EF convenant gegevensverstr BRP Gemeente - WOCO Delft
Tekst van het document
Convenant gemeente Delft en woningcorporaties inzake ter beschikking stellen van persoonsgegevens uit de Basisregistratie Personen (BRP)
30 mei 2024
Inhoudsopgave AANHEF............................................................................................................. 3 Artikel 1 Begrippen........................................................................................... 4 Artikel 2 Doeleinden verwerking.......................................................................5 Artikel 3 Wijze van toegang tot BRP..................................................................6 Artikel 4 Beveiliging.......................................................................................... 6 Artikel 5 Meldplicht datalekken en beveiligingsincidenten................................7 Artikel 6 Categorieën van persoonsgegevens en beperking.............................7 Artikel 7 Verplichtingen van de woningcorporaties...........................................8 Artikel 8 Verplichtingen van de gemeente........................................................9 Artikel 9 Geheimhouding..................................................................................9 Artikel 10 Geschillenbeslechting.....................................................................10 Artikel 11 Duur en beëindiging van dit convenant en duur opslag gegevens.
10 Artikel 12 Aansprakelijkheid...........................................................................11 Artikel 13 Slotbepalingen en evaluatie...........................................................11 Ondertekening................................................................................................13 Toelichting Convenant....................................................................................15 BIJLAGE 1 gegevens uit de BRP.......................................................................21
2
AANHEF De ondergetekenden, De gemeente Delft, gevestigd aan Stationsplein 1, ten deze krachtens artikel 171 van de gemeentewet rechtsgeldig vertegenwoordigd door de burgemeester, namens deze wethouder K. Schrederhof hierna te noemen “de gemeente” dan wel “verwerkersverantwoordelijke”; en woningcorporatie DUWO KvK nummer 27220173 gevestigd te Prof. Schermerhornstraat 4, 2628 PZ Delft, ten deze rechtsgeldig vertegenwoordigd door mevrouw A.M.G.J. Lagae, voorzitter raad van bestuur hierna te noemen “de woningcorporatie” dan wel “verwerker”;
en woningcorporatie Stedelink KvK nummer 87052326 gevestigd te Bijdorplaan 12, 2713 RR Zoetermeer, ten deze rechtsgeldig vertegenwoordigd door de heer Z. El-Khetabi, functie: bestuurder, hierna te noemen "de woningcorporatie" dan wel “verwerker”;
en woningcorporatie Vidomes KvK nummer 27212980, gevestigd te Kleveringweg 24 Delft, ten deze rechtsgeldig vertegenwoordigd door de heer J. Maan, bestuurder, hierna te noemen “de woningcorporatie” dan wel “verwerker”;
en woningcorporatie Woonbron KvK nummer 24108291, gevestigd te Weena 723, 3013 AM Rotterdam, ten deze rechtsgeldig vertegenwoordigd door mevrouw L. Schalkwijk, directeur hierna te noemen “de woningcorporatie” dan wel “verwerker”;
hierna Duwo, Stedelink, Vidomes en Woonbron gezamenlijk te noemen: “de woningcorporaties” dan wel “verwerkers”
OVERWEGENDE DAT: I.
De gemeente taken op het gebied van huisvesting heeft overgedragen aan de woningcorporaties op grond van de Huisvestingsverordening Delft 2023 van de gemeente Delft en het Algemene Mandaatregeling Delft 2023 bijlage 7 onder C.
II.
De gemeente het noodzakelijk acht dat de gegevensverstrekking plaatsvindt vanwege en voor zover dit noodzakelijk is in verband met de taken van de woningcorporaties.
III.
Dat voornoemde verstrekking van gegevens feitelijk plaatsvindt door aan de woningcorporaties een autorisatie te verlenen voor inzage in de BRP middels een beveiligde verbinding zogeheten “raadplegen derden”.
3
IV.
De woningcorporaties hun taken in extern mandaat uitvoeren namens de gemeente waardoor hier feitelijk sprake is van een verwerkersrelatie in de zin van artikel 28 van de AVG. Deze situatie wordt niet geregeld bij of krachtens de Wet BRP, waardoor in deze situatie de AVG van toepassing is.
KOMEN HET VOLGENDE OVEREEN: Artikel 1 Begrippen 1.
Algemeen beheerder: Beheerder op grond van de Regeling Beheer en Toezicht BRP Gemeente Delft 2022
2.
AVG: De Algemene Verordening Gegevensbescherming (Verordening EU, 2016/679 van het Europees Parlement en de Raad)
3.
Betrokkene: degene op wie een persoonsgegeven betrekking heeft. Begrippen uit de Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG) die in dit convenant worden gebruikt, hebben dezelfde betekenis zoals die is opgenomen in de AVG en of de UAVG.
4.
BRP: de basisregistratie personen als bedoeld in artikel 1.2 van de Wet basisregistratie personen
5.
Gemeente: de gemeente Delft
6.
Huurder: persoon of personen die met een woningcorporatie een overeenkomst tot huur van een woning hebben gesloten
7.
Ingeschrevene: Een persoon die in Delft ingeschreven is.
8.
Personeel van de woningcorporaties: de door DUWO, Stedelink, Vidomes en Woonbron op grond van dit convenant in te schakelen personeelsleden of tijdelijke krachten of uitzendkrachten, die onder haar verantwoordelijkheid vallen en op grond van hun functie of anderszins gemachtigd zijn om Persoonsgegevens te verwerken zoals bedoeld in dit convenant.
9.
Persoonsgegevens: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon (zie ook Bijlage 1 van dit convenant).
10.
Privacyregeling: de op dat moment geldende Regeling Beheer en Toezicht BRP Gemeente Delft 2022.
11.
Verwerking van Persoonsgegevens: elke handeling of elk geheel van handelingen met betrekking tot Persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding, of enige andere vorm van
4
terbeschikkingstellen, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens. 12.
Verstrekking van gegevens: het verschaffen van toegang tot gegevens uit de BRP door middel van inzage en of bestandsvergelijking.
13.
Wet BRP: Wet basisregistratie personen
14.
