Advies

voor

(Ministerie van Volksgezondheid, Welzijn en Sport)

cc
van

(kantoor landsadvocaat)

datum

2 december 2021

inzake

Advies voorgenomen werkwijze datalevering feitenonderzoek PBM

zaaknr

1

Inleiding

1.1

De minister voor Medische Zorg en Sport (minister) heeft in een kamerbrief van 18
juni 20211 toegezegd een aanvullend onderzoek (het onderzoek) te verrichten naar
de mogelijke onregelmatigheden bij de inkoop van Persoonlijke Beschermingsmiddelen
(PBM). Dit onderzoek zal worden uitgevoerd door Deloitte Forensic & Dispute Services
B.V. (Deloitte).

1.2

Deloitte heeft zeven relevante databronnen geïdentificeerd waarover Deloitte ten
behoeve van het onderzoek de beschikking wenst te krijgen in de vorm van een kopie
van (de gegevens in) deze databronnen. Deze kopie wordt aangeduid als de ‘bruto
dataset’.

1.3

In ons advies van 14 september 2021 lag, kort gezegd, de vraag voor of de minister
de bruto dataset ongefilterd aan Deloitte kan overdragen, zoals Deloitte wenste met
het oog op de onafhankelijkheid van het onderzoek, of dat de minister eerst een
selectie op de bruto dataset dient toe te passen, zoals het ministerie van VWS (VWS)
wenste met het oog op de Algemene verordening gegevensbescherming (AVG).
Samengevat adviseerden wij hierover, voor zover hier van belang, het volgende.

1.4

Niet uit te sluiten valt dat de bruto dataset bijzondere persoonsgegevens, wettelijke
identificatienummers en informatie die onder een geheimhoudingsplicht valt, bevat. De
wet biedt geen grondslag voor verstrekking van dergelijke gegevens aan Deloitte en
voor verdere verwerking daarvan door Deloitte. Dat rechtvaardigt dat de minister
voorafgaand aan de verstrekking vergaande maatregelen treft om de aan Deloitte te
verstrekken dataset van dergelijke gegevens te ontdoen (schoning).

1

Kamerstukken II 2020-2021, 25 295, nr. 117.

2/11

1.5

De bruto dataset bestaat voorts grotendeels uit voor het onderzoek niet relevante
gegevens. Ook na de hiervoor bedoelde schoning, lijkt het zonder selectie van voor het
onderzoek relevante gegevens voorafgaand aan de verstrekking (dataselectie) vrijwel
onmogelijk om te kunnen voldoen aan het noodzakelijkheidsbeginsel
(dataminimalisatie). De gewenste onafhankelijkheid van Deloitte en de door Deloitte
voorgenomen maatregelen en waarborgen na ontvangst van de bruto dataset nemen
dit niet weg. Dat de zoeksoftware van VWS gebreken kent en het niet eenvoudig is om
de zoeksoftware van Deloitte binnen de systemen van VWS toe te passen, biedt een
startpunt voor de redenering dat geen minder ingrijpende middelen voorhanden zijn,
maar vereist een nadere verantwoording van de onmogelijkheid om alternatieven in te
zetten. Alternatieven lijken nog onvoldoende onderzocht. Het ligt op de weg van de
minister om te bezien of er een alternatieve werkwijze bestaat die een minder
vergaande inbreuk maakt op de privacybelangen van de medewerkers en derden van
wie persoonsgegevens worden verstrekt.

1.6

Een mogelijke oplossing die recht doet aan de diverse belangen is dat een derde als
Trusted Third Party (TTP), als verwerker voor de minister, de schoning van de bruto
dataset én de eerste dataselectie met vooraf vastgestelde zoektermen verricht. Door
een TTP in te schakelen wordt de gewenste onafhankelijkheid gewaarborgd en als
verwerker ontleent de TTP de vereiste wettelijke grondslag voor de schoning en
dataselectie aan de minister.

1.7

Na ons advies van 14 september 2021 zijn VWS en Deloitte in overleg gekomen tot
een voorgenomen werkwijze waarbij schoning en dataselectie bij VWS plaatsvindt
voordat een dataset aan Deloitte wordt overgedragen. De voorgenomen werkwijze is
neergelegd in een concept data protocol. VWS heeft ons gevraagd om advies uit te
brengen over de vraag of de voorgenomen werkwijze wat betreft schoning en
dataselectie, gelet op ons eerdere advies, in overeenstemming is met de regels van de
AVG.

