Advertentie
ruimte en milieu / Nieuws

Arnhemse afvalpas houdt illegaal gegevens bij

Dat blijkt uit een uitspraak die de voorzieningenrechter in Arnhem donderdag heeft gedaan. Sinds 2014 moeten Arnhemmers hun vuilniszakken in ondergrondse containers gooien. De container gaat alleen open door een persoonsgebonden pasje voor een scanner te houden. Arnhemmer Michiel Jonker maakte meteen bezwaar tegen dat systeem, omdat de gemeente op die manier bij kan houden waar, wanneer en hoeveel vuilnis hij weggooit zonder dat daar een reden voor is. Ook kan uit zijn gegevens afgelezen worden wanneer hij bijvoorbeeld met vakantie is.

13 juli 2017

De kans is groot dat Arnhem de afvalpas voor inwoners voorlopig niet meer mag gebruiken. Via de afvalpas worden namelijk illegaal persoonsgegevens van gebruikers bijgehouden. De Autoriteit Persoonsgegevens had eerder dit jaar niet mogen beslissen om die situatie voorlopig te gedogen. Naar verwachting neemt de autoriteit voor eind augustus een nieuw besluit.

Persoonsgebonden pasje

Dat blijkt uit een uitspraak die de voorzieningenrechter in Arnhem donderdag heeft gedaan. Sinds 2014 moeten Arnhemmers hun vuilniszakken in ondergrondse containers gooien. De container gaat alleen open door een persoonsgebonden pasje voor een scanner te houden. Arnhemmer Michiel Jonker maakte meteen bezwaar tegen dat systeem, omdat de gemeente op die manier bij kan houden waar, wanneer en hoeveel vuilnis hij weggooit zonder dat daar een reden voor is. Ook kan uit zijn gegevens afgelezen worden wanneer hij bijvoorbeeld met vakantie is.

Afvalrekening

Er zijn veel meer gemeenten, zoals Groningen, Haarlem, Maastricht, Utrecht en Nijmegen, waar bewoners een afvalpas moeten gebruiken. Dat mag als die pas dient om elke gebruiker een afvalrekening op maat te kunnen sturen. Wie veel vuilnis weggooit, betaalt meer dan iemand die weinig aanbiedt bij de afvaldienst. In Arnhem bestaat zo'n zogenoemd diftarsysteem echter nog niet en daardoor is het verplichte gebruik van de afvalpas in strijd met de Wet bescherming persoonsgegevens.

Opnieuw besluit
De autoriteit oordeelde in mei van dit jaar dat Arnhem sinds 2014 in overtreding is, maar wilde niet gaan handhaven omdat de stad vanaf 2018 wel een diftarsysteem zou hebben. Handhaving zou onnodig veel kosten met zich meebrengen. Nu echter blijkt dat het nog veel langer kan gaan duren voor Arnhem het systeem heeft ingevoerd, heeft de rechter dit besluit van de autoriteit geschorst. De autoriteit moet opnieuw besluiten over het bezwaar van Jonker en daarbij rekening houden met het feit dat er politiek nog veel te doen is over het diftarsysteem in Arnhem. (ANP)

Reacties: 14

U moet ingelogd zijn om een reactie te kunnen plaatsen.

Michiel Jonker / ambtenaar bij een decentrale overheid
Ik zie dezelfde zin in verschillende media terugkomen, namelijk dat als Diftar eenmaal ingevoerd is, het verwerken van persoonsgegevens wel toegestaan zou zijn. Dat is niet het geval, omdat er dan niet voldaan wordt aan het noodzakelijkheidsvereiste en het subsidiariteitsbeginsel. Het is ook mogelijk Diftar in te voeren op een wijze waarbij geen persoonsgegevens worden verwerkt.



De voorzieningenrechter heeft zich over dit aspect niet hoeven uitspreken, omdat het ook los van de vraag of de invoering van Diftar zou leiden tot legalisatie van de gegevensverwerking, al duidelijk is dat er in het geval van Arnhem geen concreet uitzicht op legalisatie is.



Bij mijn weten hanteert de gemeente Nijmegen overigens een Diftar-systeem met vuilniszakken met een logo en een prijsopslag, niet met afvalpasjes.



