Toetsing DPIA

De DPIA benoemt waarom voor deze verwerking een DPIA is uitgevoerd: welke criteria of lijstcategorieën van toepassing zijn.

Bron: AVG art. 35 lid 1 en 3, AP DPIA-lijst 2019, WP248 p. 9-11: aanleiding en DPIA-plicht

Datavoogd signaleert dat de DPIA in de paragraaf 'Aanleiding en DPIA-plicht' twee categorieën van de AP-lijst met naam noemt en per categorie kort onderbouwt, en daarnaast vier WP248-criteria benoemt met een korte motivering per criterium. De verwijzing is naar de AP-lijst 2019 (Stcrt. 2019, 64418) en naar art. 35 lid 3 onder b AVG, dus naar het actuele kader. De grondslag voor de DPIA-plicht is daarmee herleidbaar vastgelegd.

“Een DPIA is verplicht omdat de verwerking valt onder de categorieën van de AP-lijst (Stcrt. 2019, 64418), in het bijzonder 'samenwerkingsverbanden' (gemeente, wijkteam en woningcorporatie kunnen per melding meekijken) en 'gezondheidsgegevens' (in meldingen komen verslavings- en psychische problematiek voor).”Inleiding · fragment F013

“Daarnaast zijn meerdere WP248-criteria van toepassing: verwerking van bijzondere persoonsgegevens en gegevens van zeer persoonlijke aard (gezondheid en mogelijk strafrechtelijke gegevens in meldingen), gegevens over kwetsbare betrokkenen (bewoners in afhankelijke positie ten opzichte van gemeente en verhuurder), evaluatie of scoretoekenning in de zin van beoordeling van overlastgevend gedrag, en het koppelen of samenvoegen van gegevens uit verschillende bronnen doordat meldingen met wijkteam en corporatie worden gedeeld.”Inleiding · fragment F013

De DPIA is uitgevoerd vóór de start van de verwerking, of benoemt dat en waarom de verwerking al loopt.

Bron: AVG art. 35 lid 1, WP248 p. 14: tijdstip van de beoordeling

Datavoogd signaleert dat zowel het moment van de DPIA (vaststelling 3 februari 2026) als het startmoment van de verwerking (geplande ingebruikname 1 mei 2026) expliciet zijn benoemd, waardoor zichtbaar is dat de beoordeling aan de verwerking voorafgaat. De DPIA is niet gedateerd na de ingebruikname; een toelichting op een reeds lopende verwerking is daarmee niet nodig. Het document koppelt het startmoment bovendien aan voorwaarden (realisatie maatregelen R6 en R8 vóór 1 mei 2026).

“Vastgesteld door: directeur Bedrijfsvoering, op 3 februari 2026. Versie: 1.0. Status: Definitief.”Vaststelling · fragment F006

“Start van de verwerking: 1 mei 2026 (geplande ingebruikname).”Vaststelling · fragment F009

“Datum van deze versie: 3 februari 2026.”Vaststelling · fragment F005

De DPIA bevat een systematische beschrijving van de beoogde verwerkingen en de doeleinden, met aard, omvang, context en doel, en in voorkomend geval de gerechtvaardigde belangen van de verantwoordelijke.

Bron: AVG art. 35 lid 7 onder a, WP248 p. 28: systematische beschrijving van de verwerking en de doeleinden

Datavoogd signaleert dat de DPIA de verwerking stapsgewijs beschrijft: par. 1 (voorstel), par. 3 (elf onderscheiden gegevensverwerkingen), par. 5 (per verwerking een specifiek doeleinde) en par. 6 (betrokken partijen en rollen). De context (wettelijke taak art. 151d Gemeentewet en de Verordening woonoverlast 2024) en de omvang (circa 400 meldingen per jaar, 12 + 8 medewerkers met toegang) zijn expliciet benoemd. De beschrijving sluit aan bij de voorgenomen inrichting per geplande ingebruikname op 1 mei 2026; van verouderde systemen of partijen is geen signaal.

“De gemeente wil een app inzetten waarmee inwoners van Voorbeeldstad meldingen van woonoverlast kunnen doen. De meldingen komen binnen in het zaaksysteem Voorbeeldzaak van Leverancier Fictief BV, dat door de leverancier wordt beheerd en in Nederland wordt gehost (Almere, uitwijk Zwolle). Twaalf medewerkers van team Wonen en acht medewerkers van het wijkteam hebben toegang; per melding kunnen het wijkteam en de woningcorporatie meekijken zodat overlastsituaties integraal kunnen worden aangepakt. Aanleiding is de wettelijke taak van de gemeente op grond van art. 151d Gemeentewet en de Verordening woonoverlast Voorbeeldstad 2024”1. Voorstel · fragment F018

“Beoordelen en triëren van de melding door team Wonen | Vaststellen of sprake is van woonoverlast, welke urgentie de melding heeft en welke aanpak passend is | Zelfde als verwerkingsdoeleinde”5. Verwerkingsdoeleinden · fragment F027

“Het volume is beperkt (circa 400 meldingen per jaar) en de toegang is beperkt tot 12 medewerkers van team Wonen en 8 medewerkers van het wijkteam, met per melding instelbare inzage en logging.”14. Noodzaak en evenredigheid · fragment F051

De DPIA registreert welke persoonsgegevens van welke betrokkenen worden verwerkt, wie de ontvangers zijn en hoe lang de gegevens worden bewaard.

