2650 Bijlage 1c Rapportage intern onderzoek FG - Krachtenveldanalyse.pdf

Intern onderzoek naar de verwerking van persoonsgegevens inzake de krachtenveldanalyse uitgevoerd door NTA

Aan Het College van burgemeester en wethouders Van De Functionaris Gegevensbescherming Datum 31 december 2021

Datum 31 december 2021 Pagina 2/19

Vooraf - verzoek van het college aan de FG Het college heeft in haar besluit van 2 november 2021 besloten, de Functionaris Gegevensbescherming te vragen, een oordeel te geven over eventuele overtredingen op het gebied van privacy in: -

De opdrachtverlening;

-

Indien redelijkerwijs te achterhalen, de onderzoeksmethoden en/of;

-

De onderzoeksrapportage.

Ten tijde van het verzoek van het college was het onderzoek van de Functionaris Gegevensbescherming (verder: FG) naar de verwerking van persoonsgegevens binnen de door NTA uitgevoerde krachtenveldanalyse, in overleg met de gemeentesecretaris feitelijk al gestart. Ten aanzien van het verzoek van het college dient te worden opgemerkt dat voor beoordeling van de rechtmatigheid van privacyvraagstukken gekeken moet worden naar het feitelijke gedrag van de gemeente met persoonsgegevens. De Algemene Verordening Gegevensbescherming (AVG) bepaalt of gedragingen wel of niet zijn toegestaan. In dit onderzoek zal dan ook op basis van het feitelijke gedrag van de gemeente met persoonsgegevens, een oordeel worden gegeven over eventuele overtredingen op het gebied van privacy. De daaraan ten grondslag liggende documenten waaronder de offerte, de verwerkersovereenkomst en de onderzoekrapportage NTA zijn niet relevant voor het bepalen van de rechtmatigheid. Wel kunnen deze documenten informatie verschaffen over de (werk)afspraken tussen partijen en het feitelijke gedrag van de gemeente dat daaruit voortvloeit. Daarnaast is het voor het verzoek van het college relevant om de rol van de FG als intern toezichthouder te onderscheiden van die van de Autoriteit Persoonsgegevens (AP) als extern toezichthouder.

De FG heeft anders dan de AP geen sanctiebevoegdheden en richt zich primair op de interne privacyorganisatie. De rechtmatigheidsbeoordeling ten aanzien van de krachtenveldanalyse is bedoeld ter onderbouwing van de adviezen in deze rapportage, welke zien op de borging van privacyrechten door de gemeente, binnen de ontstane situatie en in de toekomst. In deze fase is het aan de AP, niet de FG, om een eventueel oordeel te vellen en toezichthoudend op te treden.

1 collegebesluit 2568 d.d. 2 november 2021

Rapportage intern onderzoek FG - Krachtenveldanalyse

Datum 31 december 2021 Pagina 3/19

Inhoudsopgave Vooraf - verzoek van het college aan de FG

2

I.

Inleiding

4

II.

Verantwoording van het onderzoek

4

Aanleiding om dit onderzoek te starten

4

Doel van het onderzoek en onderzoeksvragen

5

III.

Van wie zijn welke persoonsgegevens verwerkt?

6

IV.

Zijn deze verwerkingen rechtmatig?

9

Toetsing op basis van het privacybeleid van de gemeente

9

Houdt de gemeente zich aan haar privacybeleid?

9

V.

De privacy van betrokkenen in de ontstane situatie

13

VI.

Verbetering van de interne privacyorganisatie

14

De interne privacy organisatie bestaat uit twee elementen

14

Analyse van het functioneren van de interne privacyorganisatie

14

VII.

Conclusies

17

VIII.

Aanbevelingen

18

Advies over de borging van de privacyrechten binnen de ontstane situatie

18

Aanbevelingen voor het verbeteren van de interne privacyorganisatie

19

Rapportage intern onderzoek FG - Krachtenveldanalyse

Datum 31 december 2021 Pagina 4/19

I.

Inleiding

In deze rapportage zijn de bevindingen vastgelegd van het door de Functionaris Gegevensbescherming (verder: de FG) uitgevoerde interne onderzoek naar het verwerken van persoonsgegevens. Binnen de krachtenveldanalyse inzake radicalisering en extremisme (verder: de krachtenveldanalyse) uitgevoerd door het adviesbureau Nuance door Training & Advies (verder: NTA). Deze rapportage is geschreven door de FG in diens rol als onafhankelijk toezichthouder binnen de gemeente, op de naleving van de Algemene Verordening Gegevensbescherming (verder: AVG). De rapportage richt zich tot het College van burgemeester en wethouders van de gemeente Leidschendam-Voorburg (verder: het college) als ‘verantwoordelijke’ in de zin van de AVG. De borging van privacyrechten van burgers – binnen de ontstane situatie en in de toekomst – staat in dit onderzoek voorop. Gebruikte onderzoeksmethoden of de rechtmatigheid ten aanzien van andere grondrechten, zijn geen onderdeel van de scope van dit interne onderzoek. In hoofdstuk II volgt eerst aanvullende informatie over het onderzoek zelf. In hoofdstukken III t/m VI zal separaat worden ingegaan op de gestelde onderzoeksvragen. De rapportage wordt afgesloten met een conclusie en aanbevelingen aan het college in respectievelijk hoofdstukken VII en VIII.

II.

