Document · PDF

Informatiebrief 023 Brief Autoriteit Persoonsgegevens (incl. bijlagen).pdf

Gemeenteraad Voorschoten 5 april 2023, gemeente voorschotenBij agendapunt: Informatiebrieven van het College van B&W10.569 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen · deel 1 van 2

Informatiebrief Zaaknummer:

Z/23/074687

Documentnummer:

342782

Datum:

dinsdag 28 maart 2023/verzonden 30 maart 2023

Onderwerp:

Brief Autoriteit Persoonsgegevens over geconstateerde onrechtmatigheden bij de verwerking van persoonsgegevens in de uitvoering van het gemeentelijk afvalbeleid

Portefeuillehouder: Bijlage(n):

Wethouder Van der Elst 1. Zienswijze college op de brief en het Rapport van de Autoriteit Persoonsgegevens. 2. Brief Autoriteit Persoonsgegevens inzake voornemen tot handhaving. 3. Rapport Autoriteit Persoonsgegevens.

Geachte raad, Bij de behandeling van de vervolgstappen voor het grondstoffenplan op 3 november 2022 is toegezegd u te informeren over verdere ontwikkelingen rond de klacht over de verwerking van persoonsgegevens in de uitvoering van het gemeentelijk afvalbeleid (toezegging 281). Met deze raadsinformatiebrief geven wij invulling aan deze toezegging. Op 14 maart heeft het college van de Autoriteit Persoonsgegevens (AP) een brief ontvangen over het voornemen tot handhaving en de gelegenheid tot het indienen van een zienswijze op dit voornemen. In de brief stelt de AP dat persoonsgegevens in het kader van het afvalbeleid door de gemeente onrechtmatig worden gebruikt en de AP het voornemen heeft de gemeente een herstelmaatregel en een boete op te leggen. Aanleiding voor dit onderzoek was een klacht die een inwoner van de gemeente op 9 maart 2019 bij de AP had ingediend. Nu, inmiddels 4 jaar later, heeft de AP haar rapport opgeleverd. In het onderzoeksrapport komt naar voren dat de AP niet volledig meegaat in de gegrondheid van de klacht van de klager. Er is namelijk, zo stelt de AP, in het kader van het afvalbeleid een goede reden om gebruik te maken van de chips in de grijze containers en de tokens voor de ondergrondse containers.

In haar rapport stelt de AP dat het gemeentelijk afvalbeleid het gebruik van een persoonsgebonden chip en token op de afvalbakken en ondergrondse containers rechtvaardigt Gemeente Voorschoten Leidseweg 25 | Postbus 393, 2250 AJ Voorschoten | T 14071 | E gemeente@voorschoten.nl | www.voorschoten.nl BTW NL 00179762B01 | KvK 27381083 | IBAN NL43 BNGH 0285 0796 70 | BIC BNGHNL2G

en dat dit niet in strijd is met de privacywetgeving. Ook kortstondige opslag van de afvalverwerkingsgegevens is vanuit privacywetgeving toegestaan zolang dit noodzakelijk is voor de uitvoering van het afvalbeleid. Echter, in het verdiepend onderzoek is de AP wel tot de conclusie gekomen dat gegevens langer worden bewaard dan strikt noodzakelijk is voor de uitvoering van het afvalbeleid. Dit gegeven is door de AP als onrechtmatig beoordeeld. Dus op dat onderdeel wordt de klacht wel gegrond verklaard. Daarbij constateert de AP dat het college de inwoners hierover onjuist heeft geïnformeerd. In haar brief kondigt de AP het voornemen tot handhaven aan. Concreet betekent dit dat de AP herstelmaatregelen en een boete kan opleggen. De AP stelt het college in de gelegenheid om uiterlijk vóór 3 april een zienswijze in te dienen op de geconstateerde onrechtmatigheid, de mogelijke herstelmaatregel en de boete. In bijgevoegde zienswijze reageren wij op de brief van de AP en het rapport. Wij hebben begrip voor de conclusies van de AP en zullen vooruitlopend op het definitieve oordeel van de AP herstelmaatregelen doorvoeren. Dit betekent concreet dat wij per direct de volgende maatregelen nemen: -

In de beheersystemen van afval zullen de registraties worden teruggebracht naar een bewaartermijn van 10 weken. Na het verstrijken van die termijn zullen de gegevens automatisch worden gewist.

Alle registraties van vóór die termijn zullen worden vernietigd.

De inwoner die de klacht heeft ingediend informeren wij met dezelfde informatie die aan de raad is gezonden. De inwoners zullen, nadat wij kennis hebben genomen van de definitieve reactie van de

AP op de zienswijze, door middel van een persbericht worden geïnformeerd.

Met vriendelijke groet, het college van burgemeester en wethouders,

A.R. de Graaf, gemeentesecretaris

Pagina 2 van 3

drs. N. Stemerdink, burgemeester

Deze brief is digitaal vastgesteld. Hierdoor staat er geen fysieke handtekening in de brief.

Pagina 3 van 3

0000000 Gemeente Voorschoten

Autoriteit Persoonsgegevens Hoge Nieuwstraat 8 2514 EL Den Haag Datum Uw kenmerk Ons zaaknummer Onderwerp

VERZONDEN 28 maart 2023 Datum verzending z2023-00037 Behandelaar Z/23/074687/344092 Bijlage Zienswijze op onderzoeksrapport over het afvalbeleid

30 MAART 2023

Geachte heer/mevrouw , Maandag op d.d. 15 maart jl. ontving het college van burgemeester en wethouders van de gemeente Voorschoten (hierna : het college) het onderzoeksrapport van de Autoriteit Persoonsgegevens (hierna: AP) over de onrechtmatige verwerking van persoonsgegevens in het kader van het afvalbeleid (hierna : het onderzoeksrapport) . Dit onderzoek is de AP gestart nadat een inwoner van de gemeente Voorschoten begin 2019 hierover een klacht had ingediend . Kort samengevat stelt de AP in het onderzoeksrapport dat het college gedeeltelijk geen rechtmatige grondslag heeft voor de verwerking van persoonsgegevens. Als gevolg hiervan handelt het college in strijd met de Algemene Verordening Gegevensbescherming ( hierna : AVG), wat kan leiden tot het opleggen van een herstelmaatregel en/of bestuurlijke boete. Op grond van art. 4: 8 en 5:53 derde lid van de Algemene wet bestuursrecht (Awb) wordt het college oor de AP eerst in de gelegenheid gesteld om zijn zienswijze te geven ten aanzien van de geconstateerde inbreuk uit het onderzoeksrapport. Ook kan het college reageren op de mogelijke oplegging van een herstelmaatregel dan/wel bestuurlijke boete. Hieronder zal het college de AP voorzien van een zienswijze ten aanzien van de inhoud van het onderzoeksrapport als het opleggen van een herstelmaatrel en/of bestuurlijke boete.

Inhoudelijke reactie op het onderzoeksrapport Algemene bevindingen van de AP Het college heeft kennis genomen van het Onderzoeksrapport van de AP en kan zich over het algemeen vinden in de constateringen die zijn gemaakt. Zoals de feitelijke bevindingen in hoofdstuk 2 en de beoordeling in hoofdstuk 3 uiteen zijn gezet, is het college van oordeel dat dit in overeenstemming is met de feitelijke situatie bij de gemeente Voorschoten . Er is immers i.c. sprake van een verwerking van persoonsgegevens en het college kan worden aangemerkt als de verwerkingsverantwoordelijke bestuursorgaan . Daarnaast heeft het college vanuit zijn publieke taak uitvoering gegeven aan het Afvalbeleidsplan 2016-2020. Volgens de AP loopt het echter spaak wanneer dieper in wordt gegaan op de noodzaak van bepaalde verwerking van persoonsgegevens in de uitvoering van het afvalbeleid van het college. Daarom zal in het navolgende specifiek worden ingegaan op dit knelpunt. Beoordeling noodzakelijkheid verwerken persoonsgegevens volgens de AP Gemeente Voorschoten Padma van stbus |393, AJ Voorschoten | T 14071 | E gemeente@voorschoten.nl | www.voorschoten.nl BTW NL 00179762801 KvK2250 27381083 | IBAN NL43 BNGH 0285 0796 70 | BIC

000000 Gemeente Voorschoten

In paragraaf 3.4.3 en 3.4.4 van het onderzoeksrapport stelt de AP dat, hoewel de nieuwe containers met chip en de ondergrondse containers met tokens binnen de publieke taak van het college valt, er gedeeltelijk geen noodzaak voor de verwerking van de gegevens is. Hieronder wordt kort uiteengezet hoe het college de uitgangspunten van de AP interpreteert ten aanzien van de verwerking van persoonsgegevens die plaatsvinden met betrekking tot de grijze en ondergrondse containers: De AP omschrijft twee specifieke stappen waarbij persoonsgegevens worden verwerkt¹: 1. Bij het aanbieden van een grijze container, wordt het chipnummer door de lezer op het inzamelvoertuig gelezen en geregistreerd . Als er herkenning is wordt de grijze container geleegd door het inzamelvoertuig . Daarna is er een blokkade van deze chip voor een bepaalde tijd. 2. Vervolgens wordt geregistreerd en bewaard wie (chipnummer en adres), wanneer (datum en tijdstip waarop het afval wordt aangeboden), waar (locatiegegevens van de grijze container) afval aanbiedt. Dit zijn stortgegevens die bewaard worden in de computer bij de inzameldienst van de gemeente Voorschoten zolang de grijze container in gebruik is. Pas bij vervanging van de grijze container worden alle stortgegevens verwijderd.

