Privacygevoelige informatie

Toon pagina in menu

Bij een aanbesteding willen gemeenten gelijke kansen, en dus informatie, bieden aan ondernemers die belangstelling hebben om een opdracht uit te voeren. Aan de andere kant zijn gemeenten verplicht zorgvuldig om te gaan met privacygevoelige gegevens. Uit de praktijk blijkt dat dit nog niet altijd gebeurt. Tijd om in te zoomen op hoe een gemeente het beste kan omgaan met privacygevoelige informatie in aanbestedingsdocumenten.

Van Aalburg tot Zederik: Gemeenten door het hele land bleken in aanbestedingsdocumenten van leerlingenvervoer privacygevoelige informatie van de betrokken kinderen te hebben verstrekt. De kwestie zorgde in het hele land voor ophef toen RTL Nieuws eind vorig jaar onthulde dat 56 gemeenten namen, huisadressen, geboortedata, medische gegevens, telefoonnummers en schooladressen van kwetsbare kinderen hadden gepubliceerd op TenderNed.nl. Gemeenten en andere aanbestedende diensten zijn verplicht hun openbare aanbestedingen hierop te publiceren.

Autoriteit Persoonsgegevens

De toezichthouder Autoriteit Persoonsgegevens (AP) stuurde hierop een brief naar VNG en de gemeenten met het verzoek om erop te letten geen privacygevoelige informatie te delen in aanbestedingsdocumenten. De toezichthouder benadrukte daarin dat het verwerken, en dus ook het publiceren, van persoonsgegevens noodzakelijk moet zijn voor het doel waarvoor ze worden gebruikt. Ook de informatiebeveiligingsdienst voor gemeenten (IBD) kwam direct met een advies. Daarin benadrukte de dienst dat het verwerken - dus ook het publiceren - van persoonsgegevens altijd noodzakelijk moet zijn voor het doel en dat gemeenten zich dus altijd af moeten vragen of het doel te bereiken is met minder gegevens óf door te kijken of het mogelijk is de gegevens op een andere manier te verstrekken aan de mogelijke aanbieders.

Dat lijkt een duidelijke zaak, maar het ligt toch iets genuanceerder. Het bewijs daarvan is dat soortgelijke gevallen zich nog steeds voordoen, zoals vorige maand nog, toen opnieuw een gemeente privacygevoelige informatie openbaar maakte in een bijlage van een aanbesteding.

Gelijke behandeling

Laten we even bij het aanbesteden van Wmo-vervoer blijven. Het contracteren van dit vervoer is een gemeentelijke taak en gemeenten zijn verplicht deze contracten periodiek opnieuw openbaar aan te besteden. Daarbij is een van de beginselen van aanbesteden, gelijke behandeling: iedereen moet objectief en op dezelfde wijze behandeld worden en iedereen moet dezelfde informatie krijgen. Het is dan ook logisch dat deze bedrijven informatie krijgen over zaken als de aantallen te vervoeren personen, de woonbuurt van de kinderen en de afstand tot hun scholen. Daarbij is het dus niet toegestaan om alle persoonlijke gegevens van de leerlingen te delen. Hier kan wrijving ontstaan omdat de zittende partij alle informatie heeft, ook de informatie die privacygevoelig is. De andere partijen kunnen zich benadeeld voelen als zij deze informatie niet tot hun beschikking hebben en deze gegevens dus niet kunnen gebruiken om een aanbod op te stellen.

Vertalen naar objectieve eisen

Toch is het mogelijk om aan te besteden zonder privacygevoelige informatie prijs te geven. Dat bewijzen gemeenten als Zaanstad, Amsterdam en Zwolle, die zonder de persoonsgegevens in hun uitvraag te publiceren toch goede offertes kregen voor het leerlingenvervoer. Deze gemeenten maakten gebruik van alternatieve methodes.

"Om het voor geïnteresseerde bedrijven mogelijk te maken hun prijs te berekenen en een goede inschrijving te kunnen doen, hebben zij uiteraard voldoende informatie nodig", erkent Rob Dulk, die bij de gemeente Zaanstad verantwoordelijk was voor de inkoop van aanvullend vervoer. De gemeente Zaanstad koos ervoor de gegevens te vertalen naar objectieve eisen. Zo stond er in de uitvraag dat de voertuigen ruimte moesten bieden voor een X-aantal rolstoelen, het aantal af te leggen kilometers en de hoeveelheid leerlingen. De gegevens van de leerlingen werden geanonimiseerd naar getallen. "De meest persoonlijke informatie die in de uitvraag terecht kwam, waren de postcodecijfers van de woningen van de leerlingen en hun scholen."

