Deze blog is met name geschreven met overweging 45 AVG in het achterhoofd en op basis van artikel 5 en 6. Klik op de links als je die teksten er op wilt naslaan (scroll naar de juiste overweging/artikelen). AVG-overwegingen zijn de authentieke toelichting op de AVG en gaan daarom boven andere zienswijzen. De link naar de wetsartikelen geeft je toegang tot de meest recente wettekst.
‘Geen grondslag’ is een vaak voorkomende stok tussen de spaken van gemeenten. Grondslagen krijgen daarnaast veel aandacht in het verwerkingsregister en in DPIA’s. In deze blog denk ik na over wat de AVG precies zegt over grondslagen. Conclusie? Grondslagen zijn wel je minste probleem. Follow desnoods the money, maar focus vooral op het echte werk volgens de AVG: de menselijke maat en goed eigenaarschap.
Als er iets is waarmee je uit de bocht kunt vliegen als het over de AVG gaat, dan zijn het wel grondslagen. Vaak gebeurt dat in situaties waarbij je als gemeente iets zinnigs wilt doen met persoonsgegevens, zoals hulp aanbieden, fraude bestrijden, beleidsinformatie genereren, inwoners aanschrijven of zoiets als druktemeting in het winkelgebied. En dat mag dan niet, want er is geen grondslag, is de tegenwerping vanuit de privacyhoek.
Ook merk ik dat we vaak tot achter de komma veel tijd en energie steken in de grondslagenregistratie in het verwerkingsregister. Net nauwgezet boekhouden, maar dan anders. En wat moet ik als FG met al die DPIA’s die grotendeels bestaan uit een grondslagentoets? En waarvan de uitkomst is dat het risico voor de betrokkene is dat er geen grondslag is?
#Leesdeavgbeter
#Leesdeavgbeter. In artikel 30 AVG staat niet dat je in een verwerkingsregister je grondslagen moet bijhouden. In artikel 35 over DPIA’s staat niet dat daar ook een grondslagentoets bij hoort. En in overweging 75-76 AVG staat niet dat ‘geen grondslag’ een risico is.
Of leef je misschien in de veronderstelling dat met ‘een beoordeling van de noodzaak en evenredigheid met betrekking tot de doeleinden’ (artikel 35.7b AVG), grondslagentoetsing wordt bedoeld? Ai.
Een DPIA is een logisch denkproces om te beredeneren wat passende maatregelen zijn: dé hamvraag van de AVG. Je verstoort dat door plotseling over grondslagen te beginnen. In deze fase van een DPIA draait het uitsluitend om de vraag welke informatie voor goede taakuitvoering werkelijk nodig is en voor hoe lang. Dat wil zeggen: doelmatig, doeltreffend en mensgericht. ‘Noodzaak en evenredigheid’ in artikel 35 over DPIA’s, is de proportionaliteitstoets van artikel 5.1c en 5.1e AVG. En niet de grondslagentoets van artikel 6.1 AVG.
Artikel 6 AVG is geen probleem, maar een oplossing
Alhoewel, zelfs artikel 6 AVG zegt niet dat je een grondslagentoets moet doen. Het hele woord ‘grondslag’ kom je in de wettekst niet eens tegen. Alleen in de overwegingen. Welgeteld drie keer, waarvan twee op een relevante manier. Op een document van 32.374 woorden is dat wel een beetje mager als grondslagen ons zo bezig houden.
Ik zeg dat niet om grondslagen te bagatelliseren. Ze zijn zelfs wezenlijk. Alleen komt de EU-wetgever in artikel 6 met een oplossing in plaats van een grondslagenprobleem. ‘There is no spoon’, voor wie The Matrix heeft gezien.
Om dat te kunnen begrijpen, moet je artikel 6 lezen in relatie tot artikel 5 AVG. Want de EU-wetgever bouwt hierop voort. Let hierbij op de woorden ‘rechtmatig’ en ‘gerechtvaardigde doeleinden’ in respectievelijk 5.1a en 5.1b. In artikel 6 helpt de wetgever vervolgens, door je vijf hoofdcategorieën aan te reiken van wat zonder meer gerechtvaardigd is, dus grondslag hééft (lees: zulke gegevensverwerking is legitiem).
Die lijst van vijf begint bij artikel 6.1b (overeenkomst) en eindigt bij 6.1f (gerechtvaardigd belang), dat voor de duidelijkheid overigens beter ‘overige gerechtvaardigde doeleinden’ had kunnen heten. Want nu lijkt het net alsof bijvoorbeeld het moeten archiveren van stukken wegens fiscale bewaarplichten (6.1c), geen gerechtvaardigd belang is.
Artikel 6.1a (toestemming) telt in dit hele verhaal niet mee, want dat is geen doeleinde. Toestemming is meer de vluchtstrook voor als je er met de lijst van vijf niet uitkomt. Maar wie verstandig omgaat met de AVG, heeft die vluchtstrook helemaal niet nodig. De lijst van vijf biedt gemeenten ruim voldoende basis (gronden, grondslagen).
