Convenant handig voor gegevensuitwisseling

Gebrek aan mogelijkheden om gegevens uit te wisselen zorgt ervoor dat gemeenten, politie en bedrijven niet altijd in staat zijn om ondermijning effectief tegen te gaan. De aanstaande Wet gegevensverwerking door samenwerkingsverbanden (Wgs) moet dit gemakkelijker maken, maar naast voordelen, zijn er ook nadelen, aldus expert Marieke Thijssen van Hekkelman Advocaten.

Pasklare oplossing
In een webinar wijst ze op de voorwaarden die in de AVG en in andere privacywetgeving worden gesteld aan gegevensuitwisseling bij de aanpak van ondermijning. De Wgs ligt voor behandeling in de Tweede Kamer. Het is nog niet bekend wanneer deze wet in werking treedt. Maar als deze wet in werking is getreden, blijft andere wetgeving, zoals de AVG en de UAVG, gewoon gelden. En dan is er ook nog bijzondere wetgeving, zoals de Gemeentewet, de Wet basisregistratie personen (Wet Brp) en de Wet politiegegevens. ‘Maar wat vooral als knellend wordt ervaren is de uitvoering’, aldus Thijssen. Het doel van het webinar is te laten zien hoe je kunt komen tot een pasklare oplossing.

Informatie delen
Ze geeft als voorbeeld een gemeente die te maken heeft met ondermijning en waar medewerkers informatie hebben die een ‘niet pluis’ gevoel oproepen. Het is alleen niet genoeg om tot concrete actie over te gaan. De verwachting is echter dat door de informatie te combineren met andere gegevens er misschien wel actie kan worden ondernomen. De gemeente vraagt zich echter af of de gegevens intern en extern mogen worden gedeeld, bijvoorbeeld met Burgerzaken of met de politie of een buurgemeente. Volgens Thijssen zijn bij verwerking van persoonsgegevens de AVG en UAVG van toepassing. ‘Als dat zo is, dan mag je gegevens uitwisselen als je aan die voorwaarden voldoet.’

Bijzondere wetgeving
Maar eigenlijk is het zo dat je jezelf dan eerst drie vragen moet stellen:

1. Is er sprake van bijzondere wetgeving?
2. Is er sprake van bijzondere persoonsgegevens, BSN en strafrechtelijke persoonsgegevens?
3. Is er sprake van doelbinding?

In het eerste geval moet je jezelf de vraag stellen of er een andere wet geldt dan in plaats van of naast de AVG en UAVG, zoals de Wet politiegegevens. Er kan een bepaling in staan die stelt dat je (bepaalde) gegevens niet mag uitwisselen. De Wet op de geneeskundige behandelingsovereenkomst kent bijvoorbeeld een beroepsgeheim. ‘Gegevens die daaronder vallen mag je niet uitwisselen. Doe die check dus eerst.’

Bijzondere persoonsgegevens
In het tweede geval moet je kijken of er een verbod geld voor het uitwisselen van bepaalde persoonsgegevens. Bij ondermijning is er vaak de wens om strafrechtelijke gegevens uit te wisselen. In de UAVG staan uitzonderingen op het verbod bij per bijzondere persoonsgegevens. Er zijn ook uitzonderingen om strafrechtelijke gegevens te verwerken, waar een gemeente wat mee kan. ‘Als het bijvoorbeeld noodzakelijk is voor het algemeen belang. Maar wees er dus wel alert op dat je een uitzondering op het verbod nodig hebt, voordat je ermee bezig kunt.’

Doelbinding
In het derde geval (doelbinding) is het zo dat je op grond van de AVG alleen persoonsgegevens mag verzamelen voor een concreet doel. Grondslagen voor gemeenten zijn: uitvoeren van de wettelijke verplichting en de vervulling van de publiekrechtelijke taak. Een gemeente is dan ook aan dat doel verbonden. Je kunt alleen gegevens verzamelen voor dat doel en die niet langer bewaren dan nodig is voor dat doel. ‘Dat is lastig als je de gegevens voor een ander doel wilt gebruiken.’ Ze geeft het voorbeeld van een ambtenaar bouw- en woningtoezicht die merkt dat op een bepaald adres veel wisselende bewoners zijn. Mag hij dat feit dan wel delen met de afdeling burgerzaken?

