Boete AP voor afvalinzameling

Vrijdag 17 november 2023 publiceerde de Autoriteit Persoonsgegevens (AP) het nieuwsbericht dat ze een boete van €30.000,- heeft opgelegd aan de gemeente Voorschoten. Gemeente Voorschoten bewaarde informatie over afval van individuele huishoudens veel langer dan nodig was en de gemeente informeerde de inwoners hierover onvoldoende.

De gemeente heeft de afvalcontainers en tokens voor ondergrondse afvalcontainers in 2018 en 2019 voorzien van een chip met een nummer dat aan een huisadres is gekoppeld. Het doel was het verminderen van de hoeveelheid restafval door de hoeveelheid restafval die inwoners kunnen aanbieden te beperken. Zodat in 2030 alleen grondstoffen worden ingezameld en geen restafval. De container mag 1X per 14 dagen worden aangeboden, na lediging is de chip 13 dagen geblokkeerd. Bij de ondergrondse container mag maximaal 5X per dag afval aangeboden worden. Daarna wordt toegang geweigerd.

Om de controle hierop te kunnen houden, registreerde de gemeente de ‘stortgegevens’ van een huishouden. Dat is toegestaan, maar de gemeente bewaarde de (persoons)gegevens te lang. Voor containers bewaarde de gemeente de gegevens zolang de container in gebruik was en van de tokens voor ondergrondse containers 5 jaar. Ook informeerde de gemeente de inwoners onvoldoende over het gebruik van persoonsgegevens bij het verzamelen van afval. In de brief aan de inwoners ontbrak informatie over welke persoonsgegevens door middel van de chip worden verwerkt, welk doel de verwerking heeft en wat de grondslag is.
De gemeente heeft de bewaartermijn inmiddels terug gebracht naar 14 dagen. De teveel bewaarde gegevens zijn gewist. In september 2023 heeft de gemeente een brief met alle vereiste informatie naar de inwoners gestuurd.

Hoe voorkomt u dit in uw gemeente?

Hiervoor moet u uzelf de volgende vragen stellen:
1. Maakt u gebruik van een chip of token ten behoeve van de afvalinzameling?
2. Heeft u de informatie van de chip of het token gekoppeld aan een huisadres?
Heeft u op beide vragen ja geantwoord? Dat betekent dat u persoonsgegevens verwerkt en moet u de volgende vragen stellen:
3. Met welk doel verwerkt u persoonsgegevens?
4. Wat is de grondslag voor het verwerken van de persoonsgegevens?
5. Hoe lang bewaart u de gegevens van de afvalinzameling?
6. Is het nodig om de gegevens voor deze termijn te bewaren?
7. Waarom? Kan het met een kortere termijn?
8. Heeft u de inwoners geïnformeerd over de verwerking van hun persoonsgegevens? En over het doel en de grondslag van de verwerking? Zowel per brief als via een privacyverklaring op de website?
9. Heeft u in uw werkproces opgenomen dat nieuwe inwoners geïnformeerd worden over de verwerking van hun persoonsgegevens?

In de situatie van de gemeente Voorschoten was het doel van het verwerken van persoonsgegevens gebaseerd op een taak van algemeen belang[1] en de ruimte die de gemeente heeft om daarbij beleid[2] te voeren. De koppeling met het huisadres is nodig om de chip te kunnen beheren (uitgeven en blokkeren). Zonder deze koppeling kan niet worden voorkomen dat het gebruik of bedoeling van de chips ondermijnd wordt. Het gebruik van de chip en het opslaan van gegevens staat in verhouding met dit doel en is noodzakelijk om controle te houden op het aantal ledigingen van de container, voor beheer van de containers en controle op de stortgegevens bij ondergrondse containers. Een langere verwerking van 14 dagen draagt niet bij aan het doel en is daarom niet evenredig. De gemeente Voorschoten maakt geen gebruik van Diftar. Als een gemeente gebruik maakt van Diftar, geldt een andere bewaartermijn. Het bewaren van de stortgegevens of aanbiedingen van de container is noodzakelijk om de juiste variabele afvalheffing naar de inwoners te sturen.

Esma Fierloos
Adviseur L2P