De AP is voor zover het college het goed begrijpt van mening dat de eerste stap in overeenstemming is met de uitvoeringdoelen van het Afvalbeleidsplan 2016-2018 . Er wordt hiermee voldaan aan het beginsel van noodzakelijkheid . Volgens de AP geldt dit echter niet voor de tweede stap. Immers, om uitvoering te geven aan de doelen in het afvalbeleid is het niet noodzakelijk om op te slaan en te bewaren wie, wanneer afval aanbiedt via de grijze container met de chip. Dit zou anders zijn geweest als het college gebruik zou maken van Diftar. De AP concludeert dat het college hierdoor onrechtmatig deze persoonsgegevens verwerkt en bewaard. Het college heeft nader onderzoek gedaan naar het afvalbeleid dat is vastgesteld in het Afvalbeleidsplan 2016-2020 . Hierin is als primaire doel aangemerkt dat er een transitie moet gaan plaatsvinden waarin afval in toenemende mate moet worden omgezet in een grondstof. Dit kan bereikt worden om het scheidingspercentage van het afval te verhogen met uiteindelijke doel dat in 2030 er enkel en alleen nog maar grondstoffen worden ingezameld.² Een manier om dit doel te bereiken is door de inwoners te stimuleren om afval beter te scheiden . Hiervoor zijn verschillende middelen die het college aanwendt, waaronder een strenger beheer ten aanzien van de bovengrondse grijze en ondergrondse containers.

Doordat de grijze containers gekoppeld worden aan een adres in de gemeente Voorschoten kan voorkomen worden dat inwoners onterecht hun grijze container als vermist opgeven enkanhierdoor na ontvangst van een nieuwe voortaan twee containers kunnen aanbieden . Daarnaast een container dankzij het scannen van de chip door het inzamelvoertuig maximaal één keer per twee weken op restafvaldagen geleegd worden . Deze twee punten zorgen ervoor dat inwoners slechts een bepaald maximum aan restafval kunnen laten ophalen , wat een positieve prikkel geeft om meer afval te scheiden. In de tweede plaats kunnen door toegangsregulering van de ondergrondse containers, alleen de inwoners van de gemeente Voorschoten die een token hebben ontvangen daarin afval storten. Hierdoor wordt voorkomen dat inwoners die bijvoorbeeld gebruik dienen te maken van de grijze container niet ook hun afval in de ondergrondse containers storten . Dit geldt eveneens voor 1 Hieronder wordt niet specifiek ingegaan op de beoordeling van de ondergrondse containers, aangezien de argumentatie van de AP hiervoor vrijwel hetzelfde is. 2 Afvalbeleidsplan 2016-2022, p. 9. Gemeente Voorschoten | www.voorschoten.nl | E gemeente@voorschoten.nl AJ Voorschoten | T 14071 van stbus |393, Padma | IBAN NL43 BNGH 0285 0796 70 | BIC KvK2250 27381083 BTW NL 00179752B01

00000000 Gemeente Voorschoten

inwoners van andere gemeenten die oneigenlijk gebruik willen maken van de ondergrondse containers. Ook deze maatregel heeft als uiteindelijke doel om afvalscheiding te stimuleren, wat bijdraagt aan de transitie om afval om te zetten in grondstoffen. Noodzaak verwerken persoonsgegevens grijze containers volgens het college Wanneer het Afvalbeleidsplan 2016-2020 vertaald wordt naar de praktijk, zijn er verschillende redenen om persoonsgegevens te verwerken en te bewaren. Als het gaat om de grijze containers moet er gecontroleerd kunnen worden dat de container niet korter dan twee weken geleden geleegd is . Hierdoor is het dus oodzakelijk om deze informatie minimaal twee weken te bewaren. Daarnaast ontvangt de gemeentelijke afvaldienst regelmatig een melding van een inwoner met de mededeling dat zijn/haar grijze container is vermist. De dienst markeert de grijze container met chip die gekoppeld is aan het adres van de inwoner op dat moment als 'vermist', waardoor het inzamelvoertuig deze container niet meer kan ledigen. In de praktijk leidt dit er meestal toe dat bijvoorbeeld een burger die deze grijze container oneigenlijk heeft meegenomen, bij de volgende inzameldag erachter komt dat de container niet bruikbaar is en daarom vaak weer terugbrengt naar of in de buurt van het adres dat gekoppeld is aan de grijze container.

Daarnaast komt het ook voor dat een inwoner in strijd met de waarheid zijn/haar grijze container als vermist opgeeft, in de hoop een nieuwe te ontvangen en op deze manier meer restafval kan laten ophalen. Ook in dit geval zal de inwoner bij de volgende inzameldag tot de conclusie komen dat deze strategie niet werkt, aangezien de vermist opgegeven container niet geledigd wordt. Nadat de inwoner dit weet, laat hij/zij meestal vrij snel erna weer weten dat de grijze container weer terecht is. Indien echter binnen twee weken de vermist opgegeven grijze container niet meer teruggevonden wordt, krijgt de inwoner een nieuwe container met chip die gekoppeld wordt aan zijn/haar adres. De oude container wordt hierna afgeschreven . Het voorgaande brengt met zich mee in dergelijke van gegevens van een grijze container minimaal twee wekendatbewaard moetengevallen wordende. Inopslag het kader van het beheer van de grijze containers wordt dit door het college als noodzakelijk geacht. Tot slot kan het voorgaande er toe leiden dat een inwoner een klacht indient bij het college, omdat er bijvoorbeeld de grijze container niet naar behoren functioneert, deze niet geledigd is of is zoekgeraakt. In deze situaties kan het relevant zijn om in het systeem te onderzoeken wie wanneer afval heeft aangeboden via de chip .

Deze feiten kunnen namelijk een bijdrage leveren aan het afhandelen van de klacht van inwoner, wat een bijdrage levert aan het beheer van de containers en de dienstverlening naar de inwoners toe. Volgens art . 9:11 lid 1 en 2 Awb dient een klacht binnen zes weken afgehandeld te zijn , waarna dit termijn nog eenmaal met vier weken verlengd mag worden . Het zou daarom in het belang van de goede afhandeling van de klacht noodzakelijk zijn om de gegevens over de grijze containers maximaal tien weken in het systeem te bewaren . Hierna kan het automatisch verwijderd worden. Noodzaak verwerken persoonsgegevens ondergrondse containers volgens het college Het college heeft eveneens onderzoek gedaan naar de praktische invulling van het afvalbeleid met betrekking tot de ondergrondse containers die door een token geopend kunnen worden. In de eerste plaats is er een strikt beleid dat elke woning die in aanmerking komt voor een token niet meer dan één hiervan ontvangt . Daarbij is bepaald dat aan de hand van de token maximaal vijf keer per dag een specifieke ondergrondse container kan worden geopend om afval te storten. Hiervoor is het noodzakelijk om de stortgegevens die aan een tag gekoppeld zijn in ieder geval 24 uur te bewaren.

******** Gemeente Voorschoten

Daarnaast kan er ook met betrekking tot de ondergrondse containers een klacht door een inwoner worden ingediend . Het komt namelijk wel eens voor dat een ondergrondse container en/of de token waarmee deze kan worden geopend niet naar behoren functioneren . Dus ook hier is aan te raden om de gegevens met betrekking tot wie, wanneer en welk type afval aanbiedt te bewaren. De locatie waar de storting heeft plaatsgevonden hoeft echter niet bewaard worden, omdat de locatie altijd overeenkomt met de locatie van de ondergrondse container waarmee de token gekoppeld is. Het is met andere woorden al duidelijk op welke locatie de storting heeft plaatsgevonden, waardoor de verwerking van de locatiegegevens van de token zelf een overbodige verwerking zijn . Informatieverstrekking De AP beargumenteert in paragraaf 3.5.2 en 3.5.3 van het onderzoeksrapport dat het college op geen enkel moment in de communicatie met de inwoners over de vervanging van de grijze en ondergrondse containers aan zijn informatieplicht uit de AVG heeft voldaan . Het college zou namelijk niet hebben uitgelegd welke persoonsgegevens voor welk doel en onder welke verwerkingsgrondslag gebruikt zouden worden. Het college is het ermee eens dat i.c. bij de informatievoorziening aan de inwoners van de gemeente Voorschoten niet aan alle eisen is voldaan zoals de AVG voorschrijft.

