Het is geen probleem dat politieke partijen persoonsgegevens van voormalige leden opslaan, vindt het kabinet. Het is zelfs wettelijk verplicht dat partijen hun ledenadministratie tien jaar lang bewaren om te laten zien dat ze een betrouwbare financiële positie hebben. Maar daar zijn wel voorwaarden aan verbonden.
Zo mogen deze potentieel gevoelige persoonsgegevens niet worden gedeeld met personen of partijen buiten de organisatie, schrijft minister van Binnenlandse Zaken en Koninkrijksrelaties Hanke Bruins Slot (VVD) in reactie op vragen van D66-Kamerlid Hind Dekker-Abdulaziz. Ook dienen de data “op gepaste wijze” te worden beschermd.
Over het bewaren van de gegevens schrijft de minister het volgende: “De bewaartermijnen moeten onderbouwd zijn en worden vastgelegd in het verwerkingsregister. Omdat het lidmaatschap van een politieke partij sensitieve informatie is en behoort tot de bijzondere categorieën van persoonsgegevens, hebben politieke partijen ook een bijzondere verantwoordelijkheid om te voldoen aan het hierboven gestelde wettelijk kader.”
Het verwerken van de bijzondere persoonsgegevens is verboden, tenzij er een uitzonderingsgrond van toepassing is. Dat blijkt het geval voor politieke partijen. De minister: “In paragraaf 3.1 van de Uitvoeringswet AVG zijn een aantal uitzonderingsgronden op het verwerkingsverbod opgenomen. Een ervan is artikel 22 lid 2 onder c van de Uitvoeringswet AVG (UAVG), op grond waarvan politieke partijen persoonsgegevens van hun leden mogen verwerken in het kader van haar gerechtvaardigde activiteiten en met passende waarborgen, mits de verwerking uitsluitend betrekking heeft op de leden of de voormalige leden van de instantie of op personen die in verband met haar doeleinden regelmatig contact met haar onderhouden, en de persoonsgegevens niet zonder de toestemming van de betrokkenen buiten die instantie worden verstrekt.”
Maar deze gegevens mogen niet buiten de organisatie worden verstrekt en in alle situaties dienen verwerkingen te zijn voorzien van passende waarborgen, aldus de minister. Uiteindelijk bepaalt de Autoriteit Persoonsgegevens of er wel of niet is voldaan aan naleving van de privacywetgeving, schrijft Bruins Slot. Het kabinet is huiverig om politieke partijen, vanwege hun bijzondere positie in het democratische bestel, inhoudelijke eisen op te leggen die raken aan hun interne organisatie. Maar dat neemt niet weg dat die partijen zich ook ‘gewoon’ aan de Avg dienen te houden. Ze zijn verplicht “zichzelf zo te organiseren dat zij persoonsgegevens zoals hierboven is geschetst zorgvuldig en correct verwerken en dat ook kunnen aantonen”.
Het was dus D66-Kamerlid Hind Dekker-Abdulaziz die de vragen stelde. Volgens Dekker-Abdulaziz, die ook in de vaste Kamercommissie Digitale Zaken zit, is het “extra kwalijk” als politieke partijen persoonsgegevens van ex-leden opslaan. Ook vroeg ze onder meer of het mogelijk was om ‘bijzondere eisen’ op te stellen voor politieke partijen voor de omgang met bijzondere persoonsgegevens.
De vragen kwamen nadat bij Forum voor Democratie een datalek had plaatsgevonden. Iemand slaagde erin om de gehele ledenadministratie van de partij te downloaden, waardoor deze persoons de privégegevens van bijna 93.000 Nederlanders inzien. Naast de huidige leden lagen ook de gegevens van voormalige leden op straat. Partijleider Thierry Baudet besloot om aangifte van hacking te doen bij de politie.
Of de AP een onderzoek heeft ingesteld, is onbekend. De toezichthouder doet geen meldingen over lopende onderzoeken.
Net als politieke partijen heeft elke organisatie de verantwoordelijkheid om een privacy proof beleid te voeren. Ben jij benieuwd waaraan een privacybeleid binnen jouw specifieke organisatie moet voldoen? In de workshop Privacybeleid in de praktijk: implementeren, onderhouden, overtuigen gaan we hiermee aan de slag.
