Advocaat voor overheden en publieke organisaties

Overheidsinstanties moeten voor iedere verwerking van persoonsgegevens een geldige grondslag hebben. Bij publieke taken gaat het meestal om een wettelijke verplichting of een taak van algemeen belang. Let op: bij de uitvoering van publieke taken kan een overheid zich niet beroepen op het gerechtvaardigd belang.

Heeft u daarnaast gedacht aan een actueel verwerkingsregister, het benoemen van een functionaris voor gegevensbescherming (FG), passende bewaartermijnen en een procedure voor datalekken? Bij verwerkingen met een hoog privacyrisico kan vooraf een DPIA nodig zijn. Werkt u met externe partijen die namens u persoonsgegevens verwerken, dan moeten ook de onderlinge afspraken goed worden vastgelegd.

De AVG verplicht u niet alleen om zorgvuldig te handelen. U moet dit met beleid, registers, procedures en contracten ook kunnen aantonen.

Neem privacy en juridische voorwaarden al mee tijdens het ontwerp en de aanbesteding van een ICT-project. Achteraf aanpassen is vaak ingewikkeld en kostbaar.

Verwerkt het systeem persoonsgegevens? Bepaal dan vooraf welke gegevens echt nodig zijn, wie toegang krijgt en hoelang de gegevens worden bewaard. Bij een hoog privacyrisico kan een DPIA verplicht zijn. Ook moeten privacy en beveiliging zoveel mogelijk standaard in het systeem zijn ingebouwd.

Let daarnaast op de afspraken met leveranciers. Wie is waarvoor verantwoordelijk? Wat gebeurt er bij een datalek? Kunt u uw data meenemen wanneer de overeenkomst eindigt? En helpt de leverancier bij een overstap? Vooral bij SaaS- en cloudoplossingen is een goede exitstrategie belangrijk om afhankelijkheid en onverwachte kosten te voorkomen.

Persoonsgegevens mogen niet worden gedeeld omdat ze mogelijk nuttig zijn voor een andere overheidsdienst. Voor iedere gegevensdeling moet een geldige grondslag bestaan. Ook moet het delen noodzakelijk en evenredig zijn.

Let vooral op wanneer gegevens oorspronkelijk voor een ander doel zijn verzameld. Gebruik voor een nieuw doel kan in strijd zijn met de AVG. Daarnaast kan sectorale wetgeving, bijvoorbeeld binnen het sociaal domein, aanvullende beperkingen opleggen.

Werken meerdere overheidsinstanties samen en bepalen zij gezamenlijk waarvoor en hoe gegevens worden gebruikt? Dan kunnen zij gezamenlijk verwerkingsverantwoordelijk zijn. De verdeling van verantwoordelijkheden moet dan schriftelijk worden vastgelegd. 

Laat daarom vooraf beoordelen welke gegevens mogen worden gedeeld, voor welk doel en welke afspraken daarvoor nodig zijn. Meer informatie is hier te lezen: Archiefwet, Dataverordening, Data Governance Act

Begin met het in kaart brengen van de persoonsgegevens, doeleinden, gebruikers, bewaartermijnen en koppelingen met andere systemen. Leg dit vast in het verwerkingsregister.

Let vooral op het combineren van gegevens. Gegevens die afzonderlijk niet naar een persoon verwijzen, kunnen door koppeling met andere informatie alsnog herleidbaar worden waardoor de AVG van toepassing is. Bij grootschalige profilering, fraudebestrijding of het verwerken van gevoelige gegevens kan bovendien een DPIA nodig zijn.

Ook moet duidelijk zijn welke (privacyrechtelijke)rol softwareleveranciers en andere partijen hebben. Zijn zij verwerker, subverwerker of zelf verwerkingsverantwoordelijke? Leg de juiste afspraken vast en controleer of de beveiligingsmaatregelen passen bij de risico’s.

Beoordeel het systeem opnieuw wanneer functies, koppelingen of gebruikers veranderen. Een eenmalige AVG-controle is bij grote systemen meestal niet voldoende.

