Aanleiding
Gemeenten verwerken daarom van inwoners vaak veel persoonsgegevens, soms ook bijzondere of zeer gevoelige, en over verschillende domeinen verspreid en deze worden dan verwerkt in vaak niet met elkaar corresponderende administratieve systemen. Tegelijkertijd bestaat er archiefwetgeving welke vereist dat de informatie van alle besluiten, inclusief persoonsgegevens, verplicht in een zaaksysteem worden opgeslagen. Toegang tot het zaaksysteem kan echter botsen met de taakstellende wetgeving en/of AVG. Iedere inwoner moet erop kunnen vertrouwen dat gemeenten zorgvuldig met al hun persoonsgegevens omgaan.
Gemeenten verzamelen en verwerken veel persoonsgegevens. Ze hebben deze gegevens nodig om hun taken te kunnen uitvoeren. Deze taakgebieden (domeinen) verschillen vaak met elkaar en onderlinge uitwisseling van de gegevens tussen domeinen is daarom vaak niet toegestaan en zelfs binnen domeinen bestaan er soms strikte regels.
Wat zijn de uitdagingen voor gemeenten?
De impact van wet- en regelgeving op het vlak van privacy en informatieveiligheid op de gemeentelijke organisatie kan omvangrijk zijn. Reeds georganiseerde processen worden opnieuw bekeken en indien noodzakelijk herzien. Speciale aandacht is vereist voor contractering in de keten van leveranciers. Denk bijvoorbeeld aan de informatiesystemen die primaire processen ondersteunen, dienstverlening rond de jeugdzorg en of de betrokkenheid van een gemeente in een samenwerkingsverband.
Daarbij is contractering mogelijk in de vorm van verwerking namens de gemeente, maar binnen jeugdzorg en WMO gaat het om inkoop van diensten (zorg) waarbij geen sprake is van verwerking. Zorgaanbieders hebben zelfstandige verantwoordelijkheid (Wet geneeskundige behandelingsovereenkomst) en mogen behandelingsgegevens dan ook niet terugkoppelen naar de gemeente. Hierbij is dan sprake van doorgifte van algemene zorgcliëntgegevens. Wel mag de gemeente van de zorgaanbieder verwachten dat deze zorgvuldig omgaat met de doorgegeven zorgcliëntgegevens overeenkomstig de vereisten uit AVG en de voor de zorg geldende sectorale wetgeving.
Gemeenschappelijke regelingen
Vaak hebben gemeenten taken uitbesteed aan gemeenschappelijke regelingen (GR’en; op basis van juridische titel) en samenwerkingsverbanden (zonder juridische titel). Meestal is er dan sprake van uitbesteding van en of meerdere verwerkingen. Maar soms is een GR zelfstandig verwerkingsverantwoordelijke en voeren zij een resultaatsverplichting uit (Bijvoorbeeld in de uitvoering van de participatiewet of gemeentelijke belastingwetten). GR’en en samenwerkingen, hoe handig ook in het verleden opgezet, moeten door de komst van de Avg in een ander daglicht worden beschouwd. Plotseling blijkt het gemeentebestuur toch verantwoordelijk en aansprakelijk te zijn voor de uitvoeringsprocessen door de GR’en en samenwerkingen waarbij de oorspronkelijke gedachte was dat die verantwoordelijkheid en aansprakelijkheid juist buiten de deur waren geplaatst.
Dillema’s
Waarvoor mogen gemeenten de gegevens van mensen gebruiken? Hoe is de bescherming van persoonsgegevens geregeld nu gemeenten nieuwe taken hebben en daardoor meer gegevens van meer mensen verwerken? Wanneer mag het BSN niet worden gebruikt en wanneer moet het worden gebruikt (bijvoorbeeld voor identificatie). Hoe regel ik contractueel de aansprakelijkheden en kostenrisico’s met samenwerkingspartners (bijv. zorg) en IT-leveranciers?
Het plan van aanpak van de Autoriteit Persoonsgegevens bestaat uit een 10-stappenplan. Het gaat om de volgende activiteiten: ‘opstellen privacybeleid, opstellen procedures recht op inzage, aanpassen en beheren van de privacy-overeenkomst(en), inzichtelijk maken van de gegevensverwerkingen en het verplicht aanstellen van een functionaris voor gegevensbescherming (intern of extern)’. Het opzetten van het verwerkingenregister en een incidenten/datalek registratie, uitvoeren van de DPIA’s, data protection by design en by default en het evalueren van het vragen om toestemming bij gegevensverwerking aan betrokkenen’.
Belangrijkste gevolgen
Het is een kwestie van de juiste balans vinden tussen de inspanningen die gedaan moeten worden en de middelen die beschikbaar zijn voor de uitvoering. De belangrijkste gevolgen voor de gemeenten, GR’en en samenwerkingsverbanden zijn:
- Ketenaansprakelijkheid door gebruik GR’en en samenwerkingsverbanden, leveranciers, etc.;
- Hoeveel verantwoordelijkheid en aansprakelijkheid kan de organisatie dragen, daarbij gaat het niet om doorbelasten van financiële risico’s aan de burger door middel verhoging belastingen?
- De functionaris voor gegevensbescherming is verplicht en moet een schaap met vijf poten zijn;
- Opleiden van de werkvloer binnen de organisatie;
- Aandacht voor privacy-overeenkomsten door de ketenaansprakelijkheid en centraal stellen van de betrokkenen is meer dan een afspraak;
- Organiseren van compliance.
VNG Realisatie helpt gemeenten haar eigen ‘verantwoordingsonderzoek’ uit te voeren op basis van het document en product “borging AVG” welke is vertaald in een Excelbestand welke de gemeente periodiek als thermometer kan gebruiken om vast te stellen wat de status van implementatie en beheer daarvan is voor de gemeente.
Meer informatie
Heeft u vragen of heeft u behoefte aan een afspraak? Neem gerust contact met ons op via +31 0 (70) 392 22 09 of info@duthler.nl.
