Eindrapport Berenschot Gegevensdeling
Tekst van het document
Impact
Mechanismen voor veilige en rechtmatige gegevensuitwisseling (onder
De gemeente voldoet niet aan haar eigen ambities
andere de PDCA-cyclus en signaleringsoverleggen) worden niet ten uitvoer gebracht De uitvoering op regionale schaal komt niet overeen met de ambities op
Er wordt geen invulling gegeven aan de ambities van de gemeente, zowel
gemeentelijke schaal
op het gebied van informatieveiligheid en privacy als op andere domeinen
Als gegevensuitwisseling onrechtmatig en/of onveilig plaatsvindt, kan dit
Taken van de gemeente worden onrechtmatig of onveilig uitgevoerd
de uitvoering van andere taken belemmeren
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 35
HOOFDSTUK 5
Positie van de raad De raad heeft twee belangrijke rollen die benut kunnen worden om te sturen op digitalisering binnen en buiten de gemeente: de kaderstellende en de controlerende rol. In dit hoofdstuk reflecteren we op de mate waarin de raad die rollen invult en daarmee hoe de raad zich positioneert op gegevensuitwisseling in samenwerkingsverbanden.
Een onderdeel van het onderzoek was een gesprek met de
5.1 Mogelijkheden tot sturing
raadsleden. De focus van dit gesprek lag vooral op de wijze waarop de raad zijn kaderstellende en controlerende rol kan
Het AB van een GR kent een informatieplicht richting
vervullen. We focusten ook op de wensen en behoeften die
de betrokken raden. Daarnaast heeft een raad een aantal
raadsleden hebben ten aanzien van het krijgen van grip op
instrumenten tot zijn beschikking om grip op een regionale
gegevensuitwisseling. De uitnodiging voor het gesprek met
samenwerking te krijgen, zo ook over het onderwerp
raadsleden is naar de hele raad uitgegaan. Twee van de 39
gegevensuitwisseling. De praktische instrumenten van de raad
gemeenteraadsleden zijn op onze uitnodiging in gegaan. Dat
zijn onder te verdelen in instrumenten met betrekking tot40:
leidt tot twee aandachtspunten: 1) de analyses in dit hoofdstuk
•
Informatie. Naast structurele informatievoorziening, heeft
zijn gebaseerd op een kleine groep, en er kan daarom niet
de raad verschillende rechten om incidentele informatie
al te veel gewicht aan gegeven worden en 2) het onderwerp
op te vragen. Denk bijvoorbeeld aan informatierecht ten
leeft inderdaad onvoldoende bij de raad of de uitnodiging
aanzien van het college, informatierecht ten aanzien van
beschreef het belang van dit onderwerp niet helder genoeg.
het eigen lid van het algemeen bestuur en informatierecht
Desalniettemin zijn er interessante observaties en analyses
ten aanzien van het algemeen bestuur.
naar voren gekomen uit dit gesprek en uit andere gesprekken
•
collegeleden en aan een lid van het algemeen bestuur.
met de ambtelijke organisatie, die van toepassing zijn op de onderstaande paragrafen.
Verantwoording. De raad kan verantwoording vragen aan
•
Sturing. De raad heeft de volgende formele instrumenten om te sturen: zienswijzenprocedure, gemeentelijke begroting (paragraaf verbonden partijen), moties verordenende bevoegdheid, en beleidsregels (of algemene en concrete instructies) van ofwel de raad of het college van B&W.
40
Berenschot (2018).
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 36
Figuur 4.
Visuele weergave van de verschillende instrumenten van de gemeenteraad richting het college en samenwerkingsverband.
5.2 Positionering van de gemeenteraad
Verantwoordelijkheid raad
Uit de gesprekken blijkt dat het onderwerp ‘gegevensuitwisseling’ 1
Informatie
2
Verantwoording
3
Sturen ▪ Opvattingen ▪ Moties ▪ Kaderstelling ▪ Opzeggen: - vertrouwen bestuur - samenwerking
of ‘gegevensbescherming’ niet leeft bij de raadsleden, zeker niet in de context van regionale samenwerkingen. De gesproken raadsleden geven hierbij ook aan dat digitalisering als onderwerp in het geheel weinig leeft en dat hierdoor ook geen actieve kaderstellende en controlerende rol ingenomen wordt omtrent
Verantwoordelijkheid college
IT en digitalisering.41 De raad vervult zijn rol met name reactief op het moment als er een concrete casus politiek wordt gemaakt.
