Beantwoording schriftelijke vragen VVD inzake het gebruik van de app Meld een vermoeden

Zaaknummer: 2021-070531 Antwoord van burgemeester en wethouders op schriftelijke vragen als bedoeld in artikel 41, eerste lid, van het Reglement van Orde voor de vergaderingen van de raad der gemeente Leeuwarden, ingediend op 11 oktober 2021. De vragen zijn afkomstig van de VVD en gaan over het gebruik van de app ‘Meld een Vermoeden’.

Vragen 1a. In hoeverre is dit middel (zeker bij gebruik door alle ambtenaren) proportioneel? In een bijlage van de brief van PEL adviseert de Autoriteit Persoonsgegevens een zogeheten DPIA op te stellen (een data protection impact assessment). Heeft de gemeente een dergelijke assessment gedaan? Zo nee, waarom niet?

Antwoorden Dit middel is proportioneel. U dient de app als een middel te zien om signalen van ondermijning door te geven, net zoals dat via een e-mail of via een telefoongesprek kan. In het kader van ondermijning, wordt intern informatie gedeeld. Hier is een DPIA voor uitgevoerd en het gebruik van de app maakt ook onderdeel uit van deze DPIA.

1b. Zo ja, wat zijn de belangrijkste risico’s die hierin worden onderkend en welke maatregelen neemt de gemeente tegen deze risico’s?

De risico’s die in de DPIA zijn benoemd, betreffen evt. datalekken, het eventueel niet naleven van bewaartermijnen en een risico op een onjuiste inschatting van signalen. Tegen deze risico’s zijn maatregelen genomen om deze te minimaliseren. Dit kunt u terugvinden in hoofdstuk 18 van de DPIA. Deze kunt u terugvinden via: https://ris2.ibabs.eu/Agenda/Details/Leeuwarden /4e42b5bd-1757-49bf-92e3-958a036017f6 (onder A.3.6.) Specifiek voor wat betreft het gebruik van de app is overwogen dat het delen van ondermijningssignalen via de app juist minder risicovol is dan het delen via whatsapp, mail, telefoon, etc. Zo worden datalekken juist eerder veroorzaakt via de mail door het per abuis invullen van een onjuist e-mail adres. De app voorkomt dit risico. Ook hebben slechts 5 personen van de afdeling JVZ toegang tot de meldingen via een beveiligde website en voorziet de app zelf in versleuteling en vernietiging van signalen wanneer deze geen opvolging krijgen of wanneer de bewaartermijn van het signaal is verstreken. Deze technische en organisatorische maatregelen die de app biedt, maken juist dat het delen van signalen minder risicovol is dan het delen via bijvoorbeeld e-mail.

2.

Gaan de tips uit de app ook gebruikt worden om informatie over personen te delen met andere instanties zoals de Belastingdienst

Signalen/tips uit de app of gemeld op een andere wijze via telefoon, mail, etc. zullen alleen worden gedeeld met ketenpartners als het om ‘grotere’ georganiseerde misdaad gaat. Dit kan alleen via

Blad 2

en het UWV. In het artikel staat dat dit niet het geval is maar in de begroting is sprake van het aanhaken van externe partijen. Welke partijen zijn dat en binnen welke juridische kaders worden zij aangehaakt?

het RIEC (Regionale Informatie- en Expertise Centrum) met partijen die zijn aangesloten bij het RIEC-convenant (zoals de belastingdienst, UWV, etc.). De juridische kaders waarbinnen gegevensuitwisseling dan plaatsvindt zijn beschreven in het privacyprotocol RIEC-LIEC https://www.riec.nl/maatregelen-endocumenten/documenten/richtlijnen/2021/09/16/ privacyprotocol-2021

Gaan tips uit de app ook gebruikt worden om informatie over personen in te winnen bij andere instanties. Kunt u aangeven of dit gebeurt en binnen welke juridische kaders dit valt?

Zie ook de vorige vraag. In beginsel wordt een signaal verrijkt met informatie die wij bij de gemeente intern beschikbaar hebben. Mocht het signaal door deze verrijking het vermoeden van ondermijning versterken, dan stellen wij (op basis van ons privacy protocol) de politie hiervan in kennis. Mocht er sprake zijn van grotere georganiseerde misdaad waarbij informatie van andere instanties nodig is, dan zal informatie ingewonnen worden via het RIEC conform het privacy convenant (die te vinden is via de link onder de vorige vraag).

4. Is het inzetten van alle ambtenaren voor een dergelijke aanvullende taak afgestemd met de ondernemingsraad van de gemeente. Graag horen wij of dit het geval is. Zo nee, waarom niet?

De OR heeft geen instemmingsverplichting in de zin van de Wet op de Ondernemingsraden (WOR). In de ‘’meld een vermoeden app’’ worden namelijk geen persoonsgegevens van medewerkers op ingrijpende wijze verwerkt.

5.

In de begroting voor 2022 staat dat de evaluatie van de app is uitgesteld tot 2022 i.v.m. Corona: Op basis waarvan is dan blijkbaar nu al besloten alle ambtenaren toegang te geven tot de app?

De app wordt eerst geëvalueerd. Afhankelijk van de uitkomst zal verdere besluitvorming plaatsvinden.

6.

De app valt volgens de toelichting in de begroting onder het privacy convenant van de lokale casustafel ondermijning. Waar is dit convenant te vinden?

Het privacy protocol is te raadplegen via: https://ris2.ibabs.eu/Agenda/Details/Leeuwarden /4e42b5bd-1757-49bf-92e3-958a036017f6 (onder A.3.6.)

7. Afgaand op de beschikbare informatie verwerkt de gemeente bij het inzetten van de app persoonsgegevens. Kunt u aangeven om welke gegevens dit gaat en welke grondslag daarvoor wordt gebruikt?

Persoonsgegevens die worden verwerkt in de app zijn: NAW gegevens, contactgegevens, BSN. De burgemeester is regiehouder voor wat betreft de aanpak van ondermijning. De grondslag voor de verwerking is dan ook dat de gegevensverwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen.

3.

Blad 3

(arikel 6 lid 1 onder c AVG). Die taakbepalingen zijn vervolgens opgenomen in diverse materiewetten, zoals de Gemeentewet, Opiumwet, Wet Bibob, etc. 8. Verwerkingen van persoonsgegevens worden door de gemeente gepubliceerd in het register van verwerkingen (https://www.leeuwarden.nl/nl/file /37792/download ). Wij konden deze verwerking daar niet in terugvinden. Kunt u dit toelichten?

Leeuwarden, 16 november 2021, burgemeester en wethouders van Leeuwarden,

burgemeester. {{Signer1}}

secretaris. {{Signer2}}

*Dit document is rechtsgeldig digitaal ondertekend.

Per abuis is in het gepubliceerde register van verwerkingen het Veiligheidsdomein als organisatieonderdeel dat persoonsgegevens verwerkt, niet opgenomen in de publieksversie. Hierover is inmiddels melding gedaan bij de FG. In ons interne register van verwerkingen is deze verwerking wel opgenomen.