Dit is een signalering van Datavoogd. De beoordeling is aan de Functionaris Gegevensbescherming.
Concept DPIA
App meldingen woonoverlast — Gemeente Voorbeeldstad (gemeente), versie 1.0 (Definitief).
Document
Download het Word-bestand · Invulling aanpassen en opnieuw bouwen
Toets van het concept
De toets is klaar: open het rapport. Pas de invulling aan op wat de functionaris gegevensbescherming bevestigt, bouw opnieuw en toets opnieuw.
Risico's en maatregelen
16. Risico's
| Risico | Kans | Impact | Inschatting |
|---|---|---|---|
| R1 Onrechtmatige toegang tot meldingsdossiers: doordat 12 medewerkers van team Wonen, 8 medewerkers van het wijkteam en medewerkers van de woningcorporatie per melding inzage hebben en de inzage niet per gegevenscategorie is beperkt, kunnen medewerkers zonder behandelnoodzaak kennisnemen van gedrags-, gezondheids- en strafrechtelijke gegevens van gemelde bewoners en hun huisgenoten. Gevolg: verlies van vertrouwelijkheid in de directe woon- en werkomgeving, roddel in de wijk en aantasting van de persoonlijke levenssfeer van kwetsbare betrokkenen. | gemiddeld | hoog | hoog |
| R2 Bekend worden van de identiteit van de melder: doordat de melding met het wijkteam en de woningcorporatie wordt gedeeld, doordat een gemelde persoon inzage vraagt of doordat herleidbare details in de vrije tekst staan, kan de gemelde persoon achterhalen wie de melding heeft gedaan. Gevolg: represailles, intimidatie of escalatie van het conflict tussen buren, en op termijn meldingsbereidheid die afneemt. | gemiddeld | hoog | hoog |
| R3 Ongewenste of onopgemerkte wijziging van gegevens: doordat meldingen subjectieve waarnemingen van derden bevatten, vrije tekst niet wordt geverifieerd en meerdere partijen aanvullingen doen, kan een onjuist of eenzijdig beeld van de gemelde persoon in het dossier ontstaan of kunnen gegevens onbedoeld worden gewijzigd. Gevolg: de burgemeester of de verhuurder baseert maatregelen (gedragsaanwijzing, huurmaatregel) op onjuiste feiten, waardoor de gemelde persoon ten onrechte wordt aangepakt. | gemiddeld | hoog | hoog |
| R4 Verlies of ontijdige vernietiging van gegevens: door een storing, een fout bij de leverancier of een onjuist ingerichte vernietigingsprocedure gaan meldingsdossiers verloren of blijven zij juist langer dan 5 jaar na afsluiting bewaard (ook in back-ups). Gevolg: de gemelde persoon kan een maatregel niet meer betwisten omdat het dossier ontbreekt, of blijft jarenlang onnodig als overlastgever geregistreerd. | laag | gemiddeld | gemiddeld |
| R5 Stigmatisering van gemelde bewoners: doordat in het dossier verslaving, psychische problematiek en vermoedens van strafbare feiten worden vastgelegd en met wijkteam en verhuurder worden gedeeld, worden bewoners in meerdere organisaties als 'overlastgever' of 'zorgcasus' gelabeld, ook als de melding na triage ongegrond blijkt. Gevolg: negatieve bejegening bij latere contacten met gemeente, wijkteam en verhuurder, en een dossierbeeld dat de betrokkene niet kwijtraakt. | hoog | hoog | hoog |
| R6 Uitsluiting op de woningmarkt: doordat de woningcorporatie structureel per melding kan meekijken en zelfstandig maatregelen kan treffen op grond van de huurovereenkomst, kan een nog niet geverifieerde melding leiden tot waarschuwing, ontbindingsprocedure of afwijzing bij toewijzing van een andere woning. Gevolg: huisuitzetting of belemmerde toegang tot huisvesting voor een bewoner in een afhankelijke positie, met dakloosheid als uiterste gevolg. | gemiddeld | hoog | hoog |
