Ebenezer Advies

Gemeentelijk Incidenten Registratiesysteem

Goed gebruik en risico's

Onderzoekend jurist en adviseur Ray Heijder bij Ebenezer Advies heeft een juridische verhandeling opgesteld over het gebruik van het Gemeentelijke Incidenten Registratiesysteem (GIR). Hij heeft dit gedaan om gemeenten te nader te informeren over het goede gebruik van dit hulpmiddel. Tevens wil hij gemeenten inzicht geven in de juridische risico's bij het onjuiste gebruik ervan.

Juridische verhandeling GIR

Doelbinding, verwerking, bewaring en vernietiging van gegevens in het Gemeentelijke Incidenten Registratiesysteem

Door: Ray Heijder, onderzoekend jurist en adviseur bij Ebenezer Advies

Versie: 30 oktober 2026

Kernpunten

  • Elke fase van de GIR-verwerking (melden, registreren, behandelen, beschikbaar houden in procedures, bewaren en vernietigen) vraagt om een eigen toets van doel, noodzaak en grondslag.
  • Statistiek en managementinformatie kunnen het bewaren van incidentgegevens rechtvaardigen, maar niet zonder meer het bewaren van de identiteit van de betrokkene.
  • Een incidentbeschrijving zonder naam blijft een persoonsgegeven zolang zij tot een persoon herleidbaar is.
  • Het verwijderen van een registratie uit het GIR is niet hetzelfde als het wissen van de persoonsgegevens. Bij overheveling naar een ander systeem blijven doelbinding, minimale gegevensverwerking en opslagbeperking onverkort gelden.
  • De gemeente moet de rechtmatigheid van elke fase kunnen aantonen (artikel 5, tweede lid, AVG).

1. Inleiding en juridisch uitgangspunt

De verwerking van gegevens in het Gemeentelijke Incidenten Registratiesysteem (GIR) wordt beheerst door de Algemene verordening gegevensbescherming (AVG) en de Uitvoeringswet AVG (UAVG). Bij de gemeente zijn het college, de burgemeester en de gemeenteraad ieder afzonderlijk verwerkingsverantwoordelijke voor de verwerkingen binnen hun eigen taak (artikel 4, onder 7, AVG). Per verwerking moet daarom worden vastgesteld welk orgaan verantwoordelijk is.

1.1 De beginselen van artikel 5 AVG

Artikel 5, eerste lid, AVG bevat de beginselen waaraan elke verwerking moet voldoen: rechtmatigheid, behoorlijkheid en transparantie (onder a), doelbinding (onder b), minimale gegevensverwerking (onder c), juistheid (onder d), opslagbeperking (onder e) en integriteit en vertrouwelijkheid (onder f). Op grond van artikel 5, tweede lid, AVG is de verwerkingsverantwoordelijke verantwoordelijk voor de naleving van deze beginselen en moet hij die naleving kunnen aantonen.

1.2 Doelbinding

Een belangrijk beginsel is doelbinding, zoals neergelegd in artikel 5, eerste lid, onder b, AVG. Dit beginsel houdt in dat persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld. Verdere verwerking mag niet plaatsvinden op een wijze die onverenigbaar is met de doeleinden waarvoor de gegevens oorspronkelijk zijn verzameld.

Of een nieuw doel verenigbaar is met het oorspronkelijke doel, moet worden beoordeeld aan de hand van artikel 6, vierde lid, AVG. Daarbij zijn onder meer van belang het verband tussen de doelen, de context waarin de gegevens zijn verzameld, de aard van de gegevens, de mogelijke gevolgen van de verdere verwerking voor de betrokkene en het bestaan van passende waarborgen.

Voor verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden bepaalt artikel 5, eerste lid, onder b, AVG dat die verwerking, mits aan artikel 89, eerste lid, AVG is voldaan, niet als onverenigbaar wordt beschouwd. Dat is een verenigbaarheidsregel. Daaruit volgt niet dat er daarmee ook een grondslag, noodzaak of bewaartermijn is voor de persoonsgegevens zelf. Die vragen blijven zelfstandig beantwoord moeten worden.

