Wat is er allemaal gebeurd sinds ons onderzoek naar gemeenten?
Vorig jaar deden we onderzoek naar de naleving van de Algemene verordening gegevensbescherming (AVG) door de tien grootste gemeenten. Slechts één gemeente haalde een voldoende.
Nu, een jaar na ons rapport maken we de balans op: wat is er in het jaar na ons onderzoek gebeurd?
Illustraties: O Merel
1
We publiceerden het AVG rapport.
Uit ons onderzoek (2022) naar de naleving van de Algemene verordening gegevensbescherming (AVG) bij de tien grootste gemeenten van Nederland bleek, dat gemeenten vier jaar nadat de Europese privacywet in werking trad hun gegevensbescherming nog altijd niet op orde hebben.
2
Er werden vragen gesteld in de Tweede Kamer.
Naar aanleiding van ons onderzoek stelden de SP en GroenLinks kamervragen aan de minister en de staatssecretaris Koninkrijksrelaties en Digitalisering.
De staatssecretaris gaf naar aanleiding van deze vragen aan dat “de samenleving van de overheid mag verwachten dat ze de huishouding op orde heeft en dat de overheid zelf voldoet aan de standaarden van het gegevensbeschermingsrecht”.
-
Herkent u de signalen dat gemeenten hun informatie-huishouding slecht op orde hebben? Kunt u dit toelichten?
Leijten (SP) -
Hoe verklaart u dat deze gemeenten onvoldoende en onzorgvuldig omgaan met gegevens van hun inwoners, terwijl de AVG al vier jaar van kracht is, en de gemeente Utrecht, als enige, zich wel houdt aan deze verordening?
Bouchallikh (Groenlinks) -
Hoe verklaart u dat gemeenten te weinig middelen vrijmaken voor gegevensbescherming? Ziet u een verband met de bezuinigingen vanuit het Rijk op gemeenten de afgelopen jaren en het nijpende personeelstekort bij vele gemeenten?
Leijten (SP) -
Erkent u dat dit niet een alleenstaand incident is, maar dat het niet naleven van de AVG een probleem is in meerdere overheidsorganisaties, zoals de Belastingdienst?
Bouchallikh (Groenlinks) -
In hoeverre houdt u toezicht op de mate van kwaliteit van gegevensbescherming bij gemeenten?
Leijten (SP) -
Wat doet u nu concreet na dit soort incidenten en hoe voorkomt u dat wij hoppen van digitaal schandaal naar digitaal schandaal?
Bouchallikh (Groenlinks)
3
De overheid voerde een eigen onderzoek uit naar de naleving van de AVG, met dezelfde conclusies.
Onlangs werd een onderzoek gepubliceerd over de naleving van de AVG door overheden. Het resultaat verbaast ons niet: overheden voldoen nog niet aan de AVG.
Volgens het onderzoeksbureau is er echter over het algemeen wel sprake van een verbetering in de naleving van de AVG. Toch het minste wat je mag verwachten, vijf jaar na de inwerkingtreding van de wet...
Het onderzoeksbureau constateert, net als wij, het volgende:
- Veel overheden hebben een gebrek aan privacy-expertise.
- Het beschermen van persoonsgegevens en het waarborgen van dat belang wordt nog onvoldoende geïntegreerd in de processen.
- Adviezen vanuit privacy-organisaties worden nog niet goed opgevolgd.
4
Gemeenten Amsterdam en Rotterdam maakten een rommeltje van hun algoritmen
Het algoritmeregister van de gemeente Amsterdam bleek onvolledig en geen goed overzicht te geven van wat er speelt op het gebied van algoritmen binnen de gemeente. “De gemeente gebruikt meer dan zestig algoritmen die voor burgers mogelijk grote impact hebben, dat zijn er behoorlijk veel. Een heel ander beeld dan wordt geschetst in het openbare register. Je kunt je afvragen wat de functie van het register is als het niet wordt bijgehouden.” aldus Nadia in het Parool Amsterdam heeft geen goed overzicht van algoritmen met ‘hoog risico’: ‘Gevaar voor onterechte beslissingen voor burgers’.