Werking samenwerkingsverband
Dit blijft echter bij individuele gevallen hangen, bijvoorbeeld bij het probleem rondom onbedoelde wifi-tracking van 2018 tot 2020. Situaties zoals deze komen zelden voor binnen de
In de context van dit onderzoek is met name het stellen van
gemeenteraad. Raadsleden geven aan dat dit komt door een
vragen (het opvragen van informatie) relevant. Zoals eerder
combinatie van gebrek aan kennis enerzijds en gebrek aan
benoemd in paragraaf 2.1, kan de raad vragen stellen over
gevoelde urgentie anderzijds. Zij geven aan dat er ook geen
de rapportages van het college aan de raad. Dit kan dan
(gedeeld) beeld is bij de mogelijke risico’s die zich kunnen
bijvoorbeeld gaan over de verantwoordelijkheid van de gemeente
voordoen rond gegevensuitwisseling of van de toezichthoudende
en hoe dit zich verhoudt tot de samenwerkingsverbanden: is
rollen binnen de gemeente waar ze op kunnen voortbouwen voor
duidelijk wie welke verantwoordelijkheid draagt? Waarom
de invulling van hun controlerende rol.
wel of niet? Vragen kunnen ook gaan over de borging van doelmatigheid van gegevensuitwisseling: is het expliciet
Daarnaast geven raadsleden aan dat samenwerkingsverbanden
vastgelegd wat het doel voor de uitwisseling is? Of is daarin
in algemene zin ook niet hoog op de agenda staan, omdat
ruimte voor interpretatie? Is hierbij vastgelegd hoe inwoners
ze ervaren dat ze hier relatief weinig invloed op kunnen
van wie de gegevens worden uitgewisseld, worden geïnformeerd
uitoefenen. Dit komt mede omdat zij het indienen van een
over wie er beschikt over hun gegevens en met welk doel? In
zienswijze als enige instrument zien om hun controlerende rol
feite beoordeelt de raad met dergelijke vragen de rechtmatigheid
invulling te geven. Uit de documentenstudie blijkt daarnaast
van de uitwisseling van persoonsgegevens, en met name de
ook dat het per samenwerkingsverband verschilt of en op welke
borging hiervan door het college. Indien er twijfels ontstaan
manier de raad gevoed wordt met informatie. Dit kan vanuit de
over de beantwoording van deze informatievragen, kunnen
GR ingevuld worden vanuit de informatieplicht, maar kan ook
raadsleden méér of gedetailleerdere informatie opvragen over
door de gemeente zelf moeten plaatsvinden. Hierdoor ervaren
het IB-beleid/privacybeleid van een samenwerkingsverband, of
raadsleden een afstand tot samenwerkingsverbanden en staat
eventueel meer sturend te werk gaan.
dit niet hoog op de agenda. De gesproken raadsleden geven aan dat zij weinig ambitie/ behoefte zien vanuit de raad om meer positie in te nemen op de kaderstellende rol. Wel zien ze een mogelijkheid om meer positie te kunnen nemen in de controlerende rol, op ontwikkelingen rondom digitalisering als geheel. Raadsleden geven aan dan vooral baat te hebben bij doelgerichte informatie en goede voorbeelden met betrekking tot het invullen van de controlerende rol in deze context. Dit gaat dan niet over gedetailleerde kennis over gegevensuitwisseling, maar over handvaten hoe ze hun controlerende rol eventueel kunnen inzetten.
41
Er is wel een discussienota besproken in de raad: ‘Ethische visie op gebruik van data en technologie’. Er is nog geen besluitvorming over de nota geweest.
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 37
Analyse Berenschot De raad neemt weinig positie in rondom gegevensuitwisseling, maar lijkt ook op het thema digitalisering als geheel niet veel positie in te nemen. Dit geldt zowel voor de kaderstellende als de controlerende rol. Onderwerpen als ‘gegevensuitwisseling bij samenwerkingsverbanden’ spreken dan ook niet tot de verbeelding bij de gesproken raadsleden. Hoewel het te begrijpen is dat de raad geen actieve kader stellende rol op dit specifieke thema inneemt, kan het wel als risico worden bezien als zij ook geen invulling geven aan de controlerende rol op de invulling van het college aan het digitaliseringsthema als geheel. Het is van belang dat de raad als controlerend gremium zicht heeft op de mechanismen voor legitieme omgang met gegevens (of in bredere zin; met data en technologie). Door geïnformeerd en meegenomen te worden in de processen en inrichting in de organisatie, kan de raad zijn controlerende rol op hoofdlijnen invulling geven.
