Tekst Leestijd: ca. 5 minuten
Foto Loïs Diallo

Informatie uitwisselen is een essentieel onderdeel van adresonderzoek. Maar sinds de invoering van de AVG heerst er koudwatervrees en zijn mensen huiverig om persoonsgegevens en onderzoekdossiers uit te wisselen met collega’s. Veel gemeentemedewerkers vragen zich af wanneer je informatie mag delen – en wanneer niet?

“Dat is de verkeerde vraag,” stelt Ulco van de Pol, privacy-adviseur van LAA. “Vraag je eerst af: waarom wil je informatie delen. Wat is je doel? Welke gegevens wil je precies delen? Met wie, met welke collega’s wil je delen? Wat is het (gemeenschappelijk) belang? Dan kunnen we aangeven wat er mag – en wat niet. En waar je op moet letten.”

We legden Van de Pol een aantal vragen voor die gemeenten regelmatig stellen aan LAA.

Wat is er door de AVG veranderd?

In de hele Europese Unie (EU) geldt nu dezelfde privacywetgeving en de Wet bescherming persoonsgegevens (Wbp) geldt niet meer. De BRP geldt nog wel. van de Pol: “De AVG en de BRP bestaan naast elkaar; de AVG werkt aanvullend op de BRP: dat wat de BRP niet regelt (zoals: data-analyse als onderdeel wettelijke plicht gemeenten om BRP bij te houden), moet je beoordelen op basis van de AVG. Dat noemen we de ‘schilwerking’ van de AVG."

Voor het gebruik van persoonsgegevens betekent de AVG geen grote verandering. "Net als onder de Wbp geldt dat er een wettelijke verplichting, zoals de terugmeldplicht in de Wet BRP, moet zijn om persoonsgegevens te mogen verwerken. Wel versterkt de AVG de positie van de betrokkenen: mensen van wie gegevens worden verwerkt, hebben meer en verbeterde privacy rechten. En de AVG is strenger voor organisaties die persoonsgegevens verwerken; zij hebben meer verplichtingen en meer verantwoordelijkheid. Als gegevensverwerker moet je kunnen aantonen dat je je aan de wet houdt en rechtmatig, behoorlijk en transparant werkt." 

"Voor deelname aan adresonderzoeken is met name van belang dat elke gemeente een verwerkingsregister moet bijhouden," zegt Van de Pol. "Documenteer welke persoonsgegevens de gemeente verwerkt, met welk doel, waar deze gegevens vandaan komen en met wie de gemeente ze deelt. Daarnaast moet elke gemeente een Functionaris Gegevensbeheer (FG) aanstellen als interne toezichthouder en vraagbaak voor privacyvraagstukken."

Ulco van de Pol

Hoe kun je o.g.v. de AVG rechtmatig gegevens uitwisselen? 

Hoofdregel luidt: een gemeente heeft het recht om persoonsgegevens te verwerken MITS je je kunt baseren op minimaal 1 van de AVG-grondslagen voor het verwerken van persoonsgegevens (artikel 6 AVG).

Checklist gegevensverwerking/-uitwisseling:

  • Welke persoonsgegevens wil je, waarom, hoe verwerken? Wat is het gerechtvaardigde doel om bepaalde persoonsgegevens te verzamelen, te bewaren en/of te delen? 
  • Is er een grondslag om persoonsgegevens te verwerken? 
  • Is er doelbinding? 
  • Is de beoogde gegevensverwerking proportioneel?

Op welke grondslag mag Burgerzaken adresonderzoek doen?

De Wet BRP verplicht overheden ertoe het BRP-adres te gebruiken en te onderhouden; de afdeling Burgerzaken heeft de wettelijke taak om de BRP-registraties bij te houden. De uitvoering hiervan kan worden aangemerkt als een taak van algemeen belang. 

Daarmee voldoen gemeentelijke adresonderzoeken aan twee AVG-grondslagen (artikel 6 AVG):

  • de gegevensverwerking is noodzakelijk voor het nakomen van een wettelijke verplichting
  • de gegevensverwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of uitoefening van openbaar gezag.

Ook onderzoek- en handhavingsbevoegdheden op grond van andere wetten, zoals de Participatiewet, de Woningwet en de Huisvestingswet kunnen, ook in combinatie, als grondslag dienen. Een sociaal rechercheur heeft o.g.v. de Participatiewet (Pw) méér onderzoeksmogelijkheden en bevoegdheden dan een toezichthouder BRP; zo verplicht de Pw onder meer woningcorporaties en werkgevers om desgevraagd informatie te verschaffen.

