De gemeente heeft bij een enquête onder inwoners over het evenementenbeleid gebruik gemaakt van een door een extern ingehuurde projectleider aangedragen bureau: ESI. De gemeente heeft geen verwerkingsovereenkomst met ESI gesloten ook al verkreeg het bureau privégegevens van inwoners. ESI hanteerde een eigen privacyreglement. Daarnaast is er alleen mondeling afgesproken dat verzamelde data een jaar na afronding van de opdracht worden verwijderd uit de systemen van ESI.

Dat heeft wethouder Astrid van Eekelen (VVD) laten weten in antwoorden op vragen van gemeenteraadslid Lieke Muller (Aandacht-LV). Op de vraag of ESI heeft voldaan aan de AVG (algemene verordening gegevensbescherming) en andere eisen inzake dataveiligheid en privacy blijft Van Eekelen het antwoord schuldig. Zij verwijst naar ‘inkoopvoorwaarden’ die de gemeente hanteert en de mondelinge afspraak over de verwijdering (vernietiging) van de gegevens door ESI.

Van Eekelen stelt dat het bij de verzamelde gegevens alleen ging om emailadres en woonplaats. Die gegevens noemt zij ‘beperkt gevoelig’. Bovendien is de verwerking door ESI ‘tijdelijk en afgebakend’.

ESI heeft zelf een formulier ontworpen dat moest worden ingevuld. Dat is opgeslagen bij ESI in de daar gebruikte Google-systemen. Van Eekelen erkent dat opslag en verwerking zo ook buiten de EU kon plaatsvinden.

De wethouder stelt dat de gemeente normaliter het bureau Enalyzer gebruikt voor dit soort onderzoeken. Daar is een veilige deelname gewaarborgd, zo geeft zij aan. De gemeente hanteert duidelijk voorwaarden voor het omgaan met persoonsgegevens, aldus Van Eekelen. Er wordt ook vooraf getoetst op de naleving van eisen inzake privacy en beveiliging plus mogelijke veiligheidsrisico’s, zo beweert ze.