DEEL 3
Bijlagen In bijlage 1 vindt u de onderzoeksverantwoording en het theoretisch kader, waarna bijlage 2 de onderzochte documenten beschrijft. Bijlage 3 bevat vervolgens een toelichting op het wettelijk kader dat van toepassing is op de onderzochte casussen.
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 39
BIJLAGE 1
Onderzoeksverantwoording bestuurlijk als op de uitvoering en toezicht, rondom gegevens
Selectie van regionale samen werkingsverbanden als casestudy’s
uitwisseling in samenwerkingsverbanden door te lichten. Om
Om te beoordelen in hoeverre de gemeente Enschede stuurt op
deze praktijk te onderzoeken, is gebruik gemaakt van twee
rechtmatige gegevensuitwisseling in samenwerkingsverbanden,
samenwerkingsverbanden als casussen. Het is belangrijk om te
vergelijken we bij wijze van steekproef beleid en uitvoerings
benoemen dat het gebruik van de casussen enkel het doel dient
praktijk met betrekking tot twee regionale samenwerkings
om te illustreren hoe de omgang van de gemeente Enschede
verbanden. De selectie van onze twee casussen is in nauw
met samenwerkingsverbanden vorm krijgt. De casussen zijn
overleg met de Rekenkamer tot stand gekomen. De casussen
daarmee niet het object van de evaluatie.
zijn op basis van een aantal criteria geselecteerd uit het
Het onderzoek poogt met name om het grijze gebied, zowel
totaaloverzicht van samenwerkingsverbanden waaraan de In de volgende paragraaf lichten we meer toe over de criteria
gemeente Enschede (in totaal 26) deelneemt42.
die onderliggend waren aan de casusselectie, evenals een korte
•
het type persoonsgegevens dat wordt uitgewisseld
beschrijving van de twee casussen.
•
de betrokken beleidsdomeinen
•
de juridische vorm van het samenwerkingsverband
•
de bestuurlijke verantwoordelijkheid van het
Onderzoeksmethoden De documentenstudie omvat (beleids)documenten van de gemeente Enschede, (beleids)documenten van de geselecteerde
samenwerkingsverband •
samenwerkingsverbanden, relevante wet- en regelgeving,
de verwachtingen met betrekking tot knelpunten bij gegevensuitwisseling.
beleidsdocumenten van andere gemeenten binnen dezelfde context en eerdere relevante onderzoeksrapporten. De
Op het moment dat de casussen op deze criteria voldoende
documentstudie gaf inzicht in het vastgestelde beleid, de
variatie vertonen, zijn ze illustratief voor de omgang van de
gemaakte afspraken, en governance en verantwoordelijkheden
gemeente met verschillende typen samenwerkingsverbanden.
binnen de gemeente Enschede. Tevens gaf het inzicht in
Op basis van de criteria zijn het Zorg- en Veiligheidshuis
de historie van de gemeente Enschede op het onderwerp
Twente en de Stadsbank Oost Nederland geselecteerd
gegevensuitwisseling. In bijlage 2 vindt u een overzicht van de
als casus. Deze casussen behandelen verschillende typen
geraadpleegde documentatie.
persoonsgegevens (informatie uit zorg- en veiligheidsdossiers en financiële informatie), raken aan verschillende domeinen
We hebben voor dit onderzoek dertien (groeps)gesprekken
(zorg-/veiligheidsdomein en werk en inkomen), kennen
gevoerd. We hebben er zorg voor gedragen om een, voor zover
een andere juridische vorm (gemeenschappelijke regeling
mogelijk, brede afspiegeling van bestuurders, beleidsmedewerkers
en verband zonder rechtspersoonlijkheid), verschillende
en raadsleden te spreken vanuit de gemeente Enschede. Ook
bestuurlijke verantwoordelijkheid en te verwachten knelpunten.
