'Nederlandse overheden maken AVG-verwerkingsregisters amper openbaar'

Nederlandse overheden maken hun verwerkingsregisters voor persoonsgegevens amper openbaar, blijkt uit een rondvraag van de Open State Foundation. Slechts één op de vijf overheidsinstanties publiceert zo'n register, en bij twee derde is de informatie niet compleet.

De Open State Foundation vroeg de registers op bij 379 ministeries, gemeenten en provincies. Van die 379 overheden hadden er 89 een register gepubliceerd. In totaal ontving de Open State Foundation 246 registers. Sommige overheden wilden die niet geven, of zeiden hun register nog niet af te hebben.

In 63 procent van de ontvangen registers ontbrak bovendien informatie die wel wettelijk verplicht is op te nemen, maar ook werden in 83 procent van de gevallen kolommen opgenomen die niet verplicht zijn. De Open State Foundation merkt ook op dat de registers in een groot aantal verschillende formaten wordt aangeboden, van spreadsheets en databases tot aan pdf's. De organisatie pleit voor een uniform formaat voor verwerkingsregisters.

Overheden zijn sinds de invoering van de Algemene Verordening Gegevensbescherming vorig jaar verplicht om een verwerkingsregister op te stellen waarin staat welke persoonsgegevens zij verwerken en voor welk doel dat gebeurt. Ook staat erin wie toegang heeft tot die informatie, hoe die beveiligd wordt, en hoe lang de data wordt opgeslagen. Zo'n register is verplicht voor instanties die structureel persoongegevens verwerken, al hoeft het register niet voor iedereen publiek te worden gemaakt. Het moet wel worden aangemeld bij de Autoriteit Persoonsgegevens.

Reacties (22)

[Anck]

Vind het eigenlijk nog meevallen. Twee derde heeft in ieder geval iets gedaan en bijna een kwart voldoet zelfs aan de wet. Had veel slechtere resultaten verwacht.

[Verwijderd]

Sorry, maar 2/3e is gewoon niet goed genoeg, vooral als bij een redelijk deel daarvan ook eea nog ontbreekt of er juist dingen in staan die er niet in mogen staan.

[Anck]

Ik was half sarcastisch. Natuurlijk is dit, een jaar na dato, onder de maat. En dan hebben we nog niet eens gekeken of de verstrekte gegevens actueel en correct zijn. Ik betwijfel het. Maar dat overheden überhaupt iets proberen te doen op dit vlak vind ik al heel wat. Zoals oef! zegt is het ook gewoon een moeilijke en kostbare opgave. Het niet hebben van één standaard maakt dat elke overheid zelf iets regelt wat ook weer niet ten goede komt aan het overzicht en de inzichtelijkheid.

[Gomez12]

Ik was half sarcastisch. Natuurlijk is dit, een jaar na dato, onder de maat.

Grappig, dus als een nieuwe wet ingevoerd wordt en ik houd me daar na een jaar nog niet aan, dan is dat slechts onder de maat? Oftewel als een snelweg van 100 naar 80 gaat, dan kan ik daar het 1e jaar nog 100 rijden, want dat is slechts onder de maat?

Kom op zeg, dit is gewoon wetsovertredend gedrag van de overheid. Elke burger die ze zouden kunnen vinden zou er gewoon een boete voor krijgen...

[Mijzelf]

Oftewel als een snelweg van 100 naar 80 gaat, dan kan ik daar het 1e jaar nog 100 rijden, want dat is slechts onder de maat?

Dat is wel wat anders. Er is geen enkele voorbereiding nodig om 80 te gaan rijden (hoogstens wat eerder vertrekken). Maar hier hebben we het over iets waar véél manuren ingestopt moeten worden om aan de wet te gaan voldoen. Uren die je ergens vandaan moet halen, en die dan weer ergens anders niet kunnen worden gebruikt.

[Gomez12]

[...]
Dat is wel wat anders.

Nope, dat is niets anders. Als er een wet ingevoerd wordt is die geldig en je er niet aan houden is gewoon simpelweg de wet overtreden.
Er is al extreem uitzonderlijk 2 jaar een overgangsperiode geweest om de voorbereidingen te treffen. Alleen toen hebben ze niets gedaan.

Normaliter heeft de regering gewoon sch**t aan wie welke voorbereiding dan ook moet hebben en dat is ook volkomen terecht, want anders komt er geen enkele wet meer door want altijd zal er iemand veel manuren in moeten stoppen om het na te leven.

[Anck]

Tja. Dit is nu éénmaal het verschil tussen burgers en overheid. Ik praat het niet goed. Overigens valt het met bekeuringen nogal mee, de AP heeft er in heel 2018 slechts één gegeven voor overtreden van de AVG (Uber). Het lijkt dus alsof iedereen nog een jaartje honderd mag blijven rijden. Daarnaast heeft zo'n sanctie voor de overheid weinig zin, het is niet hun geld maar dat van ons.