Het is soms helemaal niet nodig, niet efficiënter en ook onnodig kostbaar, om zaken te digitaliseren d.m.v. pasjes en computersystemen. Hoe graag de IT-lobbies ons ook willen voorschotelen dat het met IT altijd allemaal "efficiënter" zou worden. Een meer kritische omgang met de mogelijkheden, beperkingen en risico's van IT is wenselijk.
Frank Zuylen / adviseur
Er zijn meer burgers als Michiel nodig. Mijn complimenten voor zijn vasthoudendheid.
K.M. Schaap / afdelingshoofd burger- en bestuurlijke zaken
Die Michiel Jonker is wel een beetje een beroepszeurpiet maar dit is een aardig resultaat.
An.oniem
Helaas staat er geen link naar de uitspraak zelf. Bij deze > http://bit.ly/2sUighs
Peter / Projectmanager
Mooi tussen-resultaat, maar de oorlog is nog niet gewonnen. (Gefeliciteerd @Michiel).

Ook getuige de misplaatste opmerking van een 'gemeente-ambtenaar'.

Het is juist weer dit soort 'ambtenaren' dat de grenzen van de rechtsstaat en het betamelijke opzoeken. Op kosten van de gemeenschap en ten koste van gemeentelijke basistaken.

Acties zoals die van Michiel Jonker, Privacy First (kentekenparkeren), etc. etc. zouden niet nodig moeten zijn.

Het ontbreekt de ambtenarij overduidelijk aan materiekennis en aan zelfreinigend vermogen. Zou ook dáár een app voor nodig zijn?
Michiel Jonker / ambtenaar bij een decentrale overheid
@ P.J. Westerhof (14 juli 12:31 uur). U heeft volkomen gelijk dat dit een tussen-resultaat is. Het eindresultaat zou moeten zijn:

-- rechterlijke jurisprudentie die bevestigt (wat het EVRM en de Wbp nu al vereisen) dat Diftar-systemen voor afvalinzameling alleen mogen worden ingevoerd op zo'n manier dat daarbij geen persoonsgegevens worden verwerkt;

-- consequent, effectief handhavingsbeleid van de AP als toezichthouder, in overeenstemming met het beschermingsniveau dat door het EVRM wordt vereist;

-- daadwerkelijke implementatie van dat beleid;

-- werkelijk respect, van de kant van gemeenten, andere overheden en bedrijven, voor de persoonlijke levenssfeer van burgers. In het Arnhemse geval betekent het ook dat Arnhem zijn eigen reeds bestaande beleid ("geen persoonsgegevens verzamelen tenzij er echt een noodzaak voor is") alsnog in de praktijk gaat volgen, hetgeen onder de huidige "privacy-wethouder" helaas niet is gebeurd.



De casus van de adresgebonden afvalpassen vormt op zijn beurt niet meer dan een klein onderdeel in het terugveroveren van een beschermde privé-sfeer op een enorm aantal "players" (zowel overheden als bedrijven) die de grenzen van de privé-sfeer van mensen met voeten treden. Dit is een klein gevechtje, een kleine grensafbakening tussen de privé-sfeer en de sfeer waarin buitenstaanders informatie mogen stofzuigeren.



Die beschermde privé-sfeer is nodig om onze individuele handelingsvrijheid en de democratische rechtsstaat te beschermen.



Als het gaat om privacy, ben ik overigens niet per se tegen "afvalpassen". Met anonieme, laagdrempelig verkrijgbare prepaid-afvalpassen waarop je d.m.v. contante (dus anonieme) betaling saldo kunt laden, heb ik op zichzelf vrede. Hoewel ik het uiteindelijk verstandiger vindt om sommige zaken bewust niet te digitaliseren. Niet-digitaliseren is de ultieme "privacy by design".



Voor meer info, zie bijvoorbeeld de website van Stichting Privacy First (www.privacyfirst.nl)
Peter / Projectmanager
@Michiel Jonker (14 juli 2017 13:18) : ik heb toch enige moeite met een paar formuleringen.