1.8

Voor dit advies hebben wij, net als voor het vorige advies, niet een heel precieze
beoordeling per databron verricht. Ons advies betreft een advies op hoofdlijnen over
de uitgangspunten van de voorgenomen werkwijze. Wij zetten uiteen hoe wij deze
hebben begrepen. Wij hebben in ons vorige advies geadviseerd een
gegevensbeschermingsovereenkomst met Deloitte te sluiten. Wij volstaan er hier mee
op te merken dat wij dat advies handhaven.

2

Samenvatting

2.1

Er zijn twee maatregelen genomen om de dataset die aan Deloitte zal worden
overgedragen, de zogenoemde onderzoekspopulatie, te schonen van bijzondere
persoonsgegevens, wettelijke identificatienummers en informatie die onder een
geheimhoudingsplicht valt. De eerste maatregel is dat de bruto dataset wordt
teruggebracht tot een beperkte bruto dataset, waarvan worden uitgesloten:

Landsadvocaat

3/11

persoonlijke datasets, datasets die Deloitte op grond van metadata niet relevant acht
en datasets die naar hun aard gevoelige of geheime informatie zullen inhouden. De
beperkte bruto dataset wordt vervolgens bij VWS met een geautomatiseerde zoekslag
vernauwd tot een zogenoemde potentieel relevante populatie. De tweede maatregel is
een steekproef die VWS uitvoert op deze potentieel relevante populatie. Hierbij worden
documenten met gegevens die niet aan Deloitte mogen worden verstrekt uitgesloten
van de aan Deloitte te verstrekken onderzoekspopulatie. Daarmee samenhangende
documenten worden ook in de steekproef betrokken. De steekproef heeft een grotere
omvang voor datasets die een grotere kans hebben om gegevens in te houden die niet
aan Deloitte mogen worden verstrekt. Worden bij de steekproef veel soortgelijke
documenten aangetroffen die van de onderzoekspopulatie moeten worden uitgesloten,
dan kan een aanvullende geautomatiseerde zoekslag worden uitgevoerd gericht op het
vinden van meer soortgelijke documenten, zodat ook die van de onderzoekspopulatie
worden uitgesloten.
2.2

Door deze maatregelen vermindert het risico dat gegevens die verwijderd moeten
worden toch aan Deloitte verstrekt worden. Maar een zeker restrisico blijft bestaan. De
omvang hiervan kunnen wij niet inschatten. Overwogen kan worden dit restrisico
verder te mitigeren door een geautomatiseerde zoekslag uit te voeren gericht op het
vinden van gegevens die verwijderd moeten worden die niet afhankelijk is van de
resultaten van de steekproef. Ook dat zal een restrisico ons inziens niet uitsluiten. Als
Deloitte na verstrekking gegevens aantreft die hadden moeten worden verwijderd, dan
moet Deloitte deze direct verwijderen. Wij adviseren dit in de werkwijze op te nemen.

2.3

Dataselectie vindt voor overdracht van de onderzoekspopulatie aan Deloitte plaats
door beperking van de bruto dataset, de geautomatiseerde zoekslag en de steekproef.
Met een voorbehoud ten aanzien van de wijze van uitvoering achten wij verdedigbaar
dat hiermee voldoende maatregelen zijn getroffen om bovenmatige
gegevensverstrekking te voorkomen, mede gelet op de review door Deloitte na de
verstrekking en de geheimhouding en beveiliging van de gegevens waartoe Deloitte
zich heeft verbonden.

2.4

Deloitte is betrokken bij de schoning en dataselectie voor de overdacht van de dataset.
Om te voorkomen dat Deloitte als (mede)verantwoordelijke daarvoor wordt
aangemerkt is van belang dat kan worden aangetoond dat alleen de minister daarop
een beslissende invloed heeft. Hiertoe dient de inbreng die Deloitte heeft te worden
beperkt tot het geven van advies. De werkwijze kan zo worden ingericht dat naar onze
mening verdedigbaar is dat alleen de minister als verantwoordelijke voor die schoning
en dataselectie wordt aangemerkt. Dit is evenwel niet zonder risico’s. In de eerste
plaats bestaat het risico dat Deloitte in de uitvoering in enige mate toch een
beslissende invloed zal hebben. In de tweede plaats is een risico dat medewerkers van
Deloitte al voor de overdracht van de dataset kennisnemen van persoonsgegevens. Dit
risico betreft vooral de gegevens waarop de schoning betrekking heeft. Wij adviseren

