Waste Insight
The hybrid ERP solution powered by AFAS software PieterBas Automatisering

Arnhemse afvalpaszaak: wat kan de afvalbranche ermee?

15 mei 2017
Regelgeving & Standaards,
0 Reacties
Afvalpas gemeente Arnhem Monique Hennekens advocaat privacy PieterBas Automatisering

De Autoriteit Persoonsgegevens (AP) heeft het onderzoek afgerond naar de wijze waarop de gemeente Arnhem persoonsgegevens verwerkt via de afvalpas. In haar beslissing heeft de AP geoordeeld dat de gemeente Arnhem in strijd met de Wet bescherming persoonsgegevens handelt. Toch handhaaft de AP niet. Wat kan de afvalbranche met deze beslissing?


Monique Hennekens Hekkelman Advocaten gastblogger Waste Insight AFAS PieterBas Automatisering

Auteur Monique Hennekens is advocaat bij Hekkelman Advocaten. In een serie posts voor het Waste Insight-blog over privacy belicht ze voor de afvalindustrie de belangrijkste onderwerpen. Monique heeft ruime ervaring met het bijstaan van diverse organisaties in privacy en IT projecten. Op privacygebied adviseert zij over vraagstukken die betrekking hebben op zowel Nederlandse als Europese privacyregelgeving en geeft zij regelmatig cursussen en (in house) trainingen. Op IT-gebied  begeleidt zij zowel leveranciers als afnemers bij diverse IT-projecten en bij het beoordelen of opstellen van contracten, zoals ERP (raam)overeenkomsten, hostingovereenkomsten, softwarelicenties en SLA’s.


Stortgegevens zijn persoonsgegevens

Zoals ik in mijn eerdere blogposts heb toegelicht, geldt de Wet bescherming persoonsgegevens ook binnen de afvalbranche. Adresgegevens zijn namelijk persoonsgegevens. In haar beslissing heeft de AP geoordeeld dat ook alle gegevens die via een afvalpas aan adresgegevens kunnen worden gekoppeld, zoals stortgegevens, persoonsgegevens zijn. Dat betekent dat ook voor die gegevens de privacy regels gelden.

Onderzoek afvalpas Arnhem

De reden van het onderzoek door de AP bij de gemeente Arnhem was een klacht van een inwoner met een verzoek tot handhaving. Deze Arnhemmer vroeg een onderzoek, omdat restafval alleen nog met een adres gebonden afvalpas kon worden gestort op ondergrondse containers. Op de container worden alleen de chipcodes (nummerreeks van de chip die in de pas zit), stortgegevens en technische gegevens geregistreerd. De gemeente Arnhem kan niet bij deze gegevens en kan geen stortgegevens per afvalpas zien.

Waarom is geoordeeld dat Arnhem in strijd met de wet handelt?

De verwerking van stortgegevens (wie wat wanneer stort) is volgens de AP niet noodzakelijk voor de publiekrechtelijke taak van de gemeente. Daardoor bestaat daar geen grondslag voor en is de verwerking bovenmatig. De AP oordeelde dat de stortgegevens die op de containers staan persoonsgegevens zijn. Dit zijn volgens de AP indirect identificeerbare persoonsgegevens, omdat de mogelijkheid bestaat om de stortgegevens via diverse bestanden te koppelen aan de adresgebonden afvalpassen. Het feit dat de gemeente Arnhem deze koppeling in de praktijk niet maakt, is volgens de AP niet relevant.

Lees ook mijn eerdere blogpost:
Persoonsgegevens verwerken met een afvalpas: wat is de grondslag?

Waarom wordt toch niet gehandhaafd?