hebben we een aantal gesprekken gevoerd met experts die niet werkzaam zijn bij de gemeente Enschede. Zodoende hebben de onderzoekers beelden, risico’s en best practices extern kunnen valideren. Om de anonimiteit van gesprekspartners te waarborgen, openbaren we de namen van gesprekspartners niet. De gesprekken hadden een tweeledige insteek: 1) inzicht krijgen in de dagelijkse praktijk van de gemeente Enschede binnen en buiten de samenwerkingsverbanden, 2) veelvoorkomende risico’s en best practices ophalen bij soortgelijke organisaties die ervaring hebben met gegevensuitwisseling in soortgelijke samenwerkingsverbanden.
42
RegioAtlas Enschede (2024).
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 40
Theoretisch kader
In regionale samenwerking interacteren de drie elementen
We maken gebruik van het publiekewaardemodel als kader voor
met elkaar op gemeentelijke en regionale schaal (zie figuur 5).
het onderzoek. Publieke waarde is het effect dat gecreëerd wordt
Effectieve risicobeheersing bij gegevensuitwisseling met en
door een organisatie; de daadwerkelijk positieve effecten op
door samenwerkingsverbanden is een vorm van ‘schaalkracht’
de maatschappij. Het model gaat ervan uit dat ‘wat we willen’
en wordt bepaald door het samenspel tussen de regionale en
(publiekewaardepropositie/ambitie) altijd in balans moet
gemeentelijke schalen. Bij de implementatie van nationale wet-
zijn met ‘wat we kunnen’ (capaciteit/organisatie) en ‘wat we
en regelgeving rondom gegevensuitwisseling ontstaat daarom
mogen en waar we toe bereid zijn’ (legitimiteit). Bij een goede
een samenspel tussen de schalen:
invulling van en een juiste balans tussen deze drie elementen
•
De gemeente Enschede én de regionale samenwerkings
ontstaat publieke waarde op een effectieve, gelegitimeerde en
verbanden stemmen hun ambities (proposities van
efficiënte wijze. De juiste balans verschilt hierbij naar gelang de
publieke waarde) onderling af. Hiermee bedoelen we dat
context.
de gemeente Enschede met haar lokale (bestuurlijke)
Figuur 5.
ambities stuurt op het handelen van de regio, maar ook dat
Schaalkracht in het publiekewaardemodel.
de (bestuurlijke) richting die een regio kiest impact kan
Regionale schaal
hebben op het handelen van de gemeente Enschede •
De verschillende organisaties (operationele capaciteit) interacteren met elkaar én kunnen conflicteren bij een gebrek aan beleid of interactie. Als de gemeente Enschede de kennis, kunde en processen in huis heeft om landelijke wet- en regelgeving te implementeren, kan ze die niet
Schaalkracht
Gemeentelijke schaal
alleen inzetten ten behoeve van legitiem handelen op de lokale schaal, maar ook om de regio daarop aan te sturen. De gemeente Enschede kan haar eigen capaciteit ter beschikking stellen aan de regio, proactief en preventies risico’s signaleren voor gegevensuitwisseling én die mitigeren – ook met behulp van lokaal beleid. •
Het is niet vanzelfsprekend dat op alle schalen legitiem wordt gehandeld en er evenveel draagvlak bestaat voor de manier waarop gegevensuitwisseling plaatsvindt om publieke waarde te realiseren. Er is sprake van wederzijdse afhankelijkheid: de gemeente Enschede is afhankelijk van de invulling van betrokken partijen en van draagvlak hiervoor binnen de regio. Zo kunnen activiteiten van de regio de legitimiteit van het handelen van de gemeente Enschede onder druk zetten, bijvoorbeeld als de regio bepaalde landelijke wet- en regelgeving onvoldoende heeft geïmplementeerd in beleid maar toch als vorm van ‘verlengd lokaal bestuur’ taken overneemt van de gemeente.
Dit laat zien dat de keuzes die worden gemaakt op regionale en lokale schaal, elkaar wederzijds beïnvloeden en dat een effectieve risicobeheersing hiervan afhankelijk is.
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 41
BIJLAGE 2
Documenten •
Autoriteit Persoonsgegevens (2023). AP Jaarplan 2024.
