default

Privacy

Op 25 mei 2018 trad de Algemene Verordening Gegevensbescherming (AVG) in werking. De AVG zorgt ervoor dat privacyrechten worden versterkt en uitgebreid. Daarnaast wordt meer verantwoordelijkheid voor privacy neergelegd bij organisaties. Ook krijgt de Autoriteit Persoonsgegevens (AP), toezichthouder op de naleving van de privacywetgeving, de bevoegdheid om onder meer boetes op te leggen.

Al voor inwerkingtreding van de AVG werd de afvalbranche gewezen op het belang van privacy bij de taak van inzameling van huishoudelijk afval door gemeenten. In gemeente Arnhem klaagde een burger over de gegevens die verzameld werden bij ondergrondse containers die enkel geopend konden worden met afvalpassen gekoppeld aan een adres.

In het kader van de Arnhemse afvalpaszaak en de inwerkingtreding van de AVG, heeft de NVRD een aantal stappen ondernomen om haar leden te ondersteunen om zich te conformeren aan de privacywetgeving. De NVRD heeft de Factsheet Privacy opgesteld. Aan de hand daarvan kunt u in kaart brengen of de persoonsgegevens die u verzamelt al dan niet risicovol zijn in het kader van de privacywetgeving. De factsheet zal worden uitgebreid met cameratoezicht op milieustraten en bij milieuparkjes van ondergrondse/bovengrondse containers. Verder is een stappenplan opgesteld voor de aanpak van nulaanbieder/veelaanbieders en de controle van minicontainers. De daarin beschreven stappen zijn overigens voor iedere verwerking van persoonsgegevens binnen de afvalbranche bruikbaar. Daarnaast heeft de NVRD een aantal modellen opgesteld die de afvalbranche kunnen helpen conform de privacy wetgeving te opereren. U treft de modellen en de Factsheet privacy aan onder het kopje ‘Betekenis voor gemeenten en afvalbedrijven’.

Een van de speerpunten van de AVG is transparantie. Daar zien we in de afgelopen periode de meeste problemen ontstaan. Burgers die niet goed zijn geïnformeerd over het feit dat in het kader van afvalinzameling persoonsgegevens (zoals adresgegevens en afvalpasnummers) van hen worden verzameld, zijn eerder geneigd om te klagen en de media op te zoeken. Informeren is daarom heel belangrijk en een blijvend aandachtspunt. Daarvoor is ook de privacyverklaring opgesteld. De NVRD raadt haar leden aan om van deze verklaring gebruik te maken zodat burgers goed geïnformeerd zijn. Zorg bovendien dat in communicatieboodschappen omtrent afvalinzameling privacy als onderwerp aan de orde wordt gesteld. Zo dient bij vervanging van ongechipte minicontainers door gechipte minicontainers (of het uitzetten van nieuwe gechipte minicontainers) niet alleen de praktische informatie te worden opgenomen in de informatiebrief aan de burgers, maar ook de informatie over de verwerking van persoonsgegevens via de chip.

Actuele stand van zaken/ontwikkelingen

Factsheet privacy

De NVRD heeft naar aanleiding van de Arnhemse afvalpaszaak de werkgroep Privacy opgericht. Deze werkgroep heeft zich bezig gehouden met de vraag wat wel en wat niet mag wanneer afvalinzamelaars persoonsgegevens registeren bij de uitvoering van hun taak. Een en ander heeft geresulteerd in de Factsheet Privacy.

In de Factsheet Privacy is voor vier verschillende inzamelmiddelen / methoden (namelijk minicontainers, ondergrondse containers, milieustraten en grofvuil op afspraak), in kaart gebracht welke gegevens hiermee verzameld kunnen worden en met welk doel. Per registratie-item is vervolgens, in overleg met Hekkelman Advocaten, in kaart gebracht in hoeverre het desbetreffende registratie item al dan niet risicovol zou kunnen zijn gelet op de geldende privacywetgeving.