Amsterdam anonimiseert ook

Ook Amsterdam anonimiseerde de gegevens. Annemarij Meijerman begeleidde de inkoop van het AOV en het leerlingenvervoer voor de gemeente Amsterdam en vertelt dat ze in overleg met privacy-juristen de persoonlijke gegevens van betrokken leerlingen combineerde tot informatie die niet tot personen te herleiden was. "We hebben relevante informatie voor aanbieders over mate van ondersteuningsbehoefte, type hulpmiddel en andere relevante bijzonderheden gedeeld, zonder deze te koppelen aan een specifiek woonadres of andere specifieke informatie."

In eerste instantie viel de aanpak niet bij alle vervoerders meteen in goede aarde, vertelt ze: "In het voortraject dreigden meerdere partijen dat zij bezwaar zouden maken en naar de rechter zouden stappen als ze de informatie niet kregen." Een eventuele bezwaarprocedure kost uiteraard extra tijd, waardoor het aanbestedingstraject vertraging op zou lopen. Toch nam Amsterdam dat risico: "In dit geval vinden wij het belang van privacy van de betrokken gebruikers van het vervoer gewoon zwaarder wegen dan dat van de potentiële vervoerder. Uiteindelijk maakte gelukkig geen enkele partij bezwaar, en kregen we heel goede aanbiedingen."

Alternatieve methoden

Alternatieve methoden zijn de marktconsultatie en de mededingingsprocedure met onderhandeling.

Marktconsultatie

Een ander voorbeeld van een alternatieve methode is een marktconsultatie. De aanbestedende dienst kan de marktconsultatie organiseren om de opdracht te specificeren en deze op de meest passende wijze in de markt te zetten. Daarvoor nodigt de gemeente de geïnteresseerde bedrijven uit om de structuur van de markt te verkennen en de ideeën die er in de markt zijn te onderzoeken. De informatie-uitwisseling met belanghebbende partijen kan zicht geven op mogelijke oplossingen voor een probleem, de specificatie van de opdracht en de meest passende aanbestedingsprocedure. De gekregen adviezen worden gebruikt bij het opstellen van de opdrachtspecificatie (beschrijvend document of bestek), de aanbestedingsstrategie en de keus voor de te volgen aanbestedingsprocedure. De uitkomsten van de marktconsultatie worden openbaar gemaakt.

Tijdens het doorlopen van het aanbestedingsproces heeft een aanbestedende dienst ook nog mogelijkheden om de markt te betrekken bij het specificeren van de opdracht. Zo kan een aanbestedende dienst in specifieke gevallen en onder bepaalde voorwaarden kiezen voor flexibelere aanbestedingsprocedures zoals de concurrentiegerichte dialoog, een mededingingsprocedure met onderhandeling.

Mededingingsprocedure met onderhandeling

De mededingingsprocedure met onderhandeling lijkt sterk op de concurrentiegerichte dialoog met het verschil dat bij deze procedure pas na een dialoogfase een eerste inschrijving plaatsvindt. Alle ondernemers kunnen naar aanleiding van een aankondiging een verzoek doen tot deelneming. Uitsluitend de door de aanbestedende dienst geselecteerde ondernemers mogen een eerste inschrijving indienen waarbij door middel van onderhandelingen met een of meer van hen naar definitieve inschrijvingen wordt toegewerkt.

De procedure biedt de ruimte voor geschikte partijen om verschillende oplossingen aan te dragen om in de behoefte van de aanbestedende dienst te kunnen voorzien. Vervolgens kan de aanbestedende dienst in de dialoog/onderhandeling samen met deze deelnemers de voorgestelde oplossingen nader uitwerken en uiteindelijk bepalen welke oplossing(en) het best in zijn behoefte kan (kunnen) voorzien.

De concurrentiegerichte dialoog

Een andere procedure die gemeenten kunnen kiezen, is de concurrentiegerichte dialoog. Hierbij wordt binnen de aanbestedingsprocedure eerst een dialoog gevoerd met marktpartijen. Het begin van deze procedure lijkt op de niet-openbare procedure. De gemeente selecteert op basis van de opgestelde geschiktheidseisen 3 tot 5 partijen om deel te nemen aan de dialoog.

In deze dialoog vraagt de aanbestedende dienst een of meer marktpartijen naar mogelijke oplossingen voor het probleem dat de aanbestedende dienst heeft, in dit geval dus goed Wmo- vervoer organiseren. Op basis van de geboden oplossingen bepaalt de aanbestedende dienst welke oplossing het beste aan de behoefte voldoet. Bijkomend voordeel van deze procedure is dat innovatieve oplossingen van de marktpartijen in de aanbesteding kunnen worden opgenomen.

