Gemeente neemt telefoongesprekken op zonder toestemming

[Keesdegrote]

Zojuist probeerde ik gemeente X te bellen. Ik krijg direct te horen dat alle telefoongesprekken opgenomen worden om de dienstverlening te verbeteren. Er wordt niet om toestemming gevraagd, geen keuzemenu dus.

Nu weet ik dat bedrijven gesprekken mogen opnemen door zich op de grondslag gerechtvaardigd belang te beroepen. Overheden kunnen dit echter niet, dus moeten zich of op een wettelijke taak, of op toestemming beroepen. Nu vraag ik mij af of in de wet vastgelegd is dat dit mag. Toestemming wordt niet gevraagd.

Overtreedt de gemeente hiermee de AVG? Ik kan me voorstellen dat er ook gevoelige onderwerpen besproken worden (denk aan aanvragen Wmo of Jeugdhulp, waarvoor de gemeente ook verantwoordelijk is). Ik kan me voorstellen dat dit soort gesprekken vertrouwelijk behandeld dienen te worden (vanwege ook bijzondere persoonsgegevens) en dat vrijelijk het gesprek voeren hiermee belemmerd wordt.

Hoe kijken jullie hier tegenaan?

[MAX3400]

Dit mag: je krijgt een notificatie voordat je met een medewerker spreekt dus dat alle gesprekken worden opgenomen.

Je goed recht is daarna een verzoek indienen om dat gesprek dus te wissen mits dat overeenkomstig het gerechtvaardigd belang en bewaartermijn van de gemeente Oldebroek is.

Mogelijk toelichting: opgenomen gesprekken zijn vaak alleen toegankelijk voor team-managers / leidinggevenden / juristen etc. Dit op basis van bepaalde permissies richting de telefooncentrale en/of de bijbehorende software.

Sterker nog; ik (als IT'er) heb te maken met het toekennen van permissies en werkend houden van dit soort software. Zelfs voor troubleshooting krijg ik van de klant geen test-account naar de achterliggende opnamen etc. Alles gebeurt onder supervisie van een team-manager die dan met zijn account test of mijn aanpassing voldoende is voor de bedrijfsvoering.

[ Voor 50% gewijzigd door MAX3400 op 23-01-2019 16:32 ]

[Keesdegrote]

Iemand informeren over de verwerking betekent nog niet dat je daarmee ook maar alle gegevens mag verwerken. Je hebt altijd 1 van de 6 grondslagen vanuit de AVG nodig. Die is er volgens mij niet.

Daarnaast moet je altijd een belangenafweging maken. Is het noodzakelijk om de gegevens te gebruiken om het doel te bereiken (verbeteren dienstverlening), en of je niet af kan met minder gegevens / een alternatief. Volgens mij niet, verbetering van dienstverlening kan op andere privacyvriendelijker manieren of met toestemming.

Beveiliging en toegangsrechten zijn randvoorwaarden die pas komen na stap 1 (mag ik de gegevens verwerken).

[ Voor 10% gewijzigd door Keesdegrote op 23-01-2019 16:44 ]

[Frostbite]

GDPR (AVG) en opnemen van telefoongesprekken
In ons artikel “Juridische aspecten omtrent opnemen telefoongesprekken” zijn we ingegaan op de wetgeving omtrent het opnemen van telefoongesprekken. Alhoewel een groot deel van de inhoud in dat artikel nog steeds geldig is, is er met invoering van de nieuwe Europese GDPR wetgeving (in Nederland ook wel bekend als AVG) wel het e.e.a. gewijzigd. Hieronder geven we een korte uitleg over een aantal zaken die gewijzigd zijn. Dit artikel is geenzins volledig en kan op individuele punten voor uw specifieke organisatie altijd afwijken. Het beste kunt u hierover dan ook een jurist raadplegen.

Veel bedrijven gaven al een notificatie als ze telefoongesprekken opnemen. U heeft het vast wel eens gehoord; “dit gesprek kan worden opgenomen voor trainings of evaluatiedoeleinden”. Alhoewel dit voorheen niet echt een verplichting was in de Benelux is dat m.i.v. 25 mei 2018 wel. U dient uw klanten, als zij voor het eerst contact met u opnemen, te informeren over het feit dat u telefoongesprekken opneemt. Het opnemen van telefoongesprekken valt onder de nieuwe GDPR wetgeving omdat u privacy gevoelige informatie bewaard, denk hierbij sowieso al aan de naam en het telefoonnummer, maar uiteraard kan ook de inhoud van het gesprek privacy gevoelige informatie bevatten.

