Verwerkingsregisters overheid slecht toegankelijk

De registers waarin overheden verplicht moeten bijhouden hoe en welke persoonsgegevens zij verwerken, zijn slecht toegankelijk. Dit blijkt uit onderzoek van Open State Foundation die deze registers bij alle Nederlandse ministeries, provincies en gemeenten opgevraagd heeft. Een op de vijf overheden publiceert deze registers, bijna tweederde van de registers is nog niet compleet en de registers zien er bij alle overheden anders uit. Open State Foundation pleit voor publieke en gestandaardiseerde registers, zodat inwoners weten hoe en waarom de overheid hun informatie gebruikt.

Sinds 25 mei 2018 is de Algemene Verordening Gegevensbescherming (AVG) van kracht. In artikel 30 van deze wet staat dat organisaties een register van verwerkingsactiviteiten moeten bijhouden. In dit register staat welke persoonsgegevens verwerkt wordt, waarom deze data verwerkt wordt, met wie deze informatie gedeeld kan worden, wie er verantwoordelijk is, hoe lang de data bewaard zal worden en hoe de beveiliging van de data geregeld is. De functionaris gegevensbescherming is verantwoordelijk voor dit verwerkingsregister.

Register geeft inzicht in verwerking persoonsgegevens

Publieke verwerkingsregisters maken de informatiehuishouding en verwerking van persoonsgegevens door overheden transparant. Daarom heeft Open State Foundation de registers bij alle Nederlandse ministeries, provincies en gemeenten opgevraagd en onderzocht. Uit dit onderzoek blijkt dat maar een op de vijf overheden (89 van de 379) het register gepubliceerd heeft.

Het register is een belangrijk instrument dat overheden kan helpen om de beveiliging van persoonsgegevens op orde te brengen. Tom Kunzler, adjunct-directeur Open State Foundation: ‘Het verwerkingsregister geeft inzicht in de informatiehuishouding van overheden en de verwerking van persoonsgegevens. Wij vinden dat inwoners het recht hebben om te zien hoe en waarvoor overheden hun persoonsgegevens verwerken. Wij roepen daarom alle overheden op dit register publiek beschikbaar te stellen op de eigen website.’

Met behulp van informatieverzoeken zijn machine-verwerkbare registers opgevraagd en er zijn er na deze verzoeken in totaal 246 registers ontvangen. Sommige overheden hebben het verzoek geweigerd en andere overheden gaven aan dat ze nog druk bezig waren met het afronden van het register en het daarom (nog) niet wilden delen.

Elke overheid een ander register

Taken van gemeenten komen redelijk overeen en daardoor zullen gemeenten veelal dezelfde persoonsgegevens om dezelfde redenen verwerken. Dit uit zich echter niet in de verwerkingsregisters, die per overheid sterk verschillen. Het kleinste register bestaat uit slechts 55 verwerkingen en het grootste register uit maar liefst 1.417 verwerkingen. De mediaan voor het aantal verwerkingen is 165. De grootte van de gemeente heeft enige invloed op het aantal verwerkingen. Zo heeft een grote gemeente gemiddeld iets meer dan 300 verwerkingen en een kleine gemeente iets meer dan 200. Het grote verschil in aantal verwerkingen toont aan dat overheden diverse detailniveaus kiezen voor het opstellen van het registers. Hoe kleiner het detailniveau, des te lastiger het echter zal zijn om het register actueel te houden.

Daarnaast mist in 63 procent van de ontvangen registers een of meerdere wettelijk verplichte kolommen, daarmee zijn de registers dus niet compleet. Een grote meerderheid (83.3 procent) van de registers bevat tevens additionele kolommen met informatie die niet verplicht zijn en we zien dat de registers in een veelvoud aan formaten gepubliceerd worden, waaronder .pdf, .xlsx, database en .csv. Een register in .pdf-formaat is technisch niet goed te hergebruiken en vrijwel onleesbaar vanwege het grote aantal kolommen, zoals het register van de gemeente Amersfoort hieronder aantoont.

Verder lezen bij de bron

Renco Schoemaker
Recente berichten van Renco Schoemaker (bekijk alles)

Lees ons boek

Gemeenten. Bewustzijn. Privacy.

Het handboek voor informatiebewustzijn bij de lokale overheid.

Abonneren nieuwsbrief

Deze versturen we 3-4x per jaar.

Recente blogs

Tijdig betrokken worden als FG
In het kader van de dag van de FG een blog speciaal voor de Functionaris Gegevensbescherming. Formeel is meestal wel vastgelegd dat je als FG ‘tijdig en behoorlijk’ betrokken moet worden, maar in de praktijk word je nog weleens vanuit de flanken verrast. Herkenbaar? Lees dan snel verder!
Update: CISO, Privacy Officer en FG; wie doet en mag wat?
Activiteiten op het gebied van informatiebeveiliging en gegevensbescherming binnen gemeenten behoren te worden gecoördineerd door de CISO, de Privacy Officer en de FG. Maar wie is waarvoor verantwoordelijk? En hoe verhouden deze functies zich tot elkaar?
Praktische (privacy)tips voor thuis én op het werk
Hoe zorg je ervoor dat je medewerkers zowel thuis als op locatie veilig werken én veilig zijn? Zonder afbreuk te doen aan het fundamentele recht op privacy? Dat zijn de vragen die ik in deze blog ga behandelen.

Meer recente berichten

Cyberaanval Lochem gaat de hele overheid aan
Verder lezen
Privacybeleid Aalsmeer
Verder lezen
iBestuur webinar ‘Safety by design & by default’
Verder lezen
Ledenbrief uitvoering Archiefwet
Verder lezen
Rekenkameronderzoek naar informatiebeveiliging
Verder lezen
Glad ijs
Verder lezen
Een open digitaal eID-stelsel?
Verder lezen
Wizard inkoopeisen helpt bij aanbesteding
Verder lezen
Verzamelwet gegevensbescherming
Verder lezen
Inspiratie voor digitale participatie
Verder lezen

Dat gaat je (n)iets aan

IB&P is een adviesbureau op het gebied van informatiebeveiliging en privacy. We richten ons primair op de (lokale) overheid. We adviseren en ondersteunen bij het implementeren én blijvend voldoen aan o.a. de Baseline Informatiebeveiliging Overheid (BIO) en de Algemene Verordening Gegevensbescherming (AVG).