1.3 Verwerkingsgrondslag

Elke verwerking van persoonsgegevens heeft een grondslag nodig als bedoeld in artikel 6, eerste lid, AVG. Voor een gemeente komen in de regel de grondslagen wettelijke verplichting (onder c) en taak van algemeen belang of openbaar gezag (onder e) in aanmerking. Die grondslagen moeten volgens artikel 6, derde lid, AVG vastgesteld zijn bij Unierecht of lidstatelijk recht. Een algemene verwijzing naar de zorgplicht van de gemeente als werkgever op grond van de Arbowet is daarvoor niet vanzelf voldoende. De Arbowet verplicht tot het voeren van beleid ter voorkoming en beperking van psychosociale arbeidsbelasting, waartoe ook agressie en geweld behoren. Daaruit volgt niet zonder meer dat de persoonsgegevens van de veroorzaker van een incident voor een bepaalde of onbepaalde duur moeten worden vastgelegd.

De grondslag gerechtvaardigd belang (artikel 6, eerste lid, onder f, AVG) geldt volgens de slotzin van artikel 6, eerste lid, niet voor verwerking door overheidsinstanties in het kader van de uitoefening van hun taken. Wanneer de gemeente zich desondanks op die grondslag beroept, zal zij moeten uitleggen waarom die slotzin zich daartegen niet verzet.

1.4 Persoonsgegevens en andere gegevens

Bij de verwerking van GIR-gegevens moet onderscheid worden gemaakt tussen persoonsgegevens en gegevens die geen persoonsgegevens zijn.

Persoonsgegevens zijn alle gegevens die betrekking hebben op een geïdentificeerde of identificeerbare natuurlijke persoon (artikel 4, onder 1, AVG). Daarbij gaat het niet uitsluitend om gegevens die rechtstreeks naar een persoon verwijzen, zoals een naam of adres. Ook gegevens die indirect, bijvoorbeeld door combinatie met andere beschikbare informatie, tot een persoon herleidbaar zijn, vallen onder de AVG. Volgens overweging 26 AVG moet daarbij rekening worden gehouden met alle middelen waarvan redelijkerwijs valt te verwachten dat zij worden gebruikt om de persoon te identificeren. Gepseudonimiseerde gegevens blijven persoonsgegevens. Voor de gemeente, die zelf over de aanvullende informatie beschikt (zoals het meldingsformulier, de datum en locatie of de betrokken medewerker), zal herleidbaarheid snel zijn gegeven.

Andere gegevens zijn gegevens die niet tot een natuurlijke persoon herleidbaar zijn. Bij het GIR kan het bijvoorbeeld gaan om geanonimiseerde informatie over de aard, frequentie en omstandigheden van incidenten.

Dit onderscheid is van belang, omdat het bewaren van gegevens voor statistische en managementdoeleinden niet zonder meer rechtvaardigt dat ook de persoonsgegevens van de bij een incident betrokken persoon worden bewaard.

De verwerking van GIR-gegevens kent verschillende fasen. De overgang naar een volgende fase kan gepaard gaan met een wijziging van het doel waarvoor gegevens worden verwerkt. Bij iedere fase moet daarom opnieuw worden beoordeeld welke gegevens noodzakelijk zijn, voor welk doel zij worden verwerkt en op welke wettelijke grondslag die verwerking berust.

2. De verschillende fasen van gegevensverwerking

De verwerking van gegevens binnen het GIR kan worden onderscheiden in de volgende fasen:

  1. Melden.
  2. Registreren.
  3. Behandelen.
  4. Beschikbaar houden in procedures.
  5. Bewaren.
  6. Vernietigen.

Dit is een analytisch kader. Het hoeft niet samen te vallen met de fasering in het GIR-protocol van de gemeente zelf. Per fase moet echter worden beoordeeld of het doel, de noodzaak en de grondslag nog gelden. De rechtmatigheid van de verwerking kan daarom niet uitsluitend worden beoordeeld aan de hand van het moment waarop een incident is gemeld. Ook de latere verwerking moet een gerechtvaardigd doel dienen.

