Autoriteit Persoonsgegevens
Postbus 93374, 2509 AJ Den Haag
Hoge Nieuwstraat 8, 2514 EL Den Haag
T 070 8888 500 - F 070 8888 501
autoriteitpersoonsgegevens.nl
Gemeente Voorschoten
T.a.v. het college van burgemeester en wethouders
Postbus 393
2250 AJ VOORSCHOTEN
Datum Ons kenmerk
2 november 2023 z2023-00037
Contactpersoon
[VERTROUWELIJK]
Onderwerp
Besluit tot het opleggen van een bestuurlijke boete
Geacht college,
De afdeling Eerstelijns Onderzoek van de Autoriteit Persoonsgegevens (hierna: AP) heeft naar aanleiding
van een handhavingsverzoek onderzoek gedaan naar de verwerking van persoonsgegevens door het
college van burgemeester en wethouders van de gemeente Voorschoten (hierna: het college) in het kader
van de uitvoering van het afvalinzamelingsbeleid in de gemeente. De bevindingen van het onderzoek zijn
opgetekend in een onderzoeksrapport, dat op 13 maart 2023 aan het college is toegezonden.
In het nu voorliggende besluit stelt de AP vast dat het college zonder toereikende grondslag en derhalve
onrechtmatig persoonsgegevens heeft verwerkt met betrekking tot de zogenoemde stortgeschiedenis van
inwoners van de gemeente Voorschoten. De AP stelt verder vast dat het college de inwoners van de
gemeente Voorschoten niet juist heeft geïnformeerd over de in dit verband verwerkte persoonsgegevens,
het doel en de grondslag van de verwerking. Hierdoor was het college in overtreding van de artikelen 5,
eerste lid, aanhef en onder a, gelezen in samenhang met artikel 6, eerste lid, aanhef en onder e en artikel 14,
eerste lid, aanhef en onder c en d, van de Algemene verordening gegevensbescherming (hierna: AVG).
Met dit besluit legt de AP aan het college een bestuurlijke boete op van € 30.000. Hierna wordt ingegaan
op (1) de procedure, (2) de zienswijze van het college op de onderzoeksbevindingen, (3) de beoordeling en
(4) het besluit tot oplegging van de bestuurlijke boete. Tot slot is vermeld wat een belanghebbende kan
doen als deze zich niet kan vinden in dit besluit.
1
Datum Ons kenmerk
2 november 2023 z2023-00037
1. Onderzoek en bevindingen
Op 9 maart 2019 heeft de AP een handhavingsverzoek ontvangen van een inwoner van de gemeente
Voorschoten. Op 18 oktober 2020 is duidelijk geworden dat de inwoner niet alleen voor zichzelf opkomt,
maar ook namens een andere inwoner van de gemeente. De inwoners worden in dit besluit tezamen en in
enkelvoud aangeduid als “klaagster”. Het verzoek van klaagster heeft betrekking op de verwerking van
persoonsgegevens bij de afvalinzameling in de gemeente Voorschoten. Naar aanleiding hiervan heeft de
afdeling Eerstelijns Onderzoek van de AP onderzoek gedaan en haar bevindingen vastgelegd in een
onderzoeksrapport van 22 december 2022. Uit het rapport blijken de volgende feiten.
Op 29 maart 2016 heeft de gemeenteraad van de gemeente Voorschoten het Afvalbeleidsplan 2016-2020
vastgesteld. Volgens het Afvalbeleidsplan streeft de gemeente naar een vermindering van de hoeveelheid
restafval. Daarnaast zou het beter scheiden van afvalstromen ertoe moeten leiden dat meer grondstoffen
kunnen worden hergebruikt. De gemeente hanteert géén stelsel van gedifferentieerde tarieven (diftar),
waarbij kort gezegd per huishouden wordt afgerekend op basis van het daadwerkelijke gebruik van de
afvalvoorzieningen. Evenmin zijn er plannen om een diftar-stelsel in te voeren.
Het Afvalbeleidsplan maakt onderscheid tussen enerzijds eengezinswoningen of grondgebonden
woningen (hierna: laagbouw) en anderzijds appartementen (hierna: hoogbouw). Bewoners van laagbouw
maken gebruik van grijze restafvalcontainers (kliko’s) die periodiek worden geleegd door een
vuilniswagen. Bewoners van hoogbouw maken gebruik van ondergrondse restafvalcontainers aan de
straat. Ter uitvoering van het Afvalbeleidsplan heeft het college – voor zover hier van belang – de volgende
twee maatregelen genomen:
1) Laagbouw
In maart 2019 zijn alle grijze restafvalcontainers (kliko’s) in de gemeente vervangen voor nieuwe
containers met een chip. Deze chip bevat een uniek nummer. Het aantal containers in de gemeente is
teruggebracht doordat elk huishouden (woonadres) sindsdien beschikt over slechts één container. De
nieuwe container is ten behoeve van de uitgifte van de container voorzien van een barcodesticker met
adres, maar deze sticker heeft geen verdere functie en kan zonder gevolgen worden verwijderd.
De vuilniswagen is voorzien van een lezer die het nummer van de chip kan uitlezen. Als er herkenning
is, wordt de container geleegd. Vervolgens slaat de gemeente gegevens op in een IT-systeem van de
inzameldienst van de gemeente. Daarbij gaat het om het chipnummer, het bijbehorende adres, datum
en tijdstip van lediging, locatiegegevens van lediging en type afval. Vervolgens kan de container twee
weken lang niet nogmaals worden geleegd doordat de vuilniswagen de container niet zal accepteren.
