AP bezorgd over slecht privacybeleid in Hellevoetsluis

De Autoriteit Persoonsgegevens (AP) heeft een gemeente voor het eerst onder verzwaard toezicht gesteld, omdat ze zich zorgen maakt over de bescherming van de gevoelige gegevens van de inwoners. In een nieuwsbericht vermeldt de AP de betreffende gemeente niet. Het gaat om Hellevoetsluis, zo heeft de gemeente inmiddels bevestigd.

Rekenkamer

In een eerder rapport van de lokale rekenkamer uit het najaar van 2020 kwam al naar voren dat Hellevoetsluis geen eigen privacybeleid heeft vastgesteld. De AP heeft bovendien meerdere signalen gekregen dat de privacywet werd overtreden. Ook andere eisen uit de Algemene verordening gegevensbescherming (AVG) worden door de gemeente niet voldoende gevolgd, zoals de onafhankelijkheidspositie van een Functionaris Gegevensbescherming (FG), de interne toezichthouder van de gemeente.

Datalek

De AVG is sinds mei 2018 van kracht, maar uit het rekenkamerrapport bleek dat de gemeente Hellevoetsluis dik twee jaar later de eigen privacyverordening nog niet heeft geactualiseerd. Ook is het volgen van de verscherpte privacyregels nog niet echt geland binnen de gemeentelijke organisatie, constateerde de rekenkamer. De gemeente werd bovendien in de zomer van 2019 door RTL Nieuws gewezen op een datalek in het gemeentelijke documentensysteem, waardoor privacygevoelige informatie voor iedereen inzichtelijk bleek te zijn. Vermoedelijk was dat al jaren zo. Het lek werd door de gemeente gemeld bij de AP. 

Zorgen

Naar aanleiding van de meldingen en het rekenkamerrapport heeft de AP gesprekken gevoerd met het gemeentebestuur, de gemeenteraad en de burgemeester over het belang van een goede inrichting van het interne toezicht. Maar dat heeft de zorgen niet weggenomen, zegt de autoriteit. Daarom is besloten om een maatregel te nemen. ‘Om de (gevoelige) informatie van inwoners te beschermen, is snelheid essentieel.’

Signaal

In de praktijk betekent het verzwaard toezicht dat de Autoriteit van de gemeente eist dat die een jaar lang iedere drie maanden een voortgangsrapportage stuurt over de implementatie van de AVG-richtlijnen. De AP heeft het verzwaard toezicht al eerder dit jaar opgelegd, maar komt nu pas met het bericht naar buiten. Volgens een woordvoerder van de autoriteit is dat vooral gedaan om een signaal af te geven naar gemeenten om hun gegevensbeveiliging en privacywaarborgen goed op orde te hebben, en vooral aandacht te vragen voor de onafhankelijke positie van de FG, de interne toezichthouder. In veel gemeenten is de FG slechts een deeltijdfunctie, of een van de taken van een ambtenaar. Dat maakt een echt onafhankelijke positie binnen de gemeentelijke organisatie vaak onnodig moeilijk.

Reactie

De Autoriteit sluit niet uit dat een meer diepgaand onderzoek volgt op het verzwaarde toezicht. De gemeente heeft inmiddels een eerste voortgangsrapportage aangeleverd. In een reactie laat Hellevoetsluis weten dat ze graag aan het verzoek om rapportages voldoet. ‘Omdat we de signalen en aandachtspunten over dit onderwerp serieus nemen en twijfels over de vraag of we de AVG goed toepassen weg willen nemen. We hebben inmiddels de nodige stappen gezet. Zo hebben we begin dit jaar de privacyverordening aangepast en het privacybeleid vastgesteld. Ook hebben we de governancestructuur aangescherpt. Deze stappen helpen ons om een goede invulling te geven aan de vereisten die de AVG met zich meebrengt.’