Voldoen gemeenten allemaal volledig aan de Algemene verordening gegevensbescherming (AVG)? Het antwoord is ‘nee’, zeggen dienstverleners op de markt van lokale overheden.
Uit een enquête onder gemeenteambtenaren bleek eerder dat zij hun organisatie zelf gemiddeld een zesje geven als het gaat om de voorbereiding op de nieuwe Europese privacywet. ‘Zijn we er allemaal klaar voor? Nee,’ stelt ook Ruud Storcken, business manager bij BCT, een bedrijf dat onder meer gemeenten ondersteunt bij hun informatiemanagement.
Ledenbestanden uitvragen
‘Niet alle vierhonderd dienstverlenende processen zijn nu plotseling allemaal compliant, in de zin dat systemen, processen en mensen er klaar voor zijn. Zo wordt in de praktijk niet altijd op een legale manier, en dus met doelbinding, gebruikgemaakt van persoonsgegevens,’ legt hij uit. ‘Sommige gemeenten vragen bijvoorbeeld ieder jaar bij sportverenigingen het ledenbestand uit, om te controleren of de opgegeven aantallen kloppen in verband met de subsidieverstrekking.’
Dit soort ingesleten gewoonten waarbij persoonsgegevens over en weer gaan, moeten kritisch en creatief tegen het licht worden gehouden, zegt Storcken. ‘Zo’n uitvraag is onder de AVG niet toegestaan, want er zijn andere manieren om dezelfde toets te kunnen uitvoeren, die daarom de voorkeur verdienen. Zo kun je als beleidsmedewerker de lijst met ledenaantallen die je hebt gekregen naar de KNVB sturen om te kijken of de aantallen overeenkomen.’
Iedereen is zoekende
Annemiek van Beeck van ICT-dienstverlener QNH Consulting ziet ook dat het nieuwe privacyregime nog een zoektocht is. ‘De regelgeving is nog niet scherp omlijnd, iedereen is zoekende: wanneer voldoe ik er precies aan? Gemeenten moeten “afdoende inspanning” leveren om persoonsgegevens te beschermen, maar wat is dat dan precies? Wat wij zien is dat dienstverleners bij de gemeente, bijvoorbeeld in het klantcontactcentrum, veel toegang tot gegevens willen. Terwijl de privacy- en securityspecialisten juist meer willen afschermen.’
Te gemakkelijk met BSN
Het burgerservicenummer (BSN) is een persoonsgegeven dat voor gemeenten belangrijk is, maar waarmee in het verleden wellicht te gemakkelijk is omgegaan. ‘De overheid heeft vaak het BSN nodig om diensten te verlenen. Voor de ICT is het een uitdaging om die dienstverlening op gang te houden, zonder dat iedere medewerker dit nummer steeds te zien krijgt,’ zegt Van Beeck.
Storcken vult aan: ‘Op dit moment werken veel systemen of integraties eenvoudigweg niet zonder het BSN, terwijl dat lang niet altijd noodzakelijk is voor de dienstverlening. Als ik wil doorgeven dat ergens een stoeptegel losligt, dan is het echt niet nodig dat ik mezelf daarvoor identificeer bij de gemeente. Toch wordt dat nu soms gevraagd, omdat het zit ingebakken in het behandelend systeem.’
Bewaren bijzondere persoonsgegevens
Ook het bewaren van gegevens is een aspect dat niet alle gemeenten op orde hebben. ‘Bij de aanvraag van een drank- en horecavergunning worden bijvoorbeeld als check strafrechtelijke gegevens van de aanvrager geraadpleegd. Dit zijn bijzondere persoonsgegevens, die extra gevoelig liggen,’ zegt Rowenna Hameleers, een collega van Storcken bij BCT. ‘Omdat de gemeente niet de archiefdrager hiervan is, mag zij deze gegevens vervolgens niet opslaan, wat soms wél gebeurt.’
Opletten met software
Gemeenten moeten ook goed opletten met welke partijen ze overeenkomsten sluiten en welke software ze gebruiken. Persoonsgegevens moeten officieel namelijk binnen Europa blijven. ‘Maar door gebruik van een eenvoudig programmaatje, bijvoorbeeld om even een pdf-bestand te maken, kunnen de data zomaar langs China of de VS gaan,’ zegt Van Beeck. ‘Dit is echt sneller gebeurd dan men vaak denkt.’
Hoewel dus nog niet alle regels strikt worden nageleefd, constateren de dienstverleners wel veel ‘bewustwording’ bij gemeenten. ‘Veel van de regels golden ook al onder de vorige wet, maar hebben misschien niet genoeg aandacht gekregen,’ zegt Hameleers. ‘Met de introductie van de AVG lijkt iedereen een soort van wakker te worden, ook door alle mails die we ontvangen van bedrijven, de aandacht in de media, en de zorgen over privacy die steeds sterker leven bij burgers.’
