N.B. Het kan zijn dat elementen ontbreken aan deze printversie.
:format(webp)/s3/static.nrc.nl/wp-content/uploads/2023/03/web-0103binap.jpg)
Foto Robin Utrecht/Hollandse Hoogte/ANP
De Autoriteit Persoonsgegevens (AP) gaat strenger controleren of de gemeente Eindhoven voldoet aan de privacybescherming van haar inwoners. De toezichthouder schrijft woensdag signalen te hebben ontvangen dat de gemeente datalekken niet of niet op tijd meldt, verplichte scans op privacyrisico’s achterwege laat en persoonsgegevens van burgers te lang bewaart. Een verbeterplan dat door de gemeente was opgesteld, heeft deze zorgen niet weggenomen.
De AP is al langer in gesprek met de gemeente Eindhoven over misstanden rond de omgang met persoonsgegevens. Zo concludeerde de functionaris gegevensbescherming van de gemeente zowel in 2020 als in 2021 dat datalekken geregeld niet tijdig werden gemeld en dat verplichte analyses op privacyrisico’s niet altijd werden uitgevoerd. De gemeente zou onder meer een milieupas en een druktemeter hebben ingevoerd zonder deze analyse. Ook ontbrak een rapportage voorafgaand aan een proef met een app die met een algoritme werkzoekenden koppelt aan vacatures.
De gemeente ontving in juli een brief van de AP en ging in september in gesprek, waarna de toezichthouder vroeg om een verbeterplan. Nu concludeert de AP dat dit plan niet voldoet. Volgens vicevoorzitter Monique Verdier lijkt het alsof de gemeente „de ernst en urgentie van de zorgen onvoldoende erkent”, aldus de verklaring.
Als onderdeel van het strengere toezicht moet de gemeente Eindhoven binnen twee maanden een rapportage sturen met meer informatie over onder meer datalekken, risico-analyses en bewaartermijnen. Vervolgens bekijkt de AP of er verder stappen nodig zijn. Het gemeentebestuur zegt de brief van de toezichthouder „nauwkeurig te bestuderen” en in mei een reactie te sturen aan de gemeenteraad. In de tussentijd werkt Eindhoven verder aan de „verbeterpunten” die door de AP zijn benoemd.