•
Berenschot (2023a). Eindrapportage formatie onderzoek
• •
•
•
[vertrouwelijk; niet vastgesteld] •
Gemeente Enschede (2024). Verwerkingsregister Enschede
Berenschot (2023b). Eindrapportage risicoanalyse Zorg- en
•
Informatiebeveiligingsdienst & VNG (2022).
Veiligheidshuis Twente
Dreigingsbeeld informatiebeveiliging Nederlandse
Berenschot (2018). Grip op samenwerking in de praktijk.
gemeenten 2023 2024. Bron geraadpleegd op 15-05-
Bron geraadpleegd op 28-06-2024: https://www.griffiers.
2024: https://www.informatiebeveiligingsdienst.nl/wp-
nl/sites/www.griffiers.nl/files/documenten/grip-op-
content/uploads/2022/10/IBD_dreigingsbeeld_2023-2024_
samenwerking-in-de-praktijk.pdf
DEF-versie.pdf
Data School Universiteit Utrecht (2021). De Data Wijzer.
•
Hoe de gemeenteraad kan sturen op de maatschappelijke
onderzoek/verantwoorde-ai/datawijzer/ - :~:text=De%20
impact van digitale technologie. Bron geraadpleegd op
DataWijzer%20is%20een%20instrument,een%20tablet%20
03-07-2024: https://www.rathenau.nl/sites/default/
kan%20worden%20gebruikt
files/2020-09/Raad-weten-met-digitalisering-Rathenau-
Datawerkplaats Universiteit Utrecht (2022). De Digitale
Instituut.pdf •
geraadpleegd op 03-07-2024: https://www.regioatlas.nl/
verzamelen-voor-de-reflectie-van-en-beraadslaging-over-
samenwerkingen/samenwerkingen_item/t/enschede •
Decentraal bestuur (2022). Regionale samenwerking en
Stadsbank Oost Nederland (2022). Informatiebeveiligings beleid
•
Universiteit Utrecht (2022). Hand out Verantwoording
legitimiteit, effectiviteit en doelmatigheid van regionale
over algoritmen in de gemeenteraad. Bron geraadpleegd op
samenwerkingsverbanden. Bron geraadpleegd op 17-05-
03-07-2024: https://www.raadsleden.nl/assets/documents/
2024: https://open.overheid.nl/documenten/ronl-06e1b2b250 69b8dbaa7b0294ae5ef18f8f9588dd/pdf
hand-out_bevindingen.pdf •
VNG (2021). Rol gemeenteraad: digitalisering is een
Gemeente Enschede (2022). Strategisch informatie
incident. Bron: https://vng.nl/artikelen/rol-gemeenteraad-
beveiliging- en privacybeleid
digitalisering-is-geen-incident
•
Gemeente Enschede (2023). Beleid en procedure DPIA’s
•
Gemeente Enschede (2023). Procedure actueel houden verwerkingsregister
•
in het sociaal domein [intern werkdocument] Gemeente Enschede (2023). Toezichtsplan FG 2024
•
Gemeente Enschede (2023). Waardengedreven digitaliseren: ethische visie op het gebruik van
•
data en technologie door de gemeente Enschede.
•
Gemeente Enschede (2024). Borgingsproduct 3.0 Rapportage SD 2023 [vertrouwelijk] Gemeente Enschede (2024). Infographic privacyvragen [intern werkdocument]
Zorg- en Veiligheidshuis Twente (2022). Privacy Protocol ZVH
•
Gemeente Enschede (2023). Programma Zorgvuldig werken
•
•
RegioAtlas (2024). Samenwerkingen Enschede. Bron
https://datawerkplaats.org/producten-en-tools/ik-wil-input-
gemeenteraden. Een samenvattend onderzoek naar de
•
Rathenau Instituut (2020). Raad weten met digitalisering.