Verantwoording van het onderzoek

In diens hoedanigheid van intern toezichthouder heeft de FG een eigen bevoegdheid om te bepalen of een intern onderzoek naar verwerkingen van persoonsgegevens wordt ingesteld. Een dergelijk intern onderzoek kan o.a. worden ingesteld naar aanleiding van een klacht van een burger of een datalek, maar ook naar aanleiding van een gebeurtenis als onderhavige. Het wel of niet starten van en/of rapporteren over een intern onderzoek is een risico inschatting van de FG. Hierbij spelen o.a. de hoogte en aard van de risico’s voor burgers, het vermoeden van het ontbreken van een grondslag (geen bevoegdheid) en de houding en het gedrag van de gemeente ten aanzien van privacyrechten een rol.

Aanleiding om dit onderzoek te starten De aanleiding om dit onderzoek te starten waren zorgen van de FG over het rechtmatige gebruik van persoonsgegevens. Deze zorgen ontstonden toen de FG, in Rapportage intern onderzoek FG - Krachtenveldanalyse

Datum 31 december 2021 Pagina 5/19

een ambtelijk overleg over de door NRC aan de gemeente gestelde persvragen, hoorde over de uitgevoerde krachtenveldanalyse. De FG was reeds bekend met het dossier en had de betrokken medewerkers - circa 1,5 jaar eerder - gewaarschuwd voor mogelijk ernstige privacy risico’s en geadviseerd de krachtenveldanalyse niet uit te voeren. Tijdens het overleg over de persvragen van NRC werd echter duidelijk dat de waarschuwing van de FG niet geleidt heeft tot herziening van de voorgenomen plannen en dat de gemeente de krachtenveldanalyse wel heeft laten uitvoeren. In goed overleg met de gemeentesecretaris heeft de FG besloten om een intern onderzoek in te stellen naar de verwerking van persoonsgegevens.

Doel van het onderzoek en onderzoeksvragen Zoals hierboven reeds beschreven, staat in dit onderzoek de borging van privacyrechten van burgers binnen de ontstane situatie en in de toekomst voorop. Binnen die ambitie ziet de FG voor de gemeente twee opgaven: -

Voor nu: het zo goed mogelijk borgen van privacyrechten van de bij de krachtenveldanalyse betrokken burgers. Denk hierbij bijvoorbeeld aan het beëindigen van het voortduren van eventuele onrechtmatigheden (het ‘lek’ dichten), het instellen van aanvullende zorgvuldigheidsmaatregelen of het treffen van schade beperkende maatregelen.

-

Voor de lange termijn: het verbeteren van de interne privacyorganisatie. Ofwel: Wat ging er goed en wat niet? En wat kan de gemeente daarvan leren?

De FG ziet het als diens taak om het college in deze rapportage over bovenstaande twee aspecten te adviseren. Om een gedegen inhoudelijk advies te kunnen geven, is het nodig om in beeld te hebben welke persoonsgegevens zijn verwerkt en of deze verwerkingen rechtmatig waren. De FG heeft de volgende vier onderzoeksvragen geformuleerd: 1. Van wie zijn welke persoonsgegevens verwerkt in de krachtenveldanalyse? 2. Zijn de onder 1 bedoelde verwerkingen rechtmatig geweest? 3. Hoe kunnen de privacyrechten van betrokkenen binnen de ontstane situatie zo goed mogelijk worden geborgd? 4. Hoe kan de interne privacyorganisatie van de gemeente worden verbeterd? In hoofdstukken III t/m VI volgt een nadere uitwerking van bovenstaande onderzoeksvragen.

Rapportage intern onderzoek FG - Krachtenveldanalyse

Datum 31 december 2021 Pagina 6/19

III.

Van wie zijn welke persoonsgegevens verwerkt?

Alvorens iets te kunnen zeggen over privacyrechten, moet eerst in beeld worden gebracht wat er precies is gebeurd met persoonsgegevens. Het gaat hierbij om het feitelijke gedrag van de gemeente met persoonsgegevens. Oftewel: welke persoonsgegevens zijn feitelijk van a naar b gegaan? Op basis van intern gevoerde gesprekken en de offerte, de verwerkersovereenkomst en de onderzoekrapportage NTA zijn de informatiestromen in beeld gebracht. Hieronder volgt eerst een schematische weergave, gevolgd door een nadere toelichting daarop en de zaken die vanuit privacy-perspectief opvallen.

a) Contractuele relatie -

Er is een door de gemeente ondertekende offerte d.d.18 september 2019. Er is geen – meer uitgebreide - schriftelijke inkoopovereenkomst tussen NTA en de gemeente tot stand gekomen.

-

Aanvullend op de offerte, hebben de gemeente en NTA op 25 februari 2020 een verwerkersovereenkomst gesloten. In die verwerkersovereenkomst wordt de gemeente aangewezen als ‘verantwoordelijke’ in de zin van de AVG.

b) Verstrekte informatie voor de uitvoering van de opdracht -

Er zijn geen aanwijzingen dat schriftelijke documenten of bestanden door de gemeente met NTA zijn gedeeld. Aanwezige kennis bij de gemeente over salafisme en extreemrechts is voorafgaand aan de krachtenveldanalyse mondeling met NTA besproken.

-

De afdeling geeft aan dat er geen informatie uit gemeentelijke systemen, zoals het BRP of de Suite voor het sociaal domein, is geraadpleegd of met NTA is gedeeld. Rapportage intern onderzoek FG - Krachtenveldanalyse

Datum 31 december 2021 Pagina 7/19

c) Desk – en veldonderzoek Het onderzoek binnen de krachtenveldanalyse richt zich primair op organisaties en niet op individuele personen. Desalniettemin zijn er in de onderzoekrapportage NTA wel persoonsgegevens van burgers verwerkt. Het gaat hierbij om de volgende persoonsgegevens: -

In relatie tot de Tawheed Moskee in Leidschendam-Voorburg zijn persoonsgegeven verwerkt van 35 burgers. Het betreft de volgende persoonsgegevens: o

De meeste verwerkingen betreffen namen of herleidbare afkortingen daarvan van bestuurders, predikers of geleerden. Deze informatie is veelal afkomstig uit het register van de Kamer van Koophandel en van het openbaar toegankelijke internet of sociale media.

o

Deze informatie wordt in bijna alle gevallen, direct of indirect, aangevuld met de – door NTA geconstateerde/gesuggereerde - geloofsovertuiging van desbetreffend individu.