Bron: WP248 bijlage 2 p. 28, AVG art. 30: persoonsgegevens, betrokkenen, ontvangers en bewaartermijnen

Datavoogd signaleert dat het document een uitgewerkt overzicht bevat van gegevenscategorieën per categorie betrokkenen (F020), van ontvangers met naam en functie (F029, inclusief leverancier, sub-verwerker, wijkteam en corporatie) en van bewaartermijnen per verwerking (F039), met 5 jaar na afsluiting conform de genoemde selectielijst gemeenten 2020. Bijzondere gegevens (gezondheid), strafrechtelijke gegevens en het uitsluiten van het BSN zijn expliciet behandeld (F020, F021, F046). Daarmee is het onderwerp op het niveau van velden en documentsoorten benoembaar. Enkele termijnen zijn nog als placeholder opgenomen, wat de FG kan meewegen.

“Melders (inwoners van Voorbeeldstad) | Identificatie- en contactgegevens | Naam, adres, woonplaats, telefoonnummer, e-mailadres | gewoon | Betrokkene zelf via de app”2. Persoonsgegevens · fragment F020

“Gemelde personen (bewoners over wie wordt gemeld) en overige huisgenoten | Gezondheidsgegevens | Vermeldingen over verslaving en psychische problematiek zoals opgenomen in meldingen en in de behandeling daarvan | bijzonder | Melder; wijkteam”2. Persoonsgegevens · fragment F020

“Het burgerservicenummer wordt niet verwerkt; de gemeente heeft expliciet vastgesteld dat geen BSN in de app of het zaaksysteem wordt vastgelegd.”2. Persoonsgegevens · fragment F021

“Wijkteam Voorbeeldstad | Ontvanger; voorgesteld: nader vast te stellen of het wijkteam organisatorisch onder de gemeente valt (dan gemeentelijke afdeling met toegang) of een zelfstandige verwerkingsverantwoordelijke is | 8 medewerkers met per melding instelbare inzage”6. Betrokken partijen · fragment F029

“5 jaar na afsluiting van de melding, daarna vernietiging | Selectielijst gemeenten en intergemeentelijke organen 2020 in samenhang met de Archiefwet 1995; door de gemeente vastgestelde termijn”10. Bewaartermijnen · fragment F039

De DPIA beschrijft functioneel hoe de verwerking technisch en organisatorisch is ingericht: systemen, koppelingen, opslaglocaties en betrokken leveranciers.

Bron: WP248 bijlage 2 p. 28: functionele beschrijving en activa (systemen, gegevensstromen, verwerkers)

Datavoogd signaleert dat de functionele inrichting concreet is beschreven: app gekoppeld aan zaaksysteem Voorbeeldzaak, hosting bij Leverancier Fictief BV in Nederland (Almere, uitwijk Zwolle), tweedelijns support door Supportdesk Fictief GmbH in Duitsland, rollen per partij (F029) en verwerkingslocaties per verwerking (F035), met verwerkersovereenkomst VWO-2026-004 met kenmerk en datum. Op het punt van actualiteit valt op dat de DPIA is vastgesteld op 3 februari 2026 terwijl de verwerkersovereenkomst met datum 1 maart 2026 als reeds gesloten wordt gepresenteerd; die datums sluiten niet op elkaar aan. Daarnaast is voor de sub-verwerker niet vastgesteld of een sub-verwerkersovereenkomst bestaat en met instemming van de gemeente tot stand is gekomen.

“De gemeente gebruikt een mobiele app voor inwoners die is gekoppeld aan het zaaksysteem Voorbeeldzaak van Leverancier Fictief BV. De leverancier beheert de applicatie en host de gegevens in Nederland (datacenter Almere, uitwijk Zwolle); er is een verwerkersovereenkomst VWO-2026-004 van 1 maart 2026.”4. Technieken en methoden van de gegevensverwerkingen · fragment F025

“Tweedelijns support wordt geleverd door Supportdesk Fictief GmbH in Duitsland (binnen de EER); doorgifte buiten de EER vindt niet plaats.”4. Technieken en methoden van de gegevensverwerkingen · fragment F025

“Met Leverancier Fictief BV is verwerkersovereenkomst VWO-2026-004 van 1 maart 2026 gesloten. Voor Supportdesk Fictief GmbH is een sub-verwerkersovereenkomst tussen de leverancier en de sub-verwerker vereist; voorgesteld: vaststellen of deze bestaat”6. Betrokken partijen · fragment F030

“Vastgesteld door: directeur Bedrijfsvoering, op 3 februari 2026. Versie: 1.0. Status: Definitief.”Vaststelling · fragment F006

De DPIA beoordeelt de noodzaak en de evenredigheid van de verwerking ten opzichte van de doeleinden, met de rechtsgrond en, bij bijzondere gegevens, de uitzondering van art. 9 of 10.