2.1 Melden

Bij de melding worden in het GIR gegevens verwerkt over een incident en, voor zover de identiteit bekend is, persoonsgegevens van de persoon die als veroorzaker wordt aangemerkt.

De melding vormt het startsignaal voor de verdere behandeling van het incident. Daarbij kunnen ook gegevens worden vermeld die afkomstig zijn uit andere gemeentelijke verwerkingen. Dat kan bijvoorbeeld het geval zijn wanneer de melder documenten, correspondentie, geluidsopnamen of andere informatie als bewijs van agressie aanhaalt. Deze informatie kan afkomstig zijn uit verwerkingen waarvoor het college, de burgemeester of de gemeenteraad afzonderlijk verwerkingsverantwoordelijke is.

Het gebruik van die informatie in het GIR, of het koppelen ervan aan een GIR-melding, is een verdere verwerking voor een ander doel. Die verwerking moet zelfstandig voldoen aan de toepasselijke privacyregels, waaronder de verenigbaarheidstoets van artikel 6, vierde lid, AVG. Het enkele feit dat informatie afkomstig is uit een andere gemeentelijke verwerking, betekent niet dat zij zonder nadere beoordeling voor het GIR mag worden gebruikt.

Bij de melding moet bovendien onderscheid worden gemaakt tussen de feitelijke beschrijving van een incident en de kwalificatie die de melder daaraan geeft. Een melding is in beginsel een weergave van wat de melder rapporteert. Zij vormt op zichzelf nog geen vaststelling dat daadwerkelijk sprake is geweest van agressie.

2.2 Registreren

Wanneer een melding wordt omgezet in een registratie, wordt de melding als incident in het GIR vastgelegd. Daarbij wordt, als het goed is door een andere functionaris dan de melder, beoordeeld of er voldoende aanleiding bestaat om het gemelde incident als een mogelijk agressie- of geweldsincident te registreren.

De registratie is daarmee meer dan het doorgeven van een melding. Er vindt een beoordeling plaats en de melding krijgt een formele plaats binnen de systematiek van het GIR. De gegevens die voor deze registratie noodzakelijk zijn, kunnen bestaan uit zowel incidentgegevens als persoonsgegevens.

Voor de verwerking van persoonsgegevens gelden onverkort de bepalingen van de AVG. Daarbij zijn in het bijzonder van belang:

  • Artikel 5, eerste lid, onder a, AVG: rechtmatigheid, behoorlijkheid en transparantie.
  • Artikel 5, eerste lid, onder b, AVG: doelbinding.
  • Artikel 5, eerste lid, onder c, AVG: minimale gegevensverwerking.
  • Artikel 5, eerste lid, onder d, AVG: juistheid.
  • Artikel 5, eerste lid, onder e, AVG: opslagbeperking.
  • Artikel 6 AVG: rechtmatigheid en verwerkingsgrondslag.

Feiten, verklaringen en kwalificaties
De registratie moet voldoende onderscheid maken tussen vastgestelde feiten, verklaringen van betrokkenen en beoordelingen of kwalificaties van de gemeente. Dit volgt uit het juistheidsbeginsel van artikel 5, eerste lid, onder d, AVG: onjuiste gegevens moeten worden gewist of gerectificeerd (zie ook artikel 16 AVG). Een kwalificatie als "agressief" of "bedreigend" is een oordeel en geen feit. Wordt een kwalificatie zonder dat onderscheid vastgelegd, dan ontstaat het risico dat een niet-getoetste lezing van één melder als vaststaand gegeven in het systeem terechtkomt.

Strafrechtelijke gegevens
Wordt in de registratie gedrag beschreven dat als strafbaar feit kan worden aangemerkt (bijvoorbeeld bedreiging, belediging of mishandeling), dan kunnen persoonsgegevens betreffende strafbare feiten in de zin van artikel 10 AVG aan de orde zijn. Het Nederlandse recht kent daarvoor een gesloten stelsel: persoonsgegevens van strafrechtelijke aard mogen volgens artikel 31 UAVG alleen worden verwerkt voor zover de artikelen 32 en 33 UAVG dit toestaan. De gemeente moet in dat geval kunnen aanwijzen op welke van die uitzonderingen zij zich beroept.