Follow the Money deed onderzoek naar het algoritme dat de gemeente Rotterdam gebruikte om bijstandsfraude op te sporen.Zo leerde een Rotterdams fraudealgoritme kwetsbare groepen te verdenken De conclusie was niet mals: het algoritme bleek vol vooroordelen te zitten en richtte zich vooral op kwetsbare groepen, zoals vrouwen die geen Nederlands spreken en jonge alleenstaande moeders.
5
De gemeente Eindhoven meldde datalekken niet, of niet op tijd.
De AP ontving signalen dat de gemeente Eindhoven datalekken niet of niet op tijd meldde, verplichte scans op privacyrisico’s achterwege liet en persoonsgegevens van burgers te lang bewaarde. Het door de gemeente overgelegde verbeterplan nam de zorgen van de AP niet weg. De AP intensiveerde daarom haar toezicht op de gemeente Eindhoven.AP intensiveert toezicht op gemeente Eindhoven
6
De AP bood gemeenteraadsleden een handreiking zodat ze zich kunnen verdiepen in de AVG.
De Autoriteit Persoonsgegevens (AP) ontwikkelde een praktische gids voor gemeenteraadsleden die na de verkiezingen beperkte tijd hebben gehad om zich te verdiepen in de AVG-privacywetgeving. Deze handreikingAP biedt raadsleden handreiking AVG biedt hen ondersteuning en richtlijnen om snel op de hoogte te komen van de belangrijkste aspecten van de AVG.
De gemeente Helmond zette ook zelf de schouders eronder: Helmond heeft gezorgd voor meer capaciteit Extra capaciteit voor AVG en Informatieveiligheid in Helmond om tot een hoger niveau van bescherming van persoonsgegevens te komen.
7
We spraken een gemeenteraadslid die vragen stelden naar aanleiding van ons onderzoek.
Uit ons onderzoek bleek dat de gemeente Almere het minst transparant was. Gemeenteraadsleden van DENK en GroenLinks stelden naar aanleiding van ons onderzoek raadsvragen. Zij hadden namelijk ook last van het gebrek aan transparantie en wilden veel beter betrokken worden door de gemeenteraad.
"We zien hier een belangrijke taak voor onszelf, als controlerend orgaan. Maar het is ook van belang dat we gefaciliteerd worden en dat we tijdig de informatie krijgen die we nodig hebben om onze taken uit te kunnen voeren."
8
Wij beginnen een nieuw onderzoek naar online tracking op gemeentewebsites.
Wij leggen de gemeenten opnieuw onder de loep door te onderzoeken welke trackers ze gebruiken op hun websites. Natuurlijk houden we je op de hoogte van de uitkomsten van het onderzoek. We geven je graag vast een voorproefje:
Zoek je eigen gemeente op in dit overzicht.
Conclusie
Het is inmiddels vijf jaar geleden sinds de AVG in werking is getreden. Daarvoor hadden organisaties al twee jaar de tijd om hun zaken op orde te krijgen.
Sinds ons onderzoek van vorig jaar zijn meerdere gemeenten op het matje geroepen omdat ze zich niet aan hun verplichtingen houden. Ook is opnieuw uit onderzoek gebleken dat de Europese privacywet niet goed wordt nagekomen. Dat is onacceptabel. De ambitie moet echt omhoog, zodat burgers naar behoren beschermd worden.
"Het gaat er niet alleen om dat we dingen rechtmatig doen, maar dat we een mensenrecht beschermen."
Er wordt veel geld verdiend aan persoonsgegevens, er wordt op los geëxperimenteerd met data, en zien we dat ook criminelen het steeds meer gemunt hebben op de gevoelige informatie van mensen. De bescherming van persoonsgegevens moet dus een hele hoge prioriteit krijgen. Maar het minste wat overheden kunnen doen is zich houden aan de wet.