Bron geraadpleegd op 03-07-2024: https://dataschool.nl/
datapraktijken/de-digitale-raadgever/
•
Gemeente Enschede (2024). Jaarverslag FG 2023
Zorg- en Veiligheidshuis Twente
Raadgever. Bron geraadpleegd op 03-07-2024:
•
•
Zorg- en Veiligheidshuis Twente (2022). Samenwerkingsconvenant ZVH
•
Zorg- en Veiligheidshuis Twente (2023). Vaststellen Jaarverslag Zorg- en Veiligheidshuis Twente 2024
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 42
BIJLAGE 3
Wettelijk kader
Algemene kaders
De AVG kent zes belangrijke beginselen die zijn uitgewerkt in artikel 5 van de AVG. Deze beginselen zijn:
Grondrechten
•
Rechtmatigheid, behoorlijkheid en transparantie: dit betekent
Binnen de EU zijn fundamentele rechten van individuen op
dat de gemeente Enschede enkel persoonsgegevens mag
verschillende plekken goed geregeld. Op Europees niveau is
verwerken indien dit past bij de wettelijke taak die zij
het EU-recht op bescherming ten aanzien van de verwerking
vervullen. Het moet helder zijn voor welke doeleinden
van persoonsgegevens en het recht op eerbiediging van het
gegevens worden verzameld en verwerkt en op welke wijze
privéleven in verschillende Verdragen vastgelegd. Ook de
dit gebeurt.
43
Nederlandse Grondwet erkent het recht op eerbiediging van
•
Doelbinding: persoonsgegevens moeten voor welbepaalde,
de persoonlijke levenssfeer. Wanneer we binnen het kader
uitdrukkelijk omschreven en gerechtvaardigde doeleinden
van dit onderzoek refereren aan privacyrechten, dan refereren
worden verzameld en mogen niet verder worden verwerkt
we daarbij aan al deze grondrechten. Het recht op privacy is
op een wijze die daarmee onverenigbaar is.
44
slechts een van deze grondrechten. Ook andere fundamentele
•
Minimale gegevensverwerking: er mogen niet meer gegevens
rechten, zoals het recht op eigendom, menselijke waardigheid,
worden verzameld en verwerkt dan noodzakelijk is voor het
vrijheid van meningsuiting en diverse andere rechten worden
doel waarvoor zij worden verzameld.
op dit niveau beschermd. Doordat het beschermen van deze
•
grondrechten niet absoluut is, maar deze tegen elkaar moeten worden afgewogen, is verdere uitwerking in nationale en
Juistheid persoonsgegevens: persoonsgegevens moeten juist zijn en zo nodig worden geactualiseerd.
•
Europese wet- en regelgeving noodzakelijk.
Gegevensbeperking: persoonsgegevens worden bewaard in een vorm die het mogelijk maakt de betrokkene niet langer te identificeren dan voor de doeleinden waarvoor de
Algemene verordening gegevensbescherming (AVG)
persoonsgegevens worden verwerkt noodzakelijk is. •
Integriteit en vertrouwelijkheid: persoonsgegevens worden
In de EU vormt de Algemene verordening gegevensbescherming
voldoende beschermd zodat de vertrouwelijkheid en
(AVG) de belangrijkste kaders om een hoog (en gelijkwaardig)
integriteit van de persoonsgegevens voldoende gewaarborgd
beschermingsniveau van privacyrechten binnen de EU te
wordt.
waarborgen. In de AVG zijn verschillende algemene kaders vastgesteld die bepalen onder welke voorwaarden gegevens
Tot slot is er een verplichting voor organisaties om aan te
mogen worden verwerkt en aan welke vereisten dan moet
kunnen tonen dat zij voldoen aan deze beginselen. Dit wordt
worden voldaan. Daarnaast bevat de AVG verschillende
ook wel de verantwoordingsplicht genoemd. Deze verplichting
maatregelen en instrumenten om naleving te bevorderen en te
is nader uitgewerkt in concrete maatregelen, zoals de
handhaven.
verplichting tot het bijhouden van een verwerkingsregister en het uitvoeren van DPIA’s wanneer er sprake is van een hoog risico. Om ervoor te zorgen dat de AVG aansluit op nationale wet-
43
44
Bijvoorbeeld art. 16 van het Verdrag betreffende de werking van de Europese Unie (VWEU), Art. 7 en 8 van het Handvest van de grondrechten van de Europese Unie (het Handvest), en art. 8 van het Europees Verdrag voor de Rechten van de Mens (EVRM). Art. 10 Grondwet.
en regelgeving is de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) aangenomen.