* "terugveroveren van een beschermde privé-sfeer" klinkt als een Robin Hood rol. Terwijl het hier gaat om ordinair jatwerk door ambtenaren die niet worden gehinderd door elementaire kennis van privacyrecht.

Hierbij moet niet worden vergeten dat i.c. vaak sprake is van de managementcultuur 'Het is beter excuus te vragen dan toestemming'. Een soortement van 'Gelegitimeerd-Door-Rood-Dood-Rijden' dus.



* EVRM is hier feitelijk 'bijzaak'. De GDPR is iets waar gemeenten zich écht dringend zorgen over dienen te maken.

Dat kennis en invoering van GDPR op gemeentelijk niveau aantoonbaar tekortschieten is bekend.

Dat juist de afvalpas een mooi voorbeeld is waar het m.b.t. de GDPR fout kan gaan *en zál* gaan zal menig ambtenaar en verantwoordelijk wethouder ontgaan.

Bijv. zodra een pashouder verhuist en het gebruiksrecht op de pas verliest treedt art. 17 GDPR (het 'Recht Vergeten te Worden') in werking. De practische implicaties daarvan moeten niet worden onderschat. Hetgeen in de praktijk dus wél zal gebeuren.

Het is immers niet ingewikkeld, het wordt ingewikkeld gemáákt.

Hoet het 'Recht Vergeten te Worden' geëffectueerd gaat worden in gemeentelijke ketens en outsourcings-contracten is af te wachten.



* de fundamentele privacy-vereisten van noodzakelijkheid, wenselijkheid, proportionaliteit blijven hier buiten beeld. "PIA? Nooit van gehoord". Broddel-beleid dus.

Het gaat er niet om of een privacybeperking nuttig is , maar of deze nódig is.

Opnieuw : onder de GDPR ligt de lat een stuk hoger.



* "ben [ ] overigens niet per se tegen 'afvalpassen'."

Het Diftarsysteem is een symbool van een volstrekt doorgeschoten gemeentelijke regelzucht. Ijzeren regel in het bestuursrecht is dat 'Wie eenmaal begint te regelen, steeds méér moet regelen, en nooit maar kan ophouden'. Op regels moet beleid worden gevoerd, beleid moet effectief zijn, beleid moet dus gehandhaafd worden, en zo nodig worden afgedwongen.

'De vervuiler betaalt', maar hoe komt het dan dat de vervuiler alleen maar méér betaalt en zelden of nooit minder?

Vroeger was niet alles beter, maar was het wél gebruikelijk dat achter de vuilniswagen een vrachtwagentje reed voor grafvuil, papier en glas. Maar dat past tegenwoordig niet meer binnen het service level van de geoutsourcede gemeentelijke vuilophaaltaak.



* "Niet-digitaliseren is de ultieme 'Privacy by Design'. "

De grootste privacy- en beveiligings-inbreuken vinden nog steeds plaats in het niet-digitale domein.

'Accountability-by-Design' is waarschijnlijk te bedreigend voor de Privacy Verantwoordelijke.



* "consequent, effectief handhavingsbeleid van de AP". Dat zoeken we al jaren.

De taakopvatting door de AP is altijd een restrictieve geweest. Nu met de GDPR begint de AP voorzichtig in beweging te komen door te werken aan 'bewustwording' en schuchter te dreigen met sancties.

Kortom : nét genoeg motivatie voor die aanvraag voor opleidingsbudget voor een ambtelijke privacy-workshop.

Het zou grappig zijn als het niet zo treurig was.



De ambtenaar ('responsible') zou het moeten weten, B&W ('accountable') weet het niet niet, de Gemeenteraad stelt de verkeerde vragen.

Drenkelingen in de oceaan.
Michiel Jonker / ambtenaar bij een decentrale overheid
@P.J. Westerhof (14 juli 16:04 uur). Leuk, discussie! Ik zal op uw punten ingaan.



* "terugveroveren van een beschermde privé-sfeer".