Desalniettemin dient te worden opgemerkt dat de intentie van het college om zijn inwoners goed in te lichten over de wijzigingen ten aanzien van het afvalbeleid er weldegelijk was. Het college heeft namelijk getracht om in de brieven van 5 en 22 maart 2019 uit te leggen met welk doel de beide containers vervangen werden. Zometwordt er in de brief van 22 maart 2019 uitgelegd dat de containers van chips worden voorzien als doel het beheren van de containers zodat kan worden aangesloten bij de doelstelling van meer afvalscheiding zoals omschreven in het afvalbeleidsplan. Vervolgens wordt uitgelegd dat de chips worden gekoppeld aan het woonadres van de inwoners, waarna zelfs de specifieke methode wordt uitgelegd hoe de chip wordt gebruikt om tot een beter beheer van het inzamelen van afval te komen . Er wordt bijvoorbeeld uitgelegd dat het inzamelvoertuig de chip scant en vervolgens in het systeem opslaat dat de grijze container is geledigd . Volgens het college wordt hiermee in ieder geval gedeeltelijk aan de inwoners uitgelegd met welk doel welke persoonsgegevens verwerkt worden bij het ledigen van de grijze containers. Daartegenover concludeert het college dat hij ten aanzien van de informatievoorziening over de bovengrondse containers tekort is geschoten.

De brief van 30 november 2018 was niet afdoende om in de inwoners een goed beeld te geven van de verwerking van persoonsgegevens die noodzakelijk zijn voor de uitvoering van het afvalbeleid. Conclusie Alles overziend oordeelt het college dat de AP in paragraaf 3.4.3 en 3.4.4 van het verwerken van onderzoeksrapport op juiste gronden tot de conclusie komt dat het kortstondig de genoemde persoonsgegevens voor zowel de grijze als ondergrondse containers noodzakelijk is, maar het hierna langer bewaren van deze persoonsgegevens dat niet is . De enige kanttekening die het college hierbij zet is de situatie waarin de grijze containers als vermist worden opgegeven en in het belang hiervan het noodzakelijk is om een aantal gegevens maximaal vier weken te bewaren waarna het verwijderd kan worden . Ook is het volgens het college noodzakelijk om gegevens die gekoppeld worden aan de maximaal tokens voor 24 het uur openen bewaardvan de ondergrondse containers voor de uitvoering van het afvalbeleid dienen te worden . Ook geldt voor zowel het beleid ten aanzien van de grijze als de ondergrondse containers dat het noodzakelijk is om een aantal gegevens maximaal tien weken te bewaren in het kader van een mogelijke klachtenafhandelingsprocedure.

00000000 Gemeente Voorschoten

college van oordeel dat hij i.c. gedeeltelijk tekort is geschoten in de informatievoorziening naar zijn inwoners toe. Reactie op het opleggen van een herstelmaatrel en/of bestuurlijke boete Het college is van mening dat hij de AVG heeft overtreden met tot de uitvoering van het Afvalbeleid . Specifiek hebben de overtredingen betrekking opbetrekking het feit dat bepaalde gegevens die gekoppeld zijn aan een woonadres langer worden bewaard dan noodzakelijk is voor de uitvoering van een op zichzelf legitiem beleid . Ook heeft het college tekortgeschoten met betrekking tot zijn informatieplicht. Toch is het college van oordeel dat het opleggen van een maatregel en/of bestuurlijke boete in het onderhavige geval niet noodzakelijk zal zijn . In de eerste plaats heeft de overtreding betrekking op persoonsgegevens met een tamelijk laag risicogehalte. Het gaat immers om adresgegevens van inwoners die alleen door verrijking met gegevens uit de Basisregistratie Personen te herleiden zijn naar een specifiek persoon . Hierdoor kan het worden aangemerkt als indirect identificeerbare persoonsgegevens . Daar komt bij dat zowel de chip als de token enkel een nummer bevat en verder geen persoonsgegevens. Deze chip kan vervolgens alleen door het scannen van een laser met het systeem van de afvaldienst worden gelezen en gekoppeld aan een adres.

Bovendien hebben slechts twee werknemers van de gemeente Voorschoten toegang tot deze informatie en zij zien dit alleen in wanneer dat nodig is voor de uitvoering van het afvalbeleid . Een ander punt dat benoemd moet worden is dat het kortstondig verwerken van de persoonsgegevens voor zowel de grijze als de ondergrondse containers noodzakelijk en in overeenstemming met het afvalbeleid van de gemeente Voorschoten is. De fout die echter gemaakt wordt door het college is dat hierna de genoemde persoonsgegevens langer dan noodzakelijk bewaard blijven voor de uitvoering van het afvalbeleid . Hieruit concludeert het college dat in de basis de verwerking van de genoemde persoonsgegevens door gebruik te maken van de chips en de tokens een geschikt middel zijn om de gewenste doelen te bereiken . Het college zal overigens uit eigen beweging ervoor zorgen dat de genoemde verwerking van persoonsgegevens zoals is uitgelegd in paragraaf 3.4.3 en 3.4.4 worden gestaakt voor zover dit niet noodzakelijk is voor de uitvoering van het valbeleid . Daarbij zal eveneens de geschiedenis van deze verwerking van persoonsgegevens worden verwijderd . Zoals het college hiervoor heeft aangegeven ziet hij wel een noodzaak om in het vervolg de genoemde gegevens na het scannen van de chip en de token maximaal tien weken te bewaren .

Mocht de AP hier toch een ander oordeel over hebben hoort het college dit graag. Het college heeft al contact gehad met de leverancier van deze software en zij hebben verklaard dat het aanpassen van de bewaarmethodiek van de persoonsgegevens in het systeem maximaal vier in beslag gaan nemen . Hier moet dus rekening mee worden gehouden, maar dat neemtweken niet weg dat hetzal college het doel heeft om deze verwerking van persoonsgegevens zo snel mogelijk aan te passen zodat niet meer in strijd met art . 5 eerste lid , onder a en art. 6 eerste lid , onder e AVG wordt gehandeld . Eveneens zal het college zijn inwoners op korte termijn opnieuw inlichten op de wijze zoals de AP in paragraaf 2.5.1 en 2.5.2 van het onderzoeksrapport omschrijft . Hiermee beoogt het college ook op dit punt te kunnen voldoen aan de eisen die de AVG stelt aan de informatieplicht in5 eerste art. 14lid,eerste onderlid,a onder AVG. c en d AVG en aan het transparantiebeginsel zoals is benoemd in art. Tot merkt het boete collegeaannoghetop dat indien de AP het toch noodzakelijk acht om een maatregel en/ofslotbestuurlijke college op te leggen , dit te beperken tot het opleggen van een Gemeente Voorschoten Padma's van stbus |393, AJ Voorschoten | T 14071 | E gemeente@voorschoten.nl | www.voorschoten.nl BTW NL 00179762801 KvK2250 27381083 | IBAN NL43 BNGH 0285 0796 70 | BIC

00000000 Gemeente Voorschoten

last onder dwangsom . Dit heeft de AP namelijk ook opgelegd bij het college van de gemeente Arnhem in zijn besluit op d.d. 1 augustus 2017. Deze casus is in grote lijnen vergelijkbaar met het onderhavige geval . Ook in die zaak oordeelde de AP dat er te lang persoonsgegevens werden verwerkt en bewaard dan noodzakelijk was voor de uitvoering van het gevoerde afvalbeleid van het college van de gemeente Arnhem . Dit had eveneens mede te maken met het feit dat er geen gebruik werd gemaakt van Diftar. De AP vond het in dit geval uiteindelijk op te leggen . Dit betekende dat bepaalde evenredig om een last onderééndwangsom herstelmaatregelen binnen maand uitgevoerd moesten worden . Wanneer dit niet binnen de gestelde termijn werd gerealiseerd verbeurde het college van de gemeente van Arnhem een dwangsom van 10.000,- euro voor iedere twee weken dat de last niet geheel was uitgevoerd, tot een maximum van 50.000,- euro. Met vriendelijke groet, het college van burgemeester en wethouders,