De gegevens bleven in het IT-systeem bewaard zo lang de container in gebruik is en de gegevens
werden uit het systeem gewist wanneer de container werd vervangen.
De bewoners van de laagbouw zijn per brief geïnformeerd over het vervangen van de containers, maar
in de brief is niet vermeld welke persoonsgegevens door middel van de chip in de nieuwe containers
zouden worden verwerkt, welk doel die verwerking heeft en wat de grondslag daarvoor is.
2/14
Datum Ons kenmerk
2 november 2023 z2023-00037
2) Hoogbouw
Eind 2018 zijn de bovengrondse gezamenlijke containers vervangen door ondergrondse containers.
Deze containers kunnen alleen worden geopend met een token, die net als de restafvalcontainers
voor de laagbouw een chip met uniek nummer bevat. Per ondergrondse container kan worden
bepaald welke tokens toegang tot de container hebben. Met een token kan vijf keer per dag een
container worden geopend, daarna wordt toegang tot de container geweigerd.
Nadat de container is geopend met een token, slaat de gemeente gegevens op in een IT-systeem van
de gemeente. Daarbij gaat het om tokennummer, adresgegevens, datum en tijd van de storting,
locatiegegevens en type afval. Deze gegevens werden gedurende vijf jaren bewaard in het IT-systeem.
De bewoners van de hoogbouw zijn per brief geïnformeerd over de nieuwe containers met token,
maar in de brief is niet vermeld welke persoonsgegevens met de token zouden worden verwerkt, welk
doel die verwerking heeft en wat de grondslag daarvoor is.
In het onderzoeksrapport is geconcludeerd dat het college als verwerkingsverantwoordelijke
persoonsgegevens van inwoners verwerkt voor de inzameling van huishoudelijk afval. Vervolgens is in het
rapport ingegaan op de vraag of het college zich kan beroepen op de door haar ingeroepen grondslag
“noodzaak voor het vervullen van een taak van algemeen belang” (artikel 6, eerste lid, aanhef en onder e,
van de AVG).
In het kader van de laagbouw is in het onderzoeksrapport geoordeeld dat het kortstondig verwerken van
persoonsgegevens via de chiplezer op de vuilniswagen noodzakelijk is voor het vervullen van de taak van
het college. Er moet immers worden geverifieerd dat het gaat om een door de gemeente verstrekte
container en dat deze niet recentelijk is geleegd. Dat geldt alléén voor zover en voor zolang dit nodig is om
de grijze container te kunnen ledigen en tijdelijk te blokkeren. Het is echter níet noodzakelijk om langere
tijd op te slaan welke container (chipnummer en adres) wanneer (datum en tijdstip) met afval is
aangeboden. Dat zou slechts anders zijn als deze zogenaamde “stortgegevens” worden gebruikt voor een
diftar-stelsel, maar dat doet de gemeente Voorschoten niet.
In het kader van de hoogbouw is op vergelijkbare wijze geoordeeld dat het noodzakelijk is voor de taak van
het college om te controleren of een token toegang biedt tot de afvalcontainer en of het maximale aantal
stortingen per dag niet wordt overschreden. Ook hier geldt echter dat het níet noodzakelijk is om
daarbuiten bij te houden met welke token (tokennummer en adres) wanneer (datum en tijdstip) waar
(locatiegegevens van de container) welk type afval is aangeboden. Dat zou slechts anders zijn als de
stortgegevens worden gebruikt voor een diftar-stelsel, maar zoals vermeld doet de gemeente Voorschoten
dat niet.
Nu de noodzaak voor de langdurige verwerking van de stortgegevens ontbreekt, kan die verwerking niet
worden gebaseerd op de grondslag noodzaak voor een taak van algemeen belang. De verwerking is daarom
3/14
Datum Ons kenmerk
2 november 2023 z2023-00037
in zoverre onrechtmatig (artikel 5, eerste lid, aanhef en onder a, gelezen in samenhang met artikel 6,
eerste lid, aanhef en onder e, van de AVG).
Ook is in het onderzoeksrapport geconcludeerd dat het college de inwoners van hoog- en laagbouw niet
juist heeft geïnformeerd over de persoonsgegevens die worden verwerkt via de chip in de container
respectievelijk token voor de ondergrondse container, het doel en de grondslag van die verwerking.
Hiermee heeft het college haar informatieplicht geschonden (artikel 5, eerste lid, aanhef en onder a,
gelezen in samenhang met artikel 14, eerste lid, aanhef en onder c en d, van de AVG).
2. Zienswijze van het college op het rapport
De AP heeft het onderzoeksrapport en de daaraan ten grondslag liggende stukken aan het college
gezonden. Daarbij heeft de AP het voornemen geuit om een herstelmaatregel te treffen om de te lange
opslag van stortgegevens te beëindigen, de reeds opgeslagen gegevens te vernietigen en de inwoners
alsnog juist te informeren. Daarnaast heeft de AP het voornemen geuit een bestuurlijke boete op te leggen.
Het college heeft bij brief van 28 maart 2023 gebruik gemaakt van de gelegenheid een zienswijze te geven.
Op 24 mei 2023 heeft een gesprek plaatsgevonden met vertegenwoordigers van het college. In de
zienswijze en tijdens het gesprek is met betrekking tot het onderzoeksrapport namens het college het
volgende naar voren gebracht. Voor zover de zienswijze betrekking heeft op de op te leggen maatregelen,
wordt daarop ingegaan in paragraaf 4 van dit besluit.
