Is de privacyregelgeving van toepassing als gemeenten een afvalpas uitgeven? Ja, is het stellige antwoord van advocaat Monique Hennekens. ‘Afvalpassen worden meestal op adresniveau uitgegeven. Omdat een adres naar een persoon is te herleiden, gaat het om persoonsgegevens, zoals adresgegevens, kentekenregistraties en camerabeelden die op de milieustraat worden gemaakt. Daarom moet de uitgifte van afvalpassen voldoen aan de Algemene Verordening Gegevensbescherming, de AVG.’ Monique is als advocaat gespecialiseerd in privacy, onder meer voor de afvalindustrie en auteur van het boek ‘Privacy in de afvalindustrie.’ Voor het blog Care4Circulair zet ze op een rij waar de uitgifte van afvalpassen onder meer aan moet voldoen.

Meer weten? Lees dan ook: Persoonsgegevens verwerken in de afvalbranche, wat houdt dat in?

Grondslag verwerken persoonsgegevens met afvalpas

Het recht op privacy is een grondrecht, daaronder valt ook het recht op bescherming van persoonsgegevens. Daarom mogen persoonsgegevens alleen worden verwerkt als daarvoor een gerechtvaardigde grondslag bestaat die in de wet staat. Toestemming is de bekendste grondslag om persoonsgegevens te mogen verwerken, maar er zijn zes grondslagen. Toestemming is vaak de minst geschikte grondslag, omdat toestemming geweigerd mag worden en ook op ieder willekeurig moment kan worden ingetrokken. De wet vereist bovendien dat de toestemming ondubbelzinnig is. Degene die toestemming verleent moet weten welke gegevens van hem worden verwerkt, voor welk doel en op welke wijze. Voor een afvalpas waarmee inwoners (grof) afval kunnen brengen naar de milieustraat is toestemming daarom geen geschikte grondslag. Voor de verwerking van adresgegevens en pasgegevens kan de grondslag de uitvoering van een taak van algemeen belang zijn. De gemeente heeft namelijk de wettelijke taak om huishoudelijk afval in te zamelen en moet tevens voldoen aan (Europese of landelijke) milieudoelstellingen.

Meer weten? Lees dan ook de post: Persoonsgegevens verwerken met een afvalpas: wat is de grondslag?

Doeleinden afvalpas vastleggen

Voordat persoonsgegevens worden verwerkt, moet worden bepaald wat de gerechtvaardigde doelen zijn voor de verwerking. Dat is een basisprincipe van de privacyregelgeving. Het doel bepaalt de ruimte voor de verwerking. Als een persoonsgegeven wordt verzameld voor een bepaald doel mag dat persoonsgegeven niet op een later moment worden verwerkt voor een volledig ander doel. Camerabeelden die als doel hebben een milieustraat te beveiligen, mogen bijvoorbeeld niet worden gebruikt om een werknemer op zijn of haar functioneren richting bezoekers aan te spreken. Deze verwerkingen liggen buiten het oorspronkelijk bepaalde doel en zijn daarom in strijd met de privacyregels. De doelomschrijving moet duidelijk en voldoende concreet zijn: de doeleinden moeten een kader bieden om te toetsen of de gegevens wel nodig zijn om die doelen te bereiken, het zogeheten noodzakelijkheidsvereiste.

Meer weten? Lees dan ook: Afvalpas? Leg eerst de doeleinden vast!

Noodzakelijkheidsvereiste

Om de privacy van inwoners te beschermen is de belangrijkste vereiste uit de privacyregelgeving dat niet meer persoonsgegevens mogen worden verwerkt dan noodzakelijk. Persoonsgegevens verzamelen omdat het kan of handig is mag niet. Dit vereiste geldt niet alleen voor de gemeenten, maar ook voor afvalverwerkers. Is het doel van de afvalpas het voorkomen van afvaltoerisme, dan hoeft uitsluitend te worden gecontroleerd of de bezoeker aan de milieustraat een inwoner van de gemeente is. Wat, hoeveel of hoe vaak er wordt gestort is voor dat doel niet noodzakelijk. Deze stortgegevens mogen dan niet worden verwerkt. Wordt de afvalpas door de gemeente ook gebruikt om de hoogte van afvalstoffenheffing (Diftar) te bepalen? Dan zijn de adresgegevens én stortgegevens allebei noodzakelijk en mogen wel worden verwerkt. Welke gegevens noodzakelijk zijn hangt daarom af van de doeleinden die de gemeente heeft bepaald voor de afvalpas.

Meer weten? Lees dan ook: Privacy en de afvalpas: verwerk niet meer gegevens dan noodzakelijk.

Informatieplicht

Voordat met een afvalpas persoonsgegevens worden verwerkt, moeten inwoners daarover worden geïnformeerd. Inwoners moeten onder meer weten welke persoonsgegevens voor welk doel worden verwerkt, of deze gegevens worden verstrekt aan derden en wat hun rechten zijn. Deze informatie dient eenvoudig toegankelijk en begrijpelijk te zijn. De informatie kan worden opgenomen in een brief bij het toesturen van de afvalpas, in een privacyverklaring op de website, met de vermelding van een hyperlink op de afvalpas of in een folder die huis aan huis wordt verspreid. De informatieplicht geldt voor alle verwerkingen van persoonsgegevens, dus bijvoorbeeld ook bij kentekenregistratie of cameratoezicht bij een milieustraat.

Meer weten? Lees dan ook: Privacy en de afvalpas: informatieplicht.

Privacy-advocaat Monique Hennekens

Monique Hennekens is advocaat bij Hekkelman Advocaten en Notarissen, die ook NVRD-partner is. Monique houdt zich sinds 2012 intensief bezig met privacy. Vanaf 2016 is ze ook actief als privacy-advocaat in de afvalindustrie. Zo adviseert Monique gemeenten en afvalinzamelaars, en stelde ze samen met de NVRD meerdere privacymodellen op voor de afvalinzameling. Ook staat ze de gemeente Arnhem bij in de ‘afvalpaszaak’. Sinds 2017 is ze gastonderzoeker bij de Radboud Universiteit waar ze zich bezighoudt met het privaatrechtelijk deel van privacy. Monique is auteur van het boek ‘Privacy in de afvalindustrie’ dat te koop is bij Bol.com

Wilt u meer weten over privacy in de afvalindustrie? Neem dan contact op met Monique Hennekens. Klik op deze link voor haar gegevens. Of volg het blog Care4Circulair op LinkedIn, Twitter, Facebook of Instagram en blijf op de hoogte van alle ontwikkelingen.