Woonfraude: Het onrechtmatig gebruik en onrechtmatige bewoning van een woning wat als volgt kan worden geconcretiseerd:
15.
Onrechtmatige bewoning: Het geheel of gedeeltelijk zonder medeweten en toestemming van de verhuurder in gebruik geven of doorverhuren of onderverhuren van een woning aan derden; Illegale (kamer) verhuur en overbewoning. Onrechtmatig gebruik: De woning (mede) gebruiken voor andere doeleinden dan reguliere huisvesting, zoals maar niet beperkt tot een pension of bed-and-breakfast of (tijdelijke) verhuur op andere wijze, bijvoorbeeld via online verhuurplatforms; De woning gebruiken als opslagruimte, kantoor, winkel of een andere vorm van commercieel of bedrijfsmatig gebruik die niet wordt toegestaan door de betreffende Corporatie; Het gebruik van de woning dat op een andere wijze in strijd is met de huurovereenkomst en de toepasselijke overige voorwaarden.
Woningzoekende: de persoon of personen die ingeschreven staat in de BRP in een gemeente in de woningregio Haaglanden en ingeschreven staat als woningzoekende.
Artikel 2 Doeleinden verwerking 1.
De woningcorporaties verwerken Persoonsgegevens uit de BRP, ten aanzien van de aanvraag voor een urgentie, ter voorkoming of oplossen van onjuistheden ten aanzien van woningtoewijzing en de aanpak van woonfraude. Daartoe voeren zij taken uit van de gemeente, te weten: A. alle voorbereidende handelingen ten aanzien van het afhandelen van een urgentieaanvraag; B. het verlenen van een huisvestingsvergunning; C. het onderzoeken van woonfraude.
2.
De woningcorporaties verwerken Persoonsgegevens ten behoeve van de gemeente en onder haar verantwoordelijkheid en op de wijze vastgelegd in dit convenant en voor de
5
doeleinden als genoemd in lid 1 van dit artikel. 3.
De woningcorporaties zijn uitsluitend bevoegd de Persoonsgegevens afkomstig uit de BRP te verwerken overeenkomstig dit convenant. Elke andere wijze van verwerking is niet toegestaan. Met uitzondering van de situatie waarin de woningcorporaties de inzage in de BRP gebruiken indien de persoon, van wie de gegevens worden verstrekt, schriftelijk voorafgaande toestemming heeft gegeven voor de verstrekking.
Artikel 3 Wijze van toegang tot BRP 1.
Voor de doeleinden beschreven in artikel 2 van dit convenant krijgen medewerkers van de woningcorporaties een autorisatie voor de BRP. Het betreft alleen medewerkers voor wie de autorisatie noodzakelijk is gelet op een beschreven functie- of taakomschrijving.
2.
De autorisatie betreft uitsluitend “leesrechten”. Per woningcorporatie krijgen maximaal 6 medewerkers een autorisatie.
3.
Autorisaties worden uitsluitend toegekend aan personeel van de woningcorporatie. Waar mogelijk overleggen die een Verklaring Omtrent het Gedrag (VOG) met profiel: a. 11 Bevoegdheid hebben tot het raadplegen en/of bewerken van systemen b. 12 Met gevoelige/vertrouwelijke informatie omgaan c. 41 Het verlenen van diensten aan de gemeente van maximaal 6 maanden oud. Het overleggen van een VOG kan mogelijk tot een ongewenste situatie leiden bij taakverandering van een al in dienst zijnde medewerker. De gemeente en corporaties spreken af in dat specifieke geval in overleg met elkaar te treden.
4.
De woningcorporaties zorgen er afzonderlijk voor dat de gemeente tijdig wordt geïnformeerd (uiterlijk binnen 5 werkdagen) indien de medewerker van de woningcorporatie zijn taken waarvoor de autorisatie is toegekend beëindigd. Indien de beëindiging van de werkzaamheden niet eerder was voorzien, dan zo spoedig mogelijk maar uiterlijk op de dag van de laatste werkzaamheden.
5.
De gemeente controleert drie (3)-maandelijks de raadplegingen en stelt een overzicht daarvan beschikbaar aan de woningcorporatie ter controle. De woningcorporaties berichten de gemeente afzonderlijk elke drie (3)-maandelijks over de uitgevoerde controle.
6.
Toegekende autorisaties die 4 maanden inactief zijn worden door de gemeente automatisch geblokkeerd. De woningcorporatie wordt hierover door de gemeente geïnformeerd.
Artikel 4 Beveiliging 1.
De woningcorporaties zijn verantwoordelijk voor het naleven van de technische en organisatorische maatregelen ter beveiliging van de verwerkte persoonsgegevens uit de
6
BRP, conform de Baseline Informatiebeveiliging Overheid en Regeling Beheer en Toezicht BRP Gemeente Delft . 2.
Voor het plaatsonafhankelijk verwerken van persoonsgegevens uit de BRP is noodzakelijk dat de woningcorporaties hieraan dezelfde beveiligingseisen stelt als de gemeente Delft die de autorisatie heeft verleend, en zoals vastgelegd in het gemeentelijk beleid. Dit wordt vastgelegd in dit convenant. Er wordt daarnaast door de woningcorporaties extra aandacht besteed aan het risicobewustzijn van medewerkers.
3.
De bepalingen uit het Besluit van het college van burgemeester en wethouders van de gemeente Delft houdende regels omtrent Regeling Beheer en Toezicht BRP Gemeente Delft 2022 zijn van overeenkomstige toepassing.
Artikel 5 Meldplicht datalekken en beveiligingsincidenten 1.
De woningcorporaties stellen de gemeente onverwijld, dat wil zeggen in ieder geval binnen 24 uur, in kennis over alle inbreuken op de beveiliging bij de verwerking van persoonsgegevens als bedoeld onder artikel 2 van dit convenant. In bijlage 1D van de toelichting van dit convenant is daartoe een overzicht van contactpersonen opgenomen.
2.
De woningcorporaties zijn verplicht de gevolgen van de onder 1 bedoelde inbreuken zo snel mogelijk ongedaan te maken dan wel te beperken.
3.