-

o

Van diverse bestuurders wordt de geboortenaam en functie benoemd.

o

Van 1 persoon wordt benoemd waar deze werkt.

o

Bij 2 personen wordt een onderlinge familierelatie verondersteld.

o

Van 1 persoon wordt aangenomen dat die iemands partner is.

o

Van 1 persoon wordt benoemd dat deze een donateur is

In relatie tot extreem rechtse organisaties zijn van 1 burger diens persoonsgegevens verwerkt. Deze burger wordt bij naam genoemd, waarbij ook wordt verwezen naar een strafrechtelijke veroordeling (uit 2005).

d) Transparantie en informatieplicht Persoonsgegevens zijn van de burger zelf. Uitgangspunt is dat persoonsgegevens niet verwerkt mogen worden. De AVG bepaalt wanneer de gemeente wél gerechtigd is om persoonsgegevens te verwerken. Bijvoorbeeld omdat de gemeente anders haar taken niet naar behoren kan vervullen. De gemeente is dan wel verplicht om burgers, voorafgaand aan die verwerking, te informeren. Een inwoner heeft dan o.a. de mogelijkheid om in bezwaar te gaan. Slechts in zeer uitzonderlijke gevallen kan van deze informatieplicht worden afgeweken, denk dan bijvoorbeeld aan een lopend politieonderzoek. Op basis van de reacties van diverse betrokkenen in de media wordt vermoed dat betrokkenen niet – door of namens de gemeente - zijn geïnformeerd over het verwerken van hun persoonsgegevens. De afdeling bevestigt dat de gemeente de betrokken personen niet heeft geïnformeerd. Er zijn geen aanwijzingen dat NTA dat, namens de gemeente, gedaan heeft.

Rapportage intern onderzoek FG - Krachtenveldanalyse

Datum 31 december 2021 Pagina 8/19

e) Intern delen van informatie uit de onderzoekrapportage NTA Binnen de gemeente hebben de volgende personen de onderzoekrapportage NTA bekeken ten behoeve van hun werkzaamheden: -

Vijf betrokken medewerkers

-

De (toenmalige) burgemeester

Naar aanleiding van de publicatie van het NRC en de gevolgen daarvan, waaronder diverse Wob- verzoeken en onderhavig onderzoek naar verwerkingen van persoonsgegevens, is de onderzoekrapportage NTA ook ingezien door:

f)

-

De (huidige) burgemeester

-

De concerncontroller

-

Een jurist van de gemeente

-

De FG

-

La Gro Geelkerken advocaten

-

AKD Benelux lawyers

Extern delen van informatie uit de onderzoekrapportage NTA De afdeling geeft aan dat de onderzoekrapportage NTA - of informatie daaruit - niet is verstrekt aan derden. De onderzoekrapportage NTA zou niet gedeeld of besproken zijn binnen samenwerkingsverbanden zoals bijvoorbeeld de driehoek (burgemeester, OM en politie), de NCTV, het RIEC of het Veiligheidshuis.

Conclusie(s) hoofdstuk III Geconcludeerd wordt dat er persoonsgegevens van burgers zijn verwerkt binnen de krachtenveldanalyse. Het betreft verwerkingen van persoonsgegevens van 36 burgers. De omvang van de verwerkingen per individu is gering. Het betreft hoofdzakelijk namen van bestuurders, predikers of geleerden. De meeste persoonsgegevens zijn afkomstig uit het handelsregister (KvK) en/of het openbaar toegankelijke internet of sociale media. Van bijna alle burgers zijn ook bijzondere persoonsgegevens verwerkt. Het gaat daarbij met name om geloofsovertuigingen en van 1 persoon om diens strafrechtelijke verleden. Bijzondere persoonsgegevens komen op grond van de AVG bijzondere bescherming toe. De reden daarvoor is dat de aard van dit type persoonsgegevens een risico op o.a. stigmatisering of discriminatie in zich draagt. Zo kan gebruik van bijzondere persoonsgegevens er bijvoorbeeld toe leiden dat individuen - al dan niet terecht, direct of indirect – worden ‘bestempeld’ als potentieel extremist of een crimineel.

Rapportage intern onderzoek FG - Krachtenveldanalyse

Datum 31 december 2021 Pagina 9/19

IV.

Zijn deze verwerkingen rechtmatig?

De rechtmatigheidsbeoordeling is bedoeld om te leren van het verleden en de gemeente te adviseren over diens feitelijke gedrag met persoonsgegevens binnen de ontstane situatie en op de lange termijn. De rechtmatigheid zal, ter bevordering van de bewustwording van de organisatie, worden beoordeeld op basis van het eigen privacybeleid van de gemeente. Dit privacybeleid kan gezien worden als een ‘praktische vertaling’ van de AVG.