Informatieplicht
Wanneer een persoon als veroorzaker in het GIR wordt geregistreerd en de gegevens niet bij hemzelf zijn verkregen, geldt in beginsel de informatieplicht van artikel 14 AVG. Uitzonderingen op grond van artikel 14, vijfde lid, AVG en beperkingen op grond van artikel 23 AVG juncto artikel 41 UAVG moeten restrictief worden uitgelegd en moeten door de gemeente worden onderbouwd.

2.3 Behandelen

Door een melding om te zetten naar een registratie ontstaat binnen de systematiek van het GIR de verplichting om de registratie overeenkomstig de daarvoor geldende werkwijze te behandelen. De behandeling is gericht op de beoordeling en afhandeling van het incident. Daaronder kunnen bijvoorbeeld vallen het bieden van ondersteuning aan de betrokken medewerker, het treffen van maatregelen en het beoordelen of verdere actie noodzakelijk is. Het GIR-protocol van de gemeente schrijft hiervoor een bepaalde wijze van behandelen voor.

De verwerking van persoonsgegevens gedurende deze fase moet noodzakelijk zijn voor de behandeling van het incident en moet berusten op een toepasselijke wettelijke grondslag. Daarbij moet worden voorkomen dat persoonsgegevens worden gebruikt voor doeleinden die buiten de oorspronkelijke doelstelling van de registratie vallen.

Ook moet worden bewaakt dat de registratie niet uitsluitend door het feit van opname in het GIR de status krijgt van een vaststaand oordeel over de betrokkene. Worden aan een registratie consequenties verbonden, bijvoorbeeld een gedragslijn of een beperking van contactmogelijkheden, dan moet zij een voldoende feitelijke grondslag hebben. Voor een bestuursorgaan volgt dat uit het zorgvuldigheidsbeginsel en het motiveringsbeginsel (artikel 3:2 en artikel 3:46 Awb).

2.4 Beschikbaar houden in procedures

De gegevens moeten beschikbaar blijven zolang dat noodzakelijk is voor de behandeling en afronding van de registratie en voor eventuele daarmee samenhangende procedures. In ieder geval moet rekening worden gehouden met de procedure die volgens de systematiek van het GIR volledig moet worden doorlopen.

Daarnaast kunnen een of meer juridische procedures aan de orde zijn waarin de gegevens noodzakelijk zijn voor de vaststelling van de feiten, de beoordeling van de rechtmatigheid van het handelen van de gemeente of de onderbouwing van een rechtsvordering. Daarbij kan het bijvoorbeeld gaan om bezwaarprocedures, beroepsprocedures, klachtenprocedures of civielrechtelijke procedures.

Zolang de gegevens voor een dergelijke procedure noodzakelijk zijn, kan er een gerechtvaardigd belang bestaan om deze beschikbaar te houden. Artikel 17, derde lid, onder e, AVG voorziet in een uitzondering op het recht op gegevenswissing voor zover verwerking noodzakelijk is voor de instelling, uitoefening of onderbouwing van een rechtsvordering.

Dit betekent echter niet dat alle gegevens zonder onderscheid en voor onbepaalde tijd moeten worden bewaard. De noodzaak moet worden beoordeeld in relatie tot de concrete procedure en de gegevens die daarvoor relevant zijn. Een enkele verwijzing naar mogelijke procedures is daarvoor onvoldoende: er moet sprake zijn van een lopende of redelijkerwijs te verwachten procedure. Gegevens die uitsluitend voor dat doel worden bewaard, behoren bovendien niet langer voor operationele doeleinden beschikbaar te zijn. De toegang moet worden beperkt tot degenen die bij de procedure zijn betrokken (artikel 5, eerste lid, onder f, en artikel 32 AVG).

Ook gedurende deze fase blijven de AVG en de toepasselijke procesrechtelijke bepalingen van kracht.

2.5 Bewaren

De fase van bewaren moet worden onderscheiden van de eerdere fasen waarin de registratie actief wordt behandeld of voor procedures beschikbaar wordt gehouden. Bij het bewaren staat niet langer de actieve behandeling van het incident centraal, maar de vraag welke gegevens na afronding daarvan nog rechtmatig moeten of mogen worden behouden. Op dat moment moet worden vastgesteld of de oorspronkelijke doeleinden van de verwerking nog bestaan.

