Autoriteit Persoonsgegevens
Postbus 93374, 2509 AJ Den Haag
Hoge Nieuwstraat 8, 2514 EL Den Haag
T 070 8888 500 - F 070 8888 501
autoriteitpersoonsgegevens.nl

Gemeente Voorschoten
T.a.v. het college van burgemeester en wethouders
Postbus 393
2250 AJ VOORSCHOTEN

Contactpersoon
[VERTROUWELIJK]

Onderwerp
Besluit tot het opleggen van een bestuurlijke boete

Geacht college,

De afdeling Eerstelijns Onderzoek van de Autoriteit Persoonsgegevens (hierna: AP) heeft naar aanleiding van een handhavingsverzoek onderzoek gedaan naar de verwerking van persoonsgegevens door het college van burgemeester en wethouders van de gemeente Voorschoten (hierna: het college) in het kader van de uitvoering van het afvalinzamelingsbeleid in de gemeente. De bevindingen van het onderzoek zijn opgetekend in een onderzoeksrapport, dat op 13 maart 2023 aan het college is toegezonden.

In het nu voorliggende besluit stelt de AP vast dat het college zonder toereikende grondslag en derhalve onrechtmatig persoonsgegevens heeft verwerkt met betrekking tot de zogenoemde stortgeschiedenis van inwoners van de gemeente Voorschoten. De AP stelt verder vast dat het college de inwoners van de gemeente Voorschoten niet juist heeft geïnformeerd over de in dit verband verwerkte persoonsgegevens, het doel en de grondslag van de verwerking. Hierdoor was het college in overtreding van de artikelen 5, eerste lid, aanhef en onder a, gelezen in samenhang met artikel 6, eerste lid, aanhef en onder e en artikel 14, eerste lid, aanhef en onder c en d, van de Algemene verordening gegevensbescherming (hierna: AVG).

Met dit besluit legt de AP aan het college een bestuurlijke boete op van € 30.000. Hierna wordt ingegaan op (1) de procedure, (2) de zienswijze van het college op de onderzoeksbevindingen, (3) de beoordeling en (4) het besluit tot oplegging van de bestuurlijke boete. Tot slot is vermeld wat een belanghebbende kan doen als deze zich niet kan vinden in dit besluit.

2/14

1. Onderzoek en bevindingen

Op 9 maart 2019 heeft de AP een handhavingsverzoek ontvangen van een inwoner van de gemeente Voorschoten. Op 18 oktober 2020 is duidelijk geworden dat de inwoner niet alleen voor zichzelf opkomt, maar ook namens een andere inwoner van de gemeente. De inwoners worden in dit besluit tezamen en in enkelvoud aangeduid als “klaagster”. Het verzoek van klaagster heeft betrekking op de verwerking van persoonsgegevens bij de afvalinzameling in de gemeente Voorschoten. Naar aanleiding hiervan heeft de afdeling Eerstelijns Onderzoek van de AP onderzoek gedaan en haar bevindingen vastgelegd in een onderzoeksrapport van 22 december 2022. Uit het rapport blijken de volgende feiten.

Op 29 maart 2016 heeft de gemeenteraad van de gemeente Voorschoten het Afvalbeleidsplan 2016-2020 vastgesteld. Volgens het Afvalbeleidsplan streeft de gemeente naar een vermindering van de hoeveelheid restafval. Daarnaast zou het beter scheiden van afvalstromen ertoe moeten leiden dat meer grondstoffen kunnen worden hergebruikt. De gemeente hanteert géén stelsel van gedifferentieerde tarieven (diftar), waarbij kort gezegd per huishouden wordt afgerekend op basis van het daadwerkelijke gebruik van de afvalvoorzieningen. Evenmin zijn er plannen om een diftar-stelsel in te voeren.

Het Afvalbeleidsplan maakt onderscheid tussen enerzijds eengezinswoningen of grondgebonden woningen (hierna: laagbouw) en anderzijds appartementen (hierna: hoogbouw). Bewoners van laagbouw maken gebruik van grijze restafvalcontainers (kliko’s) die periodiek worden geleegd door een vuilniswagen. Bewoners van hoogbouw maken gebruik van ondergrondse restafvalcontainers aan de straat. Ter uitvoering van het Afvalbeleidsplan heeft het college – voor zover hier van belang – de volgende twee maatregelen genomen:

1) Laagbouw In maart 2019 zijn alle grijze restafvalcontainers (kliko’s) in de gemeente vervangen voor nieuwe containers met een chip. Deze chip bevat een uniek nummer. Het aantal containers in de gemeente is teruggebracht doordat elk huishouden (woonadres) sindsdien beschikt over slechts één container. De nieuwe container is ten behoeve van de uitgifte van de container voorzien van een barcodesticker met adres, maar deze sticker heeft geen verdere functie en kan zonder gevolgen worden verwijderd.

De vuilniswagen is voorzien van een lezer die het nummer van de chip kan uitlezen. Als er herkenning is, wordt de container geleegd. Vervolgens slaat de gemeente gegevens op in een IT-systeem van de inzameldienst van de gemeente. Daarbij gaat het om het chipnummer, het bijbehorende adres, datum en tijdstip van lediging, locatiegegevens van lediging en type afval. Vervolgens kan de container twee weken lang niet nogmaals worden geleegd doordat de vuilniswagen de container niet zal accepteren. De gegevens bleven in het IT-systeem bewaard zo lang de container in gebruik is en de gegevens werden uit het systeem gewist wanneer de container werd vervangen.

