In mijn vorige blogpost over persoonsgegevens in de afvalbranche schreef ik dat de privacyregelgeving ook geldt voor de afvalverwerking. Het verwerken van adresgegevens, kentekens of locatiegegevens zijn namelijk verwerkingen van persoonsgegevens. Een belangrijk basisbeginsel uit de privacyregelgeving is dat voor iedere verwerking een gerechtvaardigd doel moet zijn bepaald. In deze blog leg ik uit waarom het belangrijk is dat als eerste het doel voor het verwerken van persoonsgegevens met een afvalpas wordt vastgelegd.
Monique Hennekens
Auteur Monique Hennekens is advocaat bij Hekkelman Advocaten. In een serie posts voor het Waste Insight-blog over privacy belicht ze voor de afvalindustrie de belangrijkste onderwerpen. Monique heeft ruime ervaring met het bijstaan van diverse organisaties in privacy en IT projecten. Op privacygebied adviseert zij over vraagstukken die betrekking hebben op zowel Nederlandse als Europese privacyregelgeving en geeft zij regelmatig cursussen en (in house) trainingen. Op IT-gebied begeleidt zij zowel leveranciers als afnemers bij diverse IT-projecten en bij het beoordelen of opstellen van contracten, zoals ERP (raam)overeenkomsten, hostingovereenkomsten, softwarelicenties en SLA’s.
Voordat persoonsgegevens worden verwerkt, moet worden bepaald wat de gerechtvaardigde doelen zijn voor de verwerking. Dat is een basisprincipe van de privacyregelgeving. Het doel bepaalt de ruimte voor de verwerking. Als een persoonsgegeven wordt verzameld voor een bepaald doel mag dat persoonsgegeven niet op een later moment worden verwerkt voor een volledig ander doel. Zo mogen bijvoorbeeld camerabeelden met als doel de beveiliging van een milieustraat niet worden gebruikt om een werknemer op zijn of haar functioneren richting bezoekers aan te spreken. Ook mogen stortgegevens die worden verzameld met het doel om afvalstoffenheffing te berekenen niet worden gebruikt om sociale zekerheidsfraude of leegstand op te sporen. Deze verwerkingen liggen buiten het oorspronkelijk bepaalde doel en zijn daarom in strijd met de privacyregels.
Afvalpas
Een gemeente die besluit afvalpassen in te voeren moet bepalen voor welke doelen de daarop geregistreerde persoonsgegevens, zoals adresgegevens en en stortgegevens, worden verwerkt. De doelomschrijving moet duidelijk en voldoende concreet zijn: de doeleinden moeten een kader bieden om te toetsen of de gegevens wel nodig zijn om die doelen te bereiken. Op dit noodzakelijkheidsvereiste kom ik in een latere blogpost terug. De doelen moeten zijn bepaald vóór de verwerking van de persoonsgegevens, dus voordat persoonsgegevens met de afvalpas worden verwerkt. Omdat ook mogelijke latere verwerkingen aan de vooraf bepaalde doelen moeten voldoen, is het belangrijk om de doelen zorgvuldig en niet té beperkt te omschrijven. De burgers van wie de persoonsgegevens worden verwerkt moeten ook geïnformeerd worden over onder meer de doelen waarvoor hun gegevens verwerkt worden.
Mogelijke doeleinden voor afvalpas
De afvalpas kan worden gebruikt om burgers de mogelijkheid te bieden om een bepaalde hoeveelheid afval naar de milieustraat te brengen zonder bijbetaling. Ook kan een afvalpas worden gebruikt voor omgekeerd inzamelen. Met die afvalpas kan dan bijvoorbeeld de (ondergrondse) container worden geopend. Het doel om deze afvalpassen op adres te registreren kan zijn het voorkomen van ‘afvaltoerisme’ door inwoners uit omliggende gemeenten. Dit doel noemt de Autoriteit Persoonsgegevens ook expliciet op haar website.
Andere mogelijke doelen voor de verwerking van persoonsgegevens met een afvalpas, zoals adresgegevens en stortgegevens, kunnen zijn:
- Het voorkomen van het gebruiken van voorzieningen voor huishoudens voor het storten van bedrijfsafval
- Het berekenen en innen van gemeentelijke afvalstoffenheffing
- Het beheer van en de controle op het gebruik van de gemeentelijke inzamelvoorzieningen
- De verbetering van de efficiëntie van de inzameling van afvalstoffen, zoals routeoptimalisatie
Risico’s als geen doelen zijn vastgelegd
Een gemeente heeft vaak wel milieudoelen bepaald in een afvalbeleid of specifieke belastingdoelen in het kader van DIFTAR, maar geen specifieke doelen voor de verwerking van persoonsgegevens met de afvalpas. Dat zou ertoe kunnen leiden dat sommige verwerkingen van persoonsgegevens met de afvalpas in strijd zijn met de privacyregelgeving. Bovendien zouden burgers in strijd met de informatieplicht (daar ga ik in een latere blogpost verder op in) onvoldoende zijn geïnformeerd over de verwerking van hun persoonsgegevens. Een burger zou dan een handhavingsverzoek kunnen indienen bij de Autoriteit Persoonsgegevens, met alle negatieve publiciteit en mogelijke bestuurlijke boetes van dien.
Conclusie
Om in overeenstemming met de privacyregelgeving persoonsgegevens te verwerken met een afvalpas, zoals adres- en stortgegevens, zullen allereerst de doeleinden moeten worden bepaald.
Meer weten?
De privacyregelgeving inzake doeleinden is vastgelegd in artikel 7 van de Wet Bescherming Persoonsgegevens. Op de website van de Autoriteit Persoonsgegevens is onder meer te informatie te vinden over het verzamelen van afvalgegevens.
Dit is een blogpost in een serie over privacy in de afvalindustrie. De eerdere blogpost van Monique ging over: Persoonsgegevens verwerken in de afvalbranche, wat houdt dat in? Haar volgende blogpost gaat over: ‘De grondslag voor verwerking van persoonsgegevens met een afvalpas’.
Wilt u meer weten over privacy in de Nederlandse afvalindustrie? Neem dan contact op met Monique Hennekens. Klik op deze link voor haar gegevens. Of blijf op de hoogte en volg Waste Insight op Twitter of LinkedIn.
