Bewaartermijn CSV- bestand Datawarehouse
Beste Zaalberg,
Gemeenten willen een minimaregeling voor mensen die het financieel slecht hebben. Er is een data-export uit de bronsystemen gemaakt in een .csv-bestand en dat is naar een derde partij gestuurd. Deze partij heeft op basis van een script een selectie gemaakt wie voor de minimaregeling in aanmerking komt. De selectie is opgeslagen in het datawarehouse van gemeenten en die gegevens moeten op een gegeven moment vernietigd worden. De uitvoering hiervan wordt uitbesteed aan een stichting en/of ISD.
De vraag is wanneer deze gegevens uit het datawarehouse vernietigd moeten worden.
Antwoord:
De gemeente moet kunnen verantwoorden hoe het besluit is gekomen om cliënten wel of juist geen voorziening te verstrekken.
Het CSV-bestand is (waarschijnlijk) gebruikt om een algoritme te ‘voeden’. De uitkomst van dat algoritme heeft bepaald wie een voorziening hebben gekregen. De toeslagenaffaire heeft ons geleerd dat het gebruik van een algoritme waarin persoonsgegevens worden verwerkt, heel goed beschreven moet worden. De gemeente zal moeten aantonen dat er op geen enkel vlak sprake is geweest van discriminatie. Dat betekent dat het gebruikte algoritme moet worden bewaard en omschreven. In dit geval zal het algoritme zelf onder resultaat 2.1.2 van de selectielijst voor gemeenten en intergemeentelijke organen 2020 vallen en dus permanent bewaard moeten worden. De beschrijving van het algoritme is niet volledig zonder een dataset die laat zien hoe het algoritme data heeft gebruikt en hoe het algoritme heeft geleid tot de uitkomsten. Die dataset kan overigens in geanonimiseerde vorm worden bewaard. Bovendien is het niet nodig dat het complete CSV-bestand bewaard moet worden: u moet alleen aan kunnen tonen waarom sommige cliënten die voorziening wel of juist niet gehad hebben.
Het algoritme hoeft maar één keer bewaard te worden. Met andere woorden: als volgend jaar het algoritme opnieuw wordt gebruikt voor dezelfde functie, hoeft niet opnieuw een dataset te worden bewaard.
Uw CSV-bestand heeft gediend als bron om te komen tot een besluit om cliënten wel of geen voorziening te verstrekken. Daarmee maakt dit CSV-bestand onderdeel uit van de zaak voor de verstrekking van de voorziening. Onder de huidige selectielijst valt het CSV-bestand daarmee onder zowel resultaat 8.1 (toegekend: V 10 jaar) als resultaat 8.2 (Geweigerd: V 5 jaar). Het CSV-bestand bevat daarmee gegevens over personen die conform de eisen van de Algemene Verordening Gegevensbescherming na 5 jaar vernietigd moeten worden. De bewaartermijn van 10 jaar geldt alleen voor cliënten die de voorziening hebben gekregen. Die bewaartermijn is eigenlijk gebaseerd op de wens van gemeenten om nog 10 jaar lang te kunnen zien welke burger welke voorziening heeft gehad en dit in geval van fraude eventueel nog terug te kunnen vorderen. Daar is het CSV-bestand eigenlijk niet meer voor. Het lijkt daarom niet nodig om het CSV-bestand 10 jaar te bewaren en daarmee het risico te lopen dat gegevens van burgers die de voorziening niet gehad hebben, te lang te bewaren. Het lijkt daarom voor de hand te liggen om te kiezen voor resultaat 8.2 (V 5 jaar) omdat de gemeente waarschijnlijk gedurende die termijn zich moet kunnen verantwoorden over de vraag waarom bepaalde cliënten de voorziening niet gehad hebben.
De selectielijst voor gemeenten en intergemeentelijke organen 2020 heeft eventueel ook de mogelijkheid om het CSV-bestand te waarderen volgens resultaat 20.1.7: Proactieve beschikbaargestelde (open) datasets (1 jaar na vervallen belang). Dit strookt echter niet met de hierboven beschreven afwegingen.
Als extra aandachtspunt: het Europees Parlement heeft afgelopen maart de AI-verordening aangenomen. Onderdeel van deze verordening is de verplichting om een Algoritmeregister te hebben waarin ook uw algoritme vermeld moet worden. Vooruitlopend op de inwerkingtreding van deze verordening en de opname van de verordening in de Nederlandse wetgeving, hebben een aantal organisaties hun algoritmeregister openbaar gemaakt. Daarnaast is er op overheid.nl een landelijk register ingericht. Dit kunt u vinden op:
https://algoritmes.overheid.nl/nl