Beste prijs-kwaliteitverhouding

Vervolgens verzoekt de aanbestedende dienst de deelnemers aan de dialoog hun inschrijving in te dienen. Uit de geldige inschrijvingen op basis van het gunningscriterium, selecteert de aanbestedende dienst vervolgens de beste prijs-kwaliteitverhouding. Met de winnende inschrijver zijn onderhandelingen mogelijk om de in de inschrijving gedane financiële toezeggingen of andere voorwaarden te bevestigen, met het oog op afronding van de voorwaarden van de overheidsopdracht. Deze onderhandelingen dienen de wezenlijke aspecten van de inschrijving of van de in de aankondiging of het beschrijvend document vermelde behoeften en voorschriften ongewijzigd te laten en mogen niet tot vervalsing van de mededinging of tot discriminatie leiden. Tijdens de hele dialoog is het van belang de gelijke behandeling van alle inschrijvers in het oog te houden. Verstrek dus geen informatie, waarmee bepaalde inschrijvers boven andere inschrijvers worden bevoordeeld.

Informatie delen met uitvoerder van de opdracht

Voor welke methode een gemeente ook kiest; pas bij de implementatie van de opdracht is het noodzakelijk om privacygevoelige informatie te delen. In de wet staat dat gemeenten dit mogen doen als de uitvoerder van de opdracht deze informatie nodig heeft 'voor de uitvoering van de publiekrechtelijke taak.' In het geval van leerlingenvervoer heeft de vervoerder die de leerling gaat vervoeren, het adres van deze leerling nodig om hem te kunnen ophalen.

Kortom: de gemeente mag privacygevoelige gegevens uitwisselen met professionals die de opdracht gaan uitvoeren. Andere partijen die deze gegevens nodig kunnen hebben, kunnen gemeentemedewerkers zijn die zich bezighouden met taken op het gebied van financiering en inkoop. Ook intern moeten gemeenten zich telkens afvragen wie toegang heeft tot welke informatie en of dat noodzakelijk is voor de uitoefening van hun functie.

Om de gegevens te mogen uitwisselen is echter wel toestemming nodig. Veel gemeenten zullen ervoor kiezen om te werken met een toestemmingsverklaring, waarin de betrokkene toestemming geeft voor het uitwisselen van gegevens. Maar ook aan die toestemming zijn eisen verbonden.

Tips
Tips om te voorkomen dat privacygevoelige informatie op de verkeerde plek beland
  • Vraag je wanneer je met privacygevoelige informatie werkt af: zou ik mijn eigen informatie op deze manier delen?
  • Vraag advies aan privacy-juristen en andere privacy-experts binnen de gemeente.
  • Zorg dat de informatie die je deelt niet herleidbaar is tot een persoon.
  • Vraag je af: is deze informatie echt noodzakelijk voor een potentiële aanbieder? En zo ja, is er een andere manier - dan als onderdeel van de openbare aanbestedingsdocumenten - om deze informatie te delen?

Wat zegt de wet?
Met ingang van 25 mei 2018 is de Algemene verordening gegevensbescherming(AVG) van toepassing. Vanaf die datum geldt in de hele Europese Unie (EU) dezelfde privacywetgeving. In deze wet staat dat het verwerken van persoonsgegevens alleen is toegestaan wanneer deze verwerking rechtmatig, behoorlijk en transparant is (art. 5 AVG). Een decentrale overheid mag volgens de AVG dus alleen persoonsgegevens verwerken wanneer er transparantie naar én toestemming van de betrokkene is. Dit betekent dat de betrokkene dus niet alleen op de hoogte moet zijn van de verwerking van de persoonsgegevens en in hoeverre dit gebeurt, maar daar ook toestemming voor moet geven.

Voorwaarden rechtmatigheid
Maar dat zijn nog niet eens alle voorwaarden. De verwerking van de persoonsgegevens moet volgens Art. 6 AVG aan een van de volgende voorwaarden voldoen om rechtmatig te zijn:

  • Er is toestemming van de betrokkene;
  • De verwerking is noodzakelijk op verzoek van overeenkomst;
  • De verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting;
  • De verwerking is noodzakelijk om de vitale belangen van betrokkene of andere natuurlijke personen te beschermen;
  • De verwerking is noodzakelijk ter vervulling van een taak van algemeen belang of openbaar gezag;
  • De verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde.

Toestemming
Ook aan de manier waarop toestemming wordt gevraagd, zijn voorwaarden gesteld. In art. 7 AVG ligt vast dat het verzoek om toestemming in begrijpelijke en gemakkelijk toegankelijke vorm moet worden aangeboden aan de betrokkene, én dat dit in duidelijke en eenvoudige taal gebeurt. Het betreft hier informatie en communicatie over:

  • Te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld (art. 13 AVG);
  • Te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregen (art. 14 AVG);
  • Communicatie over rechten van de betrokkene: recht op inzage, recht op rectificatie, recht om te worden vergeten, recht op beperking van de verwerking, kennisgevingsplicht, recht op overdraagbaarheid van gegevens (art. 15 – 22 AVG).

Daarnaast kan de betrokkene de toestemming te allen tijde intrekken.