Voor zover het persoonsgegevens betreft, moet zekerheid bestaan dat deze nog noodzakelijk zijn voor een concreet en gerechtvaardigd doel. Wanneer de behandeling van de GIR-registratie volledig is afgerond en er geen relevante juridische procedures meer lopen of redelijkerwijs te verwachten zijn waarvoor de gegevens noodzakelijk zijn, kan de oorspronkelijke rechtvaardiging voor het bewaren van de persoonsgegevens zijn vervallen. Volgens artikel 5, eerste lid, onder e, AVG mogen gegevens niet langer in identificeerbare vorm worden bewaard dan noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt.

Statistiek en managementinformatie
Het bewaren van gegevens voor statistische doeleinden en managementinformatie vormt een afzonderlijk aandachtspunt. Het GIR dient mede om inzicht te verkrijgen in de aard en omvang van agressie en geweld tegen gemeentelijke medewerkers, om incidenten onderling te vergelijken en om beleid te ontwikkelen en bij te sturen.

Voor deze doeleinden kunnen de gegevens over het incident zelf nog steeds van betekenis zijn. Daaruit volgt echter niet dat ook de identiteit van de betrokken burger, diens persoonsgegevens en de aan hem toegeschreven gedragingen moeten worden behouden. De statistische en beleidsmatige doelen kunnen mogelijk worden verwezenlijkt door uitsluitend de niet tot een persoon herleidbare gegevens te bewaren.

Artikel 89, eerste lid, AVG bepaalt dat bij verwerking voor statistische doeleinden passende waarborgen moeten worden getroffen om de rechten en vrijheden van betrokkenen te beschermen. Daarbij moeten technische en organisatorische maatregelen worden genomen om minimale gegevensverwerking te waarborgen. Wanneer het statistische doel kan worden verwezenlijkt zonder dat betrokkenen identificeerbaar zijn, moet dat ook gebeuren. Het begrip “statistiek” kan dus niet als algemeen etiket dienen om persoonsgegevens te blijven bewaren. De gemeente moet kunnen uitleggen waarom het doel niet met geanonimiseerde of geaggregeerde gegevens kan worden bereikt.

Daarom moet bij de overgang naar de bewaarfase een onderscheid worden gemaakt tussen:

  • Gegevens die noodzakelijk zijn voor statistische en managementdoeleinden en niet tot een persoon herleidbaar zijn.
  • Persoonsgegevens die niet langer noodzakelijk zijn voor de oorspronkelijke of een andere gerechtvaardigde verwerkingsdoelstelling.

De eerste categorie kan, met inachtneming van de toepasselijke archiefrechtelijke regels, voor statistische en beleidsmatige doeleinden worden behouden. De tweede categorie moet worden verwijderd of vernietigd zodra daarvoor geen rechtmatige bewaardoelstelling meer bestaat.

Daarbij moet worden bedacht dat ook een incidentbeschrijving zonder naam nog steeds een persoonsgegeven kan zijn wanneer deze door de omstandigheden, datum, locatie of combinatie met andere informatie tot een persoon herleidbaar is. Anonimisering vereist daarom meer dan het schrappen van de naam. Zij vraagt een beoordeling van de herleidbaarheid van het geheel van de resterende gegevens.

2.6 Vernietigen

Vernietiging is de laatste fase van de gegevensverwerking.

Persoonsgegevens moeten worden verwijderd zodra zij niet langer noodzakelijk zijn voor de doeleinden waarvoor zij worden verwerkt en geen andere wettelijke grondslag of bewaarplicht verdere bewaring rechtvaardigt (zie ook artikel 17, eerste lid, onder a, AVG). Dat betekent dat de gemeente bij iedere registratie moet kunnen vaststellen wanneer de persoonsgegevens hun functie binnen de GIR-systematiek hebben verloren. Daarbij moet rekening worden gehouden met de volledige afhandeling van de registratie en met eventuele juridische procedures waarvoor de gegevens noodzakelijk zijn.

