Antwoord schriftelijke vragen : Antwoord op vragen van het lid Dekker-Abdulaziz over het artikel 'Nieuwe app Forum lek: privégegevens alle 92.000 (oud-)leden op straat'

Antwoord van Minister Bruins Slot (Binnenlandse Zaken en Koninkrijksrelaties), mede
namens de Minister voor Rechtsbescherming (ontvangen 2 februari 2023).

Vraag 1

Bent u bekend met het artikel «Nieuwe app Forum lek: privégegevens alle 92.000 (oud-)leden
op straat»?1

Antwoord 1

Ja

Vraag 2

Deelt u de mening dat het lidmaatschap van een politieke partij een bijzonder soort
persoonsgegeven is en dat politieke partijen hier extra zorgvuldig mee om moeten gaan?

Antwoord 2

Ja. Uit het lidmaatschap van een politieke partij kan in principe de politieke opvatting
van een persoon blijken. Persoonsgegevens betreffende het lidmaatschap zijn volgens
de Algemene Verordening Gegevensbescherming (AVG) «bijzondere categorieën van persoonsgegevens».
Het verwerken daarvan is verboden, tenzij er een uitzonderingsgrond geldt. In paragraaf
3.1 van de Uitvoeringswet AVG zijn een aantal uitzonderingsgronden op het verwerkingsverbod
opgenomen. Een ervan is artikel 22 lid 2 onder c van de Uitvoeringswet AVG (UAVG),
op grond waarvan politieke partijen persoonsgegevens van hun leden mogen verwerken
in het kader van haar gerechtvaardigde activiteiten en met passende waarborgen, mits
de verwerking uitsluitend betrekking heeft op de leden of de voormalige leden van
de instantie of op personen die in verband met haar doeleinden regelmatig contact
met haar onderhouden, en de persoonsgegevens niet zonder de toestemming van de betrokkenen
buiten die instantie worden verstrekt.

Daarnaast zijn alle overige vereisten uit de AVG voor een zorgvuldige verwerking onverkort
van toepassing. Zo moet de verwerking gebonden zijn aan specifieke doelen en mogen
er niet meer gegevens worden verwerkt dan noodzakelijk is (de zogeheten dataminimalisatie).
Daarnaast moeten maatregelen zijn genomen om te zorgen dat de verzamelde gegevens
juist zijn, mogen de gegevens niet langer worden bewaard dan nodig is en moeten organisatorische
en technische maatregelen getroffen worden zodat gegevens goed beveiligd en vertrouwelijk
blijven. Het niveau van de getroffen beveiligingsmaatregelen moet passend zijn in
het licht van de aard van de te beschermen gegevens. Daarnaast dient de verwerkingsverantwoordelijke
ook technische en organisatorische veiligheidsmaatregelen (artikel 32 AVG) te treffen
die in verhouding staan tot de hoeveelheid en de aard van de gegevens die zij verwerken
(hoe meer gegevens en hoe gevoeliger deze zijn, des te sterker deze maatregelen moeten
zijn).

Vraag 3

Zo ja, hoe verhoudt dit zich tot het feit dat aan politieke partijen geen bijzondere
eisen worden gesteld als het gaat om de interne partijorganisatie, bijvoorbeeld het
hebben van een secretaris die verantwoordelijk is voor de ledenadministratie?

Antwoord 3

Politieke partijen hebben een bijzondere positie in onze democratie. Dit is ook de
reden dat het kabinet op 22 december 2022 het ontwerpwetsvoorstel voor een Wet op
de politieke partijen in internetconsultatie heeft gebracht. Dit voorstel bevat transparantieregels
inzake de interne organisatie van politieke partijen. Tegelijkertijd is het kabinet
met het oog op de onafhankelijke positie van politieke partijen terughoudend in het
opleggen van inhoudelijke eisen aan de interne organisatie van politieke partijen.
Dit neemt niet weg dat politieke partijen, zoals elke andere organisatie, op grond
van artikel 5, tweede lid van de AVG verplicht zijn zichzelf zo te organiseren dat
zij persoonsgegevens zoals hierboven is geschetst zorgvuldig en correct verwerken
en dat ook kunnen aantonen.

Vraag 4 en 5

Vindt u dat het extra kwalijk is wanneer politieke partijen van gegevens van oud-leden
bewaren?

Hoe verhoudt het bewaren van persoonsgegevens van oud-leden zich tot de AVG?

