Toezichthouder pakt gemeenten zonder FG aan

Gemeenten die niet ‘evident’ fouten maken op privacy-gebied, hoeven zich geen zorgen te maken over hoge boetes. Maar wie na 25 mei nog steeds geen Functionaris Gegevensbescherming (FG) heeft, wordt vermoedelijk snel aangepakt.

Autoriteit persoonsgegevens deelt niet meteen boetes uit

Vanaf 25 mei gelden in ons land de nieuwe Europese privacyregels, de Algemene verordening gegevensbescherming (AVG). Die wet versterkt de positie van mensen van wie gegevens worden verwerkt. Zij krijgen nieuwe privacyrechten en hun bestaande rechten worden sterker. Organisaties die persoonsgegevens verwerken, zoals gemeenten, krijgen meer verplichtingen. Zij moeten kunnen aantonen dat ze zich aan de wet houden. De Autoriteit Persoonsgegevens (AP) mag na het van kracht worden van de nieuwe regels boetes opleggen.

Veel gemeenten maken zich zorgen over de manier waarop de toezichthouder te werk zal gaan. De gemeenten die op 25 mei nog geen Functionaris Gegevensbescherming hebben, kunnen op weinig begrip van de AP rekenen. Hetzelfde geldt voor gemeenten die hun dienstverlening nog niet hebben aangepast aan de rapporten en adviezen van de AP. ‘Het is al twee jaar bekend dat de AVG op 25 mei geldt, er is dus ruim voldoende tijd geweest om voor te bereiden. Daarvoor is er al jaren onderhandeld over de wet’, zegt een woordvoerder van de AP.

De organisatie laat desgevraagd weten dat het controleren op aanwezigheid van een FG één van de eerste acties zal zijn na het ingaan van nieuwe Europese privacyregels. De AP zal zijn capaciteit verder voornamelijk voor voorlichting en ondersteuning gebruiken. ‘Dat is een belangrijke nieuwe taak voor ons. Denk onder meer aan voorlichtingsbijeenkomsten, guidelines, informatie op de website en een regelhulp’, aldus de woordvoerder. Nieuw onder de AVG is dat iedereen vanaf 25 mei een privacyklacht bij de AP kan indienen. ‘We zijn verplicht iedere klacht in behandeling te nemen. Dat kunnen ook klachten over gemeenten zijn. Als we daarbij een overtreding constateren, zullen we ook handhaven.’

Opzettelijke misstanden
De wetgeving leidt tot veel onzekerheid en onrust bij gemeenten, denkt de AP. De organisatie heeft via de Vereniging van Nederlandse Gemeenten (VNG) aangegeven dat er in de meeste gevallen niet meteen boetes worden uitgedeeld als op 25 mei de nieuwe privacyregels ingaan. Ook de minister gaf dat in een debat met de Tweede Kamer al eens aan, maar deze heeft geen zeggenschap over het doen en laten van de toezichthouder.

Volgens AP-voorzitter Aleid Wolfsen is bezorgdheid niet nodig bij gemeenten die bereid zijn om goede dingen te doen en die zich netjes aan de regels willen houden. ‘Het is natuurlijk een ander verhaal wanneer er sprake is van opzettelijke of ernstige misstanden. Maar we moeten ons realiseren dat we aan het begin staan van een proces waarbij veel organisaties en bedrijven bezig zijn om het goed te regelen.’

Een geruststelling voor gemeenten kan volgens de AP zijn dat er in de meeste gevallen aan de overtreder eerst een last onder dwangsom wordt opgelegd. Een sanctie kan worden voorkomen wanneer een onrechtmatigheid binnen de gestelde termijn wordt opgeheven. De AP zal zich bij gemeenten naar verwachting vooral richten op een combinatie tussen advies en handhaving, en deels op herstel. Wanneer een gemeente niet tijdig klaar is met de AVG-implementatie, dan rekent de AP erop dat er een goed onderbouwde reden voor is en dat de gemeente een termijn kan geven wanneer dit wel het geval is.

Het betekent overigens niet dat gemeenten daarmee volledig zijn gevrijwaard van een boete. Minister Dekker voor Rechtsbescherming zei tijdens het debat met de Tweede Kamer dat ontkomen aan boetes ‘natuurlijk niet opgaat voor gevallen waarvan we allemaal vinden dat het evident is dat daar iets fout is gegaan.’ Met name de organisaties die ‘in ieder geval groot genoeg zijn om zich te kunnen realiseren dat er iets aan de hand was’ worden niet met zachte hand aangepakt.