Voor een optimaal gebruik van de factsheet kunt u in eerste instantie de situatie van uw eigen gemeente in kaart brengen. Welke inzamelmiddelen / methoden worden er gebruikt, welke persoonsgegevens worden daarmee verzameld en welke doelen voor het verwerken van de persoonsgegevens zijn in het beleid neergelegd? U kunt vervolgens uw eigen situatie toetsen aan de factsheet, waarin per registratie-item is aangegeven of er al dan geen sprake is van een risico in het kader van de geldende privacywetgeving.

Modellen

Naast de factsheet heeft de NVRD in samenwerking met Hekkelman Advocaten een aantal modellen opgesteld die de afvalbranche helpen conform de privacywetgeving te opereren. Het in kaart brengen en toetsen van uw eigen situatie aan de hand van deze factsheet zal handig zijn bij het invullen van de modellen.

Model verwerkersovereenkomst

Er is een model verwerkersovereenkomst voor de afvalbranche opgesteld. Reden hiervan is dat iedere organisatie die persoonsgegevens verwerkt op grond van de privacywetgeving verplicht is om, bij uitbesteding van diensten waarbij persoonsgegevens worden verwerkt, een verwerkersovereenkomst af te sluiten met de dienstverlener. Als een gemeente de afvalinzameling heeft uitbesteed aan een publiek afvalbedrijf, zal bijvoorbeeld een verwerkersovereenkomst moeten worden gesloten tussen gemeente en afvalbedrijf. U vindt de modellen en de toelichtingen daarop in de documentenlijst.

Let wel: de VNG heeft een standaard verwerkersovereenkomst vastgesteld met daarbij de bepaling dat deze verplicht gebruikt moet worden door gemeenten. Die verplichting geld vanaf 1 januari 2020. Tot dat moment geldt het principe van pas toe of leg uit. De verwerkersovereenkomst van VNG is niet specifiek toegesneden op de afval- en reinigingsbranche. Maar in de bijlage bij de standaard verwerkersovereenkomst van de VNG dienen de concrete persoonsgegevens die verwerkt worden en categorieën van betrokkenen die genoemd te worden. Daarvoor kunnen de reeds ingevulde bijlagen bij het NVRD model gebruikt worden om de bijlagen in de VNG standaard in te vullen.

Model privacyverklaring

Naast het model verwerkersovereenkomst hebben de NVRD en Hekkelman Advocaten een model privacyverklaring voor gemeenten opgesteld. Iedere gemeente moet haar inwoners namelijk informeren over de wijze waarop met hun persoonsgegevens wordt omgegaan en over het doel van de verwerking van deze persoonsgegevens. Aangezien publieke afvalbedrijven ook namens de gemeente(n) waarvoor wordt ingezameld kunnen informeren, is ook een model privacyverklaring voor publieke afvalbedrijven opgesteld. U vindt de modellen en de toelichtingen daarop in de documentenlijst.

Model intern protocol

De NVRD en Hekkelman Advocaten hebben modellen voor intern werkende protocollen voor zowel gemeenten als publieke afvalbedrijven opgesteld. Deze zien toe op de wijze waarop gemeenten en publieke afvalbedrijven omgaan met persoonsgegevens (beveiliging, wat te doen bij datalekken e.d.). U vindt de modellen en de toelichtingen daarop in de documentenlijst.

Betekenis voor gemeenten en publieke bedrijven

Op 25 mei 2018 trad de Algemene Verordening Gegevensbescherming (AVG) in werking. Maar al voor inwerkingtreding van de AVG werd de afvalbranche geconfronteerd met het belang van privacy. Namelijk in de Arnhemse afvalpaszaak.

Halverwege juli 2014 installeerde de gemeente Arnhem ondergrondse containers voor restafval. Deze containers konden alleen worden geopend met een pasje dat gekoppeld is aan het adres van de pashouder. Een inwoner van de gemeente Arnhem maakte bezwaar tegen dit systeem, waarmee persoonsgegevens worden verwerkt. De Autoriteit Persoonsgegevens (AP) heeft zich over de zaak gebogen.