De bewoners van de laagbouw zijn per brief geïnformeerd over het vervangen van de containers, maar in de brief is niet vermeld welke persoonsgegevens door middel van de chip in de nieuwe containers zouden worden verwerkt, welk doel die verwerking heeft en wat de grondslag daarvoor is.

3/14

2) Hoogbouw Eind 2018 zijn de bovengrondse gezamenlijke containers vervangen door ondergrondse containers. Deze containers kunnen alleen worden geopend met een token, die net als de restafvalcontainers voor de laagbouw een chip met uniek nummer bevat. Per ondergrondse container kan worden bepaald welke tokens toegang tot de container hebben. Met een token kan vijf keer per dag een container worden geopend, daarna wordt toegang tot de container geweigerd.

Nadat de container is geopend met een token, slaat de gemeente gegevens op in een IT-systeem van de gemeente. Daarbij gaat het om tokennummer, adresgegevens, datum en tijd van de storting, locatiegegevens en type afval. Deze gegevens werden gedurende vijf jaren bewaard in het IT-systeem.

De bewoners van de hoogbouw zijn per brief geïnformeerd over de nieuwe containers met token, maar in de brief is niet vermeld welke persoonsgegevens met de token zouden worden verwerkt, welk doel die verwerking heeft en wat de grondslag daarvoor is.

In het onderzoeksrapport is geconcludeerd dat het college als verwerkingsverantwoordelijke persoonsgegevens van inwoners verwerkt voor de inzameling van huishoudelijk afval. Vervolgens is in het rapport ingegaan op de vraag of het college zich kan beroepen op de door haar ingeroepen grondslag “noodzaak voor het vervullen van een taak van algemeen belang” (artikel 6, eerste lid, aanhef en onder e, van de AVG).

In het kader van de laagbouw is in het onderzoeksrapport geoordeeld dat het kortstondig verwerken van persoonsgegevens via de chiplezer op de vuilniswagen noodzakelijk is voor het vervullen van de taak van het college. Er moet immers worden geverifieerd dat het gaat om een door de gemeente verstrekte container en dat deze niet recentelijk is geleegd. Dat geldt alléén voor zover en voor zolang dit nodig is om de grijze container te kunnen ledigen en tijdelijk te blokkeren. Het is echter níet noodzakelijk om langere tijd op te slaan welke container (chipnummer en adres) wanneer (datum en tijdstip) met afval is aangeboden. Dat zou slechts anders zijn als deze zogenaamde “stortgegevens” worden gebruikt voor een diftar-stelsel, maar dat doet de gemeente Voorschoten niet.

In het kader van de hoogbouw is op vergelijkbare wijze geoordeeld dat het noodzakelijk is voor de taak van het college om te controleren of een token toegang biedt tot de afvalcontainer en of het maximale aantal stortingen per dag niet wordt overschreden. Ook hier geldt echter dat het níet noodzakelijk is om daarbuiten bij te houden met welke token (tokennummer en adres) wanneer (datum en tijdstip) waar (locatiegegevens van de container) welk type afval is aangeboden. Dat zou slechts anders zijn als de stortgegevens worden gebruikt voor een diftar-stelsel, maar zoals vermeld doet de gemeente Voorschoten dat niet.

Nu de noodzaak voor de langdurige verwerking van de stortgegevens ontbreekt, kan die verwerking niet worden gebaseerd op de grondslag noodzaak voor een taak van algemeen belang. De verwerking is daarom

4/14

in zoverre onrechtmatig (artikel 5, eerste lid, aanhef en onder a, gelezen in samenhang met artikel 6, eerste lid, aanhef en onder e, van de AVG).

Ook is in het onderzoeksrapport geconcludeerd dat het college de inwoners van hoog- en laagbouw niet juist heeft geïnformeerd over de persoonsgegevens die worden verwerkt via de chip in de container respectievelijk token voor de ondergrondse container, het doel en de grondslag van die verwerking. Hiermee heeft het college haar informatieplicht geschonden (artikel 5, eerste lid, aanhef en onder a, gelezen in samenhang met artikel 14, eerste lid, aanhef en onder c en d, van de AVG).

2. Zienswijze van het college op het rapport

De AP heeft het onderzoeksrapport en de daaraan ten grondslag liggende stukken aan het college gezonden. Daarbij heeft de AP het voornemen geuit om een herstelmaatregel te treffen om de te lange opslag van stortgegevens te beëindigen, de reeds opgeslagen gegevens te vernietigen en de inwoners alsnog juist te informeren. Daarnaast heeft de AP het voornemen geuit een bestuurlijke boete op te leggen.

Het college heeft bij brief van 28 maart 2023 gebruik gemaakt van de gelegenheid een zienswijze te geven. Op 24 mei 2023 heeft een gesprek plaatsgevonden met vertegenwoordigers van het college. In de zienswijze en tijdens het gesprek is met betrekking tot het onderzoeksrapport namens het college het volgende naar voren gebracht. Voor zover de zienswijze betrekking heeft op de op te leggen maatregelen, wordt daarop ingegaan in paragraaf 4 van dit besluit.