2.1. Ten aanzien van de verwerkingsverantwoordelijkheid, verwerking en feiten
Het college heeft allereerst onderschreven dat het verwerkingsverantwoordelijke is voor de verwerking
van persoonsgegevens die plaatsvinden in het kader van het Afvalbeleidsplan, zoals die zijn omschreven in
het onderzoeksrapport. Het college onderschrijft verder de feiten zoals die in het rapport zijn neergelegd.
2.2. Ten aanzien van de noodzaak bij grijze containers
Het college heeft toegelicht dat het primaire doel van het Afvalbeleidsplan is dat er een transitie op gang
komt waarin afval in toenemende mate in een grondstof wordt omgezet. Door het percentage gescheiden
afval te verhogen, wordt beoogd dat in 2030 alleen nog grondstoffen worden ingezameld en dus geen
restafval. Om dat te bereiken, moet het scheiden van afval worden gestimuleerd.
Een strenger beheer ten aanzien van de bovengrondse containers (kliko’s) en ondergrondse containers is
een van de middelen daartoe. Doordat de grijze containers worden gekoppeld aan een adres, kan worden
voorkomen dat inwoners hun grijze container ten onrechte als vermist opgeven en na ontvangst van een
nieuwe container voortaan twee containers kunnen aanbieden. Als een container met chip als vermist
wordt opgegeven en niet binnen twee weken wordt teruggevonden, kan door de koppeling aan het adres
het oude chipnummer worden geblokkeerd. De oude container kan dan niet meer worden geleegd en
wordt vervangen door een container met een ander chipnummer. Namens het college is verklaard dat er in
4/14
Datum Ons kenmerk
2 november 2023 z2023-00037
het verleden, in één jaar tijd 300 containers moesten worden vervangen. In februari 2023 zijn er 30
containers als vermist opgegeven, en 29 weer teruggekomen bij de gemeente omdat de vermiste
containers niet werden geleegd en zijn achtergelaten. Hieruit volgt dat de inzet van de chip effectief is.
Daarnaast kan een container dankzij de chip nog maar eens per twee weken worden geleegd. Na lediging is
de chip voor twee weken geblokkeerd. In het gesprek op 24 mei 2023 heeft het college toegelicht dat de
vuilniswagen dagelijks rijdt en dat de ophaaldag per wijk verschilt. Zonder chip en blokkering van de
container zouden met name inwoners van de grensgebieden van een wijk hun restafval vaker kunnen
aanbieden dan eens per twee weken.
Deze twee punten (beperken van het aantal containers en de ophaalfrequentie) leiden tot een maximale
hoeveelheid restafval die bij inwoners wordt opgehaald. Hiermee wordt beoogd een positieve prikkel te
geven om meer afval te scheiden, zodat dit niet als restafval hoeft te worden aangeboden. Het is hiervoor
noodzakelijk om de stortgegevens te bewaren, aldus het college.
Verder wijst het college erop dat een inwoner een klacht bij het college kan indienen omdat de grijze
container niet meer naar behoren functioneert, deze niet is geleegd of is zoekgeraakt. Het kan daarbij
relevant zijn om te onderzoeken wanneer voor het laatst afval is aangeboden. Dagelijks worden er circa
2.000 containers geleegd, wat resulteert in enkele tientallen meldingen per week.
Op 24 mei 2023 heeft het college de AP toegezegd de bewaartermijn van de stortgegevens voor de grijze
containers te bepalen op veertien dagen, in plaats van deze te bewaren zolang de container in gebruik is.
2.3. Ten aanzien van de noodzaak bij ondergrondse containers
Door toegangsregulering van de ondergrondse containers met een token, wordt allereerst de hoeveelheid
restafval voor bewoners van hoogbouw beperkt. Daarnaast wordt voorkomen dat inwoners die een grijze
container hebben óók afval in de ondergrondse containers kunnen storten. Dat zou het effect van het
strengere beheer van grijze containers immers tenietdoen. Verder wordt met het reguleren van toegang
voorkomen dat inwoners van andere gemeenten oneigenlijk gebruik maken van de ondergrondse
containers. Het college wijst verder op het beheer van de tokens. Er is een strikt beleid dat per huishouden
slechts één token wordt verstrekt. Daarbij geldt dat de token maximaal vijf keer per dag een container voor
restafval kan openen. Hiervoor is het noodzakelijk om de stortgegevens in ieder geval 24 uur te bewaren.
Ook ten aanzien van de tokens geldt dat een inwoner een klacht kan indienen. Het komt namelijk wel eens
voor dat een ondergrondse container of token niet naar behoren functioneert. Ook om deze klachten te
behandelen is het nodig om de stortgeschiedenis te raadplegen. Daaruit kan namelijk blijken of de token
onlangs nog is aangeboden en dus defect is geraakt (in welk geval de token kosteloos wordt vervangen) of
al langere tijd niet is aangeboden (wat een indicatie is dat de token is verloren, in welk geval de inwoner
voor vervanging dient te betalen).
5/14
Datum Ons kenmerk
2 november 2023 z2023-00037
Op 24 mei 2023 heeft het college de AP toegezegd de bewaartermijn van de stortgegevens voor
ondergrondse afvalcontainers te bepalen op veertien dagen, in plaats van vijf jaar.