Bron: AVG art. 35 lid 7 onder b, art. 6 en 9, WP248 p. 28: noodzaak, rechtsgrond en evenredigheid

Datavoogd signaleert dat paragraaf 11 per gegevensverwerking een rechtsgrond met artikellid en wettelijke basis noemt (art. 6 lid 1 onder c en e AVG jo. art. 151d Gemeentewet, Verordening woonoverlast 2024, Archiefwet 1995), en dat paragraaf 12 voor gezondheids- en strafrechtelijke gegevens uitzonderingsgronden benoemt (art. 9 lid 2 onder g AVG jo. art. 23 UAVG, art. 10 AVG jo. art. 33 lid 2 onder a UAVG). Paragraaf 14 bevat een proportionaliteitsafweging en vier overwogen alternatieven met motivering waarom deze niet of juist wel volstaan. De genoemde regelgeving is geldend recht; verwijzingen naar ingetrokken kaders zoals de Wbp ontbreken. De tekst merkt zelf op dat de uitzonderingsgrond voor de vrije-tekstgegevens en de grondslag voor verstrekking aan de corporatie nog niet zijn onderbouwd.

“Voorgesteld: art. 6 lid 1 onder e AVG (noodzakelijk voor de vervulling van een taak van algemeen belang of een taak in het kader van de uitoefening van het openbaar gezag), met als wettelijke basis art. 151d Gemeentewet en de Verordening woonoverlast Voorbeeldstad 2024”11. Rechtsgrond · fragment F043

“Voorgesteld: art. 10 AVG in samenhang met art. 33 lid 2 onder a UAVG (verwerking door een overheidsorgaan ter uitvoering van zijn publieke taak, met passende waarborgen).”12. Bijzondere persoonsgegevens · fragment F045

“Overwogen alternatief 2: de bestaande kanalen (telefoon, e-mail, balie) handhaven in plaats van een app. Dit vermindert de hoeveelheid verwerkte gegevens niet wezenlijk, want dezelfde gegevens worden dan in het zaaksysteem vastgelegd, terwijl de drempel voor melders hoger is en de vastlegging minder gestructureerd en daardoor minder controleerbaar verloopt.”14. Noodzaak en evenredigheid · fragment F052

“De omvang en aard van de gegevens gaan op twee punten verder dan noodzakelijk.”14. Noodzaak en evenredigheid · fragment F051

De DPIA beoordeelt of niet meer gegevens worden verwerkt dan nodig en of de bewaartermijnen beperkt zijn.

Bron: AVG art. 5 lid 1 onder c en e, WP248 bijlage 2 p. 28: dataminimalisatie en opslagbeperking

Datavoogd signaleert dat de DPIA de dataminimalisatie expliciet afweegt: het BSN wordt bewust niet vastgelegd, het vrijetekstveld wordt beperkt en van een waarschuwing voorzien, en niet-noodzakelijke bijzondere gegevens worden bij triage verwijderd. Ook wordt benoemd dat inzage per melding voor wijkteam en corporatie ruimer is dan nodig, met een voorstel tot beperking per gegevenscategorie. De hoofdbewaartermijn is een periode met startmoment en grondslag (5 jaar na afsluiting, selectielijst gemeenten 2020) en met vernietiging na afloop; managementinformatie wordt geanonimiseerd. Daarmee is aan de gestelde concreetheidseis voldaan.

“Het burgerservicenummer wordt niet verwerkt; de gemeente heeft expliciet vastgesteld dat geen BSN in de app of het zaaksysteem wordt vastgelegd.”2. Persoonsgegevens · fragment F021

“5 jaar na afsluiting van de melding, daarna vernietiging | Selectielijst gemeenten en intergemeentelijke organen 2020 in samenhang met de Archiefwet 1995; door de gemeente vastgestelde termijn”10. Bewaartermijnen · fragment F039

“De omvang en aard van de gegevens gaan op twee punten verder dan noodzakelijk. Ten eerste maakt het vrije tekstveld dat de gemeente stelselmatig bijzondere en strafrechtelijke gegevens ontvangt die voor de beoordeling van veel meldingen niet nodig zijn.”14. Noodzaak en evenredigheid · fragment F051

“het vrijetekstveld voorzien van een zichtbare waarschuwing ('beschrijf alleen wat u zelf hebt waargenomen; vermeld geen gegevens over gezondheid, verslaving of strafbare feiten') en een lengtebeperking”17. Maatregelen · fragment F061

De DPIA beschrijft hoe betrokkenen worden geïnformeerd en hoe zij hun rechten (inzage, rectificatie, wissing, bezwaar, beperking) kunnen uitoefenen.

