Een initiatiefnemer moet in zijn verzoek (omgevingsvergunningaanvraag of verzoek wijziging bestemmingsplan/omgevingsplan) aangeven of en hoe hij de omgeving heeft betrokken bij zijn initiatief en wat hij heeft gedaan met informatie van de omgeving.

Bescherming persoonsgegevens

Bij het inrichten van het participatieproces zal de initiatiefnemer aandacht moeten besteden aan de bescherming van persoonsgegevens. De initiatiefnemer zal in ieder geval een antwoord op de volgende vragen moeten geven:

1. Verwerk ik persoonsgegevens?
2. Ben ik een verwerker of verwerkingsverantwoordelijke?
3. Is de persoonsgegevensverwerking legitiem?
4. Wanneer informeer ik de mensen waarover ik persoonsgegevens verzamel?

Verwerken persoonsgegevens

In het participatieproces gaat de initiatiefnemer in gesprek met de omgeving waar de initiatiefnemer het initiatief wil realiseren. In zo’n situatie worden al snel persoonsgegevens verwerkt. Persoonsgegevens zijn alle gegevens die informatie over een geïdentificeerde of identificeerbare natuurlijke persoon bevatten. Voorbeelden van persoonsgegevens zijn naam, adres, woonplaats-gegevens maar ook identificatiegegevens zoals BSN-nummer, IMEI-nummer (smartphone) of IP-adres (computer) en locatiegegevens.

Persoonsgegevens gaan alleen over een natuurlijke persoon. Gegevens van rechtspersonen vallen hier niet onder. Een eenmanszaak is echter geen rechtspersoon, maar een natuurlijke persoon. Het onderscheid burger of ondernemer is dus niet scherp genoeg. Om het participatieproces eenvoudig en uitvoerbaar te houden is het verstandig om geen onderscheid te maken tussen natuurlijke persoon en rechtspersoon als het gaat om de verwerking van persoonsgegevens. Wel is het van belang voor de belangenafweging van het gevraagde besluit om vast te kunnen stellen in welke hoedanigheid de persoon aanwezig is.

Onder verwerken wordt verstaan het bewerken van persoonsgegevens. Voorbeelden van verwerken van persoonsgegevens zijn het verzamelen, opslaan, wijzigen, opvragen, raadplegen, gebruiken, verstrekken, wissen en vernietigen van persoonsgegevens. Het gebruik van een lijst waarop de aanwezigen bij een inloopavond zijn geregistreerd en die wordt opgeborgen in een (digitaal) dossier is een voorbeeld van een verwerking van persoonsgegevens. Ook het inscannen en opslaan van die lijst is een (gedeeltelijk geautomatiseerde) verwerking van persoonsgegevens.

Verwerker of verwerkingsverantwoordelijke

U bent als initiatiefnemer verwerkingsverantwoordelijke als u bepaalt welke persoonsgegevens worden verzameld, voor welk doel dit gebeurt en de manier waarop (met welke middelen) dit plaatsvindt (artikel 4 onder 7 AVG). De verwerker verwerkt persoonsgegevens in opdracht van de verwerkingsverantwoordelijke (artikel 4 onder 8 AVG). Voor zowel het omgevingsplan als de omgevingsvergunning geldt dat het doel van participatie is gericht op het (vroegtijdig) betrekken van de omgeving bij de besluitvorming over het omgevingsplan of de omgevingsvergunning (artikel 10.2 Omgevingsbesluit en 16.55 Omgevingswet). De wijze waarop de participatie wordt vormgegeven en welke persoonsgegevens daarbij worden verwerkt is vrijgelaten.

In bijna alle gevallen zal u als de initiatiefnemer als verwerkingsverantwoordelijke worden beschouwd. U moet als initiatiefnemer aangeven hoe u (zorgvuldig) met de persoonsgegevens omgaat binnen het proces.

Is de verwerking van persoonsgegevens wettelijk toegestaan?