Landsadvocaat

4/11

daarom zoveel mogelijk te voorkomen dat medewerkers van Deloitte kennisnemen van
dergelijke gegevens.
3

De voorgenomen werkwijze

3.1

De voorgenomen werkwijze is ons, voor zover van belang voor schoning en
dataselectie, als volgt toegelicht:


Uit de bruto dataset wordt bij VWS een ‘beperkte bruto dataset’
samengesteld. In de eerste plaats worden (onderdelen van) databronnen met
een persoonlijk karakter van de beperkte bruto dataset uitgesloten. In de
tweede plaats maakt Deloitte uit de niet persoonlijke (onderdelen van)
databronnen op basis van metakenmerken, zoals een mappenstructuur, een
selectie van datasets die Deloitte voor het onderzoek relevant acht. Datasets
die Deloitte niet relevant acht worden ook van de beperkte bruto dataset
uitgesloten.
De datasets die hierdoor niet in de beperkte bruto dataset worden opgenomen
stelt VWS wel veilig. Als het onderzoek daar aanleiding toe geeft, zal Deloitte
op een later moment in overleg treden met VWS over een nader
informatieverzoek.
In de derde plaats toetst VWS of de door Deloitte voor het onderzoek relevant
geachte datasets vanuit een oogpunt van geheimhouding of gevoelige2
gegevens van de beperkte bruto dataset moeten worden uitgesloten. Indien
dat volgens VWS het geval is, treedt VWS daarover in overleg met Deloitte.



Op de beperkte bruto dataset wordt een geautomatiseerde dataselectie
uitgevoerd bij VWS, ofwel op locatie van het ministerie, ofwel op locatie van
het shared service centrum waar het ministerie gebruik van maakt. Deze
dataselectie wordt uitgevoerd met een standalone platform van Deloitte
waarop forensische zoeksoftware van Deloitte is geïnstalleerd (platform). Op
het platform worden geautomatiseerde analytische technieken toegepast op de
beperkte bruto dataset om deze door middel van zoekcriteria te vernauwen tot
voor het onderzoek relevante documenten. Alleen documenten die een treffer
opleveren worden geselecteerd. De verzameling aldus geselecteerde
documenten is de ‘potentieel relevante populatie’.



Op de potentieel relevante populatie wordt een steekproefsgewijze controle
uitgevoerd om te komen tot ‘de onderzoekspopulatie’, die aan Deloitte
wordt overgedragen. Deze controle is gericht op het identificeren van
documenten met gevoelige gegevens en van niet relevante documenten. Deze
documenten worden van de onderzoekspopulatie uitgesloten. De steekproef

2

Landsadvocaat

Onder gevoelige gegevens worden in deze beschrijving van de voorgenomen werkwijze in ieder geval
begrepen bijzondere persoonsgegevens, wettelijke identificatienummers en gegevens die onder een
geheimhoudingsplicht vallen.

5/11

heeft een grotere omvang voor datasets van door VWS te bepalen
medewerkers die een grotere kans hebben om documenten met gevoelige
gegevens of niet relevante documenten in te houden. Blijkt een document
gevoelige gegevens in te houden of niet relevant te zijn voor het onderzoek,
dan worden ook met dat document samenhangende documenten in de
steekproef betrokken. De controle wordt uitgevoerd door een medewerker van
VWS en een medewerker van Deloitte. Er wordt een derde partij aangewezen
die als TTP bij verschil van inzicht tussen de medewerker van VWS en de
medewerker van Deloitte beslist of een document in de onderzoekspopulatie
wordt opgenomen. De opdracht aan de TTP wordt door VWS en Deloitte
gezamenlijk geformuleerd.


Als bij de controle veel soortgelijke documenten worden aangetroffen die van
de onderzoekspopulatie moeten worden uitgesloten, dan kan een aanvullende
geautomatiseerde zoekslag worden uitgevoerd op de potentieel relevante
populatie die is gericht op het vinden van meer soortgelijke documenten, zodat
ook die van de onderzoekspopulatie worden uitgesloten. VWS en Deloitte
voeren overleg over de daarbij te hanteren zoekcriteria. Bij verschil van inzicht
wordt dit voorgelegd aan een nog te bepalen derde partij.



