22-428-B - Handreiking Autoriteit Persoonsgegevens - Samenwerkingsverbanden

Gemeenten en privacy: wat kunt u als raadslid doen bij samenwerkingsverbanden? Deze uitgave van de Autoriteit Persoonsgegevens (AP) is een aanvulling op het basisdocument ‘Gemeenten en privacy: wat kunt u als raadslid doen?’. Deze aanvulling gaat over de situatie dat een gemeente deelneemt aan een samenwerkingsverband. De vragen uit het basisdocument blijven daarbij relevant en we raden u aan die ook te (her)lezen. Het doel van deze aanvulling is niet om volledig te zijn, maar om een gesprek te starten over de verwerking van persoonsgegevens door samenwerkingsverbanden. versie 1, oktober 2022

Achtergrond: samenwerkingsverbanden Gemeenten nemen vaak deel aan samenwerkingsverbanden. Daarin werken zij samen met andere (semi)overheidspartijen en/of marktpartijen. U kunt daarbij denken aan de politie, andere gemeenten, het Openbaar Ministerie en uitvoeringsorganisaties, maar ook aan maatschappelijke organisaties en bijvoorbeeld zorgpartijen en woningcorporaties. Samenwerkingsverbanden verschillen onderling sterk. Er zijn verschillen in het doel van het samenwerkingsverband, de partijen die meedoen en de taken waarvoor zij samenwerken. Deze kenmerken zijn bepalend voor de vraag of persoonsgegevens worden gedeeld en zo ja, hoe dat gebeurt en om welke gegevens het gaat. Burgers zijn doorgaans niet goed op de hoogte van de verwerking van hun persoonsgegevens door samenwerkingsverbanden. Dit zou wel zo moeten zijn.

Uw rol als raadslid: wat kunt u doen? Als raadslid controleert u het college van burgemeester en wethouders (B en W). Heeft u aanleiding om vragen te stellen over samenwerkingsverbanden binnen uw gemeente? De AP heeft drie vragen opgesteld om u te helpen. U stelt uw vragen in de regel aan de verantwoordelijke wethouder binnen het college van B en W. Als u geen of een onduidelijk antwoord krijgt, vraag dan door. Het vaststellen van feiten is namelijk essentieel om er (mede) voor te zorgen dat persoonsgegevens in uw gemeente rechtmatig worden verwerkt. De AP heeft de vragen voorzien van een korte toelichting, het uitgangspunt dat moet gelden bij de beantwoording van de vragen en enkele observaties van de AP.

Vraag 1: Aan welke samenwerkingsverbanden neemt de gemeente deel? Toelichting: Gemeenten nemen deel aan veel samenwerkingsverbanden. In zo’n samenwerkingsverband werken zowel publieke als private organisaties samen. Uitgangspunt: Elke gemeente moet een verwerkingsregister bijhouden en kunnen tonen. Dit is onderdeel van de verantwoordingsplicht uit de AVG. Dit register verplicht de gemeente een goed overzicht te hebben van de verschillende verwerkingen. In het register moet ook staan aan welke categorieën van ontvangers de gemeente persoonsgegevens verstrekt, inclusief samenwerkingsverbanden. Met het verwerkingsregister moet uw gemeente u dus kunnen laten zien aan welke samenwerkingsverbanden uw gemeente meedoet.

Observatie AP: Gemeenten nemen deel aan veel samenwerkingsverbanden, bijvoorbeeld in het sociaal domein en het zorg- en veiligheidsdomein. Het verwerkingsregister moet deze samenwerkingsverbanden vermelden, maar is op dit punt vaak niet actueel of onvoldoende specifiek.

Vraag 2: Heeft de gemeente vooraf onderzocht wat deze mag delen in het samenwerkingsverband? Toelichting: Een gemeente mag alleen persoonsgegevens delen als daarvoor een wettelijke grondslag bestaat en het delen noodzakelijk is. De gemeente moet aantoonbaar vooraf hebben vastgesteld wie waarvoor verantwoordelijk is, bij alle samenwerkingsverbanden waarin de gemeente een rol speelt. Uitgangspunt: Uw gemeente mag alleen persoonsgegevens delen als daarvoor een wettelijke grondslag bestaat. Uw gemeente moet voor alle samenwerkingsverbanden vooraf hebben vastgesteld hoe de verantwoordelijkheden in het samenwerkingsverband zijn belegd. Dit is belangrijk omdat duidelijk moet zijn wie verantwoordelijk is voor de gegevensverwerking. Tot slot moet uw gemeente kunnen aantonen alleen persoonsgegevens te delen met partijen die deze gegevens ook mogen ontvangen. Observatie AP: Gemeenten delen nog te vaak persoonsgegevens zonder te onderzoeken of ze dit ook mogen doen. Ten onrechte nemen gemeenten aan dat de vastgelegde afspraken in het samenwerkingsverband voldoende wettelijke basis bieden om persoonsgegevens te delen. Ook zijn verantwoordelijkheden en de daaruit voortvloeiende verplichtingen niet altijd duidelijk beschreven.

Vraag 3: Informeert de gemeente burgers over het samenwerkingsverband? Toelichting: Veel burgers weten niet dat er samenwerkingsverbanden bestaan en dat hun gemeente daarbinnen persoonsgegevens deelt. Burgers hebben recht op heldere informatie over wat de gemeente met hun persoonsgegevens doet en waarom. Uitgangspunt: De hoofdregel is dat de gemeente burgers informeert als hun persoonsgegevens worden verwerkt. Uw gemeente moet kunnen aantonen hoe de gemeente invulling geeft aan deze informatieplicht. De privacywetgeving stelt extra eisen bij complexe verwerkingen waarbij veel organisaties betrokken zijn. Uw gemeente moet burgers in begrijpelijke taal informeren over het samenwerkingsverband en de verwerking van hun persoonsgegevens daarbinnen. Dit geldt nog sterker als via het samenwerkingsverband een ingrijpende beslissing over een burger wordt genomen. Bijvoorbeeld of deze burger wel of niet voor hulp of ondersteuning in aanmerking komt. Observatie AP: Gemeenten tonen bij samenwerkingsverbanden onvoldoende aan dat ze de informatieverplichting nakomen. Dit leidt ertoe dat burgers niet kunnen doorzien hoe hun persoonsgegevens worden verwerkt. Het effect daarvan kan zijn dat ze niet weten hoe een besluit tot stand is gekomen dat mogelijk ingrijpend voor hen is. Een ander nadelig gevolg voor burgers kan zijn dat het voor hen moeilijker is om zich op hun rechten te beroepen.

Zij weten dan namelijk niet wie verantwoordelijk is en waar ze dus met hun verzoek of klacht terecht kunnen. De AP heeft vragen en klachten gekregen van burgers over gegevensdeling in samenwerkingsverbanden binnen het sociaal domein waarbij de gemeente participeert. Daaruit blijkt dat burgers het onderwerp ingewikkeld, maar wel belangrijk vinden. En dat zij hierover graag begrijpelijke informatie ontvangen, waarop zij ook recht hebben. De AP merkt op dat het hier in de praktijk nog aan schort.

Meer informatie Basisdocument: Gemeenten en privacy: wat kunt u als raadslid doen?

2/2