat nodig is; i.e. de gegevens onder toezicht laat vernietigen. En is er gebruik gemaakt en/of zijn deze gegevens gedeeld zonder wettelijke basis, omdat de persoonsgegevens uit die systemen al vernietigd hadden moeten zijn? Worden er dan ook gegevens gedeeld die de bewaartermijn hebben overschreden? En zo ja, om wat voor soort gegevens gaat dat dan? En waar staat/wat doet de toezichthouder dan? In meerdere systemen worden gegevens nog niet op tijd vernietigd. De kans dat er informatie is gedeeld die vernietigd had moeten zijn, is aanwezig. Voordat deze gegevens -waarvan de bewaartermijn is verstreken- worden verstrekt aan derde partijen, wordt getoetst of de ontvanger deze gegevens mag ontvangen.

Hiermee wordt het risico ondervangen dat gegevens worden gedeeld die niet gedeeld mogen worden. Dit risico is echter op dit moment niet geheel uit te sluiten. Een voorbeeld is het bewaren van aanvragen voor een Drank- en Horeca vergunning. In een aanvraag staan alle gegevens die nodig zijn om een vergunning te krijgen, zoals persoonsgegevens van de horecaondernemer die een vergunning aanvraagt. Voordat gegevens worden verstrekt aan derde partijen, waaronder de politie, wordt getoetst of de ontvanger deze gegevens mag ontvangen. Bij de aanvragen Drank- en Horecavergunning gaan bijvoorbeeld alleen nieuwe

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 11 oktober 2022 Pagina 3 van 3

aanvragen naar de politie, als er advies van de politie noodzakelijk is over de aanvraag. Verouderde gegevens worden daardoor niet gedeeld. Er wordt gewerkt het op orde stellen van de bewaartermijnen in de systemen. In de ‘voortgangsbrief aanbevelingen rekeningencommissie en ACAM’ (TAR 9 juni) bent u hierover geïnformeerd. Toezichthouder De verantwoordelijkheid voor het archiveren van informatie ligt bij de informatie-eigenaar. In de gemeentelijke organisaties zijn dit de directies en daarmee de directeuren. De archiefwet regelt het informatiebeheer bij de overheid. Daadwerkelijke vernietiging van informatie gebeurt op basis van procedures en protocollen. Bv. het verlenen van een machtiging tot vernietiging. De daadwerkelijke vernietiging van informatie vindt niet letterlijk onder toeziend oog plaats van de toezichthouder. De toezichthouder houdt toezicht op naleving van procedures en protocollen op basis van de Archiefwet. De Gemeentearchivaris brengt een jaarverslag uit. Dit jaarverslag wordt in september 2022 ter kennisname geagendeerd in uw raadscommissie. In het verslag van 2021 stelt hij ook dat de bewaring niet op orde is. In de praktijk is het op orde brengen van het informatiebeheer een samenspel tussen alle betrokkenen, hier wordt dan ook samen aan gewerkt.

Met vriendelijke groet, Namens het college van burgemeester en wethouders van de gemeente Amsterdam,

Shula Rijxman Wethouder ICT en Digitale Stad

Een routebeschrijving vindt u op amsterdam.nl