Na overdracht van de onderzoekspopulatie aan Deloitte voert Deloitte daar een
inhoudelijke review op uit. Treft Deloitte bij de review voor het onderzoek niet
relevante documenten aan, dan worden deze voor het onderzoek
ontoegankelijk gemaakt. Treft Deloitte bij de review niet relevante
documenten aan of gegevens die niet verstrekt hadden mogen worden, dan
meldt Deloitte dit aan VWS. VWS beschouwt dit als een beveiligingsincident.
De dataset die na de review van Deloitte als relevante documentatie overblijft
wordt binnen Deloitte ter beschikking gesteld om het onderzoek uit te voeren.



VWS en Deloitte maken nog afspraken voor het geval Deloitte zogenoemde
bijvangst in de onderzoekspopulatie aantreft. Onder ‘bijvangst’ wordt verstaan
informatie die geen (directe) relevantie heeft voor het onderzoek, maar die wel
strafrechtelijk of tuchtrechtelijk relevant kan zijn.

4

Beoordeling

4.1

Bij de beoordeling gaan wij achtereenvolgens in op: a) het verwijderen van bijzondere
persoonsgegevens, wettelijke identificatienummers en gegevens die onder een
geheimhoudingsplicht vallen (schoning), b) de selectie van voor het onderzoek
relevante gegevens (dataselectie), en c) de betrokkenheid van Deloitte bij de schoning
en dataselectie.

a) Schoning

Landsadvocaat

6/11

4.2

Voor verstrekking door de minister aan Deloitte en voor verdere verwerking door
Deloitte van bijzondere persoonsgegevens, van wettelijke identificatienummers en van
gegevens die onder een geheimhoudingsplicht vallen, ontbreekt de vereiste wettelijke
grondslag. Het gaat er bij schoning om dat dergelijke gegevens (hierna: te verwijderen
gegevens) worden verwijderd uit de te verstrekken dataset.

4.3

In de voorgenomen werkwijze vindt voor de overdracht van gegevens aan Deloitte op
twee momenten een vorm van schoning plaats. In de eerste plaats bij de
samenstelling van de beperkte bruto dataset uit de bruto dataset (zie randnr. 3.1,
eerste bullet). In de tweede plaats bij de steekproef op de potentieel relevante
onderzoekspopulatie (zie randnr. 3.1, derde en vierde bullet).

4.4

Persoonlijke datasets en door Deloitte niet voor het onderzoek relevant geachte
datasets worden buiten de beperkte bruto dataset gelaten. Hierdoor blijven te
verwijderen gegevens in deze datasets ook buiten de bruto dataset. Wij plaatsen
hierbij de kanttekening dat het onderzoek op een later moment aanleiding kan geven
tot een verzoek van Deloitte om alsnog gegevens te verstrekken uit deze datasets. In
dat geval zullen alsnog maatregelen moeten worden getroffen om de te verstrekken
informatie te schonen.

4.5

Voorts toetst VWS de door Deloitte voor het onderzoek relevant geachte datasets op
geheimhouding en gevoelige gegevens. Ook dit zal ertoe (kunnen) leiden dat te
verwijderen gegevens buiten de beperkte bruto dataset blijven. Wij begrijpen echter
dat dit een globale toets is die hoofdzakelijk plaatsvindt op basis van metakenmerken
van deze datasets. VWS toetst niet op enigerlei wijze de inhoud van al deze datasets
op te verwijderen gegevens.

4.6

Aldus blijft een reëel risico bestaan dat de beperkte bruto dataset nog te verwijderen
gegevens inhoudt. Wij begrijpen dat mede om deze reden de steekproef op de
potentieel relevante populatie plaatsvindt.

4.7

De potentieel relevante populatie komt tot stand door toepassing van
geautomatiseerde analytische technieken op de bruto dataset. Deze technieken zijn
gericht op het vinden van voor het onderzoek relevante documenten. Alleen de voor
een steekproef geselecteerde documenten uit de potentieel relevante populatie,
worden inhoudelijk beoordeeld op de aanwezigheid van te verwijderen gegevens.
Hierdoor blijft een zeker restrisico bestaan dat documenten die niet voor een
steekproef zijn geselecteerd te verwijderen gegevens inhouden en zonder schoning
daarvan terecht komen in de onderzoekspopulatie die aan Deloitte wordt verstrekt.