A.R. de Graaf, gemeentesecretaris

drs. N. Stemerdink, burgemeester

AUTORITEIT PERSOONSGEGEVENS

Vertrouwelijk/Aangetekend GemeenteVoorschoten T.a.v. hetCollege van B&W Postbus393 2250 AJ VOORSCHOTEN

Datum 13 maart 2023

Autoriteit Persoonsgegevens Postbus 93374, 2509 AJ Den Haag Hoge Nieuwstraat 8, 2514 EL Den Haag T 070 8888 500 F 070 8888 501 autoriteitpersoonsgegevens.nl

Onskenmerk 22023-00037 Contactpersoon

Uwbriefvan Uw kenmerk

070-8888 500 Voornementothandhaving en gelegenheid tot indienenzienswijze Geachtcollege, DeafdelingEerstelijns Onderzoekvan de AutoriteitPersoonsgegevens (hierna: AP) heeft onderzoek gedaannaarde nalevingvan de artikelen 5, 6 en 14 van de Algemene verordening gegevensbescherming (hierna:AVG) doorhet college van burgemeester en wethouders van de gemeente Voorschoten (hierna: hetcollege) . De bevindingen en conclusies van dat onderzoek zijn opgetekend in een rapport.In hetrapportwordtdoorgenoemde afdeling een overtreding geconstateerd van voormelde bepalingen, omdathetcollege - samengevat weergegeven in het kader van de afvalinzameling in de gemeente zogenoemde stortgegevens van inwoners verwerkt terwijl dat niet noodzakelijk is voor de goede vervulling van haarpublieke taak. Daardoorbeschikt het college niet over een grondslagvoor de verwerkingvan deze persoonsgegevens. Daarnaast heeft het college de inwoners van de gemeente nietjuist geïnformeerd over welkepersoonsgegevens in dit verband worden verwerkt, noch overdoel en grondslagvan die verwerking. Hierdoorheefthet college het transparantiebeginsel geschonden. Het rapportende onderliggende documentatie zijn door de afdeling Eerstelijns Onderzoek overgedragen aande afdelingHandhaven. Bijgaand treft u zowel het rapport als de onderliggende documentatie aan.

De APis voornemens om, gelet op de inhet rapportgeconstateerde overtredingen, gebruikte makenvan dehaartoekomende bevoegdheid tot het opleggen van een herstelmaatregel (last onder dwangsom). Het ligtin de rede dat die maatregel ertoe strekt om de overtreding te beëindigen door de verwerkingvan stortgegevens te staken en gestaakt te houden, de reeds opgeslagen gegevens te vernietigen ende inwoners opjuiste wijze te informeren. Bijlage(n) (i) Onderzoeksrapport met bijlagen; (ii) Dossier.

AUTORITEIT PERSOONSGEGEVENS Datum 13 maart2023

Ons kenmerk z2023-00037

Daarnaast overweegt de AP om een bestraffende maatregel te gebruiken. U dienter rekening mee te houdendat dit kan resulteren in het opleggen van een bestuurlijke boete. In hetgeval dat de AP overgaat tot de opleggingvan een boete, wordt de hoogte van de boete bepaald aan de hand van de Boetebeleidsregels.¹ Deze kunt u vinden op de website van de AP. Volgens de Boetebeleidsregels hanteert deAP voordegeconstateerde overtreding een basisboete. De basisboete kanworden verhoogd ofverlaagd afhankelijkvande mate waarin de factoren die zijn genoemd in artikel 7 van de Boetebeleidsregels daartoe aanleidinggeven. Voordatde AP hieroverbeslist, stelt de AP u in de gelegenheid omvóór 3 april 2023 eenzienswijzete geven opzowelde inhoud van het rapport als de mogelijke oplegging van een herstelmaatregelen/of bestuurlijkeboete. Ditbetreft een zienswijze als bedoeld in artikel 4:8 gelezen in samenhang met artikel 5:53, derde lid, van de Algemene wet bestuursrecht. De AP wijst u op de mogelijkheid omzich hierbijte laten bijstaan ofvertegenwoordigen door een advocaat ofgemachtigde. Hetgeven van een schriftelijke zienswijze volstaat. De zienswijze kunt u sturen aan het adres bovenaan deze brief, onder vermeldingvan het eveneens daarvermelde kenmerk. U kunt uw zienswijze en eventuele bijlagen ookdigitaalaanleveren via de Bestandenpostbus (www.bestandenpostbus.nl).

Voor een toelichtingop hetgebruikvan de Bestandenpostbus en voor het verkrijgenvan het benodigde wachtwoord,kunt u contactopnemen met de bovengenoemde contactpersoon. Als uuwzienswijze mondelingwenst te geven, verneemt de AP dat graag uiterlijk een week na dagtekening van deze brief. Indien u vragen heeft over deze brief, verzoek ik u contact op te nemen met bovengenoemde contactpersoon. Ikvertrouw er op u hiermee voldoende te hebben geïnformeerd. Hoogachtend,

Afdelingshoofd Handhaven

deAutoriteit Persoonsgegevens van 19 februari2019 metbetrekking tot het bepalen van de hoogte van bestuurlijke ¹Beleidsregelsvan (Stcrt.2019,14586). boetes

AUTORITEIT PERSOONSGEGEVENS

Onderzoeksrapport Gemeente Voorschoten Onrechtmatige verwerking van persoonsgegevens in het kader van het afvalbeleid

Definitieve versie | december 2022 z2019-05662 OverdeAutoriteit Persoonsgegevens ledereen heeft rechtop een zorgvuldigeomgang metzijn persoonsgegevens. DeAutoriteit Persoonsgegevens houdttoezichtop de nalevingvandewettelijke regels voorbeschermingvan persoonsgegevens en adviseert overnieuwe regelgeving

Samenvatting Degemeente Voorschoten streeft naar een vermindering van de hoeveelheid restafval. De uitvoeringvan datplan omvat uiteenlopende maatregelen en acties, waarbij de doelstelling is om meerafval te scheiden, zodatgrondstoffen hergebruikt kunnen worden. Door de restafvalvoorzieningen in omvang te reguleren worden de inwoners, naast voorlichting en communicatie, gestimuleerd om afval te scheiden. Daarnaast gebruiktde rijksoverheid een prijsprikkel door een hogere belasting op hetrestafval te heffen. Degemeente Voorschoten heeft, vanuit de doelbenadering van meer scheiden van afval in de gemeente Voorschoten, een aantal maatregelen ingevoerd die zien op de oude grijze containers en op de bovengrondsecontainers. Onder andere zijn de oude grijze containers voor de bewoners van een eengezinshuis ofgrondgebonden woning (hierna: 'laagbouw') vervangen door nieuwe grijze containers met een chip. Het chipnummer is gekoppeld aan een woonadres binnen gemeente Voorschoten.De bovengrondse containers voor de bewoners van de appartementen (hierna: 'hoogbouw') zijn vervangen doorondergrondse containers die alleen kunnenworden geopend met een token. De token is gekoppeld aaneenwoonadres in de gemeente Voorschoten. Met de chip en de token worden persoonsgegevens verwerkt.

Uitonderzoekvan de AP is gebleken dat het college van B&W van de gemeente Voorschoten in strijd handelde met artikel 6, eerste lid, van de AVG omdat niet alle persoonsgegevens die verwerkt worden aan de hand vande chip in de grijze containers en de tokenvoor de ondergrondse containers, noodzakelijkzijn inhetkadervandegenoemde doeleinden. Binnen de gemeente Voorschoten wordt geen diftar-stelsel gehanteerd. Een diftar-stelsel is een stelsel waarin per huishouden geregistreerd wordt hoe vaak, hoeveel enwat voorsoort afval wordt aangeboden, en waarbij de hoogte van de afvalstoffenheffingvooreen huishouden afhankelijk is van de hoeveelheid restafval en ander slecht herbruikbaar afval datdoor dat huishoudenwordt aangeboden. Zonder een dergelijk stelsel, is het niet noodzakelijkte registreren en te bewaren welkhuishouden wanneer, hoeveel en welk soort afval weggooit. Verderis geblekendat de gemeente Voorschoten niet heeft voldaan aan de informatieverstrekkingvan artikel14, eerste lid, van deAVG door in de brief aan de hoogbouw niet het doel en de verwerkingsgrondslag voorhet verwerken van de persoonsgegevens te vermelden en door in de briefaan delaagbouw niethet doel en de verwerkingsgrondslagvoorhet verwerken van persoonsgegevenste vermelden.