Toetsing op basis van het privacybeleid van de gemeente Het privacybeleid van de gemeente is in 2018 vastgesteld door het college en aan deze rapportage toegevoegd als bijlage 1. Het privacybeleid van de gemeente is onderverdeeld in zes deelgebieden: Publieke taak, Leveranciers en diensten, Onderzoek, Samenwerken, Meetellen & meedoen en Innovatie. Door te blijven binnen de in het privacybeleid geformuleerde uitgangspunten, worden privacyrechten geborgd en kan de gemeente de grootste risico’s op het gebied van privacywetgeving voorkomen. Ten aanzien van de krachtenveldanalyse zijn drie deelgebieden van het privacybeleid relevant. Het eerste deelgebied ziet op de aan de gemeente opgedragen publieke taken. De daarin geformuleerde uitgangspunten zien primair op de relatie tussen de overheid en burgers. Daarnaast zijn, ten aanzien van de krachtenveldanalyse, de uitgangspunten voor het zorgvuldig omgaan met informatie binnen leveranciersrelaties en het doen van onderzoek relevant.

Houdt de gemeente zich aan haar privacybeleid? Hieronder volgt een inhoudelijke beoordeling en een conclusie van de FG over de voor de krachtenveldanalyse relevante deelgebieden binnen haar privacybeleid: Publieke taak “De gemeente gebruikt uw informatie als dit noodzakelijk is voor het uitvoeren van haar publieke taak of haar wettelijke plicht. Denk bijvoorbeeld aan het verstrekken van een uitkering, het financieren van zorg of het handhaven van de openbare orde. De wet bepaalt wat onze taken zijn. Wij mogen niet zelf bepalen waarvoor wij uw informatie gebruiken. Ook niet als gebruik van informatie efficiënt of handig is.” Rapportage intern onderzoek FG - Krachtenveldanalyse

Datum 31 december 2021 Pagina 10/19

Om te kunnen beoordelen of de gemeente zich hier houdt aan dit onderdeel van haar privacybeleid zijn allereerst de beweegredenen van de gemeente van belang. Uit de gevoerde gesprekken kan worden afgeleid dat de beweegreden van de gemeente, om de opdracht voor een krachtenveldanalyse te verstrekken, een combinatie is geweest van: -

De wens van de gemeente om meer zicht te krijgen op de veiligheidssituatie binnen de gemeente. Anders gezegd: angst voor ongeziene aanwezigheid van radicalisering/extremisme.

-

De door de NCTV geboden mogelijkheid om de kosten voor het onderzoek te subsidiëren.

Bezien vanuit die beweegredenen kan vervolgens beoordeeld worden of de plaatsgevonden verwerkingen van persoonsgegevens, noodzakelijk zijn geweest voor het uitvoeren van een expliciete wettelijke verplichting of een wettelijk opgedragen publieke taak van de gemeente. De rol van privacy als een klassiek grondrecht wordt hierin zichtbaar. Wat er in de kern op neerkomt dat burgers het recht hebben op autonomie en dat overheden een wettelijke basis nodig hebben om zich met levens van burgers te mogen bemoeien. Naar het oordeel van de FG was het verwerken van persoonsgegevens hier niet noodzakelijk voor het uitvoeren van een wettelijke verplichting/taak van de gemeente. De taken van de gemeente op grond van de Gemeentewet, kunnen diens inziens, niet zover worden ‘opgerekt’ dat deze de verwerkingen van persoonsgegevens binnen de uitgevoerde krachtenveldanalyse zouden rechtvaardigen2. De FG is van mening dat de gemeente geen wettelijke legitimering had voor dit overheidsoptreden en dat de krachtenveldanalyse - zoals deze heeft plaatsgevonden - eerder behoort tot de taken en bevoegdheden van politie/justitie, waarbinnen de rechten van burgers met extra waarborgen zijn omkleed. Naar het oordeel van de FG houdt de gemeente zich dan ook niet aan haar privacybeleid.

Mogelijk ook relevant in dit kader is dat privacyrechten van burgers op grond van de AVG - anders dan de privacyrechten van ambtenaren in relatie tot plichten op grond van de Wet openbaarheid van bestuur - niet beperkt worden door een (publieke) functie. Leveranciers en diensten “Soms is het nodig dat externe partijen toegang hebben tot onze informatie. Denk bijvoorbeeld aan automatiseringsdiensten of aanbieders van gehandicaptenvervoer.

2 Aan een juridische weging van het noodzakelijkheidscriterium – proportionaliteit en subsidiariteit – wordt dan

niet toegekomen.

Rapportage intern onderzoek FG - Krachtenveldanalyse

Datum 31 december 2021 Pagina 11/19

Zij krijgen dan toegang tot ons systemen of ontvangen hieruit informatie. De gemeente blijft (eind)verantwoordelijk voor zorgvuldige omgang met uw informatie. Wij zorgen dat externe partijen uw informatie alleen gebruiken voor het doel waarvoor zij het hebben gekregen. Wij leggen afspraken over het zorgvuldig en veilig omgaan met informatie vast in een ‘verwerkersovereenkomst’.” Ten behoeve van de opdracht heeft de gemeente, anders dan een mondelinge toelichting, geen informatie aan NTA verstrekt. Desalniettemin heeft de afdeling wel een verwerkersovereenkomst met NTA gesloten. Daarmee kwalificeert de samenwerking (juridisch) als een verwerkersrelatie. Met het sluiten van die verwerkersovereenkomst is de gemeente (eind)verantwoordelijk geworden voor wat NTA doet met persoonsgegevens, op een vergelijkbare wijze als bij een ‘reguliere leverancier’. Het binnen de opdracht inwinnen, raadplegen en rapporteren over persoonsgegevens zijn allen verwerkingen in de zin van de AVG. De tekst in de verwerkersovereenkomst laat over de verantwoordelijkheidsverdeling tussen partijen, de gemeente is verantwoordelijk, geen onduidelijkheid bestaan. Op basis van deze tekst komen ook de verwerkingen van bijzondere persoonsgegevens voor verantwoordelijkheid van de gemeente.