Een ander aspect waar u rekening mee dient te houden is dat uw klant het recht heeft om de data op te vragen die u van hem/haar heeft vastgelegd. Als uw klant hierom vraagt moet u de opgenomen gesprekken kunnen overleggen samen met de opgeslagen metadata. Veel opname apparatuur kan deze data eenvoudig exporteren. Hou er tevens rekening mee dat een klant kan verzoeken om de door u bewaarde data te verwijderen, u dient hier dan ook gehoor aan te geven. Een uitzondering op deze regel geldt voor financials. Financiele instellingen die onder de MiFID II regulering vallen zijn verplicht om alle data 5 jaar (in incidentele gevallen 7 jaar) te bewaren. Als een finaciele instelling een verzoek krijgt tot verwijdering van data van een klant mag daar geen gehoor aan worden gegeven omdat de MiFID II regulering boven de GDPR wetgeveing staat. Meer informatie betreffende de MiFID II regulering vindt u in onze blog “MiFID II Compliance Recording“.

Tenslotte moet u uw klanten informeren als er opgeslagen data is uitgelekt. Wij adviseren onze klanten dan ook om alle gesprekken versleuteld op te slaan. De door BPS International geleverde apparatuur heeft deze mogelijkheid.

Mocht uw huidige apparatuur niet meer voldoen aan bovenstaande eisen kunt u natuurlijk te allen tijde contact met ons opnemen om samen met u te kijken hoe wij uw bestaande omgeving om kunnen zetten naar een nieuwe omgeving die volledig voldoet aan de GDPR wetgeving.

(Bron)

Weet wel dat de gemeente de bronhouder is van jouw gegevens. Alle andere bedrijven krijgen de informatie door van de gemeente (Belastingdienst, RDW ,enz.)

[Keesdegrote]

Frostbite schreef op woensdag 23 januari 2019 @ 16:44:
[...]

(Bron)

Dit gaat over bedrijven. Voor bedrijven gelden andere regels dan voor de overheid (m.b.t. grondslag gerechtvaardigd belang).

[RocketKoen]

Keesdegrote schreef op woensdag 23 januari 2019 @ 16:45:
[...]


Dit gaat over bedrijven. Voor bedrijven gelden andere regels dan voor de overheid (m.b.t. grondslag gerechtvaardigd belang).

https://www.privacycompan...ng-niet-voor-de-overheid/

Het gerechtvaardigd belang kan dus wel ingezet worden voor de bedrijfsvoering, dus de wijze waarop intern invulling wordt gegeven aan de uitvoering van de publieke taak. En natuurlijk voor zaken die buiten die taak vallen, zoals een toegangssysteem en een register van het wagenpark. Wat niet (meer) mag is zelf de bevoegdheden uitbreiden op grond van het gerechtvaardigd belang.

Overheden mogen dus wel gebruik maken van gerechtvaardigd belang.
Het verwerken van persoonsgegevens moet alleen voortvloeien uit dat belang en niet andersom.
Als ze gesprekken opnemen voor trainingsdoeleinden, mogen die daarna niet ook voor iets anders worden ingezet.

En punt 2:
Je gaat er nu vanuit dat die gemeente zelf de helpdesk bemand. Er is een hele grote kans dat die taak is uitbesteed aan een callcenter ergens. Dat is wel gewoon een bedrijf.

[MAX3400]

Keesdegrote schreef op woensdag 23 januari 2019 @ 16:45:
[...]
Voor bedrijven gelden andere regels dan voor de overheid (m.b.t. grondslag gerechtvaardigd belang).

Dat klopt maar de overheid is primair in elk klantcontact (dus met burgers) belast met het verwerken van persoonlijke data. Sterker nog, zonder persoonlijke data, kan je het gemeentehuis wel opdoeken want dan heb je alleen nog maar de controleur van het groen en de parkeerwachters nodig, zeg maar.

De gemeente heeft als kerntaak het behandelen van en verwerken van data van burgers; impliciet is dus het opnemen van alle gesprekken dus als ingesloten in hun eigen processen en middelen.

