<b>Bijsluiter</b>. De hyperlink naar het originele document werkt niet meer. Daarom laat Woogle de tekst zien die in dat document stond. Deze tekst kan vreemde foutieve woorden of zinnen bevatten en de opmaak kan verdwenen of veranderd zijn. Dit komt door het zwartlakken van vertrouwelijke informatie of doordat de tekst niet digitaal beschikbaar was en dus ingescand en vervolgens via OCR weer ingelezen is. Voor het originele document, neem contact op met de Woo-contactpersoon van het bestuursorgaan.<br><br>====================================================================== Pagina 1 ======================================================================

<pre>FG-advies DPIA Gedeelde Zorg
Aan: de proceseigenaar Gegevensonderzoek gedeelde zorg
Van: de functionaris gegevensbescherming (FG Gouda)
Betreft: DPIA Gedeelde Zorg (versie 8 oktober 2020)
Datum: 9 februari 2021
Status
De functionaris gegevensbescherming is de toezichthouder op de naleving van de AVG van Gemeente Gouda. Artikel
35.2 AVG bepaalt dat bij de uitvoering van AVG-risicoanalyses (DPIA’s) de FG om advies moet worden gevraagd. Het
Privacybeleidskader Gemeente Gouda bevat hierover nadere afspraken. FG-advies op een DPIA vindt doorgaans op een
informele manier plaats, zoals een e-mail. In dit geval heb ik gekozen voor formeler advies.
Algemeen
Sterke punten in de DPIA Gedeelde Zorg zijn het zicht op de feitelijke gegevensverwerking en het
oog voor risico’s, zowel mét als zónder beheersmaatregelen. Tegelijk onderbreekt het nog aan
sociaal-maatschappelijk onderzoek: welke schade kan de aanpak bij het uitblijven van
beheersmaatregelen concreet veroorzaken voor mens en organisatie?
Weliswaar wordt bijvoorbeeld aangegeven dat data zonder beschermingsmaatregelen in verkeerde
handen terecht kan komen, maar onder welke omstandigheden zou dat dan zijn (reële
praktijkscenario’s)? Welke lichamelijke, materiële en/of immateriële schade is dan voorzienbaar?
Welke afbreuk- en aansprakelijkheidsrisico’s brengt dat met zich mee voor de opdrachtgevers (voor
de deelnemende gemeenten: het college)? Wat is vervolgens de AVG-risicoscore op de ‘Schaal van
erg’?
Pas wanneer de in de DPIA genoemde beheersmaatregelen goed matchen met de reële
praktijkscenario’s, kan er sprake zijn van passende gegevensbescherming de zin van de AVG.
De huidige combinatie van risico’s en beschermingsmaatregelen mist nog het doordringen tot de
kern van de zaak: het persoonlijk en bestuurlijk leed dat kan ontstaan. Ter vergelijking de
schadelijke effecten van onterechte terugvorderingen in de toeslagenaffaire, die voor zowel ouders
als bestuurders voorzienbaar waren.
Service level afspraken
Hou in de gaten dat de dienstverleningsovereenkomst met de Stichting Dataplatform Midden-
Holland (Stichting DMH) al de verwerkersovereenkomst is (vestiging verwerkerschap). De vraag is of
er ook de juiste service level-afspraken zijn gemaakt in de zin 28.3 AVG. Daarnaast is onduidelijk of
tussen de opdrachtgevers (zie paragraaf 4.2 van de DPIA) passende artikel 26-afspraken zijn
gemaakt (afbakening gezamenlijke verantwoordelijkheden).
</pre>

====================================================================== Einde pagina 1 =================================================================

<br><br>====================================================================== Pagina 2 ======================================================================