2.1. Ten aanzien van de verwerkingsverantwoordelijkheid, verwerking en feiten

Het college heeft allereerst onderschreven dat het verwerkingsverantwoordelijke is voor de verwerking van persoonsgegevens die plaatsvinden in het kader van het Afvalbeleidsplan, zoals die zijn omschreven in het onderzoeksrapport. Het college onderschrijft verder de feiten zoals die in het rapport zijn neergelegd.

2.2. Ten aanzien van de noodzaak bij grijze containers

Het college heeft toegelicht dat het primaire doel van het Afvalbeleidsplan is dat er een transitie op gang komt waarin afval in toenemende mate in een grondstof wordt omgezet. Door het percentage gescheiden afval te verhogen, wordt beoogd dat in 2030 alleen nog grondstoffen worden ingezameld en dus geen restafval. Om dat te bereiken, moet het scheiden van afval worden gestimuleerd.

Een strenger beheer ten aanzien van de bovengrondse containers (kliko’s) en ondergrondse containers is een van de middelen daartoe. Doordat de grijze containers worden gekoppeld aan een adres, kan worden voorkomen dat inwoners hun grijze container ten onrechte als vermist opgeven en na ontvangst van een nieuwe container voortaan twee containers kunnen aanbieden. Als een container met chip als vermist wordt opgegeven en niet binnen twee weken wordt teruggevonden, kan door de koppeling aan het adres het oude chipnummer worden geblokkeerd. De oude container kan dan niet meer worden geleegd en wordt vervangen door een container met een ander chipnummer. Namens het college is verklaard dat er in

5/14

het verleden, in één jaar tijd 300 containers moesten worden vervangen. In februari 2023 zijn er 30 containers als vermist opgegeven, en 29 weer teruggekomen bij de gemeente omdat de vermiste containers niet werden geleegd en zijn achtergelaten. Hieruit volgt dat de inzet van de chip effectief is.

Daarnaast kan een container dankzij de chip nog maar eens per twee weken worden geleegd. Na lediging is de chip voor twee weken geblokkeerd. In het gesprek op 24 mei 2023 heeft het college toegelicht dat de vuilniswagen dagelijks rijdt en dat de ophaaldag per wijk verschilt. Zonder chip en blokkering van de container zouden met name inwoners van de grensgebieden van een wijk hun restafval vaker kunnen aanbieden dan eens per twee weken.

Deze twee punten (beperken van het aantal containers en de ophaalfrequentie) leiden tot een maximale hoeveelheid restafval die bij inwoners wordt opgehaald. Hiermee wordt beoogd een positieve prikkel te geven om meer afval te scheiden, zodat dit niet als restafval hoeft te worden aangeboden. Het is hiervoor noodzakelijk om de stortgegevens te bewaren, aldus het college.

Verder wijst het college erop dat een inwoner een klacht bij het college kan indienen omdat de grijze container niet meer naar behoren functioneert, deze niet is geleegd of is zoekgeraakt. Het kan daarbij relevant zijn om te onderzoeken wanneer voor het laatst afval is aangeboden. Dagelijks worden er circa 2.000 containers geleegd, wat resulteert in enkele tientallen meldingen per week.

Op 24 mei 2023 heeft het college de AP toegezegd de bewaartermijn van de stortgegevens voor de grijze containers te bepalen op veertien dagen, in plaats van deze te bewaren zolang de container in gebruik is.

2.3. Ten aanzien van de noodzaak bij ondergrondse containers

Door toegangsregulering van de ondergrondse containers met een token, wordt allereerst de hoeveelheid restafval voor bewoners van hoogbouw beperkt. Daarnaast wordt voorkomen dat inwoners die een grijze container hebben óók afval in de ondergrondse containers kunnen storten. Dat zou het effect van het strengere beheer van grijze containers immers tenietdoen. Verder wordt met het reguleren van toegang voorkomen dat inwoners van andere gemeenten oneigenlijk gebruik maken van de ondergrondse containers. Het college wijst verder op het beheer van de tokens. Er is een strikt beleid dat per huishouden slechts één token wordt verstrekt. Daarbij geldt dat de token maximaal vijf keer per dag een container voor restafval kan openen. Hiervoor is het noodzakelijk om de stortgegevens in ieder geval 24 uur te bewaren.

Ook ten aanzien van de tokens geldt dat een inwoner een klacht kan indienen. Het komt namelijk wel eens voor dat een ondergrondse container of token niet naar behoren functioneert. Ook om deze klachten te behandelen is het nodig om de stortgeschiedenis te raadplegen. Daaruit kan namelijk blijken of de token onlangs nog is aangeboden en dus defect is geraakt (in welk geval de token kosteloos wordt vervangen) of al langere tijd niet is aangeboden (wat een indicatie is dat de token is verloren, in welk geval de inwoner voor vervanging dient te betalen).

6/14

Op 24 mei 2023 heeft het college de AP toegezegd de bewaartermijn van de stortgegevens voor ondergrondse afvalcontainers te bepalen op veertien dagen, in plaats van vijf jaar.

