4.0 Autoriteit persoonsgegevens - Gemeenten en privacy wat kan u als raadslid doen.pdf

Gemeenten en privacy: wat kunt u als raadslid doen? Hoe zorgt u er als gemeenteraadslid voor dat u, vanuit uw controlerende functie, de juiste vragen stelt over privacy binnen uw gemeente? Dit kan ingewikkeld zijn. Bijvoorbeeld omdat het gesprek vaak al snel inhoudelijk en juridisch wordt. Maar dat hoeft niet. Want de kern van de discussie is in drie eenvoudige vragen te vatten. Met deze beknopte handreiking wil de Autoriteit Persoonsgegevens (AP) u helpen bij het gesprek. Achtergrond: privacy bij de gemeente Gemeenten gebruiken veel persoonsgegevens. Zowel van burgers als van hun medewerkers. Bijvoorbeeld als iemand een paspoort aanvraagt of als de gemeente een medewerker salaris uitbetaalt. Het gaat om persoonsgegevens als een persoon er direct of indirect mee te identificeren is. Meer voorbeelden van het gebruik van persoonsgegevens zijn: personen filmen in een gemeentehuis, een kenteken van een auto opslaan en een geboren kind opnemen in de Basisregistratie Personen (BRP). Gegevens hoeven niet altijd persoonsgegevens te zijn. De vraag of de gemeente in een bepaald geval persoonsgegevens verwerkt – en zich daarbij dus moet houden aan de privacywetgeving– vereist een nauwkeurige analyse. Verder is het goed om te beseffen dat het antwoord op die vraag kan veranderen. Wat eerst géén verwerking van persoonsgegevens was, kan dat wel worden.

Bijvoorbeeld als er een nieuwe technologie wordt gebruikt. Gemeenten kunnen ook gevoelige persoonsgegevens van burgers verwerken. Zoals gegevens over hun gezondheid. Bijvoorbeeld bij beslissingen binnen het sociaal domein, zoals het besluit of iemand een voorziening kan krijgen vanuit de Wet maatschappelijke ondersteuning (Wmo). Het gaat daarbij vaak om kwetsbare personen die afhankelijk zijn van een besluit van de gemeente over een aanvraag. Gemeenten moeten zich daarbij bijvoorbeeld afvragen hoe ze de aanvrager moeten informeren. En of de informatie die zij gebruiken om een besluit te nemen ook echt noodzakelijk is voor dat besluit. Uw rol als raadslid: wat kunt u doen? Als raadslid heeft u een controlerende functie richting het college van burgemeester en wethouders. In gesprekken tussen de gemeenteraad en het college van burgemeester en wethouders hoort privacy daarom een terugkerend onderwerp te zijn. Bescherming van persoonsgegevens is immers een grondrecht. Heeft u aanleiding om vanuit uw controlerende functie vragen te stellen over privacy binnen uw gemeente? Dan kunt u drie vragen stellen die de AP voor u heeft opgesteld. U stelt deze vragen aan de verantwoordelijke wethouder binnen het college van burgemeester en wethouders. Als u geen of een onduidelijk antwoord krijgt, vraag dan door.

Het vaststellen van feiten is namelijk essentieel om er (mede) voor te zorgen dat persoonsgegevens in uw gemeente rechtmatig worden verwerkt. De AP heeft de vragen voorzien van een korte toelichting, het uitgangspunt dat moet gelden bij de beantwoording van de vragen en enkele observaties van de AP. 2/2 Vraag 1: Wie is verantwoordelijk? Toelichting: Als er persoonsgegevens worden gebruikt, schept dat een aantal verplichtingen. Dat begint ermee dat wordt vastgelegd wie er verantwoordelijk is voor dat gebruik. In de Algemene verordening gegevensbescherming (AVG) heet dat: wie de verwerkingsverantwoordelijke is. Een gemeente moet kunnen uitleggen en aantonen hoe de verantwoordelijkheden zijn vastgelegd. Ook als een gemeente samenwerkt met andere organisaties. Uitgangspunt: Uw gemeente zal meestal zelf verantwoordelijk zijn bij de uitvoering van gemeentelijke taken. Soms kan uw gemeente samen met andere partijen verantwoordelijk zijn. Observatie AP: Gemeenten kunnen niet altijd duidelijk maken hoe de verantwoordelijkheden zijn verdeeld. Ook hebben zij soms de verantwoordelijkheden onjuist vastgesteld. Terwijl het bijvoorbeeld voor burgers glashelder moet zijn waar zij terechtkunnen met vragen over de verwerking van hun gegevens. Vraag 2: Waarom is het noodzakelijk? Toelichting: Voor het gebruik van persoonsgegevens moeten er een aanleiding en een noodzaak zijn.

Ook bij een proefproject. De gemeente moet kunnen uitleggen en aantonen waarom de gemeente persoonsgegevens mag gebruiken. En moet dit vóór de start van de verwerkingen hebben vastgesteld. Uitgangspunt: Het gebruik van persoonsgegevens van burgers moet in de regel zijn gebaseerd op een wet. Uw gemeente moet duidelijk kunnen maken in welke wet, en waar in die wet, staat dat uw gemeente persoonsgegevens mag gebruiken. De gemeente moet ook kunnen uitleggen of de gemeente niet met minder persoonsgegevens – of zelfs zonder persoonsgegevens – hetzelfde doel kan bereiken. Observatie AP: Gemeenten gebruiken geregeld persoonsgegevens zonder vooraf goed te onderzoeken of dit mag. Vaak komt dat door een te ruime taakopvatting. Ook gebruiken gemeenten nog onnodig veel persoonsgegevens om een doel te bereiken. Burgers moeten erop kunnen vertrouwen dat gemeenten alleen hun persoonsgegevens gebruiken als dat past binnen de wettelijke taak en noodzakelijk is. Vraag 3: Hoe zijn betrokkenen geïnformeerd? Toelichting: Transparantie is een kernbegrip bij de bescherming van persoonsgegevens. Gemeenten moeten actief communiceren over het gebruik van persoonsgegevens, zodat burgers weten wat de gemeente met hun gegevens doet. Juist ook als dit complex is. Burgers moeten ook hun privacyrechten kunnen uitoefenen. Bijvoorbeeld het recht op inzage en correctie van persoonsgegevens.

Vinden burgers dat hun rechten zijn geschonden, dan moeten zij toegang hebben tot bezwaar en beroep. Uitgangspunt: Uw gemeente moet burgers in eenvoudige taal voorlichten over het gebruik van hun persoonsgegevens. Observatie AP: Gemeenten informeren burgers onvoldoende over de manier waarop ze persoonsgegevens gebruiken. Dit zien we vooral als gemeenten bij het gebruik nieuwe technologie inzetten. Bijvoorbeeld bij het verstrekken van persoonsgegevens aan derden. Zoals bij: preventieve taken uitvoeren bij schuldhulpverlening, meldingen van overlast opslaan of sensoren inzetten in de openbare ruimte. Heeft u algemene vragen over de toepassing van de AVG binnen gemeenten? U kunt meer informatie vinden op: autoriteitpersoonsgegevens.nl/nl/onderwerpen/overheid/gemeenten autoriteitpersoonsgegevens.nl/nl/onderwerpen/overheid/sociaal -domein