4.8

De omvang van dit restrisico hangt af van: (i) het aantal documenten in de bruto
onderzoekspopulatie dat niet voor een steekproef wordt geselecteerd en (ii) de kans

Landsadvocaat

7/11

dat die documenten te verwijderen gegevens inhouden. Hierbij is het volgende van
belang:


bij datasets waarvan de kans groter is dat die te verwijderen gegevens
inhouden worden grotere steekproeven genomen,



als bij de steekproef in een document te verwijderen gegevens worden
aangetroffen, worden ook met dat document samenhangende documenten in
de steekproef betrokken, en



als bij de steekproef veel soortgelijke documenten worden aangetroffen die
van de onderzoekspopulatie moeten worden uitgesloten, dan kan een
aanvullende geautomatiseerde zoekslag worden uitgevoerd gericht op het
vinden van meer soortgelijke documenten, zodat ook die van de
onderzoekspopulatie worden uitgesloten.

4.9

Dit zal naar onze inschatting het restrisico verminderen. Wij kunnen de omvang van
het restrisico niet inschatten.

4.10

Wij geven in overweging dat dit restrisico verder kan worden gemitigeerd door op de
potentieel relevante onderzoekspopulatie een geautomatiseerde zoekslag uit te voeren
die is gericht op het vinden van te verwijderen gegevens en die niet afhankelijk is van
de resultaten van de steekproeven. Maar ook dat zal ons inziens niet kunnen uitsluiten
dat Deloitte in de onderzoekspopulatie onverhoopt toch persoonsgegevens aantreft die
daaruit hadden moeten zijn verwijderd. In de voorgenomen werkwijze lijkt voor dat
geval nu alleen te zijn voorzien dat Deloitte dit als beveiligingsincident aan VWS meldt.
Het is van belang dat Deloitte die gegevens ook direct verwijdert. Wij adviseren dit
uitdrukkelijk in de werkwijze op te nemen.
b) Dataselectie

4.11

Bij dataselectie gaat het erom dat de persoonsgegevens die de minister aan Deloitte
verstrekt toereikend, ter zake dienend en beperkt zijn tot wat noodzakelijk is voor het
onderzoek en dat de verstrekking voldoet aan de vereisten van subsidiariteit (er
mogen niet minder vergaande verwerkingsmogelijkheden voorhanden zijn) en
proportionaliteit (de verwerking dient in verhouding te staan tot het met de verwerking
nagestreefde doel).

4.12

De voorgenomen werkwijze houdt de volgende maatregelen in om hieraan te voldoen:


beperking van de bruto dataset tot de beperkte bruto dataset (zie randnr. 3.1,
eerste bullet),



toepassing van geautomatiseerde technieken op de beperkte bruto dataset om
deze te vernauwen tot voor het onderzoek relevante documenten, waarmee de
potentieel relevante populatie ontstaat (zie randnr. 3.1, tweede bullet), en

Landsadvocaat

8/11



de steekproef waarbij niet relevante documenten van de onderzoekspopulatie
worden uitgesloten (zie randnr. 3.1, derde en vierde bullet).

4.13

Met het voorbehoud dat wij de gedefinieerde databronnen, de selectie van de beperkte
bruto dataset, de zoektechnieken en de steekproefsgewijze controle inhoudelijk niet
hebben beoordeeld, achten wij in algemene zin verdedigbaar dat hiermee voldoende
maatregelen zijn getroffen om bovenmatige gegevensverstrekking te voorkomen.

4.14

Hierbij achten wij van belang dat de minister en Deloitte beiden een grondslag hebben
voor hun verwerkingen. Naast de maatregelen om bovenmatige verstrekking aan
Deloitte te voorkomen, geldt dat na de verstrekking Deloitte een review uitvoert op
alle verstrekte documenten en documenten die voor het onderzoek niet relevant zijn
ontoegankelijk maakt. De beoordeling van de relevantie van gegevens voor het
onderzoek behoort tot op zekere hoogte ook tot het uitvoeren van deugdelijk en
onafhankelijk onderzoek. Het gaat er dan ook om dat, gelet op de gegeven
omstandigheden, redelijke maatregelen worden getroffen om te voorkomen dat
persoonsgegevens worden verstrekt die redelijkerwijs voor het onderzoek niet relevant
kunnen zijn.