2.4. Ten aanzien van de informatieverstrekking

Het college onderschrijft de bevinding in het onderzoeksrapport dat de informatievoorziening aan de inwoners niet voldoet aan de vereisten van de AVG. Desalniettemin moet volgens het college worden opgemerkt dat het college heeft geprobeerd om de inwoners op de juiste wijze voor te lichten. In brieven van 5 en 22 maart 2019 heeft het college geprobeerd duidelijk te maken met welk doel de containers zijn vervangen. Zo is vermeld dat de containers van chips worden voorzien met als doel het beheren van de containers, zodat kan worden aangesloten bij de doelstelling van meer afvalscheiding zoals omschreven in het Afvalbeleidsplan. Vervolgens is uitgelegd dat de chips worden gekoppeld aan het woonadres, waarna zelfs de specifieke methode wordt uitgelegd waarop de chip wordt gebruikt om tot een beter beheer van het inzamelen van afval te komen. Zo wordt toegelicht dat het inzamelvoertuig de chip scant en vervolgens opslaat dat de container is geleegd. Volgens het college wordt in elk geval gedeeltelijk uitgelegd met welk doel de persoonsgegevens worden verwerkt.

Daar staat tegenover dat het college inziet dat de informatievoorziening over de containers voor de hoogbouw tekort is geschoten. De brief van 30 november 2018 was ook volgens het college niet voldoende duidelijk om de inwoners een goed beeld te geven van de verwerking van persoonsgegevens in het kader van het afvalbeleid.

3. Beoordeling

3.1. Verwerkingsverantwoordelijke en verwerking van persoonsgegevens

Zoals vastgesteld in de paragrafen 3.1, 3.2 en 3.3 van het onderzoeksrapport, en door het college is onderschreven, verwerkt het college als verwerkingsverantwoordelijke voor de inzameling van restafval persoonsgegevens van inwoners van de gemeente Voorschoten. Het gaat daarbij om het chipnummer van de container dan wel token, de daaraan gekoppelde adresgegevens, datum en tijdstip van het legen van de container dan wel openen van de ondergrondse container, locatiegegevens en type afval. Deze gegevens zijn via het chipnummer gekoppeld aan een adres en maakt de desbetreffende inwoners direct of indirect identificeerbaar.

3.2. Overtreding 1: verwerking van persoonsgegevens zonder grondslag

Op grond van de AVG moeten persoonsgegevens worden verwerkt op een wijze die ten aanzien de betrokkene onder meer rechtmatig is (artikel 5, eerste lid, aanhef en onder a). De verwerking is alleen rechtmatig indien en voor zover is voldaan aan ten minste een van de voorwaarden (“grondslagen”) vermeld in artikel 6, eerste lid.

7/14

Het college heeft zich voor de aan de orde zijnde verwerkingen op het standpunt gesteld dat deze berusten op de grondslag dat de verwerkingen noodzakelijk zijn voor de vervulling van een taak van algemeen belang (artikel 6, eerste lid, aanhef en onder e, van de AVG). Daarom zal achtereenvolgens worden ingegaan op het bestaan van een publieke taak en de noodzaak om daarvoor persoonsgegevens te verwerken.

3.2.1. Publieke taak

Zoals vermeld in het onderzoeksrapport, volgt uit artikel 10.21 en verder van de Wet milieubeheer dat op de gemeenteraad en het college de publieke taak rust om zorg te dragen voor het ten minste eenmaal per week inzamelen van huishoudelijke afvalstoffen. De gemeenteraad heeft de bevoegdheid om daarvoor een afvalstoffenverordening vast te stellen, wat de raad van de gemeente Voorschoten heeft gedaan. Daarbij heeft de gemeenteraad ruimte om een milieubeleidsplan vast te stellen op grond van artikel 10.23, tweede lid, gelezen in samenhang met paragraaf 4.6 van de Wet milieubeheer. De gemeenteraad heeft in de afvalstoffenverordening het college belast met het inzamelen van de huishoudelijke afvalstoffen. Hieruit volgt dat het college een taak van algemeen belang heeft met betrekking tot de inzameling van huishoudelijke afvalstoffen.

Zoals de Afdeling Bestuursrechtspraak van de Raad van State (hierna: de Afdeling) heeft geoordeeld in haar uitspraak van 30 juni 2021 (ECLI:NL:RVS:2021:1420), komt het gemeentebestuur voor de invulling van die taak een zekere ruimte toe. Het college voert het beleid neergelegd in het Afvalbeleidsplan 2016-2020. Onderdeel daarvan is dat het college inzet op het beperken van voorzieningen voor restafval om afvalscheiding te stimuleren.

3.2.2. Noodzaak om persoonsgegevens te verwerken

Het noodzakelijkheidsvereiste brengt met zich dat de verwerking van persoonsgegevens proportioneel en subsidiair moet zijn. De Afdeling heeft in haar uitspraak van 30 juni 2021 (zoals vermeld) overwogen dat voor het beoordelen van de noodzaak allereerst moet worden nagegaan of het doel waarvoor de persoonsgegevens worden verwerkt welbepaald en uitdrukkelijk omschreven is. Verder moet worden bepaald of dat doel met de verwerking kan worden bereikt. Daarbij moet het doel passen binnen de taak van algemeen belang. Vervolgens moet worden nagegaan of de inbreuk op de privacy evenredig is met de door de verwerking gediende belangen. Met name moet worden beoordeeld of het doel niet kan worden verwezenlijkt op een andere, voor de betrokken personen minder nadelige wijze. Hoe gedetailleerder een eventuele betrokkene een alternatief beschrijft, hoe indringender het onderzoek van de AP dient te zijn. De Afdeling heeft verder overwogen dat het risico op misbruik van het systeem ziet op de beveiliging van de verwerking en niet van belang is voor het bepalen van de rechtmatigheid ervan.