De woningcorporaties zullen het doen van meldingen aan de toezichthouder(s) overlaten aan de gemeente.
4.
De woningcorporaties zullen alle noodzakelijke medewerking verlenen aan het zo nodig, op de kortst mogelijke termijn, verschaffen van aanvullende informatie aan de toezichthouder(s) en/of betrokkene(n).
5.
Met betrekking tot de afspraken in dit convenant houden de woningcorporaties een gedetailleerd logboek bij van de inbreuken op de beveiliging, evenals de maatregelen die in vervolg op dergelijke inbreuken zijn genomen. Op verzoek van de gemeente geven de woningcorporaties hier inzage in.
Artikel 6 Categorieën van persoonsgegevens en beperking 1.
De verwerking van Persoonsgegevens uit de BRP door de woningcorporaties is beperkt tot die gegevens die zijn opgenomen in Bijlage 1 van dit Convenant.
2.
Als een ingeschrevene op grond van artikel 3.21 van de Wet BRP het college van Burgemeester en Wethouders heeft verzocht om beperking van verstrekking van zijn persoonsgegevens, wordt aan de woningcorporaties geen toegang verleend tot deze persoonsgegevens.
7
Artikel 7 Verplichtingen van de woningcorporaties 1.
De woningcorporaties informeren betrokkenen over het doel en de wijze waarop de woningcorporatie persoonsgegevens verwerkt uit de BRP. Hiertoe stelt de woningcorporatie een verklaring op die beschikbaar is via haar website. De opgestelde verklaring dient te voldoen aan de AVG.
2.
Indien een betrokkene een van zijn rechten uitoefent uit hoofdstuk III van de Algemene Verordening Gegevensbescherming (AVG) in relatie tot de BRP en zich richt tot de woningcorporatie, dan laat de woningcorporatie dat onverwijld weten aan de gemeente die de behandeling daarvan op zich neemt. In overleg tussen de gemeente en de woningcorporatie kan deze laatste de behandeling van het verzoek namens de gemeente uitvoeren.
3.
De woningcorporaties verlenen de Gemeente bijstand bij het vervullen van diens plicht om verzoeken tot uitoefening van de rechten van betrokkenen uit hoofdstuk III van de AVG te beantwoorden.
4.
De woningcorporaties zijn niet gerechtigd de uitvoering van dit convenant geheel of ten dele uit te besteden bij derden dan wel derden in te schakelen. De woningcorporatie blijft jegens de gemeente te allen tijde aanspreekpunt en verantwoordelijk voor de naleving van de bepalingen uit dit convenant.
5.
Het is de woningcorporaties niet toegestaan persoonsgegevens uit de BRP te verstrekken aan derden, behoudens voor zover de woningcorporatie daartoe krachtens de wet verplicht is, dan wel met toestemming van de betrokkene en behoudens verstrekking aan de rechter in het kader van een gerechtelijke procedure indien door een woningcorporatie wordt geconstateerd dat er sprake is van woonfraude zoals omschreven in artikel 2 lid 1 van dit convenant.
6.
Indien een woningcorporatie op grond van een wettelijke verplichting gegevens dient te verstrekken die uit de BRP afkomstig zijn, dan verzoekt zij de gemeente de behandeling van het verzoek over te nemen indien de behandeling niet gerelateerd is aan de taken beschreven in artikel 2 van dit convenant. Indien de wettelijke verplichting wel verband houdt met de taken als bedoeld in artikel van dit convenant dan verifieert de woningcorporatie de grondslag van het verzoek en de identiteit van de verzoeker en informeert het voorafgaand aan de verstrekking de gemeente.
7.
De woningcorporaties informeren de gemeente zo spoedig mogelijk indien er gerede twijfel is over een persoonsgegeven uit de BRP, zoals deze te raadplegen is voor de woningcorporaties via de module Raadplegen Derden.
8.
De woningcorporaties controleren de rechtmatigheid van het afgeven van de huisvestingsvergunning bij de verhuur door middel van inzage in de BRP. Dit betekent dat de BRP kan worden ingezien na het selecteren van de kandidaat, maar voor het verlenen van de huisvestingsvergunning.
9.
De woningcorporaties kunnen steekproefgewijs en/of bij gerede twijfel uiterlijk binnen
8
vier (4) maanden na ingang van de huurovereenkomst (herhaaldelijk) controleren of de in de huisvestingsvergunning opgenomen personen daadwerkelijk zijn ingeschreven in de Basisregistratie personen op het adres van de huurovereenkomst. 10.
Indien door de huurder(s) niet wordt voldaan aan de bovengenoemde verplichtingen uit de huisvestingsvergunning dan stelt de woningcorporatie een termijn om alsnog aan de verplichting uit de huisvestingsvergunning te voldoen.
11.
Indien de huurder ook na het stellen van de termijn bedoeld in het vorige lid niet voldoet aan de verplichtingen uit de huisvestingsvergunning, dan kan de woningcorporatie een procedure starten tot ontbinding van de huurovereenkomst.
12.
Bij twijfel over de rechtmatigheid van een inschrijving informeren de gemeente en corporatie elkaar. De gemeente kan een adresonderzoek uitvoeren en de woningcorporaties hierbij om medewerking vragen. In dat geval informeren de woningcorporaties de gemeente over wie volgens het huurcontract als huurder(s) en inwonenden te boek staan op het adres dat voorwerp is van onderzoek.
Artikel 8 Verplichtingen van de gemeente 1.
De gemeente ziet erop toe dat de woningcorporaties handelen conform de bepalingen van dit convenant.
2.
De terbeschikkingstellen van persoonsgegevens uit de BRP door de gemeente aan de woningcorporaties worden ingericht overeenkomstig het bepaalde in de Regeling Beheer en Toezicht BRP Gemeente Delft 2022 (raadpleegbaar via officiële Bekendmakingen).
3.
Indien de gemeente constateert dat de woningcorporatie de bepalingen uit dit convenant niet of onvoldoende naleeft, dan kan zij besluiten de toegang tot de BRP zoals bedoeld in artikel 3 lid 1 te beëindigen.
