Vier jaar geleden trad op 25 mei 2018 de Algemene verordening gegevensbescherming (AVG) in werking. Deze wet verving de Wet bescherming persoonsgegevens. Er kwamen meer regels voor organisaties die ervoor moesten zorgen dat zij beter verantwoording zouden afleggen over de manier waarop ze omgaan met persoonsgegevens. Ook moest de privacywet meer zeggenschap en controlemogelijkheden geven aan mensen.

Bits of Freedom vroeg zich af hoe goed de wet in de praktijk werkt en besloot onderzoek te doen onder gemeenten. Dat zijn bij uitstek dé organisaties die veel verschillende en heel gevoelige persoonsgegevens verwerken van burgers, vaak zonder dat burgers daar een keuze in hebben. Gemeenten mogen en moeten persoonsgegevens namelijk vaak verwerken op grond van een wettelijke taak of plicht...

...Helaas blijkt het nog niet zo goed te gaan als we, inmiddels vier jaar verder, zouden mogen verwachten. Dit zijn de belangrijkste bevindingen:

• Gemeenten hebben de basis gegevenshuishouding nog niet goed op orde. Verwerkingsregisters zijn niet compleet en actueel, waardoor gemeenten niet voldoende weten welke gegevens ze verwerken, met welk doel, of die verwerking rechtmatig en veilig is en met wie er wordt samengewerkt. Zonder goed overzicht kunnen gemeenten niet goed inschatten wat mogelijke risico’s zijn voor burgers.
• Gemeenten tonen zich tegelijkertijd wel ambitieus in het datagedreven werken en uitproberen van nieuwe technologieën. Dat is onverstandig als de basis nog niet op orde is, omdat de gegevens waarvan de rechtmatigheid, betrouwbaarheid en actualiteit nog niet gecontroleerd zijn, vervolgens gebruikt worden als input bij het gebruik van bijvoorbeeld big data of algoritmen. Het risico bestaat dan dat er onrechtmatig of onjuiste data wordt ingevoerd, wat weer onrechtmatige of onjuiste resultaten kan opleveren, en dat schaadt burgers.
• Burgers die hun AVG-rechten inzetten, bijvoorbeeld door inzage te verzoeken, moeten vaak te lang wachten. Processen zijn niet overal op orde en wettelijke termijnen worden onterecht verlengd en overschreden. De AVG moest er juist voor zorgen dat burgers meer controle en zeggenschap kregen over hun persoonsgegevens. Maar deze rechten worden niet door elke gemeente serieus genomen.
• Bij vrijwel alle gemeenten is er sprake van een capaciteitsprobleem, doordat er onvoldoende middelen worden vrijgemaakt voor gegevensbescherming. Dit wekt de indruk dat verantwoordelijke bestuurders en directies dit onvoldoende prioriteren. Zonder capaciteit en middelen, kunnen er ook geen stappen gezet worden om de AVG alsnog naar behoren na te leven.
• Op grond van artikel 60 van de Gemeentewet moeten burgemeesters en wethouders verantwoording afleggen aan de gemeenteraad over het gevoerde bestuur. De meerderheid van de gemeenten legt echter niet actief verantwoording af aan de gemeenteraad door de AVG-rapportages van de Functionaris Gegevensbescherming met hen te delen. Veel gemeenten vertellen in een paar zinnen hoe het gaat met de naleving van de AVG, maar daarbij wordt zo weinig informatie gedeeld dat het gemeenteraden niet in staat stelt hun controlerende functie uit te oefenen.

De bescherming van persoonsgegevens is voor gemeenten een kerntaak. Dat bezuinig je niet weg en adviezen daarover sla je niet in de wind.

Alles bij de bron; Bits-of-Freedom