Ondermijnende criminaliteit in het vizier bij de Autoriteit Persoonsgegevens

De uitwisseling van persoonsgegevens is onmisbaar bij de bestrijding van ondermijning. Een noodzakelijk kwaad, vindt de Autoriteit Persoonsgegevens (AP). Daarom geeft de AP aandachtspunten op haar website.

De AP bespreekt op haar website wat ondermijning is en welke instanties zich bezig houden met de bestrijding ervan. Denk aan politie, justitie, gemeenten, provincies en Belastingdienst. Deze verschillende instanties houden zich elk vanuit hun eigen taak bezig en met de bestrijding van ondermijning. Zij bundelen hun krachten via de Regionale Informatie en Expertise Centra’s (RIEC’s) en het Landelijk Informatie en Expertice Centrum (LIEC). De RIEC’s en het LIEC fungeren als het ware als ‘informatieknooppunt’ voor de verschillende instanties.

De AP wijst er op dat de verschillende instanties bij de uitwisseling van persoonsgegevens elk vanuit hun eigen taak- na moeten gaan of zij aan de Algemene Verordening Gegevensbescherming (AVG) voldoen en aan de Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG). Daarnaast of in plaats daarvan gelden soms bijzondere wetten. Denk aan de Wet politiegegevens (Wpg) die geldt voor verwerking van politiegegevens of aan de Wet Basisregistratiepersoonsgegevens (Wet brp). Soms gelden voor één instantie zelfs verschillende wetten. Dat maakt de uitwisseling van persoonsgegevens tussen de verschillende instanties complex. De uitwisseling via de RIEC’s gebeurt op dit moment op basis van een convenant en een privacyprotocol. Voor die uitwisseling is een wettelijke basis in de maak: de Wet gegevensverwerking door samenwerkingsverbanden (Wgs). De AP is kritisch over de Wsg. Zij vindt dat de Wsg belangrijke beginselen in de AVG uitholt. Denk aan het beginsel van doelbinding en dataminimalisatie.

Dat de AP de Wgs te ver vindt gaan, neemt niet weg dat zij het belang onderschrijft van de bestrijding van ondermijning. De AP geeft daarvoor op haar website een aantal ‘aandachtspunten’.

De aandachtspunten komen neer op een opsomming van de eisen die de AVG stelt aan de uitwisseling van persoonsgegevens. Zo wijst de AP er op dat nagegaan  moet worden of er een doel is dat gebaseerd kan worden op één van de gronden van artikel 6 AVG. Ook wijst de AP er op dat nagegaan moet worden of er een Data Protection Impact Assessment (DPIA) gedaan moet worden en zo ja of de uitkomst daarvan aanleiding geeft voor een voorafgaand onderzoek door de AP. Tot slot wijst de AP er op dat verschillende instanties die persoonsgegevens uitwisselen afspraken moeten maken.

Of instanties die persoonsgegevens uitwisselen afspraken moeten maken, is de vraag. Dat moet alleen als zij de doelen waarvoor en de middelen waarmee zij persoonsgegevens uitwisselen samen bepalen. Doen zij dat niet, dan hoeven zij op grond van de AVG geen afspraken te maken. Ik adviseer dat wel te doen, omdat afspraken houvast geven. Afspraken kunnen gemaakt worden in de vorm van een convenant. Daarin kan vastgelegd worden voor welke doelen en voor de uitvoering van welke wetten en taken de verschillende instanties persoonsgegevens uitwisselen. Ook kan vastgelegd worden welke stappen elk van hen moet doorlopen om ervoor te zorgen dat aan de eisen van de AVG voldaan wordt en aan de eisen van wetten die daarnaast of in plaats daarvan gelden. Zo wordt vastgelegd welke persoonsgegevens uitgewisseld mogen worden en onder welke voorwaarden. Ook worden afspraken gemaakt over het informeren van betrokkenen, het beveiligen van persoonsgegevens en het melden van datalekken.

Op die dag (16 februari 2023) neem ik de sessie Gegevensuitwisseling bij de aanpak van ondermijning voor mijn rekening. Ik geef dan tips voor het opstellen van een convenant voor het uitwisselen van persoonsgegevens. Klik hier voor meer informatie over de Ondermijningsdag 2023 van Hekkelman.

De Ondermijningsdag is volgeboekt. Heb je je nog niet inschreven? Meld je dan aan voor de reservelijst.