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 43
Wet gegevensuitwisseling samenwerkings verbanden
Materiewetten
In juni 2024 is de Wet gegevensuitwisseling samenwerkings
Openbare veiligheid en opsporing
verbanden (Wgs) aangenomen. Deze wet is relevant voor
De AVG is niet geschikt voor alle gebieden. Het verwerken van
bijvoorbeeld het Zorg- en Veiligheidshuis Twente en biedt de
gegevens op het gebied van openbare veiligheid en opsporing en
juridische basis voor verwerking van persoonsgegevens binnen
handhaving van strafrechtelijke feiten is een voorbeeld hiervan.
het samenwerkingsverband. In de wet en de nog nader uit te
Hiervoor is specifieke wet- en regelgeving aangenomen: de
werken maatregelen van bestuur worden nadere regels bepaald
Richtlijn gegevensbescherming opsporing en vervolging
over de wijze waarop gegevensuitwisseling kan plaatsvinden. Dit
(Richtlijn EU.2016/680). Deze richtlijn is in Nederland
zal impact hebben op de wijze waarop de gemeente Enschede
geïmplementeerd via de Wet politiegegevens (Wpg) voor de
deze taken uitvoert. Alhoewel deze wet ten tijde van dit rapport
politie en de Wet justitiële en strafvorderlijke gegevens (Wjsg)
nog niet van kracht is, en daarom niet meegenomen kan
voor het Openbaar Ministerie en de Rechtspraak.
worden in de juridische analyse, zal deze na inwerkingtreding wel van invloed zijn.
Hoewel er veel overeenkomsten zijn tussen de verplichtingen uit de Wpg en de AVG, zijn er ook belangrijke verschillen
Bestuursrechtelijke beginselen
tussen beide wetten. Doordat de Wpg en Wjsg zich richten op
Ook bestuursrechtelijke beginselen hebben impact op
een specifiek en afgebakend onderwerp, bevatten deze wetten
gegevensuitwisseling - en de inrichting daarvan – binnen
op bepaalde onderdelen meer concrete en strengere eisen
samenwerkingsverbanden. Deze algemene beginselen
dan de AVG. Zo gelden er specifieke verplichtingen rondom
van behoorlijk bestuur zijn: het zorgvuldigheidsbeginsel,
het scheiden van feiten en meningen, gelden er concrete
het motiveringsbeginsel, het fair play-beginsel, het
bewaartermijnen, en worden er specifieke eisen gesteld
rechtszekerheidsbeginsel, het vertrouwensbeginsel en het
op het gebied van logging. Daarnaast is er in de Wpg een
gelijkheidsbeginsel. De bestuursrechter kan een genomen
auditverplichting vastgelegd.
besluit door een bestuursorgaan of een lagere regeling toetsen aan deze beginselen.45 Deze algemene beginselen waarborgen
Overige materiewetten en uitvoeringsbesluiten
dat bestuursrechtelijke beslissingen altijd aan bepaalde
Voor de uitvoering van veel taken worden in zogenaamde
minimumvereisten voldoen. Hieronder beschrijven we enkele
materiewetten nadere regels opgesteld rondom het
voorbeelden hiervan. Het zorgvuldigheidsbeginsel houdt in
verwerken van gegevens. Het gaat dan bijvoorbeeld om
dat bestuursorganen alle relevante feiten en omstandigheden
de Wet maatschappelijke ondersteuning, de Jeugdwet, de
meenemen zodat een zorgvuldige afweging van de belangen
Participatiewet, de Wet gemeentelijke schuldhulpverlening,
van betrokkenen kan worden gemaakt. Hiervoor is het
de Zorgverzekeringswet, etc. Deze wetten beschrijven
noodzakelijk dat bestuursorganen toegang hebben tot de juiste
vaak de maatschappelijk taak die bij een of meerdere
informatie. Een ander voorbeeld is dat het motiveringsbeginsel.
overheidsorganisaties wordt belegd, voor welke doeleinden zij
Het motiveringsbeginsel houdt in dat besluiten voldoende
daarvoor gegevens mogen verwerken en verstrekken aan andere
onderbouwd zijn zodat de beslissingen navolgbaar zijn voor de
organisaties, en aan welke randvoorwaarden daarbij moet
betrokkenen.
worden voldaan.
