Masterclass “GDPR voor overheden” van de GBA in de Zaak van de Dilbeekse ANPR

De Gemeente Dilbeek mocht zich melden bij de Geschillenkamer (GK) van de Gegevensbeschermingsautoriteit (GBA) in verband met hun “Minder verkeer, beter wonen” project. In de basis een zaak over mobiliteit en ANPR camera’s, maar de GBA heeft van de gelegenheid gebruik gemaakt om er een kleine masterclass “GDPR voor overheden” van te maken met aandacht voor de rechtsgrond algemeen belang, het noodzakelijkheidscriterium, de zogeheten essentiele elementen, machtigingen tot toegang van het Rijksregister en de DIV, de uitvoering van DPIA’s en nòg meer.

We overlopen de relevante elementen en wagen ons daarmee alvast aan een beperkte analyse van een uitspraak die ongetwijfeld met veel detail zal terugkomen in onze Stay Tuned Overheid sessie in het najaar van 2026.

De context

In december 2021 besluit de gemeente Dilbeek het sluitverkeer in bepaalde straten een halt toe te roepen door een doorgangsverbod in te voeren voor bepaalde straten en binnen bepaalde tijden. Artikel 4 in het gemeentereglement bepaalt het principe. Hoe handhaaf je zo’n verbod? Met vergunningen en ANPR camera’s natuurlijk! Wanneer een niet-vergunningshouder binnen de gezette tijden toch door de straten rijdt, wordt er automatisch een overtreding geregistreerd door de gekoppelde software. Vergunninghouders zijn bewoners en handelaars, bezoekers van voorgaande, gemeentediensten en zorgverleners, en dergelijke meer.

Het doel van de verwerking wordt in het gemeentereglement omschreven als “het doorgaand verkeer op bepaalde wegen met een toegangsverbod beperken” en in de opgestelde DPIA/GEB spreekt men over “handhaving van sluipverkeer”. Om dit alles mogelijk te maken worden er uiteraard persoonsgegevens verwerkt: naam, adres, RRN, kentekenplaat, en in sommige gevallen beeldopnames, RIZIV nummers, werkgever van betrokkenen, kopie kentekenbewijs, en een historiek van bezoekers met kenteken.

De klager is iemand die vanwege deze opzet niet meer in de wijk wilde komen omdat men de verwerking onrechtmatig vond en weigerde de gegevens te laten verwerken. De Eerstelijnsdienst volgde het principe dat we al kennen uit de zaak met de drankenhandel en de eID kaart die uiteindelijk in Cassatie werd beslecht: door een weigering om persoonsgegevens (mogelijk) onrechtmatig te laten verwerken ervaart de betrokkene nadelen, en dat geeft voldoende recht om een klacht in te dienen.

De rechtsgrond algemeen belang en essentiële elementen

Het laat zich raden dat de gemeente zich beroept op de rechtsgrond “algemeen belang”.  Men verwijst hierbij naar het decreet Lokaal Bestuur, en de Nieuwe Gemeentewet. Mooi, zegt de GK, maar waar zijn de zogenaamde “essentiële elementen” dan juist benoemd? De essentiële elementen zijn de onderdelen die moeten voorkomen in de relevante wetgeving waar de verwerkingsverantwoordelijke (VV) zich op beroept in het kader van de rechtsgrond algemeen belang, en die moet minstens de volgende elementen bevatten:

1. de identiteit van de verwerkingsverantwoordelijke;
2. de categorieën van verwerkte gegevens, met dien verstand dat deze in overeenstemming moeten zijn met artikel 5.1 van de AVG, “toereikend, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor ze worden verwerkt”;
3. de categorieën betrokkenen van wie de gegevens zullen worden verwerkt;
4. de bewaartermijn van de gegevens;
5. de ontvangers of categorieën ontvangers aan wie hun gegevens worden meegedeeld;
6. de omstandigheden waarin en de redenen waarvoor ze zullen worden meegedeelden;
7. de eventuele beperking van de verplichtingen en/of rechten vermeld in de artikelen 5, 12 tot en met 22 en 34 van de AVG

Het zal de lezer niet verbazen dat deze elementen niet waren voorzien in de door de gemeente genoemde wetgeving. De afgelopen jaren vinden we deze essentiële elementen steeds vaker wél terug in nieuwe wetgeving, maar vaak ook niet. Als dat laatste het geval is, dan moet de VV zelf beoordelen of noodzakelijkheid van de verwerking wel voldoende is afgewogen ten opzichte van de belangen van de betrokkenen en dit ook documenteren. Dat had de gemeente hier niet gedaan, en de GK stelt dus een overtreding vast ten aanzien van het ontbreken van een rechtmatige rechtsgrond voor de verwerking.