Past het in een vakje? Ga door naar stap 2
Zie de lijst van vijf als vijf vakjes. Een gegevensverwerking die je in minimaal één van die vakjes kunt passen, is in beginsel (= grondslag) OK. Neem bijvoorbeeld de verwerking van beelden van de camerabewaking bij gemeenteloketten. Zolang je die camera’s niet ophangt voor de lol of om iedereen te bespioneren, maar als hulpmiddel voor waarborgen van de veiligheid van personen en gebouwbeveiliging, past verwerking van camerabeelden in vak f.
Althans; zolang je dat netjes aanpakt. Want anders kunnen de belangen van personen zwaarder wegen. Voor netjes: ga naar stap 2 van de AVG, waar een goede DPIA je helpt om het recept te produceren voor hoe camerabewaking wél mag. De beeldverwerking vindt dan behoorlijk, zorgvuldig en in overeenstemming met de wet plaats, zoals het zo treffend stond in ons oude artikel 6.
Stap 3 is dat je dat recept ook daadwerkelijk volgt, door de realisatie van benodigde maatregelen. Et voilà – de camerabewaking voldoet aan de AVG. Aan artikel 25 om precies te zijn (‘privacy by design’).
Dat is het hele eiereten van grondslagen: past iets in één van de vakjes volgens de lijst van vijf? Zo ja, ga door naar stap 2. Afgezien van complicaties in artikel 7 tot en met 11 AVG die mogelijk nog aandacht vragen. Een en ander vergt wel nog iets anders belangrijks: het vermogen om dit alles ook goed te organiseren en te (waar)borgen. Maar dan hebben we het over goed eigenaarschap. Daarover hierna meer.
Het zijn van een gemeente
Artikel 6.1 AVG start best intimiderend: ‘De verwerking is alleen rechtmatig indien en voor zover tenminste aan een van de onderstaande voorwaarden is voldaan’. Maar laat je niet in de luren leggen. Wat volgt is gewoon de lijst van vijf plus toestemming. En dat is logisch. Want het doel van de AVG – artikel 1 – is niet om gegevensverwerking te beperken of te verbieden, maar om het in goede banen te leiden.
Elke gegevensverwerking binnen gemeenten in Nederland past op één van deze manieren in de vijf vakjes:
- We hebben het over gegevensverwerking in de dienstverleningssfeer
- We praten over gegevensverwerking op het gebied van belastingheffing
- De gegevensverwerking is logisch in het kader van toezicht en handhaving
- De gegevensverwerking vloeit voort uit gemeentelijke opsporingstaken 1
- De gegevensverwerking houdt verband met milieu, wonen, verkeer en gebiedsinrichting
- De gegevensverwerking is nodig voor goed werkgeverschap en interne bedrijfsvoering, zoals in het voorbeeld van de beveiligingscamera’s
- De gegevensverwerking ondersteunt duaal bestuur – dus de gemeentelijke democratie
Valt de verwerking niet onder deze punten? Dan ligt daar een taak voor de FG.
Waarom deze zeven? Omdat ze bij elkaar opgeteld iedere gemeente in Nederland zijn. Dat zuig ik niet uit mijn duim, maar kun je herleiden tot de Grondwet, de Gemeentewet, de Algemene wet bestuursrecht en de Wet gemeenschappelijke regelingen. Daarnaast is er nog een hele trits aan andere wetten die bepalen wat gemeenten zijn. Denk naast materiewetten zoals de Omgevingswet, de wetten in het sociaal domein, ook aan de Ambtenarenwet, de arbowetgeving, de Archiefwet, enzovoorts.
De Raad van State sloeg de spijker op z’n kop in haar uitspraak over de Arnhemse afvalpas. Niet de afvalpas heeft een grondslag nodig, maar de gemeente. En die is er, bevestigde de Raad van State, namelijk vanwege het algemeen belang waarvoor we überhaupt in Nederland – what’s in a name? – de Wet milieubeheer hebben. En dan nog het landelijke Afvalbeheerplan en het gemeentelijke afvalplan. Kortom, vak e. Het gemeentebestuur mag daarom prima besluiten tot invoering van een afvalpas.
Voor zover iets niet nationaal wettelijk geregeld is, is het altijd nog zo dat gemeenten lokaal bepalen hoe je als gemeente wilt zijn. Gemeentelijke autonomie, heet dat. Daarom verschillen alle 345 gemeenten in Nederland zo van elkaar.
De keuzes op dit vlak worden gemaakt in gemeentelijke verordeningen, bestuurs- en directiebesluiten, maar bijvoorbeeld ook in de afspraken die in lidmaatschapsverband worden gemaakt binnen de VNG. En uiteindelijk zijn er nog de afspraken waaraan de gemeenten gehouden zijn via bijvoorbeeld participatie in een overheids-BV, inkoopcontracten en – vak b – alle arbeidsovereenkomsten.
