Tal van gemeentes in Nederland hebben onlangs een Wob-verzoek ontvangen om hun register van verwerkingsactiviteiten openbaar te maken. Wel of niet aan het verzoek tegemoetkomen? Bestrijkt Wob ook de resultaten die uit de AVG-verplichtingen voortvloeien zoals het opstellen een register van verwerkingsactiviteiten? Is dat wel of niet een bestuurlijke aangelegenheid als bedoeld in art. 3 Wob? Geen nood, in deze blog nemen wij je mee in deze materie en zullen ingaan op de vraag of de openbaarmaking van het register een bestuurlijke aangelegenheid in de zin van de Wob is.

Wob-verzoek en een bestuurlijke aangelegenheid
Ter bevordering van het democratisch proces en de controle op de legitimiteit van overheidshandelen rust op bestuursorganen op basis van de Wob (Wet openbaarheid van bestuur) zowel de passieve als de actieve verplichting om overheidsinformatie te openbaren (artt. 2, 3 en 8 Wob). Overheidsinformatie is openbaar tenzij de Wob of andere wet- en regelgeving bepaalt dat de gevraagde informatie niet geschikt is om openbaar te maken. De Wob regelt het recht van een ieder op informatie van de overheid (passieve verplichting om de informatie te verstrekken). Het moet dan wel gaan om informatie die in documenten is neergelegd en het bestuurlijke aangelegenheid betreft.

Volgens de Wob is er sprake van bestuurlijkeaangelegenheid als een aangelegenheid betrekking heeft op het beleid van een bestuursorgaan (art. 1 Wob). De voorbereiding en de uitvoering van dat beleid, indien gedocumenteerd, vallen ook onder dit begrip. De vraag of een Wob-verzoek een bestuurlijke aangelegenheid betreft, bestaat uit twee deelvragen: 1). Betreft het verzoek een bepaalde aangelegenheid? 2) Zo ja, gaat het om een bestuurlijke aangelegenheid? Bij het Wob-verzoek dient de verzoeker voldoende duidelijk aan te geven op welke aangelegenheid de informatie betrekking heeft. Daarbij mag de verzoeker volstaan met het aanduiden van de documenten die hij wil inzien. Volgens vaste jurisprudentie van de Afdeling Bestuursrechtspraak van Raad van State (onder meer de uitspraken van 7 maart 2018, ECLI:NL:RVS:2018:777 en van 21 januari 2009, ECLI:NL:RVS:2009:BH0453) heeft het begrip “bestuurlijk” betrekking op het openbaar bestuur in al zijn facetten. Het betreft niet alleen het externe optreden van het bestuur, maar ook de interne organisatie en de wijze waarop het ambtelijk apparaat de taken van het bestuursorgaan vervult.

Het register van de verwerkingsactiviteiten
Het register van de verwerkingsactiviteiten, zoals bedoeld in art. 30 AVG (Algemene Verordening Gegevensverwerking), betreft een overzicht van de verwerkingen van persoonsgegevens binnen een organisatie. Daarin wordt niet alleen opgesomd in welke processen welke persoonsgegevens worden gebruikt maar onder andere ook wat het doel van die verwerkingen is, waar het op gebaseerd is, hoelang de persoonsgegevens worden bewaard en aan wie deze (eventueel) worden verstrekt. Op verwerkingsverantwoordelijken rust de verplichting om over een dergelijk register te beschikken.

Is het register van de verwerkingsactiviteiten een bestuurlijke aangelegenheid?
Vaststaat dat gemeentelijke organisaties voor het uitvoeren van hun publieke taken grootschalig persoonsgegevens verwerken. Daarmee zijn ze als verwerkingsverantwoordelijke gebonden aan de wettelijke verplichting om een register van verwerkingsactiviteiten op te stellen. De AVG stelt het openbaren van het register niet als een expliciete eis. Het is echter goed verdedigbaar dat gelet op het beginsel van transparantie (art. 5 AVG) en de algemene informatieplicht (art. 12 AVG) in combinatie met de verantwoordings- en aantoningsplicht van de verwerkingsverantwoordelijke (art. 5 AVG) de verwerkingsverantwoordelijke er goed aan doet om het register van verwerkingsactiviteiten te openbaren.