Persoonsgegevens mogen in beginsel alleen worden verwerkt voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doelen.

Gerechtvaardigde doelen zijn (artikel 6 AVG):

1. Toestemming van degene wiens persoonsgegevens worden verwerkt (hierna: betrokkene) voor de specifieke vooraf en duidelijk beschreven doelen;
2. Noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
3. Noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
4. Noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
5. Noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
6. Noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.

Daarnaast zal aan de specifieke verplichtingen van een verwerkingsverantwoordelijke of verwerker zoals genoemd in de AVG en de Uitvoeringswet Algemene verordening gegevensbescherming (hierna UAVG) moeten worden voldaan. Is de initiatiefnemer een overheidsorgaan of een privaatrechtelijke partij die een publieke taak vervult, dan moet daarnaast ook aan de algemene beginselen van behoorlijk bestuur, zoals het vertrouwens- en evenredigheidsbeginsel, worden voldaan.

Wanneer informeer ik de mensen van wie ik de persoonsgegevens verwerk?

Als persoonsgegevens worden verwerkt dan moeten degenen van wie de persoonsgegevens worden verwerkt hierover altijd worden geïnformeerd. Hoewel gegevens in het kader van participatie vooral verkregen zullen zijn van de betrokkene zelf, is het vanuit het oogpunt van open en transparante communicatie verstandig om voorafgaand aan de verwerking van persoonsgegevens de deelnemers expliciet te wijzen op de verwerking.

Als u als initiatiefnemer een participatieverslag samenstelt moet deze voldoen aan de AVG en UAVG.

Een aantal aanbevelingen hierbij zijn:

1. Zorg voor transparantie over welke persoonsgegevens worden verwerkt en voor welke doeleinden. Het is gebruikelijk hiervoor een schriftelijke privacyverklaring beschikbaar te stellen.
2. Deelnemers moeten rechten kunnen uitoefenen ten aanzien van eigen persoonsgegevens, zoals toegang, rectificatie en verwijdering van de gegevens. Als initiatiefnemer dient u aan te geven hoe en waar deelnemers deze gegevens kunnen aanpassen en (laten) verwijderen.
3. Persoonsgegevens moeten voor een specifiek doel worden verzameld en mogen vervolgens niet voor andere niet-verenigbare doelen worden gebruikt (doelbinding). Gegevens verzameld voor participatiedoeleinden mogen niet zomaar worden gebruikt voor een nieuwsbrief of andere marketingactiviteiten. Een ontwikkelaar die een participatietraject opzet mag de namen die hij heeft verzameld niet gebruiken voor de potentiële kopers van zijn ontwikkeling.
4. Persoonsgegevens die worden verzameld en verwerkt moeten noodzakelijk zijn (dataminimalisatie), niet langer dan nodig in identificerende vorm bewaard te worden (opslagbeperking) en voldoende worden beveiligd.
5. Maak duidelijke verwerkersafspraken in het geval derde partijen worden ingeschakeld: welke partij(en) is (of zijn) verwerkingsverantwoordelijk en/of handelt een partij als verwerker namens de initiatiefnemer? In dat laatste geval dient er een verwerkersovereenkomst te worden gesloten. Dit geldt overigens ook voor IT-leveranciers die een online ruimte beschikbaar stelt (‘host’) voor de persoonsgegevens namens de initiatiefnemer.

Tip: bepaal vooraf welke gegevens u als initiatiefnemer van deelnemers nodig hebt. Dit zal per participatieniveau verschillen en hangt samen met hoe u het tussen- en eindverslag met deelnemers wilt communiceren.

Tip: denk ook aan het anonimiseren van gegevens in tussen- en eindproducten. Spreek altijd van [reclamant] in plaats van meneer Janssen of mevrouw Yong. Verslagen die gedeeld worden met anderen mogen nietvoorzien zijn van persoonsgegevens die te herleiden zijn.