De gemeente Arnhem is door de Autoriteit Persoonsgegevens (AP) op de vingers getikt voor het schenden van de privacy van burgers. Een door de gemeente ingevoerd pasjessysteem voor het openen van ondergrondse afvalcontainers, sinds 2014 in gebruik, is in strijd met de Wet bescherming persoonsgegevens (Wbp). De AP legt de gemeente geen sancties op omdat het systeem in 2018 een aanpassing ondergaat.
De toezichthouder heeft na een klacht van een burger vastgesteld dat de gemeente Arnhem via de afvalpas persoonsgegevens van inwoners verwerkt hoewel dit niet noodzakelijk is voor de publiekrechtelijke taak van de gemeente.
Het betreft een pasjessysteem dat in 2014 is ingevoerd door afvalverwerker Diftar. De ondergrondse afvalcontainers binnen de gemeente Arnhem zijn vanaf medio 2014 alleen nog te openen met een aan het woonadres gekoppelde afvalpas die inwoners hebben ontvangen. Per woonadres wordt één afvalpas uitgegeven, met een unieke chipcode die geregistreerd wordt bij de uitgifte.
Bij het aanbieden van de afvalpas voor het openen van de afvalcontainer gaat de pas door een kaartlezer die in verbinding staat met een toegangscontrolesysteem van Chiplock Graphics. De chipcode van de afvalpas wordt vervolgens vergeleken met een lijst van geautoriseerde afvalpassen.
De gegevens wie, wanneer afval aanbiedt aan de afvalcontainer wordt vervolgens op de afvalcontainer bewaard. De bewaartermijn van deze gegevens is één tot 25 dagen. Volgens de toezichthouder is het onterecht dat die data ook te herleiden is op een persoon. Daar is geen gegronde reden voor. Op dit moment wordt bijvoorbeeld niet geregistreerd hoeveel kilo afval een huishouden aanbiedt. De pas moet alleen de container openen.
Nieuw systeem
Vanaf 2018 zal het afvalsysteem worden aangepast naar het principe van de vervuiler betaalt. Vanaf dan zal de gemeente Arnhem door middel van een gedifferentieerd betalingssysteem met variabele tarieven per huishouden (pas) de aangeboden hoeveelheid restafval registreren.
De toezichthouder: ‘Na die invoering heeft de gemeente een nieuw doeleinde voor de verwerking van persoonsgegevens; namelijk het bepalen van het variabele deel van de afvalstoffenheffing en daarmee is de pas en het herleiden van de pas tot een persoon wel toegestaan.’
De AP oordeelt dat in dat geval de gemeente kennis moet hebben dat afval is aangeboden, door wie afval is aangeboden en wanneer. Voor het koppelen van deze gegevens bestaat volgens hen dus een noodzaak. Ook past deze verwerking volgens de toezichthouder binnen de publiekrechtelijke taak van de gemeente .
De AP ziet op dit moment af van handhaving. ‘Als gevolg van invoering van Diftar vanaf 1 januari 2018 bestaat er namelijk concreet zicht op legalisatie, en zal handhaving onevenredig zijn’, licht de autoriteit het besluit toe.
Afvalpas
De autoriteit: ‘In zijn algemeenheid geldt dat het gebruik van afvalpassen mag. Maar een gemeente moet hier wel een duidelijk doel bij hebben. Bijvoorbeeld om bewoners per hoeveelheid afval te laten betalen.’
De toezichthouder vervolgt dat een gemeente zich bovendien aan een aantal voorwaarden moet houden: ‘De gemeente moet inwoners vooraf informatie geven over het doel waarvoor de gemeente gegevens over het afval verzamelt. En wat de gemeente verder met de afvalgegevens doet. De gemeente mag alleen gegevens verzamelen die nodig zijn om dat doel te bereiken, dus niet meer dan noodzakelijk. De gemeente moet de afvalpas goed beveiligen.’
De AP heeft niet bekendgemaakt of er ook andere gemeenten in overtreding zijn.
Beetje offtopic maar Ik begrijp nog steeds niet waarom je per kilo zou laten betalen.
Er komt een hele administratieve rompslomp omheen om dit allemaal te verwerken.
Hoe maak je inzichtelijk hoeveel kilo iemand al heeft weggegooid?
Hoeveel extra ambtenaren zijn hier straks mee bezig?
Hoe los je geschillen op?
In principe moet nog steeds dezelfde hoeveelheid huisvuil verwerkt worden dus het zijn alleen maar extra kosten.
Nu gooi ik nog eens iets wat op straat ligt of bij de afvalcontainer staat in de container maar straks moet ik daarvoor dus extra betalen dus doe ik dat niet meer. Dus er komen nog extra kosten voor zwerfvuil bij.
De mensen die hun afval al netjes gescheiden weggooien blijven dat doen en de mensen die alles in de container gooien zullen ook niet door het beperkte gedrag geprikkeld worden om hun leven te beteren,
Er zijn inmiddels al systemen die het afval zelf scheiden zodat het niet meer gescheiden hoeft te worden aangeleverd. Dus het gescheiden inleveren is eigenlijk al weer achterhaald.
@Michiel : de gang naar de Europese rechter loopt in beginsel via de nationale rechter.
Waar het mij om gaat is dat het erop begint te lijken dat de bedoelde rechtsbescherming door de betere en generieke privacybescherming van de GDPR op nationaal niveau wordt geminimaliseerd.
Ik ben geen specialist op dat gebied, maar het lijkt mij dat de ruimere bescherming door de GDPR niet aan de burger kan worden onthouden doordat men op nationaal niveau een andere beperkter invulling geeft of onvoldoende initiatief toont.
Het lijkt er sterk op dat men op Europees niveau daarmee weinig geduld zal hebben en zonodig rechtstreeks zal ingrijpen.
En Diftar is dan maar één voorbeeld.
Bij al dit soort gevallen zal het dus niet gaan over de effectiviteit/efficiency van het overheidsbeleid zélf, maar om de verhouding daarvan tegenover de privacy-inbreuk.
Diftar zakt daarmee dus op twee fronten door het ijs.