4.
De gemeente zorgt voor tijdige inloggegevens aan de woningcorporaties. Daarnaast zorgt de gemeente ook voor een aanspreekpunt voor (technische) problemen met het inloggen.
5.
De gemeente zorgt voor de beschikbaarheid van de persoonsgegevens uit de BRP, de data integriteit en de actualiteit van de gegevens.
Artikel 9 Geheimhouding 1.
Personen in dienst van, dan wel werkzaam ten behoeve van de woningcorporatie, evenals de woningcorporatie zelf, zijn verplicht tot geheimhouding met betrekking tot de persoonsgegevens waarvan zij kennis kunnen nemen, behoudens voor zover een bij,
9
of krachtens de wet gegeven voorschrift tot verstrekking verplicht of de werkzaamheden als verwerker daartoe noodzaken. Personeel van de woningcorporatie tekent hiertoe een geheimhoudingsverklaring. 2.
De woningcorporaties staan er jegens de gemeente voor in dat de bedoelde geheimhoudingsverplichtingen door de betrokken personen worden nageleefd.
3.
Na de beëindiging van dit convenant blijft de geheimhoudingsplicht overeenkomstig dit artikel van kracht.
Artikel 10 Geschillenbeslechting 1.
Dit convenant wordt beheerst door Nederlands recht.
2.
Een partij die meent dat er een verschil van inzicht bestaat over de inhoud, de uitleg of de uitvoering van deze overeenkomst, deelt dat schriftelijk en ondubbelzinnig mede aan de andere partij(en). De mededeling bevat een aanduiding van het verschil van inzicht en een aanduiding van de mogelijke oplossing daarvan.
3.
Partijen treden in geval van een verschil van inzicht met elkaar in overleg onmiddellijk na ontvangst van de mededeling van de partij zoals hiervoor bedoeld.
4.
Geschillen worden voorgelegd aan de bevoegde rechter in Den Haag.
Artikel 11 Duur en beëindiging van dit convenant en duur opslag gegevens 1.
Dit convenant is van kracht vanaf het moment van ondertekening door partijen en wordt aangegaan voor de duur van 1 jaar. Dit convenant wordt, zonder tegenbericht, verlengd met telkens 1 jaar.
2.
Beëindiging van dit convenant vindt plaats door opzegging met inachtneming van een termijn van ten minste twee maanden. Opzegging dient plaats te vinden bij aangetekende brief.
3.
De gemeente zal overgaan tot beëindiging van dit convenant met één of meerdere woningcorporaties indien deze woningcorporaties niet binnen de daarvoor gestelde termijn voldoet aan één of meerdere verplichtingen uit dit convenant. Voor de overige corporatie(s) blijft het convenant van kracht.
4.
In geval van beëindiging van dit convenant met één woningcorporatie zal de gemeente de nodige maatregelen nemen om de toegang tot de BRP voor deze woningcorporatie af te sluiten. Een woningcorporatie verplicht zich daartoe aan de gemeente de noodzakelijke medewerking te verlenen. De beëindiging van dit convenant heeft geen gevolgen voor de rechten van de andere woningcorporaties op verwerking van persoonsgegevens uit de BRP die zij krachtens dit convenant heeft verkregen.
10
5.
De woningcorporaties bewaren de persoonsgegevens verkregen uit de BRP zolang als dat nodig is in verband met hun taken zoals beschreven in artikel 2 lid 1 van dit convenant.
6.
De woningcorporaties vernietigen de persoonsgegevens verkregen uit de BRP indien zij deze niet meer noodzakelijk zijn voor de uitvoering van de taken zoals beschreven in artikel 2 lid 1 van dit convenant.
Artikel 12 Aansprakelijkheid 1.
De aansprakelijkheid van partijen wordt bepaald door de bepalingen van de AVG en het Burgerlijk Wetboek.
2.
Bij beëindiging van de toegang tot de BRP op grond van artikel 8 lid 3 van dit convenant komt de woningcorporatie geen vergoeding van mogelijke schade toe.
Artikel 13 Slotbepalingen en evaluatie 1.
Mondelinge mededelingen, toezeggingen, afspraken dan wel wijzigingen van dit convenant of aanvullingen daarop zijn slechts geldig voor zover deze schriftelijk zijn overeengekomen en ondertekend door ter zake bevoegde vertegenwoordigers van partijen. Het schriftelijke stuk zal als addendum bij deze overeenkomst gevoegd worden.
2.
De gehele of gedeeltelijke ongeldigheid van een of meer bepalingen van dit convenant brengt niet de nietigheid of vernietigbaarheid van het gehele convenant met zich mee. Voor zover de bedoelde ongeldigheid betrekking heeft op een wezenlijk onderdeel van de relatie tussen partijen, zullen partijen in onderling overleg vaststellen welke wijzigingen in het convenant noodzakelijk uit die ongeldigheid voortvloeien, waarbij zoveel mogelijk aansluiting zal worden gezocht bij de bedoeling van partijen zoals die uit dit convenant blijkt.
3.
Op verzoek van een partij evalueren partijen het convenant gezamenlijk en passen het convenant zo nodig aan. Evaluatie gebeurt in beginsel niet eerder dan na het verstrijken van een periode van een jaar na de inwerkingtreding van het convenant.
4.
Dit convenant kan worden aangehaald als “Convenant gemeente Delft en woningcorporaties inzake ter beschikkingstellen van persoonsgegevens uit de Basisregistratie Personen (BRP)”.
5.
Met de ondertekening van dit convenant vervalt het Convenant Gegevensuitwisseling GBA woningcorporaties – gemeente Delft d.d. 15 januari 2004.
