Privacy

Op 25 mei 2018 trad de Algemene Verordening Gegevensbescherming (AVG) in werking. De AVG zorgt ervoor dat privacyrechten worden versterkt en uitgebreid. Daarnaast wordt meer verantwoordelijkheid voor privacy neergelegd bij organisaties. Ook krijgt de Autoriteit Persoonsgegevens (AP), toezichthouder op de naleving van de privacywetgeving, de bevoegdheid om onder meer boetes op te leggen.

Al voor inwerkingtreding van de AVG werd de afvalbranche gewezen op het belang van privacy bij de taak van inzameling van huishoudelijk afval door gemeenten. In gemeente Arnhem klaagde een burger over de gegevens die verzameld werden bij ondergrondse containers die enkel geopend konden worden met afvalpassen gekoppeld aan een adres.

In het kader van de Arnhemse afvalpaszaak en de inwerkingtreding van de AVG, heeft de NVRD een aantal stappen ondernomen om haar leden te ondersteunen om zich te conformeren aan de privacywetgeving. De NVRD heeft de Factsheet privacy opgesteld. Aan de hand daarvan kunt u in kaart brengen of de persoonsgegevens die u verzamelt al dan niet risicovol zijn in het kader van de privacywetgeving. Daarnaast heeft de NVRD een aantal modellen opgesteld die de afvalbranche kunnen helpen conform de privacy wetgeving te opereren. U treft de modellen en de Factsheet privacy aan onder het kopje ‘Betekenis voor gemeenten en afvalbedrijven’.

Factsheet privacy

De NVRD heeft naar aanleiding van de Arnhemse afvalpaszaak de werkgroep Privacy opgericht. Deze werkgroep heeft zich bezig gehouden met de vraag wat wel en wat niet mag wanneer afvalinzamelaars persoonsgegevens registeren bij de uitvoering van hun taak. Een en ander heeft geresulteerd in de Factsheet Privacy.

In de Factsheet Privacy is voor vier verschillende inzamelmiddelen / methoden (namelijk minicontainers, ondergrondse containers, milieustraten en grofvuil op afspraak), in kaart gebracht welke gegevens hiermee verzameld kunnen worden en met welk doel. Per registratie-item is vervolgens, in overleg met Hekkelman Advocaten, in kaart gebracht in hoeverre het desbetreffende registratie item al dan niet risicovol zou kunnen zijn gelet op de geldende privacywetgeving.

Voor een optimaal gebruik van de factsheet kunt u in eerste instantie de situatie van uw eigen gemeente in kaart brengen. Welke inzamelmiddelen / methoden worden er gebruikt, welke persoonsgegevens worden daarmee verzameld en welke doelen voor het verwerken van de persoonsgegevens zijn in het beleid neergelegd? U kunt vervolgens uw eigen situatie toetsen aan de factsheet, waarin per registratie-item is aangegeven of er al dan geen sprake is van een risico in het kader van de geldende privacywetgeving.

Luister hier naar de Podcast over privacy in de afvalbranche en het gebruik van de Factsheet:

 

Modellen

Naast de factsheet heeft de NVRD in samenwerking met Hekkelman Advocaten een aantal modellen opgesteld die de afvalbranche helpen conform de privacywetgeving te opereren. Het in kaart brengen en toetsen van uw eigen situatie aan de hand van deze factsheet zal handig zijn bij het invullen van de modellen.

Model bewerkersovereenkomst

Er is een model bewerkersovereenkomst voor de afvalbranche opgesteld. Reden hiervan is dat iedere organisatie die persoonsgegevens verwerkt op grond van de privacywetgeving verplicht is om, bij uitbesteding van diensten waarbij persoonsgegevens worden verwerkt, een bewerkersovereenkomst af te sluiten met de dienstverlener. Als een gemeente de afvalinzameling heeft uitbesteed aan een publiek afvalbedrijf, zal bijvoorbeeld een bewerkersovereenkomst moeten worden gesloten tussen gemeente en afvalbedrijf. U vindt het model en de toelichting daarop hieronder:

Model privacyverklaring

Naast het model bewerkersovereenkomst hebben de NVRD en Hekkelman Advocaten een model privacyverklaring voor gemeenten opgesteld. Iedere gemeente moet haar inwoners namelijk informeren over de wijze waarop met hun persoonsgegevens wordt omgegaan en over het doel van de verwerking van deze persoonsgegevens. Aangezien publieke afvalbedrijven ook namens de gemeente(n) waarvoor wordt ingezameld kunnen informeren, is ook een model privacyverklaring voor publieke afvalbedrijven opgesteld. U vindt de modellen en de toelichtingen daarop hieronder:

Model intern protocol

De NVRD en Hekkelman Advocaten hebben modellen voor intern werkende protocollen voor zowel gemeenten als publieke afvalbedrijven opgesteld. Deze zien toe op de wijze waarop gemeenten en publieke afvalbedrijven omgaan met persoonsgegevens (beveiliging, wat te doen bij datalekken e.d.). U vindt de modellen en de toelichtingen daarop hieronder

Op 25 mei 2018 trad de Algemene Verordening Gegevensbescherming (AVG) in werking. Maar al voor inwerkingtreding van de AVG werd de afvalbranche geconfronteerd met het belang van privacy. Namelijk in de Arnhemse afvalpaszaak.