De gemeente heeft met het sluiten van deze verwerkersovereenkomst alle verantwoordelijkheid voor het verwerken van persoonsgegevens naar zich toe getrokken. De FG trekt in twijfel of de gemeente hier inderdaad beoogd heeft om deze verantwoordelijkheid te dragen en of daar een weloverwogen besluit aan ten grondslag heeft gelegen. Als de gemeente inderdaad beoogd heeft deze verantwoordelijkheid te dragen, dan dient de gemeente de zorgvuldigheid met persoonsgegevens door diens opdrachtnemer te borgen. Dit kan de gemeente doen door zorgvuldigheidseisen te stellen aan het feitelijke gedrag met persoonsgegevens door NTA in een verwerkersovereenkomst. Daartoe kan gebruik worden gemaakt van het format van de gemeente of dat van de VNG3. Het format voor de nu gesloten verwerkersovereenkomst is aangeleverd door NTA. Het format lijkt niet primair te zijn gericht op het borgen van de privacyrechten van burgers, eerder op de verantwoordelijkheidsverdeling tussen partijen en de belangen van NTA zelf. Gebruik van het eigen format van de gemeente had mogelijk kunnen bijdragen aan het signaleren van eventuele onrechtmatigheden, waaronder het verwerken van bijzondere persoonsgegevens, en kunnen bijdragen aan de feitelijke zorgvuldigheid met persoonsgegevens.

Naar het oordeel van de FG heeft de gemeente geen of onvoldoende verantwoordelijkheid genomen voor de zorgvuldige omgang met informatie door haar opdrachtnemer. De gemeente houdt zich hier dan ook niet aan haar privacybeleid. 3

zie Wijvan en het Inkoopbeleid van de gemeente

Rapportage intern onderzoek FG - Krachtenveldanalyse

Datum 31 december 2021 Pagina 12/19

Onderzoek “De gemeente wil haar taken goed doen. Om te weten wat beter kan, gebruikt de gemeente informatie van inwoners voor onderzoek. Wij zorgen ervoor dat onderzoeksresultaten niet te herleiden zijn tot individuele personen. Wij maken geen ‘klantprofielen’ van onze inwoners. We gebruiken informatie wel om bijvoorbeeld risicogroepen in kaart te brengen. Zoals bij het opsporen van uitkeringsfraudeurs. Als wij beoordelen dat iemand tot een bepaalde risicogroep behoort, kunnen wij altijd uitleggen hoe wij tot die beoordeling zijn gekomen. Wij vertrouwen niet zonder meer op een computeranalyse.” De onderzoeksresultaten zoals vastgelegd in de onderzoekrapportage NTA zijn niet anoniem. Burgers worden met naam en toenaam in de onderzoekrapportage genoemd. Naar het oordeel van de FG houdt de gemeente zich hier dan ook niet aan haar privacybeleid. Binnen de krachtenveldanalyse is in dit kader ook relevant dat de gemeente in de verwerkersovereenkomst de opdracht heeft gegeven tot: “…Het opmaken van profielen (uitspraken, gedrag en houding) van predikers, op basis van open – en gesloten bronnen”. Het is onduidelijk wat de gemeente met deze opdracht exact heeft beoogd. Binnen de krachtenveldanalyse is er geen sprake van ’profiling’, zoals bedoeld in de AVG, omdat er geen sprake is van een geautomatiseerde verwerking van persoonsgegevens.

Desalniettemin had, afhankelijk van de interpretatie, deze opdracht grote gevolgen kunnen hebben voor de privacyrechten van de betrokken burgers. In hoofdstuk III is geconstateerd dat de feitelijke verwerking van persoonsgegevens beperkt is gebleven tot de aldaar benoemde persoonsgegevens en zich primair heeft gericht op organisaties. Er zijn geen aanwijzingen dat bijvoorbeeld de levens van individuele burgers in kaart zijn gebracht. Conclusie(s) hoofdstuk IV In dit hoofdstuk wordt geconcludeerd dat de gemeente haar eigen privacybeleid, op de drie voor de krachtenveldanalyse relevante punten, niet nakomt. Het verwerken van persoonsgegevens was binnen de uitgevoerde krachtenveldanalyse niet noodzakelijk voor het uitvoeren van een wettelijke verplichting/taak van de gemeente. Daarnaast blijkt dat de gemeente onvoldoende zorgvuldigheideisen heeft gesteld aan het feitelijke gedrag met persoonsgegevens door haar opdrachtnemer en de zorgvuldige wijze van anoniem onderzoek4. 4

Zie hiervoor ook: De Tien Gouden Regels voor Onderzoek & Statistiek en Gegevensbescherming

Rapportage intern onderzoek FG - Krachtenveldanalyse

Datum 31 december 2021 Pagina 13/19

V.