| R7 Doelverschuiving (function creep): doordat het zaaksysteem gegevens over gedrag, gezondheid en strafrechtelijke vermoedens bijeenbrengt en meerdere partijen toegang hebben, kunnen de gegevens gaandeweg worden gebruikt voor andere doelen dan de aanpak van woonoverlast, bijvoorbeeld voor risicosignalering, bijstands- of fraudeonderzoek, wijkgerichte selectie of managementinformatie die tot straatniveau herleidbaar is. Gevolg: bewoners worden beoordeeld op basis van gegevens die zij voor een ander doel hebben verstrekt of die over hen zijn gemeld, zonder dat zij dat kunnen voorzien of daartegen kunnen opkomen. | gemiddeld | hoog | hoog |
| R8 Verwerking van niet-noodzakelijke bijzondere en strafrechtelijke gegevens: doordat melders vrije tekst invoeren die de gemeente niet vooraf kan sturen, ontvangt en bewaart de gemeente stelselmatig gezondheidsgegevens (verslaving, psychische problematiek) en vermoedens van strafbare feiten waarvoor de uitzonderingsgrond van art. 9 en 10 AVG niet in alle gevallen is onderbouwd. Gevolg: onrechtmatige verwerking van de meest gevoelige gegevens van kwetsbare betrokkenen, met een zwaardere inbreuk op hun persoonlijke levenssfeer dan voor de melding nodig is. | hoog | hoog | hoog |
| R9 Ongeautoriseerde inzage bij beheer en support: doordat Leverancier Fictief BV de applicatie beheert en Supportdesk Fictief GmbH tweedelijns support levert, kunnen beheerders bij incidentafhandeling productiegegevens zien of kunnen gegevens in supporttickets terechtkomen; bij escalatie of onderaanneming kan ondersteuning feitelijk vanuit buiten de EER plaatsvinden. Gevolg: kennisname van gevoelige gegevens door personen buiten de gemeente zonder dat betrokkenen dat kunnen weten of controleren. | gemiddeld | gemiddeld | gemiddeld |
| R10 Betrokkene kan zijn rechten niet effectief uitoefenen: doordat de gemelde persoon niet zelf de bron is en informatieverstrekking op grond van art. 41 UAVG kan worden uitgesteld ter bescherming van de melder, kan hij lange tijd niet weten dat er een dossier over hem bestaat en dat dit met wijkteam en verhuurder is gedeeld. Gevolg: geen mogelijkheid tot rectificatie, bezwaar of wissing voordat maatregelen worden getroffen. | gemiddeld | gemiddeld | gemiddeld |
17. Maatregelen
| Risico | Maatregelen | Restrisico | Beheerder |
|---|---|---|---|
| R1 Onrechtmatige toegang tot meldingsdossiers | Autorisaties inrichten op basis van rollen en het beginsel van minimale rechten: team Wonen alleen toegang tot meldingen in het eigen werkgebied, wijkteam en woningcorporatie inzage per melding en per gegevenscategorie (velden met gezondheids- en strafrechtelijke gegevens technisch afgeschermd voor de corporatie). Toegang met persoonsgebonden accounts en meervoudige authenticatie. Alle raadplegingen loggen en de logging maandelijks steekproefsgewijs controleren door de privacy officer, met terugkoppeling aan de leidinggevende. Halfjaarlijkse herbeoordeling van autorisaties door de autorisatiebeheerder; intrekken van inzage per melding zodra de betrokkenheid is beëindigd. Geheimhoudingsverklaring en verplichte instructie voor alle gebruikers voor ingebruikname op 1 mei 2026. | Laag tot gemiddeld: technische toegangsbeperking en logging verkleinen de kans aanzienlijk, maar bevoegde medewerkers kunnen binnen hun rol nog steeds meer lezen dan strikt nodig; misbruik is pas achteraf vast te stellen. | Autorisatiebeheerder zaaksysteem, in samenwerking met de privacy officer |