11
12
Ondertekening
Woningcorporatie DUWO
Naam: A.M.G.J. Lagae, Functie: voorzitter raad van bestuur
Datum: Plaats: Handtekening:
Woningcorporatie Stedelink
Naam: Z. El-Khetabi Functie: bestuurder
Datum: Plaats: Handtekening:
Woningcorporatie Vidomes
Naam: J. Maan Functie: bestuurder
Datum:
13
Plaats: Handtekening:
Woningcorporatie Woonbron
Naam: L. Schalkwijk Functie: directeur
Datum: Plaats: Handtekening:
Gemeente Delft
Naam: Functie: Datum: Plaats: Handtekening:
14
Toelichting Convenant Inleiding Op grond van de AVG kan de gemeente informatie uit de BRP beschikbaar stellen aan de woningcorporaties. Deze beschikbaarstelling is dan gerelateerd aan de publieke taak die bij de woningcorporatie is belegd. Taak gemeente In dit geval betreft de publieke taak de uitvoering van de huisvestingsverordening. Meer specifiek huisvesting, woningtoewijzing en het tegengaan van woonfraude. Deze taken zijn beschreven in de huisvestingsverordening van de gemeente. Voor het uitvoeren van deze taken heeft de gemeente met de woningcorporatie de afspraak gemaakt dat de woningcorporatie deze taken voor de gemeente gaat uitvoeren. Daarvoor is, naast dit convenant waarin deze afspraken zijn vastgelegd, een mandaatbesluit nodig van de gemeente. Daarmee kan de woningcorporatie namens de gemeente besluiten nemen bij de uitvoering van de huisvestingsverordening. Passende technische en organisatorische maatregelen Om aan de taken uitvoering te kunnen geven is noodzakelijk dat de woningcorporatie beschikt over gegevens uit de BRP over de huurders en potentiële huurders. Dit is niet anders dan wanneer de gemeentelijke afdeling zelf uitvoering geeft aan de huisvestingsverordening. Om beschikbaarheid van de BRP gegevens juridisch mogelijk te maken wordt tussen de gemeente en de woningcorporatie convenant afgesloten.
In dit convenant wordt vastgelegd onder welke voorwaarden en voor welke doeleinden de verwerker toegang heeft tot de persoonsgegevens. In het convenant is vastgelegd dat de woningcorporatie de persoonsgegevens uit de BRP niet voor andere, eigen, doeleinden mag gebruiken. Daartoe zijn ook waarborgen opgenomen. Soort gegevens De persoonsgegevens uit de BRP waartoe de woningcorporatie toegang heeft betreffen de NAW gegevens en de inschrijvingsgegevens van de huurders en potentiële huurders. Met deze gegevens kan de positie op de (regionale) kandidatenlijst worden gecontroleerd, eventuele voorrangsposities worden bepaald en kan onrechtmatige bewoning / woonfraude worden bestreden. De corporaties kunnen vervolgens bepalen wie in aanmerking komt voor een sociale huurwoning in de regio Haaglanden. Andere werkwijze De inschrijvingsgegevens uit de BRP worden tot nu toe aangeleverd door de betrokkenen zelf, bijvoorbeeld door een BRP uittreksel van de gemeente. De woningkrapte maakt dat er veel mensen wachten op een betaalbare huurwoning. De woningcorporaties hebben geconstateerd dat een eerlijke woonruimteverdeling onder druk is komen te staan omdat er in toenemende mate de voorrangsposities zijn onderbouwd met vervalste of onjuiste documenten. Deze toewijzingsfraude, waaronder wordt verstaan het onterecht
15
en onder valse voorwendselen een woningen betrekken, ondermijnt het vertrouwen dat woningzoekenden hebben in de eerlijke werking van het woonruimteverdelingssysteem. Om een eerlijke toewijzing van woningen te kunnen garanderen is daarom gezocht naar een andere werkwijze. Een werkwijze die recht doet aan een eerlijke verdeling van de woonruimte, passend is bij de ruim 170.000 woningzoekenden binnen de regio Haaglanden, waarvan er 80.000 actief reageren en recht doet een de bescherming van de persoonlijke levenssfeer. Proportionaliteit Toegang tot de BRP is wettelijk gereguleerd en gebaseerd op de uitvoering van publieke taken, zoals de huisvestingsverordening. De toegang tot persoonsgegevens dient echter wel proportioneel te zijn. Aan dit beginsel is invulling gegeven door de gegevensset die beschikbaar is te beperken (zie hiervoor artikel 6). De beperking zit ook in het aantal personen dat toegang krijgt tot de BRP, dit is gemaximeerd tot 2. Tot slot is er gekeken naar de vraag of het aantal inwoners uit de gemeente dat in aanmerking komt voor een woning voldoende substantieel is. Als uit een gemeente slechts enkele inwoners per jaar gebruik maken van het inschrijven op een woning dan is dit onvoldoende grond om toegang te geven tot de BRP. Daarnaast zijn waarborgen ingericht om een rechtmatig gebruik van de toegang te bewerkstelligen en te kunnen controleren.
In dit convenant zijn de voorwaarden en waarborgen voor de beperkte toegang tot de BRP nader uitgewerkt. Onderstaand volgt een artikelsgewijze toelichting. Artikel 1 Dit betreft een aantal definities die worden gebruikt in het convenant. Er is gekozen om zoveel mogelijk aan te sluiten bij bestaande definities, bijvoorbeeld die uit de Algemene Verordening Gegevensbescherming. Artikel 2 In dit artikel wordt verwoord voor welke doeleinden de beperkte raadpleging van de BRP door de woningcorporatie is bedoeld. Alleen doelen bepaald in dit artikel geven de mogelijkheid om de BRP te raadplegen. Het raadplegen van de BRP door de (medewerker van) de woningcorporatie voor andere doelen is expliciet uitgesloten in het 5de lid. Artikel 3 De verwerkingsgrondslag voor het beschikbaar stellen van de persoonsgegevens uit de BRP aan de woningcorporatie is dus gebaseerd op de AVG, BRP en het daaraan ten grondslag liggende Privacy- en beheerregeling BRP. Er is sprake van verstrekking aan de woningcorporaties die verantwoordelijk zijn voor de uitvoering van een aantal taken op grond van de huisvestingsverordening. Meer specifiek voor de taken verlenen van de huisvestingsvergunning, voorbereidende handelingen voor wat betreft het toewijzen van woningen via urgentie en het onderzoeken van onrechtmatige bewoning (woonfraude). De gemeente schakelt voor de uitvoering van deze
16
taken de woningcorporatie in, als verwerker. Daarmee is de juridische grondslag voor de toegang van de woningcorporatie tot de BRP dus gebaseerd op de grondslag van de gemeente als verwerkingsverantwoordelijke. In dit artikel is op bestuurlijk niveau bepaald op welke wijze de medewerkers van de woningcorporatie toegang krijgen tot de BRP. Daarbij is rekening gehouden met de proportionaliteit van de gegevensverwerking. Allereerst doordat alleen een autorisatie wordt verleend voor het kunnen inzien van de gegevens. Er worden geen rechten toegekend voor het wijzigen of verwijderen van de gegevens. Daarnaast is het aantal medewerkers in omvang beperkt. Het betreft alleen die medewerkers voor wie gelet op hun taak het noodzakelijk is dat zij de BRP kunnen raadplegen. Aan het beginsel van subsidiariteit is invulling gegeven door voor regionale woningcorporaties met slechts enkele woningzoekenden uit een specifieke gemeente(n), voor deze gemeente geen toegang te geven tot de BRP. Gelet op de beperkte omvang van de taak kan ook op andere wijze informatie uit de BRP worden verstrekt (zonder autorisatie). Belangrijk is dat de autorisaties worden beheerd en daarvoor een werkwijze is ingericht. Daarmee kan worden voorkomen dat medewerkers die andere taken krijgen of de woningcorporatie verlaten, niet meer kunnen beschikken over de autorisatie.
