DPIA — gemeentelijke deelname
De gegevensbeschermingseffectbeoordeling die hoort bij deelname van een gemeente aan buurt.cloud.
Laatst bijgewerkt: 4 november 2026
1. Wanneer geldt deze DPIA?
Deze beoordeling hoort bij organisaties met het type gemeente (en bij wijkmanagement dat namens de gemeente berichten plaatst). Zodra een gemeente een kanaal op buurt.cloud gebruikt om bewoners te bereiken, is er sprake van een publieke taak in combinatie met persoonsgegevens van bewoners — dan is een DPIA verplicht volgens de eigen richtlijnen van de gemeente en de AP-lijst.
Zonder gemeentelijke deelname is deze DPIA niet van toepassing; de privacyverklaring en het verwerkingsregister dekken de verwerking dan af.
2. Beschrijving van de verwerking
- De gemeente plaatst berichten, activiteiten en enquêtes voor bewoners, eventueel beperkt tot bepaalde postcodegebieden.
- Bewoners kunnen reageren, zich aanmelden voor activiteiten en enquêtes invullen (anoniem of met account).
- De gemeente ziet aantallen en resultaten, geen volledige adressen van bewoners.
- Meldingen over inhoud lopen via de moderatie van buurt.cloud, met vaste termijnen.
3. Noodzaak en proportionaliteit
Buurtberichten zijn lokaal en doelgericht; de gemeente bereikt bewoners zonder eigen adressenbestand te hoeven opbouwen. We gebruiken niet meer gegevens dan nodig: postcodegebied in plaats van adres, account in plaats van een burgerservicenummer, en anonieme deelname waar dat kan.
4. Risico's en maatregelen
| Risico | Kans / impact | Maatregel | Restrisico |
|---|---|---|---|
| Herleidbaarheid van bewoners uit kleine postcodegebieden of enquêtes | Midden / hoog | Resultaten pas tonen bij voldoende deelnemers; geen straatniveau; anonieme enquêtes standaard aan | Laag |
| Gemeente gebruikt het kanaal voor doeleinden buiten de afspraak | Laag / midden | Doelbinding in de overeenkomst; alleen gemeentekanalen, geen export van persoonsgegevens | Laag |
| Machtsevenwicht: bewoner durft niet te weigeren | Midden / midden | Deelname is vrijwillig en anoniem mogelijk; geen persoonsgegevens naar de gemeente zonder grondslag | Laag |
| Onbedoelde publicatie van persoonsgegevens in een bericht | Midden / hoog | Moderatie vooraf bij nieuwe gemeentekanalen; checklist voor plaatsers; meldknop en SLA van 4 uur bij veiligheidsmeldingen | Laag |
| Datalek of ongeoorloofde toegang | Laag / hoog | Rolgebaseerde toegang, logging, TLS, hashing, tweestaps-verificatie voor beheerders | Laag |
| Te lange bewaring van berichten en enquêteresultaten | Midden / midden | Vaste termijnen (chat 60 dagen, meldingen 1 jaar); jaarlijkse opschoning en controle | Laag |
5. Grondslag en afspraken met de gemeente
De gemeente verwerkt voor haar eigen berichten op basis van haar publieke taak; buurt.cloud verwerkt als platform op basis van de overeenkomst met deelnemers. In de samenwerkingsovereenkomst staan doelbinding, bewaartermijnen, wie welke verzoeken afhandelt en hoe datalekken worden gemeld.
6. Bewoners informeren
- Bij elk gemeentekanaal staat wie het bericht plaatst, met een link naar deze DPIA.
- De privacyverklaring noemt de gemeentelijke deelname en de gegevens die daarbij horen.
- Enquêtes melden vooraf of deelname anoniem is en wat er met de resultaten gebeurt.
7. Toezicht, evaluatie en doorgang
De DPIA wordt herzien bij een nieuwe gemeente, bij een nieuwe vorm van verwerking (bijvoorbeeld koppeling met een gemeentelijk systeem) en daarna minimaal elke twee jaar. De uitkomst wordt vastgelegd en gedeeld met de privacyfunctionaris van de gemeente. Zonder akkoord op deze DPIA start er geen gemeentelijk kanaal.