Autoriteit Persoonsgegevens geeft gemeente boete i.v.m. afvalcontainers

Beste Zaalberg,

Uit het bijgevoegde boetebesluit blijkt dat de Autoriteit Persoonsgegevens een boete van 30.000 EUR heeft opgelegd aan een gemeente, aangezien zij de stortgegevens van afvalcontainers langer bewaarde dan ‘noodzakelijk’.

De gemeente bewaarde deze gegevens namelijk voor 5 jaar na de storting, maar de Autoriteit Persoonsgegevens oordeelde dat de gegevens niet langer dan 14 dagen na de storting bewaard dienden te blijven.

Nu stelt de VNG Selectielijst onder nr. 5.1.1. (pagina 26) dat de stortgegevens over afvalverzameling/afvalcontainers voor 7 jaar worden bewaard.

Ik vraag mijzelf af of deze termijn ook geldt voor stortgegevens van de afvalcontainers.

Wij zouden in dat geval het risico lopen op een boete wanneer wij deze stortgegevens 7 jaar bewaren conform de VNG Selectielijst.

Antwoord: 

Zaalberg is geen jurist, maar ik zal mijn antwoord zo goed mogelijk onderbouwen.

De gemeente verwees naar resultaat 19.1 (V 5 jaar) zonder echt te kijken naar de grondslag voor het bewaren/verwerken van de persoonsgegevens. De gemeente heeft regels voor het aanbieden voor afval: voor ondergrondse containers mag niet vaker dan 5x per dag afval worden aangeboden, een container mag niet vaker dan 1x in de week worden aangeboden.

De kliko’s en de tokens voor de ondergrondse containers hebben een chip die herleidbaar is naar het huishouden.

De gegevens van de kliko’s werden bewaard net zolang als de kliko werd gebruikt, de gegevens van de tokens 5 jaar.

De Autoriteit Persoonsgegevens vond deze termijn te lang omdat het doel van het verzamelen van de inzamelingsgegevens (specifiek de persoonsgegevens) niet meer nodig is nadat is geconstateerd dat een kliko een week eerder niet werd aangeboden en dat er niet meer dan 5x per dag afval in een container werd gegooid. Daarmee is er geen grondslag om de (persoons)gegevens 5 jaar of langer te bewaren, de grondslag is dus eigenlijk na 2 weken vervallen.

De selectielijst zegt onder resultaat 19.1 dat het administreren van gegevens 5 jaar bewaard moet worden of 7 jaar als er financiele consequenties zijn (resultaat 19.1.1). Dat wil alleen maar zeggen dat gegevens over de inzameling 5 jaar (of 7 jaar) bewaard moeten/mogen worden. Vanwege de AVG zou dat alleen moeten gaan om gegevens die geen persoonsgegevens zouden moeten bevatten omdat de grondslag daarvoor ontbreekt.

Dit zou naar voren moeten komen op het moment dat een (deep) privacy impact analyse (dpia) wordt uitgevoerd bij de inrichting of evaluatie van dit proces. Indien een proces wordt ingericht of geëvalueerd dient altijd de vraag te worden gesteld of persoonsgegevens überhaupt wel verzameld mogen worden en zo ja, hoe lang die dan bewaard mogen worden.

Binnen een andere gemeente betaalt de inwoner een bedrag voor de hoeveelheid afval dat wordt aangeboden of voor hoe vaak een ondergrondse container wordt geopend met de token/afvalpas, iets wat binnen de gemeente uit de casus niet gebeurt. De andere gemeente heeft dus een financiële grondslag om persoonsgegevens te bewaren: er zit namelijk een factuur verbonden aan het aanbieden van afval.

Het gaat overigens wel alleen om de restafvalbakken en de ondergrondse containers en niet om gegevens over het ophalen van de gft-, papier- en PMD-bakken omdat daar geen extra geld voor hoeft te worden betaald omdat dit onder het vaste bedrag valt dat een inwoner van de andere gemeente betaalt.

Indien een gemeente persoonsgegevens verzamelt, dient dat altijd met de Functionaris Gegevensbescherming of Privacy Officer besproken te worden, zodat hij/zij kan beoordelen of er een DPIA moet worden uitgevoerd.