Europese ontwikkelingen
(Medisch) beroepsgeheim
•
Dataverordening
Naast bovenstaande wet- en regelgeving vervult het (medisch)
•
AI Act
beroepsgeheim ook nog een belangrijke rol in de wijze waarop
•
NIS2
gegevensuitwisseling al dan niet plaatsvindt. Zo geldt voor zorgprofessionals over het algemeen dat zij gehouden zijn aan een (medisch) beroepsgeheim. Dat is een belangrijk recht dat de medische professional en de patiënt hebben, om de vertrouwelijke relatie tussen behandelaar en patiënt te beschermen. Op basis van dit beroepsgeheim mogen zij (patiënt)gegevens alleen onder bepaalde (uitzonderlijke)
45
https://www.kcbr.nl/beleid-en-regelgeving-ontwikkelen/beleidskompas/3wat-zijn-opties-om-het-doel-te-realiseren/32-rechtmatigheid/323-algemenerechtsbeginselen#:~:text=Als%20belangrijkste%20algemene%20beginselen%20 van,%2C%20het%20vertrouwensbeginsel%2C%20het%20gelijkheidsbeginsel.
omstandigheden delen met derden.
Enschede | Gegevensbescherming in regionale context | REKENKAMERONDERZOEK | 44
Wet gemeentelijke schuldhulpverlening (Wgs) De Wgs verplicht gemeenten om inwoners met schulden hulp te bieden. Gemeenten krijgen in de Wgs mogelijkheden voor vroegsignalering van schuldenproblematiek bij haar inwoners, om te voorkomen dat betalingsachterstanden uitgroeien tot problematische schulden. Advies, schuldbemiddeling of saneringskrediet vallen onder de regietaak die aan de gemeente wordt toegekend in de Wgs. De Wgs is in 2018 herzien om het voor gemeenten onder andere mogelijk te maken informatie over inwoners met schuldenproblematiek op te vragen bij derden als onderdeel van vroegsignalering. De verschillende fasen binnen de schuldhulpverlening (vroegsignalering, toegang tot schuldhulpverlening, opstellen Plan van Aanpak en de uitvoering daarvan) zijn voor de Wgs vastgesteld als doelen voor gegevensverwerking voor gemeenten. De gemeenten die taken met betrekking tot schuldhulpverlening hebben toebedeeld aan de SON kunnen ervoor kiezen om dienstverlening van de SON in te zetten in alle, enkele of slechts één fase(n) van de schuldhulpverlening.
Wet op het consumentenkrediet (Wck), Wet financiering decentrale overheden en Participatiewet. De wet op het consumentenkrediet (Wck) en de Wet financiering decentrale overheden reguleren de krediettransacties die de SON uitvoert voor de deelnemende gemeenten. Ook schuldbemiddeling en het uitvoeren van schuldenregelingen door de SON vallen onder de Wck. Voor de taken van de SON rondom budgetbeheer kunnen gemeenten ervoor kiezen om de SON ook betalingen van bijstandsuitkeringen te laten verrichten die onder de Participatiewet zouden moeten geschieden.
Faillissementswet (Fw) Op grond van de Fw kan de SON bewindvoering en curatele uitvoeren, inclusief onderbewindstelling van minderjarigen. Ook kan de SON verklaringen afgeven dat er geen reële mogelijkheden zijn om tot ‘buitengerechtelijke schuldregeling’ te komen als er sprake is van een faillissement.
‘WIJ ZIJN BERENSCHOT, GRONDLEGGER VAN VOORUITGANG’ Nederland is continu in ontwikkeling. Maatschappelijk, economisch en organisatorisch verandert er veel. Al ruim 85 jaar volgen wij als adviesbureau deze ontwikkelingen op de voet en werken we aan een vooruitstrevende samenleving. De behoefte om iets fundamenteels te betekenen voor mens en maatschappij zit in onze genen. Met onze adviezen en oplossingen hebben we dan ook actief meegebouwd aan het Nederland van vandaag. Altijd op zoek naar duurzame vooruitgang. Alles wat we doen is onderzocht, onderbouwd en vanuit meerdere invalshoeken bekeken. Zo komen we tot gefundeerde adviezen en slimme oplossingen. Die zijn op het eerste gezicht misschien niet altijd de meest voor de hand liggende. Juist deze eigenzinnigheid maakt ons uniek. Daarbij zijn we niet van symptoombestrijding. En gaan pas naar huis als het is opgelost.
Berenschot Groep B.V. Van Deventerlaan 31-51, 3528 AG Utrecht Postbus 8039, 3503 RA Utrecht 030 2 916 916 www.berenschot.nl