Data, privacy en de AVG: wat elke bestuurder moet weten
Les 3 · 30 minuten · Gratis preview
Privacy is geen bureaucratische last — het is vertrouwen
In 2020 werd de Belastingdienst gedwongen te stoppen met het kinderopvangtoeslagen-algoritme. In 2021 vernietigt de rechter het SyRI-systeem van de gemeente Rotterdam. In beide gevallen: AI die inbreuk maakte op de privacy en grondrechten van burgers — en overheden die dachten dat het “wel goed zat”.
Als bestuurder ben jij niet verantwoordelijk voor elke technische keuze. Maar je bént verantwoordelijk voor het systeem van toezicht dat zulke situaties voorkomt. En dat systeem begint met begrip van de AVG.
"Privacy is het fundament van vertrouwen tussen burger en overheid. Eenmaal beschadigd, is het moeilijk te herwinnen."
De AVG: wat elke bestuurder moet weten
De Algemene Verordening Gegevensbescherming (AVG) geldt voor elke verwerking van persoonsgegevens. Voor gemeenten en AI-systemen zijn dit de meest relevante principes:
Doelbinding: Data mag alleen worden gebruikt voor het doel waarvoor ze zijn verzameld. Een adresregistratie gebruiken voor fraudedetectie? Dat vereist een aparte grondslag.
Dataminimalisatie: Verwerk alleen de gegevens die strìt noodzakelijk zijn. Meer data voor een AI-model is niet automatisch beter — het vergroot het risico.
Grondslag: Elke verwerking heeft een wettelijke grondslag nodig: toestemming, wettelijke verplichting, gerechtvaardigd belang, of — voor gemeenten het meest relevant — publiekrechtelijke taak.
Transparantie: Burgers hebben het recht te weten dat hun data wordt verwerkt, voor welk doel, en hoe lang.
Bij AI-systemen geldt bovendien artikel 22 AVG: geautomatiseerde besluitvorming met significante gevolgen voor een burger vereist altijd een menselijke check.
Kernbegrippen — klik de kaart om te draaien
Klik op een kaart om de uitleg te zien.
Verwerkingsverantwoordelijke
Wie is aansprakelijk?
🔄 Klik om te draaien
De organisatie die het doel en de middelen van de dataverwerking bepaalt. Bij gemeenten is dat de gemeente zelf — ook als een extern AI-systeem de verwerking uitvoert. De verantwoordelijkheid blijft bij de opdrachtgever.
Verwerker
De leverancier
🔄 Klik om te draaien
De partij die namens de gemeente data verwerkt — typisch de AI-leverancier. Een verwerkersovereenkomst is wettelijk verplicht. Hierin leg je vast wat de leverancier wel en niet mag met de data.
FG
Functionaris Gegevensbescherming
🔄 Klik om te draaien
Gemeenten zijn wettelijk verplicht een FG aan te stellen. De FG adviseert over privacyvraagstukken en controleert interne naleving. Een goed startpunt: léég die FG vóór je een AI-systeem aanschaft.
Bijzondere categorievan persoonsgegevens
Extra beschermd
🔄 Klik om te draaien
Gezondheid, etniciteit, religie, politieke opvattingen en biometrische data zijn extra beschermd onder de AVG. Verwerking is in principe verboden, tenzij er een expliciete uitzondering geldt. AI-systemen voor sociale zekerheid raken hier snel aan.
De DPIA: meer dan een papieren exercitie
Een Data Protection Impact Assessment (DPIA) is verplicht bij hoog-risico verwerkingen. Maar een goede DPIA is méér dan compliance — het is een instrument om echte risico's op te sporen vóór ze schade aanrichten.
Een DPIA moet antwoord geven op:
Welke persoonsgegevens worden verwerkt, en van wie?
Wat zijn de risico's voor de rechten en vrijheden van burgers?
Welke maatregelen worden genomen om die risico's te beperken?
Is de verwerking proportioneel aan het doel?
Wat is de grondslag voor de verwerking?
Wanneer is een DPIA verplicht?
Bij grootschalige verwerking van bijzondere categorieën
Bij stelselmatige monitoring van personen in openbare ruimte
Bij profilering die significante gevolgen heeft
Bij nieuwe technologieën (waaronder AI) waarbij het risico onduidelijk is
Tip: Raadpleeg altijd de FG bij twijfel. Bij hoog-risico DPIA's kan de Autoriteit Persoonsgegevens voorafgaand worden geconsulteerd.
Kennischeck — AVG en privacy
Beantwoord de vragen om je begrip te toetsen.
Een gemeente koopt een AI-systeem in dat gebouwde omgeving-meldingen automatisch prioriteert op basis van buurt en historische data. Wie is de verwerkingsverantwoordelijke?