Wissen betekent in beginsel dat alle exemplaren van de persoonsgegevens worden verwijderd. Dat omvat ook kopieën in andere systemen, zoals zaaksystemen, documentbeheersystemen en e-mail, en afgeleide bestanden. Voor reservekopieën moet de gemeente kunnen aangeven op welke termijn ook die worden overschreven.

Wanneer de genoemde doeleinden zijn vervallen en geen andere rechtmatige bewaardoelstelling bestaat, kan het bewaren van de persoonsgegevens niet uitsluitend worden gerechtvaardigd met een beroep op het belang van statistiek of managementinformatie. De gegevens die niet tot een natuurlijke persoon herleidbaar zijn, kunnen eventueel langer worden behouden voor statistische en beleidsmatige doeleinden.

Archiefwetgeving
Voor zover de gegevens archiefbescheiden zijn, moet de gemeente de archiefwetgeving en de toepasselijke selectielijst in acht nemen. De Archiefwet 1995 verplicht overheidsorganen hun archiefbescheiden in goede, geordende en toegankelijke staat te bewaren en zorg te dragen voor de vernietiging van archiefbescheiden die daarvoor in aanmerking komen. De selectielijst bepaalt welke informatie blijvend wordt bewaard en welke informatie na een bepaalde termijn moet worden vernietigd.

De Archiefwet 1995 wordt vervangen door de Archiefwet 2026 (Wet van 13 mei 2026, Stb. 2026, 149). De inwerkingtreding is bij koninklijk besluit bepaald en was blijkens de beschikbare stukken beoogd per 1 januari 2027. De actuele inwerkingtredingsdatum en het overgangsrecht moeten bij gebruik van deze tekst worden gecontroleerd.

Een bewaarplicht uit de archiefwetgeving kan een beroep op artikel 17, derde lid, onder b of d, AVG dragen. Dat geldt echter alleen voor zover de selectielijst bewaring van juist deze categorie bescheiden voorschrijft en voor de daarin vastgestelde termijn. Het is aan de gemeente om dat concreet aan te wijzen. Het onderscheid tussen het wissen van persoonsgegevens op grond van de AVG en de vernietiging van archiefbescheiden op grond van de archiefwetgeving moet daarbij zorgvuldig worden bewaakt.

3. De samenhang tussen doelbinding en verwerkingsfase

De verschillende fasen van de GIR-verwerking moeten in onderlinge samenhang worden beoordeeld. De verwerking begint met het melden van een incident, waarna registratie en behandeling kunnen volgen. Vervolgens kunnen de gegevens gedurende een bepaalde periode noodzakelijk blijven voor de afhandeling van de registratie en voor juridische procedures. Wanneer deze doeleinden zijn vervallen, moet worden beoordeeld welke gegevens nog een gerechtvaardigd doel dienen.

Voor statistische en managementdoeleinden kan het noodzakelijk zijn dat bepaalde incidentgegevens behouden blijven. Dat betekent echter niet dat de persoonsgegevens van de betrokken burger eveneens moeten worden bewaard.

Het beginsel van doelbinding brengt mee dat de gemeente niet zonder meer kan terugvallen op het oorspronkelijke doel van de verwerking om verdere opslag te rechtvaardigen. Voor iedere verdere verwerking moet worden vastgesteld of deze verenigbaar is met het oorspronkelijke doel en of daarvoor nog een toepasselijke grondslag bestaat. De overgang van de actieve verwerking naar de bewaarfase is daarom een belangrijk beoordelingsmoment. Op dat moment moet de gemeente vaststellen welke gegevens hun functie hebben verloren en welke gegevens nog noodzakelijk zijn.

Het onderstaande overzicht vat per fase de kernvraag en de belangrijkste bepalingen samen.