Dit vraagt dus van de woningcorporatie dat zij de autorisaties blijven actualiseren. De gemeente stelt jaarlijks een overzicht beschikbaar aan de woningcorporatie met de actieve accounts, met het verzoek dit te controleren. Daarnaast worden accounts die langer dan 4 maanden niet actief zijn geblokkeerd. Woningcorporatie
Woningzoekende / Huurder
Toegang tot BRP
Lokale woningcorporatie
Alleen woningzoekende / huurder uit de betreffende gemeente
Alleen toegang tot BRP van de betreffende gemeente zelf.
Woningcorporatie actief met woningvoorraad in meerdere gemeenten.
Woningzoekende / huurder uit alle deelnemende gemeenten Weliswaar geen woningaanbod in alle gemeenten maar wel vanuit alle gemeenten woningzoekenden.
Toegang tot BRP van alle deelnemende gemeenten.
Woningcorporatie met woningvoorraad in meerdere gemeente maar met <50 woningzoekenden uit specifieke gemeente(n).
-
Nadere afstemming tussen betreffende gemeente en woningcorporatie over mogelijke alternatieven.
Artikel 4 In dit artikel is bepaald dat de woningcorporatie moet voldoen aan de beveiligingseisen die de gemeente stelt. Daarbij geldt als uitgangspunt dat de woningcorporatie aan dezelfde beveiligingseisen moet voldoen als de gemeente (de verwerkingsverantwoordelijke). Voor de eisen ten aanzien van informatiebeveiliging kan aansluiting worden gezocht bij het gemeentelijk beveiligingsbeleid gebaseerd op de Baseline Informatiebeveiliging Overheid, het
17
beleid ten aanzien van telewerken binnen de gemeente en de aanvullende eisen in de Privacy- en beheerregeling BRP. Indien de gemeente daartoe aanleiding ziet kan zij besluiten tot het (laten) doen van een inspectie om vast te stellen of de bepalingen uit dit convenant worden nageleefd door de woningcorporatie. Artikel 5 In dit artikel wordt bepaald dat de woningcorporatie eventuele inbreuken op de beveiliging in relatie tot dit convenant zo spoedig mogelijk meldt bij de gemeente. Belangrijk hierbij is dat de beoordeling, of er sprake is van een datalek, of dit datalek gemeld moet worden bij de Autoriteit Persoonsgegevens en of betrokkenen moeten worden geïnformeerd, ligt bij de gemeente. De inbreuk wordt dus door de woningcorporatie gemeld aan de gemeente, de gemeente beoordeelt of dit een datalek is en gemeld moet worden. Artikel 6 Voor het overzicht welke persoonsgegevens worden verwerkt wordt verwezen naar de privacy- en beheerregeling BRP. Daarmee wordt voorkomen dat in verschillende documenten hetzelfde wordt beschreven. In de meeste gevallen betreft dit: - Basisgegevens - Oudergegevens - Huwelijksgegevens - Kindgegevens - Gezag en Curatele - Historische bewoning Onder de basisgegevens wordt ook vastgelegd datum vestiging in de betreffende gemeente, de datum vestiging op huidige adres en de adreshistorie van de afgelopen 5 jaar (adressen + vestigingsdata).
Ook kan worden ingezien welke personen op het adres van de hoofdbewoner staan ingeschreven. Dit kan relevant zijn om te bepalen of dat hetzelfde aantal mensen is dat meeverhuist (bepalend voor de status van de woningzoekende). De geraadpleegde gegevens in de BRP kunnen ook worden uitgeprint en aan het dossier van de betrokkene worden toegevoegd. Dit wordt echter niet aangeraden. Het gebruik van de BRP, en dus ook de uitdraai, is alleen mogelijk voor een juiste woningtoewijzing en voorkoming van fraude. Aangezien het dossier ook voor andere doeleinden wordt gebruikt is niet uit te sluiten dat de uitdraai ook voor andere doeleinden wordt gebruikt. De uitdraai is in het kader van verantwoording ook niet noodzakelijk, volstaan kan worden met de aantekening dat de BRP is geraadpleegd. Rechten die inwoners hebben op grond van de Wet Basisregistraties Personen blijven onaangetast door dit convenant, zoals het recht op de beperking van verstrekking. In lid 2 is opgenomen dat als een betrokkene om beperking van de verstrekking van zijn persoonsgegevens heeft gevraagd op grond van artikel 3.21 Wet BRP, de gegevens niet aan de woningcorporatie worden verstrekt/toegang wordt gegeven tot deze informatie.
