Een mooi neveneffect van de AVG is dat de aandacht voor gegevensbescherming binnen en buiten de publieke sector fors is toegenomen. De praktijk laat zien dat het af en toe schuurt.
Een mooi, maar soms ook lastig, neveneffect van de Algemene Verordening Gegevensbescherming (AVG) is dat de aandacht voor gegevensbescherming binnen en buiten de publieke sector fors is toegenomen.
En zoals bij ieder onderwerp waarbij algemene vuistregels nuttig zijn, gaan dezelfde vuistregels soms ook weer flink in de weg zitten als ze consequent en altijd worden toegepast. Zo ook als er een extern advies wordt ingewonnen en het resulterende adviesrapport in het kader van de verantwoording voor dat advies de namen van de geïnterviewde ambtenaren bevat.
Inderdaad, het is ons bij onderzoeken voor gemeentelijke rekenkamers al met enige regelmaat overkomen dat er een verwerkersovereenkomst is voorgelegd. Conform het VNG-model, waar vanuit zowel praktisch als AVG-perspectief nadelen aan kleven (maar dat is stof voor een ander artikel), want de lijst met geïnterviewden: dat zijn persoonsgegevens. En of de ondertekende verwerkersovereenkomst retour kon.
De toegepaste vuistregel is vrij helder: ‘Als persoonsgegevens waar de eigen organisatie voor verantwoordelijk is door een andere partij dan de eigen organisatie worden verwerkt, is een verwerkingsovereenkomst noodzakelijk’. Een nuttige vuistregel, alleen horen daar wat uitzonderingen bij.
Als eerste de vraag wat een verwerking is. De reikwijdte van de AVG is beperkt tot verwerkingen die betrekking hebben op een bestand. Een bestand is weer gedefinieerd als ‘elk gestructureerd geheel van persoonsgegevens’. Je kunt je afvragen of iedere vermelding in een onderzoeksrapport van namen wel aan dit criterium voldoet. Maar daar waar er sprake is van een verantwoordingsparagraaf met daarin een lijst van geïnterviewden, is dat uiteraard wel het geval.
De andere, meer significante uitzondering is de situatie waarin de andere partij een eigen verwerkingsverantwoordelijkheid heeft. Die komt in de regel best veel voor. Denk aan pensioenfondsen, arbo-diensten en dergelijke. Ook een onderzoeksrapport wil wel eens vanuit een dusdanig onafhankelijke rol worden opgesteld dat er niet noodzakelijkerwijze meer sprake is van een relatie waarin een gezagsverhouding ten aanzien van de verantwoordingsinformatie nuttig of wenselijk is.
Het lijkt mij uitstekend verdedigbaar om de positie in te nemen dat de externe onderzoekers in die gevallen opereren onder een eigen grondslag, namelijk die van het gerechtvaardigd belang van het onderzoeksbureau. Waarbij ze uiteraard altijd open zullen moeten staan voor inzage-, correctie- en verwijderingsverzoeken van de betrokken ambtenaren, maar daarbij ook hun eigen afwegingen moeten kunnen maken.
Want een onderzoeker die zo’n verwerkersovereenkomst tekent, tekent ook voor de bevoegdheid van de opdrachtgever om het machtswoord te hebben over wie wat tegen de onderzoeker gezegd heeft tijdens het onderzoek. Dat is nooit de bedoeling geweest van de AVG.
Walter van Holst is adviseur bij PBLQ met een focus op gegevensbescherming, privacy, open standaarden en open source in de publieke sector.