4.15

Voorts begrijpen wij dat Deloitte zich heeft verplicht tot geheimhouding en tot
beveiliging van de gegevens op tenminste het niveau van beveiliging dat VWS
hanteert. Hiermee zijn waarborgen getroffen om te voorkomen dat de verwerking
andere nadelige gevolgen dan het onderzoek heeft voor de betrokkenen op wie de
gegevens betrekking hebben.

4.16

Wij hebben begrepen dat Deloitte ten aanzien van de geheimhouding een voorbehoud
heeft gemaakt voor het geval uit gegevens blijkt van feiten waarvan Deloitte op grond
van een wettelijk plicht melding moet doen bij de autoriteiten (bijvangst). Dat doet
ons inziens aan het voorgaande niet af. Een uitzondering op een geheimhoudingsplicht
om aan wettelijke verplichtingen te kunnen voldoen is, ook bij wettelijke
geheimhoudingsplichten, die voor verschoningsgerechtigden daargelaten, niet
ongebruikelijk.
c) De betrokkenheid van Deloitte bij de schoning en dataselectie

4.17

De schoning en dataselectie zijn vereist om te voorkomen dat te verwijderen gegevens
voor het onderzoek worden verwerkt en om te voorkomen dat andere gegevens
bovenmatig voor het onderzoek worden verwerkt. Gelet op het ontbreken van een
wettelijk grond voor verwerking van te verwijderen gegevens ten behoeve van het
onderzoek kan schoning uitsluitend onder de verantwoordelijkheid van de minister
plaatsvinden. Voor het verwerken van andere gegevens hebben zowel de minister als
Deloitte een grondslag. Dit laat enige ruimte voor dataselectie onder
verantwoordelijkheid van Deloitte (zie ook randnr. 4.13 en 4.14), waarbij de grenzen
van proportionaliteit en subsidiariteit in acht moeten worden genomen.

Landsadvocaat

9/11

4.18

Zoals volgt uit artikel 4, aanhef en onder 7, van de AVG is de verantwoordelijke voor
een verwerking degene die, alleen of samen met anderen, het doel van en de
middelen voor de verwerking van persoonsgegevens vaststelt. Tot de middelen van
een verwerking behoren niet alleen de technische middelen die worden ingezet maar
ook de gegevens die worden gebruikt. Van het vaststellen van doel en middelen is
sprake bij een doorslaggevende beslissingsbevoegdheid. Het gaat hierbij niet alleen
om wie juridisch beslissingsbevoegd is maar ook om wie feitelijk beslist.

4.19

Om te voorkomen dat Deloitte als (mede)verantwoordelijke voor de schoning en
dataselectie wordt aangemerkt is derhalve van belang dat kan worden aangetoond dat
alleen de minister daarop een beslissende invloed heeft. Hiertoe dient de inbreng die
Deloitte heeft te worden beperkt tot het geven van advies vanuit de rol van
onderzoeker. De minister kan het advies van Deloitte bij zijn besluitvorming
betrekken, maar dient een eigen beslissing te nemen.

4.20

De betrokkenheid van Deloitte betreft de samenstelling van de beperkte bruto dataset,
het ter beschikking stellen en het gebruik van het platform en de steekproef.

4.21

Ten aanzien van de samenstelling van de beperkte bruto dataset verdient het
aanbeveling om vast te leggen dat de minister daarover beslist. De minister kan
overleg voeren met Deloitte als de minister door Deloitte relevant geachte datasets
buiten de beperkte bruto dataset wil laten. Dat overleg dient er dan toe om Deloitte in
de gelegenheid te stellen daarover nader te adviseren en om Deloitte in de
gelegenheid te stellen de onafhankelijkheid van het onderzoek te bewaken.

4.22

Ten aanzien van het platform is van belang dat de rol van Deloitte zich beperkt tot
leverancier van het platform en het geven van instructies over het gebruik ervan.
Deloitte kan de minister daarbij adviseren over de toe te passen zoekmethoden en de
daarbij te hanteren zoekcriteria. De minister dient daarover de uiteindelijke
zeggenschap uit te oefenen. Dit geldt ook voor de vormgeving van de steekproef en
een eventuele aanvullende geautomatiseerde zoekslag naar aanleiding van die
steekproef. De minister dient de uiteindelijke en volledige zeggenschap te hebben over
de opdrachtverlening aan de nog te bepalen derde partij waaraan verschil van inzicht
over de te hanteren zoekcriteria wordt voorgelegd. Deloitte kan daarover wel haar
zienswijze geven.