Laten we stoppen met grondslagen
Waar het om gaat is dat in al die verschillende regelingen en afspraken, het typische zijn van een gemeente ligt verankerd. En dat zijn de échte grondslagen. Voel je? Grondslagen liggen voor de hand. Daarom kun je ook niet zomaar zeggen dat er geen grondslag is. It’s staring you in the face. Dus laten we stoppen met AVG-grondslagen alsof dat iets extra’s is, en voortaan werken met de lijst van vijf zoals die is bedoeld.
Pas als je gemeente écht iets geks doet, is er mogelijk een grondslagenprobleem. Dat zag je goed in de discussie over de verwerking van gegevens over viruswappies door het Land Information Manoeuvre Centre van het Ministerie van Defensie. Zoiets hoort niet bij het typische zijn van onze krijgsmacht.
Ga dan niet zelf stampij maken. Nogmaals, in dit soort gevallen is er een taak voor de FG, dus leg het terug. Als het goed is beschikt de FG over de expertise en vaardigheden om zo’n grondslagenprobleem alsnog op te lossen. Zie in het geval van het LIMC haar onderzoeksrapport en de reactie van de Minister van Defensie.
Ook van overregulering moeten we af
Stoppen met grondslagen betekent ook dat we zouden moeten stoppen met wetgeving om grondslagen voor gegevensverwerking apart bij wet te regelen. Voorbeelden zijn de Wet gemeentelijke schuldhulpverlening of de Wet gegevensdeling door samenwerkingsverbanden. De AVG is er duidelijk over dat zoiets niet hoeft. Bovendien, Nederland is al zo dichtgeregeld. Het overheidsfunctioneren wordt er beslist niet beter door.
Alsof de bestaande wetgeving niet volstaat en gemeenten hun inwoners niet op eigen titel mogen helpen om uit schulden te komen. In samenwerking met de publieke en private partijen, die deel van de oplossing zijn. Voor de betrokkene kan dat zelfs van vitaal belang zijn (vak d). ‘Gegevensverwerking moet ten dienste van de mens staan’, zegt de AVG. Dat doet het dan toch?
En wat is het probleem als gemeenten in samenwerkingsverbanden gegevens delen, als dat ter zake doet en beperkt blijft tot wat noodzakelijk is om georganiseerde misdaad of zoiets als ernstige woonoverlast te bestrijden? Dat is toch ook terug te voeren op het zijn van een gemeente; in het bijzonder de verantwoordelijkheden van iedere gemeente op het gebied van leefbaarheid, openbare orde en veiligheid (vak e)?
Natuurlijk blijft het zaak om hierbij behoorlijk en zorgvuldig te werk te gaan, in overeenstemming met de AVG en – in dit geval ook de Wet politiegegevens. Maar dan heb je ook wat: privacy by design. Misschien is het een idee om aan de kwaliteitseisen voor nieuwe wetgeving voortaan toe te voegen dat, net als in artikel 6 AVG, ook wetgeving in de eerste plaats noodzakelijk moet zijn.
Goed eigenaarschap
Een manier om beter gevoel te krijgen bij de zwaarte van het bovenliggend belang, is door te kijken naar het geld dat een gemeente hiervoor reserveert op de begroting (niet te verwarren met de subsidiepot). Zeker bij activiteiten in de e-categorie geldt: hoe groter het bedrag, hoe groter normaal gesproken de noodzaak. Maar ook de investering in bijvoorbeeld medewerkerstevredenheidsonderzoek (vak f) zegt in verhouding veel. Over uitgaven wordt meestal goed nagedacht. Als er geen noodzaak bestaat, wordt dat geld ook niet gespendeerd.
De besluitvorming over budgetten en de opdrachtverlening is dus hét moment waarop doel en middelen van de gegevensverwerking worden vastgesteld. Het gemeentebestuur schept op dat moment bestuurlijk eigenaarschap. Vaak zul je zien dat dit eigenaarschap ook wettelijk is verankerd, zoals de taakstelling van het college in de Leerplichtwet of die van de burgemeester in de Gemeentewet.
Het is vanwege dat eigenaarschap dat gemeentebesturen verwerkingsverantwoordelijke zijn in de zin van de AVG – tot het moment dat de bovenliggende gemeenteverantwoordelijkheden niet meer bestaan. En de onderliggende gegevensverwerkingen daarom niet meer noodzakelijk zijn.
Dankzij de AVG beschikken gemeentebesturen over de handvatten om dat eigenaarschap mens-centraal in te vullen, met behulp van regievoering. Want dat is waar de AVG over gaat, straks ook aangevuld met handvatten voor behoorlijk bestuur met algoritmes.
Dus laten we hierbij helpen. Door grondslagen niet als problemen te zien, maar door ze te gebruiken om iets wel voor elkaar te krijgen. Behoorlijk, zorgvuldig en in overeenstemming met de wet.
1 Niet de AVG maar de Wet Politiegegevens is van toepassing