Fase Kernvraag Belangrijkste bepalingen
Melden Welke gegevens zijn nodig om de melding te beoordelen en uit welke bron komen zij? Art. 5, eerste lid, onder b en c, en art. 6, eerste en vierde lid, AVG
Registreren Is er aanleiding voor registratie? Zijn feiten, verklaringen en kwalificaties gescheiden? Is de betrokkene geïnformeerd? Art. 5, eerste lid, onder c en d, art. 6, art. 14 en art. 10 AVG; art. 31 tot en met 33 UAVG
Behandelen Welke persoonsgegevens zijn noodzakelijk voor beoordeling en afhandeling? Art. 5, eerste lid, onder b, c en f, en art. 6, eerste lid, onder c of e, AVG
Beschikbaar houden in procedures Welke gegevens zijn nog nodig voor een concrete of redelijkerwijs te verwachten procedure? Wie heeft toegang? Art. 17, derde lid, onder e, art. 5, eerste lid, onder e en f, en art. 32 AVG
Bewaren Bestaat het oorspronkelijke doel nog? Kan de statistiek zonder persoonsgegevens? Art. 5, eerste lid, onder b en e, en art. 89, eerste lid, AVG
Vernietigen Wanneer is de functie vervallen? Wat vereist de archiefwetgeving? Art. 5, eerste lid, onder e, art. 17,
eerste lid, onder a, en derde lid, onder b en d, AVG; archiefwetgeving

4. Betekenis voor het verwijderen van een GIR-registratie

Wanneer de gemeente stelt dat een registratie uit het GIR is verwijderd, moet duidelijk zijn wat daarmee precies wordt bedoeld. Het verwijderen van een registratie uit het GIR is niet noodzakelijk hetzelfde als het vernietigen van de persoonsgegevens die daarin waren opgenomen.

Dat geldt in de eerste plaats wanneer de registratie slechts is afgesloten, op inactief gezet of afgeschermd, terwijl de gegevens technisch nog bestaan. Het geldt ook wanneer de gemeente de gegevens één-op-één in een ander systeem heeft ondergebracht. In dat geval is de verwerking van de persoonsgegevens mogelijk feitelijk voortgezet.

Het Hof van Justitie heeft in het arrest Digi (HvJ EU 20 oktober 2022, C-77/21) geoordeeld over het bewaren van persoonsgegevens in een tweede database naast de database waarin zij oorspronkelijk waren opgeslagen. Dat bewaren is een verwerking die moet worden getoetst aan de beginselen van doelbinding en opslagbeperking. Ook als het bewaren in de tweede database aanvankelijk verenigbaar is met het oorspronkelijke doel, mogen de gegevens daar niet langer worden bewaard dan noodzakelijk is voor het doel waarvoor die tweede database is ingericht. Dit arrest is een bruikbaar aanknopingspunt voor de beoordeling van de overheveling van GIR-gegevens naar een ander systeem.

In het geval van overheveling moet de gemeente inzichtelijk maken:

  • Welke gegevens uit het GIR zijn verwijderd.
  • Welke gegevens één-op-één zijn overgenomen.
  • In welk ander systeem deze gegevens zijn opgenomen.
  • Voor welk doel deze gegevens daar worden bewaard.
  • Op welke wettelijke grondslag de verdere verwerking berust.
  • Welke bewaartermijn van toepassing is.
  • Of de gegevens nog tot betrokkene herleidbaar zijn.
  • Of de gegevens nog voor operationele doeleinden worden gebruikt.
  • Waarom eventuele statistische doeleinden niet zonder persoonsgegevens kunnen worden verwezenlijkt.

Het verplaatsen van persoonsgegevens naar een ander systeem betekent niet dat de eisen van doelbinding, minimale gegevensverwerking en opslagbeperking niet langer van toepassing zijn. Wanneer de gemeente de gegevens uitsluitend wil behouden voor statistische en managementdoeleinden, moet zij bovendien beoordelen of anonimisering mogelijk is.

5. Verantwoordingsplicht, rechten van betrokkenen en rechtsbescherming

5.1 Verantwoordingsplicht

Op grond van artikel 5, tweede lid, en artikel 24 AVG ligt de last om de rechtmatigheid van de verwerking aan te tonen bij de verwerkingsverantwoordelijke. Het register van verwerkingsactiviteiten moet, voor zover mogelijk, de beoogde termijnen voor het wissen van de verschillende categorieën gegevens vermelden (artikel 30, eerste lid, onder f, AVG). Kan de gemeente per fase niet aangeven welk doel, welke grondslag en welke bewaartermijn gelden, dan is dat een tekortkoming in de naleving van de AVG en geen neutraal gegeven.

