AVG en gemeentelijke app: wat de gemeente moet regelen vóór de start

Wie is waarvoor verantwoordelijk

De Algemene Verordening Gegevensbescherming (AVG, in het Engels GDPR) maakt een onderscheid tussen de verwerkingsverantwoordelijke, die het doel en de middelen bepaalt, en de verwerker, die gegevens verwerkt voor rekening van de verantwoordelijke en volgens zijn instructies. Bij een gemeentelijke app is de gemeente in beginsel verwerkingsverantwoordelijke voor de gegevens van haar inwoners; de uitgever van de app treedt op als verwerker en doet zelf een beroep op subverwerkers (hostingpartij, dienst voor sms of e-mail, leveranciers van pushmeldingen, kaarten, eventueel een AI-model).

• Een leverancier kan ook zelf verwerkingsverantwoordelijke zijn voor zijn eigen doeleinden (bijvoorbeeld gegevens van zijn website of de facturatie). Laat dit in het contract preciseren.
• Gebruikt de uitgever gegevens van inwoners voor eigen doeleinden (commerciële statistieken, reclame, het trainen van modellen), dan valt hij uit zijn rol van verwerker: dat weigert u of omkadert u zeer strikt.
• De rollen worden bepaald volgens de werkelijkheid van de beslissingen, niet volgens de etiketten in het contract: controleer of wat er staat overeenkomt met wat er gebeurt.

De verwerkersovereenkomst (artikel 28)

De AVG vereist een schriftelijke overeenkomst tussen de verwerkingsverantwoordelijke en de verwerker (artikel 28; controleer de exacte nummering in uw werkversie). Ze moet minstens de volgende punten regelen.

• Voorwerp, duur, aard en doel van de verwerking, de soorten gegevens en de categorieën van betrokkenen.
• Verwerking enkel op gedocumenteerde instructie van de gemeente, ook voor doorgiften buiten de Unie.
• Vertrouwelijkheid van het gemachtigde personeel.
• Beveiligingsmaatregelen (versleuteling, toegangscontrole, logging, back-ups, isolatie tussen klantgemeenten).
• Inschakeling van subverwerkers: lijst meegedeeld, voorafgaande toestemming (algemeen of specifiek), informatie bij wijzigingen, dezelfde verplichtingen doorgegeven in de keten.
• Bijstand aan de gemeente bij verzoeken om rechten uit te oefenen, effectbeoordelingen en datalekken.
• Melding van datalekken binnen een korte, vastgelegde termijn.
• Teruggave of verwijdering van de gegevens bij het einde van het contract, met een precies formaat en een precieze termijn.
• Een auditrecht of, bij gebrek daaraan, het ter beschikking stellen van aantoonbare informatie.

Lees ook de bijlagen: de lijst van subverwerkers en hun landen, de beschrijving van de beveiligingsmaatregelen. Een lege of vage bijlage is een alarmsignaal. Modellen die een uitgever aanreikt, bijvoorbeeld de verwerkersovereenkomst van Placette, laat u vóór ondertekening nalezen door uw jurist of uw DPO.

Rechtsgrond: taak van algemeen belang of toestemming?

Elke verwerking heeft een rechtsgrond nodig (artikel 6). Voor een overheid is de belangrijkste grond de taak van algemeen belang of de uitoefening van openbaar gezag: inwoners informeren over werken, meldingen over de openbare ruimte beheren, de agenda publiceren. Het “gerechtvaardigd belang” is in beginsel uitgesloten voor verwerkingen die de gemeente uitvoert in de uitoefening van haar taken (te verifiëren volgens het nationale recht).

• Pushmeldingen, sms, e-mails: de toestemming van de inwoner is de duidelijkste oplossing, zowel voor de AVG als voor de nationale regels die voortvloeien uit de e-privacyrichtlijn (toegang tot toestellen, ongevraagde communicatie: land per land te verifiëren). Ze moet vrij, specifiek, geïnformeerd, aantoonbaar en met één klik intrekbaar zijn. Kies een tool die datum, versie van de tekst en doel registreert.
• Lokale dringende informatie (waterafsluiting, schoolsluiting): sommige gemeenten baseren die op de taak van algemeen belang in plaats van op toestemming. Dat wordt geval per geval met uw DPO besproken; in alle gevallen moet de inwoner geïnformeerd zijn en zich kunnen uitschrijven (te verifiëren).
• Lokaal buurtnetwerk, meldingen, accounts: documenteer in het register de gekozen rechtsgrond per doel. Eén app kan meerdere rechtsgronden combineren.
• Minderjarigen: bepaal de minimumleeftijd voor inschrijving en de gevolgen ervan (de leeftijd voor digitale toestemming verschilt per lidstaat: te verifiëren).