18
Lid 2 betreft echter wel een keuze van de gemeente. Artikel 3.21 Wet BRP betreft namelijk verstrekking aan derden. Onder andere overheden zijn geen derden. De beperking van de verstrekking uit de Wet BRP ziet dus niet op de verstrekking aan de woningcorporatie die optreedt als verwerker voor de gemeente. De woningcorporatie voert namelijk een taak uit van de gemeente en kan daarmee dus over de gegevens beschikking. De situatie dat een betrokkene een beperking heeft gevraagd komt slechts beperkt voorkom. Als die situatie zich voordoet vraagt het extra aandacht om betrokkene toe te lichten waarom de woningcorporatie in dit geval de gegevens wel mag ontvangen. Gelet op de juridische complexiteit is dit niet altijd eenvoudig. Om die reden is als uitgangspunt genomen dat de gegevens niet worden verstrekt, juridisch is dit dus wel mogelijk. Artikel 7 Een belangrijke verplichting is dat de woningcorporatie transparant is over het feit dat zij op basis van dit convenant deels toegang hebben tot de BRP. De woningcorporatie kan zelf bepalen op welke wijze ze hieraan uitvoering geeft, zoals de betrokkenen in staat worden gesteld de informatie in begrijpelijke taal en eenvoudig toegankelijk tot zich te nemen. Dit kan bijvoorbeeld in de privacyverklaring worden opgenomen of worden toegelicht in formulieren.
Mochten betrokkenen hun rechten willen uitoefenen op grond van de AVG, dan is het belangrijk dat de woningcorporatie de betrokkene spoedig wijst op de wijze waarop zij dit verzoek bij de gemeente kunnen indienen. De gemeente is verantwoordelijk voor de afhandeling van het verzoek. De toegang tot de BRP kan door de woningcorporatie niet worden doorgegeven aan andere partijen. Ook mag de woningcorporatie informatie uit de BRP niet doorgeven aan andere partijen, tenzij hiertoe een wettelijke verplichting is. De woningcorporaties controleren de rechtmatigheid van het afgeven van de huisvestingsvergunning bij de verhuur door middel van inzage in de BRP. Dit betekent dat de BRP kan worden ingezien na het selecteren van de kandidaat, maar voor het verlenen van de huisvestingsvergunning. Op basis van de huidige tekst is dat mogelijk omdat dat valt onder het verlenen van een huisvestingsvergunning en onderzoek (preventie) woonfraude. Voor het tekenen van het huurcontract kan de woningcorporatie de kandidaat dus via de BRP checken op de woonsituatie. Bij de corporaties is ontstaan de wens om de mogelijkheid te hebben om al eerder in het proces van de verhuur en (afgeven huisvestingsvergunning) een controle in de BRP op de woonsituatie te kunnen doen. Zoals een check op de belangstellenden bij een (groeps)aanbieding.
Afgesproken wordt dat hier onderzoek naar wordt verricht, en of er in de Wet BRP hier ruimte voor is. Artikel 8 De gemeente faciliteert de toegang tot de BRP op basis van dit convenant en kan ook de toegang daartoe intrekken indien het convenant niet wordt nageleefd. De gemeente ziet hier actief op toe. Artikel 9
19
Dit artikel behoeft geen nadere toelichting Artikel 10 Dit artikel ziet enkel op de beslechting van geschillen tussen de ondertekenaars van dit convenant. Voor inwoners / huurders geldt dat zij zich voor geschillen kunnen wenden tot de Regionale klachtencommissie woonruimteverdeling Haaglanden. Artikel 11 Lid 6 zit op de verwijdering en vernietiging van de persoonsgegevens zodra deze niet meer noodzakelijk zijn voor de uitvoering van de taken op grond van dit convenant. Dit zijn de reguliere bewaar- en vernietigingstermijnen die de gemeente zelf ook (zou) hanteren. Artikel 12 Dit artikel behoeft geen nadere toelichting Artikel 13 Dit artikel behoeft geen nadere toelichting
20
BIJLAGE 1 gegevens uit de BRP A. De volgende gegevens worden uit de BRP verstrekt aan de woningcorporatie in het kader van de uitvoering van de taak alle voorbereidende handelingen ten aanzien van het afhandelen van een aanvraag om een urgentieverklaring op grond van artikel 12 Huisvestingswet jo artikel 4:1 Huisvestingsverordening Delft 2023. Gegevens BRP
Beschikbaar
Noodzaak
Basisgegevens
Ja
Vaststellen identiteit / juiste persoon
Oudergegevens
Ja
Vaststellen gezinsgrootte en ouder kindrelatie
Huwelijkgegevens
Ja
Vaststellen relatie in verband met toewijzing
Kindgegevens
Ja
Vaststellen aantal personen voor toewijzing
Gezag en curatele
Ja
Vaststellen aantal meeverhuizende kinderen/inwonenden
Historische bewoning
Ja
Vaststellen huishoudenssamenstelling en -vorming
Basisgegevens Indien gegevens ter beschikking worden gesteld, betreft het altijd minimaal de volgende set aan gegevens: - Gegevens met betrekking tot de persoon zelf, te weten naam (inclusief de gegevens noodzakelijk voor een correcte aanschrijving), geboortedatum, geslacht en de eventuele verstrekkingsbeperking; - Gegevens omtrent het overlijden van de persoon; - Gegevens omtrent de verblijfplaats van de persoon, te weten de adresgegevens, de datum van inschrijving in de gemeente, de datum aanvang adreshouding en de opschorting; - Gegevens omtrent de bewoning van een adres (woningkaart). Wordt onderzoek gedaan naar de juistheid van een ter beschikking gesteld gegeven, of is vast komen te staan dat een gegeven onjuist is, dan wordt dit mee verstrekt. Tevens wordt inzage verleend in terugmeldingen. Extra gegevens Voor zover noodzakelijk voor de uitvoering van de taak, kunnen tevens de volgende gegevens van een persoon worden verstrekt: - Oudergegevens, te weten naam, geboortedatum en geslacht; - Huwelijksgegevens, te weten de gegevens omtrent de huwelijkssluiting, de eventuele ontbinding en de partner, te weten de identificatienummers, naam, geboortedatum en geslacht (idem wat betreft het geregistreerd partnerschap); - Kindgegevens, te weten naam en geboortedatum;
21
-
Gegevens omtrent het verblijfadres in het buitenland; Gegevens met betrekking tot het gezag van het minderjarige kind of de onder curatele stelling van de meerderjarige. Gegevens met betrekking tot de verblijfsadressen en bewoning in het verleden.
