AVG-wetten en de overheid: wat betekent de privacywet voor publieke organisaties?

De overheid verwerkt dagelijks persoonsgegevens. Denk aan gegevens die nodig zijn voor toeslagen, vergunningen, onderwijs, zorg, belastingen of gemeentelijke dienstverlening. Die verwerking moet zorgvuldig gebeuren. De belangrijkste privacyregels staan in de Algemene verordening gegevensbescherming (AVG), aangevuld door de Nederlandse Uitvoeringswet AVG (UAVG) en specifieke wetten voor bepaalde overheidstaken.

Wat is de AVG?

De AVG is de Europese privacywet die regels vastlegt voor het verzamelen, gebruiken, bewaren en delen van persoonsgegevens. De wet geldt sinds 25 mei 2018 en is van toepassing op organisaties binnen de Europese Unie, waaronder ministeries, gemeenten, provincies, uitvoeringsorganisaties en veel andere publieke instellingen.

Een persoonsgegeven is informatie die direct of indirect naar een persoon te herleiden is. Voorbeelden zijn een naam, adres, burgerservicenummer, telefoonnummer, locatiegegevens en informatie over iemands gezondheid. Gegevens over gezondheid, religie of politieke opvattingen zijn extra gevoelig en krijgen bijzondere bescherming.

Welke wetten gelden naast de AVG?

De AVG bevat algemene privacyregels. De UAVG vult die regels in voor Nederland en bevat onder meer nationale uitzonderingen en aanvullende bepalingen. Daarnaast kunnen specifieke wetten regels geven voor een overheidstaak. Welke regels gelden, hangt dus af van de organisatie en het doel waarvoor gegevens worden verwerkt.

Bij het delen of openbaar maken van overheidsinformatie kan bijvoorbeeld ook de Wet open overheid (Woo) relevant zijn. De Woo betekent niet dat persoonsgegevens zonder meer openbaar mogen worden gemaakt: de overheid moet ook de privacyregels en eventuele wettelijke uitzonderingen meewegen.

Op welke grondslag mag de overheid gegevens verwerken?

Voor iedere verwerking moet een geldige grondslag bestaan. Bij overheidstaken gaat het vaak om een wettelijke verplichting of de vervulling van een taak van algemeen belang of openbaar gezag. De verwerking moet dan passen binnen de toepasselijke wetgeving en noodzakelijk zijn voor de taak.

Overheidsorganisaties kunnen voor verwerkingen die zij uitvoeren bij de vervulling van hun publieke taken niet zomaar een beroep doen op het gerechtvaardigd belang als AVG-grondslag. Toestemming is soms mogelijk, maar is niet automatisch de juiste basis. Toestemming moet vrij, specifiek, geïnformeerd en eenvoudig in te trekken zijn. Bij een overheidstaak kan de machtsverhouding tussen overheid en burger betekenen dat toestemming niet werkelijk vrij is.

Belangrijke AVG-verplichtingen voor overheidsorganisaties

• Doelbinding: gegevens mogen alleen worden verzameld voor duidelijke, rechtmatige doelen en niet zomaar voor iets anders worden gebruikt.
• Dataminimalisatie: de overheid mag niet meer persoonsgegevens verwerken dan nodig is.
• Transparantie: mensen moeten begrijpelijke informatie krijgen over welke gegevens worden gebruikt, waarom dat gebeurt en met wie ze worden gedeeld.
• Bewaarbeperking: gegevens mogen niet langer worden bewaard dan nodig is, rekening houdend met wettelijke bewaartermijnen en archiefregels.
• Beveiliging: organisaties moeten passende technische en organisatorische maatregelen nemen om gegevens te beschermen.
• Verantwoording: de organisatie moet kunnen aantonen dat zij de AVG naleeft.

Rechten van burgers

Mensen hebben onder de AVG verschillende rechten. Zo kunnen zij in veel gevallen vragen om inzage in hun persoonsgegevens, onjuiste gegevens laten corrigeren of bezwaar maken tegen een verwerking. Ook bestaan er rechten op verwijdering, beperking van de verwerking en gegevensoverdraagbaarheid. Niet ieder recht geldt in elke situatie: wettelijke taken, uitzonderingen en de aard van de verwerking kunnen invloed hebben op wat mogelijk is.

Wie een verzoek wil indienen, kan contact opnemen met de betreffende overheidsorganisatie. Die moet het verzoek beoordelen en binnen de AVG-termijn reageren. Als iemand vindt dat een organisatie de privacyregels niet naleeft, kan diegene een klacht indienen bij de Autoriteit Persoonsgegevens (AP).

Functionaris voor gegevensbescherming en DPIA

Overheidsinstanties en publieke organen moeten in de regel een functionaris voor gegevensbescherming (FG) aanwijzen. De FG houdt toezicht op de naleving van de privacyregels en adviseert de organisatie. Er geldt een uitzondering voor rechtbanken wanneer zij handelen in hun rechterlijke hoedanigheid.

Wanneer een verwerking waarschijnlijk een hoog privacyrisico oplevert, moet de organisatie vooraf een gegevensbeschermingseffectbeoordeling uitvoeren. Dit heet ook een DPIA. Zo’n beoordeling kan bijvoorbeeld nodig zijn bij grootschalige verwerking van gevoelige gegevens, uitgebreide monitoring of een nieuw systeem dat ingrijpende gevolgen voor burgers kan hebben.

Gegevens delen en datalekken

De overheid mag persoonsgegevens niet onbeperkt uitwisselen met andere overheidsorganisaties of externe partijen. Voor gegevensdeling moet een passend doel en een geldige juridische basis bestaan. Ook moet worden bekeken welke gegevens noodzakelijk zijn, hoe ze worden beveiligd en wie toegang krijgt.

