De Autoriteit Persoonsgegevens (AP) beëindigt met ingang van 1 maart het geïntensiveerde toezicht op de gemeente Eindhoven. Sinds de tussenkomst van de AP heeft de gemeente meer werk gemaakt van privacy- en gegevensbescherming. Er is door de AP wel een aantal voorwaarden verbonden aan de beëindiging.
Het geïntensiveerde toezicht van de AP begon op 1 maart 2023. Aanleiding was volgens de AP een reeks zorgelijke signalen over de manier waarop de gemeente Eindhoven omging met persoonsgegevens en privacy van mensen. De gemeente zou datalekken niet of niet op tijd melden. Ook werden gegevens van mensen in Eindhoven structureel te lang bewaard. De gemeente verzamelde en gebruikte destijds persoonsgegevens zonder eerst de privacyrisico’s te analyseren, terwijl dat wel verplicht is.
Protocol
De AP constateert dat de gemeente sindsdien op verschillende vlakken stappen vooruit heeft gezet. Zo is er nu een protocol voor de omgang met datalekken. Daarnaast is formeel de rol en positie van de functionaris gegevensbescherming (FG) vastgelegd en uitgewerkt. De FG is de interne privacytoezichthouder die onafhankelijk moet kunnen opereren en ook ongevraagd aan de bel moet kunnen trekken. Ook stelt de gemeente een nieuw privacybeleid op.
Aan de beëindiging van het geïntensiveerde toezicht is wel een aantal voorwaarden verbonden. Die dienen als stimulans voor de gemeente om verder te blijven werken aan een adequaat niveau van privacy- en gegevensbescherming. Want er zijn volgens de AP nog stappen te gaan. Zo moet het nieuwe privacybeleid formeel nog worden vastgesteld. Daarnaast is er uiterlijk zes maanden na afloop van het versterkte toezicht een evaluatiegesprek met de AP. En het college moet het nalevingsniveau van de AVG meten en laten valideren door een externe deskundige partij.
Ook na beëindiging van het geïntensiveerd toezicht kan de AP op elk moment een onderzoek starten en eventueel sancties opleggen.