Bron: AVG art. 12 t/m 22, WP248 bijlage 2 p. 28-29: informatie aan betrokkenen en uitoefening van rechten

Datavoogd signaleert dat paragraaf 15 alle rechten van art. 12 t/m 22 AVG afzonderlijk uitwerkt met kanaal (digitaal formulier, post, balie), termijn (één maand, met verlenging) en verantwoordelijke (privacy officer, team Wonen, functioneel beheerder). De positie van derden die niet zelf melden is expliciet benoemd: gemelde personen worden op grond van art. 14 AVG geïnformeerd bij het eerste contact, uiterlijk binnen een maand, met een uitstelmogelijkheid op grond van art. 41 UAVG die per geval moet worden gemotiveerd. Ook de beperkingen per recht (art. 15 lid 4 AVG, Archiefwet, art. 18 lid 2 AVG) zijn uitgewerkt, en R10 koppelt hieraan maatregelen met een beheerder.

“Melders worden voorafgaand aan het indienen van een melding in de app geïnformeerd via een laagdrempelige privacyverklaring (gelaagd: korte tekst in het meldscherm met doorklik naar de volledige verklaring op de website van de gemeente). Gemelde personen zijn niet zelf de bron en worden op grond van art. 14 AVG geïnformeerd door team Wonen bij het eerste contact over de melding, en uiterlijk binnen een maand na registratie.”15. Rechten van betrokkenen · fragment F054

“Verzoeken worden ingediend via het digitale formulier voor privacyverzoeken op de website van de gemeente, per post of mondeling aan de balie; de privacy officer coördineert, team Wonen levert het dossier aan. Afhandeling binnen een maand, met verlenging van maximaal twee maanden bij complexiteit (art. 12 lid 3 AVG).”15. Rechten van betrokkenen · fragment F054

“Informatieverstrekking aan de gemelde persoon kan tijdelijk worden uitgesteld op grond van art. 41 UAVG, onder meer ter bescherming van de rechten en vrijheden van anderen (de veiligheid van de melder) of ter voorkoming van belemmering van onderzoek. Voorgesteld: uitstel per geval schriftelijk motiveren, van een maximale termijn voorzien en periodiek herbeoordelen; structureel niet-informeren is niet toegestaan.”15. Rechten van betrokkenen · fragment F054

“Standaardbrief aan de gemelde persoon bij het eerste contact, uiterlijk binnen een maand na registratie, met doel, categorieën gegevens, ontvangers, bewaartermijn en rechten.”17. Maatregelen · fragment F061

De DPIA beoordeelt of persoonsgegevens buiten de EER worden verwerkt of toegankelijk zijn, en zo ja op welk instrument dat steunt.

Bron: AVG hoofdstuk V, WP248 bijlage 2 p. 29: doorgifte buiten de EER

Datavoogd signaleert dat de DPIA per verwerking de locatie benoemt (Nederland: Almere met uitwijk Zwolle; tweedelijns support in Duitsland) en doorgifte buiten de EER expliciet uitsluit, zodat geen doorgifte-instrument nodig is. Het restrisico van feitelijke toegang van buiten de EER bij escalatie of onderaanneming is als R9 onderkend en met contractuele en technische waarborgen belegd. Er wordt nergens verwezen naar Privacy Shield of verouderde standaardcontractbepalingen.

“Tweedelijns support door Supportdesk Fictief GmbH | Duitsland (EER) | Niet van toepassing; verwerking blijft binnen de EER | Toegang uitsluitend op verzoek en tijdelijk, vastlegging in de sub-verwerkersovereenkomst, logging van toegang door support; voorgesteld: schriftelijk vastleggen dat geen toegang of ondersteuning vanuit landen buiten de EER plaatsvindt, ook niet bij escalatie of onderaanneming”8. Verwerkingslocaties · fragment F035

“De leverancier beheert de applicatie en host de gegevens in Nederland (datacenter Almere, uitwijk Zwolle); er is een verwerkersovereenkomst VWO-2026-004 van 1 maart 2026.”4. Technieken en methoden van de gegevensverwerkingen · fragment F025

“bij escalatie of onderaanneming kan ondersteuning feitelijk vanuit buiten de EER plaatsvinden”16. Risico's voor betrokkenen · fragment F057

De DPIA identificeert de risico's voor betrokkenen, vanuit hun perspectief, met bron van het risico en mogelijke gevolgen.

