De Autoriteit Persoonsgegevens (AP) heeft inmiddels vier gemeenten doorgelicht op hun omgang met de AVG. De toezichthouder keek in Breda, Doesburg, Kerkrade en Groningen naar het verwerkingsregister, de uitvoering van DPIA’s en de positie van de functionaris gegevensbescherming (FG). De uitkomsten verschillen flink, maar leggen ook een aantal structurele knelpunten bloot. Vooral het tijdig uitvoeren van DPIA’s en een onafhankelijke en voldoende toegeruste FG blijken aandacht te vragen.
De AP begon de toezichtsbezoeken nadat de toezichthouder in het Sectorbeeld Overheid 2024 had geconstateerd dat veel gemeenten nog worstelen met de bescherming van de grote hoeveelheden persoonsgegevens die zij verwerken. Breda was de eerste bezochte gemeente, gevolgd door Doesburg, Kerkrade en Groningen. De AP benadrukt dat vier bezoeken nog te weinig zijn om algemene conclusies over alle Nederlandse gemeenten te trekken. Na afronding van de bezoeken wil de toezichthouder zelf communiceren over overeenkomsten en verschillen.
De vier inmiddels gepubliceerde brieven geven wel een eerste beeld van waar de AP tijdens dit toezicht op let. Steeds staan drie onderdelen centraal: het verwerkingsregister, DPIA’s en de positionering van de FG.
Vooral bij de uitvoering van Data Protection Impact Assessments (DPIA’s) zijn de verschillen tussen gemeenten groot.
Groningen heeft sinds 2020 maar liefst 208 DPIA’s uitgevoerd. Daarmee lijkt het instrument stevig in de organisatie te zijn ingebed. Toch ziet de AP ook daar een belangrijk probleem: het wettelijk verplichte advies van de FG ontbreekt regelmatig. De gemeente erkent dat DPIA’s nog niet altijd aan de FG worden voorgelegd en wijst onder meer op beperkte FG-capaciteit.
Ook Breda heeft volgens de AP een behoorlijk aantal DPIA’s uitgevoerd en doorgaans vindt FG-advisering plaats voordat een besluit wordt genomen. Tegelijkertijd zijn er nog veel verwerkingen waarvoor volgens de toezichthouder een DPIA wettelijk verplicht is, maar nog niet is uitgevoerd. Breda zegt deze achterstand te kennen en prioriteit te geven aan verwerkingen met de hoogste risico’s, waaronder die in het sociaal domein en veiligheidsdomein.
In Doesburg zijn sinds eind 2019 volgens het aangeleverde overzicht 23 DPIA’s uitgevoerd. De gemeente erkent dat er meer nodig zijn en heeft met de FG afgesproken jaarlijks vijf DPIA’s uit te voeren.
Het grootste verschil is zichtbaar in Kerkrade. Daar waren op het moment van het onderzoek slechts vier DPIA’s volledig afgerond. Na het toezichtsbezoek inventariseerde de gemeente bovendien meer dan honderd risicovolle verwerkingen waarvoor nog een DPIA moest worden uitgevoerd. Processen in onder meer het sociaal domein en het domein openbare orde en veiligheid moeten daarbij voorrang krijgen.
De boodschap van de AP is in de vier brieven grotendeels hetzelfde: een verplichte DPIA moet tijdig, dus vóór een nieuwe of gewijzigde verwerking, worden uitgevoerd. Gemeenten moeten daarbij prioriteit geven aan nieuwe verwerkingen en verwerkingen met de hoogste risico’s.
Ook het hebben van een verwerkingsregister betekent volgens de AP nog niet dat een gemeente aan haar verplichtingen voldoet. De toezichthouder kijkt nadrukkelijk naar de inhoud en actualiteit ervan.
In Breda bestaat volgens de AP over het algemeen een behoorlijk compleet beeld van de verwerkingen. Positief is ook dat DPIA’s aan het register zijn gekoppeld. Toch ontbreken gegevens en beveiligingsmaatregelen en zijn in sommige gevallen verkeerde grondslagen of bestuursorganen opgenomen.
Doesburg had het register openbaar gemaakt, maar het dateerde uit juli 2023 en leek sindsdien niet meer te zijn bijgewerkt. Ook waren de verschillende bestuursorganen niet goed van elkaar gescheiden en waren wettelijke grondslagen regelmatig onvoldoende specifiek onderbouwd.
Bij Kerkrade trof de AP meer fundamentele tekortkomingen aan. In het register stond bij onderdelen nog ‘te onderzoeken’, zelfs bij een risicovol proces als Bibob. Verwerkingen waren bovendien regelmatig zo ruim omschreven dat onvoldoende duidelijk werd voor welk doel, op welke grondslag en met welke persoonsgegevens een verwerking plaatsvond.