Inhoudsopgave 2 Samenvatting 1. Inleiding 4 1.1 Aanleidingonderzoek 4 1.2 Scopeonderzoek 4 2. Feitelijke bevindingen 5 2.1 Algemene beschrijvingafvalbeleid gemeenteVoorschoten 5 2.2 Privacyverklaringgemeente Voorschoten 5 2.3 Grijze containers metchiplaagbouw 6 2.4 Ondergrondsecontainers met token hoogbouw 7 2.5 InformereninwonersVoorschoten over nieuwe containers laagbouw /hoogbouw 7 2.5.1 Laagbouw 7 2.5.2 Hoogbouw 8 3. Beoordeling 8 3.1 Persoonsgegevens 8 3.1.1 Juridisch kader 8 3.1.2 Beoordelinggrijzecontainers met chip laagbouw 9 3.1.3 Beoordelingondergrondse containers met token hoogbouw 9 3.2 Verwerking 10 3.2.1 Juridisch kader 10 3.2.2 Beoordeling grijze container metchip laagbouw 10 3.2.3 Beoordelingondergrondse containers mettoken hoogbouw 10 3.3 Verwerkingsverantwoordelijke 11 3.3.1 Juridisch kader 11 3.3.2 Beoordelingalgemeen 12 3.3.3 Beoordelinggrijze containers met chip laagbouw en ondergrondse containers met token hoogbouw 12 3.4 Rechtmatigheid verwerkingpersoonsgegevensafval 13 3.4.1 Juridisch kader 13 3.4.2 Beoordelingtaakvan algemeen belang 14 3.4.3 Beoordelingnoodzakelijkheid verwerken persoonsgegevens grijze containersmetchip laagbouw 15 3.4.4 Beoordelingnoodzakelijkheid verwerken persoonsgegevens ondergrondse containers mettoken hoogbouw 16 3.5 Informatieverstrekking 17 3.5.1 Juridisch kader 17 3.5.2 Beoordelinglaagbouw 17 3.5.3 Beoordeling hoogbouw 17 4.

Conclusie 18

1. Inleiding 1.1 Aanleiding onderzoek Op 9 maart2019 ontving de Autoriteit Persoonsgegevens (hierna: 'AP') eenklachtvan (hierna: 'klager), met daarin tevens het verzoekom een corrigerende maatregel op te leggen aan (het college van B&W van) de gemeente Voorschoten (hierna: 'het college') . Klager diende de klacht innamens zichzelfen later in het proces ook namens een andere inwonervan gemeente Voorschoten. Klagerverstrekte hiervoor een machtiging op 18 oktober 2020. Op diverse momenten heeft klager de klachtaangevuld.³ Klagerlegdeuitdat het college onrechtmatig persoonsgegevens verwerkt in het kadervan de uitvoering vanhet nieuwe afvalinzamelingsbeleid, dat sinds eind 2018 in werking is getreden. Bovendienzouhet college de inwoners van Voorschoten niet volledig hebbengeïnformeerd over de verwerkingvan persoonsgegevens in het kader van het nieuwe afvalinzamelingsbeleid. Bij het afvalinzamelingsbeleid dient volgens klager onderscheid te worden gemaakt tussen eengezinshuizen ofgrondgebonden woningen (hierna: 'laagbouw') en appartementen (hierna: hoogbouw') . Klager is zelfwoonachtig in de laagbouw. De andere betrokkene, namenswie klager eenklacht heeft ingediend, is woonachtig in dehoogbouw. Inde laagbouw worden volgens klager aan dehand van de (chip op de) grijze container en de Avalex-pas persoonsgegevensverwerkt.

In de hoogbouw wordenvolgensklagerpersoonsgegevens verwerkt aan dehand van de (token voorde) nieuwe ondergrondse containers voor restafval en de GFT containers en deAvalex-pas. 1.2 Scope onderzoek Beperkingscope Ten aanzien van hetgedeelte van de klacht, dat ziet op de verwerkingvan persoonsgegevens met betrekkingtotde Avalex-pas (zowel in de laag- als in de hoogbouw), zal een afzonderlijk besluitworden genomen. Derhalve zal dit onderdeel van de klacht buiten de scope vandit onderzoeksrapportworden gelaten. Onderzoeksvragen Hetdoel van het onderzoek, binnen de scope van dit onderzoeksrapport, is om het volgende vastte stellen: 1. Verwerkthetcollege persoonsgegevens aan de hand van de grijze containers (laagbouw) en de ondergrondse containers (hoogbouw)? 2. Zoja, heeft het college een grondslag in de zin van artikel 6 van de AVG voor deze verwerking(en)? 3. Zoja,heeft het college voldaan aan de regels neergelegd in artikel 14, eerste lid, onder c van de AVG, bij hetinformeren van de inwoners van de gemeente Voorschoten over deverwerkingvan persoonsgegevens aan de handvan de grijze containers en ondergrondse containers? ¹ Ziedossierstuk nr.1 2 Ziedossierstuk nr. 10 3Ziedoss stukken nr.2,4,5,6,7,8en9

2. Feitelijke bevindingen Dithoofdstukbeschrijftinformatie. de relevante feiten en omstandigheden op basis van de door de AP verkregen en openbaar beschikbare 2.1 Algemene beschrijving afvalbeleid gemeente Voorschoten HetAfvalbeleidsplan 2016-2020is vastgesteld door de gemeenteraad van Voorschoten (hierna: 'de gemeenteraad') bij besluitvan 29 maart 2016.4 Bij hetzelfde besluit heeft de gemeenteraad aan het college opdrachtgegeven tot uitvoering van het Afvalbeleidsplan 2016-2020. Voor het omslaan van de kosten van hetinzamelen enverwerken van afvalstoffen worden zoveel mogelijk objectieve maatstaven,zoals gezinssamenstelling en soortwoning, gehanteerd. De gemeenteraad heeft geen Diftar opgenomen in het Afvalbeleidsplan 2016-2020. In de gemeente Voorschotenwordtgestreefd naar een verminderingvande hoeveelheid restafval. Bij de zogenaamde hoogbouw bestond dit mede uit het tegengaan van afvaltoerisme. Hetcollege heeft in een vergadering van 12 maart 2019 onder andere het volgendebesloten. "Deuitvoeringvandatplan omvat uiteenlopendemaatregelenenacties,waarbijde doelstellingis ommeerafvalte scheiden,zodatgrondstoffen hergebruiktkunnenworden. Doorde restafvalvoorzieningen in omvang teregulerenworden deinwoners,naastvoorlichting encommunicatie, gestimuleerd omafvaltescheiden.

Daarnaastgebruiktderijksoverheid eenprijsprikkeldooreenhogerebelastingop het restafvalteheffen."7 Vanuitde doelbenaderingvan het scheiden van afval kreeg daarom de zogenaamde laagbouw (met minder danvijfpersonen) de beschikking over slechts één grijze container met ingebouwde chip. De bovengrondse containers voor de hoogbouw zijn vervangen door ondergrondse containers voor restafval en GFT³,die alleen kunnen worden geopend met een token. 2.2 Privacyverklaring gemeente Voorschoten Op de websitevan de gemeente Voorschoten is een privacyverklaring voorhanden, waarin zij onder meer hetvolgende aangeeft.⁹ "DegemeenteVoorschotenverzameltpersoonsgegevensvan haar inwonersvoordeuitvoeringvanhaar wettelijkeenpublieketaken. Om die taken enverplichtingen uit te voeren is hetnoodzakelijkom persoonsgegevensteverzamelenen tegebruiken.Degemeente Voorschoten gebruiktverschillendecategorieën persoonsgegevenszoalsnaam, geboortedatum, adres en/oflocatie, maar ookhetBurgerservicenummeren/of bijzonderepersoonsgegevensals datnoodzakelijk is. Wijverzamelen engebruikendeze persoonsgegevens voor specifiekedoeleinden, die afgestemdzijnop onzetaken enverplichtingen." "DegemeenteVoorschoten verstrektuwgegevens aan derden als datnoodzakelijkis vooruw verzoek, melding of aanvraag.En alswijmoeten voldoen aan een wettelijke verplichting.Zodrawijuwgegevensdelenmetderden 4Ziedossierstuk nr.