In paragraaf 3.2.1 van dit besluit is ingegaan op de taak van algemeen belang en de ruimte van het college om daarbij beleid te voeren. De AP is gelet op de bepalingen van de Wet milieubeheer en het vastgestelde Afvalbeleidsplan van oordeel, dat het doel waarvoor de persoonsgegevens worden verwerkt – het verminderen van de hoeveelheid restafval door de omvang van die afvalstroom te reguleren – in dit geval

8/14

welbepaald en uitdrukkelijk is omschreven. Tevens stelt de AP vast dat het doel kan worden bereikt door het verwerken van persoonsgegevens. De adresgebonden nummers in de chip in de grijze containers en tokens spelen immers een sleutelrol in het beperken van de hoeveelheid restafval die een huishouden kan aanbieden. Het doel van de verwerking past voorts binnen de publieke taak, omschreven in paragraaf 3.2.1.

Vervolgens moet worden bezien of de inbreuk op de privacy evenredig is met de gediende belangen, met name door na te gaan of het doel op een minder nadelige wijze kan worden bereikt. In het verzoek om handhaving heeft klaagster de mogelijkheid geopperd van anonieme chips. De koppeling aan een adres is echter nodig om de chips te kunnen beheren (uitgeven en blokkeren) en aldus het doel te kunnen bereiken. Zonder deze koppeling kan namelijk niet worden voorkomen dat een huishouden beschikt over meerdere containers en/of tokens, of dat deze terechtkomen bij een bedrijf of inwoner van een andere gemeente. Dit zou het gebruik en bedoeling ervan juist ondermijnen. Dat de groene GFT-container en blauwe papiercontainer niet zijn voorzien van een chip, is géén indicatie van het ontbreken van de noodzaak persoonsgegevens te verwerken om het doel met betrekking tot restafval te bereiken. Die containers – en de zogenaamde milieuparkjes in de gemeente – zijn immers juist bedoeld voor gescheiden afvalstromen en niet voor restafval.

Zoals vermeld in het onderzoeksrapport, is de AP van oordeel dat de verwerking van persoonsgegevens in verhouding staat met het te dienen doel. Het gebruik van een chip en het opslaan van gegevens om te kunnen controleren of een container in de afgelopen twee weken is geleegd, is noodzakelijk voor dat doel. Eveneens is het voor dat doel noodzakelijk om gegevens vast te leggen voor het beheer van de containers, zoals bij welk adres een container (chipnummer) hoort en of deze wordt vermist. Een langere verwerking van de stortgegevens dan de vermelde periode van twee weken draagt niet verder bij aan het hierboven vermelde doel en is dan ook niet evenredig.

Hetzelfde geldt voor de token voor ondergrondse afvalcontainers. Het gebruik van een chip en het opslaan van gegevens is noodzakelijk om te kunnen controleren of het dagelijks maximum aantal stortingen niet wordt overschreden. Ook bij de token geldt dat het voor het beheer ervan noodzakelijk is om enige tijd te kunnen terugkijken, zodat de werking van een token kan worden gecontroleerd indien een inwoner een storing meldt. Aangenomen mag worden dat ieder huishouden tenminste eens per twee weken restafval aanbiedt, zodat niet verder dan dat hoeft te worden teruggekeken om te zien of de token recent nog werkte. Ook hier geldt dat een langere verwerking dan deze veertien dagen niet verder bijdraagt aan het vermelde doel, en dus niet evenredig is.

3.2.3. Conclusie

Het college bewaarde de stortgegevens van grijze containers zolang de container in gebruik was, en de stortgegevens van de tokens gedurende vijf jaar. Dit overschrijdt de termijn van twee weken ruimschoots. Voor de periode dat de termijn is overschreden, geldt dat geen noodzaak bestaat om persoonsgegevens te verwerken in het kader van de taak van algemeen belang. Conclusie is dan ook dat deze verwerking in zoverre niet voldoet aan de vereisten van artikel 6, eerste lid, aanhef en onder e, van de AVG en daardoor onrechtmatig is.

9/14

Het college heeft verklaard dat de bewaartermijn is aangepast en de opgeslagen stortgegevens in juli 2023 zijn gewist, voor zover die ouder waren dan twee weken. Een toezichthouder van de AP heeft op 2 oktober 2023 inzage gehad in de systemen en geconstateerd dat er geen stortgegevens aanwezig waren die de bewaartermijn van veertien dagen overschreden. Gelet op het voorgaande, staat vast dat het college in de periode van eind 2018 (hoogbouw) respectievelijk maart 2019 (laagbouw) tot juli 2023 in overtreding was van artikel 5, eerste lid, aanhef en onder a, gelezen in samenhang met artikel 6, eerste lid, aanhef en onder e, van de AVG.