Bij AI-gebruik moet eerst duidelijk zijn waarvoor het systeem wordt ingezet en welke invloed het heeft op burgers. Een AI-systeemdat wordt ingezet bij bijvoorbeeld rechtshandhaving, visumaanvragen of publieke diensten kan onder de AI-verordening als hoog risico worden aangemerkt.

In dat geval kunnen verplichtingen gelden rond risicobeheer, transparantie, registratie, menselijk toezicht en een beoordeling van de gevolgen voor grondrechten. Daarnaast kan een DPIA (AVG) of een Impact Assessment Mensenrechten en Algoritmes (AI-verordening) nodig zijn.

Let ook op medewerkers die openbare AI-tools gebruiken. Het uploaden van documenten of persoonsgegevens kan leiden tot verlies van controle over vertrouwelijke informatie en zelfs tot een datalek.

Breng daarom in kaart welke AI-systemen binnen uw organisatie worden gebruikt. Stel duidelijke gebruiksregels op en controleer per toepassing welke verplichtingen uit de AVG en AI-verordening gelden.

Bij ICT-projecten is de overeenkomst grotendeels bepalend voor de verdeling van verantwoordelijkheden en risico’s. Leg daarom duidelijk vast wat de leverancier levert, welke resultaten worden verwacht en wie verantwoordelijk is voor implementatie, migratie, testen en beveiliging.

Heeft u ook afspraken gemaakt over vertraging, meerwerk en budgetoverschrijdingen? Van een deskundige leverancier mag worden verwacht dat hij tijdig waarschuwt wanneer het project dreigt vast te lopen, maar het is verstandig om deze verplichtingen concreet vast te leggen.

Denk daarnaast aan het einde van de samenwerking. Wie heeft dan toegang tot de data? In welk formaat krijgt u deze terug? Welke hulp biedt de leverancier bij een overstap?

Worden persoonsgegevens verwerkt, leg dan ook de privacyrechtelijke rolverdeling en afspraken over beveiliging en datalekken vast.

Bij openbaarmaking en hergebruik van overheidsinformatie kunnen verschillende wetten tegelijk van toepassing zijn. De Wet open overheid (Woo) gaat uit van openbaarheid, maar bevat uitzonderingen voor onder meer persoonsgegevens en vertrouwelijke informatie.

Let op: informatie die openbaar is, mag niet automatisch onbeperkt worden hergebruikt. Bevat de informatie persoonsgegevens, dan blijft de AVG relevant. Ook kunnen de Wet hergebruik van overheidsinformatie (Who), de Data Governance Act en de Data Act aanvullende voorwaarden stellen.

Wilt u gegevens beschikbaar stellen als open data? Controleer dan eerst of deze voldoende zijn geanonimiseerd en niet door combinatie met andere bronnen alsnog tot personen te herleiden zijn.

Bepaal daarom vooraf welk wettelijk kader van toepassing is, welke informatie mag worden verstrekt en welke voorwaarden aan het gebruik daarvan moeten worden verbonden.

Ieder datalek moet intern worden geregistreerd, ook wanneer u besluit het incident niet bij de Autoriteit Persoonsgegevens (AP) te melden. Leg vast wat er is gebeurd, welke risico’s zijn beoordeeld en waarom wel of niet is gemeld.

Levert het datalek waarschijnlijk een risico op voor betrokkenen? Dan moet het in beginsel binnen 72 uur bij de AP worden gemeld. Bij een waarschijnlijk hoog risico kan het ook nodig zijn om de betrokken personen zelf te informeren.

Ontstaat het incident bij een leverancier? Controleer dan of de verwerkersovereenkomst duidelijk bepaalt wanneer en met welke informatie de leverancier het datalek moet melden.

Zorg vooraf voor een werkbare procedure. Medewerkers moeten weten waar zij een incident melden, wie de risico’s beoordeelt en wie beslist over een melding aan de AP en betrokkenen.