2.4. Ten aanzien van de informatieverstrekking
Het college onderschrijft de bevinding in het onderzoeksrapport dat de informatievoorziening aan de
inwoners niet voldoet aan de vereisten van de AVG. Desalniettemin moet volgens het college worden
opgemerkt dat het college heeft geprobeerd om de inwoners op de juiste wijze voor te lichten. In brieven
van 5 en 22 maart 2019 heeft het college geprobeerd duidelijk te maken met welk doel de containers zijn
vervangen. Zo is vermeld dat de containers van chips worden voorzien met als doel het beheren van de
containers, zodat kan worden aangesloten bij de doelstelling van meer afvalscheiding zoals omschreven in
het Afvalbeleidsplan. Vervolgens is uitgelegd dat de chips worden gekoppeld aan het woonadres, waarna
zelfs de specifieke methode wordt uitgelegd waarop de chip wordt gebruikt om tot een beter beheer van
het inzamelen van afval te komen. Zo wordt toegelicht dat het inzamelvoertuig de chip scant en vervolgens
opslaat dat de container is geleegd. Volgens het college wordt in elk geval gedeeltelijk uitgelegd met welk
doel de persoonsgegevens worden verwerkt.
Daar staat tegenover dat het college inziet dat de informatievoorziening over de containers voor de
hoogbouw tekort is geschoten. De brief van 30 november 2018 was ook volgens het college niet voldoende
duidelijk om de inwoners een goed beeld te geven van de verwerking van persoonsgegevens in het kader
van het afvalbeleid.
3. Beoordeling
3.1. Verwerkingsverantwoordelijke en verwerking van persoonsgegevens
Zoals vastgesteld in de paragrafen 3.1, 3.2 en 3.3 van het onderzoeksrapport, en door het college is
onderschreven, verwerkt het college als verwerkingsverantwoordelijke voor de inzameling van restafval
persoonsgegevens van inwoners van de gemeente Voorschoten. Het gaat daarbij om het chipnummer van
de container dan wel token, de daaraan gekoppelde adresgegevens, datum en tijdstip van het legen van de
container dan wel openen van de ondergrondse container, locatiegegevens en type afval. Deze gegevens
zijn via het chipnummer gekoppeld aan een adres en maakt de desbetreffende inwoners direct of indirect
identificeerbaar.
3.2. Overtreding 1: verwerking van persoonsgegevens zonder grondslag
Op grond van de AVG moeten persoonsgegevens worden verwerkt op een wijze die ten aanzien de
betrokkene onder meer rechtmatig is (artikel 5, eerste lid, aanhef en onder a). De verwerking is alleen
rechtmatig indien en voor zover is voldaan aan ten minste een van de voorwaarden (“grondslagen”)
vermeld in artikel 6, eerste lid.
6/14
Datum Ons kenmerk
2 november 2023 z2023-00037
Het college heeft zich voor de aan de orde zijnde verwerkingen op het standpunt gesteld dat deze berusten
op de grondslag dat de verwerkingen noodzakelijk zijn voor de vervulling van een taak van algemeen
belang (artikel 6, eerste lid, aanhef en onder e, van de AVG). Daarom zal achtereenvolgens worden
ingegaan op het bestaan van een publieke taak en de noodzaak om daarvoor persoonsgegevens te
verwerken.
3.2.1. Publieke taak
Zoals vermeld in het onderzoeksrapport, volgt uit artikel 10.21 en verder van de Wet milieubeheer dat op
de gemeenteraad en het college de publieke taak rust om zorg te dragen voor het ten minste eenmaal per
week inzamelen van huishoudelijke afvalstoffen. De gemeenteraad heeft de bevoegdheid om daarvoor een
afvalstoffenverordening vast te stellen, wat de raad van de gemeente Voorschoten heeft gedaan. Daarbij
heeft de gemeenteraad ruimte om een milieubeleidsplan vast te stellen op grond van artikel 10.23,
tweede lid, gelezen in samenhang met paragraaf 4.6 van de Wet milieubeheer. De gemeenteraad heeft in
de afvalstoffenverordening het college belast met het inzamelen van de huishoudelijke afvalstoffen. Hieruit
volgt dat het college een taak van algemeen belang heeft met betrekking tot de inzameling van
huishoudelijke afvalstoffen.
Zoals de Afdeling Bestuursrechtspraak van de Raad van State (hierna: de Afdeling) heeft geoordeeld in
haar uitspraak van 30 juni 2021 (ECLI:NL:RVS:2021:1420), komt het gemeentebestuur voor de invulling
van die taak een zekere ruimte toe. Het college voert het beleid neergelegd in het Afvalbeleidsplan
2016-2020. Onderdeel daarvan is dat het college inzet op het beperken van voorzieningen voor restafval
om afvalscheiding te stimuleren.
3.2.2. Noodzaak om persoonsgegevens te verwerken
Het noodzakelijkheidsvereiste brengt met zich dat de verwerking van persoonsgegevens proportioneel en
subsidiair moet zijn. De Afdeling heeft in haar uitspraak van 30 juni 2021 (zoals vermeld) overwogen dat
voor het beoordelen van de noodzaak allereerst moet worden nagegaan of het doel waarvoor de
persoonsgegevens worden verwerkt welbepaald en uitdrukkelijk omschreven is. Verder moet worden
bepaald of dat doel met de verwerking kan worden bereikt. Daarbij moet het doel passen binnen de taak
van algemeen belang. Vervolgens moet worden nagegaan of de inbreuk op de privacy evenredig is met de
door de verwerking gediende belangen. Met name moet worden beoordeeld of het doel niet kan worden
verwezenlijkt op een andere, voor de betrokken personen minder nadelige wijze. Hoe gedetailleerder een
eventuele betrokkene een alternatief beschrijft, hoe indringender het onderzoek van de AP dient te zijn. De
Afdeling heeft verder overwogen dat het risico op misbruik van het systeem ziet op de beveiliging van de
verwerking en niet van belang is voor het bepalen van de rechtmatigheid ervan.