Halverwege juli 2014 installeerde de gemeente Arnhem ondergrondse containers voor restafval. Deze containers konden alleen worden geopend met een pasje dat gekoppeld is aan het adres van de pashouder. Een inwoner van de gemeente Arnhem maakte bezwaar tegen dit systeem, waarmee persoonsgegevens worden verwerkt. De Autoriteit Persoonsgegevens (AP) heeft zich over de zaak gebogen.

De AP heeft op 20 april 2017 een beslissing genomen in de Arnhemse afvalpaskwestie. Uit die beslissing is een aantal relevante punten op te maken. Ten eerste heeft de AP aangegeven dat het gebruik van adresgebonden afvalpassen is toegestaan. De gemeente moet daarvoor dan wel een duidelijk en gerechtvaardigd doel hebben en moet voldoen aan de overige eisen van de privacywetgeving. Ten tweede heeft de AP besloten de stortgegevens op een (ondergrondse) container te kwalificeren als persoonsgegevens, zelfs als die gegevens voor gemeenten niet direct toegankelijk zijn en alleen via een koppeling van diverse bestanden herleidbaar zijn tot een adres. De afvalcontainers in Arnhem verwerken dus persoonsgegevens in de vorm van stortgegevens (wie wat wanneer stort). Deze verwerking is volgens de AP niet noodzakelijk voor een goede vervulling van de publiekrechtelijke taak. Daardoor bestaat geen grondslag voor de verwerking, is de verwerking bovenmatig en handelt de gemeente Arnhem in strijd met de Wbp. Ten derde concludeert de AP dat in het geval van diftar het verwerken van stortgegevens nodig is om het variabele deel van de afvalstoffenheffing te bepalen. De AP treedt niet handhavend op tegen de gemeente Arnhem, omdat de gemeente voornemens is om per 1 januari 2018 over te stappen op het diftarsysteem. Vanaf dat moment heeft de gemeente een doeleinde voor het verwerken van de stortgegevens en is de verwerking daarvan in overeenstemming met de privacyregelgeving. Zie voor een uitgebreidere bespreking van de beslissing van de AP en de uitwerking voor de afvalbranche het artikel 'Arnhemse afvalpaszaak relevant voor de afvalbranche?' (verschenen in GRAM juni 2017).

Tegen die beslissing van de AP is door de burger uit de gemeente Arnhem bezwaar gemaakt. Op 1 augustus 2017 nam de AP een beslissing op bezwaar. Tegen die beslissing op bezwaar is inmiddels beroep ingesteld, zodat aan de zaak nog geen einde is gekomen. De beslissing van de AP van 1 augustus 2017 schept niet veel meer duidelijkheid over de grenzen en kaders van het gebruik van afvalpassen gekoppeld aan adres. Wat dat betreft blijft de eerste beslissing van groot belang.

Ten tijde van de beslissing van de AP van 1 augustus 2017 was duidelijk dat gemeente Arnhem het diftarsysteem niet per 1 januari 2018 kon invoeren. De AP besloot daarom op 1 augustus 2017 om wel handhavend tegen gemeente Arnhem op te treden. De AP heeft gemeente Arnhem opgedragen uiterlijk op 1 september 2017 de afvalcontainers open te zetten, zodat deze zonder afvalpas gebruikt kunnen worden. Daarnaast heeft de AP gemeente Arnhem opgedragen om uiterlijk op 1 oktober 2017 de stortgegevens die nog in de geheugens van de cardreaders op de afvalcontainers werden bewaard, te wissen. Indien dit alles niet op tijd zou gebeuren, zou gemeente Arnhem een boete (een zogeheten last onder dwangsom) krijgen.

De aanscherping van de privacywetgeving gecombineerd met de Arnhemse afvalpaszaak heeft de NVRD ertoe aangezet het privacy dossier actief op te pakken. De NVRD probeert zoveel mogelijk duidelijkheid te geven over de kaders van het privacy-proof gebruik van afvalpassen gekoppeld aan een adres, gechipte minicontainers en privacy op milieustraten en bij ophalen grof vuil op afspraak. De NVRD heeft in dit kader de werkgroep Privacy opgericht en wordt ook bijgestaan door de werkgroep STOSAG en commissie STOSAG. U treft de Factsheet privacy en de modellen aan onder het kopje ‘Betekenis voor gemeenten en afvalbedrijven’.