[rolandverh]

Je hebt gelijk.
Bovendien wisten alle overheden al veel langer dat ze die registers moesten maken. Ik geloof (weet niet zeker, wie wel?), dat we al ruim vier jaar op de hoogte zijn van de nieuwe regels.
Hoewel die regels en de invulling in de nieuwe wetgeving lang op zich heeft laten wachten, wisten overheden echt wel dat ze iets moesten doen met die registraties/registers.
Natuurlijk is de roep om een standaard redelijk, maar helaas geldt hier dat er evenveel mensen als standaarden zijn. Iedere aanlevering van gegevens is waarschijnlijk gedaan met de bedoeling ook echt een goed overzicht af te geven.
Dus moet je eerst consensus bereiken over het formaat enz. Dat duurt nog jaren.

[Edgarz]

Ook voor niet-overheids instanties (lees: particulieren en bedrijven) is men soepel.
Behalve als een bedrijf of instelling er echt geen kloot aan gedaan heeft.

Voor sommige zaken is zelfs twee jaar voorbereidingstijd erg kort. Voor de korfbalvereniging is het ook iets simpeler dan voor een grote multinational of een overheid.

Ik denk dat je ook weinig weet hebt van de administratieve en legislatieve druk die er op overheden rust. De ellende bij de belastingdienst is bv voor een deel te wijten aan de impact die belastingregels wijzigingen hebben op de automatisering.
En schreeuwen we allemaal niet heel hard dat de (lokale) overheden het met minder geld en mensen moeten doen? Kijk dan ook niet raar op van dit soort situaties.

[Gomez12]

Ook voor niet-overheids instanties (lees: particulieren en bedrijven) is men soepel.
Behalve als een bedrijf of instelling er echt geen kloot aan gedaan heeft.

Ah, dus de overheid gaat miljarden boetes aan zichzelf uitdelen? Want de overheid heeft grosso modo gezien er echt geen ene kloot aan gedaan.

Ik blijf het wel grappig vinden dat mensen zoals jij met smoesjes en excuses blijven komen waarom onwettig gedrag toegestaan moet worden.
Als je een wet niet kunt naleven moet je hem wellicht niet invoeren...

[Edgarz]

Tja, da's jouw mening, dat men er geen kloot aan gedaan heeft bij de overheid. Het zou je sieren als je dat kunt onderbouwen. Maar ja, dat is meestal zo met buikgevoel.

De invoering van een wet is de zaak van een regering (deels ook bepaald door bv. Europese regelgeving), de uitvoering en handhaving moet veelal plaats vinden door de overheid/overheden.
Dat je die twee structureel door elkaar haalt is ook een beetje triest.

Maar afijn, het zijn geen excuses maar simpelweg een uitleg voor "jouw soort mensen"die klaarblijkelijk een mening spuien zonder enig inzicht en zonder enige perspectief over de complexiteit en verhoudingen in de echte wereld.

[dasiro]

als het niet verplicht openbaar te maken is, dan denk ik dat ze heel blij mogen zijn dat ze zoveel feedback hebben ontvangen en ik lees nergens dat ze de volledige registers hebben gekregen of wat er niet in zou mogen staan in welk specifiek geval. Ik zou het niet raar vinden dat een stad bijvoorbeeld bijhoudt wie een (universele) bloeddonor is in het kader van een rampenplan.

[Killjoy]

De AVG schrijft alleen voor wat er minimaal in moet staan. Je bent vrij om meer informatie op te nemen.

Oeps had reactie op @SpoekGTi moeten wezen

[Reactie gewijzigd door Killjoy op 23 juli 2024 08:54]

[SpoekGTi]

Ja maar 2/3 die wat doet noteert niet het juiste maar wel andere irrelevante informatie dus ja je gaat je wel afvragen wat dan he

[Anck]

Uit het artikel en het onderzoek blijkt niet dat de"extra" kolommen irrelevant zijn of niet opgenomen hadden mogen worden. Helaas wordt slechts één voorbeeld van zo'n kolom genoemd, de zgn grondslag.

[oef!]

In de praktijk is het eigenlijk ook ondoenlijk. Persoonsgegevens staan in tig applicaties die afzonderlijk van elkaar bestaan.

Het extraheren van die gegevens voor een persoon loopt op deze makkelijk in de tientallen uren qua coördinatie en daadwerkelijke extractie. En dan moet de kennis ervoor ook nog voor in huis zijn. Zo niet, dan begint het hele uurtje factuurtje verhaal van leveranciers te lopen.

[Roelant]

Verwar je nu niet het recht op inzage met het verwerkingsregister? Een verwerkingsregister bevat (onder andere) een overzicht van alle verwerkingen: welke gegevens bewaar je waarom, wie ontvangt het, hoe lang bewaar je het, etc. (AVG art. 30). Dat gaat dus nog niet over gegevens van één persoon, maar uberhaupt beginnen te begrijpen waar je gegevens van één persoon allemaal hebt staan.

Zozeer als het vaak wordt afgedaan als een moetje, geeft het in de praktijk heel veel handvatten en dwingt het verwerkers (die het serieus nemen) zelf goed te begrijpen welke data ze waar hebben en waarom. En zo basic als dat vanuit privacyperspectief mag klinken, was en is dat in veel gevallen niet zo.

[StefanDingenout]

Niet.

[roawser]

Door je bij Tweakers te beroepen op artikel 17 van de AVG.

[flowerp]

> Door je bij Tweakers te beroepen op artikel 17 van de GDPR.

Heb je dat wel eens geprobeerd dan?