4.1 Brief aan AP Rapportage naleving privacywetgeving

postadres Postbus 26, 3400 AA IJsselstein

bezoekadres Overtoom 1 3401 BK IJsselstein

Autoriteit Persoonsgegevens Hoge Nieuwstraat 8 2514EL 's-Gravenhage

t 14 030 f 030 6884350 e info@ijsselstein.nl

betreft

Verzoek aanleveren rapportage over gevolgen gebruikmaken Fraudescorekaart

uw kenmerk uw brief van behandeld door

Z2023-00837 16 mei 2023 C. Wissink

zaaknummer

99715

4 juli 2023 datum blad 1 van 3 bijlagen

Geachte mevrouw Verdier, Op 16 mei heeft u aan ons een brief gestuurd over de naleving van de Algemene Verordening Gegevensbescherming. U vraagt ons specifiek hoe wij gebruik maken van de ‘fraudescorekaart’ of een variant daarvan de ‘DPX Matrix’. U verwijst naar de berichtgeving in de media hierover en ook geeft u aan dat u een signaal hierover hebt ontvangen. U heeft ons met klem verzocht om een rapportage aan te leveren over het gebruik van de fraudescorekaart op basis van de vragen die u hierover heeft gesteld. In deze brief geven wij onze reactie. Opmerkingen vooraf Allereerst merken wij op dat wij groot belang hechten aan een correcte en veilige omgang met persoonsgegevens. Het waarborgen van privacyrechten van inwoners hebben wij hoog in het vaandel staan. Het naleven van de privacywetgeving en de governance structuur voor privacymanagement hebben wij ingebed in gemeentelijk beleid. De kaders van de privacywetgeving en privacybeleid brengen wij (in bestuurlijke en ambtelijke overleggen) onder de aandacht bij andere bestuursorganen en ketenpartners waar wij mee samenwerken. Wij wijzen hen op hun verantwoordelijkheden als het om het verwerken van persoonsgegevens gaat bij de uitvoering van gemeentelijke wettelijke taken.

Dit is meer in het bijzonder het geval als het gaat om het toepassen van algoritmes bij het uitvoeren van wettelijke taken waar persoonsgegevens van inwoners (burgers in het algemeen) betrokken zijn. Eén van de wettelijke taken van de gemeente is uitvoering te geven aan de Participatiewet. De uitvoering van de Participatiewet is door de gemeenteraad en het college gedelegeerd aan het bestuur van de Gemeenschappelijke regeling Werk en Inkomen Lekstroom (WIL) 1. Het gaat hier om de delegatie als bedoeld in hoofdstuk 10 van de Algemene wet bestuursrecht (Awb). Dit betekent dat het gemeentebestuur deze bevoegdheid niet meer zelf kan uitoefenen (artikel 10.17 Awb). Het bestuur van WIL is in de zin van de Algemene Verordening Gegevensbescherming de verwerkingsverantwoordelijke. Daarom is het dagelijks bestuur van WIL het bevoegde bestuursorgaan om u een inhoudelijke reactie te geven op uw vragen over de DPX-Matrix. Wij merken daarbij in algemene zin op dat de verantwoording van de uitvoering van de gemeenschappelijke regeling aan de gemeenteraad plaatsvindt binnen de kaders van de Wet gemeenschappelijke regelingen en de Gemeentewet. In het kader hiervan kunnen wij u melden dat WIL ons vorig jaar juni op de hoogte heeft gesteld van de aandacht die vanuit de media kwam over dit onderwerp. De door WIL gegeven informatie was voor ons afdoende.

Op 12 en 15 mei heeft onze Functionaris Gegevensbescherming aan uw medewerkers aangegeven dat uw vragen over de fraudescorekaart – gezien het voorgaande - voor WIL bestemd zijn. Wij vragen u daarom om contact op te nemen met het dagelijks bestuur van WIL. 1 Het besluit tot instelling van de gemeenschappelijke regeling kunt u raadplegen via de volgende link:

https://lokaleregelgeving.overheid.nl/CVDR632182/3 De gemeente IJsselstein gebruikt uw persoonsgegevens uitsluitend voor het doel waarvoor zij zijn verstrekt. Voor meer informatie daarover verwijzen wij u naar www.ijsselstein.nl/privacy.

