Gemeenten geven aan dat zij de Rijksoverheid willen assisteren bij de hulp aan de gedupeerden van de toeslagenaffaire. Het gaat om het verlenen van bijstand op financieel gebied, maar mogelijk ook om andere hulp. Bijvoorbeeld op het gebied van huisvesting. Met het ministerie van Financiën is afgesproken dat zij met gemeenten delen welke inwoners precies door de toeslagenaffaire zijn getroffen. Gemeenten bieden die inwoners hulp aan en verrekenen dit achteraf met het Rijk. Leuker kunnen we het niet maken. Wel makkelijker.
Maar op AVG-gebied ontspoort de samenwerking tussen Rijk en gemeenten, en maken we het onnodig ingewikkeld. Het ministerie van Financiën verstrekt de informatie over gedupeerden op basis van een machtigingsbesluit en een bijbehorende verwerkersovereenkomst, die gemeenten moeten ondertekenen voordat informatie wordt gedeeld. Maar waarom die verwerkersovereenkomst?
Gemeenten zijn verwerkingsverantwoordelijken
Gemeenten kúnnen wel verwerker zijn. Bijvoorbeeld als een ‘centrumgemeente’ voor andere gemeenten de rol van regionale dienstverlener op zich neemt. Maar in dit geval staat de gekozen constructie haaks op de Gemeentewet (en daarmee de Nederlandse Grondwet) en wetten zoals de Wet maatschappelijke ondersteuning en de Wet gemeentelijke schuldhulpverlening.
Gemeenten zijn autonoom op het gebied van hulpverlening aan hun inwoners. Ze zijn daarmee verwerkingsverantwoordelijken in de zin van de AVG en geen verwerkers. Met verwerkingsverantwoordelijken kún je geen verwerkersovereenkomsten sluiten.
De juiste oplossing is een bestuurlijk samenwerkingsconvenant, met eventueel als bijlage een protocol voor veilige en betrouwbare gegevensuitwisseling (operationele informatiebeveiligingsoplossingen).
Een afzonderlijke grondslag is niet nodig
De reden van de onjuiste oplossing is dat de bedenkers worstelden met beperkende bepalingen in de Nederlandse Uitvoeringswet AVG, over uitwisseling van het BSN (artikel 46 UAVG). Maar naar de maatstaf van het EU publiekrecht – en dat prevaleert – spoort artikel 46 UAVG niet met de AVG. Dit kaartten wij als PMP vorig jaar al aan in onze brief aan de minister voor Rechtsbescherming.
De AVG staat het prima toe dat Rijk en gemeenten elkaar assisteren bij de hulp aan gedupeerden in de toeslagenaffaire. Een afzonderlijke grondslag is niet nodig. Beperkingen en instructies in de verwerkersovereenkomst conform artikel 28.3 AVG, zoals instructies aan gemeenten om gegevens na vier maanden te vernietigen, zijn dan ook je reinste flauwekul. Bedenk hierbij ook dat gemeenten al lang en breed over de gegevens beschikken, want het gaat om niets anders dan een paar contactgegevens. Ook stonden ze al lang in de basisregistratie personen (werking Wet BRP).
De verwerkersovereenkomst is niet rechtsgeldig om de hiervoor genoemde redenen. Maar bij het verkrijging van contactgegevens voor het bieden van hulp aan gedupeerden, heeft iedere gemeente evengoed te voorzien in passende beschermingsmaatregelen. Hoe lang de contactgegevens beschikbaar moeten blijven bepaalt een gemeente zelf, vanwege haar taakuitoefening en archiefverplichtingen.
Digibetocratie
Het gebruik van het BSN maakt het er echt niet spannender op. De S van BSN staat voor service, en dat is precies wat gemeenten gedupeerden willen bieden. Het BSN waarborgt dat de juiste persoon wordt bediend en niet iemand anders. Dat maakt het BSN niet tot een privacyrisico, maar een gegevensbeschermingswaarborg in de zin van artikel 5.1d AVG.
De Nederlandse wetgever heeft nog geen deugdelijke AVG-risicoanalyse op het BSN-stelsel uitgevoerd. Daarmee staat iedere uitspraak over de privacygevoeligheid van het BSN op gelijke hoogte met de opvatting dat 5G-zendmasten het coronavirus verspreiden. Waar baseren we ons op?
De Verwerkersovereenkomst Toeslaggedupeerden is een prachtig staaltje digibetocratie, zoals Arjan Lubach het op 14 februari verwoordde. Het document oogt misschien prachtig, maar is het tegenovergestelde van wat met de AVG wordt beoogd. Gemeenten worden opgezadeld met extra administratieve lasten terwijl juist niet wordt voorzien in passende maatregelen om gedupeerden klantgericht (mens centraal) te helpen.