De privacy van betrokkenen in de ontstane situatie

Op basis van de twee voorgaande hoofdstukken is duidelijk geworden welke persoonsgegevens zijn verwerkt en dat deze verwerkingen onrechtmatig waren. De gemeente dient nu, op de eerste plaats, zorg te dragen voor de best mogelijke borging van de privacyrechten van de bij de krachtenveldanalyse betrokken burgers. De gemeente kan binnen de ontstane situatie privacyrechten borgen door maatregelen te nemen die ervoor zorgen dat eventuele schade niet verder op kan lopen. Uiteraard kon met vervolgacties ter bescherming van privacyrechten van burgers niet gewacht worden op deze rapportage. De gemeentesecretaris en de FG hebben bij de start van onderhavig onderzoek hierover inhoudelijk gesproken. De gemeente heeft in dit kader de volgende maatregelen getroffen: 1. De samenwerkingsrelatie met NTA is beoordeeld. De krachtenveldanalyse betreft een eenmalige opdracht. Maatregelen zoals het beëindigen van de bestaande samenwerking of het verscherpen van contractuele afspraken, waren derhalve niet zinvol. Wel is de informatie-uitwisseling inzake deze opdracht tussen de gemeente en NTA bevroren. Doel van deze actie was om te voorkomen dat nieuwe informatie, in bezit van NTA, de gemeente zou bereiken. Het delen van nieuwe informatie zou immers ook nieuwe onrechtmatige verwerkingen kunnen opleveren.

Daarnaast zijn zekerheidshalve de andere samenwerkingsvormen met NTA, waaronder opleidingen en het gebruik van een ICT- tool (ondersteuning bij het duiden van meldingen), in afwachting van dit onderzoek stopgezet. 2. Verspreiding van de onderzoekrapportage NTA is tot een minimum beperkt. Digitale kopieën van het rapport zijn vernietigd, behoudens een exemplaar bij de huisadvocaat. De fysieke onderzoekrapportage NTA wordt bewaard in een kluis en is enkel toegankelijk in het belang van de lopende onderzoeken en alleen na toestemming van de gemeentesecretaris. 3. Daar waar de gemeente gehouden is - vanuit transparantie, waarheidsvinding of andere plichten - om derden inzage in de onderzoekrapportage NTA te verschaffen, worden de daarin opgenomen persoonsgegevens geanonimiseerd (weggelakt), behoudens die van de verzoeker zelf. Conclusie(s) hoofdstuk V In dit hoofdstuk kan geconcludeerd worden dat de gemeente accuraat heeft gehandeld van het moment dat zij zich bewust was van mogelijke onrechtmatige verwerkingen van persoonsgegevens. De gemeente heeft gepoogd de privacyrechten van burgers binnen de ontstane situatie zo goed mogelijk te beschermen. In het laatste hoofdstuk van deze Rapportage intern onderzoek FG - Krachtenveldanalyse

Datum 31 december 2021 Pagina 14/19

rapportage zal de FG de gemeente, aanvullend op de reeds genomen maatregelen, adviseren over de vervolgmaatregelen.

VI.

Verbetering van de interne privacyorganisatie

Dit hoofdstuk behandelt de borging van privacyrechten van burgers op de lange termijn. Oftewel, wat ging er goed, wat niet en wat kan de gemeente daarvan leren?

De interne privacy organisatie bestaat uit twee elementen De borging van de privacyrechten is binnen de gemeente opgebouwd uit twee elementen. Het eerste element is het interne ‘privacyproces’. Dit proces is een vorm van informatiegestuurd werken en bestaat uit diverse afspraken en procedures met tools en formats. Het proces beoogt medewerkers te ondersteunen bij het bepalen hóe zij in praktijk zorgvuldig en efficiënt met informatie om kunnen gaan. Privacy is daarbij het wettelijke kader: daarbinnen is er het ‘speelveld’ van de mogelijkheden. Het tweede element bestaat uit diverse checks en balances, die moeten bijdragen aan een tijdige signalering van privacy risico’s en de correcte toepassing van interne (proces)afspraken.

Analyse van het functioneren van de interne privacyorganisatie Ten aanzien van de krachtenveldanalyse kan worden gesteld dat de interne privacyorganisatie onvoldoende heeft gefunctioneerd. Als zij naar behoren had gefunctioneerd dan had de gemeente deze opdracht immers niet (in deze vorm) verstrekt of was het college in staat gesteld vooraf en expliciet hierover een besluit te nemen. Het functioneren van de interne privacy organisatie wordt hieronder nader toegelicht. Het signaleren van privacyvraagstukken en risico’s Een belangrijk vereiste om te kunnen komen tot het feitelijk zorgvuldig omgaan met persoonsgegevens is het tijdig herkennen van privacyvraagstukken en eventuele privacy risico’s. Binnen de gemeente zijn er diverse medewerkers die een bijzondere rol hebben inzake het signaleren hiervan. Zo heeft bijna iedere afdeling een privacyambassadeur5, heeft privacy een plek in het inkoopbeleid en heeft functioneel beheer een belangrijke rol in het beheren van informatie. Omdat de meeste 5

Medewerkers met een goed gevoel voor informatie

Rapportage intern onderzoek FG - Krachtenveldanalyse

Datum 31 december 2021 Pagina 15/19

medewerkers geen privacy expert zijn en wel van hen wordt verwacht dat zij privacy risico’s herkennen is het eerder benoemde privacybeleid ontwikkeld. Als de gemeente niet aan de daarin geformuleerde uitgangspunten kan voldoen, is er reden voor zorgen over de bescherming van persoonsgegevens. De FG zou dan snel moeten worden betrokken. Inzake de krachtenveldanalyse heeft de betreffende afdeling het privacyvraagstuk niet in de ontwerpfase van het plan, maar pas nadat de offerte al was getekend gesignaleerd. Naar alle waarschijnlijkheid werd de gemeente zich pas bewust van eventuele de privacyaspecten toen zij het verzoek van NTA kreeg om een verwerkersovereenkomst te ondertekenen en heeft de afdeling daarop contact gezocht met de FG. Er is een privacyvraagstuk gesignaleerd, wat dan? Een afdeling is zelf verantwoordelijk om in beeld te hebben wat er met persoonsgegevens binnen het eigen organisatieonderdeel gebeurt. Binnen het privacyproces is afgesproken dat voorafgaand aan nieuwe (beleids\)plannen, waarin het gebruik van informatie een rol heeft, de afdeling de benodigde informatiestromen in beeld brengt en toetst aan het privacybeleid van de gemeente. De FG kan de afdeling daarbij desgewenst ondersteunen, door gezamenlijk informatiestromen te tekenen.