In paragraaf 3.2.1 van dit besluit is ingegaan op de taak van algemeen belang en de ruimte van het college
om daarbij beleid te voeren. De AP is gelet op de bepalingen van de Wet milieubeheer en het vastgestelde
Afvalbeleidsplan van oordeel, dat het doel waarvoor de persoonsgegevens worden verwerkt – het
verminderen van de hoeveelheid restafval door de omvang van die afvalstroom te reguleren – in dit geval
7/14
Datum Ons kenmerk
2 november 2023 z2023-00037
welbepaald en uitdrukkelijk is omschreven. Tevens stelt de AP vast dat het doel kan worden bereikt door
het verwerken van persoonsgegevens. De adresgebonden nummers in de chip in de grijze containers en
tokens spelen immers een sleutelrol in het beperken van de hoeveelheid restafval die een huishouden kan
aanbieden. Het doel van de verwerking past voorts binnen de publieke taak, omschreven in paragraaf 3.2.1.
Vervolgens moet worden bezien of de inbreuk op de privacy evenredig is met de gediende belangen, met
name door na te gaan of het doel op een minder nadelige wijze kan worden bereikt. In het verzoek om
handhaving heeft klaagster de mogelijkheid geopperd van anonieme chips. De koppeling aan een adres is
echter nodig om de chips te kunnen beheren (uitgeven en blokkeren) en aldus het doel te kunnen bereiken.
Zonder deze koppeling kan namelijk niet worden voorkomen dat een huishouden beschikt over meerdere
containers en/of tokens, of dat deze terechtkomen bij een bedrijf of inwoner van een andere gemeente. Dit
zou het gebruik en bedoeling ervan juist ondermijnen. Dat de groene GFT-container en blauwe
papiercontainer niet zijn voorzien van een chip, is géén indicatie van het ontbreken van de noodzaak
persoonsgegevens te verwerken om het doel met betrekking tot restafval te bereiken. Die containers – en
de zogenaamde milieuparkjes in de gemeente – zijn immers juist bedoeld voor gescheiden afvalstromen
en niet voor restafval.
Zoals vermeld in het onderzoeksrapport, is de AP van oordeel dat de verwerking van persoonsgegevens in
verhouding staat met het te dienen doel. Het gebruik van een chip en het opslaan van gegevens om te
kunnen controleren of een container in de afgelopen twee weken is geleegd, is noodzakelijk voor dat doel.
Eveneens is het voor dat doel noodzakelijk om gegevens vast te leggen voor het beheer van de containers,
zoals bij welk adres een container (chipnummer) hoort en of deze wordt vermist. Een langere verwerking
van de stortgegevens dan de vermelde periode van twee weken draagt niet verder bij aan het hierboven
vermelde doel en is dan ook niet evenredig.
Hetzelfde geldt voor de token voor ondergrondse afvalcontainers. Het gebruik van een chip en het opslaan
van gegevens is noodzakelijk om te kunnen controleren of het dagelijks maximum aantal stortingen niet
wordt overschreden. Ook bij de token geldt dat het voor het beheer ervan noodzakelijk is om enige tijd te
kunnen terugkijken, zodat de werking van een token kan worden gecontroleerd indien een inwoner een
storing meldt. Aangenomen mag worden dat ieder huishouden tenminste eens per twee weken restafval
aanbiedt, zodat niet verder dan dat hoeft te worden teruggekeken om te zien of de token recent nog werkte.
Ook hier geldt dat een langere verwerking dan deze veertien dagen niet verder bijdraagt aan het vermelde
doel, en dus niet evenredig is.
3.2.3. Conclusie
Het college bewaarde de stortgegevens van grijze containers zolang de container in gebruik was, en de
stortgegevens van de tokens gedurende vijf jaar. Dit overschrijdt de termijn van twee weken ruimschoots.
Voor de periode dat de termijn is overschreden, geldt dat geen noodzaak bestaat om persoonsgegevens te
verwerken in het kader van de taak van algemeen belang. Conclusie is dan ook dat deze verwerking in
zoverre niet voldoet aan de vereisten van artikel 6, eerste lid, aanhef en onder e, van de AVG en daardoor
onrechtmatig is.
8/14
Datum Ons kenmerk
2 november 2023 z2023-00037
Het college heeft verklaard dat de bewaartermijn is aangepast en de opgeslagen stortgegevens in juli 2023
zijn gewist, voor zover die ouder waren dan twee weken. Een toezichthouder van de AP heeft op
2 oktober 2023 inzage gehad in de systemen en geconstateerd dat er geen stortgegevens aanwezig waren
die de bewaartermijn van veertien dagen overschreden. Gelet op het voorgaande, staat vast dat het college
in de periode van eind 2018 (hoogbouw) respectievelijk maart 2019 (laagbouw) tot juli 2023 in overtreding
was van artikel 5, eerste lid, aanhef en onder a, gelezen in samenhang met artikel 6, eerste lid, aanhef en
onder e, van de AVG.
3.3. Overtreding 2: niet juist informeren van betrokkenen over de verwerking van persoonsgegevens
Op grond van de AVG moeten persoonsgegevens worden verwerkt op een wijze die ten aanzien de
betrokkene onder meer transparant is (artikel 5, eerste lid, aanhef en onder a). De informatie de
verwerkingsverantwoordelijke aan de betrokkenen dient te verstrekken over persoonsgegevens die niet bij
de betrokkenen zijn verkregen, is benoemd in artikel 14 van de AVG. Daartoe behoren onder meer het
verwerkingsdoeleinde en de rechtsgrond van de verwerking (eerste lid, aanhef en onder c) en de betrokken
categorieën van persoonsgegevens (eerste lid, aanhef en onder d).