Minimale gegevensverwerking en data protection by design

Dan komt de GK aan bij het principe van minimale gegevensverwerking. De klager voert aan dat ANPR camera’s een kanon zijn om te schieten op een mug (parafrasering): voor veel minder geld kan men borden plaatsen en tijdelijk wat intensiever controleren en met de huidige opzet verhuist het sluipverkeer gewoon naar andere wijken. De gemeente haalt aan dat zij wel degelijk naar alternatieven heeft gekeken maar dat niets effectief of haalbaar leek.

De GK stelt vast dat de gemeente enkel vanuit verkeerskundig oogpunt heeft gekeken naar alternatieven, niet vanuit het oogpunt van gegevensbescherming. Met andere woorden, misschien dat ANPR camera’s en het systeem er omheen voor het oplossen van sluipverkeer wel een effectieve verkeersoplossing is, maar is dat ook zo als men de inbreuken op fundamentele rechten meeneemt? Die gedocumenteerde afweging kon opnieuw niet worden overlegd, en de GK stelt een overtreding vast ten aanzien van art 5.1.c (minimale verwerking) en artikel 25 (data protection by design).

Dat laatste breidt de GK nog wat uit in de beslissing, want er zijn nog aanvullende elementen die de overtreding onderbouwen:

• Geen passende bewaartermijnen
• Het koppelen en bewaren van gegevens van bezoekers en bewoners (de Inspectiedienst sprak zelfs van “contacttracing”, wat de GK wat overdreven vond)
• Meer gegevens uit de Kruispuntbank van Voertuigen bij de DIV raadplegen dan waarvoor een machtiging is verkregen (zoals het chassisnummer)
• Niet voldoende maatregelen nemen rond de beveiliging van de raadpleging in zowel de Kruispunt van Voertuigen als het Rijksregister, denk aan gepaste logging en het bijhouden van een consultatieregister

Ontoereikende gegevensbeschermingseffectbeoordeling (DPIA/GEB)

Last but not least, als men het geheel aan verwerkingen bekijkt moge duidelijk zijn dat een DPIA op zijn plaats was. De gemeente was zich daar terdege van bewust en heeft effectief een DPIA uitgevoerd. Helaas voldeed de DPIA niet aan de gestelde eisen omdat minimale elementen zoals genoemd in de GDPR ontbraken in de DPIA.

Om te beginnen bleek een systematische omschrijving van de verwerkingsactiviteiten niet voldoende uitgewerkt te zijn: de raadplegingen in het Rijksregister werden niet benoemd, het vergunningensysteem werd slechts beperkt omschreven en een duidelijke omschrijving van de verschillende rollen van betrokken partijen ontbrak eveneens. Ook de eerder genoemde beoordeling van de noodzaak en evenredigheid, eigenlijk een onmisbaar element in iedere DPIA, ontbrak. Tenslotte stelde de GK vast dat er tekortkomingen waren in de  documentatie rond de risico’s voor rechten en vrijheden van de betrokkene inclusief maatregelen om die te beperken.

De GK benadrukt nog eens dat een correcte uitvoering van de DPIA waarschijnlijk veel van de vastgestelde tekortkomingen in dit dossier had kunnen voorkomen.

Conclusie

Het is niet allemaal kommer en kwel: de gemeente heeft na een eerste interventie van de Inspectiedienst de camera’s al uitgeschakeld en heeft geen raadplegingen meer gedaan in de genoemde registers in het kader van het project. De GK erkent ook dat het complexe materie betreft en dat de gemeente wel degelijk heeft geprobeerd de zaken goed aan te pakken door de DPO te betrekken, een DPIA op te stellen, buurtbewoners te informeren, advies heeft gevraagd van de korpschef en een protocol heeft met de DIV.

Samengevat besluit de GBA slechts een berisping op te leggen, maar besluit ook de beslissing te publiceren inclusief vermelding van de gemeente en andere betrokken overheidsinstellingen (de DIV en de FOD IBZ).

Wil je graag alle details over deze zaak weten, inclusief de exacte afwegingen rond de noodzakelijkheid en evenredigheid die de gemeente had moeten maken, de exacte veiligheidsmaatregelen rond raadplegingen in de DIV en het Rijksregister, en de problemen die de gemeente ervaarde met verwerkers? Mis dan zeker de Stay Tuned Overheid niet!

Klik hier om je te abonneren op de Stay Tuned Overheid