Tijdens een dergelijk overleg kunnen ook de benodigde vervolgacties worden bepaald en kan de medewerker worden doorverwezen naar andere i-disciplines. De in beeld gebrachte informatiestromen kunnen bovendien worden gebruikt als naslagwerk of actielijst. Maar ook in de communicatie met partners en voor het kunnen aantonen van zorgvuldigheid (bij toezicht), is het in beeld hebben van concrete informatiestromen waardevol. Ten tijde van het verlenen van de opdracht aan NTA inzake de krachtenveldanalyse (2019) was het gezamenlijk in beeld brengen van informatiestromen middels een tekening, nog niet ingebed in de organisatie. Wel heeft er een mondeling adviesgesprek plaatsgevonden tussen de afdeling en de FG. De afdeling heeft in het advies van de FG echter geen noodzaak gezien om de reeds gemaakte plannen te heroverwegen. Met de kennis van nu voelde dat advies voor de afdeling waarschijnlijk als advies dat te laat kwam, omdat de offerte toen al was getekend. Maar het feitelijke gedrag met informatie, dat bepalend is voor de rechtmatigheid, had in deze fase nog wel voorkomen kunnen worden.

Rapportage intern onderzoek FG - Krachtenveldanalyse

Datum 31 december 2021 Pagina 16/19

Besluitvorming De grondslag voor de gegevensverwerking bepaalt de beslissingsbevoegdheid inzake privacy. Het college, en soms de burgemeester zelfstandig, is ‘verantwoordelijke’ in de zin van de AVG. Van de ambtelijke organisatie wordt verwacht dat zij zorgvuldig omgaan met persoonsgegevens van burgers, zich daarbij houden aan het privacybeleid en dat zij deze zorgvuldigheid, bij eventueel toezicht, ook kan aantonen. Bij twijfel of de gemeente zich aan haar privacybeleid kan houden, ligt het voor de hand om desbetreffend (beleids)plan ter expliciete besluitvorming aan het gehele college voor te leggen. Als privacy in de weg zit, speelt er vaak een fundamenteler vraagstuk, zoals bij deze krachtenveldanalyse ook het geval is. Het is in dat geval raadzaam om inhoudelijk het gesprek te voeren over de (juridische) risico’s, de taken en bevoegdheden van de gemeente en de vrijheden van burgers De FG heeft de afdeling in het eerdergenoemde mondelinge adviesgesprek gewezen op de verantwoordelijkheid van het college en de noodzaak hierover met elkaar in gesprek te gaan. Het besluit om de krachtenveldanalyse uit te voeren is echter niet expliciet ter besluitvorming aan het college voorgelegd. Zorgvuldigheid in de uitvoering Op een gegeven moment gaan (beleids)plannen over in uitvoering. Dan zullen de verwerkingen van persoonsgegevens feitelijk gaan plaatsvinden.

De uitvoerende onderdelen van de organisatie mogen ervan uit gaan dat de benodigde informatiestromen in beeld zijn gebracht en dat de opdracht die de uitvoering krijgt rechtmatig is. De uitvoerende onderdelen hebben vervolgens de taak om de aanvullende zorgvuldigheidseisen uit de AVG te borgen. Binnen het privacyproces is dit processtap 2. Denk daarbij bijvoorbeeld aan het bepalen van de bewaartermijnen en autorisaties (wie krijgt er toegang tot desbetreffende informatie). Binnen de krachtenveldanalyse is er niet zo’n duidelijk onderscheid te maken tussen de beleidsfase en de uitvoeringsfase. Er zijn geen aanwijzingen dat de afdeling activiteiten heeft ondernomen die zien op de borging van de aanvullende zorgvuldigheidseisen uit de AVG in de uitvoeringsfase. Conclusie(s) hoofdstuk VI Geconcludeerd kan worden dat de interne privacyorganisatie op een aantal onderdelen onvoldoende gefunctioneerd heeft. Het privacyvraagstuk is pas laat in het proces gesignaleerd en niet meegenomen in de afweging om over te gaan tot een krachtenveldanalyse. Het overleg met de FG later in het proces, heeft niet geleid tot een heroverweging van het genomen besluit of de benodigde vervolgacties.

Rapportage intern onderzoek FG - Krachtenveldanalyse

Datum 31 december 2021 Pagina 17/19

Het bewustzijn van de organisatie over wanneer zij kunnen of moeten escaleren of/en privacyvraagstukken expliciet dienen voor te leggen aan het bestuur is onvoldoende gebleken. Tot slot is er onvoldoende aandacht geweest voor de aanvullende zorgvuldigheidseisen uit de AVG in de uitvoeringsfase. De FG concludeert dat als de gemeente niet nadrukkelijk inzet op verbetering van de interne privacyorganisatie, het niet de vraag is óf de gemeente opnieuw te maken zal krijgen met een situatie als onderhavige, maar wanneer.

VII.