-- Ik gebruik deze formulering omdat ik me richt op wat er in de PRAKTIJK gebeurt, namelijk een cumulatie van privacy-schendingen die de hele perceptie van wat privacy kan en ook moet zijn, in een groot deel van de maatschappij ondermijnt. Ik heb al zo vaak te horen gekregen: "Er valt toch niks meer aan te doen, we zijn onze privacy al kwijt, wen er maar aan, waar maak je je nog druk over..." Als je ziet dat ik van 150.000 Arnhemmers de enige ben die actie heeft ondernomen op dit punt (nadat in allerlei andere gemeenten helemaal niemand actie had ondernomen), dan is uw karakterisering van een "Robin Hood" eigenlijk best aardig.... ;)



* EVRM is hier feitelijk 'bijzaak'. De GDPR is iets waar gemeenten zich écht dringend zorgen over dienen te maken.

-- Ik zie de GDPR (AVG) als een uitwerking van het EVRM. Ben het met u eens: het is in wezen niet ingewikkeld, maar wordt ingewikkeld gemaakt door mensen die privacy-regelgeving willen omzeilen (inclusief, helaas, soms ook de toezichthouder AP).



* de fundamentele privacy-vereisten van noodzakelijkheid, wenselijkheid, proportionaliteit blijven hier buiten beeld.

-- Het vereiste van "wenselijkheid" is mij onbekend. Daarentegen zou ik het vereiste van "subsidiariteit" aan uw rijtje willen toevoegen. In de gevoerde procedure introduceerde de AP overigens, best creatief, een heel eigen vereiste, namelijk "passendheid", ter vervanging van het door het EVRM voorgeschreven noodzakelijkheidsvereiste.



* "ben [ ] overigens niet per se tegen 'afvalpassen'."

Het Diftarsysteem is een symbool van een volstrekt doorgeschoten gemeentelijke regelzucht.

-- Dat ben ik met u eens. In mijn pleitnota (zie link op https://www.privacyfirst.nl/aandachtsvelden/wetg … ) heb ik aan die neiging tot "micro-management" aandacht besteed.



* "Niet-digitaliseren is de ultieme 'Privacy by Design'. "

De grootste privacy- en beveiligings-inbreuken vinden nog steeds plaats in het niet-digitale domein.

-- Kunt u dit nader toelichten? In mijn ogen leidt de grootschaligheid van digitale data-opslag ook tot grote inbreuken. Immers, als er iets mis gaat, gebeurt dat meteen met een heleboel data.



* "consequent, effectief handhavingsbeleid van de AP". Dat zoeken we al jaren.

De taakopvatting door de AP is altijd een restrictieve geweest. Nu met de GDPR begint de AP voorzichtig in beweging te komen door te werken aan 'bewustwording' en schuchter te dreigen met sancties.

-- Inderdaad. Begin juni vroeg de AP om budget voor veel meer personeel met het oog op de GDPR (AVG). Ik ben voorstander van uitbreiding van de personele capaciteit van de AP n.a.v. de inwerkingtreding van de GDPR (AVG), mits de AP die extra capaciteit dan ook gaat gebruiken om effectief te handhaven, en NIET om allerlei excuses en vertragingstactieken te verzinnen om overtreders uit te wind te houden, zoals in de casus-afvalpas tot dusverre is gebeurd.
Peter / Projectmanager
"Leuk, discussie!"

Misschien, maar het zou goed kunnen dat de helft van de lezers het al niet begrijpt en van de andere helft de helft is opgehouden met lezen.



* "terugveroveren van een beschermde privé-sfeer".

Waarom moet ik terugveroveren wat van mij is? Dat staat gelijk aan de weigering door de dief afstand te doen van het gestolene (art. 116 Sv).

Hele hiërarchieën van ambtenaren maken er een gewoonte van privacy van burgers te stelen. Totdat burgers in geweer komen, en de hierarchie van ambtenaren mokkend bakzeil haalt. Terwijl ze het toch zo goed bedoelden en het belang van de burger voor ogen hadden en het niveau van gemeentelijke dienstverlening nu vermindert en duurder wordt. "Allemaal de schuld van die privacy-hetzers".



Als je je richt op de (gegroeide) praktijk hebben de dieven al de helft gewonnen.

Want jouw focus is niet meer op je recht, dat geschonden werd, maar op wat je over hebt gehouden ná de schending.



