Het verwerkingsregister: betekenisvolle informatie?

In een verwerkingsregister houden gemeenten bij wat voor soort persoonsgegevens ze verwerken. In het kader van transparantie zou het niet gek zijn om deze informatie openbaar te maken. Toch behoort het verwerkingsregister niet tot de informatiecategorieën van de Wet open overheid (Woo). Waarom eigenlijk niet?

Verwerkingen bijhouden

Het bijhouden van een actueel verwerkingsregister is voor overheden verplicht onder de AVG. In het register staat informatie over de persoonsgegevens die de organisatie verwerkt; niet de persoonsgegevens zelf, maar informatie over om welke persoonsgegevens het gaat. Sommige gemeenten zetten hun verwerkingsregister online in het kader van transparantie. Het komt ook voor dat het verwerkingsregister van een gemeente met een beroep op de Woo (Wet open overheid) openbaar wordt gemaakt.

Diezelfde Woo kent een actieve openbaarmakingsplicht voor overheidsorganisaties: de overheid moet sommige informatie uit zichzelf openbaar maken. In de Woo staan 17 categorieën informatie die overheden moeten publiceren, van agenda’s en besluitenlijsten tot jaarverslagen en klachten. De eerste vijf informatiecategorieën zijn vanaf 1 november 2024 verplicht, de rest volgt later.

Het verwerkingsregister staat er niet tussen. Dat is best vreemd, vindt privacyspecialist Willem de Boer. ‘Het is het toppunt van transparantie om een actueel, openbaar verwerkingsregister bij te houden.’ Zo denkt ook de Autoriteit Persoonsgegevens erover. De privacywaakhond raadt overheden in het Sectorbeeld Overheid 2024 aan om de verwerkingsregisters openbaar te maken, zodat iedereen ze kan inzien. 

Lange ontstaansgeschiedenis

Waarom is daar niet voor gekozen? Dat heeft vooral te maken met de lange ontstaansgeschiedenis van de Woo, leert navraag bij verschillende instanties die zich bezighouden met de open overheid. Het wetsvoorstel van de Woo dateert uit 2012, lang voor de inwerkingtreding van de AVG in 2018. Het wetsvoorstel is destijds wel aangepast aan de AVG door verwijzingen en bijvoorbeeld uitzonderingsgronden aan te passen, maar daarbij is niet gekeken naar eventuele verplichtingen die uit andere artikelen zouden kunnen voortvloeien, zoals deze registerplicht, laat het Adviescollege Openbaarheid en Informatiehuishouding (ACOI) desgevraagd weten. Het Adviescollege vindt ook dat openbaarmaking van het verwerkingsregister bijdraagt aan meer transparantie over het verwerken van persoonsgegevens.

‘Het register werd destijds vooral gezien als een intern hulpmiddel waarmee je je als verwerkingsverantwoordelijke ook zou kunnen verantwoorden richting de (nationale) toezichthouder,’ schrijft het ACOI in reactie op de vraag van Binnenlands Bestuur. Er bestond ook angst dat het register gevoelige informatie zou bevatten, waardoor openbaarmaking een veiligheidsrisico zou opleveren. Die angst lijkt geweken. Er bestaat een website waarop de meeste departementen en een enkel zelfstandig bestuursorgaan verwerkingen delen. Medeoverheden publiceren het verwerkingsregister doorgaans op hun eigen website.

Betekenisvolle informatie

De initiatiefnemers hadden dit bij de voorbereiding van de Woo gewoon niet op het netvlies, zo luidt ook het antwoord van het Programma Open Overheid van het ministerie van BZK en het Rijksprogramma voor Duurzaam Digitale Informatiehuishouding (RDDI) van het ministerie van OCW. ‘Daarnaast zullen er mogelijk meer informatiecategorieën zijn waarbij de vraag kan worden gesteld of bestuursorganen deze niet sowieso actief openbaar zouden moeten maken.’ De initiatiefnemers hebben in de toelichting op de wet expliciet aangegeven dat de informatiecategorieën in ieder geval actief openbaar moeten worden gemaakt, maar dat overheden zich hier dus niet toe hoeven te beperken.

In het najaar van 2025 verschijnt naar verwachting een handreiking voor overheden over het openbaar maken van informatie die niet onder één van de verplichte categorieën valt, maar die wel de moeite waard is om te delen. ‘Betekenisvolle informatie’ wordt soort informatie genoemd.