Zoals in het onderzoeksrapport is vermeld, heeft het college de inwoners van de gemeente schriftelijk
geïnformeerd over de vervanging van de grijze containers en de bovengrondse containers. Hiertoe heeft
het college brieven verzonden op 30 november 2018 (hoogbouw), 5 maart 2019 en 22 maart 2019
(laagbouw). Deze brieven gaan echter hoofdzakelijk over de feitelijke gang van zaken rond de vervanging
van de grijze containers en ondergrondse containers, en maken geen dan wel onvoldoende enkele melding
van de verwerking van persoonsgegevens van betrokkenen. Zoals in het onderzoeksrapport is vermeld, is
in de brieven niet vermeld welke categorieën van persoonsgegevens worden verwerkt via de chip in de
container respectievelijk de token voor de ondergrondse container, het doel en de grondslag van die
verwerking. Het college heeft deze constatering in de zienswijze onderschreven.
Het college heeft de inwoners bij brief van 1 september 2023 (volgens het college verzonden op
22 september 2023) opnieuw voorgelicht over de verwerking van persoonsgegevens in het kader van de
inzameling van restafval. Deze brief bevat wél alle vereiste informatie. Dit betekent dat de overtreding is
beëindigd.
Gelet op het voorgaande staat vast dat het college in de periode van eind 2018 (hoogbouw)
onderscheidenlijk maart 2019 (laagbouw) tot 22 september 2023, de informatieplicht heeft geschonden.
Daarmee was het college in overtreding van artikel 5, eerste lid, aanhef en onder a, gelezen in samenhang
met artikel 14, eerste lid, aanhef en onder c en d, van de AVG.
9/14
Datum Ons kenmerk
2 november 2023 z2023-00037
4. Bestuurlijke boete
4.1. Zienswijze van het college
Zoals vermeld in paragraaf 2 van dit besluit, is het college in de zienswijze ook ingegaan op het opleggen
van een herstelmaatregel en/of bestuurlijke boete. Zo voert het college aan dat het opleggen van een
herstelmaatregel niet nodig is. De in het onderzoeksrapport beschreven verwerking wordt door het college
gestaakt voor zover die niet noodzakelijk is voor de uitvoering van het afvalbeleid. Zoals hiervoor vermeld,
is de bewaartermijn inmiddels bepaald op veertien dagen en zijn de oudere gegevens verwijderd.
Daarnaast heeft het college de inwoners van de gemeente opnieuw ingelicht op de wijze die volgens het
onderzoeksrapport had gemoeten.
Het college voert verder aan zich niet te kunnen vinden in het opleggen van een bestuurlijke boete.
Allereerst gaat het om persoonsgegevens met een tamelijk laag risicogehalte. Het gaat immers om
adresgegevens van inwoners, die alleen door verrijking met gegevens uit de Basisregistratie Personen
(hierna: BRP) tot een specifieke persoon te herleiden zijn. Daar komt bij dat zowel de chip in de container
als de token uitsluitend een nummer bevat. De chip kan alleen met het IT-systeem van de afvaldienst
worden gelezen en gekoppeld aan een adres. Slechts twee werknemers van de gemeente hebben toegang
tot deze informatie en bovendien uitsluitend wanneer dat nodig is voor de uitvoering van het afvalbeleid.
Daarnaast wijst het college erop dat de kortstondige verwerking van persoonsgegevens bij het legen van de
grijze container respectievelijk openen van de ondergrondse container volgens het rapport noodzakelijk is
voor de uitvoering van het afvalbeleid, en dat het probleem slechts zit in het langer dan noodzakelijk
opslaan van de stortgegevens.
Tot slot wijst het college erop dat de AP geen boete heeft opgelegd aan de gemeente Arnhem (besluit van
1 augustus 2017), terwijl dat geval in grote lijnen vergelijkbaar is met dat van de gemeente Voorschoten.
Ook daar ging het om het te lang bewaren van persoonsgegevens in het kader van de uitvoering van het
afvalbeleid. In die zaak heeft de AP een last onder dwangsom opgelegd om de overtreding te beëindigen.
4.2. Herstelsanctie
Het college heeft de geconstateerde overtredingen reeds beëindigd door de onrechtmatig verwerkte
gegevens te wissen, de verwerking aan te passen en de inwoners van de gemeente over de verwerking te
informeren. Daardoor bestaat ook geen vrees voor herhaling van de overtreding. Een herstelsanctie is
daarom niet aan de orde.
4.3. Bestuurlijke boete
De AP ziet wél aanleiding om gebruik te maken van haar bevoegdheid tot het opleggen van een
bestuurlijke boete. Van hetgeen in de zienswijze van het college is aangevoerd, ziet één grond op de vraag
of een boete dient te worden opgelegd (te weten de grond dat de AP in een eerder geval heeft volstaan met
10/14
Datum Ons kenmerk
2 november 2023 z2023-00037
een last onder dwangsom). Daarop zal nu worden ingegaan; de overige aangevoerde gronden worden
behandeld in het licht van de hoogte van de op te leggen boete.