Ondanks het oordeel van de AP dat de gemeente handelt in strijd met de Wet bescherming persoonsgegevens handhaaft de AP niet. Omdat de gemeente naar alle waarschijnlijkheid per 1 januari 2018 zal overgaan op DIFTAR is de overtreding op dat moment beëindigd. Dan heeft de gemeente wel een grondslag om de stortgegevens te verwerken, omdat voor DIFTAR de gemeente zal moeten weten wie wanneer restafval stort in de container. Bovendien gaat het niet om gevoelige gegevens. Handhaving zou daarom onevenredig zijn. Overigens heeft de betreffende inwoner al aangekondigd tegen dit oordeel van de AP in beroep te gaan.

Mogen er nu geen afvalpassen meer worden gebruikt?

Zeker wel! De AP heeft aangegeven dat het gebruik van afvalpassen mag als een gemeente daar een duidelijk doel bij heeft en voldoet aan de andere eisen van de privacywetgeving, zoals de informatieplicht en beveiligingsplicht. De door de gemeente Arnhem genoemde doelen zijn kortgezegd het voorkomen van afvaltoerisme, routeoptimalisatie, informatievestrekking per wijk en het  in kunnen voeren van DIFTAR. De AP heeft geoordeeld dat deze doeleinden noodzakelijk zijn voor het gebruik van een adresgebonden afvalpas. Het gebruik van deze afvalpassen is dus in overeenstemming met de wet. Daarbij geeft de AP ook aan dat een anoniem alternatief niet gevergd kan worden van de gemeente. De AP heeft aangegeven dat bij DIFTAR de gemeente zal moeten weten door wie wanneer afval is aangeboden. In dat geval bestaat er een noodzaak om stortgegevens te verwerken en past de verwerking binnen de publiekrechtelijke taak van de gemeente. Dus in geval van DIFTAR mogen stortgegevens wel worden verwerkt.

Lees ook mijn eerdere blogposts:
Afvalpas? Leg eerst de doeleinden vast!
Persoonsgegevens verwerken met een afvalpas: wat is de grondslag?
Privacy en de afvalpas: informatieplicht

Wat kan de afvalbranche met deze beslissing?

Een aantal aspecten die de AP noemt zijn relevant voor de hele afvalbranche. Niet alleen voor het gebruik van afvalpassen, maar ook bij het verwerken van stortgegevens op een andere wijze, zoals via chips in minicontainers. De meest relevante lessen zijn:

  • Er moet een doel zijn bepaald bij gebruik van adresgebonden afvalpassen (naast andere eisen zoals informatieplicht en passende beveiliging)
  • Stortgegevens mogen alleen worden geregistreerd als dat noodzakelijk is voor de publiekrechtelijke taak of de doelen die de gemeente heeft bepaald
  • Zonder DIFTAR kan het verwerken van stortgegevens in strijd met de wet zijn

De gemeente zal moeten zorgen dat wordt voldaan aan de privacyregels, ook als de afvalinzameling en de verwerking van persoonsgegevens is uitbesteed aan een afvalverwerker of andere partijen. Het is daarom voor gemeenten aan te raden om de gegevensverwerkingen bij de afvalinzameling – samen met de betrokken partijen – tegen het licht te houden en eventueel aan te passen.

Meer weten?

Lees ook:
Het nieuwsbericht van de Autoriteit Persoonsgegevens
De reactie van de gemeente Arnhem

Dit is een blogpost in een serie over privacy in de afvalindustrie. De eerdere blogposts van Monique gingen over:
Persoonsgegevens verwerken in de afvalbranche, wat houdt dat in?
Afvalpas? Leg eerst de doeleinden vast!
Persoonsgegevens verwerken met een afvalpas: wat is de grondslag?
Privacy en de afvalpas: verwerk niet meer gegevens dan noodzakelijk
Privacy en de afvalpas: informatieplicht

Wilt u meer weten over privacy in de Nederlandse afvalindustrie? Neem dan contact op met Monique Hennekens. Klik op deze link voor haar gegevens. Of blijf op de hoogte en volg Waste Insight op Twitter of LinkedIn.

Reageer op dit artikel