Bankrelatie BNG NL79BNGH028.50.09.958 Bankrelatie RABO NL83RABO0320.72.82.85

zaaknummer blad 2 van

99715 3

In het licht van het bovenstaande beantwoorden wij de vragen, die door u gesteld zijn, als volgt: 1. Is uw gemeente na de uitspraak van 5 februari 2020 van Rechtbank Den Haag gestopt met het gebruik van de fraudescorekaart, en zo ja, op welk moment is dat gebeurd? Antwoord: Wij hebben geen gebruik gemaakt van de fraudescorekaart. 2. Wat was voor uw gemeente het beoogde doel met de fraudescorekaart? Wat heeft het gebruik opgeleverd gelet op het doel? Antwoord: Wij hebben de fraudescorekaart nooit gebruikt. 3. Hoe heeft de besluitvorming plaatsgevonden over de voortzetting van het gebruik van de fraudescorekaart na de uitspraak van 5 februari 2020 van Rechtbank Den Haag waarin werd geoordeeld dat gebruikmaking van een dergelijk systeem in strijd is met de AVG? Antwoord: Aangezien wij geen gebruik hebben gemaakt van de fraudescorekaart was er geen besluit nodig van de gemeente. 4. De fraudescorekaart zou op 10 september 2020 uit de lucht gehaald door Bureau Keteninformatisering Werk en Inkomen (BKWI). De AP ziet graag toegelicht op welke wijze de software van de fraudescorekaart binnen de eigen omgeving van uw gemeente is blijven (door)draaien na deze datum. En welke leverancier daarbij betrokken is geweest. Antwoord: Deze aanname is onjuist. Wij hebben de fraudescorekaart niet op onze software geïnstalleerd. 5.

Heeft uw gemeente na 5 februari 2020 een (nieuwe) gegevensbeschermingseffectbeoordeling uitgevoerd na voorzetting van het gebruik fraudescorekaart? Antwoord: Nee, aangezien wij geen gebruik maken van de fraudescorekaart hebben wij ook geen gegevensbeschermingseffectbeoordeling daarop uitgevoerd. 6. Is uw functionaris gegevensbescherming (FG) betrokken geweest bij een besluit tot verder gebruik van de fraudescorekaart na a) de uitspraak van 5 februari 2020 van Rechtbank Den Haag, en b) na het besluit van BKWI om het systeem uit de lucht te halen, en c) na de oproep van de VNG om met het gebruik te stoppen? Is uw FG om advies gevraagd over voortzetting van het gebruik, en zo ja, hoe heeft dat advies geluid? Antwoord: Nee, de FG is niet betrokken geweest bij het gebruik van de fraudescorekaart, omdat wij de fraudescorekaart niet hebben gebruikt. 7. Hebben burgers van uw gemeente financiële en/of immateriële schade geleden door uw gebruikmaking van de fraudescorekaart, en in welke mate is dat het geval? Antwoord: Wij hebben de fraudescorekaart niet gebruikt en daarmee hebben wij als gemeentebestuur geen schade berokkend aan inwoners van de gemeente IJsselstein. Wij hebben een dergelijk signaal ook niet ontvangen. 8. Op welke wijze en binnen welke termijn gaat uw gemeente de betreffende burgers informeren en in geval schade compenseren? Antwoord: Niet van toepassing.

Wij verwijzen naar de beantwoording op vraag 7.

zaaknummer blad 3 van

Wij gaan ervan uit dat wij u voldoende hebben geïnformeerd.

Hoogachtend, Het college van IJsselstein,

drs. W.M. van de Werken secretaris

mr. P.J.M. van Domburg burgemeester

99715 3