Het college wijst, zoals vermeld in paragraaf 4.1, op een besluit van de AP van 1 augustus 2017 dat zich
richtte tot het college van burgemeester en wethouders van de gemeente Arnhem. Die zaak toont in
zoverre gelijkenissen met het nu voorliggende geval, dat het ook in de Arnhemse zaak ging om de
verwerking van persoonsgegevens in het kader van afvalverwerking met behulp van chips (daar in
toegangspassen voor ondergrondse afvalcontainers). Ook daar was het doel van de verwerking gelegen in
het beperken van de omvang van de stroom restafval. Een verdere vergelijking van de zaken stuit echter af
op het van toepassing zijnde wettelijk regime.
Ten tijde van de Arnhemse zaak gold niet de AVG, maar diens voorganger, de Wet bescherming
persoonsgegevens (hierna: Wbp). Onder de Wbp gold een ander boeteregime dan dat nu onder de AVG
geldt.1 Onder het oude regime kon voor de door het Arnhemse college overtreden bepalingen geen boete
worden opgelegd zonder dat eerst een bindende aanwijzing was gegeven. Dat uitgangspunt leed slechts
uitzondering indien de overtreding opzettelijk was gepleegd of het gevolg was van ernstig verwijtbare
nalatigheid. Aan het Arnhemse college was niet eerder een bindende aanwijzing gegeven en evenmin was
sprake van opzet of ernstige nalatigheid. Alleen al om die reden kon in die zaak geen boete worden
opgelegd.
Door het van toepassing worden van de AVG op 25 mei 2018 kunnen de in dit besluit geconstateerde
overtredingen wél direct worden beboet. In de enkele omstandigheid dat in het verleden geen bestuurlijke
boete kon worden opgelegd vanwege het toen geldende boeteregime, ziet de AP geen aanleiding om daar
nu van af te zien.
4.4. Boetebeleidsregels Autoriteit Persoonsgegevens 2019
Bij de uitoefening van de bevoegdheid om een bestuurlijke boete op te leggen, hanteert de AP ten aanzien
van overheden de Boetebeleidsregels Autoriteit Persoonsgegevens 2019 (hierna: Boetebeleidsregels 2019).
De overtredingen waarvoor de AP een boete kan opleggen zijn in de Boetebeleidsregels 2019 ingedeeld in
drie boetecategorieën. Deze categorieën zijn gerangschikt naar zwaarte van de overtreding van de
genoemde artikelen, waarbij categorie I de minst zware overtredingen bevat en categorie III de zwaarste
overtredingen. Aan de categorieën zijn in hoogte oplopende geldboetes verbonden. Dit volgt uit artikel 2,
onder 2.1 en 2.3 van de Boetebeleidsregels 2019.
Categorie I Boetebandbreedte tussen € 0 en € 200.000 Basisboete: € 100.000
Categorie II Boetebandbreedte tussen € 120.000 en € 500.000 Basisboete: € 310.000
Categorie III Boetebandbreedte tussen € 300.000 en € 750.000 Basisboete: € 525.000
1 Het boeteregime was neergelegd in hoofdstuk 10, paragraaf 2 (artikel 66 en verder) van de Wbp.
11/14
Datum Ons kenmerk
2 november 2023 z2023-00037
Volgens artikel 6 van de Boetebeleidsregels 2019 bepaalt de AP de hoogte van de boete door de basisboete
naar boven of beneden bij te stellen, afhankelijk van de mate waarin de in artikel 7 genoemde factoren
daartoe aanleiding geven. Op grond van artikel 8 is het mogelijk om de naast hogere of lagere categorie toe
te passen als de voor de overtreding bepaalde boetecategorie in het concrete geval geen passende
bestraffing toelaat.
Ingeval van meerdere overtredingen met betrekking tot dezelfde of daarmee verband houdende
verwerkingsactiviteiten is de totale boete niet hoger dan het wettelijk boetemaximum van de zwaarste
overtreding.
4.5. Boetecategorie en basisboete
De overtreding van artikel 5, eerste lid, aanhef en onder a, gelezen in samenhang met artikel 6, eerste lid,
aanhef en onder e, van de AVG (verwerken van persoonsgegevens zonder grondslag), blijkens bijlage I bij
de Boetebeleidsregels 2019, ingedeeld in categorie III. Dat geldt ook voor de overtreding van artikel 5,
eerste lid, aanhef en onder a, gelezen in samenhang met artikel 14, eerste lid, aanhef en onder c en d, van de
AVG (het niet voldoen aan de informatieverplichting). De boetebandbreedte en basisboete van deze
categorie (bandbreedte tussen € 300.000 en € 750.000 met een basisboete van € 525.000) kunnen gelet op
de navolgende bespreking van boeteverhogende en -verlagende factoren in dit geval niet leiden tot een
passende bestraffing van de geconstateerde overtredingen. Daarom zal boetecategorie II worden
toegepast, waarvan de boetebandbreedte loopt van € 120.000 tot € 500.000 en de basisboete € 310.000
bedraagt.
De in artikel 7 van de Boetebeleidsregels 2019 vermelde factoren geven op de volgende punten aanleiding
tot opmerkingen. De niet besproken factoren zijn in dit geval niet van toepassing.
a. Aard, ernst en duur van de inbreuk
Ten aanzien van de ernst van de inbreuk merkt de AP op dat de onrechtmatige verwerking van
persoonsgegevens niet op zichzelf stond, maar het vervolg was van een verwerking die wél rechtmatig is.
Het college heeft echter niet onderkend dat de grondslag na enige tijd aan de verwerking ontviel omdat de
noodzaak van de verwerking in tijd begrensd is.