Bron: AVG art. 35 lid 7 onder c, overweging 84 en 90, WP248 bijlage 2 p. 29: risico's voor de rechten en vrijheden van betrokkenen

Datavoogd signaleert dat de DPIA tien risico's benoemt die telkens zijn geformuleerd als concrete gebeurtenis, met oorzaak of bron en met het gevolg voor een benoemde groep betrokkenen (gemelde personen en huisgenoten, melders, medewerkers). De drie basisgebeurtenissen zijn herkenbaar overwogen: onrechtmatige toegang (R1, R9), ongewenste of onopgemerkte wijziging (R3) en verlies of ontijdige vernietiging (R4). Daarnaast zijn verwerkingsspecifieke risico's uitgewerkt, zoals bekend worden van de melder (R2), stigmatisering (R5), uitsluiting op de woningmarkt (R6), doelverschuiving (R7), vrije tekst met bijzondere en strafrechtelijke gegevens (R8) en belemmerde rechtsuitoefening (R10). De risico's sluiten aan bij de beschreven inrichting (inzage per melding voor wijkteam en corporatie, vrije tekst, hosting in Nederland, geen BSN of profilering).

“R1 Onrechtmatige toegang tot meldingsdossiers: doordat 12 medewerkers van team Wonen, 8 medewerkers van het wijkteam en medewerkers van de woningcorporatie per melding inzage hebben en de inzage niet per gegevenscategorie is beperkt, kunnen medewerkers zonder behandelnoodzaak kennisnemen van gedrags-, gezondheids- en strafrechtelijke gegevens van gemelde bewoners en hun huisgenoten. Gevolg: verlies van vertrouwelijkheid in de directe woon- en werkomgeving, roddel in de wijk en aantasting van de persoonlijke levenssfeer van kwetsbare betrokkenen.”16. Risico's voor betrokkenen · fragment F057

“R3 Ongewenste of onopgemerkte wijziging van gegevens: doordat meldingen subjectieve waarnemingen van derden bevatten, vrije tekst niet wordt geverifieerd en meerdere partijen aanvullingen doen, kan een onjuist of eenzijdig beeld van de gemelde persoon in het dossier ontstaan”16. Risico's voor betrokkenen · fragment F057

“R4 Verlies of ontijdige vernietiging van gegevens: door een storing, een fout bij de leverancier of een onjuist ingerichte vernietigingsprocedure gaan meldingsdossiers verloren of blijven zij juist langer dan 5 jaar na afsluiting bewaard (ook in back-ups).”16. Risico's voor betrokkenen · fragment F057

“R6 Uitsluiting op de woningmarkt: doordat de woningcorporatie structureel per melding kan meekijken en zelfstandig maatregelen kan treffen op grond van de huurovereenkomst, kan een nog niet geverifieerde melding leiden tot waarschuwing, ontbindingsprocedure of afwijzing bij toewijzing van een andere woning.”16. Risico's voor betrokkenen · fragment F057

“De risico's zijn beschreven vanuit de betrokkenen: in de eerste plaats de gemelde personen en hun huisgenoten (kwetsbare betrokkenen in een afhankelijke positie ten opzichte van gemeente en verhuurder), daarnaast de melders en de medewerkers met toegang.”16. Risico's voor betrokkenen · fragment F058

“R8 Verwerking van niet-noodzakelijke bijzondere en strafrechtelijke gegevens: doordat melders vrije tekst invoeren die de gemeente niet vooraf kan sturen, ontvangt en bewaart de gemeente stelselmatig gezondheidsgegevens (verslaving, psychische problematiek) en vermoedens van strafbare feiten”16. Risico's voor betrokkenen · fragment F057

De DPIA schat per risico de waarschijnlijkheid en de ernst in, met een herkenbare methode.

Bron: AVG overweging 90, WP248 bijlage 2 p. 29: inschatting van waarschijnlijkheid en ernst

Datavoogd signaleert dat de DPIA voor alle tien risico's afzonderlijk een kans- en impactscore op een driepuntsschaal geeft, met per risico een oorzaak-gevolgbeschrijving die de score onderbouwt (F057). De methode is expliciet benoemd (laag/gemiddeld/hoog, kans x impact, risicomatrix Rijksmodel DPIA) en uit de scores volgt welke risico's als hoog gelden (F058, F015). De regel over waarschijnlijkheid en ernst lijkt daarmee ingevuld.