Antwoord 4 en 5

Op grond van het genoemde artikel 22 UAVG mogen persoonsgegevens worden verwerkt van
leden, voormalige leden of personen die in verband met de doelstellingen regelmatig
contact onderhouden met de organisatie. Dit is soms ook noodzakelijk. Zo vereist artikel
20 van de Wet financiering politieke partijen (Wfpp) van een politieke partij dat
zij 10 jaar lang een administratie bewaart die een betrouwbaar beeld geeft van de
financiële positie. Hieronder vallen ook ontvangen bijdragen – bijvoorbeeld giften
of contributies – boven het wettelijke drempelbedrag, ook als deze van oud-leden zijn.2

Deze gegevens mogen echter niet buiten de organisatie worden verstrekt en in alle
situaties dienen verwerkingen te zijn voorzien van passende waarborgen zoals genoemd
onder antwoord 3. Daartoe behoort dat de gegevens niet langer mogen worden bewaard
dan noodzakelijk is voor de doeleinden waarvoor ze verzameld zijn. De bewaartermijnen
moeten onderbouwd zijn en worden vastgelegd in het verwerkingsregister. Omdat het
lidmaatschap van een politieke partij sensitieve informatie is en behoort tot de bijzondere
categorieën van persoonsgegevens, hebben politieke partijen ook een bijzondere verantwoordelijkheid
om te voldoen aan het hierboven gestelde wettelijk kader. Het is uiteindelijk aan
de Autoriteit Persoonsgegevens (AP) om te bepalen of een organisatie wel of niet volgens
de geldende privacy wetgeving handelt.

Vraag 6

Heeft de Autoriteit Persoonsgegevens een onderzoek ingesteld naar het datalek en wanneer
kunnen de resultaten daarvan verwacht worden?

Antwoord 6

Desgevraagd heeft de AP laten weten dat zij geen uitspraken wenst te doen over individuele
meldingen en zaken in het kader van eventueel onderzoek.

Vraag 7

Welke vorm van toezicht of controle vindt er momenteel plaats op de wijze van ledenadministratie,
de wijze waarop politieke partijen met persoonsgegevens omgaan, en hoe kunnen claims
over het aantal betalende leden geverifieerd worden in het kader van de Wet Financiering
Politieke Partijen (WFPP)?

Antwoord 7

Vanuit de Wfpp is het van belang dat politieke partijen een goede ledenadministratie
voeren zodat een onafhankelijk accountant kan vaststellen hoeveel betalende leden
een politieke partij heeft.3 De Wfpp vereist niet dat politieke partijen gegevens van oud-leden bewaren, noch
worden er eisen gesteld aan de inrichting van de ledenadministratie. Daar waar sprake
is van verwerking van persoonsgegevens, is de AP de verantwoordelijke toezichthouder.

Jaarlijks dienen politieke partijen, welke vertegenwoordigd zijn in de Tweede Kamer
of Eerste Kamer, voor 1 juli de verantwoording van de subsidie en overige inkomsten
op basis van de Wfpp in. Deze verantwoording dient vergezeld te worden van een goedkeurende
accountantsverklaring. Deze accountantsverklaring ziet ook op de juistheid van de
opgegeven ledentallen.

Vraag 8

In hoeverre valt het opbouwen en beheren van een app die onder andere een datingfunctie
en een platform voor zakelijke contacten bevat onder de activiteiten waarvoor de subsidie
die wordt verstrekt in het kader van de WFPP kan worden ingezet zoals beschreven in
artikel 7 lid 2 van de WFPP?

Antwoord 8

In artikel 7, lid 2 van de Wfpp staat vermeld voor welke doelen een politieke partij
de subsidie kan gebruiken. Daarbij is voorzien in een systematiek waarbij het subsidiebedrag
door de partij naar eigen inzicht voor een veelheid aan activiteiten kan worden aangewend.
Voorwaarde hierbij is dat deze activiteiten deel uitmaken van de limitatieve opsomming
in het genoemde artikellid. Deze activiteiten zijn zo breed en divers geformuleerd
dat in beginsel alle reguliere partijactiviteiten voor subsidie in aanmerking komen.

Zoals gemeld in het antwoord op vraag 7 dienen politieke partijen welke vertegenwoordigd
zijn in de Tweede Kamer of Eerste Kamer, voor 1 juli de verantwoording voor de subsidie
en overige inkomsten in. Ook geldt dat politieke partijen een goedkeurende verklaring
moeten aanleveren van een onafhankelijke accountant over onder andere de verenigbaarheid
van het activiteitenverslag met het financieel verslag en de rechtmatigheid van de
besteding van de subsidie.