Het register van verwerkingsactiviteiten toont niet alleen aan dat de verwerkingsverantwoordelijke uitvoering heeft gegeven aan een wettelijke plicht, namelijk het opstellen van een register van verwerkingsactiviteiten, maar ook hoe de verwerkingsverantwoordelijke invulling heeft gegeven aan de minimale beginselen waar een gegevensverwerking aan moet voldoen (art. 5 AVG). Gelet op het algemene belang van het register en vaste rechtspraak van Afdeling Bestuursrechtspraak van Raad van State, is het register van verwerkingsactiviteiten aan te merken als een bestuurlijke aangelegenheid in de zin van art. 3 Wob die de interne organisatie en de wijze waarop het bestuursorgaan zijn taken vervult, betreft.

Dat de Handleiding Algemene Verordening Gegevensbescherming van de Rijksoverheid (januari 2018) aangeeft dat het register van verwerkingsactiviteiten op verzoek van de Autoriteit Persoonsgegevens zal moeten worden aangereikt, valt niet te betwisten. En dat de FG ook toegang zal moeten krijgen tot het register, is evenmin discutabel. Dit betekent echter niet dat de Handleiding of de AVG een verbod opleggen op openbaren van het register buiten deze toezichthouders. Al helemaal niet wanneer via een Wob-verzoek een ieder een beroep doet op zijn recht op overheidsinformatie. Het argument dat een register van verwerkingsactiviteiten geen bestuurlijke aangelegenheid zou zijn waarmee een verzoek om het te openbaren buiten de reikwijdte van Wob zou vallen, slaagt gelet hierop niet.

Hoe nu verder?
Het register van de verwerkingsactiviteiten geeft verwerkingsverantwoordelijken meer grip op de gegevensverwerkingen binnen eigen organisatie. Het zorgt ervoor dat het geheel aan verwerkingen geordend wordt weergegeven, bovendien draagt het proces van het opstellen van het register aan de bewustwording van de medewerkers wat betreft de verwerkte persoonsgegevens binnen eigen processen. Het openbaren van het register draagt verder bij aan de transparantie; een eis vanuit de AVG en een van de uitgangspunten van de Wob.

Het is echter niet voor alle organisaties mogelijk geweest om een register van verwerkingsactiviteiten op tijd af te ronden. Niet vreemd, als men tot het inzicht komt dat in een organisatie het soms om honderden processen kan gaan waarin persoonsgegevens worden verwerkt. Het geheel in een keer in beeld brengen is voor de meeste organisaties een enorme uitdaging (geweest). Zo’n Wob-verzoek waaraan een behandeltermijn van vier weken is gekoppeld voert de druk op de ketel nog meer op. Wat is de huidige status van jouw register? Ligt er al een basis en moet deze worden geoptimaliseerd of moet er nog een begin mee worden gemaakt? Realisme en een goede aanpak zijn hierin van belang. Of men nu aan register begint of op een later moment, hangt een volgend verzoek op basis van Wob of vanuit de Autoriteit Persoonsgegevens als een zwaard van Damocles boven het hoofd. Het is tijd om het register af te ronden.

Kom je niet uit met het register van verwerkingsactiviteiten? Onze privacy consultants bij Cuccibu kunnen je helpen bij (het begeleiden van) het opstellen en optimaliseren van jouw register van de verwerkingsactiviteiten. Mocht je willen sparren over dit onderwerp, dan nodigen wij je graag uit om contact met ons op te nemen via info@cuccibu.nl of +31 (0) 85 303 2984.