| R2 Bekend worden van de identiteit van de melder | In de app de mogelijkheid tot anoniem melden expliciet aanbieden en toelichten wat dat betekent voor de behandeling. Identificatiegegevens van de melder in een apart, afgeschermd veld opslaan dat niet zichtbaar is voor wijkteam en woningcorporatie. Werkinstructie voor team Wonen om herleidbare passages te verwijderen of te parafraseren voordat een melding wordt gedeeld. Bij inzageverzoeken van gemelde personen gegevens over de melder afschermen op grond van art. 15 lid 4 AVG en art. 41 lid 1 onder e UAVG, met motivering per geval. | Gemiddeld: bij een klein aantal omwonenden kan de gemelde persoon de melder ook zonder gegevens uit het dossier herleiden; dat kan de gemeente niet wegnemen. | Proceseigenaar team Wonen |
| R3 Ongewenste of onopgemerkte wijziging van gegevens; onjuist dossierbeeld | Meldingen vastleggen in gestructureerde velden (aard, tijdstip, locatie) met een beperkt en gewaarschuwd vrijetekstveld. Werkinstructie triage: vastleggen dat een melding een waarneming van een derde is en geen vaststaand feit, en de melding verifiëren voordat maatregelen worden voorbereid. Hoor en wederhoor toepassen (art. 4:8 Awb) voordat een gedragsaanwijzing wordt opgelegd. Wijzigingen in het dossier voorzien van versiehistorie met gebruiker en tijdstip; rectificatieverzoeken binnen een maand afhandelen en ontvangers informeren (art. 19 AVG); op verzoek een eigen verklaring van betrokkene aan het dossier toevoegen. | Gemiddeld: subjectieve meldingen blijven onderdeel van het dossier en een eenzijdig beeld is niet volledig uit te sluiten, ook al is het besluit zelf met hoor en wederhoor voorbereid. | Proceseigenaar team Wonen, met functioneel beheerder voor de inrichting |
| R4 Verlies of ontijdige vernietiging van gegevens | In de verwerkersovereenkomst VWO-2026-004 vastleggen: back-upfrequentie, hersteltijd, jaarlijkse hersteltest en retentie van back-ups, inclusief de doorwerking van verwijderverzoeken in back-ups. Uitwijk Zwolle jaarlijks testen. In het zaaksysteem een geautomatiseerde vernietigingsprocedure inrichten op 5 jaar na afsluiting conform de selectielijst gemeenten 2020, met jaarlijkse controle en een verklaring van vernietiging. Bij beëindiging van de dienst verwijdering door leverancier en sub-verwerker met schriftelijke bevestiging. | Laag: met geteste back-up, uitwijk en een gecontroleerde vernietigingsprocedure is de kans op onherstelbaar verlies of structurele overbewaring klein; incidentele afwijkingen blijven mogelijk. | Functioneel beheerder zaaksysteem, in samenwerking met de gemeentearchivaris |
| R5 Stigmatisering van gemelde bewoners | Meldingen die na triage kennelijk ongegrond zijn, binnen <termijn> afsluiten en de persoonsgegevens verwijderen in plaats van 5 jaar bewaren; deze meldingen niet delen met wijkteam of corporatie. Werkinstructie: feitelijk en neutraal formuleren, geen kwalificaties over de persoon, geen etikettering als 'overlastgever' of 'zorgcasus'. Bij delen met het wijkteam alleen de gegevens meegeven die voor de zorgvraag noodzakelijk zijn. Gemelde personen actief informeren (art. 14 AVG) met een standaardbrief waarin hun rechten staan. Jaarlijkse evaluatie van de aanpak met de huurdersorganisatie en de adviesraad sociaal domein. | Gemiddeld: registratie van een melding heeft naar haar aard een labelend effect zolang het dossier bestaat; dat is inherent aan de wettelijke taak en niet volledig weg te nemen. | Proceseigenaar team Wonen |