<pre>                                                                                                                                       2/6
Maak aan het einde van de DPIA daarom een lijst van alle benodigde organisatorische en technische
maatregelen die in de DPIA de revue zijn gepasseerd. Stichting DMH heeft aannemelijk te maken
dat in de maatregelen zijn voorzien voordat de gemeente gegevens verstrekt voor onderzoeks-
doeleinden. In welke mate heeft de Stichting MDH de maatregelen nu al genomen en wat moet er
nog gebeuren? Aan de hand van de lijst van maatregelen kan Stichting MDH dat aangeven.
Enerzijds de DPIA op onderzoek, anderzijds de DPIA op bestuurlijke innovatie
Alle in de DPIA genoemde maatregelen overziend en het voorgaande in aanmerking genomen,
wekt de Stichting MDH een betrouwbare indruk. Voor het gegevensonderzoek, volstaat eventueel
de huidige DPIA en lijkt de Stichting MDH een afdoende veilige onderzoeksomgeving te bieden.1
‘Spannender’ wordt het wanneer de uitkomsten van het onderzoek worden omgezet in nieuwe
werkprocessen, al dan niet geheel of gedeeltelijk geautomatiseerd met behulp van algoritmen.
Baken duidelijker af wat onderzoek is en wat vervolg is (wat is het omslagpunt tussen onderzoek en
nieuw gebruik?), stel een succesdefinitie op: wanneer is het onderzoek geslaagd? Formuleer een
niet mis te verstaan protocol voor gegevensvernietiging van overbodige gegevens na afloop van het
onderzoek.
Hou er rekening mee dat er met name een DPIA nodig is op het nieuwe gebruik, dus de innovatie die
dankzij het onderzoek mogelijk is geworden. Pas dan blijkt pas echt wat hiervan de effecten zijn, en
welke vormen van gegevensbescherming noodzakelijk zijn.
Vereenvoudig voortaan DPIA’s
Laat het NOREA-format los. DPIA’s dienen rechttoe recht aan te worden uitgevoerd. Uitleg over de
AVG en DPIA’s kunnen achterwege worden gelaten. Doorloop systematischer de vier stappen van
een DPIA (zie artikel 35.7 AVG). Voeg de beheersmaatregelen pas toe in stap 4, als logische
oplossing voor de vastgestelde risico’s in stap 3. Stap 3 verwoordt de bruto risico’s.
Voeg relevante informatie uit andere stukken in de DPIA in, zodat overzicht en inzicht ontstaat.
Proceseigenaren en FG’s moeten niet hoeven te zoeken naar informatie. De informatie in paragraaf
7.3.3 van het onderzoeksprotocol had de startparagraaf kunnen (moeten!) zijn van stap 2 in de DPIA,
om vervolgens te komen tot overzichtelijke benoeming en onderbouwing van de benodigde
datasets.
Rechtmatigheidstoetsing is geen onderdeel van een DPIA. Laat rechtmatigheidstoetsing voortaan
weg of voeg – voorzover rechtmatigheidstoetsing functioneel is – dit toe als bijlage.
Legitimiteit van de gegevensverwerking
Het doel van het gegevensonderzoek door de Stichting DMH is om indicatoren van ‘escalatie van
zorggebruik te ontwikkelen’. De ambitie is om zulke escalaties te voorkomen door slimmere
benutting van data (zie DPIA, p. 14). Paragraaf 7.3.3. van het onderzoeksprotocol benoemt de
maatschappelijke relevantie van dergelijk onderzoek.
Als zodanig is het gegevensonderzoek welbepaald en specifiek. Karakteristiek aan dit soort
onderzoek is dat met behulp van statistische methodieken naar patronen/correlaties in de data
wordt gezocht (fase I), om te ontdekken of uit de data nuttige informatie kan worden gedestilleerd.
Er is zowel noodzaak om dergelijk onderzoek te verrichten (wat kunnen we leren uit de data?) als
1
  Let wel: dit is een inschatting op afstand. Het is de proceseigenaar die namens het college besluit over de acceptatie van risico’s.
</pre>

====================================================================== Einde pagina 2 =================================================================

<br><br>====================================================================== Pagina 3 ======================================================================