"Er valt toch niks meer aan te doen" wordt gezegd tót het moment dat men daadwerkelijk concreet en ingrijpend in de eigen privésfeer wordt geraakt.

De gekookte kikker dus.



* "De grootste privacy- en beveiligings-inbreuken vinden nog steeds plaats in het niet-digitale domein."

Kijk naar wat er in treinen blijft liggen, in afvalcontainers of gedumpte archiefkasten wordt gevonden. Lang niet alles staat op een USB-stick.

Niet-digitale inbreuken zijn veel moeilijker te constateren en te traceren. Wie weet wat daar het black number is?

Het gaat niet om de omvang maar om de impact. "Een heleboel data" : een telefoonboek staat propvol NAW-gegevens.



* "Begin juni vroeg de AP om budget voor veel meer personeel met het oog op de GDPR"

Dat is dus ruim een jaar na inwerkingtreding van de GDPR. En ruim twee jaar nadat de AP heeft kunnen - en dus moeten - weten van de taakverzwaring die eraan zat te komen.

De Eindrapportage AEF dateert van april 2017.

De AP is ook pas dit jaar begonnen een waarschuwend vingertje op te steken. Ondanks alle rode lampjes die in de voorafgaande maanden al waren gaan branden. En heeft gemaand dat men nu toch echt iets aan bewustwording moest gaan doen.

Het signaal voor de goegemeente is dus 'Het loopt zo'n vaart niet'.

Maar waar de AP steken laat vallen staat het HvJ-EU al klaar.
Michiel Jonker / ambtenaar bij een decentrale overheid
@P.J. Westerhof (14 juli 21:16 uur).



* U citeert me: "Leuk, discussie!" en u vervolgt: Misschien, maar het zou goed kunnen dat de helft van de lezers het al niet begrijpt en van de andere helft de helft is opgehouden met lezen.

-- Binnenlands Bestuur wordt door heel veel ambtenaren gelezen. Als 100 ambtenaren kennisnemen van onze discussie, hebben die de issues alweer scherper op het netvlies en zullen dat verder uitdragen. Rome is niet in één dag gebouwd...





* "terugveroveren van een beschermde privé-sfeer".

Waarom moet ik terugveroveren wat van mij is?

-- Zoals ik al zei, ik denk vanuit een PRAKTISCHE invalshoek. Als een dief erin geslaagd is iets van mij te stelen, dan kan ik ofwel van de kansel prediken dat het van mij is, ofwel zorgen dat ik het daadwerkelijk terugkrijg - waarbij ik mijn aandrang om de dief de hersens in te slaan uiteraard sublimeer tot een beschaafd juridisch vertoog in dito procedure.



* "De grootste privacy- en beveiligings-inbreuken vinden nog steeds plaats in het niet-digitale domein."

Kijk naar wat er in treinen blijft liggen, in afvalcontainers of gedumpte archiefkasten wordt gevonden. Lang niet alles staat op een USB-stick.

Niet-digitale inbreuken zijn veel moeilijker te constateren en te traceren. Wie weet wat daar het black number is?

Het gaat niet om de omvang maar om de impact. "Een heleboel data" : een telefoonboek staat propvol NAW-gegevens.

-- Mijn NAW-gegevens staan daarom ook niet in een telefoonboek. Om de paar maanden lees je dat de gedigitaliseerde gegevens van tienduizenden tot miljoenen mensen op straat liggen dan wel in handen zijn van hackers. Zo vaak laat ik mijn in kalfsleer gebonden zakagenda echt niet in de trein liggen.



* "Begin juni vroeg de AP om budget voor veel meer personeel met het oog op de GDPR"

Dat is dus ruim een jaar na inwerkingtreding van de GDPR. En ruim twee jaar nadat de AP heeft kunnen - en dus moeten - weten van de taakverzwaring die eraan zat te komen.

-- Huh? Ik dacht dat de GDPR (General Data Protection Regulation, in het Nederlands: AVG - Algemene Verordening Gegevensverwerking) per 25 mei 2018 in de hele EU in werking zal treden. Heb ik iets gemist? Of verkeerd begrepen? Graag toelichting.
Trevor
Het zou prettig zijn als het reactiesysteem hier dubbele reacties uitfiltert.