[F_J_K]

RocketKoen schreef op woensdag 23 januari 2019 @ 16:56:
https://www.privacycompan...ng-niet-voor-de-overheid/
[...]

Overheden mogen dus wel gebruik maken van gerechtvaardigd belang.
Het verwerken van persoonsgegevens moet alleen voortvloeien uit dat belang en niet andersom.
Als ze gesprekken opnemen voor trainingsdoeleinden, mogen die daarna niet ook voor iets anders worden ingezet.

Inderdaad als het bedrijfsvoering betreft. Dat is hier erg in het grijze gebied, als ik de gemeente bel over %vergunning% of bijv. de Wmo dan zou ik zeggen dat het is in het kader van de uitvoering van de wettelijke taak.

En punt 2:
Je gaat er nu vanuit dat die gemeente zelf de helpdesk bemand. Er is een hele grote kans dat die taak is uitbesteed aan een callcenter ergens. Dat is wel gewoon een bedrijf.

Onjuist. Dat maakt het callcenter een verwerker. De gemeente blijft de verantwoordelijk.

Edit:

MAX3400 schreef op woensdag 23 januari 2019 @ 16:57:
[...]

Dat klopt maar de overheid is primair in elk klantcontact (dus met burgers) belast met het verwerken van persoonlijke data. Sterker nog, zonder persoonlijke data, kan je het gemeentehuis wel opdoeken want dan heb je alleen nog maar de controleur van het groen en de parkeerwachters nodig, zeg maar.

De gemeente heeft als kerntaak het behandelen van en verwerken van data van burgers; impliciet is dus het opnemen van alle gesprekken dus als ingesloten in hun eigen processen en middelen.

Dan stel je dat 6.1f (gerechtvaardigde belangen) nooit een grondslag mag zijn voor overheden. Dat is onwerkbaar. Alleen grondslagen 6.1a-e kunnen gelden voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun (overheids)taken.
Er is geen wettelijke grondslag voor bestellen van een bloemetje en de ontvanger heeft geen toestemming gegeven, dus dan zou via bloemist sturen van een bloemetje aan een zieke medewerker nooit mogen

Het argument zou moeten zijn: opnemen ihkv bijvoorbeeld opleiding en kwaliteit betreft bedrijfsvoering, waarbij 6.1.f wel van toepassing kan zijn.

Ik kan het niet vreemd vinden trouwens. Mails en de tekst die ik in een portaal schrijf, worden immers ook bijgehouden. Al zou je wel mogen verwachten dat de gemeente terugbelt o.i.d. als je aangeeft een vertrouwelijk iets te willen bespreken dat je niet op band wilt.

[ Voor 43% gewijzigd door F_J_K op 23-01-2019 17:08 ]

[Keesdegrote]

MAX3400 schreef op woensdag 23 januari 2019 @ 16:57:
[...]

Dat klopt maar de overheid is primair in elk klantcontact (dus met burgers) belast met het verwerken van persoonlijke data. Sterker nog, zonder persoonlijke data, kan je het gemeentehuis wel opdoeken want dan heb je alleen nog maar de controleur van het groen en de parkeerwachters nodig, zeg maar.

De gemeente heeft als kerntaak het behandelen van en verwerken van data van burgers; impliciet is dus het opnemen van alle gesprekken dus als ingesloten in hun eigen processen en middelen.

Het is maar de vraag of je elk gesprek op moet nemen om je wettelijke taak uit te kunnen voeren. Je zou ook eerst te woord gestaan kunnen worden waarna je gevraagd wordt je te identificeren, vervolgens word je verder geholpen. Op deze manier verwerk je niet onnodig teveel gegevens. Ik kan namelijk ook bellen met een heel algemene vraag (waar moet ik terecht met hulp bij...) waarbij het voor de gemeente totaal niet nodig is om mijn gegevens op te slaan.

Daarbij vind ik 'verbetering dienstverlening' nog een redelijk vage omschrijving.

Het meeste waar ik me druk om maak is het feit dat gemeenten verantwoordelijk zijn voor ondersteuning van minder zelfredzame burgers. Tijdens dit soort gesprekken komt vaak de hulpvraag aanbod, waarbij soms toch best gevoelige informatie besproken wordt (medische gegevens).Ook artsen zullen altijd toestemming nodig hebben om gesprekken met de patiënt op te nemen aldus Arnoud (https://www.security.nl/p...n+pati%C3%ABnt+en+arts%3F).