4.23

De controle van voor de steekproeven geselecteerde documenten wordt in de
voorgenomen werkwijze uitgevoerd door een medewerker van VWS en een
medewerker van Deloitte. Bij verschil van inzicht wordt een TTP ingeschakeld. Indien
de TTP hierbij optreedt als verwerker voor de minister (zie ons eerdere advies
hierover) is ons inziens goed verdedigbaar dat alleen de minister als verantwoordelijke
voor de steekproeven is aan te merken. De steekproeven dienen dan zo uitgevoerd te
worden dat de medewerker van VWS zijn voornemen om documenten buiten de netto

Landsadvocaat

10/11

onderzoekspopulatie te laten kenbaar maakt en daar advies over vraagt aan de
medewerker van Deloitte. Bij een positief advies neemt de medewerker van VWS zijn
al voorgenomen besluit. Bij een negatief advies beslist de TTP namens de minister.
4.24

Ten aanzien van de opdracht aan de TTP geldt ook dat Deloitte hier inbreng in kan
hebben, maar dat de minister de uiteindelijke en volledige zeggenschap dient te
hebben over de opdrachtverlening.

4.25

Met inachtneming van het voorgaande is naar onze mening verdedigbaar dat alleen de
minister als verantwoordelijke wordt aangemerkt voor de schoning en dataselectie
voor de aan Deloitte over te dragen dataset en dat Deloitte ten aanzien daarvan niet is
aan te merken als (mede)verantwoordelijke. Dit is evenwel niet zonder risico’s.

4.26

In de eerste plaats bestaat het risico dat Deloitte, gelet op de expertise van Deloitte en
de onafhankelijkheid waarmee Deloitte het onderzoek moet uitvoeren, in de uitvoering
in enige mate toch een beslissende invloed zal hebben op bepaalde verwerkingen en
daardoor als (mede)verantwoordelijke voor die verwerkingen is aan te merken. Voor
zover die verwerkingen dataselectie betreft zien wij argumenten om te betogen dat
Deloitte met de opdracht voor het onderzoek daarvoor een grondslag heeft en dat de
betrokkenheid van Deloitte nog binnen de grenzen van proportionaliteit en
subsidiariteit blijft. Wij zien geen argumenten om enige
verwerkingsverantwoordelijkheid van Deloitte voor schoning te rechtvaardigen, omdat
de vereiste wettelijke grond voor verwerking van te verwijderen gegevens door
Deloitte ontbreekt.

4.27

In de tweede plaats is een risico dat medewerkers van Deloitte al voor de overdracht
van de dataset kennisnemen van persoonsgegevens. Geredeneerd kan worden dat de
enkele kennisneming van persoonsgegevens nog geen verwerking door Deloitte in de
zin van de AVG is, zolang medewerkers van Deloitte de gegevens zelf niet vastleggen.

4.28

Het kennisgeven van persoonsgegevens aan medewerkers van Deloitte zal met grotere
mate van waarschijnlijkheid wel kwalificeren als verwerking in de zin van de AVG door
de minister. Geredeneerd kan worden dat de kennisneming door Deloitte noodzakelijk
is voor de schoning en dataselectie, waarvoor de minister een grondslag heeft. Dit zou
stand kunnen houden met betrekking tot dataselectie, waarbij beoordeeld wordt of
gegevens relevant zijn voor het onderzoek. Moeilijk vol te houden is evenwel dat de
betrokkenheid van Deloitte noodzakelijk is om te beoordelen of sprake is van
bijzondere persoonsgegevens dan wel wettelijke identificatienummers. Schending van
een geheimhoudingsplicht zal niet kunnen worden gerechtvaardigd.

4.29

Gelet op deze risico’s adviseren wij zoveel mogelijk te voorkomen dat medewerkers
van Deloitte kennisnemen van te verwijderen gegevens. Dit zou kunnen door de voor
een steekproef geselecteerde documenten eerst door een medewerker van VWS te
laten beoordelen. Bevat een document te verwijderen gegevens dan kan ofwel

Landsadvocaat

11/11

beoordeling door een medewerker van Deloitte op een geschoond document
plaatsvinden, ofwel direct en alleen door de TTP.
Tot zover ons advies. Wij hebben een samenvatting hiervan opgenomen in hoofdstuk 2
hiervoor.

Landsadvocaat