Nijmegen kent diftar via de prijs van vuilniszakken restafval, maar daarnaast ook een aan het huis (niet de persoon) gebonden pasje als je afval / grofvuil wil aanbieden op de milieustraat. Als je alleenstaande bent...
Michiel Jonker / ambtenaar bij een decentrale overheid
Aanvulling @P.J. Westerhof (21:16 uur).



Bij nader inzien verdient uw opmerking over de risico's m.b.t. niet-gedigitaliseerde gegevens in verhouding tot die van gedigitaliseerde gegevens een wat diepgaandere reactie.



Ik ben me zeer wel bewust van de slordige manier waarmee er ook met niet-gedigitaliseerde gegevens wordt omgesprongen. Een kleine tien jaar geleden wuifde een senior collega (academisch geschoold) mijn zorgen weg toen uitermate gevoelige, deels niet-geanonimiseerde persoonsgegevens op papier (klachten en feitenrelazen m.b.t. jeugdzorg aan o.a. multi-probleemgezinnen) bij een grootschalige interne verhuizing rond de jaarwisseling twee weken lang zouden worden opgeslagen in verhuisdozen. Achteraf bleek het om een risico van anderhalf promille te gaan: van de ca. 8.000 verhuisdozen raakten er 12 zoek. Gelukkig raakte de verhuisdoos met dit papieren dossier niet zoek.



Echter, de impact van een privacy-schending hangt niet alleen af van de aard van de gegevens zelf, maar ook van de mogelijkheden om ze (verder) te verspreiden, te gebruiken en te combineren met andere gegevens (profilering), en de snelheid en het gemak waarmee dat kan gebeuren.



In het bovengenoemde voorbeeld zou het bewerkelijk zijn geweest en een analyse van (deels handgeschreven) teksten hebben vereist om er iets mee te kunnen. Op zijn minst hadden de paperassen handmatig moeten worden ingescand. Als die dossiers gedigitaliseerd waren geweest, had iemand die ze ten onrechte ter beschikking kreeg, ze met een druk op de knop kunnen doorsturen naar iemand anders die ze had kunnen analyseren en uitnutten.



Ook in Nederland zijn gevoelige digitale gegevens (bijv. medische gegevens of belastinggegevens) al in verkeerde handen terecht gekomen.



Eenmaal gelekte of verspreide digitale (of gedigitaliseerde) gegevens vallen bijna nooit meer met zekerheid opnieuw vertrouwelijk te maken. Er blijf altijd het risico bestaan dat er ergens kopieën rondslingeren, hetzij op internet, hetzij op stand-alone geheugenmedia (bijv. USB-sticks).



Alleen al het feit dat de mogelijkheid tot digitalisering tegenwoordig laagdrempelig voorhanden is, maakt dat ook analoge gegevens inmiddels minder veilig zijn dan twintig of dertig jaar geleden. De digitalisering vereist dus dat we op een nieuwe manier kijken naar de bescherming van AL onze persoonsgegevens.
Peter / Projectmanager
Maandag 24 juli 2017 : Arnhem haalt slot van ondergrondse afvalcontainers.

(http://www.omroepgelderland.nl/nieuws/2139430/Ar …



En Deventer schrikt wakker : http://www.destentor.nl/deventer/wat-weet-de-gem …
Michiel Jonker / ambtenaar bij een decentrale overheid
@P.J. Westerhof (28 juli 2017 om 21:40 uur)



En nu schrikt men zowaar landelijk wakker:

https://www.privacyfirst.nl/aandachtsvelden/wetg …



En bijv:

https://www.binnenlandsbestuur.nl/bestuur-en-orga …



Drie jaar lang heb ik moeten bikkelen om de quasi-snurkende overheid wakker te porren, maar dan heb je ook wat...



Overheid is nu wakker maar zou in meerderheid eigenlijk nog steeds graag terug willen naar privacy-winterslaap. Dit is nog steeds een tussenstand. Wordt vervolgd.
Advertentie