Hoe kijkt Autoriteit Persoonsgegevens tegen eigen rol als toezichthouder aan inzake het Inlichtingenbureau?

Op 25 januari 2021 verraste de Autoriteit Persoonsgegevens(AP) als toezichthouder door krachtig via de pers(eerst Trouw, later NRC) het Inlichtingenbureau(IB) van degemeenten aan te spreken. Voorzitter  Aleid Wolfsen stelt dat er een gat is in de rechtsbescherming van de burger bij het IB. Dat bureau krijgt van gemeenten data toegestuurd over bijv. uitkeringsgerechtigden. Die legt men naast databestanden die bij meerdere overheidsinstanties bestaan. De data “verrijkt” men daarmee, waarna de gemeente die verrijkte data terugkrijgt. Wolfsen, geeft in een uitgebreid artikel in Trouw, ook op 25 januari, aan dat het IB nogal wat uit te leggen heeft over het omgaan met data. Hij roept dan hard dat ze kraakhelder duidelijk  moeten maken wat ze verwerken. Namens wie ze dat doen. Op basis van welke wetgeving. De burger moet er volgens hem op kunnen vertrouwen dat men netjes, zorgvuldig en zeker binnen wetgeving met zijn of haar data omgaat.

Gelijk gas terug

Wolfsen brengt het probleem daarna terug tot iets waarvoor hij de “schijnoplossing” eigenlijk al geeft. Het IB verwerkt niet alleen data van en voor gemeenten, maar legt na verrijking de aangevulde  nieuwe data zelf  vast en stuurt ze vervolgens naar de gemeente. Het IB is dan formeel niet meer (gegevens)verwerker maar verwerkingsverantwoordelijke geworden. In de wet die het IB regelt staat dat het IB verwerker is en niet verwerkingsverantwoordelijke. Wolfsen stuurt in het artikel aan op de gedachte dat als het IB nu maar in een aangepaste regeling(wet o.i.d.) aangeduid kan worden als verwerkingsverantwoordelijke dat het probleem voor de burger dan voorbij is. Niets is minder waar, want de burger heeft nooit direct weet dat hij/zij in enig nader onderzoek is betrokken en krijgt nooit een mededeling van die dataverwerking. Pas als de gemeente een negatieve beschikking afgeeft kan de burger gaan vermoeden dat er ergens iets loos is.

Oef!

In het interview met Wolfsen zegt hij dat de AP geen klacht van een burger heeft ontvangen over  handelen door het IB. Om daarna te zeggen: “Maar betekent dit dat alles goed gaat? “.  Het is echter onmogelijk dat een individuele burger rechtstreeks weet heeft van de activiteiten van het IB in zijn/haar geval. Door de wijze van opereren van het IB voor de gemeenten is het onmogelijk om te achterhalen dat het IB ingeschakeld geweest is. Pas als de burger een rechtszaak voert over een gemeentelijke beschikking komt boven water dat de gemeente een “verrijkingssignaal” ontvangen had. Dat speelde bij de casus die recent veel aandacht trok in de gemeente Wijdemeren. Dan blijkt in de rechtszaak dat het IB een door verrijking een signaal heeft opgepikt en naar de gemeente stuurde.

Lakse AP(1)

Het bijzondere is dat al in 2007 in een brief aan staatssecretaris Aboutaleb de rechtsvoorganger van de AP, het College Bescherming Persoonsgegevens(CBP) al de gevoeligheid signaleerde van de functie van het IB als verwerkingsverantwoordelijke. Het CBP schrijft dan:

“Daarnaast adviseert het CBP u om in de toelichting aan te geven hoe de werkzaamheden van deze rechtspersoon zich verhouden tot de werkzaamheden van het Inlichtingenbureau. Voor iedereen moet duidelijk zijn bij welke gegevensverwerkingen het Inlichtingenbureau namens de colleges van B&W optreedt en bij welke gegevensverwerkingen de bewuste rechtspersoon. De rechtspersoon vertegenwoordigt de gemeenten bij het aangaan van overeenkomsten aangaande de verkrijging en verstrekking van persoonsgegevens van en aan derden. Dit betekent een grote verantwoordelijkheid waarbij kennis van de privacywetgeving cruciaal voor een rechtmatige gegevensverwerking is.”

Nimmer heeft de AP nadien het IB aangesproken op het door haar al in 2007 gesignaleerde knelpunt.

 Laks(2)

Waarom de Ap nu reageert geeft Wolfsen aan in het interview:

“Eén: door wat we lazen in Trouw. Twee: door de uitspraak van de rechter rondom de vrouw in Wijdemeren, dat begon ook met een signaal van het IB. Drie is dat we een link zagen, tot onze eigen verrassing ook, tussen de afdeling Toeslagen en het IB.”

Uit deze opmerkingen blijkt dat de AP simpel reactief bezig is nu, vermoedelijk met de gedachte dat nu met zoveel aandacht voor het IB niets doen geen optie is.

IKZ als signaal

De AP had al veel eerder in actie kunnen komen. Niet alleen door de advisering van het CBP in 2007(zie hierboven), maar gewoon door analogie met het wetsontwerp tegen zorgfraude(Wbsrz) dat nu voorligt in de Tweede Kamer. Dat wetsontwerp circuleerde in ambtelijke kringen al langer en kent met het InformatieKnooppunt Zorgfraude, ook als data-draaischijf, exact dezelfde constructie metdata-verrijking als bij het IB plaats vindt. Zelfs het opzetten van een private stichting, als rechtspersoon met een wettelijke taak is hetzelfde.

Glas half vol/leeg?

Het is goed dat de AP nu een punt maakt van het handelen van het IB, maar het had veel eerder gekund en veel doortastender. Nu geeft men de functionaris gegevensbescherming van het IB vier weken om met een passend antwoord te komen. En laat die nu al even terug kenbaar gemaakt te hebben dat ze de status van verwerkingsverantwoordelijk zouden moeten krijgen. Los van dit punt moet de AP constateren dat het IB wederrechtelijk data heeft verwerkt de afgelopen jaren en daarvoor bestraft dient te worden. Alleen sorry zeggen, een wetje of ministeriele regeling aanpassen daar moet de AP nu niet mee aankomen.

Al met al heeft de AP de afgelopen jaren deze kwestie nogal labbekakkerig aangepakt en steken liet vallen. Maar het is goed dat men nu hierover de publiciteit zoekt. Je kunt daarbij zeggen dat het glas half vol is. Mijn betoog wijst er echter ook op het half lege deel.

Uiteindelijk moeten we minimaal blij zijn dat er überhaupt een glas is.

W.J. Jongejan, 26 januari 2021

Afbeelding van www_slon_pics via Pixabay