18 en 19 5Ziedossierstuk18, p.30 6 Diftarstaatvoorgedifferentieerde tarieven en iseen systeem waarbijperadres naast een vast bedrag,ook een variabeldeelbetaald wordt. Datvariabele deelwordt bepaald doorhoe vaak restafval aangeboden wordt (perkeer)dooreen huishouden.Dus hoeminder restafvalaangeboden scheiden vanafval. wordt dooreen huishouden,hoe minder per huishouden hoeft te worden betaald. Diftarstimuleert hiermee het 7Zie dossierstuk nr.20,p.1 *⁹Ziedossierstuk GFTstaatvoorgroente-,fruitentuinafval nr.27

waaruwnadrukkelijke toestemmingvoorvereistis, dan vragen wijdezetoestemmingaanu. Metorganisatiesdie uwgegevensverwerken in onze opdrachtsluiten wij eenverwerkersovereenkomst om tezorgen voor eenzelfde niveauvanbeveiligingen vertrouwelijkheidvanuw gegevens.Degemeente Voorschotenblijftverantwoordelijk voordezeverwerkingen." (..) "Debestuursorganenvan de gemeente Voorschoten zijn elkverwerkingsverantwoordelijkein dezin van deAVG voordeverwerkingendie door ofnamens degemeenteVoorschoten wordenuitgevoerd. Debestuursorganen van degemeentezijndeburgemeester, het collegevanburgemeester enwethouders(college vanB&W) ende gemeenteraad." 2.3 Grijze containers met chip laagbouw De grijze containers voor de laagbouw werden in maart2019 vervangen door nieuwegrijze containers met een chip met een nummer. Vanuit de doelbenaderingvan het verminderen van restafvalen de bevorderingvanhet scheiden van afval, kreeg elk huishouden (elk woonadres) de beschikkingover slechts één container. Het chipnummervan de grijze container is gekoppeld aan hetwoonadres in de gemeente Voorschoten. Het doelvan de chip met nummer is om het areaal aan grijze containers te kunnen beheren en hetregistreren van de grijze containers als eigendom vandegemeente. Hetinzamelenvan het huishoudelijk restafval dat via de gechipte grijze containers wordt aangeboden, wordtgedaan door de inzameldienst van de gemeente.

Het inzamelvoertuigis voorzien van een lezerdie het nummerin dechip kan herkennen. Het inzamelvoertuig registreert de chip. Als erherkenningis,wordt degrijze containergeleegd doorhet inzamelvoertuig. Nahetledigen van de grijze container is er een blokkadevan deze chip voor een bepaalde tijd. Uit deverstrekte query van opgeslagengegevens bleekdatvoorts bij het legenvan de grijzecontainer onderanderedevolgende gegevens worden opgeslagen: een chipnummer; ● adresgegevens; datum en tijdvan het legen van de grijze container; ● locatiegegevens; ● type afval." Dezegegevens worden opgeslagen in de computer bij de inzameldienst van gemeente Voorschoten. In deze computerwordt derhalve de geschiedenis van de ledigingen van de container op adres bewaard.¹2 Een tweetalmedewerkers van de gemeente Voorschoten heeft toegang totditsysteem. Dit is hetzelfde systeem waarin hetgrijze containerbestand, gekoppeld aan adressen, beheerd wordt. Pas als deze container vervangenwordt, worden voornoemde gegevens verwijderd.¹3 Verderis aande buitenkantvan de grijze container een sticker met adresgegevens ( hierna: 'geadresseerde sticker') metbarcode geplakt. Deze heeft bij het ledigen van de container echter geen functie.De geadresseerde sticker met barcode is slechts gebruikt bij het uitzetten van degrijze containers, zodat duidelijkwas welke container bij welkadreshoorde.

Hierna konden degebruikers deze sticker 10Ziedossierstuk nr.14,p. 1 1 Ziedossierstuk nr.21 12Ziedossierstuk20,p.2 13 Ziedossierstuk nr.14,p.4

verwijderen.¹4 De AP merkt op dat dit niet door het college aan de inwoners vanVoorschoten gecommuniceerdis. 2.4 Ondergrondse containers met token hoogbouw Eind 2018zijn de bovengrondse containers vervangen door ondergrondse containers met token met een nummer,voor restafval en GFT voor dehoogbouw.¹5 Deondergrondsecontainer kan alleen nog worden geopend met een token. Deze token is gekoppeldaan hetadres van de gebruiker. Geregistreerd wordt, welke tokenwordt gebruikt voorhet openen vande container. De controle vindt plaats op basis van het adres in combinatiemet de locatie van de ondergrondsecontainer.¹6 De oude bovengrondse containers waren vooreen ieder toegankelijk. Met grote regelmaat kwam hetvoor dater afvalvanuit de omgevinggedumpt werd. Met de nieuwe ondergrondse containers voorzien van toegangscontrole is het nietmeer mogelijk om ander afval danvan de toegewezen adressen in de containerstestoppen. Dit draagt bij aan het verminderen van restafval. Het college gafaan dathet verwerkenvan deze persoonsgegevens aldus in hettekenstaatvan de uitvoeringvanhaar wettelijke taak, het inzamelen van huishoudelijk afval.

Bij een eventuele verhuizingvan de bewoners, blijft de token bijde woning.¹7 Uitdeverstrekte queryvan opgeslagen gegevens blijkt dat bij het aanbieden van afval bij de ondergrondse containers onder andere de volgende gegevens worden opgeslagen: ● tokennummer; • adresgegevens; · datum en tijd van storting; ● locatiegegevens; • typeafval.18 Het collegeheeftaangegeven dat deze gegevens wordengeregistreerd en bewaard in een softwarepakket vandeleverancier. Dit is een 'standalone pakket' dat op een computervan de gemeente draait. Indeze computerwordtderhalve de geschiedenis van alle stortingen in de ondergrondse containers, op adres, bewaard.

Het college geeft aan dat alleen 'de gemeente' toegang heeft tot deze gegevens¹9 en dat de bewaartermijnvanuit beheersmatig oogpuntop 5 jaren zal worden bepaald.20 2.5 Informeren inwoners Voorschoten over nieuwe containers laagbouw /hoogbouw 2.5.1 Laagbouw Perbriefvan 5 maart 2019 werden de bewoners van de laagbouw geïnformeerd over het afleveren van de nieuwe grijze container en het innemen van de oude grijze container."¹ Per briefvan 22 maart 2019 ontvingen debewoners van de laagbouw aanvullende informatie over de reden dat de oude containers werdenvervangen door nieuwe grijze containers met een chip en een geadresseerde sticker, overhet 14Zie dossierstuknr.20,p.3 15Zie dossierstuk nr.22,p.2 16Zie dossierstuknr.22,p.1 17 dossierstuk 22,p.2 18Zie dossierstuk nr. 23t/m 26 19Zie dossierstuk nr.22, p.2enzie ook dossierstuk 25 20Zie dossierstuk nr.22,p.2 21 dossierstuk nr.1,p.5

geautomatiseerde containerbeheersysteem en de chip.2² In deze briefwerd onder andere het volgende vermeld: "Containerbeheer Degemeentewildeminicontainers op een duurzame enprofessionelemanierbeherenen onderhouden.Daarom gaanwij overopeengeautomatiseerd containerbeheersysteem. Dithoudt in datwe een elektronische administratieenregistratie gaanvoeren.Inonssysteem worden allegrijze containers voorrestafvalgeregistreerd. Om deautomatisering mogelijkte maken,heeftofkrijgt ubinnenkort een nieuwegrijze minicontainermet een chip eneen adressticker. Dechip en uprivacy Doordenieuwe container te voorzien van een chip kandegemeente de containersbeterbeheren. De chip is ietsgroterdan een euromuntenisaan deonderkantvan de randvan de containergeplaatst.Iedere chipheeft eenunieknummer.Dankzij dituniekenummerkoppelen wijde container alleen aanuw adres en zeker niet aanuwnaam. In de chipzijngeen gegevens opgeslagen. Hoegaat hetinzijnwerk? Wanneerdevuilniswagen een containerleegt, wordt hetuniekenummer gelezen'. Daardoorkangeregistreerdwordendat containerisgeleegden kande container in dieweeknietnog eenkeergeleegdworden. Ookkunnen wijdankzijdechipsin degatenhoudenhoeveelcontainers erperhuishouden in totaalin Voorschoten in omloopzijn. "(..) In dezebriefwerd niet vermeld welke persoonsgegevens door middel van de chip worden verwerkt,noch wat hetdoelofde verwerkingsgrondslagis.