Minimale gegevensverwerking, bewaartermijnen en rechten van betrokkenen

Stel u per module de vraag: welke gegevens hebben we echt nodig? Een gemeentelijke app heeft zelden de geboortedatum of een identiteitsbewijs nodig om een bericht over de weg te versturen. Hoe meer u verzamelt, hoe meer u moet beschermen, informeren en wissen.

• Maak de inventaris op: contactgegevens voor meldingen, adres of wijk, meldingen (foto, positie, beschrijving), berichten op het lokale netwerk, verbindingslogs, gesprekken met de AI-assistent, auditlogboek.
• Leg per categorie een bewaartermijn vast en laat ze in de tool instellen. Er bestaat geen universele termijn: ze hangt af van het doel, de archiefverplichtingen van overheden en het nationale recht (te verifiëren). Vermijd “zolang het account bestaat” voor gevoelige gegevens.
• Foto's en meldingen: raad aan geen personen of nummerplaten te fotograferen; voorzie dat de gemeente foto's kan vervagen of verwijderen.
• Rechten: inzage, rectificatie, wissing, beperking, bezwaar, overdraagbaarheid naargelang het geval. Wijs aan wie de verzoeken ontvangt, wie ze behandelt en binnen welke termijn; de wettelijke termijn is kort (te verifiëren). Vraag de uitgever welke zoek-, export- en wisfuncties bestaan.
• Informatie: een duidelijk privacybeleid, in de talen van de app, toegankelijk vóór de inschrijving.

Register, DPO en gegevensbeschermingseffectbeoordeling

• Register van verwerkingsactiviteiten (artikel 30): voeg per doel van de app een of meer regels toe (alarm en informatie, meldingen, lokaal netwerk, AI-assistent, …). De uitgever moet u helpen ze in te vullen.
• Functionaris voor gegevensbescherming (DPO): de aanwijzing is verplicht voor overheden en publieke instellingen (artikel 37). Veel gemeenten delen een DPO (intercommunale, OCMW, provincie, beheersdienst, leverancier): betrek hem vanaf de start van het project, niet de dag vóór de ondertekening.
• Gegevensbeschermingseffectbeoordeling (GEB/DPIA, artikel 35): nodig wanneer de verwerking waarschijnlijk een hoog risico inhoudt: grootschalige monitoring, gevoelige gegevens, kwetsbare personen, koppeling van gegevens, innovatief gebruik. Een module voor geïsoleerde ouderen, een lokale feed met geolokalisatie of een AI die individuele vragen verwerkt, verdienen een onderzoek. De nationale autoriteiten publiceren lijsten van verwerkingen waarvoor dit geldt: raadpleeg die van uw land (te verifiëren).
• Datalekken: voorzie de interne procedure en de contactpersonen, ook de termijn voor melding aan de autoriteit (te verifiëren) en de termijn die de uitgever u tegenover zich bindt na te leven.
• Beveiliging van de back-office: sterke authenticatie voor medewerkers, beperkte rollen, auditlogboek. Stel de vraag aan de uitgever.

Hosting, pushmeldingen en doorgifte buiten de EU

De plaats van hosting en de dienstverleners in de keten tellen even zwaar als het contract. Vraag: hostingregio van de databanken en de back-ups, naam en land van elke subverwerker, supportpersoneel dat toegang heeft tot de gegevens en vanuit welke landen, voorwaarden voor een eventuele tijdelijke supporttoegang (toestemming van de gemeente, beperkte duur, logging).

• Pushmeldingen: ze lopen via de diensten van de fabrikanten van besturingssystemen (Google voor Android, Apple voor iOS), die gegevens buiten de Unie kunnen verwerken. De inhoud van de berichten moet minimaal blijven (geen persoonlijke of gevoelige gegevens in de tekst) en dit punt moet in de verwerkersovereenkomst en het privacybeleid staan.
• Doorgiften buiten de Europese Economische Ruimte: ze vereisen een mechanisme (adequaatheidsbesluit, standaardcontractbepalingen, enz.). Het transatlantische kader voor gegevensbescherming bestaat voor gecertificeerde Amerikaanse bedrijven: de certificering van een leverancier en de juridische situatie controleert u op het moment van ondertekening (te verifiëren).
• Zwitserland: de herziene federale wet op de gegevensbescherming (nLPD / revDSG) is van toepassing sinds september 2023 (te verifiëren). Een Zwitserse gemeente moet zich ervan vergewissen dat haar leverancier in Zwitserland of in een land met passende bescherming is gehost. Voor het kantonale recht dat op gemeenten van toepassing is, informeert u zich bij de kantonale functionaris.
• AI: gebruikt de app een extern taalmodel, identificeer dan de leverancier, het land en of persoonsgegevens vóór verzending worden verwijderd. Zie AI voor inwoners: waarborgen.

AVG-criteria voor een bestek vindt u in Overheidsopdrachten: een gemeentelijke app aankopen en Een gemeentelijke app kiezen: 15 vragen.

Veelgestelde vragen