De AP heeft op 20 april 2017 een beslissing genomen in de Arnhemse afvalpaskwestie. Uit die beslissing is een aantal relevante punten op te maken. Ten eerste heeft de AP aangegeven dat het gebruik van adresgebonden afvalpassen is toegestaan. De gemeente moet daarvoor dan wel een duidelijk en gerechtvaardigd doel hebben en moet voldoen aan de overige eisen van de privacywetgeving. Ten tweede heeft de AP besloten de stortgegevens op een (ondergrondse) container te kwalificeren als persoonsgegevens, zelfs als die gegevens voor gemeenten niet direct toegankelijk zijn en alleen via een koppeling van diverse bestanden herleidbaar zijn tot een adres. De afvalcontainers in Arnhem verwerken dus persoonsgegevens in de vorm van stortgegevens (wie wat wanneer stort). Deze verwerking is volgens de AP niet noodzakelijk voor een goede vervulling van de publiekrechtelijke taak. Daardoor bestaat geen grondslag voor de verwerking, is de verwerking bovenmatig en handelt de gemeente Arnhem in strijd met de Wbp. Ten derde concludeert de AP dat in het geval van diftar het verwerken van stortgegevens nodig is om het variabele deel van de afvalstoffenheffing te bepalen. De AP treedt niet handhavend op tegen de gemeente Arnhem, omdat de gemeente voornemens is om per 1 januari 2018 over te stappen op het diftarsysteem. Vanaf dat moment heeft de gemeente een doeleinde voor het verwerken van de stortgegevens en is de verwerking daarvan in overeenstemming met de privacyregelgeving. Zie voor een uitgebreidere bespreking van de beslissing van de AP en de uitwerking voor de afvalbranche het artikel 'Arnhemse afvalpaszaak relevant voor de afvalbranche?' (verschenen in GRAM juni 2017, zie documentenlijst).

Tegen die beslissing van de AP is door de burger uit de gemeente Arnhem bezwaar gemaakt. Op 1 augustus 2017 nam de AP een beslissing op bezwaar (zie documentenlijst). Tegen die beslissing op bezwaar is inmiddels beroep ingesteld, zodat aan de zaak nog geen einde is gekomen. De beslissing van de AP van 1 augustus 2017 schept niet veel meer duidelijkheid over de grenzen en kaders van het gebruik van afvalpassen gekoppeld aan adres. Wat dat betreft blijft de eerste beslissing van groot belang.

Ten tijde van de beslissing van de AP van 1 augustus 2017 was duidelijk dat gemeente Arnhem het diftarsysteem niet per 1 januari 2018 kon invoeren. De AP besloot daarom op 1 augustus 2017 om wel handhavend tegen gemeente Arnhem op te treden. De AP heeft gemeente Arnhem opgedragen uiterlijk op 1 september 2017 de afvalcontainers open te zetten, zodat deze zonder afvalpas gebruikt kunnen worden. Daarnaast heeft de AP gemeente Arnhem opgedragen om uiterlijk op 1 oktober 2017 de stortgegevens die nog in de geheugens van de cardreaders op de afvalcontainers werden bewaard, te wissen. Indien dit alles niet op tijd zou gebeuren, zou gemeente Arnhem een boete (een zogeheten last onder dwangsom) krijgen. De gemeente Arnhem heeft aan de opgelegde last voldaan en daarom ook geen dwangsom verbeurd. Inmiddels is op verzoek van de gemeente Arnhem de last onder dwangsom opgeheven. Echter, de burger heeft daar bezwaar tegen ingediend. Die procedure loopt nog.

Standpunten / Wat doet de NVRD

De aanscherping van de privacywetgeving gecombineerd met de Arnhemse afvalpaszaak heeft de NVRD ertoe aangezet het privacy dossier actief op te pakken. De NVRD probeert zoveel mogelijk duidelijkheid te geven over de kaders van het privacy-proof gebruik van afvalpassen gekoppeld aan een adres, gechipte minicontainers en privacy op milieustraten en bij ophalen grof vuil op afspraak. De NVRD heeft in dit kader de werkgroep Privacy opgericht en wordt ook bijgestaan door de werkgroep STOSAG en commissie STOSAG. U treft de Factsheet privacy en de modellen aan onder het kopje ‘Betekenis voor gemeenten en publieke bedrijven’.