2.5.2 Hoogbouw Perbriefvan30 november 2018 werden de bewoners van de hoogbouw geïnformeerd over wanneerde bovengrondse containers werden vervangen, hoe dit inzijn werk ging en informatie over het GFT-afval.²3 In debriefwerd onder andere het volgende vermeld: "Hoewerkthet? Bijdezebriefzituwpersoonlijke tag met nummer. Hiermee krijgtu toegang totzowelde ondergrondse containervoor restafvalRECHL1alsmede de GFTcontainer." (.). "Uwpersoonlijketag Detagstaatop adresgeregistreerden werkt alleen op bovengenoemde container.Als ugaat verhuizen moetudetag inde woningachterlaten, want de taghoort bij hetadres."(..) In de briefwerd niet vermeld welke persoonsgegevens door middel van de token worden verwerkt, noch wathetdoelofdeverwerkingsgrondslagis. 3. Beoordeling In dithoofdstukworden de feitelijke bevindingen die zijn beschreven in het vorige hoofdstukbeoordeeld aandehandvanhet geldende juridisch kader. 3.1 Persoonsgegevens 3.1.1 Juridisch kader Artikel4, aanhefen onder 1, van de AVG definieert een persoonsgegevens als: 22Ziedossierstuk p.18 23 dossierstuk nr.nr.4,1,p.11

"alle informatie over een geïdentificeerde ofidentificeerbare natuurlijke persoon ( de betrokkene"); als identificeerbaar wordtbeschouwdeennatuurlijkepersoon die direct ofindirectkan wordengeïdentificeerd, met name aan de handvaneen identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een ofmeer elementen diekenmerkend zijn voor de fysieke,fysiologische, genetische, psychische, economische, culturele ofsociale identiteitvan dienatuurlijkepersoon." 3.1.2 Beoordelinggrijze containers met chip laagbouw Zoalsblijktuitparagraaf2.3, is de grijze containervoorzien van een chip met een nummer datgekoppeld is aaneen woonadres in de gemeente Voorschoten. Bij het legen van de grijze containers blijktdat er eerst herkenningplaatsvindt van het chipnummer, waarna lediging plaatsvindt en de chip voor een bepaalde tijdwordtgeblokkeerd. Het chipnummer, de adresgegevens, datum entijdstip van het legen van de grijze container,locatiegegevens en type afval van de inwoners van Voorschoten worden opgeslagenin een computervan degemeente. Deze gegevens blijven vervolgens bewaardzolang de betreffende grijze container in gebruikis . Pas als de container vervangen wordt, worden deze gegevens verwijderd.

Geletop hetvoorgaande, wordt niet alleen het chipnummer geverifieerd bij het aanbiedenvan de grijze container, maar wordt aan de hand van het chipnummer en adres geregistreerd, opgeslagen enbewaard wanneer,hoe vaak enwaar afval wordt aangeboden via de grijze container (zgn. stortgegevens). Deze stortgegevens, bestaande uit de geschiedenis van alle ledigingen gekoppeld aan het adres, blijven bewaard zolangdebetreffende container in gebruik is. De adresgegevens maken inwoners directofindirect identificeerbaaraan de hand van een identificatorzoals de Basisregistratie Personen (hierna: 'BRP')24 waarover de gemeentelijke bestuursorganenvan de gemeente Voorschoten beschikken. Hieruitvolgtdater sprake is van persoonsgegevens als bedoeld in artikel 4, aanhefen onder 1, van de AVG. 3.1.3 Beoordelingondergrondse containers met token hoogbouw Zoalsblijkt uit paragraaf2.4, is de tokenwaarmee de ondergrondse container kan worden geopend, gekoppeldaan het adres van de gebruiker. Bij het aanbieden van de tokenwordt aan de hand vanhet nummervan detoken geverifieerd of(de gebruiker van) de token behoort bij een adres in de gemeente Voorschoten.Vervolgens worden bij elke opening het tokennummer, adresgegevens, datum en tijdstip vande storting,locatiegegevens en type afval in combinatie met de locatie van de ondergrondse container (zgn.

stortgegevens) geregistreerd, opgeslagen en bewaard op een computervan de gemeente. Deze zgn. stortgegevens blijven volgens het college 5 jaarlangbewaard. Geletop hetvoorgaande, wordt niet alleen geverifieerd met welke token - gekoppeldaan adres - de ondergrondse container wordt geopend, maar wordt aan de hand vanhet tokennummer en adres geregistreerd, opgeslagen en bewaard wanneer, hoe vaak, waar en welktype afval wordtaangeboden via deondergrondse container (zgn. stortgegevens). Deze stortgegevens blijven bewaard gedurende een termijn van 5jaar. De adresgegevens maken inwoners direct ofindirect identificeerbaar, aan de handvan eenidentificatorzoals de BRP²5 waarover de gemeentelijke bestuursorganen van gemeente Voorschoten beschikken. Hieruitvolgt dat sprake is van persoonsgegevens als bedoeld in artikel 4, aanhefen onder 1, van de AVG.

24 Artikel1.4, eerste lid Wet basisregistratie personen: Het college van burgemeesteren wethouders is verantwoordelijk voor het bijhouden vande persoonsgegevens in de basisregistratie. 25Zic oetnoot28

3.2 Verwerking 3.2.1 Juridisch kader Artikel4, aanhefen onder 2, van AVG definieert een verwerkingvan persoonsgegevensals: "een bewerkingofeengeheelvanbewerkingen metbetrekking totpersoonsgegevens ofeengeheel vanpersoonsgegevens,al dannietuitgevoerdviageautomatiseerdeprocedés,zoals hetverzamelen, vastleggen, ordenen,structureren,opslaan. bijwerken ofwijzigen,opvragen, raadplegen,gebruiken, verstrekken doormiddelvandoorzending,verspreidenofop anderewijzeterbeschikkingstellen, aligneren ofcombineren, afschermen, wissen ofvernietigenvangegevens." 3.2.2 Beoordelinggrijze container met chip laagbouw In paragraaf3.1.2 is vastgesteld datde gegevens die worden gelezen, gebruikt, geregistreerd, opgeslagen en bewaardbij hetaanbieden en legen van de grijze container, zijn aan te merken als persoonsgegeve Uitparagraaf2.3blijkt datbij het aanbiedenvan de grijze container met chip, het chipnummer wordt gelezenen herkend door de lezer op het inzamelvoertuig, en dat de chip wordtgeregistreerd op het voertuig. Ditis de eerste stap in de verwerkingvan eenpersoonsgegeven die plaatsvindt, namelijk de verwerkingvanhet aan het woonadres gekoppelde chipnummer. Uitparagraaf2.3 blijktvoorts dat bij hetlegen van de grijze container worden opgeslagen en bewaard,aan dehand van chipnummer, adres enlocatie, op welke momenten de grijze container is geledigd en om welk type afvalhetging.

Dit zijn de stortgegevens die verwerkt worden en dus de tweede stap in de verwerking. Dezepersoonsgegevens blijven bewaard in de computerbij de inzameldienstvan de gemeente Voorschoten, zolang de betreffende grijze container in gebruik is . Pas bij vervanging van de grijze container worden deze persoonsgegevens verwijderd. Uithetvoorgaande volgt dat deze persoonsgegevens in ieder geval werden gelezen, gebruikt, geregistreerd, opgeslagenenbewaard. aanhefen onder 2, van deHiermee AVG. was sprakevanverwerkingvan persoonsgegevens in de zin van artikel 4, 3.2.3 Beoordelingondergrondse containers met token hoogbouw Inparagraaf3.1.3 is vastgesteld dat degegevens die worden gebruikt, geregistreerd, opgeslagen en bewaard bij het openen van en aanbieden van afval in de ondergrondse container, zijn aan te merken als persoonsgegevens. Uitparagraaf 2.4blijkt dat bij het aanbieden van de token bij een ondergrondse container, er een controle plaatsvindt op basis van adres in combinatie met delocatie van de ondergrondse container. Dit is de eerste stap in de verwerkingvan een persoonsgegeven die plaatsvindt, namelijk de verwerkingvan de aanhet woonadresgekoppelde tokennummer. Vervolgens wordt geregistreerd, opgeslagen enbewaard, aan de hand van het tokennummer, adres en locatie, op welke momenten gebruik is gemaaktvanwelke ondergrondse container en welke type afval toen is gestort.

