20220571059 3. Bijlage 2 Gezamenlijk advies FG's n.a.v. DPIA

Privacyadvies en -aanbevelingen PCT

Aan

Stuurgroep PCT

Datum

1 februari 2022

Onderwerp

Privacyadvies en -aanbevelingen PCT

Van

Magdalena Magala (FG Zaanstad), Christel de Jong (FG Purmerend), Cathérine Konijnenbelt (FG Haarlem en Zandvoort), ……….. (FG Alkmaar)

Geachte leden van de stuurgroep, U heeft ons advies gevraagd over de voorgenomen samenwerking in het bestuurlijk toezicht op prostitutie. Gemeenten in Noord-Holland zijn voornemens om op regionaal niveau samen te werken om het toezicht op de (on) vergunde seksbedrijven te verbeteren. Dit kan helpen bij het tegengaan van misstanden. Denk aan uitbuiting, gebrekkige hygiëne, onveilige werkplek, maar ook illegaal gebruik van woning. Daarnaast draagt dit bij aan de bestrijding van mensenhandel. Hieronder vindt u ons advies op de DPIA. Algemeen Er wordt op veel plekken verwezen naar de centrumgemeente onder wiens verantwoordelijkheid de controles plaatsvinden. Bij die gemeenten moeten processen en systemen worden ingericht, voor verwerkingen in de rol van verantwoordelijke maar ook in de rol van verwerker voor andere gemeenten. Dit is waar de dossiers zullen worden verwerkt en bewaard. Ook voor dat deel is dan alsnog een DPIA nodig. Rollen en verantwoordelijkheden We adviseren om duidelijker dan nu uit te werken wie op welk moment iets doet voor welk deel van het proces. Er gaan gemengde teams op stap, die samen werken onder de verantwoordelijkheid van de gemeente waar de controle plaatsvindt en er zijn centrumgemeenten die gegevens verwerken ten behoeve van andere gemeenten. Hierover zijn duidelijke afspraken nodig in de vorm van een verwerkersovereenkomst.

We adviseren daarbij concrete afspraken te maken over de manier waarop de centrumgemeente als verwerker verantwoording aflegt aan de gemeenten die verwerkersverantwoordelijke is. Gaat de verantwoordelijke gemeente audits laten uitvoeren bij de verwerkende gemeente? Is het de bedoeling dat bijvoorbeeld de ENSIA-rapportage (jaarlijkse verplichte audit informatiebeveiliging) wordt gedeeld? Is het mogelijk dat een ambtenaar van de centrumgemeenten vanuit zijn eigen gemeentehuis inlogt in het systeem van de andere gemeente, zodat het gebeurt onder verantwoordelijkheid en onder de eigen veiligheidscondities van die gemeente?

1/3

Rechtmatigheid De controle richt zich op de eigenaar en beheerder van het pand waar prostitutie plaatsvindt. Gegevens verwerken van de eigenaar/beheerder hoeft niet problematisch te zijn maar dat kan wel het geval zijn als de eigenaar ook zelf prostituee is. Dat gegeven is een ‘bijzonder persoonsgegeven’ en mag hier niet worden verwerkt. Let in die gevallen op dat alleen gegevens worden genoteerd van personen in hun hoedanigheid van pandeigenaar, zonder te vermelden dat hij of zij ook prostituee is. Ook uit begeleidende beschrijvende context mag je dit niet kunnen afleiden. Tijdens de controles kan het gebeuren dat het team een prostituee tegenkomt die mogelijk hulp nodig heeft. Er is geen grondslag de gegevens van de prostituee te verwerken en door te geven aan een hulpverlener. Dat mag ook niet met toestemming van de prostituee zelf. Omdat hij of zij in een afhankelijke positie verkeert, zal die toestemming niet vrij en ongebonden zijn. Wel kan het natuurlijk andersom en is het mogelijk om aan de prostituee door te geven waar hij of zij hulp kan krijgen. Doelbinding Er worden nu verschillende doelen genoemd in de DPIA, dat is onoverzichtelijk. Beschrijf helder wat het doel is en zorg dat dat in overeenstemming is met de grondslag die wordt genoemd: de wettelijke taak als beschreven in het relevante artikel in de APV.

Noem als dat aan de orde is ook hercontroles, die het bewaren van gegevens legitimeren. Gegevens worden ook gedeeld. Waar het gaat om delen met de Officier van Justitie is er een heldere wettelijke basis. Maar wat is de basis voor het delen binnen de gemeente, met andere gemeenten en tussen de PCT’s? Dit vraagt uitwerking. Transparantie Betrokkenen horen tevoren te worden geïnformeerd dat hun gegevens mogelijk worden verwerkt voor dit doel. Hoe gaat dat gebeuren? Beveiliging en vertrouwelijkheid De gegevens zullen worden verwerkt in de systemen van de betrokken gemeenten. Het simpele feit dat het gaat om controle op seksbedrijven maakt dat het gevoelige informatie is. Ons advies is voor werkproces en systeem een analyse te maken van de beveiligingsmaatregelen die nodig zijn. Waar gevoelige gegevens worden verwerkt in een systeem dat verder minder gevoelige gegevens bevat, zal toch het hogere beveiligingsniveau nodig zijn. Omdat het om gevoelige gegevens gaat, is het des te belangrijker om zorgvuldig te zijn met autorisaties (wie heeft toegang) en de autorisaties actueel te houden en daadwerkelijke raadplegingen te loggen. Dit alles moet zijn ingericht vóórdat de controles starten.

2/3

We hopen dat dit advies nuttig is en denken graag mee over de verdere inrichting van het proces. We beschouwen de eind november al op de DPIA gemaakte opmerkingen als hierbij ingesloten (nogmaals bijgevoegd). Met vriendelijke groet, Magdalena Magala, Christel de Jong, (collega Alkmaar) en Cathérine Konijnenbelt

3/3