| R6 Uitsluiting op de woningmarkt door maatregelen van de verhuurder | Structureel meekijken per melding door de woningcorporatie vervangen door verstrekking per geval, na een schriftelijk vastgelegde noodzaakafweging door team Wonen. Een verstrekkingsovereenkomst of samenwerkingsprotocol met de corporatie sluiten waarin doel, categorieën gegevens (zonder gezondheids- en strafrechtelijke gegevens), bewaartermijn bij de corporatie, geheimhouding en het verbod op gebruik voor woningtoewijzing zijn vastgelegd (<kenmerk en datum>). De gemelde persoon informeren dat en waarom aan de verhuurder is verstrekt, tenzij uitstel op grond van art. 41 UAVG is gemotiveerd. Inzage intrekken zodra de behandeling is afgerond. | Gemiddeld: de corporatie is zelfstandig verwerkingsverantwoordelijke en beslist zelf over huurmaatregelen; de gemeente kan dat contractueel begrenzen maar niet uitsluiten. Zolang de verstrekkingsafspraak ontbreekt, is het restrisico hoog. | Proceseigenaar team Wonen, met de privacy officer voor de vastlegging |
| R7 Doelverschuiving (function creep) | De verwerking met een afgebakende doelomschrijving opnemen in het register van verwerkingsactiviteiten; koppeling van het zaaksysteem met andere gemeentelijke systemen (zoals werk en inkomen of handhaving) uitsluiten zonder voorafgaande toets door de privacy officer en de FG. Bij de leverancier schriftelijk vastleggen dat de applicatie geen automatische prioritering, scoring of risicosignalering toepast en dat wijzigingen in functionaliteit vooraf worden gemeld. Managementinformatie uitsluitend geaggregeerd, met een ondergrens per gebied of categorie om herleidbaarheid op straatniveau te voorkomen; anonimiseringsmethode vooraf laten toetsen. Jaarlijkse controle op doelbinding en een herziening van deze DPIA bij elke wijziging van het gebruik. | Gemiddeld: doelverschuiving ontstaat geleidelijk en door bestuurlijke of politieke wensen; procedurele waarborgen verkleinen de kans maar nemen die niet weg. | Privacy officer, met de FG als toezichthouder |
| R8 Verwerking van niet-noodzakelijke bijzondere en strafrechtelijke gegevens uit vrije tekst | De app inrichten met gestructureerde velden; het vrijetekstveld voorzien van een zichtbare waarschuwing ('beschrijf alleen wat u zelf hebt waargenomen; vermeld geen gegevens over gezondheid, verslaving of strafbare feiten') en een lengtebeperking. Werkinstructie triage: binnen <termijn, voorgesteld: 5 werkdagen> na registratie beoordelen of vermelde gezondheids- of strafrechtelijke gegevens noodzakelijk zijn voor de beoordeling en zo niet, deze verwijderen; de verwijdering vastleggen. Periodieke steekproef op de aanwezigheid van BSN en van niet-noodzakelijke bijzondere gegevens. De uitzonderingsgrond (art. 9 lid 2 onder g AVG jo. art. 23 UAVG en art. 10 AVG jo. art. 33 lid 2 onder a UAVG) voor ingebruikname laten beoordelen door de FG en betrekken bij de voorafgaande raadpleging van de AP. | Gemiddeld tot hoog: de gemeente kan niet voorkomen dat melders dergelijke gegevens invoeren, zodat er altijd een moment van ontvangst en opslag is; het restrisico blijft hoog zolang de uitzonderingsgrond niet is onderbouwd. | Proceseigenaar team Wonen, met de privacy officer en de FG |