Ditzijn de stortgegevens die verwerktworden endusdetweede stap in de verwerking. Deze persoonsgegevens blijven bewaard in een computerbij de gemeente, gedurende eenbewaartermijn van 5jaar. Uithetvoorgaande volgt dat deze persoonsgegevens in iedergeval werden gebruikt, geregistreerd, opgeslagenenbewaard. aanhefen onder 2, van deHiermee AVG. was sprake van verwerkingvan persoonsgegevens in de zin van artikel 4,

3.3 Verwerkingsverantwoordelijke 3.3.1 Juridisch kader Artikel4 aanhefen onder 7 van de AVG definieert verwerkingsverantwoordelijkeals: "eennatuurlijkepersoon ofrechtspersoon, een overheidsinstantie, een dienst ofeen ander orgaan die/dat, alleenofsamen metanderen,hetdoelvanen de middelen voordeverwerking vanpersoonsgegevens vaststelt; wanneerdedoelstellingenvan en de middelenvoor deze verwerking in het Unierecht ofhet lidstatelijke recht worden vastgesteld, kan daarin worden bepaaldwiedeverwerkingsverantwoordelijkeis ofvolgenswelke criteria deze wordt aangewezen." Artikel 6, van de Gemeentewet (hierna:'Gemw'): Inelkegemeenteis eenraad, een college en eenburgemeester. Artikel 160, eerste lid, onder a enb Gemw: Hetcollegeisin iedergevalbevoegd: a. hetdagelijksbestuurvandegemeente te voeren, voorzovernietbij ofkrachtensdewet de raadofdeburgemeester hiermeeisbelast; b. beslissingenvande raadvoortebereiden en uit te voeren, tenzijbij ofkrachtens dewet deburgemeesterhiermeeis helast; Artikel 10.21Wet milieubeheer (hierna: 'Wm') : 1.

Degemeenteraadenburgemeesterenwethouders dragen, aldan nietin samenwerkingmetdegemeenteraaden burgemeesterenwethouders vananderegemeenten, ervoorzorgdattenminste eenmaalperweekdehuishoudelijke afvalstoffenmetuitzonderingvangrovehuishoudelijkeafvalstoffen worden ingezameldbij elkbinnenhaar grondgebiedgelegenperceelwaarzodanige afvalstoffengeregeld kunnen ontstaan. 2. Groente,fruit en tuinafvalwordtdaarbijiniedergevalafzonderlijkingezameld. 3. Degemeenteraadkanbesluiten tot het afzonderlijkinzamelenvan andere bestanddelenvanhuishoudelijke afvalstoffen. Artikel10.23,eerste lid van de Wm: 1. Degemeenteraadsteltin hetbelangvandebeschermingvan hetmilieu een afvalstoffenverordeningvast. Artikel2, eerste lid, van de Afvalstoffenverordening gemeente Voorschoten: 1. Hetcollegewijstdeinzameldienst aan,die belastis met het inzamelenvan huishoudelijke afvalstoffen.26 3.3.2 Beoordelingalgemeen Uitparagraaf3.3.1volgtdat gemeenteVoorschoten een krachtens publiekrecht ingestelde rechtspersoon is. DegemeenteVoorschoten bestaat uit meerdere bestuursorganen, te weten de gemeenteraad, de burgemeesteren het college van B&W.27 Iedervan deze bestuursorganen valt onder het begrip ' overheidsinstantie' zoals bedoeld in artikel4, aanhef en onder7,van de AVG.

Degemeenteraad en burgemeester en wethouders hebben, op grond van artikel 10.21 Wm, de wettelijke verplichtingom ervoorzorgte dragen dat ten minste eenmaalperweekde huishoudelijke afvalstoffen wordeningezameld. Uitparagraaf2.1volgt dat door de gemeenteraad in het Afvalbeleidsplan 2016-2020 is vastgesteld, hoe het afvalbeleideruitmoet zien, wat de doelstellingen van het afvalbeleid zijn (vermindering restafval en betere 2627ZieVastgestelddoorde dossierstuk nr.28gemeenteraad van gemeente Voorschoten op 9 december2010.

afvalscheiding). Tevens blijkt uit deze paragraafdat het plan bij besluitvan 29 september 2016 is vastgestelddoorde gemeenteraad vanVoorschoten en dat de uitvoering ervan, in het kaderwaarvan persoonsgegevenswordenverwerkt, is toebedeeld aan het college. 3.3.3 Beoordelinggrijze containers met chip laagbouw en ondergrondse containers mettoken hoogbouw Uitartikel10.21Wm volgtdat de gemeenteraad enburgemeester en wethouders verantwoordelijkzijn voorhet inzamelen van afval van haar inwoners. Uit artikel 10.23, eerste lid van de Wm en artikel2 vande Afvalstoffenverordening blijkt dat het college de inzameldienst aanwijst, die belast is met hetinzamelen vanhuishoudelijke afvalstoffen. Daarnaast volgtuit paragraaf2.1 dat het college belast is met de uitvoering vanhetAfvalbeleidsplan 2016-2020. De AP is van oordeel dat het college degene is die zowel het doelvan als de middelen voorde verwerking vanpersoonsgegevens heeft vastgesteld, en daarmee verwerkingsverantwoordelijke is. Hierna zetdeAP uiteen opwelkegronden. Hetdoelvandeverwerkingvan persoonsgegevens is het uitvoerenvan haar wettelijke taakvoor afvalinzameling, neergelegd in de Wm, en mede teruitvoering van hetvastgestelde Afvalbeleidsplan 2016 2020. De doelstelling van het afvalbeleid in gemeente Voorschoten is om meer afval te scheiden,zodat grondstoffenhergebruikt kunnen worden.

Het college heeft, vanuit de doelbenadering van het scheiden van afval,een aantal maatregelen ingevoerd om de restafvalvoorzieningen in omvang te reguleren, en om (bij dehoogbouw) afvaltoerisme tegen te gaan. Het college heeft daartoe de grijze containers met chip (laagbouw) en de ondergrondse containers met token (hoogbouw) ingevoerd, en heeft bepaald welke persoonsgegevens van de inwoners van Voorschoten daarmee wordenverwerkt. Dat zijn de middelen om het doelte bereiken. Op basis vanhetvoorgaande concludeert de AP dat het college verwerkingsverantwoordelijke is in de zin van artikel 4, aanhef en onder 7, van de AVG. 3.4 Rechtmatigheid verwerking persoonsgegevens afval 3.4.1 Juridisch kader Artikel 6, eerste lid, onder c en e, van de AVC luidt: 1. Deverwerkingisalleen rechtmatig indien envoorzover aan ten minste een van de onderstaande voorwaardenis voldaan: c) deverwerkingisnoodzakelijk om tevoldoen aan een wettelijkeverplichtingdieopde verwerkingsverantwoordelijkerust; e) deverwerkingisnoodzakelijkvoor devervullingvan een taakvanalgemeenbelang ofvaneen taakin hetkader vandeuitoefeningvanhet openbaargezagdataanverwerkingsverantwoordelijkeisopgedragen; Artikel6,derde lid, van de AVGluidtals volgt: Derechtsgrondvoorde in lid1, punten c) ene), bedoelde verwerkingmoetworden vastgesteldbij:a) Unierecht; ofb) lidstatelijkrechtdat op deverwerkingsverantwoordelijkevan toepassingis.

Hetdoelvande verwerkingwordtindie rechtsgrondvastgesteldofis metbetrekkingtotde in lid1,punte), bedoelde verwerkingnoodzakelijkvoordevervulling vaneentaakvanalgemeenbelang ofvoorde uitoefening vanhet openbaar gezag dataande verwerkingsverantwoordelijke isverleend.(..) Overweging45 AVG: Indiendeverwerkingwordtverricht omdat deverwerkingsverantwoordelijke hiertoe wettelijk is verplicht ofindiende verwerkingnoodzakelijkisvoordevervulling vaneen taakvanalgemeenbelang dan welvooreentaak in hetkadervande uitoefeningvanhetopenbaargezag,dient de verwerking een grondslag te hebben inhet Unierecht ofhet lidstatelijkerecht.

Dezeverordeningschrijftnietvoordatvoorelke afzonderlijkeverwerking specifiekewetgevingvereist is.Erkanworden volstaanmetwetgeving die alsbasisfungeertvoorverscheideneverwerkingen opgrondvan een wettelijkeverplichtingdie opdeverwerkingsverantwoordelijke rust,ofvoor verwerkingdie noodzakelijkis voordevervullingvaneentaakvan algemeenbelangdanwelvoor een taakin hetkadervande uitoefening vanhetopenbaargezag.Hetmoet ookhet Unierechtofhetlidstatelijke echtzijn diehetdoelvande verwerkingbepaalt. Voortszou dat rechteennadere omschrijvingkunnengevenvande algemenevoorwaarden vandezeverordeningwaaraande persoonsgegevensverwerkingmoetvoldoen om rechtmatig tezijn, en specificaties kunnenvaststellen voorhetbepalenvan deverwerkingsverantwoordelijke,hettypeverwerkte persoonsgegevens, de betrokkenen, de entiteitenwaaraande persoonsgegevensmogen wordenvrijgegeven, dedoelbinding,de opslagperiode en andere maatregelen om tezorgenvoor rechtmatigeenbehoorlijke verwerking.

Volgend deel →

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api1.ibabs.eu/publicdownload.aspx?site=Duivenvoorde&id=d6e60fee-60ad-4692-b48f-43aeed8ef189