Conclusies

Op basis van de gestelde onderzoeksvragen en voorgaande hoofdstukken, concludeert de FG het volgende: 1. Van wie zijn welke persoonsgegevens verwerkt in de krachtenveldanalyse? Het onderzoek binnen de krachtenveldanalyse heeft richt primair gericht op organisaties en niet op individuele personen. Desalniettemin zijn er van 36 burgers persoonsgegevens verwerkt, voornamelijk van bestuurders, predikers en geleerden. Het gaat hierbij ook om de verwerking van bijzondere persoonsgegevens, veelal de geloofsovertuiging van betrokkenen. De omvang van de verwerkingen per individu is beperkt. 2. Zijn de onder 1 bedoelde verwerkingen rechtmatig geweest? De onder 1 genoemde verwerkingen waren niet rechtmatig. De gemeente houdt zich niet aan haar eigen privacybeleid. De gemeente had geen wettelijke plicht/taak voor het verwerken van persoonsgegevens binnen de uitgevoerde krachtenveldanalyse. Daarnaast blijkt dat de gemeente onvoldoende zorgvuldigheideisen heeft gesteld aan het feitelijke gedrag met persoonsgegevens door haar opdrachtnemer en de zorgvuldige wijze van anoniem onderzoek. 3. Hoe kunnen de privacyrechten van betrokkenen binnen de ontstane situatie zo goed mogelijk worden geborgd? De gemeente heeft na bewustwording van mogelijk onrechtmatig handelen zich adequaat ingezet om de eventuele (vervolg)schade te beperken en privacyrechten binnen de ontstane situatie te borgen.

In hoofdstuk VIII volgen nog enkele adviezen, aanvullend op de reeds genomen maatregelen.

Rapportage intern onderzoek FG - Krachtenveldanalyse

Datum 31 december 2021 Pagina 18/19

4. Hoe kan de interne privacyorganisatie van de gemeente worden verbeterd? De interne privacyorganisatie functioneert (nog) niet naar behoren. Interne afspraken over het privacyproces leven nog onvoldoende en de in opzet aanwezige checks en balances, die moeten leiden tot bijsturing, hebben niet gewerkt. De FG acht herhaling van dit type incidenten aannemelijk en benadrukt de noodzaak tot verbetering van de interne privacy organisatie. In hoofdstuk VIII volgen aanbevelingen daartoe.

VIII.

Aanbevelingen

Hieronder volgen eerst enkele adviezen over de borging van de privacyrechten van burgers binnen de ontstane situatie. Daarna volgen diverse aanbevelingen die zien op de verbetering van de interne privacyorganisatie.

Advies over de borging van de privacyrechten binnen de ontstane situatie De FG adviseert, inzake de borging van privacyrechten van burgers die betrokken zijn bij de krachtenveldanalyse, aanvullend op de reeds door de gemeente genomen maatregelen, het volgende: 1. Vernietiging de persoonsgegevens. Zorg dat alle persoonsgegevens binnen de gemeente en binnen NTA, die verband houden met de krachtenveldanalyse worden vernietigd. Dan wel niet meer te herleiden zijn tot individuele burgers, ook niet door NTA of de gemeente zelf. Zodat informatie uit de onderzoekrapportage NTA de betrokkene, nu of in de toekomst, niet meer kan worden nagedragen. 2. De gemeente is verplicht desbetreffende burgers – bij voorkeur op individueel niveau - te informeren over het verwerken van hun persoonsgegevens. Maak daarbij concreet welke informatie over hen is verwerkt, wat de gemeente met deze informatie heeft gedaan en wat de gemeente daarmee gaat doen. Ga desgewenst in gesprek met desbetreffende burgers over wat in de onderzoekrapportage NTA heeft gestaan.

Rapportage intern onderzoek FG - Krachtenveldanalyse

Datum 31 december 2021 Pagina 19/19

Aanbevelingen voor het verbeteren van de interne privacyorganisatie Voor het voorkomen van incidenten in de toekomst is het verbeteren van de interne privacyorganisatie van groot belang. Naast algemene zaken als prioriteit voor het onderwerp, capaciteit en middelen, doet de FG ten aanzien van de verbetering van de interne privacyorganisatie de volgende aanbevelingen: 1. Agendeer op verzoek van de FG, in situaties waarin de inhoudelijke uitgangspunten van het privacybeleid ter discussie staan, een informeel college. Waarin met elkaar kan worden gesproken over de (juridische) risico’s, de taken en bevoegdheden van de gemeente en de vrijheden van burgers. Versterk zo nodig de positie van de FG in dit gesprek, bijvoorbeeld door ook een externe deskundige bij het gesprek uit te nodigen. 2. Maak afdelingshoofden bewust en spreek hen aan op hun verantwoordelijk voor het in beeld hebben van wat er met persoonsgegevens gebeurt binnen hun afdeling en het aantonen van de zorgvuldige omgang daarmee. Breng bij nieuwe (beleids)plannen of samenwerkingen altijd de informatiestromen in beeld en toets deze aan het privacybeleid. 3. Investeer in leren en maak voor het zorgvuldig (en efficiënt) leren omgaan met informatie een concreet trainings- en bewustwordingsprogramma. In de huidige informatiemaatschappij moet de gemeente slimmer en zorgvuldiger leren werken met persoonsgegevens.

Het vergt bewustwording, leeractiviteiten, tools en begeleiding in de dagelijkse praktijk. 4. Versterk de positie van privacyambassadeurs binnen afdelingen/teams en de positie van de afdeling Inkoop. Zorg voor duidelijke rollen/taken en specifieke leeractiviteiten. 5. Neem privacy als aandachtspunt op in het format voor BBV’s, om het bewustzijn van de ambtelijke organisatie te vergroten en de checks en balances te versterken. 6. Vergroot ook het bewustzijn bij raad en college. Dat kan onder andere door het privacybeleid te actualiseren en voortaan vast te laten stellen door de gemeenteraad.

Rapportage intern onderzoek FG - Krachtenveldanalyse