✓ Correct! De gemeente bepaalt het doel en de middelen van de verwerking — dus is de gemeente verwerkingsverantwoordelijke. De leverancier is de verwerker. Dit onderscheid bepaalt wie aansprakelijk is bij een datalek of AVG-schending.Het juiste antwoord is B. De verwerkingsverantwoordelijke is de partij die het doel van de verwerking bepaalt — dat is de gemeente. De leverancier die het systeem beheert is de verwerker, niet de verwerkingsverantwoordelijke.
Wat stelt artikel 22 van de AVG bij geautomatiseerde besluitvorming?
✓ Precies! Artikel 22 beschermt burgers tegen volledig geautomatiseerde beslissingen met significante gevolgen (zoals uitkeringen, handhaving). Er moet altijd een menselijke blik mogelijk zijn en burgers hebben het recht op uitleg en bezwaar.Het juiste antwoord is A. Artikel 22 vereist dat bij besluiten met significante gevolgen een menselijk oordeel betrokken is — volledige automatisering zonder tussenkomst is verboden.
Toezicht: de Autoriteit Persoonsgegevens en de gemeente
De Autoriteit Persoonsgegevens (AP) is de onafhankelijke toezichthouder. Als bestuurder moet je weten wanneer de AP in beeld komt:
Datalekken: Datalekken met hoog risico móéten binnen 72 uur worden gemeld bij de AP én de betrokkenen. De FG coördineert dit.
Voorafgaande raadpleging: Als uit een DPIA blijkt dat het risico niet voldoende kan worden beperkt, móét de gemeente de AP raadplegen vóór inzet.
Handhaving: De AP kan boetes opleggen tot €20 miljoen of 4% van de wereldwijde jaaromzet. Voor gemeenten geldt de absolute grens.
Onderzoek op verzoek: Burgers kunnen bij de AP een klacht indienen. Dit kan leiden tot een onderzoek naar de gemeente.
Praktijkcase: SyRI
De rechter verbood in 2020 het gebruik van het SyRI-systeem (Systeem Risico Indicatie) dat door gemeenten en de rijksoverheid werd gebruikt om fraude te detecteren. De rechtbank oordeelde dat het systeem een ongerechtvaardigde inbreuk maakte op het recht op privacy (artikel 8 EVRM) en dat de werking niet transparant genoeg was voor rechtmatige toetsing. Les: ook de overheid is niet boven de wet.
Scenario: Datadeling met een buurgemeente
Bestuurlijk scenario
Een buurgemeente vraagt of jouw gemeente de data uit het AI-systeem voor schuldhulpverlening wil delen. Ze hebben hetzelfde systeem en willen het model verbeteren met meer trainingsdata. "Samen staan we sterker," zegt de wethouder Sociale Zaken. "En het gaat om geanonimiseerde data."
Hoe reageer je?
Samenvatting: privacy als fundament
Privacy is geen vervelende regelgeving — het is het fundament van het vertrouwen dat burgers stellen in hun overheid. Als bestuurder draag je systeemverantwoordelijkheid.
Vijf privacyvragen voor elk AI-project
Welke persoonsgegevens verwerkt het systeem, en van wie?
Wat is de wettelijke grondslag voor die verwerking?
Is er een DPIA uitgevoerd, en wat waren de uitkomsten?
Heeft de FG dit goedgekeurd?
Hoe worden burgers geïnformeerd en hoe kunnen ze bezwaar maken?
📝 Reflectievragen
Weet je wie de FG is van jouw gemeente?
Is er ooit een datalek gemeld in jouw gemeente? Weet je hoe dat is afgehandeld?
Staat jouw gemeente in het verwerkingsregister van de AP?
1 / 8
Kennistoets — Les 13
Test je kennis van data, privacy en de AVG. Beantwoord alle 5 vragen.
Vraag 1 van 5
Wat houdt het principe van doelbinding in de AVG in?
Vraag 2 van 5
Wanneer móét een gemeente een datalek melden bij de Autoriteit Persoonsgegevens?
Vraag 3 van 5
Welke AVG-categorieën van persoonsgegevens zijn extra beschermd?
Vraag 4 van 5
Wat is de rol van de Functionaris Gegevensbescherming (FG) bij een gemeente?
Vraag 5 van 5
Het SyRI-systeem werd in 2020 verboden door de rechter. Wat was de hoofdreden?
Wil je meer lessen zoals deze?
De volledige cursus bevat 20 interactieve lessen over AI in het lokaal bestuur. Werkbladen, dilemma-oefeningen en een AI Act compliance checklist.