Vier jaar geleden werd de AVG van kracht, maar Nederlandse gemeenten houden zich onvoldoende aan de privacywetgeving, zo stelt burgerrechtenbeweging Bits of Freedom (BoF) op basis van eigen onderzoek (pdf). Voor het onderzoek diende BoF bij de tien grootste gemeenten een Wob-verzoek in waarin werd gevraagd om alle rapportages van de Functionarissen Gegevensbescherming, samen met alle rapportages over de informatiebeveiliging.

"Helaas blijkt het nog niet zo goed te gaan als we, inmiddels vier jaar verder, zouden mogen verwachten", zegt BoF-beleidsadviseur Nadia Benaissa. Zo zijn de verwerkingsregisters niet compleet en actueel, waardoor gemeenten niet voldoende weten welke gegevens ze verwerken, met welk doel, of die verwerking rechtmatig en veilig is en met wie er wordt samengewerkt. "Zonder goed overzicht kunnen gemeenten niet goed inschatten wat mogelijke risico’s zijn voor burgers", merkt Benaissa op.

Verder blijkt dat burgers die een beroep doen op hun AVG-rechten, bijvoorbeeld door inzage te verzoeken van welke gegevens de gemeente over hen heeft, vaak lang moeten wachten. Processen zijn niet overal op orde en wettelijke termijnen worden onterecht verlengd en overschreden. "De AVG moest er juist voor zorgen dat burgers meer controle en zeggenschap kregen over hun persoonsgegevens. Maar deze rechten worden niet door elke gemeente serieus genomen", stelt Benaissa.

Bits of Freedom komt op basis van de ontvangen documenten tot de conclusie dat bij vrijwel alle gemeenten er sprake is van een capaciteitsprobleem, doordat er onvoldoende middelen worden vrijgemaakt voor gegevensbescherming. "Zonder capaciteit en middelen, kunnen er ook geen stappen gezet worden om de AVG alsnog naar behoren na te leven", laat de beleidsadviseur van Bits of Freedom weten. Er zijn echter ook gemeenten waar zaken wel goed gaan, zoals Rotterdam en Utrecht, aldus BoF.

De burgerrechtenbeweging doet verschillende aanbevelingen, zoals het actueel houden van het verwerkingsregister, het in kaart brengen van de processen waar persoonsgegevens bij komen kijken binnen de gemeente, het niet beginnen aan ‘datagedreven werken’ met behulp van nieuwe technologieën en datagedreven toepassingen zoals big data en algoritmen als de basis niet op orde is, het ervoor zorgen dat de Functionaris Gegevensbescherming een goede positie heeft en het niet zien van databescherming en gegevensbeveiliging als een taak van een klein groepje medewerkers, maar als een gezamenlijke verantwoordelijkheid voor alle afdelingen binnen de organisatie.