Ik kan me voorstellen dat het richting burgers een drempel opwerpt om je problemen te bespreken met de gemeente.

[ Voor 25% gewijzigd door Keesdegrote op 23-01-2019 17:18 ]

[MAX3400]

@Keesdegrote ik snap je antwoorden tot nu toe maar je roept alleen maar (samengevat en in mijn ogen): jullie antwoorden zijn allemaal niet goed. Waarom vraag je het niet aan de gemeente Oldebroek waarom ze het doen en of ze je een afschrift willen doen toekomen van hun motivatie om alles maar op te nemen?

En ja, er zijn zeker momenten dat het niet direct nodig is om een gesprek op te nemen maar omdat "0800-gemeente" bij jou ook geen keuzemenu heeft, kan de telefoniste / telefooncentrale toch niet raden met welke (vertrouwelijke) reden je belt? En dan snap ik wel dat bij gebrek aan een glazen bol alles maar wordt opgenomen; better safe than sorry, zeg maar?

waarna je gevraagd wordt je te identificeren

Dan moet je naar een balie met je identiteitsbewijs. Of heb jij een waterdichte (!!!) manier om je telefonisch te identificeren dat je daadwerkelijk @Keesdegrote bent met BSN 12345678 wonende aan de Dorpslaan 1 in Oldebroek?

[F_J_K]

Keesdegrote schreef op woensdag 23 januari 2019 @ 17:11:
[...]
Het is maar de vraag of je elk gesprek op moet nemen om je wettelijke taak uit te kunnen voeren.

Dat is helemaal geen vraag: het is niet wettelijk verplicht om elk gesprek op te nemen en ook niet absoluut noodzakelijk. (Heb je ooit een ambtenaar gesproken zonder dat er een microfoon bij stond? Zo ja, is het duidelijk niet noodzakelijk of verplicht ) Niet verplicht of noodzakelijk, dus niet toegestaan onder 6.1c of e.

Maar m.i. wel onder f, want bedrijfsvoering.

Maar wat @MAX3400 zegt is terecht: vraag inderdaad concreet aan de functionaris gegevensbescherming van de gemeente op basis van welke grondslag ze ieder gesprek opnemen.

[Keesdegrote]

F_J_K schreef op woensdag 23 januari 2019 @ 17:19:
[...]


Maar wat @MAX3400 zegt is terecht: vraag inderdaad concreet aan de functionaris gegevensbescherming van de gemeente op basis van welke grondslag ze ieder gesprek opnemen.

Dit wilde ik ook doen maar het leek mij goed (en leuk) om eerst de mening van andere Tweakers te horen.

[Keesdegrote]

F_J_K schreef op woensdag 23 januari 2019 @ 17:19:
[...]

Maar m.i. wel onder f, want bedrijfsvoering.

Ik zie niet in waarom het opnemen van het gesprek noodzakelijk is voor een goede bedrijfsvoering. Ook als je een gesprek niet opneemt kan de gemeente je prima verder helpen.

De gemeente geeft zelf ook aan dat het om verbeteren van de dienstverlening gaat, dit is iets anders dan noodzakelijk voor de bedrijfsvoering.

[MAX3400]

Keesdegrote schreef op woensdag 23 januari 2019 @ 17:21:
[...]


Dit wilde ik ook doen maar het leek mij goed (en leuk) om eerst de mening van andere Tweakers te horen.

Ik zou het interessanter vinden als je eerst de gemeente om een reaktie had gevraagd, daarna hun motivatie had doorgelezen en daarna pas een topic had geopend of een bepaald artikel of paragraaf terecht is en/of binnen de AVG past. Dan hadden we gerichter en directer specifieke antwoorden kunnen geven op de motivatie van de gemeente en niet jouw onderbuikgevoel

[F_J_K]

Onder f is geen noodzaak nodig, wel gerechtvaardigd belang. Waarbij de privacy van de betrokkene moet meewegen.

Edit: pas ajb je vorige post aan als je binnen 24 uur iets wilt toevoegen terwijl niemand anders reageerde. nu lijk je je topic 'omhoog te willen schoppen' in de topiclijst.

[ Voor 43% gewijzigd door F_J_K op 23-01-2019 17:27 ]