AVG in de praktijk: privacy voor gemeenten en ambtenaren

De Algemene verordening gegevensbescherming (AVG) geldt sinds 25 mei 2018 en is voor overheden geen papierkwestie. Gemeenten verwerken bij hun taken grote hoeveelheden persoonsgegevens: van bijstandsuitkeringen en Wmo-ondersteuning tot schuldhulpverlening en registraties. Bovendien zijn inwoners vaak verplicht om hun gegevens te verstrekken. Daarom moet iedereen erop kunnen vertrouwen dat gemeenten zorgvuldig met die gegevens omgaan (Autoriteit Persoonsgegevens).

Wat de Autoriteit Persoonsgegevens signaleert

De AP houdt het overheidshandelen structureel in de gaten, onder andere via het jaarlijkse sectorbeeld Overheid. In het sectorbeeld overheid 2024 constateert de AP dat de overheid nog steeds niet volledig aan alle privacyregels voldoet. Er werden stappen gezet, maar het is nog niet genoeg. De AP signaleerde bijvoorbeeld dat sommige gemeenten het grondrecht op bescherming van persoonsgegevens te makkelijk terzijde schuiven in de strijd tegen georganiseerde criminaliteit.

Ook voor gemeenteraden zijn er handvaten: de AP publiceerde de reeks Gemeenten en privacy: wat kunt u als raadslid doen?, met aanvullingen over samenwerkingsverbanden en de inzet van technologie. Privacy hoort daar een terugkerend onderdeel te zijn van het gesprek tussen raad en college.

De kernplichten in de praktijk

• Rechtmatigheid en doelbinding: verwerk alleen gegevens met een wettelijke grondslag, voor een duidelijk doel
• Minimalisatie: vraag alleen de gegevens die je nodig hebt, bewaar ze niet langer dan nodig
• Informatieplicht: vertel inwoners welke gegevens je verwerkt en waarvoor
• Datalekken: meld verwachte risico's binnen 72 uur aan de AP
• DPIA: bij een hoog privacyrisico (zoals systematische monitoring of risicoprofilering) is een Data Protection Impact Assessment verplicht
• Functionaris gegevensbescherming: overheden moeten een FG hebben die adviseert over de gegevensbescherming
• Rechten van inwoners: inzage, correctie en bezwaar moeten binnen de termijnen worden afgehandeld

Waar het in de praktijk misgaat

• Systemen die meer gegevens opslaan dan de taak vraagt
• Samenwerkingsverbanden (zoals sociale teams of handhavingsallianties) zonder duidelijke afspraken over wie verantwoordelijk is
• Nieuwe technologie die eerst wordt ingezet en pas daarna op privacy wordt getoetst
• Een FG die pas laat in het proces wordt betrokken

Zo leer je het

Privacy is een vast onderdeel van het opleidingsaanbod voor de publieke sector, van basistrainingen AVG tot verdieping voor juristen, DPO's en inwerkers. Bekijk trainingen over privacy, juridische opleidingen of het informatiemanagement-aanbod.

Bronnen

• autoriteitpersoonsgegevens.nl/themas/overheid/gemeenten: privacy bij gemeentelijke taken
• Autoriteit Persoonsgegevens, Sectorbeeld Overheid 2024 (oktober 2024)
• Autoriteit Persoonsgegevens, Gemeenten en privacy: wat kunt u als raadslid doen? (met aanvullingen)