Tien grootste gemeenten hebben AVG niet op orde

Burgerrechtenorganisatie Bits of Freedom onderzocht of de tien grootste gemeenten voldoen aan de Algemene verordening gegevensbescherming (AVG), de privacywet die vandaag vier jaar geleden in werking trad. Er blijkt nog heel wat ruimte voor verbetering.

Basis

'We hebben gekeken naar de basis van de basis van de AVG en daar voldoen de grote gemeenten niet aan,' zegt onderzoeker Nadia Benaissa, de opsteller van het rapport. 'We hadden wel verwacht dat niet alle gemeenten aan alles zouden voldoen, maar niet dat het vier jaar na de inwerkingtreding van de AVG op zoveel punten mis zou zijn.'

Register

Onder de basale gegevensbescherming wordt onder meer verstaan het bijhouden van een verwerkingsregister. Het doel hiervan is om grip te krijgen op de verwerkingen van persoonsgegevens. Alle gemeenten zijn volgens het onderzoek van start gegaan met het vullen van een verwerkingsregister, maar bij meerdere gemeenten loopt het register achter, ondanks herhaaldelijke waarschuwingen van de Functionaris Gegevensbescherming van de gemeenten in kwestie.

Geen overzicht

Het meest zorgelijk vindt Benaissa dat het overzicht bij negen van de tien gemeenten ontbreekt. 'De AVG is bedoeld om mensen te beschermen. Gemeenten verwerken zo veel gevoelige gegevens, dat de gevolgen enorm kunnen zijn als daar niet goed mee om wordt gegaan.' Een positieve uitzondering vormt de gemeente Utrecht, die goed uit het onderzoek komt. 'Het kan dus wel, als er maar aandacht voor is, middelen worden vrijgemaakt en de gemeenteraad goed wordt geïnformeerd.'

Meer vragen

Slechts vier van de tien onderzochte gemeenten blijken verantwoording af te leggen aan de gemeenteraad door rapporten van toezichthouders met hen te delen. Bits of Freedom ziet wel dat er steeds meer vragen worden gesteld door raadsleden over dit onderwerp. 

Sexy pilots

De burgerrechtenorganisatie roept gemeenten op om sexy pilots met spannende technologieën uit te stellen zo lang de basis nog niet op orde is. 'Leer lopen voordat je gaat rennen. Dat klinkt flauw, maar die basis is een belangrijke voorwaarde om tot betrouwbare uitkomsten te komen,' zegt Benaissa. 'Algoritmes worden gevoed door data. Als je niet weet of je data nog actueel, rechtmatig verwerkt en juist zijn, dan kom je tot uitkomsten die mogelijk niet kloppen. Dergelijke processen zijn vaak intransparant, waardoor het voor burgers moeilijk is om achteraf aan te tonen dat de uitkomst niet klopt.'

Spannend

Met een beroep op de Wet openbaarheid van bestuur (Wob) vroeg Bits of Freedom de tien gemeenten om alle rapportages van de Functionarissen Gegevensbescherming op te sturen vanaf 2017 tot op heden, inclusief alle rapportages inzake de informatiebeveiliging en interne reacties daarop. Alle gemeenten voldeden aan het verzoek, al had de gemeente Almere een groot deel weggelakt. De  gemeente Tilburg bleek geen AVG-rapportages te hebben. Benaissa: 'Gemeenten vonden het spannend dat we ze onderzochten, maar ze zien ook dat het in het belang is van burgers. We geven heel concrete aanbevelingen, waaronder: luister goed naar de adviezen van interne toezichthouders.'