3.3. Overtreding 2: niet juist informeren van betrokkenen over de verwerking van persoonsgegevens

Op grond van de AVG moeten persoonsgegevens worden verwerkt op een wijze die ten aanzien de betrokkene onder meer transparant is (artikel 5, eerste lid, aanhef en onder a). De informatie de verwerkingsverantwoordelijke aan de betrokkenen dient te verstrekken over persoonsgegevens die niet bij de betrokkenen zijn verkregen, is benoemd in artikel 14 van de AVG. Daartoe behoren onder meer het verwerkingsdoeleinde en de rechtsgrond van de verwerking (eerste lid, aanhef en onder c) en de betrokken categorieën van persoonsgegevens (eerste lid, aanhef en onder d).

Zoals in het onderzoeksrapport is vermeld, heeft het college de inwoners van de gemeente schriftelijk geïnformeerd over de vervanging van de grijze containers en de bovengrondse containers. Hiertoe heeft het college brieven verzonden op 30 november 2018 (hoogbouw), 5 maart 2019 en 22 maart 2019 (laagbouw). Deze brieven gaan echter hoofdzakelijk over de feitelijke gang van zaken rond de vervanging van de grijze containers en ondergrondse containers, en maken geen dan wel onvoldoende enkele melding van de verwerking van persoonsgegevens van betrokkenen. Zoals in het onderzoeksrapport is vermeld, is in de brieven niet vermeld welke categorieën van persoonsgegevens worden verwerkt via de chip in de container respectievelijk de token voor de ondergrondse container, het doel en de grondslag van die verwerking. Het college heeft deze constatering in de zienswijze onderschreven.

Het college heeft de inwoners bij brief van 1 september 2023 (volgens het college verzonden op 22 september 2023) opnieuw voorgelicht over de verwerking van persoonsgegevens in het kader van de inzameling van restafval. Deze brief bevat wél alle vereiste informatie. Dit betekent dat de overtreding is beëindigd.

Gelet op het voorgaande staat vast dat het college in de periode van eind 2018 (hoogbouw) onderscheidenlijk maart 2019 (laagbouw) tot 22 september 2023, de informatieplicht heeft geschonden. Daarmee was het college in overtreding van artikel 5, eerste lid, aanhef en onder a, gelezen in samenhang met artikel 14, eerste lid, aanhef en onder c en d, van de AVG.

10/14

4. Bestuurlijke boete

4.1. Zienswijze van het college

Zoals vermeld in paragraaf 2 van dit besluit, is het college in de zienswijze ook ingegaan op het opleggen van een herstelmaatregel en/of bestuurlijke boete. Zo voert het college aan dat het opleggen van een herstelmaatregel niet nodig is. De in het onderzoeksrapport beschreven verwerking wordt door het college gestaakt voor zover die niet noodzakelijk is voor de uitvoering van het afvalbeleid. Zoals hiervoor vermeld, is de bewaartermijn inmiddels bepaald op veertien dagen en zijn de oudere gegevens verwijderd. Daarnaast heeft het college de inwoners van de gemeente opnieuw ingelicht op de wijze die volgens het onderzoeksrapport had gemoeten.

Het college voert verder aan zich niet te kunnen vinden in het opleggen van een bestuurlijke boete. Allereerst gaat het om persoonsgegevens met een tamelijk laag risicogehalte. Het gaat immers om adresgegevens van inwoners, die alleen door verrijking met gegevens uit de Basisregistratie Personen (hierna: BRP) tot een specifieke persoon te herleiden zijn. Daar komt bij dat zowel de chip in de container als de token uitsluitend een nummer bevat. De chip kan alleen met het IT-systeem van de afvaldienst worden gelezen en gekoppeld aan een adres. Slechts twee werknemers van de gemeente hebben toegang tot deze informatie en bovendien uitsluitend wanneer dat nodig is voor de uitvoering van het afvalbeleid.

Daarnaast wijst het college erop dat de kortstondige verwerking van persoonsgegevens bij het legen van de grijze container respectievelijk openen van de ondergrondse container volgens het rapport noodzakelijk is voor de uitvoering van het afvalbeleid, en dat het probleem slechts zit in het langer dan noodzakelijk opslaan van de stortgegevens.

Tot slot wijst het college erop dat de AP geen boete heeft opgelegd aan de gemeente Arnhem (besluit van 1 augustus 2017), terwijl dat geval in grote lijnen vergelijkbaar is met dat van de gemeente Voorschoten. Ook daar ging het om het te lang bewaren van persoonsgegevens in het kader van de uitvoering van het afvalbeleid. In die zaak heeft de AP een last onder dwangsom opgelegd om de overtreding te beëindigen.

4.2. Herstelsanctie

Het college heeft de geconstateerde overtredingen reeds beëindigd door de onrechtmatig verwerkte gegevens te wissen, de verwerking aan te passen en de inwoners van de gemeente over de verwerking te informeren. Daardoor bestaat ook geen vrees voor herhaling van de overtreding. Een herstelsanctie is daarom niet aan de orde.

4.3. Bestuurlijke boete

De AP ziet wél aanleiding om gebruik te maken van haar bevoegdheid tot het opleggen van een bestuurlijke boete. Van hetgeen in de zienswijze van het college is aangevoerd, ziet één grond op de vraag of een boete dient te worden opgelegd (te weten de grond dat de AP in een eerder geval heeft volstaan met

11/14

een last onder dwangsom). Daarop zal nu worden ingegaan; de overige aangevoerde gronden worden behandeld in het licht van de hoogte van de op te leggen boete.