B. De volgende gegevens worden uit de BRP verstrekt aan de woningcorporatie in het kader van de uitvoering van de taak: het verlenen van een huisvestingsvergunning op grond van artikel 7 en 8 Huisvestingswet, artikel 2:4 en 2:5 e.v. Huisvestingsverordening Delft 2023.
Gegevens BRP
Beschikbaar
Noodzaak
Basisgegevens
Ja
Vaststellen identiteit / juiste persoon
Oudergegevens
Ja
Vaststellen gezinsgrootte en ouder kindrelatie
Huwelijkgegevens
Ja
Vaststellen relatie in verband met toewijzing
Kindgegevens
Ja
Vaststellen aantal personen voor toewijzing
Gezag en curatele
Ja
Vaststellen aantal meeverhuizende kinderen/inwonenden
Historische bewoning
Ja
Vaststellen huishoudenssamenstelling en -vorming
Basisgegevens Indien gegevens ter beschikking worden gesteld, betreft het altijd minimaal de volgende set aan gegevens: - Gegevens met betrekking tot de persoon zelf, te weten naam (inclusief de gegevens noodzakelijk voor een correcte aanschrijving), geboortedatum, geslacht en de eventuele verstrekkingsbeperking; - Gegevens omtrent het overlijden van de persoon; - Gegevens omtrent de verblijfplaats van de persoon, te weten de adresgegevens, de datum van inschrijving in de gemeente, de datum aanvang adreshouding, de immigratiedatum en de opschorting; - Gegevens omtrent de bewoning van een adres (woningkaart). Wordt onderzoek gedaan naar de juistheid van een ter beschikking gesteld gegeven, of is vast komen te staan dat een gegeven onjuist is, dan wordt dit mee verstrekt. Tevens wordt inzage verleend in terugmeldingen.
Extra gegevens
22
Voor zover noodzakelijk voor de uitvoering van de taak, kunnen tevens de volgende gegevens van een persoon worden verstrekt: - Oudergegevens, te weten naam, geboortedatum en geslacht; - Huwelijksgegevens, te weten de gegevens omtrent de huwelijkssluiting, de eventuele ontbinding en de partner, te weten de identificatienummers, naam, geboortedatum en geslacht (idem wat betreft het geregistreerd partnerschap); - Kindgegevens, te weten naam en geboortedatum; - Gegevens omtrent het verblijfadres in het buitenland; - Gegevens omtrent het land van immigratie; - Gegevens met betrekking tot het gezag van het minderjarige kind of de onder curatele stelling van de meerderjarige. - Gegevens met betrekking tot de verblijfsadressen en bewoning in het verleden.
C. De volgende gegevens worden uit de BRP verstrekt aan de woningcorporatie in het kader van de uitvoering van de taak: het onderzoeken van woonfraude op grond van de Huisvestingsverordening artikelen 2:4 en 2:5 en artikelen 7 en 8 Huisvestingswet. Gegevens BRP
Beschikbaar
Noodzaak
Basisgegevens
Ja
Vaststellen identiteit / juiste persoon
Oudergegevens
Ja
Vaststellen gezinsgrootte en ouder kindrelatie
Huwelijkgegevens
Ja
Vaststellen relatie in verband met toewijzing
Kindgegevens
Ja
Vaststellen aantal personen voor toewijzing
Gezag en curatele
Ja
Vaststellen aantal meeverhuizende kinderen/inwonenden
Historische bewoning
Ja
Vaststellen huishoudenssamenstelling en -vorming
Basisgegevens Indien gegevens ter beschikking worden gesteld, betreft het altijd minimaal de volgende set aan gegevens: - Gegevens met betrekking tot de persoon zelf, naam (inclusief de gegevens noodzakelijk voor een correcte aanschrijving), geboortedatum, geslacht en de eventuele verstrekkingsbeperking; - Gegevens omtrent het overlijden van de persoon; - Gegevens omtrent de verblijfplaats van de persoon, te weten de adresgegevens, de datum van inschrijving in de gemeente, de datum aanvang adreshouding, de immigratiedatum en de opschorting; - Gegevens omtrent de bewoning van een adres (woningkaart).
23
Wordt onderzoek gedaan naar de juistheid van een ter beschikking gesteld gegeven, of is vast komen te staan dat een gegeven onjuist is, dan wordt dit meeverstrekt. Tevens wordt inzage verleend in terugmeldingen. Extra gegevens Voor zover noodzakelijk voor de uitvoering van de taak, kunnen tevens de volgende gegevens van een persoon worden verstrekt: - Oudergegevens, te weten naam, geboortedatum en geslacht; - Huwelijksgegevens, te weten de gegevens omtrent de huwelijkssluiting, de eventuele ontbinding en de partner, te weten de identificatienummers, naam, geboortedatum en geslacht (idem wat betreft het geregistreerd partnerschap); - Kindgegevens, te weten naam en geboortedatum; - Gegevens met betrekking tot het gezag van het minderjarige kind of de onder curatele stelling van de meerderjarige. - Gegevens met betrekking tot de verblijfsadressen en bewoning in het verleden.
D. Contactgegevens Contactpersoon Gemeente Contactpersoon DUWO
Naam: Alex van den Berg (FG) Email: privacy@delft.nl Naam: Espen van der Burg Email: espen.vanderburg@duwo.nl
Contactpersoon Stedelink
Naam: Eveline van der Wel Email: datalekmelding@stedelink.nl
Contactpersoon Vidomes
Naam: Judith Eltenberg Email j.eltenberg@vidomes.nl Naam: Monique Brandsma Email: privacyofficer@woonbron.nl
Contactpersoon Woonbron
NB: Eventuele wijzigingen in bovenstaande tabellen geven partijen op korte termijn aan elkaar door.
24