Verenigbaarheidstoets
De vragen die hij zichzelf dan moet stellen zijn: wat is het verzameldoel? Wat is het uitwisseldoel? Het antwoord is: de aanpak van ondermijning. Zijn die doelen gelijk? Nee, niet helemaal. Je hebt dan niet voldaan aan de eis van doelbinding, tenzij sprake is van verenigbaarheid. Daarvoor biedt artikel 6 van de AVG uitkomst. Hij moet dan rekening houden met de verwantschap tussen de beide doelen, de verhouding tussen de verantwoordelijke en de betrokkene, de aard van de persoonsgegevens, de gevolgen voor de betrokkene en met het bestaan van passende waarborgen. Het komt dus aan op de verenigbaarheidstoets en op het bestaan van passende waarborgen.

Convenant is handig hulpmiddel
Die kunnen worden geboden worden door een goed convenant. Dat is geen voorwaarde voor het uitwisselen van gegevens en het is ook geen verplichting, benadrukt Thijssen. ‘De convenant is alleen een vorm om afspraken vast te leggen over het uitwisselen van persoonsgegevens. Heel nuttig, want je kunt er de antwoorden kwijt op bovenstaande vragen en afspraken maken over wat je wel en niet uitwisselt. Je kunt er ook in vastleggen hoe je aan de randvoorwaarden voldoet.’ Je voldoet dan aan de AVG, UAVG en bijzondere wetgeving. Bij de randvoorwaarden gaat het om eisen als: een register aanleggen en de beveiliging op orde hebben. ‘En geel belangrijk voor het uitwisselen van gegevens: afspraken maken over het samenwerken. Een convenant is dan een heel handig hulpmiddel.’

Altijd publiekrechtelijke deelnemers
De Wgs is van toepassing voor een samenwerkingsverband dat krachtens de wet is aangewezen. De wet wijst al vier samenwerkingsverbanden aan, waaronder de RIEC. Later kunnen er meer bij komen, ook met privaatrechtelijke achtergrond, maar er moeten wel altijd publiekrechtelijke deelnemers bij zijn. Een volgende voorwaarde is dat het doel een zwaarwegend algemeen belang dient. Het doel moet samenhangen met de aanpak van ondermijning. Samenwerkingsverbanden zijn al aangewezen, dus dan automatisch ook de doelen. ‘Belangrijk is dan wel dat het uitwisselen precies zo gebeurt als in wet is bepaald. Het is nu per samenwerkingsverband uitgewerkt. Daar moet je je ook aan houden.’

Voor- en nadelen Wgs
Onder de Wgs is is voor gegevensuitwisseling geen afzonderlijke rechtmatigheidstoets nodig, want de stap of je aan de doelbindingsvereiste voldoet, kun je overslaan. Ook wordt al concreet uitgewerkt welke gegevens je mag uitwisselen en hoe. Dat biedt veel houvast, maar er is ook een nadeel: er is weinig flexibiliteit. Je moet er precies aan houden. Een ander nadeel is dat er nog meer voorwaarden gelden. ‘Naast de AVG, UAVG en bijzonder wetgeving is er ook nog deze wet. Dat maakt het niet gemakkelijker te doorgronden.’ Een derde nadeel is volgens Thijssen dat de voorwaarden toch best vaag zijn. ‘Die vereisen een eigen invulling en daar is weinig houvast voor.’ Er is ook stevige kritiek op de wet, maar Thijssen denkt wel dat de wet een stap in de goede richting is. ‘Het geeft aan wat er van je wordt verwacht.’ Een tip die ze geeft is: houd het klein. ‘Wat heb je echt nodig? Wat wil je uitwisselen? Hoe kleiner het aantal gegevens, des te gemakkelijker de vragen zijn te beantwoorden.’