5.2 Rechten van de betrokkene

De betrokkene kan de rechtmatigheid van de verwerking langs de volgende wegen toetsen:

  • Inzage (artikel 15 AVG), waaronder informatie over de ontvangers en over de periode waarvoor de gegevens naar verwachting worden bewaard of de criteria om die periode te bepalen.
  • Rectificatie (artikel 16 AVG) van onjuiste gegevens.
  • Wissing (artikel 17 AVG), onder meer wanneer de gegevens niet langer noodzakelijk zijn voor het doel waarvoor zij zijn verwerkt (eerste lid, onder a) of onrechtmatig zijn verwerkt (eerste lid, onder d).
  • Beperking van de verwerking (artikel 18 AVG).
  • Bezwaar tegen verwerking die berust op een taak van algemeen belang (artikel 21 AVG). De verwerkingsverantwoordelijke moet de verwerking dan staken, tenzij hij dwingende gerechtvaardigde gronden aantoont die zwaarder wegen dan de belangen van de betrokkene, of de verwerking dient voor de instelling, uitoefening of onderbouwing van een rechtsvordering.

5.3 Rechtsbescherming

Op grond van artikel 12, derde lid, AVG moet op een verzoek in beginsel binnen een maand worden gereageerd. Is de verwerkingsverantwoordelijke een bestuursorgaan, dan geldt een schriftelijke beslissing op een verzoek op grond van de artikelen 15 tot en met 22 AVG volgens artikel 34 UAVG als een besluit in de zin van de Awb. Daartegen staan bezwaar en beroep open. Bij het niet tijdig beslissen kunnen ook de regels over de dwangsom en het beroep bij niet tijdig beslissen van de Awb van toepassing zijn (artikel 4:17 en artikel 6:12 Awb). Een weigering om te wissen moet deugdelijk worden gemotiveerd (artikel 3:46 Awb). Schade die het gevolg is van een onrechtmatige verwerking kan in beginsel worden gevorderd op grond van artikel 82 AVG.

6. Conclusie

De verwerking van gegevens binnen het GIR kent verschillende fasen die ieder een eigen doel en functie hebben. De rechtmatigheid van de verwerking moet gedurende al deze fasen worden gewaarborgd en door de gemeente kunnen worden aangetoond.

Het onderscheid tussen persoonsgegevens en niet tot een persoon herleidbare incidentgegevens is daarbij essentieel. Dat onderscheid wordt bepaald door de herleidbaarheid van het geheel van de gegevens, en niet door de enkele afwezigheid van een naam.

Zolang persoonsgegevens noodzakelijk zijn voor de melding, registratie, behandeling of een concrete juridische procedure, moeten deze onder de daarvoor geldende voorwaarden worden verwerkt en bewaard.

Zodra deze doeleinden zijn vervallen, moet opnieuw worden beoordeeld of verdere verwerking van de persoonsgegevens nog noodzakelijk en rechtmatig is.

Het belang van statistische en beleidsmatige informatie kan rechtvaardigen dat bepaalde incidentgegevens behouden blijven. Het rechtvaardigt echter niet zonder meer dat de persoonsgegevens van de betrokken burger eveneens worden bewaard. Wanneer statistische doeleinden kunnen worden verwezenlijkt zonder dat de betrokkene identificeerbaar is, verlangt artikel 89 AVG dat de verwerking op die wijze plaatsvindt.

De gemeente moet daarom bij het afsluiten van een GIR-registratie onderscheid maken tussen de gegevens die nog noodzakelijk zijn voor statistische en archiefrechtelijke doeleinden en de persoonsgegevens die hun oorspronkelijke verwerkingsdoel hebben verloren. Het bewaren van die laatste categorie vereist een zelfstandige rechtvaardiging. Ontbreekt die, dan moeten de persoonsgegevens worden gewist of vernietigd. Het overhevelen van de gegevens naar een ander systeem verandert daar niets aan.