“R1 Onrechtmatige toegang tot meldingsdossiers: doordat 12 medewerkers van team Wonen, 8 medewerkers van het wijkteam en medewerkers van de woningcorporatie per melding inzage hebben en de inzage niet per gegevenscategorie is beperkt, kunnen medewerkers zonder behandelnoodzaak kennisnemen van gedrags-, gezondheids- en strafrechtelijke gegevens van gemelde bewoners en hun huisgenoten. Gevolg: verlies van vertrouwelijkheid in de directe woon- en werkomgeving, roddel in de wijk en aantasting van de persoonlijke levenssfeer van kwetsbare betrokkenen. | gemiddeld | hoog | hoog”16. Risico's voor betrokkenen · fragment F057

“Kans, impact en risico zijn ingeschat op de niveaus laag, gemiddeld en hoog; het risico volgt uit kans x impact (risicomatrix Rijksmodel DPIA). Een risico met lage kans of lage impact geldt als laag als het niet verder kan worden gemitigeerd.”16. Risico's voor betrokkenen · fragment F058

“Er zijn 10 risico's voor betrokkenen beoordeeld, waarvan 7 hoog vóór maatregelen (R1, R2, R3, R5, R6, R7, R8).”Managementsamenvatting · fragment F015

De DPIA bepaalt per risico de beoogde maatregelen en het risico dat na de maatregelen overblijft.

Bron: AVG art. 35 lid 7 onder d, WP248 bijlage 2 p. 29: maatregelen per risico en restrisico

Datavoogd signaleert dat paragraaf 17 per risico (R1 t/m R10) concrete, uitvoerbare maatregelen koppelt, met per rij een benoemde beheerder (functie) en een restrisico-inschatting met motivering. Termijnen en frequenties zijn grotendeels vastgelegd (voor ingebruikname 1 mei 2026, maandelijkse logcontrole, halfjaarlijkse autorisatieherbeoordeling, jaarlijkse hersteltest); geen van die termijnen is op de documentdatum 3 februari 2026 verstreken. Op enkele plaatsen is de termijn nog open gelaten (R5: '<termijn>'; R8: '<termijn, voorgesteld: 5 werkdagen>'). Bij R6 en R8 is het restrisico voorwaardelijk geformuleerd ('gemiddeld ... zolang de verstrekkingsafspraak ontbreekt hoog', respectievelijk 'Gemiddeld tot hoog'), wat de eenduidigheid van de restrisicoweging voor de FG raakt.

“Halfjaarlijkse herbeoordeling van autorisaties door de autorisatiebeheerder; intrekken van inzage per melding zodra de betrokkenheid is beëindigd. Geheimhoudingsverklaring en verplichte instructie voor alle gebruikers voor ingebruikname op 1 mei 2026.”17. Maatregelen · fragment F061

“Laag tot gemiddeld: technische toegangsbeperking en logging verkleinen de kans aanzienlijk, maar bevoegde medewerkers kunnen binnen hun rol nog steeds meer lezen dan strikt nodig; misbruik is pas achteraf vast te stellen. | Autorisatiebeheerder zaaksysteem, in samenwerking met de privacy officer”17. Maatregelen · fragment F061

“Meldingen die na triage kennelijk ongegrond zijn, binnen <termijn> afsluiten en de persoonsgegevens verwijderen in plaats van 5 jaar bewaren”17. Maatregelen · fragment F061

“Gemiddeld: de corporatie is zelfstandig verwerkingsverantwoordelijke en beslist zelf over huurmaatregelen; de gemeente kan dat contractueel begrenzen maar niet uitsluiten. Zolang de verstrekkingsafspraak ontbreekt, is het restrisico hoog.”17. Maatregelen · fragment F061

De DPIA benoemt de technische en organisatorische beveiligingsmaatregelen voor deze verwerking.

Bron: AVG art. 32, WP248 bijlage 2 p. 29: beveiligingsmaatregelen

Datavoogd signaleert dat de DPIA de beveiligingsmaatregelen per soort benoemt voor dit systeem (MFA, rolgebaseerde autorisaties met veldafscherming, versleuteling in transport en rust, logging, back-up met uitwijk en jaarlijkse hersteltest, scheiding productie/test, patchbeheer, geheimhouding en instructie). Beheer en controle zijn belegd: autorisatiebeheerder en privacy officer (maandelijkse logcontrole, halfjaarlijkse autorisatieherbeoordeling), contractbeheerder met de CISO voor de leveranciersafspraken (F061, R9). Het normenkader is naar de huidige versies verwezen (BIO2 en ISO/IEC 27001:2022). Enkele elementen staan nog als voorstel of open veld, zoals de logbewaartermijn en de penetratietest.