<pre>                                                                                                   3/6
noodzaak om vervolgens ‘datagedreven’ te werken (fase II), mócht de proeffase nuttige indicatoren
opleveren.
De EU-wetgever bedoelde de AVG om dit soort innovaties te stimuleren in plaats van te blokkeren.
Belangrijk is de notie in overweging 4: 'Gegevensverwerking moet ten dienste van de mens staan.
Het recht op bescherming van persoonsgegevens heeft geen absolute gelding, maar moet worden
beschouwd in relatie tot de functie ervan in de samenleving en moet conform het
evenredigheidsbeginsel tegen andere grondrechten worden afgewogen’. Denk bij die andere
grondrechten aan het recht op preventieve gezondheidszorg en medische verzorging (artikel 35 EU
Handvest grondrechten).
De bevoegdheid van Gemeente Gouda om gegevens uit het sociaal domein te gebruiken voor
statistisch onderzoek, vloeit voort uit diverse nationale wetten in hun onderlinge samenhang, hier
met name de Gemeentewet, de Wet maatschappelijke ondersteuning en eventueel de Wet publieke
gezondheid.
Artikel 6.4 AVG staat verdere verwerking van gegevens nadrukkelijk toe, mits rekening wordt
gehouden met een aantal afwegingsfactoren, waaronder de verenigbaarheidstoets.
Het hier beoogde onderzoek is verenigbaar, aangezien het gaat om verdere verwerking voor
statistisch onderzoek en in het algemeen belang.
Dat de bij Stichting DMH aan te leveren data ook bestaat uit gegevens in de bijzondere
gegevenscategorieën van artikel 9 AVG, is niet het probleem omdat zowel voor gewone
persoonsgegevens als voor bijzondere persoonsgegevens geldt dat verdere verwerking voor
statistisch onderzoek en in het algemeen belang is toegestaan.
Toestemming is bij dergelijk onderzoek niet aan de orde en kan zelfs een inbreuk inhouden op de
AVG. Mogelijk geldt dit strak ook voor nieuw gebruik van gegevens, na afloop van het onderzoek.
Afdoende garanties
De in dit FG-advies gedane aanbevelingen hebben tot strekking om duidelijker beeld te scheppen
van de gevolgen voor de betrokkenen en het bestaan van passende waarborgen – dit zijn de
resterende afwegingsfactoren van artikel 6.4 AVG.
Verbetering van de DPIA geeft hiervan scherper beeld. Tegelijkertijd laat de voorgestelde aanpak
ook nu al zien dat het onderzoek door de Stichting DMH geen noemenswaardige risico’s voor
betrokkenen met zich meebrengt – dit dankzij de beloofde beschermingsmaatregelen, waaronder
pseudonimisering.
Vooralsnog lijkt de Stichting DMH daarmee ‘privacy by design’ te garanderen, dus een
onderzoeksaanpak die spoort met artikel 25 AVG. Indien die zekerheid geboden wordt, in
combinatie met de ketenregie van artikel 24-28 AVG, heeft het onderzoek het groene licht van de
Algemene verordening gegevensbescherming.
Hier ligt mijn belangrijkste vraag: biedt de Stichting DMH daadwerkelijk afdoende garanties? Waar
blijkt dat uit?
</pre>

====================================================================== Einde pagina 3 =================================================================

<br><br>====================================================================== Pagina 4 ======================================================================