Groningen beschikt over een openbaar register waarin 296 verwerkingen zijn beschreven. Toch trof de AP ook daar opvallende onduidelijkheden aan. Zo stond bij de bewaartermijn 164 keer ‘nader te bepalen’ en kwamen omschrijvingen voor als ‘zo lang als nodig’, ‘10 jaar ??’ en ‘1 jaar?’. Ook twijfelde de toezichthouder bij verschillende verwerkingen aan de gekozen grondslag.
Een derde terugkerend aandachtspunt is de positie van de FG. Daarbij kijkt de AP niet alleen naar de formele aanwijzing, maar ook naar onafhankelijkheid, capaciteit en toegang tot het bestuur.
De verschillen zijn opnieuw groot. In Doesburg bedroeg de beschikbare FG-capaciteit 170 uur per jaar, gemiddeld 3,27 uur per week. Een periode was bovendien helemaal geen FG aangewezen. In het aanwijzingsbesluit stonden daarnaast uitvoerende werkzaamheden, zoals het melden van datalekken en het ondersteunen bij DPIA’s. Volgens de AP kunnen dergelijke werkzaamheden botsen met de onafhankelijke toezichthoudende positie van de FG.
Kerkrade werkte met een FG-regeling die nog verwees naar de Wet bescherming persoonsgegevens, de voorganger van de AVG. Ook bevatte de regeling uitvoerende taken en moest de FG bij een onregelmatigheid eerst verschillende interne stappen doorlopen voordat de portefeuillehouder werd bereikt. Dat is volgens de AP geen rechtstreekse toegang tot het hoogste leidinggevende niveau zoals de AVG voorschrijft.
In Groningen is de FG-organisatie verder ontwikkeld, maar ziet de AP eveneens risico’s voor de onafhankelijkheid. Zo is de FG hiërarchisch onder de concerncontroller geplaatst. Ook bevatte het nog vast te stellen FG-statuut bepalingen die volgens de toezichthouder kunnen knellen met de onafhankelijke positie.
Opvallend is dat zelfs de geplande capaciteit van twee fte voor de FG-functie in Groningen volgens de AP ‘op het eerste gezicht krap’ lijkt. De toezichthouder wijst daarbij op de hoeveelheid DPIA’s, de toename van AI-initiatieven en de regiofunctie van de gemeente.
De brief aan Doesburg legt daarnaast een breder probleem bloot. De gemeente telt ongeveer 11.000 inwoners en bevindt zich in een herindelingsproces. Volgens de AP is de beschikbare capaciteit op dit moment onvoldoende om aan alle wettelijke AVG-verplichtingen te voldoen.
De toezichthouder noemt het zorgelijk dat de mogelijkheid om de AVG na te leven mede afhankelijk lijkt te zijn van de grootte van een gemeente. Doesburg wordt daarom opgeroepen de herindeling te gebruiken om het nalevingsniveau te verbeteren en tijdens dat proces voldoende aandacht en middelen voor privacybescherming vrij te maken.
Daarmee laat het toezicht ook zien dat de AP geen vaste minimale personeelsnorm hanteert. De benodigde capaciteit wordt gekoppeld aan de omvang en complexiteit van de gegevensverwerkingen en aan de taken die de FG daadwerkelijk moet uitvoeren.
De ernst van de bevindingen verschilt eveneens. Over Groningen concludeert de AP dat de basis van de wettelijke naleving op grond van de beschikbare informatie en het gevoerde gesprek op orde lijkt. Wel krijgt de gemeente op alle drie de onderzochte onderdelen aanbevelingen.
Bij Doesburg en Kerkrade spreekt de toezichthouder daarentegen van ‘zorgwekkende bevindingen’ en concludeert de AP dat de basis van de wettelijke naleving nog niet helemaal op orde lijkt.
Kerkrade is bovendien de enige van de vier gemeenten waarbij de AP concrete vervolgactie verlangt. Uiterlijk 15 januari 2027 moet de gemeente rapporteren welke DPIA’s in 2026 zijn uitgevoerd en wat de stand daarvan is. Ook moet de nieuwe FG-regeling inclusief het vaststellingsbesluit aan de toezichthouder worden gestuurd.
De vier bezoeken laten daarmee vooral zien dat de AP verder kijkt dan de vraag of een gemeente formeel over de vereiste privacy-instrumenten beschikt. Een verwerkingsregister moet actueel en concreet zijn, DPIA’s moeten tijdig en volledig worden uitgevoerd en de FG moet daadwerkelijk onafhankelijk kunnen opereren én daarvoor voldoende middelen krijgen.
De AP waarschuwt zelf dat vier gemeenten nog onvoldoende basis bieden om de resultaten door te trekken naar alle Nederlandse gemeenten. Wanneer alle geplande toezichtsbezoeken zijn afgerond, wil de toezichthouder de verschillen en overeenkomsten tussen de bezochte gemeenten bekendmaken.