“Technische maatregelen: persoonsgebonden accounts met meervoudige authenticatie voor alle gebruikers; autorisaties per rol en per melding, met afscherming van velden met gezondheids- en strafrechtelijke gegevens voor de woningcorporatie; versleuteling van gegevens in transport (TLS) en in rust; logging van raadplegingen, wijzigingen en beheerhandelingen met een vastgestelde bewaartermijn”17. Maatregelen · fragment F062

“Normenkader: de gemeente werkt volgens de Baseline Informatiebeveiliging Overheid (BIO2); Leverancier Fictief BV is gecertificeerd voor ISO/IEC 27001:2022.”17. Maatregelen · fragment F062

“Organisatorische maatregelen: geheimhoudingsverklaring en verplichte privacy- en beveiligingsinstructie voor de 12 medewerkers van team Wonen, de 8 medewerkers van het wijkteam en de medewerkers van de corporatie met inzage; halfjaarlijkse herbeoordeling van autorisaties; maandelijkse steekproefsgewijze logcontrole door de privacy officer”17. Maatregelen · fragment F062

“Halfjaarlijkse herbeoordeling van autorisaties door de autorisatiebeheerder; intrekken van inzage per melding zodra de betrokkenheid is beëindigd.”17. Maatregelen · fragment F061

De DPIA concludeert of er na de maatregelen een hoog restrisico overblijft en, zo ja, dat de AP vooraf wordt geraadpleegd.

Bron: AVG art. 36 lid 1, WP248 p. 20-21: voorafgaande raadpleging bij een hoog restrisico

Datavoogd signaleert dat de DPIA een expliciete conclusie over het restrisico bevat: R6 en R8 worden met naam als hoog restrisico benoemd en er wordt voorafgaande raadpleging van de AP op grond van art. 36 AVG voorgesteld, gekoppeld aan uitstel van ingebruikname tot de maatregelen zijn gerealiseerd (F063). Datavoogd signaleert wel een tegenspraak binnen de managementsamenvatting: daar staat eerst dat 'na de maatregelen resteert geen hoog risico' en direct daarna dat twee restrisico's hoog blijven (F015), wat de conclusie voor een lezer verwarrend maakt. Ook is de raadpleging geformuleerd als voorstel ('stelt daarom voor', 'de definitieve weging ... is aan de FG en het college'), zonder datum of kenmerk van een daadwerkelijk verzoek aan de AP.

“Twee restrisico's blijven vooralsnog hoog: R8 (verwerking van gezondheids- en strafrechtelijke gegevens uit vrije tekst, waarvoor de uitzonderingsgrond van art. 9 lid 2 onder g AVG jo. art. 23 UAVG en art. 10 AVG jo. art. 33 lid 2 onder a UAVG nog niet is onderbouwd) en R6 (verstrekking aan de woningcorporatie zonder vastgelegde grondslag, noodzaakafweging en verstrekkingsafspraak, met woningverlies als mogelijk gevolg voor kwetsbare betrokkenen).”17. Maatregelen · fragment F063

“(1) de ingebruikname op 1 mei 2026 alleen te laten doorgaan nadat de maatregelen bij R6 en R8 zijn gerealiseerd, en (2) op grond van art. 36 AVG voorafgaande raadpleging van de Autoriteit Persoonsgegevens te vragen, in lijn met de uitkomst van de wegwijzer (STUK-RAADPLEGING: nodig)”17. Maatregelen · fragment F063

“Er zijn 10 maatregel(groep)en beschreven; na de maatregelen resteert geen hoog risico.”Managementsamenvatting · fragment F015

Het advies van de FG is ingewonnen en vastgelegd, met wat de organisatie met dat advies heeft gedaan.

Bron: AVG art. 35 lid 2 en art. 39 lid 1 onder c, WP248 p. 15 en bijlage 2 p. 29: advies van de functionaris voor gegevensbescherming

Datavoogd signaleert dat het FG-advies is vastgelegd met datum (20 januari 2026) en vier inhoudelijk benoemde adviespunten, waarbij per punt staat of het is overgenomen, met motivering en compenserende maatregel bij het niet overgenomen punt. Het advies dateert van kort vóór de vaststelling van versie 1.0 op 3 februari 2026 en sluit daarmee aan op deze versie. De weergave gaat verder dan een enkele vermelding van betrokkenheid.

“Advies functionaris voor gegevensbescherming (20 januari 2026): (1) Beperk de vrije tekst en waarschuw voor medische informatie: overgenomen (maatregel bij R5 en R8). (2) Leg het BSN niet vast: overgenomen. (3) Beperk de toegang van het wijkteam tot de eigen wijk: niet overgenomen omdat de wijkteams stadsbreed werken; gecompenseerd door logging en halfjaarlijkse autorisatiecontrole (R1). (4) Leg de rol en grondslag van de woningcorporatie vast in het convenant woonoverlast: overgenomen, convenant ondertekend 15 januari 2026 (R6). De FG heeft op 30 januari 2026 ingestemd met deze verwerking.”Vaststelling · fragment F007

“Vastgesteld door: directeur Bedrijfsvoering, op 3 februari 2026. Versie: 1.0. Status: Definitief.”Vaststelling · fragment F006

De betrokkenen of hun vertegenwoordigers zijn naar hun mening gevraagd, of er is gemotiveerd waarom dat niet is gebeurd.