<pre>                                                                                                    4/6
BIJLAGE – checklist goede DPIA
                                                               Vindplaats
 Kernelementen I         Kernelementen II             Verwerkt              Opmerkingen
                                                               (paragraaf)
                                                                   4.5-7    Op zich beeld van
                                                                            onderzoeksaanpak
                         a) Feitelijke beschrijving
                                                                            (fase I) maar nog geen
                            werkproces(sen) —            +/–
                            eventueel geclusterd.                           doorkijk naar
                                                                            eventueel vervolg
                                                                            (fase II)
                         b) Feitelijke beschrijving                 4.3     Duidelijke weergave
                            informatiedeling en
 1. Systematische                                                           datasets
                            gegevensverwerking
    beschrijving van de
                            (informatiestromen),          +
    gegevensverwerking
    (35.7a AVG)             inclusief duiding
                            bijzondere
                            gegevenscategorieën
                         c) Feitelijke beschrijving                4.5-8    Voldoende beschreven
                            van het ICT-landschap
                                                                            inclusief geografische
                            (zowel high tech als
                            low tech) incl. vormen                          locatie MS-servers
                                                          +
                            van uitbesteding en                             (west-europa)
                            geografische locaties
                            van servers
                                                                  2, 4.4.1  Zet in de DPIA
                                                                (voorw. 2)  steviger in de verf wat
                         a) Analyse
                                                                            de maatschappelijke
                            organisatiebelang en          –
                            persoonlijk belang                              meerwaarde is van het
 2. Analyse noodzaak en                                                     onderzoek (nut en
    evenredigheid (35.7b
    AVG)                                                                    noodzaak).
                         b) Analyse functionele                  4.3, 4.4.1 Onderbouwing
                            informatiebehoefte(n)        +/–   (voorw. 3-4) datasets ontbreekt in
                            (artikel 5.1c-d AVG)                            de DPIA of onvolledig
                         a) Toewerken van bruto-                      6     Bruto-/nettorisico zijn
                            naar nettorisico (‘wat is    +/–                opgenomen maar
                            passend?’)                                      lopen door elkaar
                         b) Objectieve beoordeling                    6     Voeg de
                            op basis van
                                                                            praktijkscenario’s toe
                            realistische
 3. Objectieve              schadeveroorzakende          +/–                (ontbreken nu nog).
    risicobeoordeling       praktijkscenario’s                              Zie echter ook 6.3-8.
    (35.7c AVG)
                            (overweging 76 AVG)
                         c) Relatering aan                            ?     Niet uitgewerkt
                            kansvergrotende
                            aspecten (overweging          –
                            75 AVG)
                         d) Analyse aard en               –           ?     Niet uitgewerkt
</pre>

====================================================================== Einde pagina 4 =================================================================

<br><br>====================================================================== Pagina 5 ======================================================================

<pre>                                                                                                     5/6
                                omvang voorziene
                                schade (overweging 75
                                AVG)
                                                                   6      Objectieve beoordeling
                             e) Risicoclassificatie
                                (overweging 76 AVG)    +/–                is nog een
                                                                          verbeterpunt
                                                                  4-7     Passendheid van
                                                                          maatregelen moet
                                                                          blijken uit reële risico’s
                             a) Organisatorische
                                                                          (praktijkscenario’s).
                                maatregelen (artikel   +/–
4. SMART-                       24-25 AVG)                                Zijn er passende
    geformuleerd pakket                                                   verwerkersafspraken?
    van passende
    organisatorische en                                                   Hoe zit het met artikel
    technische                                                            26-afspraken?
    maatregelen (35.7c
    AVG en 35.11)                                                 4-7     Passendheid van
                             b) Technische                                technische
                                maatregelen (artikel   +/–                maatregelen moet
                                24-25 AVG)                                blijken uit reële risico’s
                                                                          (praktijkscenario’s)
                                                                   ?      Leg de relatie met
5. Incalculatie eigen beleidsafspraken (39.1b AVG)      ?                 privacybeleidskader
                                                                          Gemeente Gouda.
6. Incalculatie beschermingsregimes gerelateerde                 4.4.1    Verwijzing naar 7:458
    wetgeving (39.1b AVG)                               +
                                                                          BW en 24 UAVG
7. Incalculatie artikel 40-gedragscodes (35.8 AVG)    n.v.t.     n.v.t.   n.v.t.
8. Incalculatie centrale DPIA’s 6.1c/6.1e AVG (35.10             n.v.t.   n.v.t.
    AVG)                                              n.v.t.
                                                                   ?      Betrek een of
                                                                          meerdere bestaande
                                                                          adviespanels in het
9. Betrekken doelgroep (35.9 AVG)                       –
                                                                          sociaal domein, of doe
                                                                          dit bij DPIA
                                                                          vervolgaanpak (fase II)
                                                                Mail 29   Betrek de FG naar
10. FG-advies gevraagd (35.2 AVG)                      +/–
                                                             januari 2021 behoren en tijdig
</pre>

====================================================================== Einde pagina 5 =================================================================

<br><br>====================================================================== Pagina 6 ======================================================================

<pre>                   6/6
Privacy
Management
Partners
Coöperatie UA
adres
Vondellaan 58
3521 GH Utrecht
telefoon
+31 85 401 38 66
e-mail
info@pmpartners.nl
website
www.pmpartners.nl
</pre>

====================================================================== Einde pagina 6 =================================================================

<br><br>