Het college wijst, zoals vermeld in paragraaf 4.1, op een besluit van de AP van 1 augustus 2017 dat zich richtte tot het college van burgemeester en wethouders van de gemeente Arnhem. Die zaak toont in zoverre gelijkenissen met het nu voorliggende geval, dat het ook in de Arnhemse zaak ging om de verwerking van persoonsgegevens in het kader van afvalverwerking met behulp van chips (daar in toegangspassen voor ondergrondse afvalcontainers). Ook daar was het doel van de verwerking gelegen in het beperken van de omvang van de stroom restafval. Een verdere vergelijking van de zaken stuit echter af op het van toepassing zijnde wettelijk regime.

Ten tijde van de Arnhemse zaak gold niet de AVG, maar diens voorganger, de Wet bescherming persoonsgegevens (hierna: Wbp). Onder de Wbp gold een ander boeteregime dan dat nu onder de AVG geldt.1 Onder het oude regime kon voor de door het Arnhemse college overtreden bepalingen geen boete worden opgelegd zonder dat eerst een bindende aanwijzing was gegeven. Dat uitgangspunt leed slechts uitzondering indien de overtreding opzettelijk was gepleegd of het gevolg was van ernstig verwijtbare nalatigheid. Aan het Arnhemse college was niet eerder een bindende aanwijzing gegeven en evenmin was sprake van opzet of ernstige nalatigheid. Alleen al om die reden kon in die zaak geen boete worden opgelegd.

Door het van toepassing worden van de AVG op 25 mei 2018 kunnen de in dit besluit geconstateerde overtredingen wél direct worden beboet. In de enkele omstandigheid dat in het verleden geen bestuurlijke boete kon worden opgelegd vanwege het toen geldende boeteregime, ziet de AP geen aanleiding om daar nu van af te zien.

4.4. Boetebeleidsregels Autoriteit Persoonsgegevens 2019

Bij de uitoefening van de bevoegdheid om een bestuurlijke boete op te leggen, hanteert de AP ten aanzien van overheden de Boetebeleidsregels Autoriteit Persoonsgegevens 2019 (hierna: Boetebeleidsregels 2019). De overtredingen waarvoor de AP een boete kan opleggen zijn in de Boetebeleidsregels 2019 ingedeeld in drie boetecategorieën. Deze categorieën zijn gerangschikt naar zwaarte van de overtreding van de genoemde artikelen, waarbij categorie I de minst zware overtredingen bevat en categorie III de zwaarste overtredingen. Aan de categorieën zijn in hoogte oplopende geldboetes verbonden. Dit volgt uit artikel 2, onder 2.1 en 2.3 van de Boetebeleidsregels 2019.

Categorie I Boetebandbreedte tussen € 0 en € 200.000 Basisboete: € 100.000 Categorie II Boetebandbreedte tussen € 120.000 en € 500.000 Basisboete: € 310.000 Categorie III Boetebandbreedte tussen € 300.000 en € 750.000 Basisboete: € 525.000

1 Het boeteregime was neergelegd in hoofdstuk 10, paragraaf 2 (artikel 66 en verder) van de Wbp.

12/14

Volgens artikel 6 van de Boetebeleidsregels 2019 bepaalt de AP de hoogte van de boete door de basisboete naar boven of beneden bij te stellen, afhankelijk van de mate waarin de in artikel 7 genoemde factoren daartoe aanleiding geven. Op grond van artikel 8 is het mogelijk om de naast hogere of lagere categorie toe te passen als de voor de overtreding bepaalde boetecategorie in het concrete geval geen passende bestraffing toelaat.

Ingeval van meerdere overtredingen met betrekking tot dezelfde of daarmee verband houdende verwerkingsactiviteiten is de totale boete niet hoger dan het wettelijk boetemaximum van de zwaarste overtreding.

4.5. Boetecategorie en basisboete

De overtreding van artikel 5, eerste lid, aanhef en onder a, gelezen in samenhang met artikel 6, eerste lid, aanhef en onder e, van de AVG (verwerken van persoonsgegevens zonder grondslag), blijkens bijlage I bij de Boetebeleidsregels 2019, ingedeeld in categorie III. Dat geldt ook voor de overtreding van artikel 5, eerste lid, aanhef en onder a, gelezen in samenhang met artikel 14, eerste lid, aanhef en onder c en d, van de AVG (het niet voldoen aan de informatieverplichting). De boetebandbreedte en basisboete van deze categorie (bandbreedte tussen € 300.000 en € 750.000 met een basisboete van € 525.000) kunnen gelet op de navolgende bespreking van boeteverhogende en -verlagende factoren in dit geval niet leiden tot een passende bestraffing van de geconstateerde overtredingen. Daarom zal boetecategorie II worden toegepast, waarvan de boetebandbreedte loopt van € 120.000 tot € 500.000 en de basisboete € 310.000 bedraagt.

De in artikel 7 van de Boetebeleidsregels 2019 vermelde factoren geven op de volgende punten aanleiding tot opmerkingen. De niet besproken factoren zijn in dit geval niet van toepassing.

a. Aard, ernst en duur van de inbreuk

Ten aanzien van de ernst van de inbreuk merkt de AP op dat de onrechtmatige verwerking van persoonsgegevens niet op zichzelf stond, maar het vervolg was van een verwerking die wél rechtmatig is. Het college heeft echter niet onderkend dat de grondslag na enige tijd aan de verwerking ontviel omdat de noodzaak van de verwerking in tijd begrensd is.