| R9 Ongeautoriseerde inzage bij beheer en support | In de verwerkersovereenkomst en de sub-verwerkersovereenkomst vastleggen: toegang tot productiegegevens uitsluitend op verzoek van de gemeente, tijdelijk (just-in-time), gelogd en achteraf aan de gemeente te rapporteren; verbod om productiegegevens in supporttickets of testomgevingen op te nemen; geheimhouding en screening van beheerders; schriftelijke bevestiging dat geen toegang of ondersteuning vanuit buiten de EER plaatsvindt, ook niet bij escalatie of onderaanneming. Vaststellen of de sub-verwerkersovereenkomst met Supportdesk Fictief GmbH bestaat en met instemming van de gemeente tot stand is gekomen (<kenmerk en datum>). Jaarlijks de ISO/IEC 27001:2022-certificering en de bijbehorende verklaring van toepasselijkheid opvragen en beoordelen. | Laag tot gemiddeld: beheerders houden functioneel noodzakelijke toegangsmogelijkheden; contractuele en technische waarborgen en logging maken misbruik goed detecteerbaar. | Contractbeheerder van de gemeente, met de CISO |
| R10 Betrokkene kan zijn rechten niet effectief uitoefenen | Standaardbrief aan de gemelde persoon bij het eerste contact, uiterlijk binnen een maand na registratie, met doel, categorieën gegevens, ontvangers, bewaartermijn en rechten. Uitstel op grond van art. 41 UAVG alleen per geval, schriftelijk gemotiveerd, met een maximale termijn en periodieke herbeoordeling; structureel niet-informeren is niet toegestaan. Eén herkenbaar kanaal voor privacyverzoeken (digitaal formulier, post, balie), coördinatie door de privacy officer, afhandeling binnen een maand. Vaststellen of het zaaksysteem een beperkingsmarkering (art. 18 AVG) ondersteunt; zo niet, een handmatige procedure inrichten. | Laag tot gemiddeld: de procedures zijn ingericht, maar zolang informeren op goede gronden wordt uitgesteld, kan de betrokkene zijn rechten in die periode niet uitoefenen. | Privacy officer |
Na uitvoering van de maatregelen zijn de restrisico's R1, R2, R3, R4, R5, R7, R9 en R10 naar het oordeel van de opstel-agent laag tot gemiddeld en daarmee aanvaardbaar, gelet op het zwaarwegende belang van de aanpak van ernstige en herhaaldelijke woonoverlast (art. 151d Gemeentewet), het beperkte volume (circa 400 meldingen per jaar), opslag binnen Nederland, de afwezigheid van BSN, profilering en geautomatiseerde besluitvorming. Twee restrisico's blijven vooralsnog hoog: R8 (verwerking van gezondheids- en strafrechtelijke gegevens uit vrije tekst, waarvoor de uitzonderingsgrond van art. 9 lid 2 onder g AVG jo. art. 23 UAVG en art. 10 AVG jo. art. 33 lid 2 onder a UAVG nog niet is onderbouwd) en R6 (verstrekking aan de woningcorporatie zonder vastgelegde grondslag, noodzaakafweging en verstrekkingsafspraak, met woningverlies als mogelijk gevolg voor kwetsbare betrokkenen). De opstel-agent stelt daarom voor: (1) de ingebruikname op 1 mei 2026 alleen te laten doorgaan nadat de maatregelen bij R6 en R8 zijn gerealiseerd, en (2) op grond van art. 36 AVG voorafgaande raadpleging van de Autoriteit Persoonsgegevens te vragen, in lijn met de uitkomst van de wegwijzer (STUK-RAADPLEGING: nodig), waarbij in ieder geval de vrijetekstproblematiek, de uitzonderingsgronden voor bijzondere en strafrechtelijke gegevens en de verstrekking aan wijkteam en corporatie worden voorgelegd. De definitieve weging of sprake is van een hoog restrisico in de zin van art. 36 AVG is aan de FG en het college van burgemeester en wethouders als verwerkingsverantwoordelijke.