‘Gerede twijfel aan juistheid BRP-registratie’ is grond voor gegevensverwerking.

Gemeenten hebben de plicht om de registratie in de BRP bij te houden. Andere afdelingen en overheidsinstanties moeten voor veel regelingen het BRP-adres van inwoners gebruiken en moeten zelf ook adrestwijfels terugmelden aan Burgerzaken.

De terugmeldplicht uit de Wet BRP is een wederzijdse plicht. Daar vloeit uit voort dat gerede twijfel of de bewoning op een adres wel klopt met de BRP-registratie voldoende grond voor adresonderzoek is. 

Wat is ‘doelbinding’? (artikel 5 AVG)

Persoonsgegevens mogen slechts worden verwerkt, wanneer hier een vooraf bepaald, duidelijk omschreven en gerechtvaardigd doel voor bestaat. Verder gebruik (zoals gegevens delen) mag alleen als dit verenigbaar is met het doel waarvoor de gegevens oorspronkelijk zijn verzameld (artikel 5, lid b AVG). Of dit het geval is, hangt af van de concrete omstandigheden en kan dus per situatie verschillen. 
Een voorbeeld: mag je persoonsgegevens op een verhuisaangifte gebruiken voor adresonderzoek? Hoe je dit kunt beoordelen, valt te lezen in het AVG-dossier in de Kennisbank op Pleio-LAA.

"Documenteer: noteer je bevindingen en afwegingen binnen een adresonderzoek in het onderzoekdossier. Houd er rekening mee dat burgers recht hebben om te weten wat er met hun gegevens gebeurt."

Wat is ‘proportioneel’? (artikel 5 AVG)

Vraag je steeds af: welke gegevens heb je écht nodig om je doel, te weten: juiste BRP-registratie, te bereiken? Staat het doorbreken van privacy in verhouding tot het doel? Zijn de persoonsgegevens die worden verwerkt toereikend, ter zake dienend en strikt noodzakelijk om het doel te bereiken?

Verwerk zo min mogelijk gegevens en zorg dat deze actueel en juist zijn. Laat je bij internetonderzoek bijvoorbeeld niet leiden door nieuwsgierigheid, maar uitsluitend door noodzaak. 

En houd je aan de bewaartermijn: bewaar gegevens niet langer dan noodzakelijk. 

Vaste werkwijze

Werk altijd volgens een vaste/gedocumenteerde werkwijze, zodat je deze afwegingen niet steeds opnieuw hoeft te maken. Ook in de samenwerking met andere afdelingen en instanties. Onderbouw goed op welke grondslag je de uitwisseling van persoonsgegevens baseert. En: zorg ervoor dat mensen wiens persoonsgegevens je verwerkt hun privacy rechten goed kunnen uitoefenen. Hierbij is essentieel dat de gemeente open communiceert en optreedt als één loket.

Hebben burgers inzagerecht?

Betrokkenen hebben inzagerecht. Ook in dossiers van afgesloten onderzoeken. Desgevraagd moet de gemeente een kopie van het onderzoekdossier verschaffen. Er kunnen bijzondere redenen zijn om de privacy van derden te beschermen door persoonsgegevens onleesbaar te maken, bijvoorbeeld als iemand heeft gemeld dat betrokkene niet op het inschrijfadres woont.

"Als overheidsinstantie heb je een transparantie- en informatieplicht. Wees als gemeente open over gegevensverwerking – en wees open naar betrokkenen over de uitkomst van adresonderzoek."

Wanneer moet de gemeente toestemming vragen om persoonsgegevens te verwerken? 

De AVG stelt strengere eisen aan toestemming waar het gaat om gebruik van persoonsgegevens. Het vragen van toestemming aan een burger voor gegevensverwerking is meestal geen acceptabele werkwijze door de ongelijke positie: burgers zijn vaak afhankelijk van de overheid. Daardoor is feitelijk geen sprake van een vrijwillige keuze. Vraag wel toestemming van betrokkenen als je voor het adresonderzoek informatie wilt opvragen bij derden, zoals hulpverleners of woningcorporaties.

Ook voor huisbezoeken gelden andere regels: vanzelfsprekend moet je als toezichthouder wel altijd toestemming vragen om een woning te betreden.