In vergelijkbare zin geldt ten aanzien van de overtreding van de informatieplicht dat het college de inwoners van de gemeente wel heeft geïnformeerd over de invoering van de chip in de container en de token, maar dat het college niet tijdig heeft onderkend dat de voorlichting tekortschoot in de informatie over de verwerking van persoonsgegevens.

Gelet op deze punten dient het basisbedrag naar beneden te worden bijgesteld.

f. De mate waarin met de toezichthoudende autoriteit is samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve gevolgen daarvan te beperken

13/14

Na ontvangst van het onderzoeksrapport heeft het college alle bevindingen daarin erkend. Het college is kort daarna in overleg gegaan met de leverancier van de software en heeft daaraan de aanpassingen laten doen die nodig waren om de verwerking duurzaam in overeenstemming te brengen met de AVG. Het college heeft de inwoners wederom – en nu correct – geïnformeerd over de verwerking van persoonsgegevens. Daarnaast zijn de negatieve gevolgen van de verwerking weggenomen doordat alle historische gegevens uit de systemen van de gemeente zijn verwijderd.

Ook hierom dient het basisbedrag naar beneden te worden bijgesteld.

g. Categorieën van persoonsgegevens waarop de inbreuk betrekking heeft

De AP neemt verder in aanmerking dat de persoonsgegevens die zijn verwerkt, naar hun aard slechts tot een beperkte inbreuk op de privacy kunnen leiden. De verwerkte gegevens waren slechts herleidbaar tot adresniveau. Daarnaast konden slechts twee medewerkers van de gemeente de gegevens inzien en aan de hand van de BRP herleiden tot de personen van het desbetreffende huishouden. Verder geldt dat de gegevens slechts inzicht geven in de datum waarop restafval is aangeboden. De hoeveelheid afval werd niet geregistreerd en de locatie op het moment van ophalen hangt, in het geval van de grijze containers, samen met de aangewezen aanbiedplaats en is voor alle inwoners van hetzelfde gebied gelijk. In het geval van de ondergrondse containers is de locatie logischerwijs de locatie van de container.

Ook hierom dient het basisbedrag naar beneden te worden bijgesteld.

Conclusie Gelet op het voorgaande ziet de AP aanleiding om de basisboete te verlagen tot het minimum van de boetebandbreedte, zijnde € 120.000.

4.6. Evenredigheid boetehoogte

Tot slot zal de AP op grond van artikel 49, derde lid, van het Handvest van de grondrechten van de Europese Unie en de artikelen 3:4 en 5:46 van de Awb (evenredigheidsbeginsel) beoordelen of de toepassing van haar beleid voor het bepalen van de hoogte van de boete, gezien de omstandigheden van het concrete geval, niet tot een onevenredige uitkomst leidt.

De AP kwalificeert de ernst van de overtredingen als gering, met name vanwege de aard van de gegevens (hiervoor besproken onder omstandigheid g) en de omstandigheid dat de overtreding met betrekking tot de grondslag vooraf is gegaan door een rechtmatige verwerking (hiervoor besproken onder omstandigheid a) en door tijdverloop onrechtmatig is geworden. Gelet op de geringe ernst van de overtredingen en op de omstandigheden waaronder de overtredingen zijn gepleegd, ziet de AP aanleiding om de boete lager vast te stellen dan op € 120.000. De AP acht een boete ter hoogte van € 30.000 passend en geboden.

14/14

5. Dictum

Bestuurlijke boete

De AP legt aan het college van burgemeester en wethouders van de gemeente Voorschoten, wegens de overtreding van artikel 5, eerste lid, aanhef en onder a, gelezen in samenhang met artikel 6, eerste lid, aanhef en onder e en artikel 14, eerste lid, aanhef en onder c en d, van de AVG een bestuurlijke boete op ten bedrage van € 30.000,00 (zegge: dertigduizend euro).2

Hoogachtend, Autoriteit Persoonsgegevens

mr. A. Wolfsen voorzitter

Rechtsmiddelenclausule Indien u het niet eens bent met dit besluit kunt u binnen zes weken na de datum van verzending van het besluit digitaal of op papier een bezwaarschrift indienen bij de Autoriteit Persoonsgegevens. Ingevolge artikel 38 van de UAVG schort het indienen van een bezwaarschrift de werking van de beschikking tot oplegging van de bestuurlijke boete op. Voor het indienen van digitaal bezwaar, zie www.autoriteitpersoonsgegevens.nl, onder het kopje Contact, item “Tip, klacht of bezwaar”.3

Het adres voor het indienen op papier is:

Autoriteit Persoonsgegevens Postbus 93374 2509 AJ Den Haag.

Vermeld op de envelop ‘Awb-bezwaar’ en zet in de titel van uw brief ‘bezwaarschrift’.

Schrijf in uw bezwaarschrift ten minste: - uw naam en adres; - de datum van uw bezwaarschrift; - het in deze brief genoemde kenmerk (zaaknummer), of voeg een kopie van dit besluit bij; - de reden(en) waarom u het niet eens bent met dit besluit; - uw handtekening.

2 De AP zal de vordering uit handen geven aan het Centraal Justitieel Incassobureau (CJIB). 3 De directe URL is .