In vergelijkbare zin geldt ten aanzien van de overtreding van de informatieplicht dat het college de
inwoners van de gemeente wel heeft geïnformeerd over de invoering van de chip in de container en de
token, maar dat het college niet tijdig heeft onderkend dat de voorlichting tekortschoot in de informatie
over de verwerking van persoonsgegevens.
Gelet op deze punten dient het basisbedrag naar beneden te worden bijgesteld.
f. De mate waarin met de toezichthoudende autoriteit is samengewerkt om de inbreuk te verhelpen en de mogelijke
negatieve gevolgen daarvan te beperken
12/14
Datum Ons kenmerk
2 november 2023 z2023-00037
Na ontvangst van het onderzoeksrapport heeft het college alle bevindingen daarin erkend. Het college is
kort daarna in overleg gegaan met de leverancier van de software en heeft daaraan de aanpassingen laten
doen die nodig waren om de verwerking duurzaam in overeenstemming te brengen met de AVG. Het
college heeft de inwoners wederom – en nu correct – geïnformeerd over de verwerking van
persoonsgegevens. Daarnaast zijn de negatieve gevolgen van de verwerking weggenomen doordat alle
historische gegevens uit de systemen van de gemeente zijn verwijderd.
Ook hierom dient het basisbedrag naar beneden te worden bijgesteld.
g. Categorieën van persoonsgegevens waarop de inbreuk betrekking heeft
De AP neemt verder in aanmerking dat de persoonsgegevens die zijn verwerkt, naar hun aard slechts tot
een beperkte inbreuk op de privacy kunnen leiden. De verwerkte gegevens waren slechts herleidbaar tot
adresniveau. Daarnaast konden slechts twee medewerkers van de gemeente de gegevens inzien en aan de
hand van de BRP herleiden tot de personen van het desbetreffende huishouden. Verder geldt dat de
gegevens slechts inzicht geven in de datum waarop restafval is aangeboden. De hoeveelheid afval werd niet
geregistreerd en de locatie op het moment van ophalen hangt, in het geval van de grijze containers, samen
met de aangewezen aanbiedplaats en is voor alle inwoners van hetzelfde gebied gelijk. In het geval van de
ondergrondse containers is de locatie logischerwijs de locatie van de container.
Ook hierom dient het basisbedrag naar beneden te worden bijgesteld.
Conclusie
Gelet op het voorgaande ziet de AP aanleiding om de basisboete te verlagen tot het minimum van de
boetebandbreedte, zijnde € 120.000.
4.6. Evenredigheid boetehoogte
Tot slot zal de AP op grond van artikel 49, derde lid, van het Handvest van de grondrechten van de
Europese Unie en de artikelen 3:4 en 5:46 van de Awb (evenredigheidsbeginsel) beoordelen of de
toepassing van haar beleid voor het bepalen van de hoogte van de boete, gezien de omstandigheden van
het concrete geval, niet tot een onevenredige uitkomst leidt.
De AP kwalificeert de ernst van de overtredingen als gering, met name vanwege de aard van de gegevens
(hiervoor besproken onder omstandigheid g) en de omstandigheid dat de overtreding met betrekking tot
de grondslag vooraf is gegaan door een rechtmatige verwerking (hiervoor besproken onder omstandigheid
a) en door tijdverloop onrechtmatig is geworden. Gelet op de geringe ernst van de overtredingen en op de
omstandigheden waaronder de overtredingen zijn gepleegd, ziet de AP aanleiding om de boete lager vast
te stellen dan op € 120.000. De AP acht een boete ter hoogte van € 30.000 passend en geboden.
13/14
Datum Ons kenmerk
2 november 2023 z2023-00037
5. Dictum
Bestuurlijke boete
De AP legt aan het college van burgemeester en wethouders van de gemeente Voorschoten, wegens de
overtreding van artikel 5, eerste lid, aanhef en onder a, gelezen in samenhang met artikel 6, eerste lid,
aanhef en onder e en artikel 14, eerste lid, aanhef en onder c en d, van de AVG een bestuurlijke boete op ten
bedrage van € 30.000,00 (zegge: dertigduizend euro).2
Hoogachtend,
Autoriteit Persoonsgegevens
mr. A. Wolfsen
voorzitter
Rechtsmiddelenclausule
Indien u het niet eens bent met dit besluit kunt u binnen zes weken na de datum van verzending van het
besluit digitaal of op papier een bezwaarschrift indienen bij de Autoriteit Persoonsgegevens. Ingevolge
artikel 38 van de UAVG schort het indienen van een bezwaarschrift de werking van de beschikking tot
oplegging van de bestuurlijke boete op. Voor het indienen van digitaal bezwaar, zie
www.autoriteitpersoonsgegevens.nl, onder het kopje Contact, item “Tip, klacht of bezwaar”.3
Het adres voor het indienen op papier is:
Autoriteit Persoonsgegevens
Postbus 93374
2509 AJ Den Haag.
Vermeld op de envelop ‘Awb-bezwaar’ en zet in de titel van uw brief ‘bezwaarschrift’.
Schrijf in uw bezwaarschrift ten minste:
- uw naam en adres;
- de datum van uw bezwaarschrift;
- het in deze brief genoemde kenmerk (zaaknummer), of voeg een kopie van dit besluit bij;
- de reden(en) waarom u het niet eens bent met dit besluit;
- uw handtekening.
2 De AP zal de vordering uit handen geven aan het Centraal Justitieel Incassobureau (CJIB).
3 De directe URL is <https://www.autoriteitpersoonsgegevens.nl/over-de-autoriteit-persoonsgegevens/bezwaar-maken>.
14/14