Het kabinet vindt dat de overheid een voorbeeldfunctie heeft bij de gegevensbescherming van burgers. Daarom verwacht staatssecretaris van Digitalisering Alexandra van Huffelen een concreet plan van gemeenten en de Vereniging van Nederlandse gemeenten (VNG): de naleving van de Algemene verordening gegevensbescherming (Avg).
Naast die eis gaat het kabinet ook in gesprek met de gemeenten en de VNG om te kijken hoe het kan helpen bij het op orde brengen van de privacy-naleving en de informatiehuishouding, schrijft Van Huffelen in een brief aan de Kamer
De staatssecretaris zegt dat gemeenten met veel informatiesystemen werken om hun taken uit te voeren. In de praktijk blijkt het nogal lastig te zijn om in overeenstemming met de Europese privacywetgeving te werken. Maar dat mag een zo naadloos mogelijke compliance met de Avg niet in de weg staan, vindt ze. “Desalniettemin mag de samenleving van de overheid verwachten dat zij de huishouding op orde heeft en dat de overheid zelf voldoet aan de standaarden van het gegevensbeschermingsrecht”, zo schrijft Van Huffelen.
Haar antwoorden op vragen van GroenLinks-Kamerlid Kauthar Bouchallikht kennen een voorgeschiedenis. Uit onderzoek van Bits of Freedom onder de tien grootste gemeenten van Nederland eerder dit jaar bleek dat gemeenten zich onvoldoende aan de AVG houden. Zo is volgens de digitale burgerrechtenorganisatie de basis in veel gemeenten niet op orde, terwijl er wél overal wordt geëxperimenteerd met datagestuurd werken. Vaak hapert de gegevenshuishouding en moeten burgers te lang wachten als zij een inzageverzoek hebben gedaan.
Bovendien is er ook sprake van een capaciteitsprobleem: gemeenten missen gewoonweg slagkracht om de AVG na te kunnen leven. Ook is er volgens Bits of Freedom een probleem met de verwerkingsregisters. Die zijn niet compleet en actueel. Hierdoor zijn gemeenten onvoldoende op de hoogte over welke gegevens ze verwerken, met welk doel, of die verwerking rechtmatig en veilig is en met wie er wordt samengewerkt. Daardoor is het voor gemeenten niet duidelijk in te schatten wat de risico’s zijn voor burgers.
Tegenover Data&Privacyweb lieten privacy-experts daarop weten de kritiek niet per definitie terecht te vinden. Enige mildheid is op zijn plaats. Zo zei Menno Weij, privacy-expert bij accountancykantoor BDO, dat er steeds meer bewustzijn is bij gemeenten dat ze moeten voldoen aan de privacynormen. Tegelijkertijd missen ze nu eenmaal slagkracht en capaciteit, aldus Weij. “Ik geloof dat de intentie van gemeenten goed is. Maar er gaat wel eens iets mis. Je spreekt dan ook over een waanzinnige hoeveelheid gegevens die moeten worden verwerkt.”
Neem het voorbeeld van het verwerkingsregister, waarin de persoonsgegevens zijn opgenomen. Het opstellen van zo’n register helpt organisaties bij het bijhouden van verwerkte gegevens en is onder de AVG in veel gevallen verplicht. Weij noemt het bureaucratisch geharrewar: “Het gaat fout als je gegevens verwerkt zonder goede grondslag. Maar is het nou zo erg als je verwerkingsregister niet helemaal op orde is, omdat je sommige gegevens niet hebt opgenomen, maar je wel die goede grondslag gebruikt. Het kan zijn dat je wel degelijk goed voor je gegevens zorgt. Hoogstens ben je wat slordig.”
Het kabinet is dus wat minder mild voor gemeenten in de brief aan de Tweede Kamer. Daarin doet Van Huffelen nog een aantal andere beleidsplannen uit de doeken. Zo werkt het kabinet aan onder meer voorstellen om de privacy binnen overheidsorganisaties te verstevigen. De rol van de Functionaris Gegevensbescherming wordt opnieuw onderzocht en zijn positie binnen het privacydomein wellicht versterkt. Ten slotte werkt het kabinet aan het optuigen van algoritmeregisters, waarmee openheid van zaken moet worden gegeven over de werking en toepassing van algoritmes.