Bron: AVG art. 35 lid 9, WP248 p. 15 en bijlage 2 p. 29: mening van betrokkenen of hun vertegenwoordigers

Datavoogd signaleert dat het document een raadpleging van vertegenwoordigers van betrokkenen bevat met naam, datum (12 december 2025), de inhoud van de reacties en de verwerking daarvan (privacytekst respectievelijk maatregelen bij R6). De hoofdtekst (F033) en de beschrijving van het voorstel (F018) spreken elkaar niet tegen. Daarmee is de bepaling naar het beeld van de tekst zowel aanwezig als uitgewerkt tot herleidbare uitkomsten; ook is een jaarlijkse evaluatie met dezelfde gremia voorzien.

“Mening van betrokkenen of hun vertegenwoordigers (art. 35 lid 9 AVG): De huurdersorganisatie Voorbeeldstad en de adviesraad sociaal domein zijn op 12 december 2025 geraadpleegd. De huurdersorganisatie vroeg om duidelijke uitleg in de app over wat met een melding gebeurt en wie die te zien krijgt; dat is overgenomen in de privacytekst. De adviesraad vroeg om terughoudendheid bij het delen met de corporatie; dat is verwerkt in de maatregelen bij R6.”7. Belangen bij de gegevensverwerkingen · fragment F033

“De huurdersorganisatie Voorbeeldstad en de adviesraad sociaal domein zijn op 12 december 2025 geraadpleegd.”1. Voorstel · fragment F018

“Jaarlijkse evaluatie van de aanpak met de huurdersorganisatie en de adviesraad sociaal domein.”17. Maatregelen · fragment F061

De DPIA regelt wanneer zij wordt herzien: bij welke veranderingen en met welke regelmaat.

Bron: AVG art. 35 lid 11, WP248 p. 14 en 22: herziening van de DPIA

Datavoogd signaleert dat het document een herzieningsbepaling bevat met concrete triggers (wijziging gegevensset, nieuwe koppeling, verwerker of verwerkingslocatie, inbreuk, wijziging convenant), een vaste termijn (elke drie jaar), een eigenaar (privacy officer) en een concreet eerstvolgend moment (februari 2029). De maatregel bij R7 voegt daar een herziening bij elke wijziging van het gebruik aan toe, wat consistent is met F008. De DPIA is versie 1.0 van 3 februari 2026 en de verwerking start pas op 1 mei 2026, zodat de eigen herzieningstermijn nog niet is verstreken.

“Revisie: Deze DPIA wordt herzien bij elke wijziging van de gegevensset, bij een nieuwe koppeling, verwerker of verwerkingslocatie, na een inbreuk in verband met persoonsgegevens, bij wijziging van het convenant woonoverlast en in ieder geval elke drie jaar. Eigenaar: privacy officer. Eerstvolgende herziening: februari 2029.”Vaststelling · fragment F008

“Jaarlijkse controle op doelbinding en een herziening van deze DPIA bij elke wijziging van het gebruik.”17. Maatregelen · fragment F061

“Vastgesteld door: directeur Bedrijfsvoering, op 3 februari 2026. Versie: 1.0. Status: Definitief.”Vaststelling · fragment F006

De DPIA is herleidbaar vastgesteld: door welk orgaan of welke functionaris, op welke datum, in welke versie, voor welke verwerkingsverantwoordelijke.

Bron: AVG art. 5 lid 2 en art. 24 lid 1, WP248 p. 4 en 22: vaststelling, versie en verantwoordelijke

Datavoogd signaleert dat de vaststelling herleidbaar is vastgelegd: verwerkingsverantwoordelijke (college van B&W), opsteller(s) naar functie, vaststeller (directeur Bedrijfsvoering), datum (3 februari 2026) en versienummer (1.0, Definitief) staan alle vier in het document, en versie 1.0 is ook de meest recente die wordt genoemd. Een versiehistorie die laat zien wat ten opzichte van eerdere versies is gewijzigd ontbreekt echter; op dat punt blijft de bepaling onvolledig ten opzichte van de toetsregel. Datavoogd signaleert daarnaast een spanning met de statusvermelding: de tekst spreekt over 'Dit concept' en over een voorstel dat nog door verantwoordelijke en FG wordt beoordeeld, terwijl de status 'Definitief' is.

“Verwerkingsverantwoordelijke: het college van burgemeester en wethouders van Gemeente Voorbeeldstad.”Vaststelling · fragment F004

“Opgesteld door: privacy officer en informatiemanager team Wonen, met de CISO. Datum van deze versie: 3 februari 2026.”Vaststelling · fragment F005

“Vastgesteld door: directeur Bedrijfsvoering, op 3 februari 2026. Versie: 1.0. Status: Definitief.”Vaststelling · fragment F006

“Dit concept volgt de indeling van het Rapportagemodel DPIA Rijksdienst, versie 3.0 (2023)”Vaststelling · fragment F010