Handreiking AVG voor de gemeenteraad.pdf

Gemeenten en privacy: wat kunt u als raadslid doen? Hoe zorgt u er als gemeenteraadslid voor dat u vanuit uw controlerende functie de juiste vragen stelt over privacy binnen uw gemeente? Dit kan ingewikkeld zijn. Bijvoorbeeld omdat het gesprek vaak al snel inhoudelijk en juridisch wordt. Maar dat hoeft niet. Want de kern van de discussie is in drie eenvoudige vragen te vatten. Met deze beknopte handreiking helpt de Autoriteit Persoonsgegevens (AP) u bij het gesprek. versie 2, oktober 2022 Voor wie? Hoewel dit document geënt is op de gemeentelijke praktijk, kunnen de vragen ook relevant zijn voor leden van Provinciale Staten, voor leden van het algemeen bestuur van een waterschap en voor rekenkamers en rekenkamercommissies.

Achtergrond: privacy bij de gemeente Gemeenten gebruiken veel persoonsgegevens. Zowel van burgers als van hun medewerkers. Bijvoorbeeld als iemand een paspoort aanvraagt of als de gemeente een medewerker salaris uitbetaalt. Het gaat om persoonsgegevens als een persoon er direct of indirect mee te identificeren is. Meer voorbeelden van het gebruik van persoonsgegevens zijn: personen filmen in een gemeentehuis, een kenteken van een auto opslaan en een geboren kind opnemen in de Basisregistratie Personen (BRP). Gegevens hoeven niet altijd persoonsgegevens te zijn. De vraag of de gemeente in een bepaald geval persoonsgegevens verwerkt – en zich daarbij dus moet houden aan de privacywetgeving– vereist een nauwkeurige analyse. Verder is het goed om te beseffen dat het antwoord op die vraag kan veranderen. Wat eerst geen verwerking van persoonsgegevens was, kan dat wel worden. Bijvoorbeeld als er een nieuwe technologie wordt gebruikt. Gemeenten kunnen ook gevoelige persoonsgegevens van burgers verwerken. Zoals gegevens over hun gezondheid. Bijvoorbeeld bij beslissingen binnen het sociaal domein, zoals het besluit of iemand een voorziening kan krijgen vanuit de Wet maatschappelijke ondersteuning (Wmo). Het gaat daarbij vaak om kwetsbare personen die afhankelijk zijn van een besluit van de gemeente over een aanvraag.

Gemeenten moeten zich daarbij bijvoorbeeld afvragen hoe ze de aanvrager moeten informeren. En of de informatie die zij gebruiken om een besluit te nemen ook echt noodzakelijk is voor dat besluit.

Uw rol als raadslid: wat kunt u doen? Als raadslid controleert u het college van burgemeester en wethouders (B en W). In gesprekken tussen de gemeenteraad en het college van B en W hoort privacy daarom een terugkerend onderwerp te zijn. Bescherming van persoonsgegevens is immers een grondrecht. Heeft u aanleiding om vanuit uw controlerende functie vragen te stellen over privacy binnen uw gemeente? De AP heeft drie vragen opgesteld om u te helpen. U stelt uw vragen in de regel aan de verantwoordelijke wethouder binnen het college van B en W. Als u geen of een onduidelijk antwoord krijgt, vraag dan door. Het vaststellen van feiten is namelijk essentieel om er (mede) voor te zorgen dat persoonsgegevens in uw gemeente rechtmatig worden verwerkt. De AP heeft de vragen voorzien van een korte toelichting, het uitgangspunt dat moet gelden bij de beantwoording van de vragen en enkele observaties van de AP. Op de website van de AP vindt u aanvullingen op deze vragen voor specifieke situaties.

Vraag 1: Wie is verantwoordelijk? Toelichting: Als er persoonsgegevens worden gebruikt, schept dat een aantal verplichtingen. Dat begint ermee dat wordt vastgelegd wie er verantwoordelijk is voor dat gebruik. In de Algemene verordening gegevensbescherming (AVG) heet dat: wie de verwerkingsverantwoordelijke is. Een gemeente moet kunnen uitleggen en aantonen hoe de verantwoordelijkheden zijn vastgelegd. Ook als een gemeente samenwerkt met andere organisaties. Uitgangspunt: Uw gemeente zal meestal zelf verantwoordelijk zijn bij de uitvoering van gemeentelijke taken. Soms kan uw gemeente samen met andere partijen verantwoordelijk zijn. Observatie AP: Gemeenten kunnen niet altijd duidelijk maken hoe de verantwoordelijkheden zijn verdeeld. Ook hebben zij soms de verantwoordelijkheden onjuist vastgesteld. Terwijl het bijvoorbeeld voor burgers glashelder moet zijn waar zij terechtkunnen met vragen over de verwerking van hun gegevens.

Vraag 2: Waarom is het noodzakelijk? Toelichting: Voor het gebruik van persoonsgegevens moet er een aanleiding zijn en een noodzaak. Ook bij een proefproject. Gemeenten moeten kunnen uitleggen en aantonen waarom zij persoonsgegevens mogen gebruiken. En moeten dit vóór de start van de verwerkingen hebben vastgesteld. Uitgangspunt: Het gebruik van persoonsgegevens van burgers moet in de regel zijn gebaseerd op een wet. Uw gemeente moet duidelijk kunnen maken in welke wet staat dat uw gemeente persoonsgegevens mag gebruiken. En waar in die wet dat staat. De gemeente moet ook kunnen uitleggen of de gemeente niet met minder persoonsgegevens – of zelfs zonder persoonsgegevens – hetzelfde doel kan bereiken. Observatie AP: Gemeenten gebruiken geregeld persoonsgegevens zonder vooraf goed te onderzoeken of dit mag. Vaak komt dat door een te ruime taakopvatting. Ook gebruiken gemeenten nog onnodig veel persoonsgegevens om een doel te bereiken. Burgers moeten erop kunnen vertrouwen dat gemeenten alleen hun persoonsgegevens gebruiken als dat past binnen de wettelijke taak en noodzakelijk is.

Vraag 3: Hoe zijn burgers geïnformeerd? Toelichting: Transparantie is een kernbegrip bij de bescherming van persoonsgegevens. Gemeenten moeten actief communiceren over het gebruik van persoonsgegevens, zodat burgers weten wat de gemeente met hun gegevens doet. Juist ook als dit complex is. Burgers moeten zich ook op hun rechten kunnen beroepen. Vinden burgers dat hun rechten zijn geschonden, dan moeten zij toegang hebben tot bezwaar en beroep. Uitgangspunt: Uw gemeente moet burgers in begrijpelijke taal voorlichten over het gebruik van hun persoonsgegevens. Observatie AP: Gemeenten informeren burgers onvoldoende over de manier waarop zij persoonsgegevens gebruiken. Dit zien we vooral als gemeenten bij het gebruik nieuwe technologie inzetten. Zoals voor het verstrekken van persoonsgegevens aan derden. Bijvoorbeeld bij het uitvoeren van preventieve taken bij schuldhulpverlening, het opslaan van meldingen van overlast of de inzet van sensoren in de openbare ruimte.

Meer informatie 

Algemene informatie over de toepassing van de AVG binnen gemeenten: Gemeenten, Sociaal domein en Overheid & de AVG.

2/2