Bij een datalek moet de organisatie beoordelen welk risico er voor betrokkenen bestaat. Als de AVG dat vereist, moet het datalek binnen 72 uur na ontdekking worden gemeld bij de Autoriteit Persoonsgegevens. Bij een hoog risico moeten ook de betrokken personen worden geïnformeerd.

Toezicht en gevolgen van overtredingen

De Autoriteit Persoonsgegevens houdt toezicht op de naleving van de AVG in Nederland. De toezichthouder kan onderzoek doen, organisaties aanwijzingen geven en in bepaalde gevallen boetes opleggen. Ook kan een onzorgvuldige verwerking leiden tot klachten, juridische procedures en verlies van vertrouwen bij burgers.

Samenvatting

De AVG geldt ook voor de overheid. Publieke organisaties moeten persoonsgegevens zorgvuldig en veilig verwerken, een geldige grondslag hebben en burgers duidelijk informeren. De UAVG en andere Nederlandse wetten vullen de regels aan. Omdat de overheid vaak omvangrijke gegevensbestanden beheert en beslissingen neemt die burgers raken, zijn duidelijke procedures, goede beveiliging en controleerbare werkwijzen essentieel.

Dit artikel biedt algemene informatie en is geen juridisch advies. De regels kunnen per overheidstaak en situatie verschillen.

 

6 tips om je privacyrechten bij de overheid te beschermen volgens de AVG

1. Lees de privacyverklaring van de overheidsinstantie.
2. Vraag op welke wettelijke grondslag je gegevens worden verwerkt.
3. Dien een verzoek in om je gegevens in te zien.
4. Laat onjuiste persoonsgegevens corrigeren.
5. Maak bezwaar tegen verwerking als de AVG dat toestaat.
6. Dien bij een vermoeden van een overtreding een klacht in bij de Autoriteit Persoonsgegevens.

Lees de privacyverklaring van de overheidsinstantie.

Lees de privacyverklaring van de overheidsinstantie om te begrijpen welke persoonsgegevens zij verzamelt, waarom dat gebeurt en op welke wettelijke grondslag. Daarin staat vaak ook hoe lang gegevens worden bewaard, met wie ze worden gedeeld, hoe ze worden beveiligd en hoe u uw AVG-rechten kunt uitoefenen. Is iets onduidelijk, neem dan contact op met de instantie of haar functionaris voor gegevensbescherming.

Vraag op welke wettelijke grondslag je gegevens worden verwerkt.

Vraag de overheidsorganisatie op welke wettelijke grondslag zij uw persoonsgegevens verwerkt. De AVG vereist dat iedere verwerking een geldige basis heeft, zoals een wettelijke verplichting of een taak van algemeen belang. Als u weet op welke grondslag de organisatie zich beroept, kunt u beter begrijpen waarom uw gegevens nodig zijn, waarvoor ze worden gebruikt en welke rechten u eventueel kunt uitoefenen.

Dien een verzoek in om je gegevens in te zien.

Wil je weten welke persoonsgegevens de overheid van je verwerkt? Dien dan een verzoek tot inzage in bij de overheidsorganisatie die je gegevens beheert. Vermeld duidelijk dat je een beroep doet op je recht op inzage onder de AVG en geef aan over welke gegevens of periode je meer informatie wilt. De organisatie moet je onder meer informeren over het doel van de verwerking, de soorten gegevens en eventuele ontvangers. Houd er rekening mee dat in sommige gevallen wettelijke uitzonderingen kunnen gelden.

Laat onjuiste persoonsgegevens corrigeren.

Klopt er iets niet in uw persoonsgegevens bij een overheidsorganisatie? U kunt vragen om deze gegevens te laten corrigeren, bijvoorbeeld als uw adres, naam of contactgegevens onjuist zijn. Dien uw verzoek in bij de organisatie die de gegevens beheert en vermeld duidelijk wat er aangepast moet worden. De organisatie kan u vragen om bewijs, zoals een identiteits- of adresdocument. Volgens de AVG moet zij uw verzoek beoordelen en u informeren over de uitkomst.

Maak bezwaar tegen verwerking als de AVG dat toestaat.

Maak bezwaar tegen de verwerking van uw persoonsgegevens wanneer de AVG u dat recht geeft. Dit kan bijvoorbeeld gelden als een overheidsorganisatie gegevens verwerkt op basis van een taak van algemeen belang of openbaar gezag. Leg uit tegen welke verwerking u bezwaar maakt en waarom. De organisatie moet uw bezwaar beoordelen en de verwerking in principe stoppen, tenzij zij dwingende gerechtvaardigde gronden heeft om daarmee door te gaan of de gegevens nodig zijn voor een rechtsvordering. De precieze mogelijkheden hangen af van de wettelijke grondslag en de situatie.

Dien bij een vermoeden van een overtreding een klacht in bij de Autoriteit Persoonsgegevens.

Vermoedt u dat een overheidsorganisatie de AVG overtreedt, bijvoorbeeld doordat uw persoonsgegevens zonder geldige reden worden gebruikt of onvoldoende zijn beveiligd? Neem dan eerst contact op met de organisatie om uw zorgen te bespreken. Komt u er niet uit, dan kunt u een klacht indienen bij de Autoriteit Persoonsgegevens (AP). Beschrijf zo duidelijk mogelijk wat er is gebeurd en voeg relevante documenten of correspondentie toe. De AP beoordeelt uw klacht en kan besluiten nader onderzoek te doen.